David Klein - DS-GVO/BDSG

195

Nach einer anderen Ansicht setzt die Offenlegung voraus, dass der Verantwortliche einer bestimmten oder zumindest bestimmbaren Person oder einem Kreis bestimmter oder bestimmbarer Personen die personenbezogenen Daten zielgerichtet übermittelt. Demnach sei eine Veröffentlichung keine Offenlegung im Sinne der DS-GVO, da sich die Veröffentlichung an einen unbestimmten Personenkreis richtet.[463] Würden „Offenlegung“ und „Verbreitung“ im Sinne von Art. 4 Nr. 2die Veröffentlichung personenbezogener Daten meinen, müssten die Begriffe in der DS-GVO auch benutzt werden. Stattdessen werden für die Veröffentlichung personenbezogener Daten so konsequent andere Begriffe als „Offenlegung“ und „Verbreitung“ verwendet, dass der Begriff der „Offenlegung“ Veröffentlichungen nicht umfassen dürfte.[464] Vor allem die systematische Auslegung anhand der Verwendung der Begrifflichkeiten in der DS-GVO lässt die letztgenannte Auffassung vorzugswürdig erscheinen.

196

Art. 4 Nr. 9 S. 2enthält eine Ausnahme von der Einordnung als Empfänger. Danach sollen Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach Unionsrecht oder dem Recht der Mitgliedstaaten personenbezogene Daten erhalten, nicht als Empfänger gelten. Der Begriff des Untersuchungsauftrags dürfte nach der deutschen Gesetzesterminologie am ehesten mit „Ersuchen“ übersetzt werden können.[465]

197

ErwG 31 nennt beispielhaft und nicht abschließend die Steuer- und Zollbehörden, Finanzermittlungsstellen, unabhängige Verwaltungsbehörden oder Finanzmarktbehörden, die für die Regulierung von Wertpapiermärkten zuständig sind. Mangels Empfängereigenschaft entfallen hier die Informations- und Mitteilungspflichten.[466] Art. 4 Nr. 9 S. 2stellt jedoch klar, dass die Verarbeitung durch die ausgenommenen Behörden im Einklang mit den geltenden Datenschutzvorschriften erfolgen muss.

198

Grund für die Privilegierung dieses Sachverhalts ist, dass die Verarbeitung durch die genannten Behörden ja ohnehin im Einklang mit den Datenschutzvorschriften der DS-GVO und des bereichsspezifischen Rechts zu erfolgen hat.[467]

199

Nach Art. 4 Nr. 10ist Dritter eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten. Der Begriff des Dritten dient der Abgrenzung verschiedener Akteure innerhalb des Regelungsbereiches der DS-GVO. Wenn man aufgrund der Anwendung der Definition und der danach notwendigen Abwägungen zum Schluss kommt, dass ein Dritter – rechtmäßig oder rechtswidrig – personenbezogene Daten empfängt, ist er als ein neuer Verantwortlicher anzusehen und unterliegt damit allein oder gemeinsam mit anderen Verantwortlichen sämtlichen diesen nach der DS-GVO obliegenden Pflichten.[468] Die Definition entspricht Art. 2 lit. f DSRL.

200

Neben der Definition in Art. 4 Nr. 10nennt die DS-GVO den Begriff des Dritten bei der Definition des Empfängers und im Zusammenhang mit dem Erlaubnistatbestand des Art. 6 Abs. 1 lit. f.[469] Da der Begriff des Dritten in Art. 6 Abs. 1 lit. fund bei den damit zusammenhängende Informationspflichten genannt wird, ist die Definition für den Verantwortlichen relevant, der sich für seine Datenverarbeitung auf die berechtigten Interessen eines Dritten stützen will, und für den Betroffenen, dessen Interessen gegen die berechtigten Interessen des Dritten abgewogen werden müssen. Weitere Erwähnung findet der Begriff des Dritten in den ErwG 47, 54 und 69.

201

Dritter kann eine natürliche oder juristische Person, eine Behörde, eine Einrichtung oder eine andere Stelle sein. Wie sich aus der Regelung des Art. 6 Abs. 1 lit. fentnehmen lässt, muss es sich bei dem Dritten um eine Person oder Stelle handeln, dessen Interesse vom berechtigten Interesse des Verantwortlichen abweicht. Werden dem Dritten personenbezogene Daten offengelegt, wird er zum Empfänger und damit zum Verantwortlichen.[470]

202

Art. 4 Nr. 10grenzt den Dritten negativ ab. Danach ist der Dritte kein Betroffener, kein Verantwortlicher, kein Auftragsverarbeiter und keine Person, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt ist, personenbezogene Daten zu verarbeiten. Zum Auftragsverarbeiter gehören auch dessen Unterauftragnehmer.[471]

203

Maßgebliches Kriterium ist, dass der Dritte „außerhalb der verantwortlichen Stelle“ steht. Dritter ist damit in Abgrenzung zu einer Behörde jede andere Behörde, auch wenn diese zum gleichen Rechtsträger gehört. Damit ist auch jede andere öffentliche Stelle Dritter. Innerhalb einer Behörde (z.B. Gemeindeverwaltung) können jedoch, wenn funktional mehrere Aufgaben wahrgenommen werden, die „Ämter“ dieser Behörde „Dritte“ zueinander sein.[472] Dritte sind Personen oder Stellen, die mit dem Verantwortlichen nicht identisch sind.[473] In dem Moment, in dem eine Person oder Stelle verantwortlich wird, ist sie nicht mehr Dritter.[474] Beschäftigte des Verantwortlichen, die nicht befugt sind, personenbezogene Daten zu bearbeiten sind damit als Dritte einzustufen.[475] Gibt also ein Mitarbeiter rechtswidrig personenbezogene Daten an einen Kollegen weiter, so ist darin eine rechtswidrige Übermittlung eines Dritten zu sehen.[476]

204

Ein Beschäftigter erhält im Rahmen der Durchführung seiner Aufgaben Kenntnis von personenbezogenen Daten, für die er kein Zugangsrecht besitzt. In diesem Fall sollte dieser Mitarbeiter in Bezug auf seinen Arbeitgeber als Dritter angesehen werden, mit allen sich daraus ergebenden Folgen einschließlich der Haftung hinsichtlich der Rechtmäßigkeit der Weitergabe und Verarbeitung der Daten.[477]

205

Art. 4 Nr. 11definiert die Einwilligung der betroffenen Person als jede freiwillige für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Der Einwilligung kommt unter der DS-GVO eine zentrale Rolle als Erlaubnistatbestand für eine rechtmäßige Datenverarbeitung zu.[478]

206

Der Begriff findet sich auch außerhalb des Datenschutzrechts, insbesondere im Zivil- und Strafrecht. Zu beachten sind insbesondere die unterschiedlichen lauterkeits- und datenschutzrechtlichen Anforderungen an die Einwilligung.[479] Das Datenschutzrecht ist geprägt von hohen Transparenz- und Bestimmtheitserfordernissen. Dies führt dazu, dass die Einwilligung im Datenschutzrecht einen eigenen Charakter bekommt und sie gesonderten Voraussetzungen unterliegt. Die datenschutzrechtlichen Anforderungen an eine Einwilligung sind unter der DS-GVO maßgeblich.[480]

207

Unionsrechtlich wurde die datenschutzrechtliche Einwilligung bislang durch Art. 2 lit. h DSRL geregelt. Die Definition in Art. 4 Nr. 11ist die Nachfolgeregelung dieser Norm. Sie wird nunmehr aber durch weitere Wirksamkeitsvoraussetzungen begleitet, die sich vor allem in Art. 7[481] und Art. 8[482] wiederfinden.

208

Im deutschen Recht war die Einwilligung bisher in § 4a BDSG a.F. geregelt. Für eine nationale Regelung bleibt unter der DS-GVO kein Raum mehr. Die Einwilligung hat nunmehr den Vorgaben der DS-GVO zu genügen. Lediglich in Bezug auf die Einwilligung im Beschäftigtenkontextlässt die DS-GVO über Art. 88dem nationalen Gesetzgeber Regelungskompetenz. Hiervon wurde mit § 26 Abs. 2 BDSG n.F. Gebrauch gemacht.[483]