DSGVO - BDSG - TTDSG

440

Der Begriff des „Unternehmens“ wird in der DSGVO nur an vereinzelten Stellen unmittelbar aufgegriffen. So enthebt Art. 30 Abs. 5 DSGVO gewisse Unternehmen etwa von der Pflicht zur Führung eines Verzeichnisses für Verarbeitungstätigkeiten. Die Klassifizierung als Unternehmen ist ferner für die Bestimmung der möglichen Berechnungsgrundlagen von Bußgeldern nach Art. 83 Abs. 4–6 DSGVO erheblich; hierbei ist jedoch zu beachten, dass nach dem Willen des Verordnungsgebers im Rahmen von Art. 83 DSGVO ein der Definition von Art. 4 Nr. 18 DSGVO hinausgehendes Verständnis des Unternehmensbegriffs gelten soll. Weitere Bedeutung erlangt die Definition des Unternehmens im Zusammenhang mit den Begriffen der „Unternehmensgruppe“ nach Art. 4 Nr. 19 DSGVO sowie der nicht in der DSGVO definierten „Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben“ (vgl. etwa Art. 47 DSGVO).

441

Die DSGVO spricht an weiteren Stellen von „Kleinstunternehmen“ sowie „kleinen und mittleren Unternehmen“, ohne diese gesondert zu definieren. ErwG 13 statuiert jedoch, dass die entsprechende Definition in Art. 2 des Anhangs zur Empfehlung 2003/361/EG der Kommission maßgebendist, wonach sich die Klassifizierung sowohl nach Mitarbeiterzahl als auch Umsatz bestimmt.801 Gleichwohl knüpft die DSGVO an diese Begriffe bzw. eine entsprechende Klassifizierung eines Unternehmens auch keine gesonderten Rechtsfolgen; vielmehr verfolgt die DSGVO die Maxime, auf die besonderen Bedürfnisse von solchen Unternehmen einzugehen bzw. hinzuweisen (vgl. Art. 40, 42 DSGVO).802

442

Art. 4 Nr. 18 DSGVO sieht ein weites Verständnisdes Unternehmensbegriffs vor. Insofern sind sowohl natürliche und juristische Personen als auch Personengesellschaften und Vereinigungen umfasst. Hierzu zählen auch Kapitalgesellschaften, Vereine und Einzelkaufleute. Ebenso können juristische Personen des öffentlichen Rechts unter den Unternehmensbegriff fallen.803 Um mitgliedstaatliche Unterschiede entsprechend zu würdigen, ist zumindest vorauszusetzen, dass das jeweilige Subjekt am Rechtsverkehr teilnehmen und im gerichtlichen Verfahren als Partei auftreten sowie Adressat aufsichtsbehördlicher Maßnahmen sein kann.804

443

Maßgeblich für die Qualifizierung als Unternehmen ist, dass die Person bzw. Vereinigung regelmäßig einer wirtschaftlichen Tätigkeitnachgeht. Nach unionsrechtlichem Verständnis wird darunter das Anbieten von Gütern oder (Dienst-)Leistungen am Markt zu verstehen sein müssen, ohne dass eine Gewinnerzielungsabsicht erforderlich ist.805 Irrelevant sind die Branche (weshalb auch Freiberufler erfasst sind) und die Größe des Unternehmens.806 Insofern fallen auch Kleinstunternehmen sowie kleine und mittlere Unternehmen in den Anwendungsbereich von Art. 4 Nr. 18 DSGVO.

444

Unter Berücksichtigung des sachlichen Anwendungsbereichs der DSGVO nach Art. 2 Abs. 2 lit. c DSGVO steht einer Klassifizierung als Unternehmen zudem nicht entgegen, wenn die ausgeführte Tätigkeit nicht nur wirtschaftlich ist, sondern in gleicher Weise auch einen privaten Nutzen hat.807

445

Nach ErwG 150 Satz 3 soll im Rahmen von Art. 83 DSGVO ein im Verhältnis zu Art. 4 Nr. 18 DSGVO erweiterterUnternehmensbegriff gelten.808 Art. 83 Abs. 4–6 DSGVO bestimmt insoweit, dass bei der Bußgeldbemessung gegenüber Unternehmen auch deren weltweiter Jahresumsatz als Bemessungsgrundlage (neben der gedeckelten Maximalhöhe von 10 bzw. 20 Mio. EUR) herangezogen werden kann.

446

Der Begriff des Unternehmens soll in diesem Fall kartellrechtlichim Sinne des Art. 101 und Art. 102 AEUV verstanden werden. Insofern steht nicht ein formales, sondern vielmehr ein wettbewerbsrechtlich funktionalesBegriffsverständnis im Vordergrund.809 Anknüpfungspunkt für die Bezeichnung als Unternehmen ist insoweit nicht das Rechtssubjekt (wie in Art. 4 Nr. 18 DSGVO); vielmehr ist jede Einheit ungeachtet ihrer Rechtsform umfasst, die eine wirtschaftliche Tätigkeit ausübt.810 Demgemäß können auch Unternehmensgruppen i.S.v. Art. 4 Nr. 19 DSGVO oder ganze Gruppen von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, unter den in Art. 83 DSGVO niedergelegten Unternehmensbegriff fallen.

447

Dieses differenzierte Begriffsverständnis findet insoweit deutlicheren Niederschlag in der englischsprachigen Fassung der DSGVO: Dort ist „Unternehmen“ im Rahmen von Art. 4 Nr. 18 DSGVO mit „enterprise“ und im Rahmen von Art. 83 Abs. 4–6 DSGVO hingegen mit „undertaking“ übersetzt.811 Neben gesetzessystematischen Bedenken stößt sich dieses erweiterte Begriffsverständnis jedenfalls in der deutschen Sprachfassung ferner an dem eher eindeutigen Wortlaut der Norm.812 In Konsequenz können sich dadurch auch Ungewissheiten sowie Unverhältnismäßigkeiten bei der Bestimmung des Bezugspunkts der Bußgeldbemessung bei individuellen Verstößen eines einzelnen Rechtssubjekts ergeben, welches jedoch Teil einer Unternehmensgruppe ist.813

448

Die DSGVO greift auf den Begriff der „Unternehmensgruppe“ in verschiedenen Zusammenhängen zurück. Der Begriff ist insoweit von dem nicht in der DSGVO definierten, jedoch vereinzelt Erwähnung findenden Begriff der „Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben“ abzugrenzen, wobei die DSGVO beide Begriffe teilweise gleichberechtigt behandelt. Zur vorgelagerten Bestimmung des Vorliegens eines „Unternehmens“ ist die Definition in Art. 4 Nr. 18 DSGVO zu beachten.

449

Die wohl prominenteste Erwähnung erfolgt im Rahmen von Art. 47 DSGVO. Insofern besteht sowohl für Unternehmensgruppen als auch Gruppen von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, die Möglichkeit, verbindliche interne Datenschutzvorschriftenzur Absicherung von gruppeninternen Datentransfers in Drittländer (sog. Binding Corporate Rules) zu erarbeiten und mit der zuständigen Aufsichtsbehörde abzustimmen.

450

Demgegenüber darf lediglich eine Unternehmensgruppe unter den Voraussetzungen des Art. 37 Abs. 2 DSGVO einen gemeinsamen Datenschutzbeauftragten ernennen.

451

Die DSGVO berücksichtigt ferner den Umstand, dass die Realitätder arbeitsteiligen Organisation von Unternehmensgruppen bzw. die Zusammenarbeit einzelner Gruppenteile einen gruppenweiten Transfer von personenbezogenen Daten erforderlich macht. Insofern nennt ErwG 48 die Übermittlung von personenbezogenen Daten zu internen Verwaltungszwecken als ein mögliches berechtigtes Interesse i.S.v. Art. 6 Abs. 1 lit. f DSGVO und somit als möglichen Erlaubnistatbestand für die Verarbeitung von personenbezogenen Daten.814 Ausdrücklich bezieht sich der Wortlaut von ErwG 48 dabei jedoch nur auf Unternehmensgruppen i.S.v. Art. 4 Nr. 19 DSGVO (sowie „Gruppen von Einrichtungen“).

452

Nach Maßgabe von ErwG 36 Satz 8 entfaltet die Vorlage einer Unternehmensgruppe i.S.v. Art. 4 Nr. 19 DSGVO insoweit auch indizielle Wirkung bei der Bestimmung der Hauptniederlassung i.S.v. Art. 4 Nr. 16 DSGVO.815

453

Bei der Umsetzung von nationalen Sonderregelungenzur Verarbeitung von Beschäftigtendaten durch die Mitgliedstaaten statuiert Art. 88 Abs. 2 DSGVO, dass diese nationalen Sonderregelungen über „angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf [...] die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben [...]“ aufweisen müssen.