David Klein - DS-GVO/BDSG

278

Gleichwohl kann es, unabhängig von der Anzahl der Verantwortlichen, vorkommen, dass unterschiedliche Niederlassungen jeweils autonome Entscheidungen hinsichtlich verschiedener grenzüberschreitender Verarbeitungstätigkeiten treffen, somit verschiedene Entscheidungszentrenexistieren. In einem solchen Fall gibt es nach dem Ansatz des Art. 4 Nr. 16 mehrere Hauptniederlassungen, was dazu führt, dass mehrere Aufsichtsbehörden federführend für jeweils unterschiedliche Tätigkeiten sind.[633]

279

In praktischer Hinsicht folgt aus den Erwägungen zur Bestimmung der Hauptniederlassung, dass etwa eine „ Briefkastenfirma“ zwar Niederlassung, allerdings nicht Hauptniederlassung sein kann.[634] Darüber hinaus kommt es auch nicht auf den Serverstandort an. Dies ist insbesondere vor dem Hintergrund relevant, dass international agierende Unternehmen und „Internet-Giganten“sich nicht durch die Wahl eines „geeigneten“ Serverstandortes der Geltung der Anforderungen der DS-GVO entziehen können sollen. Gleichwohl bleibt es in der Praxis den Unternehmen überlassen, welcher Niederlassung sie die Grundsatzentscheidungen überlassen. Insofern werden Serverstandorte zwar ausgeklammert, gleichwohl eröffnet sich ein Missbrauchsrisikodahingehend, dass Unternehmen ihren tatsächlichen Tätigkeitsschwerpunkt selbst wählen und damit die Geltung von Art. 4 Nr. 16 lit. aletztlich doch beeinflussen können.[635] Gleichwohl lässt sich die fehlende Entscheidungskompetenz der zuständigen Aufsichtsbehördedurch eine Änderung der Hauptniederlassung nicht mehr begründen. Vielmehr bleibt die anfängliche Zuständigkeit der Aufsichtsbehörde in diesem Fall erhalten.[636]

280

Nach Art. 4 Nr. 16 lit. bist die Hauptniederlassung des Auftragsverarbeiters bei mehreren Niederlassungen ebenfalls der Ort der Hauptverwaltung. Insofern ist aber zu beachten, dass die Bestimmung der Hauptniederlassung des Auftragsverarbeiters nicht nach den Kriterien gem. Art. 4 Nr. 16 lit. aerfolgen kann, weil der Auftragsverarbeiter in diesem Sinne grundsätzlich keine Grundsatzentscheidungen trifft. Andernfalls wäre er Verantwortlicher.[637] Folglich ist der Schwerpunkt der wesentlichen Verarbeitungstätigkeitenentscheidend. Insofern ist daher auch eine flexible und kontextbezogene Betrachtungsweise ausschlaggebend, so dass sich der Prüfungskatalog des Art. 4 Nr. 16 lit. aim Wesentlichen im Rahmen der Feststellung der Hauptniederlassung des Auftragsverarbeiters wiederholt. Dies ergibt sich bereits aus ErwG 36 S. 5.

281

Hat der Auftragsverarbeiter keine Hauptverwaltung in der EU, so gilt nach Art. 4 Nr. 16 lit. b Hs. 2als Hauptniederlassung die Niederlassung des Auftragsverarbeiters in der Union, in der die Verarbeitungstätigkeit im Rahmen der Tätigkeiten einer Niederlassung eines Auftraggebers hauptsächlich stattfinden. Dies gilt aber nur, soweit der Auftragsverarbeiter den spezifischen Pflichten der DS-GVO unterliegt. Letztlich ist damit gemeint, dass in diesem Falle bei der Bestimmung der Hauptniederlassung nur die Verarbeitungen zu berücksichtigen sind, die der Auftragsverarbeiter gerade in dieser Eigenschaft vornimmt. Hat also ein Unternehmen keine Hauptniederlassung in der Union, nimmt aber Verarbeitungstätigkeiten für einen Auftraggeber wahr, so wird diese Niederlassung als Hauptniederlassung angesehen.[638]

282

Darüber hinaus enthält ErwG 36 S. 6eine Regelung für den Fall, dass sowohl der Verantwortliche als auch der Auftragsverarbeiter von aufsichtsbehördlichen Beschlussmaßnahmen betroffen sind. In diesem Fall soll die Aufsichtsbehörde des Landes, in dem der Verantwortliche seine Hauptniederlassung hat, als zuständige federführende Aufsichtsbehörde gelten und sich die Aufsichtsbehörde des Auftragsverarbeiters am Verfahren als betroffene Aufsichtsbehörde beteiligen. Sofern sich der Beschluss der Aufsichtsbehörde aber nur auf den Verantwortlichen bezieht, sollen die Aufsichtsbehörden des Auftragsverarbeiters nicht als betroffene Aufsichtsbehörden angesehen werden. Dieser Regelungsgehalt ist insbesondere für Art. 60 und das Zusammenarbeitsverfahren bedeutsam.[639]

283

Im Falle einer Unternehmensgruppe[640] soll die Hauptniederlassung des herrschenden Unternehmens als Hauptniederlassung der Unternehmensgruppe gelten, es sei denn, die Zwecke und Mittel der Verarbeitung werden von einem anderen Unternehmen festgelegt (vgl. ErwG 36 S. 8).[641]

284

Nach Art. 4 Nr. 17ist ein Vertreter eine in der Union niedergelassene natürliche oder juristische Person, die von dem Verantwortlichen oder Auftragsverarbeiter schriftlich gem. Art. 27bestellt wurde und den Verantwortlichen oder Auftragsverarbeiter in Bezug auf die ihnen jeweils nach dieser Verordnung obliegenden Pflichten vertritt.[642]

285

Art. 4 Nr. 17hat keine unmittelbare Vorgängerregelung in der DSRL, wobei der Vertreter allerdings in Art. 2 Abs. 2 DSRLerwähnt wird. Dieser normierte die Verpflichtung zur Benennung eines Vertreters durch nicht in der Union niedergelassene Verantwortliche, die dem Datenschutzrecht der EU unterliegen.[643]

286

Der Begriff des Vertreters wird im Gefüge der DS-GVO insbesondere im Rahmen von Art. 3 Abs. 2 [644] sowie Art. 27 [645] relevant: Art. 27bestimmt nämlich, dass ausländische Stellen nach Art. 3 Abs. 2einen Vertreter im Inland als Ansprechpartner benennen müssen.[646] Darüber hinaus wird der Begriff des Vertreters in Art. 30 [647] – wonach der Vertreter zum Führen des Verarbeitungsverzeichnisses verpflichtet ist – in Art. 31 [648], hinsichtlich einer Verpflichtung des Vertreters zur Zusammenarbeit mit der Aufsichtsbehörde, sowie in Art. 58 Abs. 1 lit. a[649] mit Blick auf die Auskunftspflicht des Vertreters gegenüber den Aufsichtsbehörden verwendet.[650]

287

Nach Art. 27kann als Vertreter eine natürliche oder juristische Personbenannt werden, die in einem Mitgliedstaat der Union niedergelassen sein muss, in dem sich die von der Datenverarbeitung betroffenen Personen befinden.[651]

288

Der Begriff des Vertreters ist dabei von dem Vertreter des Betroffenen nach Art. 35 Abs. 9[652], der Aufsichtsbehörden eines Mitgliedstaates oder der Kommission nach Art. 68 Abs. 3 bis 5[653] sowie von den Begriffen des Verantwortlichen nach Art. 4 Nr. 7[654] und des Auftragsverarbeiters nach Art. 4 Nr. 8[655] zu unterscheiden.

289

Nach ErwG 80 S. 1soll jeder Verantwortliche oder Auftragsverarbeiter ohne Niederlassung in der Union einen Vertreter benennen müssen, es sei denn, dass die Datenverarbeitungen nur gelegentlich erfolgen. Nicht eingeschlossen ist die Verarbeitung sensibler Daten und die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten. Nach ErwG 80 S. 1 a.E. bringt diese Verarbeitung unter Berücksichtigung ihrer Art, ihrer Umstände, ihres Umfangs, ihrer Zwecke wahrscheinlich kein Risiko für die Rechte und Freiheit natürlicher Personen mit sich oder bei dem Verantwortlichen handelt es sich um eine Behörde oder öffentliche Stelle.

290

Ausweislich ErwG 80 S. 2soll der Vertreter im Namen des Verantwortlichen oder des Auftragsverarbeiters tätig werden und den Aufsichtsbehörden als Anlaufstelle dienen.