Source: http://bundesverwaltungsgericht.de/entscheidungen/entscheidung.php?ent=250216B1C28.14.0
Timestamp: 2017-09-23 17:04:31
Document Index: 237604067

Matched Legal Cases: ['Art. 28', 'Art. 24', 'Art. 8', 'EuG', 'Art. 7', 'Art. 8', 'EuG', '§ 11', 'Art. 17', 'EuG', 'EuG', 'Art. 4', 'EuG', 'Art. 28', '§ 38']

Bundesverwaltungsgericht | Entscheidung | BVerwG 1 C 28.14
BVerwG 1 C 28.14 [ ECLI:DE:BVerwG:2016:250216B1C28.14.0 ]
Zitiervorschlag: BVerwG, Beschluss vom 25.02.2016 - 1 C 28.14 [ECLI:DE:BVerwG:2016:250216B1C28.14.0]
32 aa) Art. 28 Abs. 3 Spiegelstrich 2 RL 95/46/EG sieht vor, dass jede Kontrollstelle über wirksame Kontrollbefugnisse einschließlich der Möglichkeit verfügen muss, das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen. Art. 24 RL 95/46/EG gibt den Mitgliedstaaten auf, geeignete Maßnahmen zu ergreifen, um die volle Anwendung der Bestimmung der Richtlinie sicherzustellen. Die Datenschutzrichtlinie zielt auf einen wirksamen und umfassenden Schutz des Rechts auf die Privatsphäre (Art. 8 Europäische Menschenrechtskonvention) auf einem hohen Schutzniveau (Erwägungsgründe 2 und 10 RL 95/46/EG). Der Gerichtshof der Europäischen Union (EuGH) betont in gefestigter Rechtsprechung die Bedeutung sowohl des auch durch Art. 7 GRC gewährleisteten Grundrechts auf Achtung des Privatlebens als auch des durch Art. 8 GRC gewährleisteten Grundrechts auf Schutz personenbezogener Daten (vgl. EuGH, Urteile vom 7. Mai 2009 - C-553/07 [ECLI:EU:C:2009:293], Rijkeboer - Rn. 47; vom 8. April 2014 - C-293/12, C-594/12 [ECLI:EU:C:2014:238], Digital Rights Ireland u.a.- Rn. 53; vom 13. Mai 2014 - C-131/12 [ECLI:EU:C:2014:317], Google Spain und Google - Rn. 53, 66 und 74 und vom 6. Oktober 2015 - C-362/14 [ECLI:EU:C:2015:650], Schrems - Rn. 39).
36 Bei unionsrechtskonformer Auslegung kommt eine entsprechende Anwendung der Auswahl- und Kontrollpflichten des § 11 Abs. 2 Satz 1 und 4 BDSG allerdings dann nicht in Betracht, wenn aus Art. 17 Abs. 2 RL 95/46/EG im Umkehrschluss folgt, dass einem Informationsanbieter datenschutzrechtliche Auswahl- und Kontrollpflichten nur und ausschließlich bei einer Datenverarbeitung im Auftrag auferlegt werden können. Die Auferlegung weitergehender Pflichten ist nach dem Wortlaut allerdings nicht ausgeschlossen; sie bewirkt auch keine neuen oder zusätzlichen materiellrechtlichen Bedingungen in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten (dazu EuGH, Urteil vom 24. November 2011 - C-468/10, C-469/10 [ECLI:EU:C:2011:777], ASNEF/FECEMD -). Für einen Umkehrschluss mag indes eine klare und eindeutige Verantwortungszuweisung allein an den Infrastrukturanbieter sprechen; die Nutzer von Infrastrukturangeboten und Plattformen bleiben zudem von der Notwendigkeit befreit, die Rechtmäßigkeit der Datenverarbeitung durch den ausgewählten Anbieter (inzident) überprüfen zu müssen.
40 bb) Die Vorlagefrage zu 4. richtet sich auf die Zuständigkeitsverteilung zwischen den Datenschutzkontrollbehörden in Fällen, in denen ein Mutterkonzern (hier: Facebook Inc., USA) im Unionsgebiet mehrere Niederlassungen unterhält, die aber unterschiedliche Aufgaben haben. In seinem Urteil vom 13. Mai 2014 (EuGH, Urteil vom 13. Mai 2014 - C-131/12 -) hat der Gerichtshof der Europäischen Union Art. 4 Abs. 1 Buchst. a) RL 95/46/EG dahin ausgelegt, dass im Sinne dieser Bestimmung eine Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung ausgeführt wird, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet eines Mitgliedstaates besitzt, wenn der die Verarbeitung Durchführende in einem Mitgliedstaat für die Förderung des Verkaufs der Werbeflächen für sein Datenverarbeitungsangebot und diesen Verkauf selbst eine Zweigniederlassung oder Tochtergesellschaft gründet, deren Tätigkeit auf die Einwohner dieses Staates ausgerichtet ist. Klärungsbedürftig ist, ob diese Anknüpfung an eine (allein) für Marketing und Vertrieb zuständige Niederlassung in einem Mitgliedstaat (hier: Deutschland) für die Anwendbarkeit der Datenschutzrichtlinie und die Zuständigkeit der Kontrollbehörde auch auf eine Konstellation übertragbar ist, bei der eine in einem anderen Mitgliedstaat (hier: Irland) niedergelassenen Tochtergesellschaft nach der konzerninternen Aufgaben- und Verantwortungsteilung auch im Außenverhältnis als im gesamten Unionsgebiet "für die Verarbeitung Verantwortlicher" auftritt. Insoweit keine Klärung bewirkt aus Sicht des vorlegenden Gerichts das Urteil des Gerichtshofs vom 1. Oktober 2015 (EuGH, Urteil vom 1. Oktober 2015 - C-230/14 [ECLI:EU:C:2015:639], Weltimmo -); dort war nicht die Konstellation zweier rechtlich selbständiger Tochtergesellschaften, denen konzernintern unterschiedliche sachliche und regionale Aufgaben zugewiesen waren, einer außerhalb des Unionsgebiets ansässigen Muttergesellschaft zu beurteilen. Bei der vorliegend in Rede stehenden Konstellation kommt es auf die Reichweite der Kontroll- und Aufsichtsbefugnisse in Deutschland gelegener Kontrollstellen, die an die für Werbung und Marketing zuständige Niederlassung Facebook Germany GmbH anknüpfen, nicht zuletzt wegen der Auswahl des Adressaten einer Maßnahme nach Art. 28 Abs. 3 RL 95/46/EG (bzw. § 38 Abs. 5 BDSG) an. Ein Vorgehen gegen die Klägerin könnte dann - unabhängig von der Beurteilung der Rechtmäßigkeit der Datenverarbeitung durch Facebook - ermessens- und daher rechtswidrig sein, wenn die von der Kontrollbehörde angenommenen Verstöße gegen das Datenschutzrecht durch ein Vorgehen direkt gegen die in Deutschland gelegene Niederlassung Facebook Germany beseitigt werden könnten.