Source: https://www.skwschwarz.de/aktuelles/artikel/artikel-detail/news/erste-auslegungshilfen-zur-eu-datenschutzgrundverordnung-veroeffentlicht/4/detail/News/
Timestamp: 2020-02-28 07:50:45+00:00

Document:
Erste Auslegungshilfen zur EU-Datenschutzgrundverordnung veröffentlicht - SKW Schwarz
Mit der im Mai 2016 in Kraft getretenen EU-Datenschutzgrundverordnung (DSGVO) beginnt eine neue Ära im Datenschutzrecht. Betroffen sind der private und der öffentliche Sektor sowie alle Wirtschaftsbereiche in Deutschland und der EU. Ab dem 25. Mai 2018 müssen Unternehmen die Vorgaben der DSGVO beachten. Anderenfalls drohen hohe Bußgelder und andere Sanktionen.
Auf der Suche nach einem politischen Kompromiss ist die DSGVO an vielen Stellen durch Generalklauseln und unbestimmte Rechtsbegriffe recht vage geblieben. Vor diesem Hintergrund sehen es die Aufsichtsbehörden als eine ihrer Aufgaben an, Interpretations- und Orientierungshilfen zu erstellen.
Thematisch hat sich die Artikel-29-Datenschutzgruppe in den Leitlinien ausführlich mit drei Themen beschäftigt, nämlich der Datenportabilität gemäß Art. 20 DSGVO, dem Datenschutzbeauftragten gemäß Art. 37 DSGVO sowie den federführenden Aufsichtsbehörden nach Art. 56 DSGVO:
Art. 20 DSGVO verleiht dem Betroffenen das Recht, die ihn betreffenden personenbezogenen Daten, die er einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Darüber hinaus ist er berechtigt, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten ursprünglich bereitgestellt wurden, zu übermitteln, sofern
die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht,
In der Praxis bedeutet dies Folgendes: Unternehmen müssen keine Übertragbarkeit solcher Daten gewährleisten, die zum Beispiel auf Basis einer Interessenabwägung verarbeitet wurden. Mithin sollten Unternehmen zur Erhaltung der Datenschutz-Compliance dafür Sorge tragen, dass sie die gesetzliche Grundlage der einzelnen Verarbeitungen festlegen und dokumentieren. Damit können Unternehmen auch ihrer Informationspflicht nach Art. 13 Abs. 1 lit. c) DSGVO nachkommen.
In dem WP243 greift die Artikel-29-Datenschutzgruppe im Kern vier Themenkomplexe mit Bezug auf den betrieblichen Datenschutzbeauftragten nach Art. 37 DSGVO auf: Zunächst äußert sie sich zu den Voraussetzungen der Bestellpflicht, dann befasst sich sie mit den Anforderungen an die Unabhängigkeit und an die Qualifikation des Datenschutzbeauftragten und zuletzt auch mit den Aufgaben des betrieblichen Datenschutzbeauftragten.
Die Ausführungen der Artikel-29-Datenschutzgruppe dazu, wann ein Unternehmen zur Bestellung eines betrieblichen Datenschutzbeauftragten verpflichtet ist, sind für deutsche Unternehmen aller Voraussicht nach ohne Bedeutung. In sämtlichen bisher vom deutschen Gesetzgeber bekannt gewordenen Entwürfen für das Nachfolgegesetz des BDSG wird im Kern an der bisherigen deutschen Regelung festgehalten, wonach eine Bestellpflicht immer schon dann besteht, wenn zehn oder mehr Personen mit der Verarbeitung personenbezogener Daten befasst sind oder wenn die Tätigkeit des Unternehmens besondere Risiken für die betroffenen Personen mit sich bringt. Im letzten bekannten Entwurf (DSAnpUG-EU vom 23.11.2016) wird dies in § 36 BDSG-neu geregelt. Damit greift die Bestellpflicht in Deutschland wesentlich früher als nach der DSGVO.
Sofern Unternehmen zu der Auffassung gelangen, dass eine Bestellpflicht für sie nicht besteht, empfiehlt die Artikel-29-Datenschutzgruppe, die dieser Entscheidung vorausgegangene Prüfung zu dokumentieren. Vor dem Hintergrund der Nachweispflicht für die Einhaltung der Vorgaben der DSGVO (Art. 24 Abs. 1 für Verantwortliche und Art. 28 Abs. 1 für Auftragsverarbeiter) sollten Unternehmen diese Empfehlung unbedingt berücksichtigen.
Die Artikel-29-Datenschutzgruppe stellt klar, dass der Datenschutzbeauftragte eine Beratungs- und Kontrollfunktion hat, aber selbst nicht für die Einhaltung der Vorgaben der DSGVO verantwortlich ist. Die Verantwortung liegt allein beim Verantwortlichen und/oder beim Auftragsverarbeiter. Besondere Bedeutung misst die Artikel-29-Datenschutzgruppe dem Datenschutzbeauftragten im Rahmen der Datenschutz-Folgenabschätzung bei. Hier soll er umfassend beraten und frühzeitig eingebunden werden. Mit Blick auf die Datenschutzdokumentation stellt die Artikel-29-Datenschutzgruppe klar, dass auch diese Pflicht originär beim Verantwortlichen und beim Auftragsverarbeiter liegt, es aber zulässig sei, den Datenschutzbeauftragten mit der Führung der Dokumentation zu beauftragen.
Nach dem DSGVO-Konzept des OSS soll künftig bei grenzüberschreitender Datenverarbeitung nur noch eine Behörde, die sog. federführende Aufsichtsbehörde, alleiniger Ansprechpartner des Verantwortlichen bzw. des Auftragsverarbeiters (Art. 56 Abs. 6 DSGVO) sein. Zu beachten ist, dass damit in der Sache zwar die zentrale Zuständigkeit, nicht aber die alleinige Entscheidungsfindung auf die federführende Behörde übergeht. Diese hat sich mit den in Art. 4 Nr. 22 DSGVO definierten „betroffenen Aufsichtsbehörden“ abzustimmen.
Ob der für das OSS-Konzept relevante grenzüberschreitende Datenverkehr nach Definition in Art. 4 Nr. 23 DSGVO überhaupt vorliegt, wird in der Praxis einerseits relativ leicht zu bejahen sein. Dies ist bereits dann der Fall, wenn eine Verarbeitung de facto in mehr als einem Mitgliedstaat erfolgt. Das WP244 gibt in der komplexeren 2. Tatbestandsvariante der Definition Orientierung, wonach der Datenverkehr auch grenzüberschreitend zu beurteilen ist, wenn eine Verarbeitung personenbezogener Daten erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann.
Die Artikel-29-Datenschutzgruppe verweist einerseits auf die Beurteilung des Einzelfalls („case-by-case“) durch die Aufsichtsbehörden in der Auslegung des Merkmals „erhebliche Auswirkungen“. Andererseits sollen neben dem Kontext der Verarbeitung, der betroffenen Datenkategorien und der Zweck der Verarbeitung u.a. berücksichtigt werden, ob die Datenverarbeitung:
tatsächlich oder wahrscheinlich zu Schäden, Verlust oder Belastungen von Personen führt,
tatsächlich oder wahrscheinlich die Gesundheit, das Wohl oder den Seelenfrieden einer Person beeinflusst,
tatsächlich oder wahrscheinlich die finanzielle oder wirtschaftliche Situation einer Person beeinflusst,
eine Person der Diskriminierung oder unfairer Behandlung aussetzt,
die Verarbeitung besonderer Kategorien personenbezogener Daten, insbesondere Daten von Kindern, betroffen ist.
Die Auslegungshilfen der Artikel-29-Datenschutzgruppe gehen im weiteren Verlauf noch auf die konkrete Bestimmung der „federführenden Aufsichtsbehörde" ein. Diese soll nach Art. 56 Abs. 1 DSGVO die für die am Ort der „Hauptniederlassung" der Organisation zuständige Behörde sein.
Die Leitlinien und die FAQs der Artikel-29-Datenschutzgruppe sind nicht bindend, sind aber für Aufsichtsbehörden und Unternehmen als wertvolle Auslegungs- und Orientierungshilfen anzusehen. Die Leitlinien und FAQs werden daher auch von den deutschen und europäischen Datenschutz-Aufsichtsbehörden zur Kenntnis genommen. Sie geben einen potenziellen Einblick in die zukünftige Auslegung der Vorschriften der DSGVO durch die deutschen und europäischen Datenschutz-Aufsichtsbehörden.
Leitlinien und FAQs zum Datenschutzbeauftragten,
Leitlinien und FAQs zur federführenden Aufsichtsbehörde.

References: Art. 20
 Art. 37
 Art. 56

Art. 20
 Art. 13
 Art. 37
 § 36
 Art. 28
 Art. 4
 Art. 4
 Art. 56