DS-GVO/BDSG. David Klein
Читать онлайн книгу.
Auch ein Dritter kann Empfänger sein.[456] Damit sind insbesondere Personen und Stellen als Empfänger einzuordnen, die außerhalb der Organisationseinheit des Verantwortlichen stehen[457] Im Schrifttum umstritten ist die Frage, wie interne Funktions- und Organisationseinheiten des Verantwortlichen einzuordnen sind. Es wird vertreten, dass interne Funktions- oder Organisationseinheiten des Verantwortlichen keine Empfänger i.S.d. Art. 4 Nr. 9 seien. So sei z.B. die Personalverwaltung nicht Empfänger von Beschäftigtendaten, wenn eine Organisationseinheit intern eine Mitteilung in Bezug auf einen Beschäftigten an die Personalverwaltung macht.[458] Vor allem wird angeführt, die Empfängereigenschaft setze eine gewisse Eigenständigkeit voraus.[459]
192
Diese Auffassung überzeugt nach der DS-GVO jedoch nicht. Sie ist geprägt durch die alte Rechtslage. Danach war ein Datenfluss innerhalb der verantwortlichen Stelle und die Datenübergabe an einen Auftragsdatenverarbeiter als ein „Nutzen“ nach § 3 Abs. 5 BDSG a.F. anzusehen. Den Begriff des „Nutzens“ kennt die DS-GVO jedoch nicht mehr. Eine Unterscheidung zwischen Verarbeiten und Nutzen besteht nicht. Wenn einer Person, auch innerhalb der Organisationseinheit des Verantwortlichen, Daten offengelegt werden, dass ist diese Person Empfänger nach Art. 4 Nr. 9.[460]
b) Begriff der Offenlegung
193
Die Empfängereigenschaft nach Art. 4 Nr. 9 setzt voraus, dass dem Empfänger personenbezogene Daten durch den Verantwortlichen offengelegt werden. Nach der Definition des Art. 4 Nr. 2 ist die Offenlegung, die Übermittlung, Verbreitung oder eine andere Form der Bereitstellung. Umstritten ist die Frage, ob die Offenlegung auch die Veröffentlichung durch den Verantwortlichen umfasst. Wäre dies der Fall, wäre auch der als Empfänger nach Art. 4 Nr. 9 anzusehen, der von personenbezogenen Daten Kenntnis erlangt, die durch den Verantwortlichen veröffentlicht wurde.
194
Es wird vertreten, dass auch dann eine Offenlegung vorliegt, wenn „Daten auf einer Website oder in einem Internet-Forum anderen zur Kenntnis gegeben werden“[461] oder wenn „die Weitergabe an eine unbestimmte Vielzahl von Empfängern“[462] erfolgt. Die Offenlegung nach Art. 4 Nr. 2 erfasst danach auch die Veröffentlichung durch den Verantwortlichen an eine unbestimmte und unbestimmbare Anzahl an Empfängern.
195
Nach einer anderen Ansicht setzt die Offenlegung voraus, dass der Verantwortliche einer bestimmten oder zumindest bestimmbaren Person oder einem Kreis bestimmter oder bestimmbarer Personen die personenbezogenen Daten zielgerichtet übermittelt. Demnach sei eine Veröffentlichung keine Offenlegung im Sinne der DS-GVO, da sich die Veröffentlichung an einen unbestimmten Personenkreis richtet.[463] Würden „Offenlegung“ und „Verbreitung“ im Sinne von Art. 4 Nr. 2 die Veröffentlichung personenbezogener Daten meinen, müssten die Begriffe in der DS-GVO auch benutzt werden. Stattdessen werden für die Veröffentlichung personenbezogener Daten so konsequent andere Begriffe als „Offenlegung“ und „Verbreitung“ verwendet, dass der Begriff der „Offenlegung“ Veröffentlichungen nicht umfassen dürfte.[464] Vor allem die systematische Auslegung anhand der Verwendung der Begrifflichkeiten in der DS-GVO lässt die letztgenannte Auffassung vorzugswürdig erscheinen.
3. Ausnahmen bei Behörden
196
Art. 4 Nr. 9 S. 2 enthält eine Ausnahme von der Einordnung als Empfänger. Danach sollen Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach Unionsrecht oder dem Recht der Mitgliedstaaten personenbezogene Daten erhalten, nicht als Empfänger gelten. Der Begriff des Untersuchungsauftrags dürfte nach der deutschen Gesetzesterminologie am ehesten mit „Ersuchen“ übersetzt werden können.[465]
197
ErwG 31 nennt beispielhaft und nicht abschließend die Steuer- und Zollbehörden, Finanzermittlungsstellen, unabhängige Verwaltungsbehörden oder Finanzmarktbehörden, die für die Regulierung von Wertpapiermärkten zuständig sind. Mangels Empfängereigenschaft entfallen hier die Informations- und Mitteilungspflichten.[466] Art. 4 Nr. 9 S. 2 stellt jedoch klar, dass die Verarbeitung durch die ausgenommenen Behörden im Einklang mit den geltenden Datenschutzvorschriften erfolgen muss.
198
Grund für die Privilegierung dieses Sachverhalts ist, dass die Verarbeitung durch die genannten Behörden ja ohnehin im Einklang mit den Datenschutzvorschriften der DS-GVO und des bereichsspezifischen Rechts zu erfolgen hat.[467]
1. Allgemeines
199
Nach Art. 4 Nr. 10 ist Dritter eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten. Der Begriff des Dritten dient der Abgrenzung verschiedener Akteure innerhalb des Regelungsbereiches der DS-GVO. Wenn man aufgrund der Anwendung der Definition und der danach notwendigen Abwägungen zum Schluss kommt, dass ein Dritter – rechtmäßig oder rechtswidrig – personenbezogene Daten empfängt, ist er als ein neuer Verantwortlicher anzusehen und unterliegt damit allein oder gemeinsam mit anderen Verantwortlichen sämtlichen diesen nach der DS-GVO obliegenden Pflichten.[468] Die Definition entspricht Art. 2 lit. f DSRL.
200
Neben der Definition in Art. 4 Nr. 10 nennt die DS-GVO den Begriff des Dritten bei der Definition des Empfängers und im Zusammenhang mit dem Erlaubnistatbestand des Art. 6 Abs. 1 lit. f.[469] Da der Begriff des Dritten in Art. 6 Abs. 1 lit. f und bei den damit zusammenhängende Informationspflichten genannt wird, ist die Definition für den Verantwortlichen relevant, der sich für seine Datenverarbeitung auf die berechtigten Interessen eines Dritten stützen will, und für den Betroffenen, dessen Interessen gegen die berechtigten Interessen des Dritten abgewogen werden müssen. Weitere Erwähnung findet der Begriff des Dritten in den ErwG 47, 54 und 69.
2. Inhalt
201
Dritter kann eine natürliche oder juristische Person, eine Behörde, eine Einrichtung oder eine andere Stelle sein. Wie sich aus der Regelung des Art. 6 Abs. 1 lit. f entnehmen lässt, muss es sich bei dem Dritten um eine Person oder Stelle handeln, dessen Interesse vom berechtigten Interesse des Verantwortlichen abweicht. Werden dem Dritten personenbezogene Daten offengelegt, wird er zum Empfänger und damit zum Verantwortlichen.[470]
202