Czytaj książkę: «DSGVO - BDSG - TTDSG», strona 26

bb) Personen oder Stellen innerhalb (der Organisation) des Verantwortlichen

270

Schwierigkeiten bereitet die Anwendung dieser allgemeinen Merkmale im Fall von internen Datentransfers, also Datentransfers innerhalb der (Organisation) des Verantwortlichen, z.B. von einem Mitarbeiter des verantwortlichen Unternehmens an einen anderen Mitarbeiter des Unternehmens. So geht aus Art. 4 Nr. 9 DSGVO nicht eindeutig hervor, ob auch Personen oder Stellen innerhalb (der Organisation) des Verantwortlichen (wie z.B. Mitarbeiter, Abteilungen oder Funktionseinheiten), denen Daten durch den Verantwortlichen (z.B. durch andere Mitarbeiter des Verantwortlichen) offengelegt werden, Empfänger i.S.d. Art. 4 Nr. 9 DSGVO sind.529

271

Dafür, dass auch solche internen Personen oder Stellen Empfänger i.S.d. Art. 4 Nr. 9 DSGVO sein können, spricht, dass der Verordnungsgeber – anders als bei der Definition des Dritten in Art. 4 Nr. 10 DSGVO – Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen [...] befugt sind, die personenbezogenen Daten zu verarbeiten – zu denen u.a., aber nicht ausschließlich, auch Mitarbeiter des Verantwortlichen zählen (siehe unten Rn. 272) –, nicht von der Definition des Empfängers ausgenommen hat. Allerdings ist diese Argumentation nicht zwingend.

272

So sprechen dann auch die besseren Argumente gegen eine allgemeine Einbeziehung interner Personen oder Stellen des Verantwortlichen in die Definition des Empfängers – und zwar insbesondere der Wortlaut von Art. 4 Nr. 9 DSGVO und die Systematik der DSGVO. So lässt sich aus dem Wortlaut von Art. 4 Nr. 9 DSGVO schließen, dass ein Empfänger zumindest ein gewisses Maß an Eigenständigkeit haben muss, das bei internen Personen und Stellen nicht gegeben ist.530 Außerdem müsste der Verantwortliche andernfalls der betroffenen Person zumindest nach Art. 19 DSGVO grundsätzlich jeden Mitarbeiter bzw. jede Abteilung und Funktionseinheit innerhalb des eigenen Unternehmens mitteilen, der bzw. die diese Daten erhalten hat.531 Dies würde aber über den Sinn und Zweck von Art. 19 DSGVO hinausgehen, der darin besteht, ggf. auch Betroffenenrechte gegenüber dem jeweiligen Empfänger geltend machen zu können.532 Da aber derartige Rechte nur gegenüber Verantwortlichen bestehen und Mitarbeiter bzw. andere Stellen innerhalb des Verantwortlichen selbst grundsätzlich keine eigenen Verantwortlichen sind, wäre deren Angabe sinnwidrig. Daher sind Personen, Einrichtungen oder Stellen innerhalb (der Organisation) des Verantwortlichen (wie z.B. Mitarbeiter, Abteilungen, Funktionseinheiten oder auch unselbstständige Zweigstellen), denen Daten offengelegt werden, nicht als Empfänger i.S.d. Art. 4 Nr. 9 DSGVO anzusehen, soweit sie keine eigenen Zwecke verfolgen und daher selbst als eigenständige Verantwortliche anzusehen sind.533 Beim Betriebsrat handelt es sich nach Auffassung des BAG allerdings um einen Empfänger i.S.d. Art. 4 Nr. 9 DSGVO, wenn dieser vom Betrieb personenbezogene Daten erhält.534

273

Vor diesem Hintergrund ist auch eine ausdrückliche Ausnahme von Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen befugt sind, die personenbezogenen Daten zu verarbeiten, vom Begriff des Empfängers – wie sie in der Definition des Dritten in Art. 4 Nr. 10 DSGVO enthalten ist – zumindest im Hinblick auf Personen oder Stellen innerhalb (der Organisation) des Verantwortlichen, die diesem zuzurechnen sind, entbehrlich. Als Teil des Verantwortlichen sind sie, wie soeben erläutert, ohnehin in Art. 4 Nr. 9 DSGVO von der Eigenschaft als Empfänger ausgenommen. Der Umstand, dass die in Art. 4 Nr. 10 DSGVO enthaltene Ausnahme in Art. 4 Nr. 9 DSGVO nicht enthalten ist, führt somit nur dazu, dass organisatorisch nicht in den Verantwortlichen eingebundene Personen und Stellen, wie z.B. Freelancer und Berater,535 Empfänger i.S.d. Art. 4 Nr. 9 DSGVO sein können, aber keine Dritten i.S.d. Art. 4 Nr. 10 DSGVO.

cc) Gemeinsam Verantwortliche

274

Gemeinsam Verantwortliche sind, soweit ihnen personenbezogene Daten durch andere Beteiligte, mit denen sie die Daten gemeinsam i.S.d. Art. 26 DSGVO verarbeiten, offengelegt werden, als Empfänger i.S.d. Art. 4 Nr. 9 DSGVO anzusehen (wenn auch nicht als Dritte, siehe unten Rn. 287). So führt die gemeinsame Verantwortlichkeit i.S.d. Art. 26 DSGVO nicht dazu, dass sie derart miteinander „verschmelzen“, dass sie als interne Stellen der anderen Beteiligten anzusehen und ihnen zuzurechnen sind. Dies folgt insbesondere aus der Systematik der DSGVO. So werden die einzelnen Beteiligten, die personenbezogene Daten gemeinsam i.S.d. Art. 26 DSGVO verarbeiten, in Art. 26 Abs. 1 DSGVO jeweils als Verantwortliche bezeichnet, also als – trotz der gemeinsamen Verantwortlichkeit – separate Personen, Behörden, Einrichtungen oder andere Stellen.

dd) Ausnahme für bestimmte Behörden

275

Bestimmte Behörden sind gem. Art. 4 Nr. 9 Satz 2 DSGVO allerdings vom Begriff des „Empfängers“ ausgenommen. So gelten nach dieser Vorschrift Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, nicht als Empfänger. Nach ErwG 31 sind hiermit z.B. Steuer- und Zollbehörden, Finanzermittlungsstellen, unabhängige Verwaltungsbehörden und Finanzmarktbehörden gemeint, die für die Regulierung und Aufsicht von Wertpapiermärkten zuständig sind.536 Allerdings ist Art. 4 Nr. 9 Satz 2 DSGVO wohl dahingehend einschränkend auszulegen, dass diese Ausnahme vom Begriff des „Empfängers“ nur für Behörden mit hoheitlichen Befugnissen gelten soll.537 Die Verarbeitung dieser Daten durch die genannten Behörden erfolgt gem. Art. 4 Nr. 9 Satz 2 Hs. 2 DSGVO sodann im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung. Mithin bedarf auch die Datenverarbeitung durch solche Behörden insbesondere einer Rechtsgrundlage.538 Allerdings hat die Ausnahme vom Begriff des „Empfängers“ zur Folge, dass die Pflichten nach der DSGVO, die an einen Empfänger anknüpfen (dazu näher oben Rn. 263), in diesem Fall nicht bestehen, also ein Verantwortlicher eine solche Behörde z.B. nicht im Rahmen der Information der betroffenen Person gem. Art. 13 bzw. 14 DSGVO benennen muss.

XI. Dritter (Nr. 10)
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang

276

Ein „Dritter“ ist gem. Art. 4 Nr. 10 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten. Damit entspricht die Definition des „Dritten“ fast wortgleich der Definition des „Dritten“ in Art. 2 lit. f DSRl.539

277

Der Begriff des „Dritten“ beschreibt eine der drei grundlegenden Rollen, die eine Person oder Stelle im Datenschutzrecht innehaben kann. So kann sie entweder betroffene Person, Verantwortlicher oder Dritter sein. Ggf. können auch der Auftragsverarbeiter oder der Empfänger noch als eigenständige Rollen angesehen werden. Vereinfacht ausgedrückt handelt es sich bei dem Dritten um die Rolle, die Personen bzw. Stellen zugeordnet wird, auf die sich die verarbeiteten Daten nicht beziehen und die an der Verarbeitung der Daten nicht beteiligt sind. Es handelt sich bei den Dritten quasi um Außenstehende. Mithin legt die DSGVO Dritten auch keine speziellen Pflichten oder Verantwortlichkeiten auf, sofern sie nicht zu einem Verantwortlichen oder Auftragsverarbeiter werden.540 Vielmehr beschreibt der Begriff „Dritter“ eine Beziehung zu einem Verantwortlichen oder Auftragsverarbeiter.541

278

Aufgegriffen wird die Definition vor allem in Art. 6 Abs. 1 lit. f DSGVO sowie in Art. 4 Nr. 9, 13 Abs. 1 lit. d, Art. 14 Abs. 2 lit. b DSGVO. So können nach Art. 6 Abs. 1 lit. f DSGVO auch die berechtigten Interessen eines Dritten die Verarbeitung personenbezogener Daten durch einen Verantwortlichen rechtfertigen, über die die betroffene Person dann nach Art. 13 Abs. 1 lit. d bzw. Art. 14 Abs. 2 lit. b DSGVO zu informieren ist. Im Rahmen von Art. 4 Nr. 9 DSGVO (Definition des Empfängers) dient der Begriff des „Dritten“ vor allem der Klarstellung, dass der Begriff des „Empfängers“ weiter ist als der Begriff des „Dritten“, da es nach Art. 4 Nr. 9 DSGVO unerheblich ist, ob der „Empfänger“ zugleich als „Dritter“ zu qualifizieren ist oder nicht (dazu näher oben Rn. 269).

2. Begriff des Dritten

279

Ein Dritter ist nach der Definition in Art. 4 Nr. 10 DSGVO also grundsätzlich jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, es sei denn, dass sie zu einer der vier ebenfalls in der Norm genannten Rollen gehört. Demnach sind keine Dritten i.S.d. Art. 4 Nr. 10 DSGVO: 1. die betroffene Person selbst, 2. der Verantwortliche, 3. der Auftragsverarbeiter und 4. die Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten.

a) Auftragsverarbeiter innerhalb/außerhalb der EU bzw. des EWR

280

Auftragsverarbeiter sind generell von der Definition des „Dritten“ nach Art. 4 Nr. 10 DSGVO ausgenommen. Es ist also unerheblich – anders als noch in § 3 Abs. 8 Satz 3 BDSG a.F. –, ob der Auftragsverarbeiter die personenbezogenen Daten im Auftrag des Verantwortlichen innerhalb der EU bzw. des EWR verarbeitet oder außerhalb oder ob er innerhalb oder außerhalb der EU/des EWR ansässig ist. Der Auftragsverarbeiter wird also auch dann nicht zu einem „Dritten“, wenn er die Daten außerhalb der EU bzw. des EWR verarbeitet bzw. dort ansässig ist. Demzufolge gelten die Anforderungen der DSGVO, insbesondere in Art. 28 DSGVO für die Auftragsverarbeitung und die damit verbundene Privilegierung, dass eine Auftragsverarbeitung keine gesonderte Rechtsgrundlage erfordert, – anders als noch unter dem BDSG a.F. – auch im Fall der Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter in einem Land außerhalb der EU bzw. des EWR.542

b) Personen, die dem Verantwortlichen/Auftragsverarbeiter zuzurechnen sind

281

Ebenfalls keine „Dritten“ sind Personen, die dem Verantwortlichen bzw. dem Auftragsverarbeiter zuzurechnen sind und damit einen Teil von ihnen bilden. Zuzurechnen sind dem Verantwortlichen bzw. dem Auftragsverarbeiter sämtliche Tätigkeiten, die von internen, d.h. organisatorisch in den Verantwortlichen bzw. Auftragsverarbeiter eingebundenen Personen bzw. Stellen im Rahmen der ihnen vom Verantwortlichen bzw. Auftragsverarbeiter übertragenen, dienstlichen Funktionen erbracht werden.543 Somit sind z.B. Beschäftigte des Verantwortlichen bzw. des Auftragsverarbeiters, Mitglieder von ihren Organen (z.B. Vorstände, Geschäftsführer und Aufsichtsräte), Gesellschafter, Betriebsärzte (zumindest im Rahmen ihrer Aufgaben nach dem Arbeitssicherheitsgesetz) oder Behördenleiter i.d.R. dem jeweiligen Verantwortlichen bzw. Auftragsverarbeiter zuzurechnen und damit keine Dritten.544

282

Etwas anderes gilt ausnahmsweise jedoch dann, wenn eigentlich interne Personen oder Stellen personenbezogene Daten nicht im Rahmen ihrer dienstlichen Aufgaben für den Verantwortlichen bzw. Auftragsverarbeiter verarbeiten, sondern für eigene Zwecke oder die Zwecke eines anderen Verantwortlichen bzw. Auftragsverarbeiters (z.B. im Rahmen einer Nebentätigkeit).545 Verarbeiten sie die Daten für eigene Zwecke, werden sie selbst zu Verantwortlichen und Dritten gegenüber dem bisherigen Verantwortlichen bzw. Auftragsverarbeiter. Verarbeiten sie die Daten (z.B. nebenberuflich) für einen anderen Verantwortlichen bzw. Auftragsverarbeiter, so ist i.d.R. dieser andere Verantwortliche bzw. Auftragsverarbeiter als Dritter gegenüber dem bisherigen Verantwortlichen bzw. Auftragsverarbeiter zu qualifizieren.546

aa) Unselbstständige Filialen, Zweigstellen und Betriebe

283

Umstritten ist in diesem Zusammenhang, inwieweit auch unselbstständige Filialen, Zweigstellen oder Betriebe, die zum Verantwortlichen bzw. Auftragsverarbeiter gehören, als dessen Teil anzusehen sind. Teilweise wird vertreten, dass unselbstständige Zweigstellen Dritte seien, wenn sie sich außerhalb der EU bzw. des EWR und damit außerhalb des Schutzbereichs der DSGVO befinden würden.547 Diese Auffassung basiert maßgeblich auf dem BDSG a.F., nach dem eine Übermittlung eine Kommunikation von Daten an einen Dritten voraussetzte und nur dann die Anforderungen an internationale Datentransfers zu beachten waren. Dem ist aber entgegenzuhalten, dass eine Übermittlung i.S.d. DSGVO nicht mehr zwangsweise eine Kommunikation von Daten an einen Dritten voraussetzt. So sind die Art. 44ff. DSGVO auch auf die Übermittlung an „Nicht-Dritte“, wie z.B. an Auftragsverarbeiter und nach herrschender Meinung wohl auch an unselbstständige Zweigstellen anwendbar.548 Deshalb müssen vor diesem Hintergrund unselbstständige Zweigstellen außerhalb der EU bzw. des EWR nicht mehr als Dritte qualifiziert werden, um den Schutz personenbezogener Daten dort sicherzustellen.549

bb) Mitarbeitervertretungen und betriebliche Datenschutzbeauftragte

284

Nach h.M. sind Mitarbeitervertretungen beim Verantwortlichen bzw. Auftragsverarbeiter selbst, wie z.B. Betriebsräte, als Teil des Verantwortlichen bzw. Auftragsverarbeiters anzusehen und damit keine „Dritten“ im Verhältnis zu dem Verantwortlichen bzw. Auftragsverarbeiter.550 Der deutsche Gesetzgeber hat dies (jedenfalls bis zu einer etwaigen Verwerfung durch den EuGH) im Hinblick auf Betriebsräte auch entsprechend in § 79a Satz 2 BetrVG kodifiziert, indem er geregelt hat, dass der Arbeitgeber datenschutzrechtlich verantwortlich ist, soweit der Betriebsrat zur Erfüllung der in seiner Zuständigkeit liegenden Aufgaben personenbezogene Daten verarbeitet. Allerdings lässt sich diese Einordnung von Mitarbeitervertretungen durchaus in Zweifel ziehen (siehe ausführlich hierzu oben Rn. 179).

285

Inwiefern betriebliche Datenschutzbeauftragte als „Dritte“ anzusehen sind, ist umstritten. Nach hier vertretener Ansicht sind – wie nach dem BDSG a.F. – sowohl interne als auch externe Datenschutzbeauftragte als Teil des Verantwortlichen bzw. des Auftragsverarbeiters anzusehen, auch wenn diesen gegenüber dem Datenschutzbeauftragten im Hinblick auf diese Tätigkeit kein Weisungsrecht zusteht, weil sie eine interne Kontrollfunktion beim Verantwortlichen bzw. beim Auftragsverarbeiter wahrnehmen.551 Selbstständige Handelsvertreter sind hingegen als Dritte zu qualifizieren.552

cc) Unternehmen innerhalb einer Unternehmensgruppe

286

Verschiedene Unternehmen innerhalb einer Unternehmensgruppe gelten im Verhältnis zueinander als Dritte, soweit nicht eines der Unternehmen als Auftragsverarbeiter für ein anderes Unternehmen der Gruppe fungiert.553 So wurde in die finale Fassung der DSGVO kein echtes „Konzernprivileg“ mit aufgenommen, welches ggf. den Datenaustausch innerhalb einer Unternehmensgruppe hätte vereinfachen bzw. privilegieren können. Vielmehr enthält die letztendlich verabschiedete Fassung der DSGVO im ErwG 48 nur noch ein „kleines Konzernprivileg“, nach dem der Austausch personenbezogener Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, ein berechtigtes Interesse darstellt, welches die Verarbeitung nach Maßgabe von Art. 6 Abs. 1 lit. f DSGVO rechtfertigen kann. Etwas anderes gilt jedoch i.d.R. im Fall der Zuweisung datenschutzrechtlicher Verantwortlichkeiten innerhalb einer Unternehmensgruppe. Hier sind die beteiligten Unternehmen im Verhältnis zueinander i.d.R. nicht als Dritte zu qualifizieren (siehe ausführlich hierzu oben Rn. 232).

dd) Gemeinsam Verantwortliche

287

Verarbeiten zwei oder mehr Verantwortliche personenbezogene Daten als gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO, sind sie im Hinblick auf die Datenverarbeitung, für die sie als gemeinsam Verantwortliche agieren, zueinander nicht als Dritte i.S.d. Art. 4 Nr. 10 DSGVO zu qualifizieren. So ist der Verantwortliche nach Art. 4 Nr. 10 DSGVO ausdrücklich nicht als Dritter zu qualifizieren. Nichts anderes kann für gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO gelten. Hierfür spricht insbesondere auch die Systematik der DSGVO. So werden die einzelnen Beteiligten, die personenbezogene Daten als gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO verarbeiten, in Art. 26 Abs. 1 DSGVO (jeweils) als Verantwortliche bezeichnet. Als Verantwortliche sind sie aber gem. Art. 4 Nr. 10 DSGVO nicht als Dritte zu qualifizieren. Verarbeiten Verantwortliche personenbezogene Daten als gemeinsam Verantwortliche, sind aber insbesondere die Vorgaben und Pflichten aus Art. 26 DSGVO zu beachten (siehe ausführlich Art. 26 Rn. 72ff.).

c) Ausnahme: Personen unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters

288

Keine Dritten sind nach Art. 4 Nr. 10 DSGVO die Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten. Dies sind Personen, deren Befugnis zur Datenverarbeitung sich – insbesondere infolge des Organisations- und Direktionsrechts des Verantwortlichen bzw. des Auftragsverarbeiters – von der Befugnis eben dieses Verantwortlichen bzw. Auftragsverarbeiters zur Verarbeitung dieser Daten ableitet,554 z.B. indem ein Verantwortlicher einen Mitarbeiter zu einer bestimmten Datenverarbeitung anweist, zu der der Verantwortliche befugt ist.555

289

Allerdings erscheint die praktische Relevanz dieser Ausnahme eher gering zu sein. So sind Mitarbeiter und andere interne Stellen des Verantwortlichen bzw. des Auftragsverarbeiters (wie z.B. Abteilungen und Funktionseinheiten) nach hier vertretener Ansicht ohnehin diesem zuzurechnen und als dessen Teil keine Dritten.556 Dies gilt zumindest, solange sie die Daten zu dienstlichen Zwecken im Rahmen ihrer Funktion verarbeiten (siehe oben Rn. 177). Sollten sie Daten zu privaten Zwecken oder im Rahmen einer Nebentätigkeit verarbeiten, wären aber auch die Voraussetzungen der hier erläuterten Ausnahme nicht erfüllt. Auch Auftragsverarbeiter sind bereits gesondert von der Definition des Dritten ausgenommen.

290

Somit erlangt diese Ausnahme vor allem für externe Personen und Stellen Bedeutung, die zwar nicht in die interne Organisation des Verantwortlichen bzw. Auftragsverarbeiters eingebunden, diesem aber so unterstellt sind, dass sie seine Weisungen beachten müssen und sich ihre Befugnis zur Datenverarbeitung von ihm ableitet, so z.B. ggf. bei freien Mitarbeitern und externen Beratern.557 Diese sind dann nicht als Dritte anzusehen.

XII. Einwilligung (Nr. 11)
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang
a) Funktion der Einwilligung

291

Die Einwilligung ist eine von zwei Alternativen zur Rechtfertigung der Verarbeitung personenbezogener Daten. So folgt auch die DSGVO dem sogenannten Verarbeitungsverbot mit Erlaubnisvorbehalt. Demnach ist die Verarbeitung personenbezogener Daten grundsätzlich verboten und nur ausnahmsweise erlaubt – und zwar, wenn eine Rechtsvorschrift die Verarbeitung erlaubt oder wenn die betroffene Person in die Verarbeitung eingewilligt hat (vgl. ErwG 40, Art. 6 Abs. 1 DSGVO und Art. 9 Abs. 1 und 2 DSGVO).558 Vor diesem Hintergrund besitzt die Einwilligung eine erhebliche Bedeutung im Rahmen der Rechtmäßigkeit der Datenverarbeitung. Gerade wenn keine Rechtsvorschrift, z.B. aus der DSGVO, die Datenverarbeitung erlaubt, kann diese nur dann erfolgen, wenn die betroffene Person ihre Einwilligung hierzu erteilt hat. Dieses Prinzip folgt aus Art. 8 Abs. 2 GRCh, nach dem personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Die Einwilligung ist Ausdruck der Selbstbestimmung der betroffenen Person, – frei von Paternalismus und Zwang – selbst über die Verarbeitung „ihrer“ Daten entscheiden zu dürfen.