David Klein - DS-GVO/BDSG

266

Da es ausweislich des Wortlauts des Art. 4 Nr. 15sowie des ErwG 35 nicht darauf ankommt, wer die Gesundheitsdaten generiert, ist in der Praxis insbesondere die Nutzung von Lifestyle- und Gesundheits-Appsrelevant, bei denen die Benutzer oftmals selbst die Daten generieren und erheben.[611] So werden von Nutzern smarter Endgeräte oftmals im Fitnessbereich Pulsmessungen durchgeführt oder Laufwege der Joggingstrecke aufgezeichnet und ausgewertet. Zur Gewährleistung der Rechtmäßigkeit der Verarbeitung solcher Gesundheitsdaten sind dabei insbesondere die Anforderungen an eine wirksame Einwilligung[612] der Nutzer zu beachten. Darüber hinaus ist sonstigen Datenschutzprinzipien wie dem Zweckbindungsgrundsatz[613] und dem Gebot der Datensparsamkeit[614] Rechnung zu tragen. Gerade Auswertungen von Gesundheitsdaten im Rahmen von Big Data-Anwendungen[615] werden Verantwortliche hinsichtlich einer genauen Zweckbestimmungen vor dem Hintergrund der erhöhten Anforderungen an eine Verarbeitung aus Art. 9vor Herausforderungen stellen.

267

Der Begriff der Hauptniederlassungwird in Art. 4 Nr. 16definiert.

268

Der mit dem Begriff der Hauptniederlassung eng verknüpfte Begriff der Niederlassunghat keine ausdrückliche Definition in der DS-GVO erfahren.[616] Gleichwohl wird dieser Begriff in Art. 4 Nr. 16zugrunde gelegt, so dass zunächst Inhalt und Reichweite des Niederlassungsbegriffs zu klären sind, bevor auf den Begriff der Hauptniederlassung Bezug genommen wird.

269

Insofern legen ErwG 22 S. 2 und 3fest, dass es sich dabei um eine feste Einrichtung handelt, wo die effektive und tatsächliche Ausübung der Tätigkeit stattfindet: Dabei ist unerheblich, welche Rechtsform diese Einrichtung aufweist oder ob es sich um eine Tochtergesellschaft mit eigener Rechtspersönlichkeit oder eine Zweigstelle ohne eigene Rechtspersönlichkeit handelt. Die DS-GVO übernimmt mit ErwG 22 somit die bereits im Rahmen der DSRL maßgebliche Definition des Art. 4 Abs. 1 lit. a DSRL.

270

Der Begriff der Niederlassung folgt damit einer flexiblen kontextbezogenen Betrachtungsweiseund erfolgt nicht formalistisch.[617] Insofern befindet sich die Niederlassung eines Unternehmens[618] nicht dort, wo es eingetragen ist. Um festzustellen, ob ein Unternehmen, das für eine Datenverarbeitung verantwortlich ist, über eine Niederlassung verfügt, ist vielmehr der Grad an Beständigkeit der Einrichtung sowie die effektive Ausübung der wirtschaftlichen Tätigkeiten unter Beachtung des besonderen Charakters der Tätigkeit und der in Rede stehenden Dienstleistungen auszulegen.[619] Insofern ist auch eine Datenverarbeitung, die durch eine Niederlassung im Rahmen von Werbemaßnahmen gefördert wird, in diese Abwägung miteinzubeziehen.[620] Eine Niederlassung kann dabei auch unter Umständen in einer effektiven und tatsächlichen Tätigkeit, die nur geringer Natur ist, gesehen werden. Dies gilt etwa dann, wenn die Zweitniederlassung nur in Person eines Vertreters besteht.[621] Diese flexible Betrachtungsweise ist somit einer Prüfung des Begriffs der Hauptniederlassung voranzustellen. Hat der Verantwortliche oder der Auftragsverarbeiter indes nur eine Niederlassung in der Union, stellt sich die Frage nach einer bestehenden Hauptniederlassung nicht.[622]

271

Art. 4 Nr. 16enthält zwei Tatbestandsalternativen: Die Hauptniederlassung eines Verantwortlichen[623] findet sich in Art. 4 Nr. 16 lit. a. Die Hauptniederlassung eines Auftragsverarbeiters[624] ist in Art. 4 Nr. 16 lit. bgeregelt.

272

Insofern ergibt sich bereits aufgrund der Begrifflichkeiten ein unmittelbarer Bezug zu Art. 4 Nr. 7 und Art. 4 Nr. 8 .

273

Art. 4 Nr. 16und der Begriff der Hauptniederlassung haben insbesondere Bedeutung für die Bestimmung der federführenden Aufsichtsbehördeaus Art. 56 .[625] Beschlüsse der federführenden Aufsichtsbehörde etwa werden an die Hauptniederlassung übermittelt, vgl. Art. 60 Abs. 7 und 9[626]. Die Bestimmung der Hauptniederlassung dient somit der Kontrolle durch die Aufsichtsbehörde. Die Haftungsbestimmungen der DS-GVO bleiben hierdurch unberührt.[627]

274

Zudem ist der Bezug zu Art. 3 [628] von Bedeutung. Denn die DS-GVO findet nur Anwendung, soweit die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit einer in der Union befindlichen Niederlassung stattfindet. Insofern ist der Begriff der Niederlassung für den räumlichen Anwendungsbereich der DS-GVO entscheidend.

275

Die maßgebliche Regelung zur Hauptniederlassung des Verantwortlichen findet sich in Art. 4 Nr. 16 lit. a Hs. 1. Danach liegt im Falle eines Verantwortlichen mit Niederlassungen in mehr als einem Mitgliedstaat die Hauptniederlassung am Ort der Hauptverwaltungin der Union. Dies gilt allerdings nach Art. 4 Nr. 16 lit. a Hs. 2nicht, wenn die Entscheidungen hinsichtlich der Zwecke und Mittelder Verarbeitung personenbezogener Daten in einer anderen Niederlassung des Verantwortlichen getroffen werden.

276

In diesem Falle ist also abweichend von Art. 4 Nr. 16 lit. a Hs. 1die Niederlassung, die diese Entscheidungen trifft, als Hauptniederlassung zu qualifizieren.[629] Dies stellt insbesondere ErwG 36 S. 1klar: Bei Verantwortlichen ist als Hauptniederlassung diejenige Niederlassung anzusehen, an der tatsächlich die Entscheidungen über Zweck und Mittel der Verarbeitung getroffen werden, sofern diese Entscheidungen für den Verantwortlichen insgesamt wirksam sind und auch durchgesetzt werden können.[630] Zur Bestimmung der Hauptniederlassung eines Verantwortlichen müssen also objektive Kriterienherangezogen werden, wobei ein Kriterium die effektive und tatsächliche Ausübung von Managementtätigkeitdurch eine feste Einrichtung ist, in deren Rahmen die Grundsatzentscheidungenzur Festlegung der Zwecke und Mittel der Verarbeitung getroffen werden ( ErwG 36 S. 2). Dabei sollte indes nicht entscheidend sein, ob die Verarbeitung der personenbezogenen Daten auch tatsächlich an diesem Ort durchgeführt wird. Denn das Vorhandensein und die Verwendung technischer Mittel und Verfahren zur Verarbeitung personenbezogener Daten oder Verarbeitungstätigkeiten begründen an sich noch keine Hauptniederlassung und sind daher kein ausschlaggebender Faktor ( ErwG 36 S. 3 und 4). Insofern ergibt sich aus den ErwG selbst eine klare Leitlinie für die Prüfung hinsichtlich des Vorhandenseins einer Hauptniederlassung. Insgesamt ist daher der tatsächliche Geschäfts- und Tätigkeitsschwerpunkthinsichtlich der Datenverarbeitung i.S. e. flexiblen Betrachtungsweise im o.g. Sinne maßgeblich.[631]

277

Die DS-GVO befasst sich nicht spezifisch mit der Frage, welche Niederlassung als Hauptniederlassung i.S.d. Art. 4 Nr. 16gilt, falls zwei oder mehr in der EU Niedergelassene gemeinsamfür die Datenverarbeitung verantwortlichsind. In einem solchen Fall ist nach dem Ansatz des Art. 4 Nr. 16diejenige Niederlassung zu ermitteln, die befugt istdie Entscheidungen über Zwecke und Mittelder Datenverarbeitung für allegemeinsam Verantwortlichen umzusetzen. Um die Vorteile des Verfahrens der Zusammenarbeit in vollem Umfang nutzen zu können und Transparenz zu gewährleisten, sollten gemeinsam Verantwortliche daher festlegen, welche entscheidungsbefugte Niederlassung eines gemeinsam Verantwortlichen diese Befugnis haben soll.[632] Diese gilt dann als die für die Datenverarbeitung im Namen der gemeinsam Verantwortlichen zuständige Hauptniederlassung.