David Klein - DS-GVO/BDSG

336

Hinsichtlich des Begriffs der Niederlassung ist auf die Ausführungen zu Art. 4 Nr. 16zu verweisen. Damit sind jedenfalls alle Formen der Verarbeitung von personenbezogenen Daten umfasst, an denen Niederlassungen des Verantwortlichen bzw. des Auftragsverarbeiters in mehreren Mitgliedstaaten beteiligt sind, vgl. ErwG 124 S. 1. Aus dem Anwendungsbereich fallen somit insbesondere Fälle heraus, in denen der Verantwortliche nur in einem Mitgliedstaat eine Niederlassung besitzt.[720]

337

Das Kriterium „im Rahmen der Tätigkeiten“ wird vom EuGH grundsätzlich weit ausgelegt.[721] Insofern ist entsprechend ErwG 22jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der Union erfasst. Das gilt unabhängig davon, ob die Verarbeitung innerhalb oder außerhalb der Union stattfindet. Folglich fällt lediglich eine Verarbeitung die bei Gelegenheit oder außerhalb der normalen Niederlassungstätigkeit erfolgt aus dem Anwendungsbereich heraus.[722]

338

Art. 4 Nr. 23 lit. bknüpft an die erheblichen Auswirkungenbei dem oder den Betroffenen an. Da Datenverarbeitungen, die lediglich im Rahmen der Tätigkeit einer einzelnen Niederlassung stattfinden[723] nicht als grenzüberschreitend anzusehen sind, gilt dies abweichend von diesem Grundsatz nach Art. 4 Nr. 23 lit. bdann nicht, wenn die Datenverarbeitung erhebliche Auswirkungen auf die betroffenen Personen haben kann.[724] Insofern ist die Möglichkeiterheblicher Auswirkungen ausweislich des Wortlauts der Verordnung bereits ausreichend.

339

Der Begriff der Auswirkungenist auch hier weit gefasst und schließt sowohl rechtliche als auch tatsächliche Auswirkungen mit ein, sofern diese nicht unerheblich sind. Auch hier ist anzumerken, dass der Begriff der Auswirkungen kaum Konturen aufweist, so dass auch nach ErwG 124 S. 4, der Datenschutzausschuss aufgefordert war, Leitlinien für Konturen festzulegen.[725]

340

Nach Art. 4 Nr. 24ist ein maßgeblicher und begründeter Einspruch ein Einspruch gegen einen Beschlussentwurf (der federführenden Aufsichtsbehörde) im Hinblick darauf, ob ein Verstoß gegen diese Verordnung vorliegt oder ob beabsichtigte Maßnahmen gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit dieser Verordnung stehen, wobei aus diesem Einspruch die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen und gegebenenfalls den freien Verkehr personenbezogener Daten in der Union ausgehen.

341

Die Begriffsdefinition ist insbesondere im Rahmen des Art. 60 Abs. 4und 6[726] im Rahmen des Verfahrens der Zusammenarbeit zwischen federführender Aufsichtsbehörde und anderen betroffenen Aufsichtsbehörden sowie für das Streitbeilegungsverfahren nach Art. 65 Abs. 1 lit. a[727] relevant.[728]

342

Der Einspruch kann sich dabei ausschließlich gegen den Beschlussentwurf der federführenden Aufsichtsbehörderichten, wobei Art. 4 Nr. 23dessen formale Anforderungenenthält.[729]

343

Einspruchsbefugtsind betroffene Aufsichtsbehörden gegenüber der federführenden Aufsichtsbehörde.[730]

344

Ein Einspruch ist nur dann maßgeblich und begründet, wenn mit ihm geltend gemacht wird, dass die federführende Aufsichtsbehörde in ihrem Beschlussentwurf zu Unrecht von einem bzw. keinem Verstoß des Verantwortlichen oder des Auftragsverarbeiters gegen die DS-GVO ausgegangen ist. Der Einspruch kann ausweislich des Wortlauts auch damit begründet werden, ob die beabsichtigte Maßnahme gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit der DS-GVO steht.[731] In beiden Alternativen muss der Einspruch den formalen Anforderungen nach Art. 4 Nr. 23 Hs. 2genügen: So muss sich aus ihm die Tragweite der Risiken ergeben, die von dem Beschlussentwurf für die Grundrechte und Grundfreiheiten der betroffenen Personen oder für den freien Verkehr von personenbezogenen Daten in der Union ausgehen. Dabei bezeichnet „begründet“ lediglich, dass die einspruchsführende Behörde ihre Bedenken im Sinne der o.g. Tatbestandsalternativen vortragen muss. Der Verstoß muss aber nicht tatsächlich gegeben sein. Dies folgt bereits daraus, dass der Wortlaut auf die Tragweite der Risiken und nicht auf den Verstoß als solchen abstellt.[732]

345

Hinzuweisen ist ferner auf ErwG 124 S. 4: Danach ist der Datenschutzausschuss aufgefordert, Leitlinien zu den Kriterien auszugeben, was einen maßgeblichen und begründeten Einspruch darstellt.

346

Art. 4 Nr. 25definiert den Dienst der Informationsgesellschaft nicht eigenständig, sondern verweist auf die entsprechende Definition in Art. 1 Nr. 1 lit. b der RL 2015/1535.[733] Dasselbe Begriffsverständnis liegt auch der E-Commerce-Richtlinie zu Grunde.[734]

347

Besondere Berücksichtigung finden die Dienste der Informationsgesellschaft in der DS-GVO bei der Erteilung der Zustimmung zur Verarbeitung, insbesondere solcher Dienste für Kinder gem. Art. 8[735], sowie beim Recht auf Löschung bzw. Vergessenwerden nach Art. 17[736]. Außerdem wird der Begriff der „Informationsgesellschaft“ von Art. 97 Abs. 5 verwendet.

348

Art. 1 Nr. 1 lit. b RL 2015/1535 definiert Dienste der Informationsgesellschaft als „in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“.

349

Der Begriff der Dienstleistungbezieht sich auf Art. 56 AEUV. Die umfangreiche Rechtsprechung des EuGH zu diesem Begriff stellt unter anderem klar, dass die Bedingung des Erbringens der Dienstleistung in der Regel gegen Entgelt nicht verlangt, dass im konkreten Fall der Nutzer der Dienstleistung eine finanzielle Gegenleistung erbringt.[737] Insbesondere – aber nicht nur- ist hier an Dienste zu denken, die dem Nutzer ohne finanzielle Gegenleistung angeboten werden und die personenbezogene Daten als Gegenleistung nutzen.

350

Im Fernabsatzerbracht ist eine Dienstleistung, wenn sie bei nicht gleichzeitiger körperlicher Anwesenheit der Beteiligten unter Einsatz eines Kommunikationsmittels erbracht wird, wobei es auf den Übertragungsweg nicht ankommt.[738] Die Dienstleistung muss elektronisch erbracht werden, wie es typischerweise bei Onlineangeboten der Fall ist. Erfasst werden nur Dienstleistungen, die auf individuellen Abruf hin erbracht werden. Lineare Angebote wie Rundfunkangebote folgen einem vorab festgelegten Sendeplan und fallen nicht unter die Dienste der Informationsgesellschaft.[739]

351

Art. 4 Nr. 26definiert die internationale Organisation als eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde. In Kapitel V der DS-GVO wird die internationale Organisation dem Drittland gleichgestellt, so dass eine Datenübermittlung dorthin nur unter den zusätzlichen Voraussetzungen der Art. 44 ff.zulässig ist.

352

Die DSRL und das BDSG a.F. enthielten keine Definition der internationalen Organisation.