David Klein - DS-GVO/BDSG

123

Die Vorgängerregelung von Art. 4 Nr. 7stellt auf europäischer Ebene Art. 2 lit. d DSRLdar. Während Art. 2 lit. d DSRL den Begriff des „für die Verarbeitung Verantwortlichen“ verwendete, spricht die DS-GVO nunmehr schlicht von „Verantwortlicher“. Inhaltlich ergeben sich aus der geänderten Begrifflichkeit keine Änderungen.[290]

124

Auf nationaler Ebene sprach § 3 Abs. 7 BDSG a.F.– wohl entgegen den Vorgaben der DSRL – von der „verantwortlichen Stelle“. Dabei war insbesondere entscheidend, dass die verantwortliche Stelle die personenbezogenen Daten „für sich“, also für die verantwortliche Stelle selbst, verarbeitet.[291] Damit wurde die Möglichkeit mehrerer gemeinsamer Verantwortlicher nicht erfasst und die Entscheidung über Zwecke und Mittel der Verarbeitung nicht übernommen.[292] Unabhängig von der Frage nach einer daraus folgenden Notwendigkeit einer entsprechenden richtlinienkonformen Auslegung des BDSG a.F.[293], hat dieser Begriff keine Entsprechung in der DS-GVO gefunden und kann mangels Öffnungsklausel nicht beibehalten werden.[294] Ebenfalls nicht zulässig ist das Bestimmen einer Verantwortlichkeit mittels eines nationalen Gesetzes.

125

Art. 4 Nr. 7ist im Rahmen des Gesetzgebungsverfahrens weitgehend unverändert geblieben. So wurde lediglich im Laufe des Trilog-Verfahrens der anfänglich in den Entwurfsfassungen vorgeschlagene Begriff des „für die Verarbeitung Verantwortlichen“ durch den schlankeren Begriff des „Verantwortlichen“ ersetzt.[295]

126

Der „Verantwortliche“ stellt einen der zentralen Begriffe der DS-GVO dar. Besondere Bedeutung hat die Begrifflichkeit insbesondere im Rahmen der Art. 5 Abs. 2, 24[296] ,[297], 26[298] und 28[299]DS-GVO. Art. 5 Abs. 2betrifft die Rechenschaftspflicht des Verantwortlichen. Art. 24beschreibt die grundsätzliche Verantwortung des Verantwortlichen und der Auftragsverarbeiter. Art. 26nimmt auf die Begrifflichkeit der gemeinsam Verantwortlichen Bezug, während Art. 28die Abgrenzung zum Auftragsverarbeiter und dessen Aufgabenkreis betrifft.

127

Daneben ist vor allem die Verzahnung und Abgrenzung zu den Begriffen des Auftragsverarbeiters, Empfängers und des Dritten aus Art. 4 Nr. 8 , 9 und 10 zu beachten.

128

Ausweislich der Art.-29-Datenschutzgruppe dient der Begriff des Verantwortlichen dazu „zu bestimmen, wer für die Einhaltung der Datenschutzbestimmungen verantwortlich ist und wie die betroffenen Personen ihre Rechte in der Praxis ausüben können“[300]. Unter Berücksichtigung des Wortlauts der DS-GVO wird so klargestellt, dass „Verantwortlicher“ nur derjenige ist, der über die Zwecke und Mittel der Verarbeitung personenbezogener Daten alleine oder gemeinsam mit anderen entscheidet.

129

Dabei folgt Art. 4 Nr. 7einem zweigliedrigen Ansatz: Die Norm dient zum einen dem Zweck, die Verantwortungfür die Einhaltung der Vorschriften zum Datenschutz und den Vorgaben der DS-GVO dem Verantwortlichen zuzuweisen. Der Verantwortliche wird damit in einem ersten Schritt zum Adressaten der Pflichten der DS-GVO und so zur Einhaltung der datenschutzrechtlichen Grundsätze verpflichtet. Sollte der Verantwortliche diese Vorgaben nicht einhalten, finden auf ihn in einem zweiten Schritt die Vorschriften über Haftung und Recht auf Schadensersatz[301] der betroffenen Person sowie die Vorschriften über Geldbußen[302] Anwendung.[303] Insofern ist Art. 4 Nr. 7sowohl im Rahmen der Ansprüche der Betroffenen als auch für die Maßnahmen der Aufsichtsbehörde bedeutsam.[304]

130

Nach der Rechtsprechung des EuGH ist der Begriff des Verantwortlichen zum Zwecke des wirksamen und umfassenden Schutzes der betroffenen Person weitzu verstehen.[305] Die Feststellung des Verantwortlichen erfolgt nach der Art.-29-Datenschutzgruppe[306] anhand von drei Hauptkomponenten, die der Darstellung im Folgenden zugrunde gelegt werden:

131

Ausweislich des Wortlauts des Art. 4 Nr. 7können natürliche oder juristische Personen, Behörden oder eine Einrichtung oder andere Stelle Verantwortlicher sein. Der Begriff des „Verantwortlichen“ ist daher ein Oberbegriff für verschiedene in Betracht kommende Normadressaten.

132

Somit können zunächst natürliche PersonenAdressat und damit Verantwortlicher sein. Dies ist vor dem Hintergrund der Regelung des Art. 2 Abs. 2 lit. csowie ErwG 18 S. 1 keineswegs selbstverständlich: Danach findet die DS-GVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. Daraus folgt, dass natürliche Personen jedenfalls dann als Verantwortliche dem Anwendungsbereich der DS-GVO unterfallen, wenn sie im Rahmen einer beruflichen oder wirtschaftlichen Tätigkeit personenbezogene Daten verarbeiten.[307]

133

Für die Praxis ist in diesem Zusammenhang insbesondere bedeutsam, dass letztlich stets Einzelpersonen als natürliche Personen Daten verarbeiten, so dass sich die Frage stellt, wie die Verantwortlichkeiten zwischen einer natürlichen und einer juristischen Person i.S.d. Art. 4 Nr. 7voneinander abzugrenzen sind. Grundsätzlich ist hierbei von der im WP 169 aufgestellten Leitlinie der Art.-29-Datenschutzgruppe[308] auszugehen. Letztlich lassen sich in diesem Zusammenhang folgende Kernaussagen für die Praxis festhalten:

134