DSGVO - BDSG - TTDSG

476

Ausweislich ErwG 124 Satz 4 obliegt es dem Europäischen Datenschutzausschuss, Kriterien herauszuarbeiten, die bei der Feststellung zu berücksichtigen sind, ob die fragliche Verarbeitung erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat.

477

Ferner kann auch die Einreichung einer Beschwerde(über die jeweilige grenzüberschreitende Datenverarbeitung) bei einer Aufsichtsbehörde diese als „Betroffene“ qualifizieren. Unter einer Beschwerde dürfte eine solche nach Art. 57 Abs. 1 lit. f DSGVO zu verstehen sein, wonach nicht nur betroffene Personen, sondern auch Organisationen i.S.v. Art. 80 DSGVO als Beschwerdeführer in Frage kommen.844

478

Demzufolge ist es nicht ausreichend, dass eine von der Datenverarbeitung betroffene Person in den sachlichen und örtlichen Zuständigkeitsbereich einer Aufsichtsbehörde fällt.845 Vielmehr bedarf es der formalen Voraussetzung der Einreichung einer Beschwerde.846 Dieses Ergebnis wird insoweit durch die Wertung von Art. 4 Nr. 22 lit. b DSGVO untermauert, indem gerade eine erhebliche Auswirkung auf die Betroffenen vorausgesetzt wird.847 Irrelevant sollte dabei die Begründetheitder Beschwerde sein.848 Insofern kristallisiert sich oftmals erst nach Abschluss eines langwierigen, aufsichtsbehördlichen Verfahrens (und einer sich unter Umständen anschließenden gerichtlichen Klärung) heraus, ob ein Datenschutzverstoß vorliegt und die Beschwerde somit begründet war. Um angemessen an diesem Verfahren beteiligt zu werden, muss sich die Betroffenheit der jeweiligen Aufsichtsbehörde demnach bereits vor Abschluss des eigentlichen Verfahrens ergeben.849

479

Die Reichweite des Beschwerderechtsbetroffener Personen richtet sich nach Art. 77 DSGVO, wonach sich betroffene Personen grundsätzlich an jede Aufsichtsbehörde innerhalb der EU wenden können und gerade nicht auf die für sie national zuständige Aufsichtsbehörde beschränkt sind.850 Hieraus folgt, dass sich die Betroffenheit einer Aufsichtsbehörde nach Art. 4 Nr. 22 lit. c DSGVO theoretisch auch dann ergeben kann, wenn der jeweilige Verantwortliche bzw. Auftragsverarbeiter über keine Niederlassung in dem Mitgliedstaat verfügt (vgl. lit. a) oder in dem Mitgliedstaat keine Personen von der grenzüberschreitenden Datenverarbeitung betroffen, geschweige denn erheblich belastet sind (vgl. lit. b).851 In der Praxis werden sich betroffene Personen jedoch regelmäßig an ihre jeweilige nationale Aufsichtsbehörde wenden.

480

Die Definition der grenzüberschreitenden Verarbeitung ist zentralfür die Anwendung des sog. One-Stop-Shop-Verfahrens und die damit einhergehende Bestimmung der federführenden Aufsichtsbehörde sowie die weitere Zusammenarbeit der Aufsichtsbehörden nach den Art. 60ff. DSGVO. Der Begriff weist somit Zusammenhänge mit den Definitionen der Hauptniederlassung gemäß Art. 4 Nr. 16 DSGVO sowie der betroffenen Aufsichtsbehörde gemäß Art. 4 Nr. 22 DSGVO auf.

481

Eine grenzüberschreitende Verarbeitung kann in zwei Konstellationenvorliegen. Art. 4 Nr. 23 DSGVO weist dabei eine deutliche Parallele zu Art. 3 DSGVO auf, der den räumlichen Anwendungsbereich der DSGVO absteckt. Insofern sehen Art. 3 und Art. 4 Nr. 23 DSGVO gleichermaßen sowohl das Niederlassungsprinzip (vgl. Art. 3 Abs. 1 und Art. 4 Nr. 23 lit. a DSGVO) als auch das Marktortprinzip (vgl. Art. 3 Abs. 2 und Art. 4 Nr. 23 lit. b DSGVO) zur Bestimmung ihres Anwendungsbereichs vor. Um Wertungswidersprüche zu vermeiden, sollten daher im Rahmen beider Normen die gleichen Maßstäbe angesetzt werden.

482

Nach Art. 4 Nr. 23 lit. a DSGVO muss der Verantwortliche oder der Auftragsverarbeiter in mehrals einem Mitgliedstaat niedergelassen sein. Zudem muss die jeweils in Frage stehende Datenverarbeitung „im Rahmen der Tätigkeiten“ dieser in mehreren Mitgliedstaaten belegenen Niederlassungen erfolgen.

483

Wie im Rahmen von Art. 3 Abs. 1 DSGVO wird dabei ein sehr weites Verständnisanzulegen sein. Insofern wird es einerseits genügen, dass eine Niederlassung den mit der in Frage stehenden Datenverarbeitung verfolgten Geschäftszweck einer anderen Niederlassung fördert, ohne die Verarbeitung dabei selber (mit-)auszuführen.852 Darüber hinaus ist es nicht erforderlich, dass die Niederlassungen die Daten der gleichen betroffenen Personen verarbeiten. Andererseits genügt es bereits, wenn die Niederlassungen dieselben Datenkategorien zum gleichen Zweck und nach einem ähnlichen Verfahren verarbeiten,853 etwa wenn mehrere Niederlassungen ein Datenverarbeitungsverfahren auf Anweisung einer Hauptniederlassung durchführen. Art. 4 Nr. 23 lit. a DSGVO setzt dabei keine Übermittlung von personenbezogenen Daten zwischen den Niederlassungen voraus.854

484

Demgegenüber liegt keinegrenzüberschreitende Verarbeitung i.S.v. Art. 4 Nr. 23 lit. a DSGVO bei der Datenweitergabe zwischen zwei Verantwortlichen oder einem Verantwortlichen und einem Auftragsverarbeiter vor, es sei denn, dass jedenfalls einer der beteiligten Akteure über mehrere Niederlassungen in verschiedenen Mitgliedstaaten verfügt, im Rahmen deren Tätigkeit diese Verarbeitung erfolgt oder sich ein grenzüberschreitender Bezug aus Art. 4 Nr. 23 lit. b DSGVO ergibt.855

485

Im Falle von gemeinsam Verantwortlichen (Art. 26 DSGVO) dürfte bereits dann eine grenzüberschreitende Verarbeitung vorliegen, auch wenn die beteiligten Niederlassungen zu verschiedenen Verantwortlichen gehören.856

486

Alternativ kann nach Art. 4 Nr. 23 lit. b DSGVO auch eine einzelne Niederlassung in einem Mitgliedstaat eine grenzüberschreitende Verarbeitung begründen. Für den Fall, dass die Verarbeitung personenbezogener Daten in nur einem Mitgliedstaat erfolgt, muss die Verarbeitung aber zusätzlicherhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat haben oder haben können. Diesbezüglich kann auf die obigen Ausführungen zu Art. 4 Nr. 22 lit. b DSGVO verwiesen werden.857

487

Eine durch einen außerhalb der EU ansässigen Verantwortlichen oder Auftragsverarbeiter durchgeführte Datenverarbeitung fällt – auch wenn sie erhebliche Auswirkungen auf Betroffene innerhalb der EU hat – nur dann in den Anwendungsbereich von Art. 4 Nr. 23 DSGVO, sofern die jeweilige datenverarbeitende Stelle im Drittland zumindestüber eine Niederlassung innerhalb der EU verfügt, im Rahmen deren Tätigkeit die jeweilige Verarbeitung erfolgt.858

488

Die Definition des maßgeblichen und begründeten Einspruchs ist im Rahmen der Zusammenarbeit zwischen den Aufsichtsbehörden sowie des Streitbeilegungsverfahrens (vgl. Art. 60 Abs. 4 und 6, Art. 65 Abs. 1 lit. a DSGVO) von Relevanz. Sie beschreibt die formalen Voraussetzungen, unter denen sich eine betroffene Aufsichtsbehörde gegen einen Beschlussentwurf der federführenden Aufsichtsbehörde zur Wehr setzen kann.

489

Ein maßgeblicher undbegründeter Einspruch kann daher ausschließlich von einer betroffenen Aufsichtsbehörde i.S.v. Art. 4 Nr. 22 DSGVO erhoben werden und kann sich lediglich gegen Beschlussentwürfe einer federführenden Aufsichtsbehörde richten.