07413 Gemeinsame Verantwortlichkeit nach DSGVO – Inhalt, Abgrenzung und Folgen
|
Werden personenbezogene Daten durch mehrere Stellen verarbeitet, etwa innerhalb eines Konzerns oder in kooperativen Geschäftsprozessen zwischen externen Partnern, kann eine gemeinsame Verantwortlichkeit nach der Datenschutz-Grundverordnung vorliegen. Für solche Fälle sieht die DSGVO besondere datenschutzrechtliche Pflichten vor. Dazu gehört insbesondere der Abschluss einer Vereinbarung zwischen den gemeinsam Verantwortlichen, in der die Zuständigkeiten und die Verteilung der Pflichten transparent geregelt werden.
Ob tatsächlich eine gemeinsame Verantwortlichkeit besteht, ist in der Praxis jedoch nicht immer eindeutig zu bestimmen. Sie ist insbesondere von der Auftragsverarbeitung sowie von der Datenübermittlung an einen allein Verantwortlichen abzugrenzen. Entscheidend ist, ob die beteiligten Stellen die Zwecke und Mittel der Verarbeitung personenbezogener Daten gemeinsam festlegen.
Der Beitrag unterstützt Datenschutzverantwortliche, Informationssicherheitsbeauftragte und IT-Verantwortliche bei der rechtlichen Einordnung entsprechender Verarbeitungssituationen. Er erläutert die maßgeblichen Rahmenbedingungen der DSGVO, bietet Hilfestellung bei der Abgrenzung zu anderen datenschutzrechtlichen Konstellationen und stellt praxisnahe Gestaltungsmöglichkeiten für die Umsetzung der Pflichten bei gemeinsamer Verantwortlichkeit vor. Arbeitshilfen: von: |
Schnelleinstieg ins Thema – Fünf wichtige Fragen, auf die dieser Beitrag eine Antwort gibt:
Frage 1: Wann liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor – und wann nicht?
Antwort: Gemeinsame Verantwortlichkeit liegt vor, wenn mindestens zwei Stellen gemeinsam über Zwecke und wesentliche Mittel einer Verarbeitung personenbezogener Daten entscheiden. Eine bloße Zusammenarbeit, ein Datenaustausch oder eine nacheinander erfolgende Verarbeitung reichen dafür nicht aus. Mehr dazu s. Abschnitt 2.3.
Frage 2: Welche Fälle sollten Unternehmen besonders auf gemeinsame Verantwortlichkeit prüfen?
Antwort: Prüfbedarf besteht vor allem bei Konzernverarbeitungen, gemeinsamen Plattformen, Social-Media-Fanpages, Social Plugins, Bewerberdatenbanken, Datenmarktplätzen und ausgelagerten Meldestellen für Hinweisgeber nach dem Hinweisgeberschutzgesetz. Entscheidend bleibt immer die konkrete Ausgestaltung im Einzelfall. Mehr dazu s. Abschnitt 1 s. Abschnitt 2.3 s. Abschnitt 3.
Frage 3: Was muss eine Vereinbarung zwischen gemeinsam Verantwortlichen regeln?
Antwort: Die Vereinbarung muss transparent festlegen, wer welche DSGVO-Pflichten erfüllt, insbesondere bei Informationspflichten, Betroffenenrechten, technischen und organisatorischen Maßnahmen sowie Datenschutzverletzungen. Außerdem müssen Funktionen, Beziehungen und Verarbeitungsvorgänge konkret beschrieben werden. Mehr dazu s. Abschnitt 5.2.
Frage 4: Was müssen betroffene Personen über die gemeinsame Verantwortlichkeit erfahren?
Antwort: Betroffene Personen müssen über das Wesentliche der Vereinbarung informiert werden, insbesondere über Zuständigkeiten, Verarbeitungsvorgänge und die Wahrnehmung ihrer Rechte. Praktisch bietet sich eine Integration in die Datenschutzhinweise nach Art. 13 und 14 DSGVO an. Mehr dazu s. Abschnitt 6.
Frage 5: Welche weiteren DSGVO-Pflichten müssen gemeinsam Verantwortliche im Blick behalten?
Antwort: Art. 26 DSGVO entbindet nicht von den allgemeinen Pflichten, sondern ergänzt sie. Deshalb müssen Unternehmen unter anderem Rechtsgrundlagen, das Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen sowie gegebenenfalls die Datenschutz-Folgenabschätzung und Auftragsverarbeitung berücksichtigen. Mehr dazu s. Abschnitt 4 s. Abschnitt 8 s. Abschnitt 9.
Frage 6: Welche Risiken drohen, wenn gemeinsame Verantwortlichkeit falsch umgesetzt wird?
Antwort: Bei Schäden aus einer gemeinsam verantworteten Verarbeitung kann eine gesamtschuldnerische Haftung entstehen. Zudem können fehlende, unvollständige oder intransparente Vereinbarungen nach Art. 26 DSGVO mit Geldbußen sanktioniert werden. Mehr dazu s. Abschnitt 10 s. Abschnitt 11.
1 Ausgangspunkt – Regelung in Art. 26 Abs. 1
Legen mehrere Verantwortliche die Zwecke und Mittel einer Verarbeitung gemeinsam fest, wie es z. B. bei Verarbeitungen in Konzernen und Unternehmensverbünden der Fall sein kann, müssen sie die Regelung in Art. 26 Datenschutz-Grundverordnung beachten. Diese Vorschrift präzisiert die rechtliche Verantwortung der gemeinsam Verantwortlichen im Verhältnis untereinander sowie gegenüber den betroffenen Personen. Insbesondere soll eine transparente und eindeutige Verteilung und Zuordnung der den Verantwortlichen gemäß DSGVO obliegenden Pflichten erfolgen.
Zitierweise
Anmerkung der Redaktion: Für einen besseren Lesefluss wird im Beitrag darauf verzichtet, Vorschriften der DSGVO jeweils mit „DSGVO” zu zitieren. Alle im Beitrag zitierten Artikel sind solche der DSGVO, es sei denn, es wird explizit ein anderes Gesetz zitiert.
Anmerkung der Redaktion: Für einen besseren Lesefluss wird im Beitrag darauf verzichtet, Vorschriften der DSGVO jeweils mit „DSGVO” zu zitieren. Alle im Beitrag zitierten Artikel sind solche der DSGVO, es sei denn, es wird explizit ein anderes Gesetz zitiert.
Zusätzliche Pflichten
Die in Art. 26 geregelten Pflichten von gemeinsam Verantwortlichen sind zusätzlicher Art, d. h., sie ergänzen die sonstigen Pflichten von Verantwortlichen, die im Wesentlichen in Kapitel 4 der DSGVO geregelt sind und jeden der gemeinsam Verantwortlichen grundsätzlich gleichermaßen treffen.
Die in Art. 26 geregelten Pflichten von gemeinsam Verantwortlichen sind zusätzlicher Art, d. h., sie ergänzen die sonstigen Pflichten von Verantwortlichen, die im Wesentlichen in Kapitel 4 der DSGVO geregelt sind und jeden der gemeinsam Verantwortlichen grundsätzlich gleichermaßen treffen.
Kein Erlaubnistatbestand
Eine gemeinsame Verantwortlichkeit gibt keine Befugnis zur Verarbeitung personenbezogener Daten wie Art. 6. Damit ist Art. 26 keine Erlaubnisnorm und keine Rechtsgrundlage für eine Verarbeitung. Diese Vorschrift enthält aber zusätzliche Anforderungen, deren Nichterfüllung durch die gemeinsamen Verantwortlichen mit Geldbußen sanktioniert werden kann.
Eine gemeinsame Verantwortlichkeit gibt keine Befugnis zur Verarbeitung personenbezogener Daten wie Art. 6. Damit ist Art. 26 keine Erlaubnisnorm und keine Rechtsgrundlage für eine Verarbeitung. Diese Vorschrift enthält aber zusätzliche Anforderungen, deren Nichterfüllung durch die gemeinsamen Verantwortlichen mit Geldbußen sanktioniert werden kann.
Anwendungsfälle
Die Regelung zur gemeinsamen Verantwortlichkeit bietet Gestaltungsmöglichkeiten, soweit personenbezogene Daten ganz oder teilweise im gemeinsamen Interesse verarbeitet werden sollen.
Die Regelung zur gemeinsamen Verantwortlichkeit bietet Gestaltungsmöglichkeiten, soweit personenbezogene Daten ganz oder teilweise im gemeinsamen Interesse verarbeitet werden sollen.
Eine gemeinsame Verantwortlichkeit kann in der Praxis – je nach Ausgestaltung – z. B. in folgenden Konstellationen vorliegen:
| • | Verarbeitungen in Konzernen und Unternehmensverbünden, die vor dem 25. Mai 2018 datenschutzrechtlich nicht selten und nicht in jedem Fall passend als Auftragsverarbeitung abgebildet wurden, |
| • | gemeinsames Zusammenwirken (gemeinsame Datenverarbeitung) von Vertriebspartnern, z. B. im Bereich von Finanzdienstleistungen und Versicherungen, von Unternehmen und von diesen beauftragten Handelsvertretern oder von werbenden Unternehmen und Adresshändlern mittels eines gemeinsamen Portals, |
| • | Modelle digitaler und in digitaler Form angebotener Dienstleistungen, bei denen mehrere Unternehmen zusammenwirken, z. B. Finanz- und Zahlungsdienste sowie Telekommunikationsdienstleistungen oder andere Dienste wie Reservierung und Buchung, die auf Onlineplattformen angeboten werden, |
| • | bestimmte Nutzungsformen in sozialen Netzwerken, z. B. Facebook-Fanpages mit Insight-Funktion und Websites, in die ein sog. Social Plugin wie der „Gefällt mir”- bzw. „Like”-Button – von Facebook eingebunden ist, |
| • | gemeinsame Nutzung von Datenmarktplätzen durch Datenhändler und Erwerber der Daten, |
| • | gemeinsame Verwendung einer Bewerberdatenbank durch ein rekrutierendes Unternehmen und einen Headhunter, |
| • | E-Government-Lösungen der öffentlichen Verwaltung in Form von Portallösungen oder Zusammenschlüssen zur Bereitstellung von Infrastruktur. |
Einzelfallbetrachtung erforderlich
Eine pauschale Einordnung ist jedoch nicht möglich, da die vorgenannten und weitere Konstellationen vielfältige Erscheinungsformen der Verarbeitung umfassen können, was eine differenzierte Bewertung im Einzelfall erfordert.
Eine pauschale Einordnung ist jedoch nicht möglich, da die vorgenannten und weitere Konstellationen vielfältige Erscheinungsformen der Verarbeitung umfassen können, was eine differenzierte Bewertung im Einzelfall erfordert.
Arbeitshilfen
Der Europäische Datenschutzausschuss (EDSA) mit Vertretern der nationalen Datenschutzbehörden der EU-Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten hat die Begriffe, Rollen und Konzepte des Verantwortlichen, der gemeinsam Verantwortlichen und des Auftragsverarbeiters in seinen „Leitlinien 7/2020 zu den Begriffen ‚Verantwortlicher’ und ‚Auftragsverarbeiter’ in der DSGVO” umfassend ausgelegt. [1] Diese Leitlinien können eine gute Grundlage für das Verständnis, die Einordnung und Abgrenzung von (separater) Verantwortlichkeit, gemeinsamer Verantwortlichkeit und Auftragsverarbeitung sein. Der Frage-Antwort-Katalog zur Abgrenzung der Verantwortlichkeiten und des Begriffs der Auftragsverarbeitung des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg erleichtert den Einstieg in das umfassende Dokument des EDSA und stellt Querverweise zur Verfügung, um die im Einzelfall relevanten Ausführungen der Leitlinien zu finden. Zusätzlich können die konkreten Praxisbeispiele zum Verständnis beitragen und bei der praktischen Umsetzung helfen. [2]
Der Europäische Datenschutzausschuss (EDSA) mit Vertretern der nationalen Datenschutzbehörden der EU-Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten hat die Begriffe, Rollen und Konzepte des Verantwortlichen, der gemeinsam Verantwortlichen und des Auftragsverarbeiters in seinen „Leitlinien 7/2020 zu den Begriffen ‚Verantwortlicher’ und ‚Auftragsverarbeiter’ in der DSGVO” umfassend ausgelegt. [1] Diese Leitlinien können eine gute Grundlage für das Verständnis, die Einordnung und Abgrenzung von (separater) Verantwortlichkeit, gemeinsamer Verantwortlichkeit und Auftragsverarbeitung sein. Der Frage-Antwort-Katalog zur Abgrenzung der Verantwortlichkeiten und des Begriffs der Auftragsverarbeitung des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg erleichtert den Einstieg in das umfassende Dokument des EDSA und stellt Querverweise zur Verfügung, um die im Einzelfall relevanten Ausführungen der Leitlinien zu finden. Zusätzlich können die konkreten Praxisbeispiele zum Verständnis beitragen und bei der praktischen Umsetzung helfen. [2]
2 Begriff „Gemeinsam Verantwortliche”
Definition in Art. 26
Wer gemeinsam Verantwortlicher (joint controller) ist, wird in Art. 26 Abs. 1 Satz 1 definiert. Danach sind gemeinsam Verantwortliche zwei oder mehr Verantwortliche, die gemeinsam die Zwecke der Verarbeitung und die Mittel zu dieser Verarbeitung festlegen. Es kommt ausschließlich darauf an, dass diese Kriterien objektiv erfüllt sind. Das ist nach Ansicht des EuGH im Wege einer wertenden Betrachtung aller Umstände des jeweiligen Einzelfalls festzustellen.
Wer gemeinsam Verantwortlicher (joint controller) ist, wird in Art. 26 Abs. 1 Satz 1 definiert. Danach sind gemeinsam Verantwortliche zwei oder mehr Verantwortliche, die gemeinsam die Zwecke der Verarbeitung und die Mittel zu dieser Verarbeitung festlegen. Es kommt ausschließlich darauf an, dass diese Kriterien objektiv erfüllt sind. Das ist nach Ansicht des EuGH im Wege einer wertenden Betrachtung aller Umstände des jeweiligen Einzelfalls festzustellen.
Gemeinsame Verantwortlichkeit nicht verhandelbar
Das Vorliegen einer gemeinsamen Verantwortlichkeit i. S. d. Art. 26 Abs. 1 Satz 1 bemisst sich nur anhand objektiver Kriterien und steht damit nicht zur Disposition der beteiligten Personen oder Stellen. Eine gemeinsame Verantwortlichkeit kann daher nicht durch eine Vereinbarung begründet werden. Davon zu unterscheiden ist die gesetzliche Pflicht von gemeinsam Verantwortlichen, bei Vorliegen einer gemeinsamen Verantwortlichkeit eine Vereinbarung gemäß Art. 26 Abs. 1 Satz 2 zu schließen (dazu s. Abschnitt 5).
Das Vorliegen einer gemeinsamen Verantwortlichkeit i. S. d. Art. 26 Abs. 1 Satz 1 bemisst sich nur anhand objektiver Kriterien und steht damit nicht zur Disposition der beteiligten Personen oder Stellen. Eine gemeinsame Verantwortlichkeit kann daher nicht durch eine Vereinbarung begründet werden. Davon zu unterscheiden ist die gesetzliche Pflicht von gemeinsam Verantwortlichen, bei Vorliegen einer gemeinsamen Verantwortlichkeit eine Vereinbarung gemäß Art. 26 Abs. 1 Satz 2 zu schließen (dazu s. Abschnitt 5).
Sonderfall
Vorschriften der EU-Mitgliedstaaten wie Deutschland oder in EU-Vorschriften können gemeinsam Verantwortliche oder bestimmte Kriterien für deren Benennung festlegen, wenn die Zwecke und Mittel der Verarbeitung in diesen Vorschriften vorgegeben sind (Art. 4 Nr. 7 Halbsatz 2; dazu s. Abschnitt 2.4).
Vorschriften der EU-Mitgliedstaaten wie Deutschland oder in EU-Vorschriften können gemeinsam Verantwortliche oder bestimmte Kriterien für deren Benennung festlegen, wenn die Zwecke und Mittel der Verarbeitung in diesen Vorschriften vorgegeben sind (Art. 4 Nr. 7 Halbsatz 2; dazu s. Abschnitt 2.4).
2.1 Verantwortlicher
Relevanz
Da eine gemeinsame Verantwortlichkeit mindestens zwei Verantwortliche voraussetzt, ist zunächst entscheidend, ob die beteiligten Personen bzw. Stellen überhaupt als Verantwortliche handeln (können).
Da eine gemeinsame Verantwortlichkeit mindestens zwei Verantwortliche voraussetzt, ist zunächst entscheidend, ob die beteiligten Personen bzw. Stellen überhaupt als Verantwortliche handeln (können).
Begriff
Der Verantwortliche ist im Gegensatz zu „Gemeinsam Verantwortlichen” in Art. 4 definiert: Ein Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können in diesem Recht der Verantwortliche beziehungsweise die Kriterien seiner Benennung vorgesehen werden (Art. 4 Nr. 7).
Der Verantwortliche ist im Gegensatz zu „Gemeinsam Verantwortlichen” in Art. 4 definiert: Ein Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können in diesem Recht der Verantwortliche beziehungsweise die Kriterien seiner Benennung vorgesehen werden (Art. 4 Nr. 7).
Bedeutung
Der Begriff des Verantwortlichen dient ebenso wie der Begriff des gemeinsam Verantwortlichen dazu, Verantwortung für die Datenverarbeitung zuzuweisen. Es wird dadurch die Stelle bestimmt, die für die Einhaltung der datenschutzrechtlichen Vorgaben der DSGVO verantwortlich und dafür gemäß Art. 5 Abs. 2 auch rechenschaftspflichtig ist. Darüber hinaus ist der Verantwortliche verpflichtet, die Rechte der betroffenen Personen zu erfüllen. Schließlich ist er auf der Sekundärebene schadensersatzpflichtig (dazu s. Abschnitt 10) und Adressat von behördlichen Maßnahmen einschließlich Sanktionen (dazu s. Abschnitt 11).
Der Begriff des Verantwortlichen dient ebenso wie der Begriff des gemeinsam Verantwortlichen dazu, Verantwortung für die Datenverarbeitung zuzuweisen. Es wird dadurch die Stelle bestimmt, die für die Einhaltung der datenschutzrechtlichen Vorgaben der DSGVO verantwortlich und dafür gemäß Art. 5 Abs. 2 auch rechenschaftspflichtig ist. Darüber hinaus ist der Verantwortliche verpflichtet, die Rechte der betroffenen Personen zu erfüllen. Schließlich ist er auf der Sekundärebene schadensersatzpflichtig (dazu s. Abschnitt 10) und Adressat von behördlichen Maßnahmen einschließlich Sanktionen (dazu s. Abschnitt 11).
Entscheidungsgewalt
Anknüpfungs- und Ausgangspunkt bei der Frage, ob es sich um einen Verantwortlichen i. S. d. Art. 4 Nr. 7 handelt, ist die Entscheidung einer Person bzw. Stelle, personenbezogene Daten zu verarbeiten. Verantwortlicher kann aber nur sein, wer Entscheidungsgewalt hinsichtlich der Verarbeitung personenbezogener Daten besitzt und ausübt. Ob Entscheidungsgewalt vorliegt, ist anhand aller Umstände zu ermitteln, aus denen ein Einfluss auf die Verarbeitung abgeleitet werden kann.
Anknüpfungs- und Ausgangspunkt bei der Frage, ob es sich um einen Verantwortlichen i. S. d. Art. 4 Nr. 7 handelt, ist die Entscheidung einer Person bzw. Stelle, personenbezogene Daten zu verarbeiten. Verantwortlicher kann aber nur sein, wer Entscheidungsgewalt hinsichtlich der Verarbeitung personenbezogener Daten besitzt und ausübt. Ob Entscheidungsgewalt vorliegt, ist anhand aller Umstände zu ermitteln, aus denen ein Einfluss auf die Verarbeitung abgeleitet werden kann.
Zwei Konstellationen
Entsprechend der Legaldefinition von „Verantwortlicher” im Sinne von Art. 4 Nr. 7 Halbsatz 1 und Halbsatz 2 DSGVO gibt es zwei Konstellationen: Verantwortlichkeit kann zum einen aus faktischem Einfluss auf die Datenverarbeitung und zum anderen aus Rechtsvorschriften folgen.
Entsprechend der Legaldefinition von „Verantwortlicher” im Sinne von Art. 4 Nr. 7 Halbsatz 1 und Halbsatz 2 DSGVO gibt es zwei Konstellationen: Verantwortlichkeit kann zum einen aus faktischem Einfluss auf die Datenverarbeitung und zum anderen aus Rechtsvorschriften folgen.
Faktischer Einfluss
Für eine Entscheidungsgewalt aus faktischem Einfluss kommt es darauf an, wer von den beteiligten Stellen das „Ob” und das „Wie” der Verarbeitung beeinflusst und steuert, in welchem Umfang und wie detailgenau Instruktionen erteilt und Kontrolle über die Verarbeitung ausübt bzw. dazu jeweils in der Lage ist. Ein Indiz kann die soziale oder zivilrechtliche Rolle der beteiligten Stelle sein, z. B. die Rolle als Arbeitgeber in Bezug auf die Verarbeitung von Beschäftigtendaten im Rahmen eines Beschäftigungsverhältnisses oder die Rolle als Dienstleistungsunternehmen in Bezug auf die Verarbeitung von Kundendaten im Rahmen einer Kundenvertragsbeziehung. Die vertraglichen Regelungen zwischen den beteiligten Stellen sind zwar nicht ausschlaggebend für die Beurteilung, können aber Hinweise auf den Einfluss auf die Verarbeitung geben. Maßgeblich ist der tatsächliche Einfluss
Für eine Entscheidungsgewalt aus faktischem Einfluss kommt es darauf an, wer von den beteiligten Stellen das „Ob” und das „Wie” der Verarbeitung beeinflusst und steuert, in welchem Umfang und wie detailgenau Instruktionen erteilt und Kontrolle über die Verarbeitung ausübt bzw. dazu jeweils in der Lage ist. Ein Indiz kann die soziale oder zivilrechtliche Rolle der beteiligten Stelle sein, z. B. die Rolle als Arbeitgeber in Bezug auf die Verarbeitung von Beschäftigtendaten im Rahmen eines Beschäftigungsverhältnisses oder die Rolle als Dienstleistungsunternehmen in Bezug auf die Verarbeitung von Kundendaten im Rahmen einer Kundenvertragsbeziehung. Die vertraglichen Regelungen zwischen den beteiligten Stellen sind zwar nicht ausschlaggebend für die Beurteilung, können aber Hinweise auf den Einfluss auf die Verarbeitung geben. Maßgeblich ist der tatsächliche Einfluss
Anforderungen
Die Rolle als Verantwortlicher im Sinne von Art. 4 Nr. 7 Halbsatz 1 setzt eine tatsächliche Einflussnahme auf den Zweck und die Mittel der Verarbeitung aus Eigeninteresse bzw. zu „eigenen Zwecken” voraus. Dafür bedarf es bei mehreren Beteiligten keiner schriftlichen Anleitungen oder Anweisungen. In Konstellationen mit mehreren Beteiligten muss ein Verantwortlicher selbst keinen Zugang zu den Daten haben und braucht nicht selbst Daten zu verarbeiten. Er braucht sogar nicht einmal ausdrücklich in die Durchführung der Verarbeitungsvorgänge oder in die Verarbeitung einer dazu eingesetzten App durch eine andere Stelle eingewilligt zu haben. Schließlich kommt es für die Frage der datenschutzrechtlichen Verantwortlichkeit grundsätzlich nicht auf die Bezeichnung und Nennung als Verantwortlicher in den Informationen zur Verarbeitung gemaß Art. 13 f. an. Diese können allenfalls eine Indizwirkung haben, wenn eine Stelle der Nennung ausdrücklich oder stillschweigend zugestimmt hat. Entscheidend ist, dass der Verantwortliche in gewisser Weise auf die konkrete Verarbeitung bestimmend Einfluss nehmen kann.
Die Rolle als Verantwortlicher im Sinne von Art. 4 Nr. 7 Halbsatz 1 setzt eine tatsächliche Einflussnahme auf den Zweck und die Mittel der Verarbeitung aus Eigeninteresse bzw. zu „eigenen Zwecken” voraus. Dafür bedarf es bei mehreren Beteiligten keiner schriftlichen Anleitungen oder Anweisungen. In Konstellationen mit mehreren Beteiligten muss ein Verantwortlicher selbst keinen Zugang zu den Daten haben und braucht nicht selbst Daten zu verarbeiten. Er braucht sogar nicht einmal ausdrücklich in die Durchführung der Verarbeitungsvorgänge oder in die Verarbeitung einer dazu eingesetzten App durch eine andere Stelle eingewilligt zu haben. Schließlich kommt es für die Frage der datenschutzrechtlichen Verantwortlichkeit grundsätzlich nicht auf die Bezeichnung und Nennung als Verantwortlicher in den Informationen zur Verarbeitung gemaß Art. 13 f. an. Diese können allenfalls eine Indizwirkung haben, wenn eine Stelle der Nennung ausdrücklich oder stillschweigend zugestimmt hat. Entscheidend ist, dass der Verantwortliche in gewisser Weise auf die konkrete Verarbeitung bestimmend Einfluss nehmen kann.
Beispiel: Beauftragung einer App-Entwicklung
Die vorstehenden Leitplanken hat der EuGH Ende 2023 entwickelt. Der EuGH-Entscheidung lag ein – in den Details sehr spezieller – Rechtsstreit zwischen dem vom litauischen Gesundheitsministerium beauftragten Nationalen Zentrum für öffentliche Gesundheit (NZÖG) und der litauischen Datenschutzaufsichtsbehörde wegen der Verhängung einer Geldbuße zugrunde.
Die vorstehenden Leitplanken hat der EuGH Ende 2023 entwickelt. Der EuGH-Entscheidung lag ein – in den Details sehr spezieller – Rechtsstreit zwischen dem vom litauischen Gesundheitsministerium beauftragten Nationalen Zentrum für öffentliche Gesundheit (NZÖG) und der litauischen Datenschutzaufsichtsbehörde wegen der Verhängung einer Geldbuße zugrunde.
EuGH-Urteil – Sachverhalt
Eine Software-Anwendung, deren Entwicklung durch ein IT-Unternehmen (ITSS) vom NZÖG formlos und ohne öffentlichen Auftrag vergeben worden war, wurde von ITSS ohne Zustimmung des NZÖG in App Stores online zum Abruf bereitgestellt. Die App enthielt eine Datenschutzerklärung, in der ITSS und NZÖG als für die Verarbeitung Verantwortliche benannt waren. Im Rahmen des Bußgeldverfahrens machte das NZÖG geltend, kein Verantwortlicher i. S. d. Art. 4 Nr. 7 zu sein. ITSS machte dagegen geltend, als Auftragsverarbeiter auf Weisung von NZÖG gehandelt zu haben.
Eine Software-Anwendung, deren Entwicklung durch ein IT-Unternehmen (ITSS) vom NZÖG formlos und ohne öffentlichen Auftrag vergeben worden war, wurde von ITSS ohne Zustimmung des NZÖG in App Stores online zum Abruf bereitgestellt. Die App enthielt eine Datenschutzerklärung, in der ITSS und NZÖG als für die Verarbeitung Verantwortliche benannt waren. Im Rahmen des Bußgeldverfahrens machte das NZÖG geltend, kein Verantwortlicher i. S. d. Art. 4 Nr. 7 zu sein. ITSS machte dagegen geltend, als Auftragsverarbeiter auf Weisung von NZÖG gehandelt zu haben.
EuGH-Urteil – Entscheidung
Laut EuGH kann eine Stelle, die ein Unternehmen mit der Entwicklung einer App beauftragt und in diesem Zusammenhang an der Entscheidung über die Zwecke und Mittel der über die Anwendung vorgenommenen Verarbeitung mitgewirkt hat, als Verantwortlicher angesehen werden. Das ist nach dem EuGH auch dann der Fall, wenn diese Stelle selbst keine Daten verarbeitet, die App nicht erworben und nicht ausdrücklich in die Durchführung der Verarbeitungsvorgänge sowie die Verbreitung der entsprechenden App eingewilligt hat. Etwas anderes gilt, wenn die Stelle vorab der Bereitstellung der App und der sich damit eröffnenden Verarbeitung(-smöglichkeit) ausdrücklich widersprochen hat. Der EuGH stellt also auf die Mitwirkung bei der Ausgestaltung der Verarbeitung ab und nimmt damit eine weite Interpretation von Verantwortlichkeit vor.
Laut EuGH kann eine Stelle, die ein Unternehmen mit der Entwicklung einer App beauftragt und in diesem Zusammenhang an der Entscheidung über die Zwecke und Mittel der über die Anwendung vorgenommenen Verarbeitung mitgewirkt hat, als Verantwortlicher angesehen werden. Das ist nach dem EuGH auch dann der Fall, wenn diese Stelle selbst keine Daten verarbeitet, die App nicht erworben und nicht ausdrücklich in die Durchführung der Verarbeitungsvorgänge sowie die Verbreitung der entsprechenden App eingewilligt hat. Etwas anderes gilt, wenn die Stelle vorab der Bereitstellung der App und der sich damit eröffnenden Verarbeitung(-smöglichkeit) ausdrücklich widersprochen hat. Der EuGH stellt also auf die Mitwirkung bei der Ausgestaltung der Verarbeitung ab und nimmt damit eine weite Interpretation von Verantwortlichkeit vor.
Rechtsvorschriften
Entscheidungsgewalt kann nicht nur aus faktischem Einfluss, sondern auch aus Rechtsvorschriften folgen. Es gibt Fälle, in denen eine Verantwortlichkeit aus einer ausdrücklichen rechtlichen Zuständigkeit abgeleitet werden kann, wenn z. B. der Verantwortliche oder die spezifischen Kriterien für seine Benennung nach nationalen Vorschriften oder EU-Recht bestimmt sind. Ist der Verantwortliche im Gesetz explizit festgelegt, ist dies für die Bestimmung, wer als Verantwortlicher handelt, maßgeblich. Allerdings müssen in diesen Vorschriften auch die Zwecke und Mittel der Verarbeitung vorgegeben sein (Art. 4 Nr. 7 Halbsatz 2).
Entscheidungsgewalt kann nicht nur aus faktischem Einfluss, sondern auch aus Rechtsvorschriften folgen. Es gibt Fälle, in denen eine Verantwortlichkeit aus einer ausdrücklichen rechtlichen Zuständigkeit abgeleitet werden kann, wenn z. B. der Verantwortliche oder die spezifischen Kriterien für seine Benennung nach nationalen Vorschriften oder EU-Recht bestimmt sind. Ist der Verantwortliche im Gesetz explizit festgelegt, ist dies für die Bestimmung, wer als Verantwortlicher handelt, maßgeblich. Allerdings müssen in diesen Vorschriften auch die Zwecke und Mittel der Verarbeitung vorgegeben sein (Art. 4 Nr. 7 Halbsatz 2).
Beispiele
In Deutschland sind solche Regelungen z. B.enthalten in
In Deutschland sind solche Regelungen z. B.enthalten in
| • | § 67 Abs. 4 Satz 1 und 2 SGB X, der auf die Verarbeitung von Sozialdaten durch Leistungsträger i. S. d. § 12 SGB I Bezug nimmt, |
| • | § 8a Abs. 4 Satz 1 Onlinezugangsgesetz (OZG), wonach der Verantwortliche für die Verarbeitung im länderübergreifenden Onlinedienst ausschließlich die den länderübergreifenden Onlinedienst betreibende Behörde ist, und |
| • | § 307 Abs. 4 Satz 2 und Abs. 5 Satz 1 SGB V, der zum einen die Anbieter der Telematikinfrastruktur und zum anderen die Gesellschaft für Telematik in den jeweils konkretisierten Konstellationen als Verantwortliche bestimmt. |
Weitere Regelungen sind z. B.§ 79a Satz 2 BetrVG und § 69 Satz 2 BPersVG, wonach der Arbeitgeber bzw. die Dienststelle Verantwortliche ist, soweit der Betriebs- bzw. Personalrat zur Erfüllung der in seiner Zuständigkeit liegenden Aufgaben personenbezogene Daten verarbeiten.
2.2 Mehrere Verantwortliche
Mindestens zwei
Eine gemeinsame Verantwortlichkeit i. S. d. Art. 26 Abs. 1 Satz 1 setzt voraus, dass „zwei oder mehr Verantwortliche” die Zwecke und Mittel der Verarbeitung festlegen. Es sind also immer mehrere – mindestens zwei – Verantwortliche erforderlich, die einen wie auch immer gearteten Einfluss auf die Verarbeitung haben. Eine zahlenmäßige Begrenzung nach oben gibt es nicht.
Eine gemeinsame Verantwortlichkeit i. S. d. Art. 26 Abs. 1 Satz 1 setzt voraus, dass „zwei oder mehr Verantwortliche” die Zwecke und Mittel der Verarbeitung festlegen. Es sind also immer mehrere – mindestens zwei – Verantwortliche erforderlich, die einen wie auch immer gearteten Einfluss auf die Verarbeitung haben. Eine zahlenmäßige Begrenzung nach oben gibt es nicht.