David Klein - DS-GVO/BDSG

181

Der Begriff der Funktionsübertragung ist der DS-GVO fremd. Um sachgerechte Abgrenzungen vorzunehmen wird aber am Konstrukt der Funktionsübertragung festzuhalten sein. Es ist auch weiterhin davon auszugehen, dass Rechtsanwälte, Steuerberater und andere freie Berufsträger und Dienstleister, die eine eigenverantwortliche und weisungsfreie Aufgabe übernehmen, selbst Verantwortliche und eben keine Auftragsverarbeiter sind. Sie bedürfen damit einer eigenen Legitimation zur Datenverarbeitung und haben die weiteren Pflichten eines Verantwortlichen zu erfüllen.[447]

182

Inhalt der Beauftragung muss eine Verarbeitung personenbezogener Daten sein. Der Begriff des Verarbeitens ist auch im Anwendungsbereich des Art. 4 Nr. 8weit zu verstehen, so dass jeder Verarbeitungsschritt erfasst wird. Ausreichend ist bereits die Auslagerung der Datenerhebung auf den Auftragsverarbeiter, z.B. im Rahmen von Call-Centern.[448]

183

Ein Internet-Dienstanbieter, der Hosting-Dienste bereitstellt, ist grundsätzlich ein Auftragsverarbeiter hinsichtlich der personenbezogenen Daten, die von seinen Kunden – die diesen Anbieter für das Hosting und die Wartung ihrer Websites einsetzen – online veröffentlicht werden. Wenn der Internet-Dienstanbieter die auf den Websites erhaltenen Daten für seine eigenen Zwecke weiterverarbeitet, ist er jedoch der für die Verarbeitung Verantwortliche hinsichtlich dieser spezifischen Verarbeitung. Dieser Sachverhalt unterscheidet sich von einem Internet-Diensteanbieter, der E-Mail- oder Internet-Zugangsdienste bereitstellt.[449]

184

Die Einstufung von Rechnungsprüfern und Steuerberaternkann je nach Kontext unterschiedlich sein. Wenn Rechnungsprüfer und Steuerberater für die breite Öffentlichkeit und Kleinbetriebe Dienstleistungen auf der Grundlage sehr allgemeiner Weisungen erbringen („Erstellen Sie meine Steuererklärung“), dann handeln sie – wie Rechtsanwälte und Notare unter ähnlichen Umständen und aus ähnlichen Gründen – als für die Verarbeitung Verantwortliche. Wenn ein Rechnungsprüfer jedoch für ein Unternehmen tätig wird, z.B. um eine umfassende Buchprüfung vorzunehmen, und dabei ausführliche Weisungen des fest angestellten Buchprüfers des Unternehmens unterliegt, dann ist er aufgrund der klaren Weisungen und des mithin eingeschränkten Handlungsspielraums generell als Auftragsverarbeiter einzustufen, sofern er nicht ein Angestellter des Unternehmens ist. Diese Einstufung unterliegt jedoch einem großen Vorbehalt: Stellt ein Rechnungsprüfer ein meldepflichtiges Fehlverhalten fest, handelt er aufgrund seiner beruflichen Verpflichtung als für die Verarbeitung Verantwortlicher.[450]

185

Weitere klassische Anwendungsbereiche der Auftragsverarbeitung sind etwa die Auslagerung der Lohn- und Gehaltsabrechnung, Archivierungsvorgänge und Konvertierungen von Dokumenten, Verarbeitung von Kundendaten durch Callcenter ohne wesentliche eigene Entscheidungsspielräume oder die Datenträgerentsorgung. Auch Software als Service Angebote sind als Auftragsdatenverarbeitung zu qualifizieren, sofern der SaaS-Anbieter die Daten nicht auch für eigene Auswertungen zu Zwecken der Qualitätssicherung oder Produktoptimierung verwendet.[451]

186

Nach Art. 4 Nr. 9ist Empfänger eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Eine Ausnahme gilt nach Art. 4 Nr. 9 S. 2für Behörden. Behörden, die im Rahmen eines Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gem. den Zwecken der Verarbeitung.

187

Der Begriff des „Empfängers“ ist der Oberbegriff für alle Stellen, die personenbezogene Daten durch den Verantwortlichen erhalten. In der DS-GVO findet der Begriff insbesondere bei den Rechten des Betroffenen auf Information, Auskunft, Berichtigung und Löschung gem. den Art. 13, 14, 15und 19Anwendung.[452] Auch für das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30ist der Begriff des Empfängers von Bedeutung.[453]

188

Adressat der Norm ist zunächst der Verantwortliche. Wenn er personenbezogene Daten einem Empfänger offengelegt hat, treffen ihn Informations- und Auskunftspflichten gegenüber dem Betroffenen, Mitteilungspflichten gegenüber dem Empfänger und Dokumentationspflichten.[454] Zusätzlich ist die Norm auch für den Empfänger der personenbezogenen Daten von Bedeutung. Dieser muss prüfen, ob und welche Pflichten ihn nach der DS-GVO treffen, sofern er als Empfänger einzustufen ist.

189

Voraussetzung für die Einstufung als Empfänger nach Art. 4 Nr. 9 sind eine empfangende Stelle und die Offenlegung personenbezogener Daten dieser Stelle gegenüber.

190

Empfänger kann jede natürliche oder juristische Person, jede Behörde, jede Einrichtung und jede andere Stelle sein. Diesen Personen oder Stellen müssen personenbezogene Daten offengelegt werden. Im Kern geht es darum, dass einem Empfänger personenbezogene Daten zugänglich gemacht werden, d.h. entweder zur Kenntnis gebracht werden oder die Möglichkeit einer Kenntnisnahme eingeräumt wird.[455]

191

Auch ein Dritter kann Empfänger sein.[456] Damit sind insbesondere Personen und Stellen als Empfänger einzuordnen, die außerhalb der Organisationseinheit des Verantwortlichen stehen[457] Im Schrifttum umstritten ist die Frage, wie interne Funktions- und Organisationseinheitendes Verantwortlichen einzuordnen sind. Es wird vertreten, dass interne Funktions- oder Organisationseinheiten des Verantwortlichen keine Empfänger i.S.d. Art. 4 Nr. 9seien. So sei z.B. die Personalverwaltung nicht Empfänger von Beschäftigtendaten, wenn eine Organisationseinheit intern eine Mitteilung in Bezug auf einen Beschäftigten an die Personalverwaltung macht.[458] Vor allem wird angeführt, die Empfängereigenschaft setze eine gewisse Eigenständigkeit voraus.[459]

192

Diese Auffassung überzeugt nach der DS-GVO jedoch nicht. Sie ist geprägt durch die alte Rechtslage. Danach war ein Datenfluss innerhalb der verantwortlichen Stelle und die Datenübergabe an einen Auftragsdatenverarbeiter als ein „Nutzen“ nach § 3 Abs. 5 BDSG a.F. anzusehen. Den Begriff des „Nutzens“ kennt die DS-GVO jedoch nicht mehr. Eine Unterscheidung zwischen Verarbeiten und Nutzen besteht nicht. Wenn einer Person, auch innerhalb der Organisationseinheit des Verantwortlichen, Daten offengelegt werden, dass ist diese Person Empfänger nach Art. 4 Nr. 9.[460]

193

Die Empfängereigenschaft nach Art. 4 Nr. 9setzt voraus, dass dem Empfänger personenbezogene Daten durch den Verantwortlichen offengelegt werden. Nach der Definition des Art. 4 Nr. 2ist die Offenlegung, die Übermittlung, Verbreitung oder eine andere Form der Bereitstellung. Umstritten ist die Frage, ob die Offenlegung auch die Veröffentlichung durch den Verantwortlichen umfasst. Wäre dies der Fall, wäre auch der als Empfänger nach Art. 4 Nr. 9anzusehen, der von personenbezogenen Daten Kenntnis erlangt, die durch den Verantwortlichen veröffentlicht wurde.

194

Es wird vertreten, dass auch dann eine Offenlegung vorliegt, wenn „Daten auf einer Website oder in einem Internet-Forum anderen zur Kenntnis gegeben werden“[461] oder wenn „die Weitergabe an eine unbestimmte Vielzahl von Empfängern“[462] erfolgt. Die Offenlegung nach Art. 4 Nr. 2erfasst danach auch die Veröffentlichung durch den Verantwortlichen an eine unbestimmte und unbestimmbare Anzahl an Empfängern.