Read the book: «DSGVO - BDSG - TTDSG», page 22

c) Zugänglichkeit nach bestimmten Kriterien

164

Um als Dateisystem klassifiziert zu werden, muss die strukturierte Sammlung personenbezogener Daten „bestimmten Kriterien“ zugänglich sein. Dem Wortlaut nach bedarf es dabei mindestens zweier Kriterien.335 Hierunter sind diejenigen gemeinsamen Merkmale der jeweils vorliegenden Informationssammlung zu verstehen, anhand derer die Sammlung erschlossen werden kann.336

165

Entsprechende Kriterien können in erster Linie Angaben wie Namen, Aktenzeichen, Personalnummern oder auch Adressen sein. Daneben nennt die Norm als Ordnungskriterien beispielhaft funktionale und geografische Kriterien.337 Insofern können auch Berufe, Regionen und Kfz-Kennzeichen, sofern sie auf eine bestimmte Person bezogen werden können, geeignete Kriterien begründen.338 Im Umkehrschluss zu ErwG 15 Satz 2 fallen auch Akten, Aktensammlungen sowie deren Deckblätter unter den Schutz der DSGVO, sofern sie entsprechend geordnet und die jeweiligen Informationen nach mindestens zwei Kriterien zugänglich sind.339

166

Die Verordnung gibt insoweit nicht vor, ob die in der Sammlung zusammengefassten Informationen bereits nach mindestens zwei Merkmalen zugänglich sein müssen oder ob bereits die bloße Möglichkeit ausreicht, eine entsprechende Ordnung der Sammlung herzustellen. Daran anschließend stellt sich die Frage, mit welchem Aufwand eine entsprechende Ordnung herzustellen sein muss. Während ErwG 15 zur DSRl damals noch davon sprach, dass die Struktur der Datei einen „leichten Zugriff“ ermöglichen muss, ist eine entsprechende Einschränkung weder dem Verordnungstext noch den ErwG zur DSGVO zu entnehmen.340 Der Umstand, dass ErwG 15 Satz 1 im Hinblick auf den sachlichen Anwendungsbereich der DSGVO davon spricht, dass „ein ernsthaftes Risiko einer Umgehung der Vorschriften [der DSGVO]“ zu vermeiden ist, spricht grundsätzlich für ein niedrigschwelliges Verständnis. Gleichwohl muss es sich ausdrücklich um ein „ernsthaftes Risiko“ handeln. Demgemäß sollte eine bloß in der Theorie bestehende Ordnungsfähigkeit einer Sammlung wohl nicht genügen, um den Anwendungsbereich der DSGVO zu eröffnen. In Anlehnung an die Frage, ob eine Information als personenbezogenes Datum angesehen werden muss, erscheint es daher angemessen, die Anwendbarkeit der DSGVO davon abhängig zu machen, ob eine entsprechende Ordnung der Sammlung bzw. Zugänglichkeit der darin enthaltenen Informationen mit einem verhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften herzustellen wäre.341

167

Hierbei ist jedoch zu beachten, dass, soweit Informationen bereits zu einem gewissen Grad vorstrukturiert sind, insbesondere bereits nach jedenfalls einem Kriterium zugänglich sind (etwa eine Kennzeichnung mit Namen oder Aktenzeichen), eine Zugänglichkeit nach einem weiteren Kriterium in aller Regel mit verhältnismäßigem Aufwand herzustellen sein wird.342 Damit dürfte nahezu jegliche Form der ordentlichen Aktenführung, mit Ausnahme von einer chaotischen Zettelwirtschaft, dem sachlichen Anwendungsbereich der DSGVO unterfallen.343

d) Unstrukturierte Erhebung als Vorstufe ausreichend

168

Gemäß Art. 2 Abs. 1, 2. Alt. DSGVO genügt es für die Anwendung der DSGVO bereits, dass nichtautomatisiert verarbeitete personenbezogene Daten (später) in einem Dateisystem gespeichert werden sollen. Insofern ist bereits etwa die handschriftliche Aufzeichnung personenbezogener Daten (etwa im Rahmen eines Formulars) von dem sachlichen Anwendungsbereich der DSGVO erfasst, sofern im Zeitpunkt der Aufzeichnung bereits der Zweck verfolgt wird, die Aufzeichnungen später in ein Dateisystem aufzunehmen.344

3. Ausnahme: § 26 Abs. 7 BDSG

169

§ 26 Abs. 7 BDSG erweitert den sachlichen Anwendungsbereich der DSGVO sowie der ergänzenden Regelungen des BDSG zum Beschäftigtendatenschutz auch auf die nichtautomatisierte Datenverarbeitung, die nicht in einem Dateisystem gespeichert ist oder gespeichert werden soll. Die Regelung entspricht damit im Ergebnis den bisherigen Vorgaben des § 32 Abs. 2 BDSG a.F.345 Demgemäß ist es für die Anwendbarkeit datenschutzrechtlicher Vorgaben im Beschäftigungskontext unerheblich, ob (manuell) verarbeitete, personenbezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen oder nicht.346 Typische Anwendungsfälle dieser Regelung in der betrieblichen Praxis sind etwa das Befragen oder Beobachten von Beschäftigten.347 Erfasst werden somit zum Beispiel auch (handschriftliche) Protokolle oder Notizen des Arbeitgebers im Rahmen eines Vorstellungsgesprächs; ferner fallen auch mündliche Datenverarbeitungen wie zum Beispiel Telefongespräche mit früheren Arbeitgebern eines Bewerbers unter den Anwendungsbereich des Beschäftigtendatenschutzes.348

VIII. Verantwortlicher (Nr. 7)

170

Gemäß Art. 4 Nr. 7 DSGVO ist „Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; [...]“.

171

Die Definition des Verantwortlichen in Art. 4 Nr. 7 DSGVO entspricht inhaltlich derjenigen des § 3 Abs. 7 BDSG a.F. und Art. 2 lit. d DSRl, wobei die Möglichkeit einer gemeinsamen Verantwortlichkeit nicht in das BDSG a.F. übernommen wurde.349 Die Arbeitspapiere der Art.-29-Datenschutzgruppe und EuGH-Entscheidungen mit Bezug zur Auslegung des Begriffs noch nach der DSRl sind dementsprechend auch unter der DSGVO heranzuziehen.350

1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang

172

Als eine der elementaren Definitionen der DSGVO bestimmt der Begriff des „Verantwortlichen“ nach Art. 4 Nr. 7 DSGVO, welche Stelle zur Einhaltung der jeweils anwendbaren datenschutzrechtlichen Vorgaben in Bezug auf ein Datenverarbeitungsverfahren verpflichtet ist. Nachgelagert bestimmt sich durch die Zuweisung der Stellung als „Verantwortlicher“ ferner, gegenüber welcher Stelle betroffene Personen ihre Rechte nach den Art. 12ff. sowie Art. 82 DSGVO ausüben können.351

173

Im Gegensatz zur Rechtslage unter der DSRl bzw. des BDSG a.F. sind Verantwortliche nicht nur dazu verpflichtet, personenbezogene Daten (stets) rechtmäßig zu verarbeiten. Vielmehr verlagert die DSGVO den Schwerpunkt datenschutzrechtlicher Compliance weg von einzelfallorientierten Zulässigkeitsprüfungen hin zur Pflicht einer systemischen Aufarbeitung von Datenschutz und des Aufbaus entsprechender Management- und Organisationsstrukturen, durch welche die Rechtmäßigkeit der Verarbeitung im Einzelfall gewährleistet werden soll.352 So statuiert Art. 24 Abs. 1 DSGVO, dass der Verantwortliche „[...] geeignete technische und organisatorische Maßnahmen um[setzt], um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß [der DSGVO] erfolgt“.

174

Der Begriff des Verantwortlichen weist in erster Linie Zusammenhänge mit den Begriffen des „Auftragsverarbeiters“ nach Art. 4 Nr. 8 DSGVO sowie des „Dritten“ nach Art. 4 Nr. 10 DSGVO auf. Im Gegensatz zur Rolle als Verantwortlicher tragen Auftragsverarbeiter keine (umfassende) Verantwortung für im Auftrag eines Verantwortlichen verarbeitete personenbezogene Daten;353 Auftragsverarbeiter sind lediglich verpflichtet, dabei gewisse sie ausdrücklich adressierende Vorschriften der DSGVO, etwa Art. 32 DSGVO, einzuhalten.354 Vice versa bleibt der Auftraggeber für die Datenverarbeitung verantwortlich, auch wenn diese in seinem Auftrag durch einen Auftragsverarbeiter durchgeführt wird. Sofern im Rahmen eines Datenverarbeitungsverfahrens daher mehrere Akteure involviert sind, ist regelmäßig zu prüfen, welche der Beteiligten als Verantwortliche und welche als Auftragsverarbeiter tätig werden. Im Verhältnis zum (auftraggebenden) Verantwortlichen sind Auftragsverarbeiter zwar Empfänger i.S.v. Art. 4 Nr. 9 DSGVO, nicht hingegen Dritte i.S.v. Art. 4 Nr. 10 DSGVO.355 Demgegenüber stehen sich zwei (getrennt) Verantwortliche in aller Regel als Dritte gegenüber.356

175

Eine weitere Dependenz ergibt sich im Verhältnis zur Begriffsbestimmung der „Hauptniederlassung“ nach Art. 4 Nr. 16 lit. a DSGVO. So wird der für eine grenzüberschreitende Datenverarbeitung i.S.v. Art. 4 Nr. 23 DSGVO Verantwortliche in aller Regel auch als Hauptniederlassung für diesen Verarbeitungsvorgang zu klassifizieren sein.357

2. Mögliche Adressaten

176

Verantwortlicher kann grundsätzlich jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle sein, unabhängig davon, ob sie privat- oder öffentlich-rechtlich tätig ist.358 Hingegen kann die Verantwortlichkeit keinem technischen System, wie etwa einem intelligenten Algorithmus, zugewiesen werden, da ansonsten ihr Zweck, die Einhaltung der DSGVO-Vorgaben in handlungsfähige Hände zu legen, unterlaufen würde.359

177

Im Ausgang ist dabei auf die jeweilige datenverarbeitende rechtliche Einheit abzustellen. Im Falle juristischer Personen oder anderer Organisationen, bei denen personenbezogene Daten nicht durch die rechtliche Einheit selbst, sondern durch die dort beschäftigten natürlichen Personen verarbeitet werden, wird dieses Handeln in aller Regel der rechtlichen Einheit zugerechnet. Dies gilt jedenfalls, sofern und soweit die Verarbeitung für die Zwecke der jeweiligen rechtlichen Einheit sowie in Ausübung der innerorganisatorischen Tätigkeit des Mitarbeiters und damit unter der potenziellen Kontrolle der rechtlichen Einheit erfolgt.360 Eine entsprechende Zurechnung erfolgt gleichermaßen bei der Datenverarbeitung durch Abteilungen, Funktionseinheiten, Organe und unselbstständige Zweigstellen.361 In Konsequenz trifft in erster Linie auch die rechtliche Einheit die Haftung gegenüber betroffenen Personen und Aufsichtsbehörden für etwaige Verstöße durch dessen Organe oder Mitarbeiter. Verarbeitet ein Mitarbeiter personenbezogene Daten hingegen für eigene (private) Zwecke, ist er regelmäßig als Verantwortlicher anzusehen.362

178

Intern trägt die Verantwortung zur Einhaltung datenschutzrechtlicher Vorgaben originär die Geschäftsleitung. Die Geschäftsleitung kann jedoch die Verantwortung für einzelne Datenverarbeitungsverfahren und -vorgänge auf einzelne Mitarbeiter delegieren (vgl. Art. 39 Abs. 1 lit. b DSGVO).363 Zu beachten ist, dass die Zuweisung interner, datenschutzrechtlicher Verantwortlichkeit an bestimmte Mitarbeiter (etwa Fachabteilungsleiter) nicht dazu führt, dass die jeweilige rechtliche Einheit (im Umfang der übertragenen Verantwortlichkeit) nicht mehr als Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO anzusehen wäre. Anders ist dies jedoch zu bewerten, wenn die Entscheidungsbefugnis über einen bestimmten Datenverarbeitungsvorgang an eine andere rechtliche Einheit wirksam übertragen oder bereits originär von dort aus ausgeübt wird.364

179

Nach h.M. sind ebenfalls die datenverarbeitenden Aktivitäten unabhängig agierender, innerbetrieblicher Gremien wie etwa Betriebs- und Personalräten der jeweiligen rechtlichen Einheit, im Falle von Mitarbeitervertretungen daher dem Arbeitgeber zuzurechnen.365 Der deutsche Gesetzgeber hat dies (jedenfalls bis zu einer etwaigen Verwerfung durch den EuGH) im Hinblick auf Betriebsräte abschließend entschieden und in § 79a Satz 2 BetrVG entsprechend kodifiziert, dass der Arbeitgeber datenschutzrechtlich verantwortlich ist, soweit der Betriebsrat zur Erfüllung der in seiner Zuständigkeit liegenden Aufgaben personenbezogene Daten verarbeitet. Diese Wertung kann jedoch durchaus in Zweifel gezogen werden. So liegt der Einschätzung, dass die Datenverarbeitung durch Mitarbeiter oder Organisationseinheiten der jeweiligen rechtlichen Einheit zuzurechnen ist, die Prämisse zugrunde, dass die rechtliche Einheit (durch ihre jeweilige Geschäftsleitung handelnd) die Zwecke der durchgeführten Datenverarbeitungsvorgänge festlegt und diese lediglich durch die Mitarbeiter ausgeführt werden. Demgegenüber ist zu beachten, dass Mitarbeitervertretungen weitestgehend eigenständig darüber entscheiden, wann und wie personenbezogene Daten verarbeitet werden, ohne dass der Arbeitgeber diesbezüglich Einfluss nehmen könnte. Dies indiziert eine eigene Verantwortlichkeit des Betriebsrats.366 Diese Einschätzung wird durch den Umstand untermauert, dass auch das Bundesarbeitsgericht (BAG) jedenfalls bislang davon ausging, dass dem betrieblichen Datenschutzbeauftragten keine Kontrollbefugnis im Hinblick auf die Datenverarbeitungsaktivitäten des Betriebsrats zustehe, da er als Repräsentant des Arbeitgebers auftrete.367 Insofern erscheint es unangemessen, dem Arbeitgeber eine datenschutzrechtliche Verantwortlichkeit zuzuschreiben, ohne dass dieser über die Zwecke der Datenverarbeitung entscheiden oder die Einhaltung datenschutzrechtlicher Vorschriften diesbezüglich kontrollieren könne. Der (neue) § 79a Satz 4 BetrVG indiziert hingegen eine grundsätzliche Kontrollbefugnis der/des Datenschutzbeauftragten auch im Hinblick auf die Datenverarbeitungsaktivitäten des Betriebsrats; sie/er ist lediglich zur Verschwiegenheit verpflichtet über Informationen, die Rückschlüsse auf den Meinungsbildungsprozess des Betriebsrats zulassen. Es wird abzuwarten sein, wie sich die Gerichte in dieser Hinsicht zukünftig positionieren werden.

3. Bestimmung des Verantwortlichen

180

Verantwortlich ist derjenige, der über die Zwecke und Mittel eines Datenverarbeitungsvorgangs bestimmt. Anhand dieses Kriteriums erfolgt dabei die Abgrenzung zwischen Verantwortlichen und Auftragsverarbeitern, Verantwortlichen untereinander sowie eventuell anderen in einem Datenverarbeitungsvorgang involvierten Akteuren.368 Im Einzelnen:

a) Entscheidungsbefugnis über Zwecke und Mittel der Datenverarbeitung

181

Die Eigenschaft als Verantwortlicher ergibt sich in erster Linie aus dem Umstand, dass eine Stelle sich für die Verarbeitung personenbezogener Daten entschieden hat und befugt ist, den Zweck, mithin das beabsichtigte Ergebnis einer Datenverarbeitung, sowie die hierzu eingesetzten Mittel, mithin die Art und Weise, wie das beabsichtigte Ergebnis erreicht werden soll, zu bestimmen.369 Die Mittel der Verarbeitung beziehen sich unter anderem auf die technischen und organisatorischen Gegebenheiten bei der Verarbeitung personenbezogener Daten sowie die Festlegung des Umfangs der Verarbeitung, einschließlich der betroffenen Personenkategorien, der zu erhebenden Datenkategorien, der Gewährung des Zugangs für Dritte usw. Mit anderen Worten: Die Bestimmung des Zwecks und der Mittel ist gleichbedeutend mit der Bestimmung des „Warum“ und des „Wie“ im Hinblick auf die Verarbeitung von personenbezogenen Daten.370

182

Maßgeblich ist dabei die tatsächliche oder rechtliche Einflussmöglichkeit auf den jeweiligen Datenverarbeitungsvorgang. Sofern eine Stelle weder rechtlichen noch tatsächlichen Einfluss auf eine Datenverarbeitung hat, kann sie hierfür keine datenschutzrechtliche Verantwortung i.S.v. Art. 4 Nr. 7 DSGVO tragen.371 Dies ist im Rahmen einer umfassenden, wertenden Betrachtung zu evaluieren.372 Hierbei ist auf Grundlage der faktischen Umstände des Einzelfalls zu prüfen, ob daraus ein tatsächlicher Einfluss der jeweiligen Stelle abzuleiten ist.373 Welches Ausmaß diese Einflussfähigkeit dabei erreichen muss, ist bislang nicht abschließend geklärt. Noch unter der DSRl hat der EuGH dabei einen teilweise sehr niederschwelligen Ansatz verfolgt.374 Unter der DSGVO sollte nach der hier vertretenen Ansicht bei der Zuweisung von datenschutzrechtlicher Verantwortung maßgeblich darauf geachtet werden, ob die Möglichkeit zur Einflussnahme eines Beteiligten auch so ausgeprägt und signifikant ist, dass die (umfassende) Verpflichtung zur Einhaltung sämtlicher datenschutzrechtlicher Vorgaben und die damit einhergehende Haftung auch gerechtfertigt erscheint.375

183

Im Rahmen dieser umfassenden und wertenden Betrachtung können dabei folgende Faktoren einfließen und entsprechend abzuwägen sein: Zunächst kann sich eine entsprechende Möglichkeit zur Einflussnahme aus einer ausdrücklichen rechtlichen Zuständigkeit ergeben (vgl. insoweit Art. 4 Nr. 7 Hs. 2 DSGVO), mithin, wenn ein Gesetz den für die Verarbeitung Verantwortlichen ernennt oder ihm eine Aufgabe oder Pflicht zur Erhebung und Verarbeitung bestimmter Daten überträgt.376 Datenschutzrechtliche Verantwortung kann ferner aus anderen rechtlichen Bestimmungen oder bestehenden traditionellen Rollen und Positionen erwachsen, die in der Regel eine gewisse natürliche Verantwortlichkeit implizieren (z.B. der Arbeitgeber in Bezug auf die Daten seiner Mitarbeiter oder ein Verein in Bezug auf Daten seiner Mitglieder).377 Darüber hinaus kann sich die Verantwortung aus faktischen Umständen und anderen Aspekten, wie Vertragsverhältnissen, einer tatsächlichen Kontrolle durch eine Partei oder einer Offensichtlichkeit bzw. Außenwirkung einer Partei gegenüber den Betroffenen sowie deren Erwartungserhaltung ergeben.378 Ferner fließt in die Gesamtbetrachtung ein, ob eine Stelle eine Datenverarbeitung bewusst akzeptiert,379 etwa da sie von ihr profitiert.380 Auch eine organisatorische und koordinierende Hoheit kann eine Verantwortlichkeit indizieren.381 Eine formale Benennung einer Partei als Verantwortlicher ist hingegen irrelevant, sofern dies nicht deren existente Einflussmöglichkeit in der Realität widerspiegelt.382 Unerheblich ist hingegen, ob die jeweilige Partei auch Zugang bzw. Zugriff auf die verarbeiteten personenbezogenen Daten hat.383

184

Die Entscheidungsfähigkeit über Zwecke und Mittel einer Datenverarbeitung steht dabei in einem Rangverhältnis.384 Insofern führt die Kompetenz, über die Zwecke einer Datenverarbeitung zu entscheiden, in aller Regel dazu, dass diejenige Stelle als Verantwortlicher anzusehen ist. Sofern ein Akteur über inhaltliche Fragen entscheiden kann, die den Kern der Rechtmäßigkeit der Verarbeitung betreffen, ist er demnach in aller Regel als Verantwortlicher zu klassifizieren.385 Nachrangig ist demgegenüber die Entscheidungsbefugnis über die Mittel der Verarbeitung. Sie hat eine Verantwortlichkeit für die Verarbeitung nur dann zur Folge, wenn über wesentliche Aspekte der Mittel entschieden wird.386 Die Mittel umfassen dabei nicht nur die technische Art und Weise der Erreichung des jeweiligen Verarbeitungszweck, sondern behandeln je nach Verarbeitung auch wesentliche Faktoren, etwa hinsichtlich der zu verarbeitenden Datenkategorien, zugangsberechtigten Dritten, Löschfristen usw.387 Dies zeigt, dass wesentliche Mittel und der jeweils verfolgte Verarbeitungszweck in der Regel nicht getrennt voneinander betrachtet werden können, sondern vielmehr voneinander abhängen und sich gegenseitig ergänzen; das „Wie“ ist somit dem „Warum“ inhärent.388 Die Entscheidung über nachrangige (unwesentliche), technische oder organisatorische Mittel der Verarbeitung kann hingegen vom Verantwortlichen durchaus auf den Auftragsverarbeiter delegiert werden, ohne seine Stellung als Auftragsverarbeiter zu gefährden.389

b) Gegenständlicher Anknüpfungspunkt zur Bestimmung der Verantwortlichkeit

185

Die Rolle des Verantwortlichen ist dabei je Datenverarbeitungsverfahren zu bestimmen. Die Verantwortlichkeit kann sich dabei sowohl auf den gesamten als auch lediglich auf gewisse Abschnitte eines Verarbeitungsvorgangs erstrecken, je nachdem wie weit sich die Entscheidungsfähigkeit über Zwecke und Mittel der beteiligten Akteure erstreckt.390

186

Die Identifizierung des Verantwortlichen kann dabei weitestgehend unproblematisch sein, etwa im Falle rein interner Vorgänge. Im Zeitalter der Digitalisierung ist die Verarbeitung von personenbezogenen Daten jedoch zunehmend durch die Vernetzung und die arbeitsteilige bzw. ineinandergreifende Zusammenarbeit mehrerer Akteure geprägt.391 Diese Zusammenarbeit kann sich durchaus auch auf einen an sich einheitlich zu betrachtenden, jedoch mehrere Akteure überspannenden Datenverarbeitungsvorgang beziehen. In solchen Fällen kann es daher Schwierigkeiten bereiten, den (oder die) Verantwortlichen zu identifizieren sowie den Umfang der jeweiligen Verantwortung zu bestimmen, sofern es sich um abtrennbare Verarbeitungsschritte handelt.392 Ferner können auch mehrere Stellen für gewisse Abschnitte gemeinsam verantwortlich sein.393

187

Zu beachten ist ferner, dass sich die Zwecksetzungsbefugnis stets auf die Verarbeitung eines konkreten Datensatzes bezieht. Insofern führt die abstrakte Bestimmung von Verarbeitungszwecken und -mitteln zu keiner Stellung als Verantwortlicher; vielmehr ist maßgeblich, welche Stelle sich autark dazu entscheidet, sich in ihrer Verantwortlichkeit befindende personenbezogene Daten anhand dieser Zwecke und Mittel zu verarbeiten.394 So stellt sich bei Verwendung geschlossener Systeme, die zwar durch den Hersteller abschließend programmiert wurden, dennoch der Betreiber bzw. Nutzer des Systems als Verantwortlicher dar, da er über die Zwecke und Mittel hinsichtlich des konkreten Verarbeitungsvorganges (bzw. die konkret zu verarbeitenden personenbezogenen Daten) bestimmt.395