David Klein - DS-GVO/BDSG

165

Weil alle sozialen Netzwerke einem gemeinsamen Zweck zu einem gegenseitigen Nutzen im Sinne der Rechtsprechung dienen, dürfte sich die Rechtsprechung über Facebook hinaus, etwa auch auf Twitter, Xing, LinkedIn, Instagram, TikTok usw. erstrecken. Inwieweit sie auch auf Messengerdienste wie WhatsApp[413], Signal oder Threema erstrecken, hängt von der konkreten Ausgestaltung der Angebote ab.

166

Zu berücksichtigen ist dabei, dass es in Zeiten digitaler Kommunikation gerade auch für öffentliche Stellen eine Pflicht zur Teilhabe an digitaler Kommunikationsowie zur Nutzung digitaler Angebote zur Öffentlichkeitsarbeit und zur Krisenkommunikation geben kann. Diese Teilhabepflicht besteht schon aus Gründen der Aufgabenerfüllung im Netz („digitalisierte Daseinsvorsorge“). Schließlich korrespondiert der Anspruch des Bürgers auf digitale Angebote mit der Pflicht der öffentlichen Hand zur Bereitstellung und Nutzung dieser Angebote. Essentiell erforderlich ist hierbei die Differenzierung nach Ausrichtung und Funktion des Angebots.

167

Konkrete Rechtsfragen digitaler behördlicher Kommunikationstellen sich nicht nur mit Blick auf die Kommunikation im Rahmen der Aufgabenerfüllung. Von Bedeutung ist auch die Ermittlung der konkreten Nutzungsbefugnisse je nach DS-GVO-Erlaubnistatbestand und die Frage des Vorgehens bei der Nutzung nicht rechtskonformer Dienste zur Aufgabenerfüllung (Art. 1 Abs. 3 GG). Fragen werfen auch die rechtliche Bindungswirkung von behördlichen Positionierungen im Rahmen digitaler Kommunikation (Regelung, Bindungswirkung), die Abgrenzung von formellen und informelle Positionierungen in Posts und Tweets, die Abgrenzung der Kommunikation zu dienstlichen oder privaten Zwecken, die Nutzung privater Endgeräte zu dienstlichen Zwecken, die Wahrnehmung von Rechenschafts- und Dokumentationspflichten bei digitalen Äußerungen, die Differenzierung der Zulässigkeit von Äußerungen, abhängig der Funktionen im Rahmen der Staatsgewalten, auf. Jeweils genauer Prüfung bedarf auch die Eröffnung der Anwendungsbereiche (DS-GVO/BDSG/LDG) etwa bezogen auf die datenschutzrechtliche Stellung von Abgeordneten (parlamentarisch/fiskalisch) und den Einsatz sozialer Mediendienste zu Wahlwerbezwecken.

168

Die Frage der Verantwortlichkeit für eine Datenverarbeitung stellt sich zudem bei der Nutzung von Videokonferenzdienstenim Rahmen von Telearbeit.[414] Insbesondere im Zuge der Corona-Pandemie sind aufgrund der anhaltenden Infektionsgefahr viele Arbeitnehmer ins Home Office ausgewichen und Vorlesungen für Studierende an Hochschulen konnten nicht stattfinden, so dass sowohl Unternehmen als auch Hochschulen vermehrt die Dienstleistungen verschiedener Anbieter für die Einrichtung von Videokonferenzen, Online-Vorlesungen, Webinaren etc. in Anspruch nehmen. Es stellt sich in diesem Zusammenhang unter anderem[415] die Frage, wer als datenschutzrechtlich Verantwortlicher i.S.v. Art. 4 Nr. 7anzusehen ist. Grundsätzlich ist davon auszugehen, dass der Veranstalter der Videokonferenz als Verantwortlicher anzusehen ist.[416] Arbeitnehmer fallen dabei unter die datenschutzrechtliche Verantwortlichkeit des Arbeitgebers und sind für die Einrichtung einer Videokonferenz selbst nicht datenschutzrechtlich verantwortlich, sofern sie keine Daten zu eigenen Zwecken verarbeiten.[417] Dies ergibt sich bereits aus der Dienst- und Treuepflicht der Arbeitnehmer gegenüber dem Arbeitgeber. Eine abweichende Beurteilung kann sich allerdings dann ergeben, wenn der Arbeitgeber etwa die Nutzung eines bestimmten Dienstes anbietet, etwa weil er für Arbeitnehmer ein Nutzerkonto bei einem bestimmten Dienst einrichtet, der Arbeitnehmer sich aber für die Nutzung eines anderen Dienstes entscheidet. In diesem Falle ist fraglich, ob dies ausreicht, um eine eigene Verantwortlichkeit des Arbeitnehmers zu begründen. Erforderlich ist eine Prüfung der durch die Rechtsprechung des EuGH[418] konkretisierten tatbestandlichen Voraussetzungen von Art. 4 Nr. 7im Einzelfall. Eine gemeinsame Verantwortlichkeit verschiedener Veranstalter einer Videokonferenz hängt von den bestehenden Zugriffsrechten auf die Inhalte der Videokonferenz (Aufzeichnung, Transkripte etc.)[419] ab und bedarf ebenfalls einer eingehenden Prüfung im Einzelfall. Im Falle einer gemeinsamen Verantwortlichkeit bedarf es einer Vereinbarung nach Art. 26. Ob eine gemeinsame Verantwortlichkeit des Veranstalters einer Videokonferenz mit dem jeweiligen Diensteanbieter in Betracht kommt, hängt davon ab, ob der Anbieter lediglich eine datenverarbeitende Hilfsfunktion[420] wahrnimmt und somit Auftragsverarbeiter i.S.d. Art. 4 Nr. 8ist oder ob er darüber hinaus Daten für eigene Zwecke verarbeitet (z.B. Dauer der Videokonferenz, Anzahl der Teilnehmer, Standortdaten), vgl. zur Abgrenzung Rn. 155ff. Auch hier ist eine eingehende Prüfung im Einzelfall anhand der Voraussetzungen von Art. 4 Nr. 7und der Rechtsprechung des EuGH sowie der jeweiligen Datenschutzerklärung des Anbieters unabdingbar. Im Außenverhältnis zum Anbieter der Videokonferenz dürfte eindeutig von einer Auftragsverarbeitung nach Art. 28auszugehen sein, da der Anbieter als Auftragnehmer auf Weisung des Auftraggebers handelt und keinerlei eigene Zwecke mit der Durchführung der Konferenz verfolgt.[421]

169

Ebenfalls noch nicht geklärt ist die Frage, welche Folgen eine „ aufgedrängte Verantwortlichkeit“ hat. In diesen Situationen werden einem Dritten personenbezogene Daten z.B. offengelegt, ohne dass er hiervon Kenntnis hat oder dies will. Zu denken ist insbesondere an Fälle von Datenpannen, bei denen ein Verantwortlicher personenbezogene Daten, ob gewollt oder nicht, an die falsche Person übermittelt. Würde man den Dritten in diesen Situationen als Verantwortlichen einstufen, träfen ihn die kompletten Pflichten, die sich aus der DS-GVO für den Verantwortlichen ergeben. Resultierend aus der weiten Definition der Verarbeitung unter der DS-GVO verarbeitet der Dritte bereits bei Kenntnisnahme der personenbezogenen Daten die selbigen. Unabhängig davon, ob auch eine aufgedrängte Verarbeitung unter die Begriffsdefinition des Art. 4 Nr. 7zu fassen ist, erscheint es unbillig, würde man den Dritten in solchen Fallkonstellationen mit den Verpflichtungen eines Verantwortlichen belasten. Der Dritte hat keine Entscheidungsbefugnis über Zweck und Mittel der Verarbeitung. Er bekommt die Verarbeitung gegen seinen Willen aufgedrängt. Kontextbezogen betrachtet wird man in dieser Situation erkennen, dass der Dritte das Ob, Warum und Wie der Verarbeitung der personenbezogenen Daten nicht festlegt.[422] Untermauert wird dieses Ergebnis auch dadurch, dass im Fall der Datenpanne der Verantwortliche zur Meldung der Panne verpflichtet ist, nicht der Dritte, der die Daten empfängt.[423] Erst dann, wenn der Dritte die personenbezogenen Daten bewusst für eigene Zwecke verarbeitet, wird er zum Verantwortlichen nach der DS-GVO.

170

Wesentliche Pflichten des Verantwortlichen nach der DS-GVO *