Jusletter IT

Die Bewertung der datenschutzrechtlichen Rollen ist von größter Bedeutung, da die ab 25. Mai 2018 anwendbare Datenschutz-Grundverordnung (DS-GVO)² für die verschiedenen Rollen unterschiedliche Verpflichtungen vorsieht. Es ist daher für die handelnden Akteure, die personenbezogene Daten verarbeiten, in der Praxis von größter Relevanz, zu wissen, welche datenschutzrechtliche Rolle ihnen in Hinblick auf eine konkrete Verarbeitungstätigkeit zukommt.

In der DS-GVO werden vier datenschutzrechtliche Rollen festgelegt. Zu beachten ist, dass die datenschutzrechtliche Rollenverteilung funktional zu verstehen ist, sodass deren Beurteilung anhand konkreter Verarbeitungsvorgänge im Einzelfall zu erfolgen hat.

Der «Betroffene» ist die natürliche Person, deren Daten verarbeitet werden und auf die sich die verarbeiteten Daten beziehen.³ Der Betroffene muss nach Art 4 Z 1 DS-GVO aus den verarbeiteten Daten zumindest identifizierbar sein, damit personenbezogene Daten vorliegen und der Anwendungsbereich des Datenschutzrechts eröffnet ist.

Verantwortlicher ist gemäß Art 4 Z 7 Satz 1 DS-GVO die «natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet». Sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden (Art 4 Z 7 Satz 2 DS-GVO). Der Verantwortliche ist der aus den datenschutzrechtlichen Vorgaben der DS-GVO primär Verpflichtete – gleichsam als Gegenstück zum Betroffenen als dem aus den datenschutzrechtlichen Vorgaben der DS-GVO Berechtigten. Der Verantwortliche ist «Herr der Datenverarbeitung», ihm obliegt die Entscheidungsbefugnis über Zwecke und Mittel der konkreten Verarbeitungstätigkeit. Entscheidung ist nicht im Sinne eines bewussten kognitiven Vorgangs zu verstehen, sondern im Sinne einer Festlegung⁴ bzw. genauer eines rechtlichen oder tatsächlichen Einflusses⁵ auf diese Festlegung. Eine in der Praxis zur Beurteilung der Rolle als Verantwortlicher oft leichter zu beantwortende Frage ist, wer die Entscheidungsbefugnis hat, die konkrete Datenverarbeitung zu beenden. Nur derjenige, der mit seinem rechtlichen oder tatsächlichen Einfluss die Datenverarbeitung auch jederzeit stoppen kann, kann Verantwortlicher sein.

Es ist für die Qualifizierung als Verantwortlicher auch nicht erforderlich, dass der Verantwortliche die personenbezogenen Daten selbst verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft über den Verarbeitungsprozess verfügt.⁶

Nach Art 4 Z 8 DS-GVO ist «Auftragsverarbeiter» eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Entscheidendes Kriterium ist, dass die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter «im Auftrag» eines Verantwortlichen erfolgt.⁷ Der von der Definition verwendete Begriff «Auftrag» kann jeden unter den Begriff der Verarbeitung fallenden Umgang mit personenbezogenen Daten beinhalten.⁸ Der Auftragsverarbeiter ist der «verlängerte Arm» des Verantwortlichen⁹ und darf nur auf Weisung des Verantwortlichen handeln.¹⁰ Sofern der Auftragsverarbeiter an den Daten auch eigene Interessen verfolgt, ist er (auch) Verantwortlicher.¹¹

Zwischen Verantwortlichem und Auftragsverarbeiter ist regelmäßig ein Auftragsverarbeitungsvertrag zu schließen¹² und es kommen dem Auftragsverarbeiter in der DS-GVO weit mehr Pflichten zu als im bisherigen Datenschutzrecht.¹³

Die DS-GVO versteht unter gemeinsam Verantwortlichen zwei oder mehr Verantwortliche, die gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen.¹⁴ Ob gemeinsame Verantwortlichkeit vorliegt, ist für jede Verarbeitungstätigkeit gesondert zu beurteilen – Voraussetzung ist eine «gemeinsame Kontrolle» über die Verarbeitungstätigkeit.¹⁵ Erfasst sind damit alle Formen kumulativen Zusammenwirkens, soweit diese die Relevanzschwelle einer Mitentscheidung über die Zielrichtung und die Modalitäten der Verarbeitung erreichen. Maßgeblich ist nicht eine tatsächliche Mitwirkung bei einzelnen Datenverarbeitungen, sondern bereits deren Veranlassung oder direkte Mitgestaltung kann verantwortlichkeitsbegründend sein.¹⁶ Die Mitwirkung und Entscheidungshöhe muss daher auch nicht symmetrisch oder der Einfluss der Parteien zwingend gleich groß sein.¹⁷ Wichtig ist allerdings für die Begründung als «gemeinsam Verantwortlicher», dass die Datenverarbeitung ohne den direkten Input des Beteiligten potentiell andersartig gestaltet worden wäre.¹⁸ Fraglich ist, ob jedem der gemeinsam Verantwortlichen Einfluss in Hinblick auf Mittel und Zwecke zukommen muss; der Wortlaut des Art 26 Abs. 1 Satz 1 DS-GVO stellt hier eindeutig kumulativ auf beides ab¹⁹, in der Literatur finden sich allerdings auch andere Auffassungen.²⁰ Die Abgrenzung zum Auftragsverarbeiter kann mitunter schwierig sein²¹, wie auch die Abgrenzung von Situationen, in denen mehrere (abtrennbare) Verarbeitungstätigkeiten mit jeweils selbstständigen Verantwortlichkeiten nebeneinander vorliegen.²² Auch hier kann in der Praxis zur Beurteilung der Rolle als gemeinsam Verantwortliche oft auf die einfacher zu beantwortende Frage abgestellt werden, ob einem Verantwortlichen die Entscheidungsbefugnis, die Datenverarbeitung jederzeit zu beenden, alleine zukommt (dann ist dieser ein alleiniger Verantwortlicher) oder ob die Entscheidungsbefugnis, die Datenverarbeitung jederzeit zu beenden, nur von mehreren Verantwortlichen gemeinsam getroffen werden darf (dann sind diese gemeinsam Verantwortliche).

Zwischen den gemeinsam Verantwortlichen ist eine entsprechende Vereinbarung zu schließen²³ und das Wesentliche dieser Vereinbarung ist den Betroffenen offenzulegen.²⁴ Das Vorliegen von gemeinsamer Verantwortlichkeit entbindet auch in Hinblick auf die internen Übermittlungen zwischen den gemeinsam Verantwortlichen im Übrigen nicht von den Voraussetzungen der Art 6 ff. DS-GVO; die internen Datenflüsse müssen ebenso datenschutzrechtlich gerechtfertigt werden, wie wenn keine gemeinsame Verantwortlichkeit bestünde und es sich bei den Beteiligten um bloße Dritte handeln würde.

Zu beachten ist, dass die datenschutzrechtliche Rolle immer nur in Hinblick auf eine konkrete Verarbeitungstätigkeit zu bewerten ist. Für eine bestimmte Datenverarbeitung kann einem handelnden Akteur eine andere Rolle zukommen, als bei einer weiteren Datenverarbeitungstätigkeit. Auch in Hinblick auf dieselben personenbezogenen Daten kann ein Akteur verschiedene Rollen einnehmen²⁵, wenn mit den Daten unterschiedliche Verarbeitungstätigkeiten verbunden sind.

In Bezug auf eine konkrete Verarbeitungstätigkeit hat sich in der Praxis folgende Prüfreihenfolge bewährt:

• Um welche Verarbeitungstätigkeit geht es?
• Wessen personenbezogene Daten werden verarbeiten? Wer ist Betroffener?
• Wer ist Verantwortlicher?
• Wer ist Auftragsverarbeiter?
• Welche Verantwortliche sind ggf. gemeinsam Verantwortliche?

Konzernsachverhalte werden oft als Anwendungsfall für gemeinsame Verantwortlichkeit genannt.²⁶ Doch bei Verarbeitung von Daten im Konzern liegt eine gemeinsame Verantwortlichkeit viel seltener vor, als vermutet. Für gemeinsame Verantwortlichkeit ist erforderlich, dass die Entscheidungsbefugnis über die konkrete Datenverarbeitung (etwa eine konzernweite Personaldatenbank) den beteiligten Konzerngesellschaften gemeinsam zukommt – und sich etwa auch Tochtergesellschaften in die Gestaltung und Funktionsweise dieser Konzerndatenbank einbringen können – oder nicht. In der Praxis liegt aber oft der Fall vor, dass bei Betrieb einer gemeinsamen konzernweiten Datenbank im Zweifel allein die Konzernspitze²⁷ über die Einführung des Systems entscheidet und den übrigen Konzerngesellschaften hier keine Entscheidungsbefugnis zukommt; insbesondere nicht darüber, gemeinsam mit der Konzernspitze über die Stilllegung / Aufgabe der konzernweiten Datenbank zu entscheiden. Nur dann würde eine gemeinsame Verantwortlichkeit i.S.d. Art. 26 DS-GVO vorliegen. Jedenfalls sind die beteiligten Konzerngesellschaften Verantwortliche in Hinblick auf die von ihnen in das konzernweite Datenbanksystem eingespeisten Daten. Zwischen den beteiligten Konzerngesellschaften ist daher in der Regel keine Vereinbarung nach Art. 26 DS-GVO abzuschließen, selbst wenn jede Konzerngesellschaft auf alle Daten der anderen Konzerngesellschaften zugreifen könnte.²⁸ Die konzerninternen Datenflüsse müssen allerdings wie Datenflüsse zwischen Dritten datenschutzrechtlich gerechtfertigt werden; auch das Vorliegen von gemeinsamer Verantwortlichkeit würde hier keine Erleichterungen bringen.

In Konzernstrukturen sind konzerninterne Dienstleistungen oftmals in einzelnen Konzerngesellschaften zentralisiert. Dies trifft häufig auch auf die IT zu, wobei eine Konzerngesellschaft für alle Konzerngesellschaften als IT-Dienstleister auftritt. Die im Rahmen der Durchführung von IT-Dienstleistungen anfallenden Datenverarbeitungen erfolgen im Auftrag der einzelnen Konzerngesellschaften als Auftraggeber. Somit ist die dienstleistende IT-Konzerngesellschaft als Auftragsverarbeiter der anderen Konzerngesellschaften anzusehen, diese sind im Hinblick auf an die IT-Konzerngesellschaft ausgelagerten Datenverarbeitungstätigkeiten (etwa Hosting, etc.) als Verantwortliche anzusehen. Somit ist zwischen der IT-Konzerngesellschaft und einer anderen Konzerngesellschaft, die IT-Dienstleistungen in Anspruch nimmt, bei der im Rahmen des Auftrags der anderen Konzerngesellschaft auch personenbezogene Daten verarbeitet werden, eine Auftragsverarbeitungsvereinbarung nach Art. 28 DS-GVO abzuschließen.

Wenn mehrere Parteien eine gemeinsame Plattform errichten, um Daten zu verarbeiten, und alle Parteien die Kontrolle darüber haben, auf welche Art und Weise die Daten erhoben und gespeichert und zu welchen Zwecken sie genutzt werden, liegt regelmäßig gemeinsame Verantwortlichkeit vor.²⁹ Wird aber ein Dritt-System eines anderen Anbieters in Anspruch genommen³⁰, so hängt es von der Ausgestaltung des Einzelfalls ab, welche Rolle den einzelnen Parteien an der über das Dritt-System abgewickelte Datenverarbeitung zukommt.

Die Parteien, die ein System eines anderen Anbieters zur Verarbeitung personenbezogener Daten in Anspruch nehmen, sind jedenfalls als Verantwortliche zu qualifizieren. Legen sie den Einsatz des Dritt-Systems gemeinsam fest und können ihn nur gemeinsam beenden, so sind sie auch gemeinsam Verantwortliche.

Für die Qualifizierung des Drittanbieters als Auftragsverarbeiter kommt es maßgeblich darauf an, ob dieser ein Eigeninteresse an den der Datenverarbeitung unterliegenden Daten hat und ob er in Bezug auf die konkrete Datenverarbeitung den Parteien weisungsgebunden ist oder nicht. Im Regelfall werden die Parteien nicht berechtigt sein, dem Drittanbieter Weisungen in Bezug auf die Datenverarbeitung und die eingesetzte Software / das eingesetzte System³¹ zu erteilen. Dies ist jedenfalls bei Anbietern sozialer Netzwerke und Anbietern von Anwendungssoftware der Fall, selbst wenn die Daten bei derartigen Anwendungen nicht auf der Unternehmensinfrastruktur, sondern beim Drittanbieter selbst gespeichert werden. In vielen Fällen (wie etwa Anbietern sozialer Netzwerke) hat der Drittanbieter auch ein starkes Eigeninteresse an den verarbeiteten Daten, meist zum Zwecke der «Verbesserung der eigenen Services». Auch unter diesem Aspekt ist eine Qualifizierung des Drittanbieters als Auftragsverarbeiter regelmäßig zu verneinen. Nur wenn der Drittanbieter weisungsgebunden in Hinblick auf die Datenverarbeitung und die eingesetzte Dritt-Software wäre und keine Eigeninteressen verfolgen würde, würde eine Auftragsverarbeitung vorliegen. In diesem Fall wäre auch ein entsprechender Auftragsverarbeitungsvertrag abzuschließen.

Auch wenn der Drittanbieter regelmäßig nicht als Auftragsverarbeiter, sondern als Verantwortlicher zu qualifizieren ist, liegt zumeist keine gemeinsame Verantwortlichkeit vor, da auf Seiten der Parteien in der Regel kein rechtlicher oder tatsächlicher Einfluss auf die Zwecke und Mittel der Datenverarbeitung besteht³² und eine bloße Mitursächlichkeit für einen Datenstrom zur Begründung gemeinsamer Verantwortlichkeit gerade nicht genügt.³³

Gemäß 28 Abs. 10 DS-GVO gilt ein Auftragsverarbeiter, der unter Verstoß gegen die DS-GVO die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher. Zu beachten ist, dass der Auftragsverarbeiter in Bezug auf die beauftragte Datenverarbeitung dadurch seine Stellung als Auftragsverarbeiter nicht verliert, aber zusätzlich für die von ihm eigenmächtig angestrebte Datenverarbeitung als Verantwortlicher gilt. Wenngleich in der Literatur vereinzelt vertreten wird, dass bei eigenmächtig handelndem Auftragsverarbeiter eine gemeinsame Verantwortlichkeit begründet werde, die nach Maßgabe des Art. 26 DS-GVO zu behandeln sei³⁴, ist dies nicht nachvollziehbar. Weder legen Verantwortlicher und Auftragsverarbeiter für die vom Auftragsverarbeiter eigenmächtig vorgenommene Verarbeitungstätigkeit Mittel oder Zwecke fest, noch kommt dem Verantwortlichen an der vom Auftragsverarbeiter eigenmächtig vorgenommenen Verarbeitungstätigkeit irgendeine Entscheidungsbefugnis zu. Selbiges gilt für den Auftragsverarbeiter hinsichtlich der im Auftrag übernommenen Datenverarbeitungstätigkeiten. Es handelt sich hier schlicht um zwei getrennte Verantwortliche, mögen sie auch am selben Datenbestand operieren.

Ein weiterer in der Praxis oft auftauchender Fall ist, dass ein Dokument personenbezogene Daten von zwei Personen beinhaltet und eine dieser beiden Personen das entsprechende Dokument an einen Dritten weiterleiten möchte. Paradebeispiel ist ein von zwei natürlichen Personen unterzeichneter Vertrag.

Diese Fallkonstellation zeigt, wie wichtig es ist, vor Klärung allfälliger Rollen die Verarbeitungstätigkeit und die zu verarbeitenden personenbezogenen Daten abzugrenzen. In Hinblick auf eigene Daten (also Daten zur eigenen Person) kann eine Person in Hinblick auf eine konkrete Verarbeitungstätigkeit nicht gleichzeitig Betroffener und Verantwortlicher sein³⁵; diese beiden Rollen bestehen exklusiv nebeneinander. Die Offenlegung von Daten, die sich auf die eigene Person beziehen, an Dritte bedarf keiner datenschutzrechtlichen Rechtfertigung, weil es sich beim Offenlegenden um keinen Verantwortlichen oder Auftragsverarbeiter und somit um keinen datenschutzrelevanten Vorgang handelt.

Beinhaltet das einem Dritten offenzulegende Dokument aber auch personenbezogene Daten eines anderen Betroffenen, so wird der Offenlegende zum Verantwortlichen in Hinblick auf die personenbezogenen Daten anderer Betroffener.

Viele österreichische Gesellschaften haben mehrere Standorte, oft als sogenannte «unselbständige Zweigniederlassungen» ohne eigene Rechtspersönlichkeit. Diese Standorte sind der juristischen Person (der Gesellschaft) zuzuordnen und Datenflüsse zwischen Zweigniederlassungen sind datenschutzrechtlich keine Übermittlungen zwischen Verantwortlichen. Diese Fälle sind nicht anders zu beurteilen, als bei Datentransfers zwischen Abteilungen am selben Standort. Lediglich wenn eine unselbstständige Zweigniederlassung gegen die Anweisungen der Hauptniederlassung eigenmächtig Datenverarbeitungen zu eigenen Zwecken vornimmt, wäre sie als eigenständiger Verantwortlicher zu qualifizieren. Selbiges würde im Übrigen auch für Datenverarbeitungen gelten, die von Abteilungen oder Mitarbeitern zu eigenen Zwecken, nicht aber zu Zwecken der Gesellschaft vorgenommen werden.

Die Abgrenzung der datenschutzrechtlichen Rollen ist in der Praxis nicht immer einfach und auf den ersten Blick sofort lösbar. Die Bestimmung der datenschutzrechtlichen Rollen ist aber essentiell für die Beurteilung der datenschutzrechtlichen Rechte und Pflichten der einzelnen Akteure, die personenbezogene Daten verarbeiten. Das in diesem Beitrag vorgestellte Prüfungsschema kann Struktur in die Prüfung der datenschutzrechtlichen Rollenverteilung bringen.