David Klein - DS-GVO/BDSG

A. Einordnung und Hintergrund1

B.Kommentierung2 – 354

I. Art. 4: Allgemeines2 – 8

II.Art. 4 Nr. 1: Personenbezogene Daten9 – 47

1. Allgemeines9 – 12

2.Persönlicher Schutzumfang13 – 25

a) Betroffene Person13

b) Juristische Personen14, 15

c) Verstorbene16 – 24

d) Ungeborenes Leben (nasciturus)25

3.Sachlicher Schutzumfang26 – 47

a) Information26 – 28

b) Personenbezug der Information29, 30

c) Identifizierte oder identifizierbare Person31 – 42

d) Anonyme Daten43

e) Einzelbeispiele44 – 47

III.Art. 4 Nr. 2: Verarbeitung48 – 58

1. Allgemeines48 – 53

2. Inhalt54 – 57

3. Praxishinweise58

IV.Art. 4 Nr. 3: Einschränkung der Verarbeitung59 – 68

1. Allgemeines59 – 63

2. Inhalt64 – 66

3. Praxisbeispiele67, 68

V.Art. 4 Nr. 4: Profiling69 – 78

1. Allgemeines69 – 74

2. Scoring75 – 77

3. Pflichten beim Profiling78

VI.Art. 4 Nr. 5: Pseudonymisierung79 – 109

1. Allgemeines79 – 88

2. Anforderungen an die Pseudonymisierung89 – 92

3. Abgrenzung zur Anonymisierung93 – 95

4. Verschlüsselte Daten96

5. Verfahren und technisch-organisatorische Anforderungen der Pseudonymisierung97 – 100

6. Anwendungsszenarien zu Art und Verfahren der Pseudonymisierung101 – 109

VII.Art. 4 Nr. 6: Dateisystem110 – 120

1. Allgemeines110 – 115

2. Begriff des „Dateisystems“116 – 119

3. Digitalisierung von Daten und Akten120

VIII.Art. 4 Nr. 7: Verantwortlicher121 – 170

1. Allgemeines121 – 127

2. Zweck der Vorschrift128, 129

3. Tatbestandsmerkmale des Verantwortlichen im Einzelnen130 – 157

a) Normadressaten131 – 138

b) Alleinige oder gemeinsame Verantwortliche139 – 152

c) Entscheidungsbefugnisse über Zweck und Mittel153, 154

d) Abgrenzung zur Auftragsverarbeitung155 – 157

4. Einzelfälle/Praxisbeispiele/Praxishinweise158 – 170

IX.Art. 4 Nr. 8: Auftragsverarbeiter171 – 185

1. Allgemeines171 – 174

2.Inhalt175 – 182

a) Privilegierung der Auftragsdatenverarbeitung175, 176

b) Datenverarbeitung im Auftrag177 – 182

3. Einzelfälle/Praxisbeispiele183 – 185

X.Art. 4 Nr. 9: Empfänger186 – 198

1. Allgemeines186 – 188

2. Inhalt189 – 195

a) Empfangende Stelle190 – 192

b) Begriff der Offenlegung193 – 195

3. Ausnahmen bei Behörden196 – 198

XI.Art. 4 Nr. 10: Dritter199 – 204

1. Allgemeines199, 200

2. Inhalt201 – 203

3. Praxisbeispiele204

XII.Art. 4 Nr. 11: Einwilligung205 – 221

1. Allgemeines205 – 210

2. Inhalt211 – 221

XIII.Art. 4 Nr. 12: Verletzung des Schutzes personenbezogener Daten222 – 232

1. Allgemeines222, 223

2. Inhalt224 – 232

XIV.Art. 4 Nr. 13: Genetische Daten233 – 243

1. Allgemeines233, 234

2. Systematik und Verhältnis zu anderen Vorschriften235, 236

3. Umfang des Schutzes „genetischer Daten“237 – 243

XV.Art. 4 Nr. 14: Biometrische Daten244 – 256

1. Allgemeines244 – 246

2. Tatbestandsmerkmale „biometrischer Daten“247 – 252

3. Praxisbeispiele253 – 256

XVI.Art. 4 Nr. 15: Gesundheitsdaten257 – 266

1. Allgemeines257 – 259

2. Inhalt und Reichweite des Begriffs der Gesundheitsdaten260 – 265

3. Praxisbeispiele266

XVII.Art. 4 Nr. 16: Hauptniederlassung267 – 283

1. Allgemeines267 – 274

a) Abgrenzung zum Begriff der Niederlassung268 – 270

b) Systematik und Verhältnis zu anderen Vorschriften der DS-GVO271 – 274

2. Hauptniederlassung des Verantwortlichen275 – 279

3. Hauptniederlassung des Auftragsverarbeiters280 – 282

4. Hauptniederlassung bei einer Unternehmensgruppe283

XVIII.Art. 4 Nr. 17: Vertreter284 – 294

1. Allgemeines284 – 286

2. Begriff des Vertreters und Regelungszweck287 – 294

XIX.Art. 4 Nr. 18: Unternehmen295 – 299

1. Allgemeines295

2. Inhalt296 – 299

XX.Art. 4 Nr. 19: Unternehmensgruppe300 – 306

1. Allgemeines300 – 302

2. Bedeutung303 – 306

XXI. Art. 4 Nr. 20: Verbindliche interne Datenschutzvorschriften307 – 314

XXII. Art. 4 Nr. 21: Aufsichtsbehörde315 – 318

XXIII. Art. 4 Nr. 22: Betroffene Aufsichtsbehörde319 – 328

1. Niederlassung im Hoheitsgebiet der Aufsichtsbehörde (Art. 4 Nr. 22 lit. a)323, 324

2. Erhebliche Auswirkungen auf Betroffene mit Wohnsitz im Mitgliedstaat der Aufsichtsbehörde (Art. 4 Nr. 22 lit. b)325, 326

3. Einreichung einer Beschwerde (Art. 4 Nr. 22 lit. c)327, 328

XXIV. Art. 4 Nr. 23: Grenzüberschreitende Verarbeitung329 – 339

1. Niederlassungen in unterschiedlichen Mitgliedstaaten (lit. a)335 – 337

2. Erhebliche Auswirkungen auf Betroffene in unterschiedlichen Mitgliedstaaten (lit. b)338, 339

XXV. Art. 4 Nr. 24: Maßgeblicher und begründeter Einspruch340 – 345

XXVI.Art. 4 Nr. 25: Dienst der Informationsgesellschaft346 – 350

1. Allgemeines346, 347

2. Inhalt348 – 350

XXVII.Art. 4 Nr. 26: Internationale Organisation351 – 354

1. Allgemeines351, 352

2. Inhalt353, 354

Anhang

§ 2 BDSGBegriffsbestimmungen

Literatur:

Art.-29-Datenschutzgruppe zu „personenbezogenen Daten“ (WP 136); dies. zu „Anonymisierungstechniken“ (WP 216); dies. zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ (WP 169); dies. zu „Arbeitspapieren über genetische Daten“ v. 17.3.2004 (WP 91); dies. zu „Entwicklungen im Bereich biometrischer Technologien“ v. 27.4.2014 (WP 193); dies. Annex zum Brief v. 5.2.2015 „Health data in apps and devices“; Benedikt Die geplante ePrivacy-Verordnung und ihr Verhältnis zur DS-GVO und zum Telemediengesetz, DSB 2018, 80; BITKOM-Pressemitteilung v. 5.3.2014: „Großes Wachstum bei Big Data“[2]; Brinkert/Stolze/Heidrich Der Tod und das Soziale Netzwerk – Digitaler Nachlass in Theorie und Praxis, ZD 2013, 153; Brisch/Pieper Das Kriterium der „Bestimmbarkeit“ bei Big Data-Analyseverfahren, CR 2015, 724; Brössler/Hurtz Regierung einigt sich auf Tracing-App – und Kritiker sind begeistert, S. Z. v. 26.4.2020[3]; Budras Big Data: Google weiß, wo die Grippe lauert, faz.net v. 15.11.2014[4]; Buermeyer/Abele/Bäcker Corona-Tracking & Datenschutz: kein notwendiger Widerspruch, Gastbeitrag auf netzpolitik.org v. 29.3.2020[5]; Datenethikkommission der Bundesregierung Abschlussgutachten v. Okt. 2019[6]; Deusch Der digitale Nachlass vor dem BGH und die Praxisfolgen, ZEV 2018, 687; Dörr/Schwartmann Medienrecht, 6. Aufl. 2019; DSK Beschluss des DSK zu Facebook-Fanpages v. 5.9.2018; dies . Positionierung zur Verantwortlichkeit und Rechenschaftspflicht bei Facebook-Fanpages sowie der aufsichtsbehördlichen Zuständigkeit; dies . Positionsbestimmung der DSK v. 26.4.2018; dies . Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien v. 3.5.2019; EDPS Guidelines on the concepts of controller, processor and joint controllership under Regulation (EU) 2018/1725 v. 7.11.2019; EU Kommission Questions and Answers – Data protection reform, Brussels, 21 December 2015[7]; Franzen/Gallner/Oetker Kommentar zum europäischen Arbeitsrecht, 2. Aufl. 2018; GDD Praxishilfe XV – Die gemeinsame Verantwortlichkeit nach Art. 26 DS-GVO(Joint Controllership)[8]; dies. Praxishilfe ePrivacy I, 2018[9]; dies . Praxishilfe XVI – Videokonferenzen und Datenschutz[10]; Gola/Schomerus BDSG, 12. Aufl. 2015; Golland Reichweite des „Joint Controllership“, K&R, 2019, 533; Hardenberg Genetische Gesundheitsdaten in der Individualisierten Medizin, Hinreichender Persönlichkeitsschutz oder rechtlicher Regelungsbedarf?, ZD 2014, 115; Härting/Gössling Gemeinsame Verantwortlichkeit bei einer Facebook-Fanpage NJW 2018, 2523; Helbing Big Data und der datenschutzrechtliche Grundsatz der Zweckbindung, K&R 2015, 145; Heldt Gesichtserkennung: Schlüssel oder Spitzel?, MMR 2019, 285; Hoeren/Sieber/Holznagel Handbuch Multimedia-Recht, 45. Aufl. 2017; Hoffmann Entwicklung des Internetrechts bis Ende 2018, NJW 2019, 481; Hurtz App zum Ärgern, S. Z. v. 21.4.2020, S. 5; Kartheuser / Nabulsi Abgrenzungsfragen bei gemeinsam Verantwortlichen, MMR 2019, 717; Katko/Babaei-Beigi Accountability statt Einwilligung? – Führt Big Data zum Paradigmenwechsel im Datenschutz? MMR 2014, 360; Klas/Möhrke-Sobolewski Digitaler Nachlass – Erbenschutz trotz Datenschutz, NJW 2015, 3473; Koós/Englisch Eine „neue“ Auftragsdatenverarbeitung? – Gegenüberstellung der aktuellen Rechtslage und der DS-GVO in der Fassung des LIBE-Entwurfs, ZD 2014, 276; Kremer Plugins nach dem EuGH: Cookie Consent und Joint Controller überall?, CR 2019, 676; Lang Rechtskonformer Einsatz von Cookies, K&R, 2019, 698; Laue/ Kremer Das neue Datenschutzrecht in der betrieblichen Praxis, 2. Aufl. 2019; Lee / Cross (Gemeinsame) Verantwortlichkeit beim Einsatz von Drittinhalten auf Websites, MMR 2019, 559; Marshall Datenpannen – „neue“ Meldepflicht nach der europäischen DS-GVO?, DuD 2015, 183; Martini Der digitale Nachlass und die Herausforderung postmortalen Persönlichkeitsschutzes im Internet, JZ 2012, 1145; ders . Facebook, die Lebenden und die Toten – Der digitale Nachlass aus telekommunikations- und datenschutzrechtlicher Sicht JZ 2019, 235; Martini / Weinzierl Mandated Choice: der Zwang zur Entscheidung auf dem Prüfstand von Privacy by Default, KW 2019, 287; Mayen DAV-Stellungnahme Nr. 34/2013; Monreal Der für die Verarbeitung Verantwortliche – das unbekannte Wesen des deutschen Datenschutzrechts – Mögliche Konsequenzen aus einem deutschen Missverständnis, ZD 2014, 611; Nebel Datenschutzrechtliche Verantwortlichkeit bei der Nutzung von Fanpages und Social Plug-ins, RDV 2019, 9; Nink/Pohle Die Bestimmbarkeit des Personenbezugs – Von der IP-Adresse zum Anwendungsbereich der Datenschutzgesetze, MMR 2015/563; Preuß Digitaler Nachlass – Vererbbarkeit eines Kontos bei einem sozialen Netzwerk, NJW 2018, 3146; Reif Gemeinsame Verantwortung beim Lettershopverfahren – praktische Konsequenz der EUGH-Rechtsprechung zu den „Fanpages“ und „Zeugen Jehovas“, RDV 2019, 30; Sattler Gemeinsame Verantwortlichkeit – getrennte Pflichten, GRUR 2019, 1023; Scheppach Und jetzt: Ihr Wetter, Technology Review vom 6.5.2015[11]; Schreiber Gemeinsame Verantwortlichkeit gegenüber Betroffenen und Aufsichtsbehörden, ZD 2019, 55; Schwartmann Praxishandbuch Medien-, IT- und Urheberrecht, 4. Aufl. 2018; ders. Editorial RDV 2019, 51; Schwartmann/Benedikt/Jacquemain Die ePrivacy-VO kommt: Reichweitenmessung und Nutzungsprofile über Cookies zwischen DSGVO und ePrivacy-VO, PinG 2018, 150; Schwartmann/Hermann/Mühlenbeck Datenschutzrechtliche Zulässigkeit der Kenntlichmachung des Entzuges eines Doktorgrades in (Online-)Bibliothekskatalogen v. Sept. 2018[12] ; dies. Die Veröffentlichung des Entzuges von Doktorgraden und der Datenschutz, RDV 2018, 252; Schwartmann/Jacquemain DataAgenda Arbeitspapier 02 – Personenfotografie: DS-GVO vs. KUG[13]; dies . DataAgenda Arbeitspapier 04 – EuGH: Facebook Fanpages[14]; dies. DataAgenda-Arbeitspapier 05 – „Cookies“ richtig setzen: Anwendbarkeit des TMG?[15]; dies . DataAgenda Arbeitspapier 10 – Die EuGH-Rechtsprechung zum Joint-Controllership?[16]; Schwartmann/Jacquemain/Mühlenbeck DataAgenda Arbeitspapier 17 – Positionen zur Zulässigkeit von Handytracking wegen Corona-Pandemie[17]; Schwartmann/Keber/Mühlenbeck Social Media, 2. Aufl. 2018; Schwartmann/Mühlenbeck Die Corona-App und der Datenschutz, F.A.Z. Einspruch v. 6.4.2020; Schwartmann/Weiß Whitepaper zur Pseudonymisierung der Fokusgruppe Datenschutz, 2017[18]; dies . Anforderungen an den datenschutzkonformen Einsatz von Pseudonymisierungslösungen, 2018[19]; dies . Entwurf für einen Code of Conduct zum Einsatz DS-GVO konformer Pseudonymisierung, 2019[20]; dies . Ein Entwurf für einen Code of Conduct zum Einsatz DS-GVO konformer Pseudonymisierung, RDV 2020, 71; Specht-Riemschneider/Schneider Die gemeinsame Verantwortlichkeit im Datenschutzrecht, MMR 2019, 503; Thüsing/Kugelmann/Schwartmann Datenschutz-Experten beurteilen Corona-App in F.A.Z. v. 9.4.2020; Weichert Big Data und Datenschutz – Chancen und Risiken einer neuen Form der Datenanalyse, ZD 2013, 251; Wissenschaftlicher Dienst des Deutschen Bundestages Ausarbeitung zu Einzelfragen zum Handy-Tracking in Deutschland im Zusammenhang mit der Corona-Pandemie 2020[21]; Ziebarth Google als Geheimnishüter? Verantwortlichkeit der Suchmaschinenbetreiber nach dem EuGH-Urteil, ZD 2014, 394.