David Klein - DS-GVO/BDSG

110

Art. 4 Nr. 6definiert das „Dateisystem“ als jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird.

111

Die Norm legt die Voraussetzungen fest, wann bei einer nicht-automatisierten Verarbeitung die DS-GVO nach Art. 2 Abs. 1Anwendung findet. Denn indem Art. 2 Abs. 1 Alt. 1den Anwendungsbereich der DS-GVO für automatisierte Verarbeitungen personenbezogener Daten eröffnet, ist der Begriff des „Dateisystems“ das maßgebliche Kriterium, das den Anwendungsbereich der DS-GVO im Rahmen von Art. 2 Abs. 1 Alt. 2auch auf nichtautomatisierte Verarbeitungen erstreckt.[273] Ausweislich ErwG 15 S. 1 soll Art. 2 Abs. 1 Alt. 2gewährleisten, dass das europäische Datenschutzrecht unabhängig von den eingesetzten technischen Mitteln Anwendung findet, um das Risiko einer Umgehung der Vorschriften der DS-GVO zu vermeiden.[274]

112

Auf nationaler Ebene wurde der Begriff der „nicht automatisierten Datei“ in § 3 Abs. 2 S. 2 BDSG a.F.definiert. Danach war eine nicht automatisierte Datei jede nicht automatisierte Sammlung personenbezogener Daten, die gleichartig aufgebaut und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann. Insofern ähnelt der Wortlaut demjenigen der DS-GVO, so dass die bisher bestehende Auslegung im Rahmen von Art. 4 Nr. 6entsprechend herangezogen werden kann, wobei jedoch aufgrund der unmittelbaren Wirkung der DS-GVO in den Mitgliedstaaten eine unionsweit einheitliche Begriffsbestimmung notwendig ist.[275]

113

Im europäischen Datenschutzrecht stellt Art. 2 lit. c DSRLdie Vorgängerregelung zu Art. 4 Nr. 6dar. Zwar enthielt die Vorschrift eine Definition zur leicht abweichenden Begrifflichkeit der „Datei mit personenbezogenen Daten“, inhaltlich ergeben sich daraus indes keine Änderungen. Dies folgt insbesondere daraus, dass Art. 2 lit. c DSRL und Art. 4 Nr. 6in der englischen Fassung den Begriff gleichermaßen als „filing system“ bezeichnen.

114

Die Änderung der Begrifflichkeit in der deutschen Sprachfassung von „Datei“ – wie er noch in Art. 2 Nr. 1 und Art. 4 Abs. 4 des Kommissionsentwurfs[276] zu finden war – zu „Dateisystem“ erfolgte erst im Trilog-Verfahren und bringt keine inhaltlichen Abweichungen mit sich.[277]

115

Eine wortgleiche Umsetzung von Art. 4 Nr. 6im nationalen Recht findet sich in § 46 Nr. 6 BDSG n.F.[278], der sich allerdings auf die RL 2016/680 bezieht. Im Rahmen des Beschäftigtendatenschutzes ist zudem § 26 Abs. 7 BDSG n.F.[279] relevant.

116

Die Definition des Dateisystems als „strukturierte Sammlung“ zerfällt zunächst in die Begriffe Sammlungund strukturiert. Der Begriff der Sammlung betont, dass es sich um eine Mehrzahl bzw. um eine Zusammenstellung mehrerer Daten und Einzelangaben handeln muss.[280] Das Strukturmerkmal erfordert, dass die Daten gleichartig aufgebaut und nach bestimmten Merkmalen geordnet sind und ausgewertet werden können. Die Sammlung muss dafür nach ErwG 15 S. 3 also eine nach Kriterien festgelegte äußere Ordnung aufweisen und die Daten nach diesen Kriterien zugänglich machen.[281] So fallen ausweislich ErwG 15 S. 3 Akten oder Aktensammlungen, die nicht nach bestimmten Kriterien geordnet sind, nicht in den Anwendungsbereich der DS-GVO.

117

Zudem müssen nach Art. 4 Nr. 6die Daten und Einzelangaben nach bestimmten personenbezogenen Kriterien zugänglichsein. Das Kriterium bezeichnet dabei die Merkmale und Kategorien (etwa Name, Beruf, Alter oder Anschrift einer Person) anhand derer die Daten zugänglich gemacht werden.[282] Zugänglich sind die Daten und Einzelangaben dann, wenn sie anhand der Merkmale und Kategorien inhaltlich erschlossen und verfügbar gemacht werden können.[283]

118

Aufgrund der heutigen technischen Möglichkeiten ist daher davon auszugehen, dass jede Form der geeigneten und strukturierten Speicherung von Daten, die eine Auswertung anhand verschiedener Kriterien ermöglicht, als Dateisystem im Sinne des Art. 4 Nr. 6anzusehen ist.[284] So fallen etwa Personenverzeichnisse oder alphabetische Sortierungen unter die Begriffsdefinition. Auch Akten oder Aktensammlungen unterfallen laut ErwG 15 S. 3 der DS-GVO, sofern sie die Begriffsdefinition des Dateisystems erfüllen.

119

In der Rechtssache C-25/17 (Zeugen Jehovas) befasste sich der EuGH u.a. mit der Frage, welche Anforderungen an den Begriff der „Datei“ nach Art. 2 lit. c DSRL zu stellen sind. Orientiert am größtmöglichen Schutz der betroffenen Person durch eine Datenverarbeitung, losgelöst davon, ob die Verarbeitung personenbezogener Daten automatisiert oder manuell erfolgt, sei der Begriff der „Datei“ weit zu verstehen.[285] Die Voraussetzungen einer Datei sind dann erfüllt, „sofern es sich um eine Sammlung personenbezogener Daten handelt und diese Daten nach bestimmten Kriterien so strukturiert sind, dass sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind“.[286] Um unter den Begriff der Datei zu fallen, „muss eine solche Sammlung nicht aus spezifischen Karthoteken oder Verzeichnissen oder anderen der Recherche dienenden Ordnungssystemen bestehen“.[287] Da sich inhaltlich keine Unterschiede zur Begriffsbestimmung der DS-GVO erkennen lassen, wird man die vom EuGH aufgestellten Parameter auch auf die neue Rechtslage übertragen können. Somit sind die Voraussetzungen eines Dateisystems dann erfüllt, wenn es sich um eine Sammlung personenbezogener Daten handelt und diese Daten nach bestimmten Kriterien so strukturiert sind, dass sie zur späteren Verwendung leicht wiederauffindbar sind.

120

In der Praxis ist insbesondere die Frage bedeutsam, ob die Digitalisierung von ursprünglich nur in Papierform bestehenden Daten und Akten unter die Begriffsdefinition des „Dateisystems“ nach Art. 4 Nr. 6 fällt. Nach ErwG 15 S. 3 fallen Akten oder Aktensammlungen, die nicht nach bestimmten Kriterien geordnet sind, nicht in den Anwendungsbereich der DS-GVO. Entscheidend ist deshalb, ob im Rahmen der Digitalisierung von Datenbeständen Ordnungskriterien erstellt werden, die die personenbezogenen Daten zugänglich machen. Sofern die Daten und Akten lediglich als solches eingescannt und abgelegt werden, wird dies nicht der Fall sein. Sobald aber die Dokumente nach einem vorher festgelegten Ordnungsschema abrufbar sind, kann sich die Beurteilung ändern.[288]

121

Art. 4 Nr. 7definiert den Begriff des „ Verantwortlichen“ als die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

122

Die Norm weist damit den Verantwortlichen als denjenigen, der über Zweck und Mittel der Datenverarbeitung entscheidet und damit als Adressatder Pflichten aus, die sich aus der DS-GVO ergeben. Art. 4 Nr. 7bestimmt somit, an wen sich die Vorgaben der DS-GVO bei der Verarbeitung personenbezogener Daten richten und nimmt damit eine Zuweisung der Verantwortungvor.[289]