DSGVO - BDSG - TTDSG

463

Eine „Aufsichtsbehörde“ ist eine von einem Mitgliedstaat gemäß Art. 51 DSGVO eingerichtete unabhängige Stelle. Gemäß Art. 51 Abs. 1 DSGVO ist primäre Aufgabe der Aufsichtsbehörden, die Einhaltung der DSGVO zu überwachen.

464

Nähere Bestimmungen zu ihrem Aufbau und ihren Aufgaben und Befugnissen regelt Kapitel VI der DSGVO: Art. 51 bis 54 DSGVO statuieren insoweit die Pflicht der Mitgliedstaaten zur Einrichtung von Aufsichtsbehörden sowie die dabei zu beachtenden Vorgaben. Art. 52 DSGVO stellt dabei deren vorzusehende Unabhängigkeitheraus und konkretisiert damit einen der fundamentalen, in den primärrechtlichen Regelungen des Art. 8 Abs. 3 GRCh der EU und Art. 16 Abs. 2 Satz 2 AEUV verankerten Grundsätze des europäischen Datenschutzrechts.827 Art. 55 bis 59 DSGVO regeln die grundsätzliche Zuständigkeitsverteilung unter den eingerichteten Aufsichtsbehörden (Art. 55, 56 DSGVO)828 und statuieren deren Pflichten und Befugnisse (Art. 57–59 DSGVO).829 Regelungen zu der Zusammenarbeit der Aufsichtsbehörden untereinander auf europäischer Ebene finden sich in Kapitel VII der Verordnung (Art. 60ff. DSGVO).830

465

Gemäß Art. 51 Abs. 1 DSGVO besteht die Möglichkeit, dass die Mitgliedstaaten mehrere Aufsichtsbehördenerrichten können. Eine solche sowohl geografische als auch funktionale Aufspaltung sieht beispielsweise das deutsche System mit seinen Landesdatenschutzbehörden der 16 Bundesländer und die/der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) vor, deren jeweilige Zuständigkeit sich aus den §§ 9 sowie 40ff. BDSG ergibt.831 Daneben existieren noch die Datenschutzbeauftragten der öffentlich-rechtlichen Rundfunkanstalten und die Datenschutzbeauftragten der evangelischen und katholischen Kirche.832

466

Der Begriff der betroffenen Aufsichtsbehörde wurde mit der DSGVO neu eingeführt und ist relevant für das Verfahren bei der Zusammenarbeitder Aufsichtsbehörden nach den Art. 60ff. DSGVO.

467

Die Betroffenheit einer Aufsichtsbehörde i.S.v. Art. 4 Nr. 22 DSGVO ist relevant, wenn eine grenzüberschreitende Datenverarbeitung i.S.v. Art. 4 Nr. 23 DSGVO vorliegt und für diese Datenverarbeitung eine andere Aufsichtsbehörde im Rahmen des sog. „One-Stop-Shop“-Verfahrens als „ federführende Aufsichtsbehörde“ gemäß Art. 56 Abs. 1 und 6 DSGVO (ausschließlich) zuständig ist. Dies ist in Konstellationen möglich, in denen für die jeweils gegenständliche, grenzüberschreitende Datenverarbeitung eine Hauptniederlassung i.S.v. Art. 4 Nr. 16 DSGVO ausgemacht werden kann; die jeweils für die Hauptniederlassung örtlich zuständige Aufsichtsbehörde ist dann als „federführende Aufsichtsbehörde“ für diese grenzüberschreitende Datenverarbeitung anzusehen und daher ausschließlich zuständig.833

468

Art. 4 Nr. 22 DSGVO bestimmt dabei, in welchen Fällen eine andere(außer der federführenden) Aufsichtsbehörde von einer solchen grenzüberschreitenden Datenverarbeitung als „betroffen“ zu qualifizieren ist und demnach in das jeweilige aufsichtsbehördliche Verfahren zu involvieren sein kann (vgl. etwa Art. 60 Abs. 1–3 DSGVO), sowie welche Rechte und Mittel ihr im Rahmen der Zusammenarbeit mit der federführenden Aufsichtsbehörde (vgl. etwa Art. 60 Abs. 4 DSGVO) und einem sich etwaig anschließenden Kohärenz- bzw. Streitbeilegungsverfahren zustehen (vgl. Art. 65 Abs. 1 DSGVO).

469

Vor diesem Hintergrund weist die Definition der betroffenen Aufsichtsbehörde einen engen Zusammenhangmit den Begriffen der „grenzüberschreitenden Datenverarbeitung“ nach Art. 4 Nr. 23 DSGVO sowie der „Hauptniederlassung“ nach Art. 4 Nr. 16 DSGVO auf; die Verbindung zur Begriffsbestimmung der „Aufsichtsbehörde“ nach Art. 4 Nr. 21 DSGVO ergibt sich naturgemäß. Im Rahmen der Zusammenarbeit mit der federführenden Aufsichtsbehörde sowie eines Kohärenz- bzw. Streitbeilegungsverfahrens entfaltet zudem die Begriffsbestimmung des „maßgeblichen und begründeten Einspruchs“ nach Art. 4 Nr. 24 DSGVO Relevanz.

470

Die Betroffenheit einer Aufsichtsbehörde kann sich aus einem oder mehreren der in Art. 4 Nr. 22 DSGVO abschließendgenannten Gründe ergeben. Im Einzelnen:

471

Eine Aufsichtsbehörde ist zunächst dann als „betroffen“ zu qualifizieren, wenn der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung im Hoheitsgebiet des Mitgliedstaates der Aufsichtsbehörde aufweist. Der weit gefasste Wortlaut der Norm wird insbesondere unter Berücksichtigung des weiten Verständnisses des Niederlassungsbegriffs834 jedoch in mehrfacher Hinsicht einzuschränkensein. Insofern kann das bloße Vorhandensein einer (an sich unbeteiligten) Niederlassung in einem Mitgliedstaat nicht uneingeschränkt zur Betroffenheit der jeweiligen nationalen Aufsichtsbehörde führen.

472

Hierbei ist zunächst zu beachten, dass die Bestimmung der betroffenen Aufsichtsbehörde sich systematisch auf eine spezifische grenzüberschreitende Datenverarbeitung i.S.v. Art. 4 Nr. 23 DSGVO bezieht, für die eine Hauptniederlassung i.S.v. Art. 4 Nr. 16 DSGVO existiert, die wiederum die Zuständigkeit der jeweils federführenden Aufsichtsbehörde begründet.835 Wie zuvor ausgeführt, ist die Hauptniederlassung i.S.v. Art. 4 Nr. 16 DSGVO dabei je Datenverarbeitungsverfahren gesondertzu bestimmen.836 Vor diesem Hintergrund wird sich die Referenz auf „der Verantwortliche oder der Auftragsverarbeiter“ in Art. 4 Nr. 22 lit. a DSGVO systematisch auf die für die jeweilige grenzüberschreitende Datenverarbeitung anzusehende Hauptniederlassung beziehen. Insofern kann es sich im Rahmen von Art. 4 Nr. 22 lit. a DSGVO zunächst lediglich um Niederlassungen dieses bestimmten, für die jeweils vorliegende grenzüberschreitende Verarbeitung Verantwortlichen oder Auftragsverarbeiters handeln.

473

Der systematische Zusammenhang zu Art. 4 Nr. 23 und Art. 4 Nr. 16 DSGVO spricht ferner dafür, dass lediglich solcheNiederlassungen zur Betroffenheit der jeweiligen nationalen Aufsichtsbehörden führen können, die auch an der jeweiligen grenzüberschreitenden Verarbeitung entweder unmittelbar beteiligt sind, oder im Rahmen deren Tätigkeiten die Verarbeitung erfolgt (vgl. Art. 3 Abs. 1 sowie Art. 4 Nr. 23 DSGVO).837

474

Ferner ist einschränkend zu beachten, dass lediglich die jeweils fachlich sowie (im Falle mehrerer nationaler Landesbehörden) jeweils geografisch zuständigen Aufsichtsbehörden als betroffen anzusehen sein werden.838

475

Die Betroffenheit einer Aufsichtsbehörde kann sich auch daraus ergeben, dass die Verarbeitung personenbezogener Daten erheblicheAuswirkungen auf Einwohner des jeweiligen Mitgliedstaates hat oder haben kann. Maßgeblich ist hierbei der Wohnsitz der betroffenen Person; nicht erforderlich ist, dass die betroffene Person auch die Staatsangehörigkeit des Mitgliedstaates besitzt.839 Aufgrund des eindeutigen Wortlauts muss der Begriff der erheblichen Auswirkungen dabei über eine bloße Betroffenheit einer Person hinausgehen.840 Es muss sich insofern um eine besonders intensive, belastende oder mit besonders gravierenden Folgen für die betroffene Person verbundene Datenverarbeitung handeln.841 Zur Bewertung der Erheblichkeit einer Auswirkung bietet es sich an, auf die in den ErwG 75 und 76 erwähnten Faktoren zurückzugreifen.842 Zu beachten ist, dass nicht bereits jedwede Möglichkeit einer erheblichen Auswirkung tatbestandsbegründend ist. Vielmehr muss im konkreten Einzelfall mehr für eine erhebliche Auswirkung sprechen als dagegen.843