Source: https://www.pingdigital.de/blog/2017/09/04/joint-controllership-nach-der-dsgvo/1190
Timestamp: 2020-01-26 23:16:15+00:00

Document:
Joint Controllership nach der DSGVO - PinG Privacy in Germany
Autor: Henry Pohlig Erstellt am: 4. September 2017 Rubrik: Datensicherheit
Es gibt seit einem Jahr für Datenschützer kaum ein anderes Thema mehr, als die Umsetzung der DSGVO und die damit einhergehenden Veränderungen für das deutsche und europäische Datenschutzrecht. Jedoch scheinen die ab 25. Mai 2018 geltenden neuen Pflichten bezüglich der Verarbeitung von personenbezogenen Daten durch mehrere Verantwortliche, bisher nicht deren Hauptaugenmerk zu sein. Eine abgespeckte Regelung der Verantwortlichkeit von mehreren Datenverarbeitern ist bereits in Art. 6 Abs. 2 BDSG normiert. Der Wortlaut des BDSG spricht zwar nur eine „verantwortliche Stelle“ an, schließt jedoch die Verantwortung mehrerer natürlicher und juristischer Personen auch nicht eindeutig aus (Vgl. Dammann in Simitis (Hrsg.), BDSG, 8. Aufl. 2014, § 3 Rdnr. 226.). Art. 26 DSGVO regelt nun Fälle der automatisierten Speicherung, die nicht eindeutig einer Stelle zuordenbar ist, mit dem Ziel dass sich Betroffene an jede verantwortliche datenverarbeitende Stelle wenden können (Vgl. Bertemann in Ehmann/ Selmayer, Datenschutzgrundverordnung, Art. 26, Rn. 4). Der Verordnungsgeber legt damit explizit in Art. 26 Abs. 1 S.1 DSGVO Vorgaben für den Fall fest, wenn Verantwortliche gemeinsam personenbezogene Daten verarbeiten.
In Art. 26 Abs. 1 S.1 DSGVO heißt es:
Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche.
Was ist eigentlich ein Verantwortlicher iSd. der DSGVO? Aufschluss darüber gibt Art. 4 Nr. 7 DSGVO, der darunter „jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle [zählt], die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Jedoch wird per Definition eine Abgrenzung zwischen Verantwortlichen und Auftragsverarbeiter nicht einfacher, da durch die zunehmende Komplexität von Datenverarbeitungen, an denen viele Stellen beteiligt sind, eine Abgrenzung zwischen den beiden schwer vorzunehmen ist (Vgl. Bertermann in Ehmann/ Selmayer, Datenschutzgrundverordnung, Art. 26, Rn. 5). Diesbezüglich hat Bertermann, unter Bezugnahme der WP 169 (Artikel – 29 – Datenschutzgruppe), vier Abgrenzungsmöglichkeiten definiert:
„Wer weder rechtlich noch tatsächlich Einfluss auf die Entscheidung hat, zu welchen Zwecken und auf welche Weise personenbezogene Daten verarbeitet werden, kann nicht Verantwortlicher sein“
„Wer allein oder gemeinsam mit anderen über die Zwecke der Verarbeitung entscheidet, ist stets Verantwortlicher“
„Die Entscheidung über die Mittel der Verarbeitung kann der Verantwortliche auch an den Auftragsverarbeiter delegieren, solange ihm inhaltliche Entscheidungen bspw. über die Rechtmäßigkeit der Verarbeitung vorbehalten bleiben“
Auftragsverarbeiter sind eine eigenständige, vom Verantwortlichen abweichende juristische Person, die Daten im Auftrag des oder der Verantwortlichen verarbeitet, ohne über die Zwecke der Verarbeitung entscheiden“
Sind die verantwortlichen Datenverarbeiter identifiziert, wird von ihnen nach Art. 26 Abs.1 S.2 DSGVO die spezifische Dokumentation der verteilten Pflichten verlangt.
In Art. 26 Abs. 1 S.2 DSGVO heißt es:
„Sie [≤ 2 Personen] legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt […]“
Nach Art. 26 Abs. 1 S. 2 DSGVO muss in einer Vereinbarung zwischen den Verantwortlichen in transparenter Form festgelegt werden, wer welche Verpflichtung iSd. der DSGVO zu erfüllen hat. Hiermit will man erreichen, dass die „ klare Zuteilung der Verantwortlichkeit“ des ErwG. 79 DSGVO abgebildet wird und klar verständlich ist, wer für die Wahrnehmung der Rechte der Betroffenen zuständig ist (Vgl. Piltz in Gola, Datenschutz-Grundverordnung, Art. 26, Rn. 10). Der Verordnungsgeber gesteht den Verantwortlichen damit zu, Verpflichtungen in einer Vereinbarung aufzuteilen. Dies stellt jedoch keine Wirksamkeitsvoraussetzung für die gemeinsame Verarbeitung von personenbezogenen Daten dar. Verpflichtungen betreffen neben der Wahrnehmung der Betroffenenrechte auch die Informationspflichten gem. Art. 13 und 14 DSGVO.
Anforderungen an die Vereinbarung
In Art. 26 Abs. 2 S. 1 DSGVO werden die Anforderungen an die Vereinbarung zwischen den Verantwortlichen präzisiert. Demnach muss die Vereinbarung „die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend wiederspiegeln“. Außerdem müssen den betroffenen Personen die wesentlichen Punkte der Vereinbarung gem. Art. 26 Abs. 2 S.2 DSGVO zur Verfügung gestellt werden. Daher müssen mindestens Informationen über die Verantwortlichen und Ansprechpartner zugänglich gemacht werden, die für die Wahrnehmung der Betroffenenrechte und die Informationspflichten gem. Art 13 und 14 DSGVO zuständig sind. Sollte nur ein Ansprechpartner zwischen den Verantwortlichen vereinbart werden, schränkt das die betroffene Person aber in keiner Weise in dem Recht ein, gegen jeden verantwortlichen Datenverarbeiter separat vorzugehen.
Sollten die verantwortlichen Datenverarbeiter gegen die Vorgaben des Art. 26 DSGVO verstoßen, kann nach Art. 83 Abs. 4 lit. a) DSGVO ein Bußgeld in Höhe von 20.000.000 € bzw. 4 % des gesamt weltweit erzielten Umsatzes eines Unternehmens verhängt werden.
Die DSGVO legt entgegen dem BDSG klare Vorgaben für die gemeinsame Verarbeitung von personenbezogenen Daten für die Verantwortlichen fest. Hierbei muss eine Vereinbarung transparent sein, die tatsächlichen Funktionen aufweisen, die Beziehungen zwischen den Verantwortlichen beinhalten und den Betroffenen im Rahmen der Informationspflicht zugänglich gemacht werden. Die Vorgaben des Art. 26 DSGVO sind auch in Bezug auf die drohenden Bußgelder unbedingt einzuhalten.
Rubrik: Datensicherheit Stichwörter: Gemeinsame Verantwortlichkeit, Joint Controllership

References: Art. 6
 § 3
 Art. 26
 Art. 26
 Art. 26
 Art. 26
 Art. 4
 Art. 26
 Art. 26
 Art. 26
 Art. 26
 Art. 26
 Art. 13
 Art. 26
 Art. 26
 Art. 26
 Art. 83
 Art. 26