How German Data Protection Authorities interpret the GDPR

The German Data Protection Authorities (DPAs) have published three papers with their interpretation of certain Articles of the forthcoming EU General Data Protection Regulation (GDPR) (Paper 1, Paper 2, Paper 3; all in German). In sum, the views of the DPAs are not very surprising. However, this is the first time that all German authorities speak with one voice concerning the interpretation of the GDPR.

The papers cover the following topics:

Paper 1: Records of processing activities

Paper 2: Powers of DPAs and sanctions

Paper 3: Processing of personal data for marketing purposes

In the first paper the DPAs explain the obligation of Art. 30 GDPR. The DPAs note that the record of processing activities must be kept by the controller and (this is new) by the data processor. Furthermore, the DPAs highlight that the record must be made available to the supervisory authority on request. Keeping this record does not suffice to fulfill all documentation obligations under the GDPR. The DPAs point to Art. 5 para 2 GDPR and for example the obligation in Art. 24 para 1 GDPR, according to which the controller must be able to demonstrate that processing is performed in accordance with the GDPR.

In the second paper the DPAs shed some light on their interpretation of Art. 58 and Art. 83 GDPR. The DPAs explain that besides making use of an investigative or corrective power according to Art. 58 GDPR, the authorities may take action against a controller or processor and issue fines according to Art. 83 GDPR. In the view of the DPAs, the term “undertaking” in Art. 83 para 4, 5 and 6 GDPR must be interpreted broader than the definition of “enterprise” in Art. 4 (18) GDPR. The DPAs refer to Recital 150 GDPR to justify this understanding. Recital 150 GDPR specifies that “an undertaking should be understood to be an undertaking in accordance with Articles 101 and 102 TFEU”. This is a reference to the broad definition of “undertaking” in antitrust and competition law by the ECJ. The concept of an undertaking encompasses every entity engaged in an economic activity regardless of the legal status of the entity and the way in which it is financed.

This means that according to the German DPAs “undertaking” in Art. 83 GDPR does not only encompass one single undertaking but also a group of undertakings.

One may of course oppose this view with good arguments, since the notion of “group of undertakings” is legally defined in Art. 4 (19) GDPR but explicitly not used in Art. 83 GDPR.

In the third paper the German DPAs turn to questions of the processing of personal data for marketing purposes. According to the DPAs, under the GDPR the processing for marketing purposes will mainly be based on Art. 6 para 1 (f) GDPR and therefore require the weighing of interests (of course, consent is also another possible legal basis). The DPAs specifically refer to Recital 47 GDPR which explains that “the processing of personal data for direct marketing purposes may be regarded as carried out for a legitimate interest”. Furthermore, data controllers must take note of the requirement established in Recital 47 that “the reasonable expectations of data subjects” must be taken into consideration. The DPAs highlight that it is not clear when these reasonable expectations are actually rightly taken into account. However, the DPAs explain that information will play a crucial role for data controllers in order to shape the “reasonable expectations”. According to the DPAs, if the controller informs the data subjects in a clear and transparent manner about the marketing purpose of the processing, the reasonable expectation of the natural person will expect this kind of processing. But the DPAs also mention the right of data subjects to object at any time to processing of personal data for marketing (Art. 21 para 2 GDPR). Furthermore, special categories of personal data (Art. 9 GDPR) may only be processed for marketing purposes if valid consent has been obtained, since Art. 9 GDPR does not foresee a possibility like Art. 6 para 1 (f) GDPR. Lastly, the DPAs rightly refer to special rules for e-mail marketing. According to Sec. 7 of the Act Against Unfair Competition (transposing Art. 13 of Directive 2002/58/EC), marketing via e-mail requires consent except where a company obtains from its customers their electronic contact details for electronic mail in the context of the sale of a product or a service, uses the electronic contact details for direct marketing of its own similar products or services and provided that customers clearly and distinctly are given the opportunity to object.

 

 

 

International Data Transfers: EU Commission prepares adaptation of all existing adequacy decisions

The European Commission is currently in the process of adaptation of existing decisions on the admissibility of transfers of personal data to countries outside the European Economic Area (so-called third countries). This follows from the agenda (txt) of the Article 31 Committee pursuant to Article 31 of the Data Protection Directive 95/46/EC for its meeting on October 3, 2016.

The European Commission is planning a formal decision adapting Decision 2001/497/EC on standard contractual clauses for the transfer of personal data to controllers in third countries and a decision adapting Decision 2010/87/EC on standard contractual clauses for transfer of personal data to processors established in third countries.

In addition, all existing adequacy decisions for the level of data protection in certain third countries shall be adapted. An overview of the current adequacy decisions can be found here.

The now planned adjustments by the European Commission are the consequence of the judgment of the European Court of Justice repealing the Safe Harbor Decision (C-362/14, Schrems). The actual content of the proposed amendments is however not publicly available. The two proposed decisions of the European Commission are not accessible. However, if one considers the judgment of the European Court of Justice, the proposed changes might in particular address the powers of national data protection authorities, which may not be restricted by decisions of the European Commission.

Google challenges fine by French Data Protection Authority: a “right to be forgotten” for the entire world?

Yesterday Google announced in a blog post that the company will legally challenge a decision and fine imposed by the French Data Protection Authority (CNIL). Information about the procedure is available on the CNIL website. There is also an unofficial translation of the relevant decision (PDF) available on the website.

In particular, the CNIL considers that it is not sufficient under the current European data protection law and in light of the judgment of the European Court of Justice (ECJ) in its Google decision (C-131/12), if after a complaint from a data subject, links to search result are solely suppressed on websites with European extensions (.de, .es or .fr) and also for searches originating from the Member State of the complainant on all sites of the search engine (so also on Google.com). This approach was recently chosen by Google. The French Authority in fact requires that links from search results must be suppressed on all sites of the search engine and also irrespective of the Member State where the complainant is located and from where the search is made.

As a result, the question arises whether European data protection law and in particular its enforcement by Data Protection Authorities (DPAs) take global validity and know no territorial borders. So whether, on the grounds of a decision of the French authorities, a user of the search engine located in the other Member States (for example in Germany or Spain) and, secondly, in countries outside the EEA such as the US (Google.com) or Japan (Google.co.jp), may only see the changed search result list.

Please find some food for thought below, which is certainly not exhaustive, but may foster the discussion.

In principle, one can determine that the ECJ in its Google decision made no concrete statement on the territorial scope of the so-called “Right to be forgotten”. But what the ECJ always emphasizes (not only in this ruling), is the importance of possible enforcement and full effect the guarantees and established safeguards of the Data Protection Directive (DPD) for data subjects.

In its Google judgment, the ECJ held that

the operator of the search engine as the controller in respect of that processing must ensure, within the framework of its responsibilities, powers and capabilities, that that processing meets the requirements of Directive 95/46, in order that the guarantees laid down by the directive may have full effect. (Margin No 83)

Of course, a major role in achieving the objective of enforcement of European law and its full effect is played by the DPAs. That’s also emphasized by the ECJ in its judgment:

In this connection, it is to be noted that it is clear from Article 28(3) and (4) of Directive 95/46 that each supervisory authority is to hear claims lodged by any person concerning the protection of his rights and freedoms in regard to the processing of personal data and that it has investigative powers and effective powers of intervention enabling it to order in particular the blocking, erasure or destruction of data or to impose a temporary or definitive ban on such processing. (Margin No 78)

From this, one can already conclude that the question of whether European data protection law should “govern the world” or at least countries outside of the EEA, must always be seen in connection with its enforcement by supervisory authorities. Because the applicability of European data protection law alone has nothing to do with the realization of the guarantees provided by the DPD and, in the words of the ECJ, its full effect, or also the guarantees provided by the Charter of Fundamental Rights of the European Union for the individuals concerned.

I want to support this view with a reference to the well-known judgment of the ECJ repealing the data retention directive (C-293/12 and C-594/12). There, the Court criticized that the directive

does not require the data in question to be retained within the European Union, with the result that it cannot be held that the control, explicitly required by Article 8(3) of the Charter, by an independent authority of compliance with the requirements of protection and security, as referred to in the two previous paragraphs, is fully ensured. Such a control, carried out on the basis of EU law, is an essential component of the protection of individuals with regard to the processing of personal data. (Margin No 68)

So the ECJ assumes that when the possibility for a DPA to control compliance with the rules of the DPD and, in the worst case, also enforce these rules exists, only then can the requirements of the Charter of Fundamental Rights and also the corresponding guarantees for the protection of personal data in the DPD be fully fulfilled and ensured. But this possibility of control and especially enforcement by a public authority is only possible within the Union.

Assuming therefore that in addition to pure applicability of European data protection law also the possibility of monitoring its compliance and in particular its enforcement must always be considered as an inherent guarantee, this inevitably raises the question of how far the powers of European DPAs, particularly from a territorial perspective, reach.

To this end, I would like to refer to a further decision of the ECJ, the Weltimmo decision (C-230/14). In that judgment, the Court addressed the question of how far the competences of the European DPAs reach.

It follows from Article 28(1) DPD that each supervisory authority established by a Member State is to ensure compliance, within the territory of that Member State, with the provisions adopted by the Member States pursuant to the DPD (Margin No 47; emphasizes added). Furthermore, according to the ECJ, it is apparent from Article 28(1) and (3) DPD that each supervisory authority is to exercise all of the powers conferred on it on the territory of its own Member State in order to ensure, on that territory, compliance with data protection rules (Margin No 51, emphasizes added). Additionally, the ECJ held that it follows from the requirements derived from the territorial sovereignty of the Member State concerned, the principle of legality and the concept of the rule of law that the exercise of the power to impose penalties cannot take place, as a matter of principle, outside the legal limits within which an administrative authority is authorised to act subject to the law of its own Member State (Margin No 56, emphasizes added).

Weltimmo concerned an intra-European issue and the question of the extent to which the DPA of one Member State may exercise its powers on the territory of another Member State. This is rejected by the court with the above reasoning. The sanctioning power of a DPA may not be exercised outside the legal limits of its own Member State.

Transferred to the dispute between Google and the French DPA now the question arises whether it would be consistent with the aforementioned ECJ case law, to concede the power to a European supervisory authority to regulate, on the one hand, data processing operations initiated by and targeted to persons in other European Member States (the respective user of the search engine, who searches for a name of an affected person) or, on the other hand, also such processing operations initiated by persons on the territory of countries outside the European Union, and, in the end, also to influence such data processing operations with a relevant administrative decision.

The measure of a European authority would have a direct impact in other States. Already for the first constellation that a decision by the French DPA would affect persons on the territory of Germany or Spain, I have my doubts. This is of course even more valid in the second constellation, outside the European Union and thus also outside the competences of European authorities.

Now one surely can cite as a counter-argument that the territorial scope of European data protection law is interpreted in a very broad way, also by the ECJ, and European data protection law applies to the activities of Google Inc., with headquarters in the USA. That is correct. But in my view, as described above, it is inevitably necessary in order to achieve the objectives laid down in the DPD and in the Charter of Fundamental Rights of the European Union that a DPA is able to monitor the compliance with these rules and enforce the rights and guarantees (I refer again to the ECJ judgment regarding the Data retention directive). Such enforcement, however, due to the principle of territorial sovereignty of States, is not always possible.

The European DPAs seem to be aware of this situation. If one looks at the official guidelines on the implementation of the Google decision (WP 225,  PDF), one can find on page 8 in paragraph 19 the following statement: “In practice, DPAs will focus on claims where there is a clear link between the data subject and the EU, for instance where the data subject is a citizen or resident of an EU Member State”. So the DPAs propose only to focus on situations where a clear connecting factor to a European Member State exists.

In the end, one must observe that that the territorial enforcement European data protection law is certainly not an easy and also a disputatious topic. It will be interesting to see how this case moves further in France. Perhaps the ECJ has to decide again.

Checkliste des Europäischen Gerichtshofs: Anforderungen durch Privacy Shield erfüllt?

Ich selbst konnte noch nicht alle Materialien sichten, die am Montag zum EU-US Privacy Shield veröffentlicht wurden. Bei so umfangreichen Dokumenten, gerade mit juristischem Inhalt, finde ich es oft hilfreich und unabdingbar, wenn man eine systematische Sichtung vornimmt. Insbesondere bei der Frage, ob der nun von der Europäischen Kommission veröffentlichte Entwurf einer Angemessenheitsentscheidung (pdf) die Anforderungen des Europäischen Gerichtshofs (EuGH) gerecht wird, die im Urteil zu Safe Harbor (C?362/14) aufgestellt wurden, bietet sich meines Erachtens eine Art Checkliste an. Hier die Vorgaben des EuGH, dort die Maßnahmen der Kommission.

Auf meinem Blog zum EU-US Privacy Shield habe ich den Versuch einer ersten Analyse unternommen. Hier geht es zu dem Beitrag.

 

EU-US Privacy Shield: Was wir bisher wissen.

Am 2. Februar 2016 hat die Europäische Kommission eine politische Einigung mit der amerikanischen Regierung auf ein neues System bzw. einen Rahmen für transatlantische Datentransfers bekanntgegeben, das „EU-US Privacy Shield“. Was genau der Inhalt dieses Systems sein wird, dazu existieren derzeit kaum valide Informationen. Das mag man kritisieren. In der Öffentlichkeit wurden zwar bereits Einschätzungen diskutiert, nach denen das EU-US Privacy Shield den datenschutzrechtlichen Anforderungen an Datentransfers in Drittstaaten (insbesondere unter Berücksichtigung des Urteils des EuGH vom 6. Oktober 2015, C-362/14) klar nicht genügen würde. Derartige inhaltliche Meinungen halte ich persönlich jedoch für verfrüht und warte daher gerne auf einen konkreten Text (insbesondere die Angemessenheitsentscheidung der Europäischen Kommission), der sich dann juristisch prüfen lässt.

Dennoch brennt die Frage, was da auf transatlantische Datenübermittlungen und betroffene Organisationen zukommt, verständlicherweise vielen Beteiligten unter den Nägeln. Bis also ein offizieller Text vorliegt, lässt sich dem Grunde nach nur zusammentragen, was aus verschiedenen Quellen bekannt gegeben wurde. An diesen Ankündigungen muss sich das System dann auch messen lassen. Nachfolgend möchte ich versuchen, eine solche Übersicht (Stand 4. Februar 2016) zu erstellen.

Pressemitteilung der Europäischen Kommission vom 2. Februar 2016

Überwachung und Durchsetzung der Regelungen durch das US-Handelsministerium und die Federal Trade Commission (FTC).

Vorgaben zur verstärkten Zusammenarbeit mit den europäischen Datenschutzbehörden.

Zusagen der US-Regierung, dass die Möglichkeiten für Behörden, nach dem amerikanischen Recht auf im Rahmen der neuen Vereinbarung übertragene personenbezogene Daten zuzugreifen, an klare Bedingungen, Beschränkungen und Aufsicht geknüpft ist, um einen allgemeinen Zugang zu verhindern.

Europäer werden die Möglichkeit haben, jede Anfrage oder Beschwerde in diesem Zusammenhang bei einer neu zu schaffenden Ombudsperson vorzubringen.

Verbindliche Zusicherungen der US-Regierung, dass der Zugang durch Behörden für Zwecke der nationalen Sicherheit klaren Grenzen, Schutz- und Aufsichtsmechanismen unterliegen wird.

Zum ersten Mal wird für EU-Bürger die Möglichkeit bestehen, Rechtsschutzverfahren in diesem Bereich [Anm. d. Autors: bezieht sich auf den Zugang durch Behörden für Zwecke der nationalen Sicherheit] in Anspruch zu nehmen.

Jährliche gemeinsame Überprüfung, um die Umsetzung dieser Verpflichtungen genau zu beobachten. Die Europäische Kommission und das US-Handelsministerium werden die Überprüfung durchführen und Experten für Nachrichtendienste aus den USA und europäische Datenschutzbehörden zur Teilnahme einladen.

US-Unternehmen, die personenbezogene Daten aus Europa importieren möchten, müssen sich zur Einhaltung von Vorgaben verpflichten, wie personenbezogene Daten verarbeitet und die Rechte des Einzelnen gewährleistet werden.

Darüber hinaus muss sich jedes Unternehmen, welches mit Arbeitnehmerdaten aus Europa umgeht, dazu verpflichten, Entscheidungen der europäischen Datenschutzbehörden anzuerkennen und nachzukommen.

Jeder Bürger, der der Auffassung ist, dass seine Daten im Rahmen des neuen Systems unzulässig verwendet wurden, wird mehrere Rechtsbehelfsverfahren zur Auswahl haben.

Unternehmen haben konkrete Fristen zu beachten, um auf Beschwerden zu antworten.

Europäische Datenschutzbehörden können Beschwerden an das US-Handelsministerium und die Federal Trade Commission weiterleiten.

Alternative Streitbeilegungsmechanismen werden kostenlos sein.

Die Europäische Kommission wird nun in den nächsten Wochen einen Entwurf für eine Angemessenheitsentscheidung [Anm. d. Autors: Nach Art. 25 Abs. 6 der Europäischen Datenschutzrichtlinie] erarbeiten. Dieser wird der Art. 29 Datenschutzgruppe für eine Stellungnahme zugeleitet und muss nach dem Ausschussverfahren [Anm. d. Autors: Art. 31 der Europäischen Datenschutzrichtlinie] angenommen werden.

Fragerunde des US Handelsministeriums auf Twitter vom 3. Februar 2016

Um am Privacy Shield teilnehmen zu können, müssen US-Unternehmen entweder Durchsetzungsbefugnissen der FTC oder des US-Transportministeriums unterliegen.

Ich selbst hatte zwei Fragen gestellt: 1) Ob das System erneut auf einer Selbstzertifizierung der US-Unternehmen basieren wird? 2) Ob noch amerikanisches Recht angepasst werden muss?

Die Antwort des US-Handelsministeriums, kurz und knapp:

Derzeit unter Safe Harbor zertifizierte Unternehmen werden einen Übergangszeitraum erhalten.

Das US-Handelsministerium wird die für das Privacy Shield zuständige Mitarbeiterzahl verdoppeln.

Auf die Frage eines Twitter-Nutzers, ob die „Presidential Policy Directive 28“ (PPD-28) ein rechtlich bindendes Instrument darstelle, antwortete das US-Handelsministerium:

Informationsblatt des US Handelsministeriums vom 2. Februar 2016 (hier Informationen, die über jene der Europäischen Kommission hinausgehen)

Unternehmen werden sich verpflichten, an Schiedsverfahren als mögliche letzte Instanz bei Beschwerden teilzunehmen, um sicherzustellen, dass EU-Bürger die Möglichkeit haben, auf diesem Wege Rechtsmittel einzulegen.

Das Privacy Shield enthält neue vertragliche Vorgaben zum Schutz der Privatsphäre und zur Aufsicht für Daten, die von teilnehmenden Unternehmen an Dritte weitergegeben oder von deren Dienstleistern verarbeitet werden, um die Haftung besser zu regeln und die Fortgeltung des Schutzes zu gewährleisten.

Ankündigung

Und noch eine Ankündigung zum Schluss: unter www.euusprivacyshield.de werde ich bald eine eigene Informationsseite einrichten und dort versuchen, die neuesten Entwicklung rund um dieses wichtige Projekt zu verfolgen und zu kommentieren.

Die Datenschutz-Grundverordnung und Open Data

Open Data und Datenschutz. Oft ein nicht ganz simples Thema. Auf der einen Seite sollen bei öffentlichen Stellen vorhandene Informationen allgemein verfügbar und für eine Weiterverwendung nutzbar gemacht werden. Auf der anderen Seite steht das Grundrecht auf den Schutz personenbezogener Daten von Personen, deren Daten betroffen sind.

Grundsätzlich: Personenbezug

Solange es sich bei den von öffentlichen Stellen herausgegebenen Daten um solche Informationen handelt, die nicht auf eine natürliche Person beziehbar sind, spielt das Datenschutzrecht keine Rolle. Denn dann ist sein Anwendungsbereich nicht eröffnet.

Bereits auf dieser Stufe stellt sich jedoch ein Problem: die Auslegung des Begriffs „personenbezogenes Datum“. Gerade Aufsichtsbehörden verstehen diesen, ihrem gesetzlichen Auftrag entsprechend, recht weit und fassen bekanntermaßen z.B. IP- oder MAC-Adressen hierunter. Es kommt nicht darauf an, ob allein jene Stelle, bei der die Daten liegen, einen Personenbezug herstellen kann, sondern es ist auch die Möglichkeit für Dritte, einen Personenbezug herzustellen, zu prüfen, zumindest soweit damit vernünftigerweise gerechnet werden kann.

Werden personenbezogene Daten (z.B. in Dokumenten) etwa durch eine Behörde veröffentlicht oder an eine anfragende Person herausgegeben, so liegt eine rechtfertigungsbedürftige Datenverarbeitung vor.

Nachfolgend möchte ich schlaglichtartig auf die Frage eingehen, welche Vorgaben die in Zukunft in Europa geltende Datenschutz-Grundverordnung (DS-GVO) in dem Bereich Open Data bzw. bei dem Zugang zu Dokumenten bei öffentlichen Stellen aufstellt.

Art. 80a DS-GVO

Allein Art. 80a DS-GVO befasst sich recht knapp mit der Datenverarbeitung im Rahmen des öffentlichen Zugangs zu amtlichen bzw. behördlichen Dokumenten.

Wichtig ist zunächst, dass die DS-GVO und damit auch ihr Art. 80a allein dann anwendbar ist, wenn es sich bei den in Rede stehenden Daten um solche mit Personenbezug handelt. Daher ein kurzer Seitenblick auf die Definition in Art. 4 Abs. 1 DS-GVO.

Danach ist ein personenbezogenes Datum jede Information, die sich auf eine bestimmte oder auch nur bestimmbare natürliche Person bezieht. Bei dieser bestimmbaren Person handelt es sich um eine solche, die direkt oder indirekt, insbesondere durch bestimmte Zuordnungsmerkmale, bestimmt werden kann. Grundsätzlich ist der Begriff, betrachtet man zudem die Erwägungsgründe, wohl weit auszulegen. Erwägungsgrund 23 macht klar, dass auch solche Daten hierunter fallen, die pseudonymisiert wurden, wenn die Bestimmbarkeit der Person durch den Einsatz zusätzlicher Informationen hergestellt werden kann. Zudem wird dort bestimmt, dass bei der Prüfung des Personenbezugs alle Mittel berücksichtigt werden sollen, deren Einsatz zumindest wahrscheinlich erscheint.

Noch ein Hinweis: nach Erwägungsgrund 23aa gilt die DS-GVO nicht für verstorbene Personen. Jedoch sind die EU-Mitgliedstaaten frei, diesbezüglich abweichende Regelungen zu erlassen.

Art. 80a DS-GVO bestimmt, dass nationale Behörden und öffentliche Stellen amtliche Dokumente, in denen sich personenbezogene Daten befinden, in Übereinstimmung mit den auf die jeweilige Stelle anwendbaren nationalen oder europäischen Regelungen herausgeben und veröffentlichen dürfen, um einen Ausgleich zwischen dem Anspruch auf Zugang zu amtlichen Dokumenten und dem Recht auf Schutz personenbezogener Daten nach der DS-GVO zu schaffen.

Art. 80a DS-GVO ist in der Tat ein einziger Satz und daher schwer verständlich. Nachfolgend folgt der Versuch einer Einschätzung:

Personenbezogene Daten dürfen auch in Zukunft öffentlich zugänglich gemacht werden. Dies muss jedoch zum einen in Übereinstimmung mit den geltenden nationalen Regelungen der Mitgliedstaaten geschehen.

Hier fragt man sich, ob damit auch die Erlaubnistatbestände für eine Weitergabe personenbezogener Daten im nationalen Datenschutzrecht gemeint sind. Dagegen könnte jedoch sprechen, dass die DS-GVO als Verordnung nationalen Vorschriften vorgehen wird. Zumindest soweit keine Öffnungsklauseln in der DS-GVO geschaffen wurde. Inwieweit es sich bei Art. 80a DS-GVO um eine solche Öffnungsklausel handelt, ist ebenfalls nicht ganz klar. Zwar wird davon ausgegangen, dass weiterhin nationales Recht existiert, welches den Zugang und die Veröffentlichung von amtlichen Dokumenten regelt. Jedoch wird nicht ausdrücklich darauf verwiesen, dass die Mitgliedstaaten eigene Regelungen zur Datenverarbeitung in diesem Bereich treffen können. Im Zweifel muss man wohl davon ausgehen, dass die Erlaubnistatbestände der DS-GVO (Art. 6) zu beachten sind und sich, ergänzend hierzu, weitere Anforderungen aus jedem nationalen Recht, dann freilich auch jeweils abweichend voneinander, ergeben können.

Daneben verweist Art. 80a DS-GVO jedoch nicht nur darauf, dass die Veröffentlichung von Daten in Übereinstimmung den nationalen Vorgaben erfolgen muss, sondern dass diese wiederum das Recht auf Zugang zu amtlichen Dokumenten mit dem Recht auf Schutz personenbezogener Daten entsprechend der DS-GVO in Einklang bringen müssen. Dabei scheint sich der Verweis auf die Übereinstimmung mit den Vorgaben der DS-GVO auf die nationalen Gesetze zu beziehen. Das nationale Recht muss sich also wohl an den Vorgaben der DS-GVO messen lassen.

Erwägungsgrund 121

Erwägungsgrund 121 versucht den Inhalt des Art. 80a DS-GVO etwas konkreter zu umschreiben. Grundsätzlich müsse das Prinzip des Zugangs zu amtlichen Dokumenten im Anwendungsbereich der DS-GVO berücksichtigt werden. Zudem wird ausdrücklich darauf verwiese, dass es sich bei dem Zugang zu bzw. Veröffentlichung von amtlichen Dokumenten um ein „öffentlichen Interesse“ handeln kann. Dieser Verweis scheint darauf hinzudeuten, dass in der Tat die Erlaubnistatbestände des Art. 6 DS-GVO anzuwenden sind, hier insbesondere der Art. 6 (e) DS-GVO, nach dem eine Datenverarbeitung zulässig ist, wenn sie zur Erfüllung eines öffentlichen Interesses erforderlich ist.

Erwägungsgrund 121 spricht auf noch die europäische Richtlinie zur Weiterverwendung von Informationen des öffentlichen Sektors (RL 2003/98/EG, sog. PSI-Richtlinie) an. Diese ist weiterhin anwendbar, hat jedoch keinen Einfluss auf die unter der DS-GVO geschaffenen Rechte und Pflichten hinsichtlich des Schutzes personenbezogener Daten. Diese gelten also unabhängig von der Richtlinie. Daneben schreibt Erwägungsgrund 121 vor, dass die PSI-Richtlinie nicht auf Daten anwendbar ist, die durch die Vorgaben des Datenschutzrechts vor einer Weiterverwendung geschützt sind. Hier scheint der Verordnungsgeber klar machen zu wollen, dass die DS-GVO (denn diese regelt ja den Bereich des Datenschutzrechts) der PSI-Richtlinie vorgeht. Insgesamt ist jedoch leider auch Erwägungsgrund 121 nur schwer verständlich.

Es lässt sich daher nach dieser kurzen Analyse festhalten, dass nationale Regelungen, die den Zugang zu amtlichen Dokumenten und deren Veröffentlichung regeln, weiter anwendbar sind. Diese müssen sich jedoch datenschutzrechtlich an den Anforderungen der DS-GVO, insbesondere was die Zulässigkeit der Verarbeitung angeht, messen lassen.

Hinweis: Die stiftung neue verantwortung hat zu dem Thema “Privacy & Open Data” ein Projekt ins Leben gerufen und möchte in diesem Rahmen konkrete Empfehlungen entwickeln.

Stellungnahme europäischer Datenschützer: Weiter Anwendungsbereich des europäischen Datenschutzrechts

Die Art. 29 Datenschutzgruppe hat am 16. Dezember 2015 eine überarbeitete Version (pdf) ihrer Stellungnahme 8/2010 zum anwendbaren Datenschutzrecht (pdf) verabschiedet. Die Überarbeitung wurde insbesondere nach den Urteilen den Europäischen Gerichtshofs (EuGH) in der Sache „Google Spain“ (C-131/12) und „Weltimmo“ (C-230/14) erforderlich, in denen der Gerichtshofs die Vorschrift des Art. 4 Abs. 1 Buchst. a Datenschutzrichtlinie auslegte.

Die europäische Regelung

Art. 4 Abs. 1 Buchst. a Datenschutzrichtlinie beantwortet die Frage (oder versucht dies zumindest), wann das jeweils nationale Datenschutzrecht eines EU-Mitgliedstaates anwendbar ist:

Jeder Mitgliedstaat wendet die Vorschriften, die er zur Umsetzung dieser Richtlinie erlässt, auf alle Verarbeitungen personenbezogener Daten an, die im Rahmen der Tätigkeiten einer Niederlassung ausgeführt werden, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet dieses Mitgliedstaats besitzt. Wenn der Verantwortliche eine Niederlassung im Hoheitsgebiet mehrerer Mitgliedstaaten besitzt, ergreift er die notwendigen Maßnahmen, damit jede dieser Niederlassungen die im jeweils anwendbaren einzelstaatlichen Recht festgelegten Verpflichtungen einhält.

Stellungnahme der Art. 29 Datenschutzgruppe

Grundsätzlich analysieren die Datenschützer das Google Spain-Urteil des EuGH und gehen vereinzelt auch auf das zeitlich später ergangene Weltimmo-Urteil ein.

Nach Auffassung der Datenschützer wendet der EuGH europäisches Datenschutzrecht auf Datenverarbeitungen an, die durch eine verantwortliche Stelle vorgenommen werden, die in einem Staat außerhalb der EU niedergelassen ist, wenn sie eine „relevante“ Niederlassung innerhalb der EU besitzt. Jedoch werfe dieser sehr weite Anwendungsbereich europäischen Rechts auch Fragen auf.

Ebenfalls wichtig für die Art.29 Gruppe ist die Frage, inwieweit bei Konstellationen, in denen die verantwortliche Stelle in der EU niedergelassen ist und mehrere Niederlassungen in anderen Mitgliedstaaten besitzt, die Vorgaben des EuGH übertragbar sind und ob eventuell stets nur ein nationales Datenschutzrecht anwendbar ist.

Auslegung der EuGH-Urteile durch die Art. 29 Datenschutzgruppe

Zunächst befasst sich die Stellungnahme mit dem Tatbestandsmerkmal „im Rahmen der Tätigkeiten einer Niederlassung“. Die Art. 29 Gruppe weist auf eine weite Auslegung des Begriffs „Niederlassung“ in beiden Urteilen hin. Zudem kreiere der EuGH das Merkmal der „untrennbaren Verbundenheit“ der Tätigkeiten der europäischen Niederlassung mit der verantwortlichen Stelle, die in einem Staat außerhalb der EU ihren Sitzt hat.

Die Art. 29 Gruppe versteht diese Verbundenheit vor allem im Sinne eines wirtschaftlichen Konnexes, etwa im Sinne von Umsätzen der EU-Niederlassung. Es dürfe keine Trennung der Tätigkeiten möglich sein, ohne dass das Angebot des ausländischen Dienstes, etwa einer Suchmaschine, wirtschaftlich unrentabel werde.

Zu dem Merkmal der untrennbaren Verbundenheit stellt die Art. 29 Gruppe weiter fest, dass bei deren Vorliegen europäisches Datenschutzrecht anwendbar ist, selbst wenn die EU-Niederlassung gar keine Rolle bei Datenverarbeitung der verantwortlichen Stelle spielt. Nach Auffassung der Datenschützer können jedoch die Tätigkeiten der Niederlassung so mit der verantwortlichen Stelle verbunden sein, dass europäisches Recht auf deren Datenverarbeitung anwendbar ist. Hierzu bildet die Art. 29 Gruppe etwa ein Beispiel, in dem eine verantwortliche Stelle mehrere Verkaufsbüros in der EU besitzt. Dann beurteile sich Verarbeitung der verantwortlichen Stelle nach europäischem Datenschutzrecht, selbst wenn die Niederlassung in der EU an der Datenverarbeitung nicht beteiligt ist.

Zudem stellen die Datenschützer fest, dass das EuGH-Urteil das Geschäftsmodell einer Internetsuchmaschine und deren Generierung von Werbeeinnahmen betraf. Es wäre aus diesem Grund ein Fehler zu glauben, dass nun jede Verbindung zwischen einer EU-Niederlassung und der verantwortlichen Stelle im EU-Ausland ausreichen würde, um europäisches Datenschutzrecht zur Anwendung zu bringen. Jeder Fall muss für sich betrachtet werden. Andererseits dürfe das Urteil nach Ansicht der Art. 29 Gruppe aber auch nicht zu eng ausgelegt und etwa nur auf Suchmaschinen und deren Geschäftsmodell angewendet werden.

Aus Sicht der Praxis von Interesse dürfte die Aussage der Datenschützer sein, dass das Urteil ihrer Auffassung nach je nach Einzelfall vor allem auf Unternehmen anwendbar sein kann, die kostenlose Dienste in der EU anbieten und Daten, die von Nutzern dieser Dienste erhoben und verarbeitet werden, dann in der ein oder anderen Form kommerziell, z. B. für Werbezwecke, genutzt werden.

Auch der Frage, wie die Urteile des EuGH mit Blick auf Sachverhalte zu beurteilen sind, die allein Innerhalb der EU spielen, gehen die Datenschützer nach. Es geht hierbei um Fälle, bei denen mehrere Niederlassungen in verschiedenen Mitgliedstaaten bestehen und eine Hauptniederlassung in einem Mitgliedstaat existiert, die allein als verantwortliche Stelle agiert.

Ist in einem solchen Fall jedes nationale Recht und damit nebeneinander verschiedene Rechtsordnungen auf verschiedene Datenverarbeitung derselben verantwortlichen Stelle anwendbar, wenn die „untrennbare Verbundenheit“ besteht, selbst wenn diese Niederlassungen nicht an der Verarbeitung beteiligt sind?

Nach richtiger Auffassung der Art. 29 Gruppe hat der EuGH in seinem Google Spain-Urteil hierzu nichts gesagt und auch keine Unterscheidung getroffen, wie der Fall zu beurteilen wäre, wenn die verantwortliche Stelle in der EU ansässig ist. Ich möchte hinzufügen: das musste er auch gar nicht. Dennoch habe der EuGH für die Anwendung des Art. 4 Abs. 1 Buchst. a Datenschutzrichtlinie eine neue Voraussetzung geschaffen: die untrennbare Verbundenheit zwischen verantwortlicher Stelle und der Niederlassung. Das Argument des EuGH, europäisches Recht anzuwenden, da ansonsten die Gefahr bestünde, dass der Betroffene den ihm gewährten Schutz verlieren würde, ist nach Ansicht der Datenschützer in den Konstellationen, die allein in der EU spielen, nicht zwingend. Denn in einem solchen Fall geht es nur darum im Anwendungsbereich der Datenschutzrichtlinie zu bestimmen, welches nationale Recht anwendbar ist.

Doch geht die Art. 29 Gruppe davon aus, dass derzeit keine Vollharmonisierung unter dem europäischen Datenschutzrecht existiert. Daher sei es schon wichtig, welches nationale Recht gilt. Zudem führen die Datenschützer aus, dass die Datenschutzrichtlinie keine Form eines „one stop shops“ für das anwendbare Recht vorsieht. Es sei vielmehr jedes nationale Recht anwendbar, in dem eine Niederlassung existiert, die mit ihren Tätigkeiten untrennbar mit der verantwortlichen Stelle verbunden ist. Die Begründung: ansonsten bestünde die Gefahr des forum shoppings in der EU.

Das Fazit der Art. 29 Gruppe: der EuGH schafft ein neues Kriterium im Rahmen des Tatbestandsmerkmals des Art. 4 Abs. 1 Buchst. a Datenschutzrichtlinie („im Rahmen der Tätigkeiten einer Niederlassung“), die untrennbare Verbundenheit. Hier gehen die Datenschützer noch einmal deutlich darauf ein, dass es sich um eine wirtschaftliche Verbundenheit handeln muss.

Im zweiten Teil der Stellungnahme beschreiben die Datenschützer konkrete Änderungen ihrer alten Stellungnahme. Zudem stellen sie klar, dass selbst wenn nicht EU-Recht auf eine außerhalb der EU sitzende verantwortliche Stelle anwendbar ist, doch immer noch nationales Recht für solche Datenverarbeitungen gilt, die „lokal“ von einer EU-Niederlassung vorgenommen werden, etwa im Rahmen der Verwaltung eigener Dienstleister oder Mitarbeiter.

Zudem sei EU-Recht auch anwendbar, wenn nur eine einzige Niederlassung einer außereuropäischen verantwortlichen Stelle in der EU existiert, die Dienstleistungen in der EU anbietet. Dann scheint nach Ansicht der Art. 29 Gruppe eine Art Vermutung dafür zu streiten, dass die Tätigkeiten dieser EU-Niederlassung mit der verantwortlichen Stelle untrennbar verbunden sein müssen.

Zudem fügen die Datenschützer noch einige neue Beispiele für die Praxis in ihre Stellungnahme ein. Sehr relevant ist, dass die Art. 29 Gruppe in diesem Zusammenhang klarstellt, dass allein die gesellschaftsrechtliche Verbundenheit nicht für eine „untrennbare Verbundenheit“ ausreicht. Selbst wenn nur eine Niederlassung in der EU vorhanden sein sollte und eine finanzielle Verbindung zur verantwortlichen Stelle (hier in Kanada) besteht, reicht dies nicht aus, wenn die EU-Niederlassung tatsächlich im Rahmen völlig andere Tätigkeiten agiert, als die verantwortliche Stelle.

Deutsche Datenschutzbehörden veröffentlichen Orientierungshilfe für den Datenschutz bei Smart-TVs

Die Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich (Düsseldorfer Kreis) haben eine Orientierungshilfe zu den Datenschutzanforderung an Smart-TV-Dienste veröffentlicht (pdf, Stand: September 2015). Diese Orientierungshilfe richtet sich, so das Papier, an Anbieter von Smart-TV-Diensten und -Produkten. Hierzu gehören unter anderem Gerätehersteller App-Anbieter und Anbieter von HbbTV-Angeboten.

Nachfolgend möchte ich einen kurzen Überblick über einige in dem Papier behandelte Themen geben.

Was sind personenbezogene Daten?

Die Aufsichtsbehörden nennen in dem Papier Beispiele für ihrer Auffassung nach personenbezogene Daten im Umfeld von Smart-TVs. Hierzu gehören die IP-Adresse des Nutzers und Geräte-IDs, die dauerhaft mit dem Gerät verbunden sind. Nach Ansicht der Behörden ist hierbei unerheblich, dass eventuell mehrere Personen ein Fernsehgerät nutzen. Im Zweifel gehen die Behörden daher von einem Personenbezug aus. Weitere Beispiele sind Audiodaten, Foto -und Filmaufnahmen, das Fernsehanstalten oder Registrierungsdaten.

Wer ist datenschutzrechtlich verantwortlich?

Regelmäßig datenschutzrechtlich verantwortlich sind vor allem die Gerätehersteller, die etwa Updates auf Geräte aufspielen oder Statistiken über die Bedienung des Gerätes erstellen. Ebenfalls datenschutzrechtlich verantwortlich können App-Anbieter sein. Auch die Anbieter von HbbTV-Zusatzangeboten können oft als datenschutzrechtlich verantwortliche Stelle und Diensteanbieter im Sinne des Telemedienrechts qualifiziert werden.

Welches Recht gilt?

Grundsätzlich gilt das deutsche Datenschutzrecht, beim Umgang mit personenbezogenen Daten durch stellen mit Sitz in Deutschland. Nach Auffassung der Behörden gilt das deutsche Datenschutzrecht auch, wenn ein Anbieter, der außerhalb des europäischen Wirtschaftsraums niedergelassen ist, personenbezogene Daten im Inland erhebt. Interessant ist die Ansicht der Aufsichtsbehörden, dass das deutsche Datenschutzrecht nicht gilt, wenn ein Anbieter in einem anderen Mitgliedstaat des europäischen Wirtschaftsraums niedergelassen ist und in Deutschland personenbezogene Daten erhebt und dies nicht durch eine Niederlassung in Deutschland erfolgt. Dann gilt das Recht des jeweiligen Mitgliedstaates. Nach Auffassung des Düsseldorfer Kreises scheint also allein die Existenz einer Niederlassung in Deutschland (richtigerweise) noch nicht zur Anwendbarkeit deutschen Datenschutzrechts zu führen.

Rechtsgrundlagen der Datenverarbeitung

Danach geht die Orientierungshilfe auf die verschiedenen Erlaubnistatbestände des TMG zum Umgang mit personenbezogenen Daten ein. Das TMG stellt gerade im Bereich der Datenverarbeitung über Smart-TVs das gegenüber dem Bundesdatenschutzgesetz speziellere Gesetz dar.

Die Aufsichtsbehörden geben verschiedene Beispiele für die im TMG angesprochenen Bestands- und Nutzungsdaten. Nach Auffassung der Behörden stellen Bestandsdaten im Sinne des § 14 Abs. 1 TMG etwa Registrierungsdaten in einem online Portal dar. Nutzungsdaten im Sinne des§ 15 Abs. 1 TMG sind unter anderem die IP-Adresse und eindeutige Kennnummern.

Auch befasst sich die Orientierungshilfe mit dem Thema der pseudonymisierten Nutzungsprofile (§ 15 Abs. 3 TMG). Der erforderliche Hinweis auf die Erstellung solcher Nutzungsprofile muss nach Auffassung der Behörden zumindest in der Datenschutzerklärung erfolgen. Die Widerspruchsmöglichkeit (Opt-Out) kann in Form eines Links oder der Möglichkeit des Auskreuzens bereitgestellt werden. Nach Ansicht des Düsseldorfer Kreises genügt jedoch die Möglichkeit, per E-Mail oder per Post ein Opt-Out zu erklären, den gesetzlichen Anforderungen nicht.

Die Orientierungshilfe setzt sich im weiteren mit den Themen „Reichweitenmessung“ und „werbefinanzierte Dienste“ auseinander.

Datenschutzerklärung

Die Aufsichtsbehörden geben auch Hinweise dazu, wie die Nutzer von Smart-TVs wirksam über stattfindende Datenverarbeitungen zu informieren sind. Informationspflichten der Anbieter ergeben sich aus § 13 Abs. 1 TMG. Nach Auffassung der Behörden besteht für verantwortliche Stellen die Verpflichtung, die Datenschutzhinweise derart zu verankern, dass der Nutzer zwangsläufig und so frühzeitig wie möglich mit diesen in Berührung gelangt. Fraglich ist, wie der Begriff „zwangsläufig“ zu verstehen ist. Gehen die Behörden davon aus, dass Datenschutzerklärung per Popup eingeblendet werden müssen? In jedem Fall genügt eine Information, die im Impressum oder den Allgemeinen Geschäftsbedingungen erfolgt, nicht den Anforderungen an die Transparenz. Wichtig ist auch der Hinweis der Behörden, dass nicht sonstige Textbausteine, die häufig für herkömmliche Webseiten erstellt werden, genutzt werden dürfen. Nicht ausreichend sind ebenso die Wiedergabe gesetzlicher Normen oder allgemeine Floskeln zur Wichtigkeit des Datenschutzrechts.

Anforderungen an die IT-Sicherheit

Nach Auffassung der Behörden müssen die verantwortlichen Stellen regelmäßig Sicherheitsupdates für die eingesetzten Geräte anbieten. Zudem sollen personenbezogene Daten nach dem Stand der Technik verschlüsselt werden als Orientierung verweist der Düsseldorfer Kreis auf Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik. Zudem formuliert das Papier Mindestanforderungen. Hierzu gehören: HTTPS, Perfect Forward Secrecy, kein SSL2/SSL3, mindestens 2048-Bit beim X.509 Zertifikat, keine RC4-Verschlüsselung, kein SHA1-Hashverfahren.

Hinweise für jeden Beteiligten

Im letzten Abschnitt des Papiers gehen die Behörden auf die konkreten Situationen und Probleme ein, die sich für den jeweiligen Verantwortlichen bei der Datenverarbeitung stellen. Sowohl für Gerätehersteller, App- oder HbbTV-Anbieter werden konkrete Szenarien des Umgangs mit personenbezogenen Daten betrachtet und analysiert.

Post Safe Harbor: The position of the German Data Protection Authorities

The German Data Protection Authorities (in total 17 for the private sector) have today published their position (German) on the consequences for transfers of personal data to the USA after the Court of Justice of the European Union (CJEU) recently struck down the Safe Harbor decision of the European Commission (Case C-362/14).

Not an easy task

According to recent media reports (https://www.tagesschau.de/inland/safe-harbor-105.html, in German), the process of finding a common approach was not an easy task. Not all Data Protection Commissioners seem to share the same view on the legal conclusions and consequences for businesses that have to be drawn from the court’s judgment. So the position now published seems to reflect only the lowest common denominator. On 14th October for example, the Data Protection Authority of Schleswig-Holstein (known for its strict interpretation of the law) published its own assessment of the judgment (available in English) and concluded that “a data transfer on the basis of Standard Contractual Clauses to the US is no longer permitted”.

The official position

I will hereinafter summarize the position of the German authorities:

Just like already stated by the Article 29 Working Party in its statement (PDF), the German authorities highlight that data transfers to the USA are unlawful if they are solely based on the Safe Harbor decision.

The German authorities further clarify that they will prohibit any data transfer based on Safe Harbor they gain knowledge of. The watchdogs will base the exercise of their powers under Article 4 of the respective decisions by the European Commission for standard contractual clauses (2004/915/EC and 2010/87/EC) on the principles formulated by the CJEU in margin numbers 94 and 95 of its judgment. This refers especially to the finding of the CJEU that legislation in the European Union, permitting public authorities to have access on a generalized basis to the content of electronic communications must be regarded as compromising the essence of the fundamental right to respect for private life, as guaranteed by Article 7 of the Charter of Fundamental Rights.

At the moment, the German authorities will not grant new approvals for data transfers on the basis of Binding Corporate Rules (BCR) or contracts to export personal data to the USA.

Consent may be an acceptable basis for data transfers, according to the authorities. But only wihtin narrow limits. In general, the respective data transfer may not take place repeatedly or as a matter of routine.

The German authorities ask the national legislator to provide the authorities with their own legal remedies enabling them to put forward their objection against an adequacy decision by the European Commission before the national courts (see margin number 65 of the judgment).

Furthermore the authorities request the European Commission to amend the current standard contractual clauses in light of the CJEU’s decision in a timely manner. The deadline set by the Article 29 Working Party (31st January 2016) is welcomed by the German watchdogs.

Interestingly, the German authorities also call on the German government to directly contact the US government and to press for adherence to an adequate level of protection of the fundamental rights of privacy and data protection.

Prospect

As already mentioned this position only forms the lowest common denominator and is not binding. Views in the different federal states may therefore differ. To recall one of the central points of the CJEU’s decision, Data Protection Authorities are responsible for monitoring, with complete independence, compliance with EU rules on the protection of individuals with regard to the processing of such data. It can therefore not be ruled out that we might see differing implementations of the judgment within Germany. The authorities also highlight the fact of independence in their position.

EuGH fällt wichtige Entscheidung für Webseitenbetreiber: wann gilt welches Datenschutzrecht? Zudem dürfen Behörden nicht alles.

Heute hat der Europäische Gerichtshof (EuGH) ein wichtiges Urteil für das europäische Datenschutzrecht gefällt. Im Verfahren „Weltimmo“ (C-230/14) geht es im Grunde um zwei Themenkomplexe (in einem früheren Blogbeitrag habe ich ausführlich zu dem Sachverhalt und der Vorlagefrage berichtet):

Zum einen geht es um die Frage des anwendbaren Datenschutzrechts, wenn ein Unternehmen (hier: Weltimmo), welches allein in einem Mitgliedstaat der EU ansässig ist (hier: Slowakei), seine Dienste über das Internet auch in anderen Mitgliedstaaten (hier: Ungarn) anbietet. Gilt dann nur das Datenschutzrecht des Mitgliedstaates, in dem das Unternehmen, als verantwortliche Stelle, seinen Sitz hat?

Zum anderen geht es um die Frage, wie weit die Kompetenzen von nationalen Datenschutzaufsichtsbehörden (hier: die ungarische Behörde) reichen, wenn das Datenschutzrecht ihres Mitgliedstaates nicht anwendbar ist, sie jedoch die Datenverarbeitung durch ein Unternehmen prüfen möchten, welches zwar in einem anderen Mitgliedstaat niedergelassen ist, seine Dienste (etwa über eine Website) jedoch auch im Mitgliedstaat der Aufsichtsbehörde anbietet.

Die untersuchten Konstellationen betreffen insoweit „EU-Sachverhalte“. Datenverarbeitungen finden allein innerhalb der EU statt und auch die für die Datenverarbeitung Verantwortlichen sind allein in der EU niedergelassen. Dies ist ein wichtiger Unterschied zum „Google-Urteil“ des EuGH aus dem Mail 2014. Denn dort hatte die verantwortliche Stelle (Google Inc.) ihren Sitz in den USA.

Schlussanträge des Generalanwalts

Der zuständige Generalanwalt Pedro Cruz Villalón, hatte seine Schlussanträge im Juni 2015 vorgelegt (hierzu mein ausführlicher Blogbeitrag).

Kurz zusammengefasst ging er davon aus, dass es der ungarischen Datenschutzbehörde verwehrt ist, das ungarische Recht auf einen für die Datenverarbeitung Verantwortlichen anzuwenden, der ausschließlich in einem anderen Mitgliedstaat niedergelassen ist.

Zudem ging der Generalanwalt davon aus, dass zwar dem Grunde nach jede Datenschutzbehörde gewisse Grundbefugnisse besitzt, u.a. auch eine Untersuchung einer Datenverarbeitung einzuleiten, die einem anderen nationalen Datenschutzrecht unterliegt. Aufgrund der territorialen Souveränität jedes Staates enden die öffentlich-rechtlichen Befugnisse von Aufsichtsbehörden jedoch an den Landesgrenzen. Eine Aufsichtsbehörde, deren Datenschutzrecht nicht anwendbar ist, kann daher nicht rechtsverbindlich feststellen, dass eine Datenverarbeitung rechtswidrig ist und sie kann auch keine Sanktionsmaßnahmen vornehmen, wie etwa ein Bußgeld festsetzen. Dies ist allein derjenigen Aufsichtsbehörde vorbehalten, deren nationales Datenschutzrecht anwendbar ist.

Die Entscheidung des EuGH

Kurz gesagt, bestätigt der EuGH die Ausführungen des Generalanwalts in dessen Schlussanträgen. Gerade mit Blick auf den ersten Themenkomplex (anwendbares Datenschutzrecht), geht das Gericht aber noch etwas über die Vorschläge des Generalanwalts hinaus.

Zum anwendbaren Recht

Bereits zu Beginn weist der EuGH auf zusätzlich tatsächliche Informationen hin, die für das Urteil im konkreten Verfahren von Bedeutung sind. Nach Informationen der ungarischen Datenschutzbehörde soll Weltimmo am Ort ihres Gesellschaftssitzes, der Slowakei, keine Tätigkeit ausüben. Außerdem habe Weltimmo diesen Sitz mehrmals von einem Staat in einen anderen verlegt. Zudem habe Weltimmo in Ungarn ein Bankkonto zur Einziehung ihrer Forderungen eröffnet und in diesem Mitgliedstaat ein Postfach für ihre laufenden Geschäfte besessen. Die Post sei regelmäßig abgeholt worden. Weltimmo selbst sei einfach nur in der Slowakei als Gesellschaft eingetragen.

Wie auch schon in seinem Google-Urteil, so legt der EuGH auch hier zunächst den Begriff der „Niederlassung“ aus Art. 4 Abs. 1 Buchst. a der Datenschutz-Richtlinie (RL 95/46/EG) aus. Die Wendung „im Rahmen der Tätigkeiten einer Niederlassung“ kann, so der EuGH, im Hinblick auf das Ziel der Richtlinie 95/46, nämlich bei der Verarbeitung personenbezogener Daten einen wirksamen und umfassenden Schutz der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere des Rechts auf Privatleben, zu gewährleisten, nicht eng ausgelegt werden.

Dem Generalanwalt folgend ergibt sich für den EuGH aus Erwägungsgrund 19 der Datenschutz-Richtlinie, eine flexible Konzeption des Begriffs der Niederlassung, die Abstand nimmt von einer formalistischen Sichtweise, nach der ein Unternehmen ausschließlich an dem Ort niedergelassen sein kann, an dem es eingetragen ist (Rz. 29). Diese Feststellung ist hier besonders wichtig, da Weltimmo in der Slowakei tatsächlich anscheinend allein im Handelsregister eingetragen war. Zudem ist sie von besonderer Bedeutung für Unternehmen, die ihr Geschäft vor allem über das Internet betreiben und Dienste online, in mehreren Mitgliedstaaten anbieten.

Der EuGH führt weiter aus, dass sowohl der Grad an Beständigkeit der Einrichtung als auch die effektive Ausübung der wirtschaftlichen Tätigkeiten in einem anderen Mitgliedstaat unter Beachtung des besonderen Charakters dieser Tätigkeiten und der in Rede stehenden Dienstleistungen auszulegen ist. Dies gelte insbesondere für Unternehmen, die Leistungen ausschließlich über das Internet anbieten. Es sei auch davon auszugehen, dass das Vorhandensein eines einzigen Vertreters unter bestimmten Umständen ausreichen kann, um eine feste Einrichtung (die Voraussetzung einer „Niederlassung“ ist) zu begründen, wenn dieser mit einem ausreichenden Grad an Beständigkeit mit den für die Erbringung der betreffenden konkreten Dienstleistungen erforderlichen Mitteln im fraglichen Mitgliedstaat tätig ist. Vorliegend stellt der EuGH fest, dass Weltimmo mit dem Betreiben einer oder mehrerer Websites zur Vermittlung von in Ungarn belegenen Immobilien, die in ungarischer Sprache verfasst sind und deren Inserate nach einem Monat kostenpflichtig werden, eine tatsächliche und effektive Tätigkeit in Ungarn ausübt. Eine Niederlassung in Ungarn würde damit vorliegen. Jedoch weist der EuGH auch darauf hin, dass das tatsächliche Vorliegen eines Vertreters, eines Postfachs und eines Bankkontos in Ungarn (also der Voraussetzungen einer Niederlassung), noch durch das vorlegende Gericht geprüft werden müssen.

Danach widmet sich der EuGH dem Begriff der Verarbeitung personenbezogener Daten, die „im Rahmen der Tätigkeiten“ dieser Niederlassung ausgeführt werden (Rz. 34). Erfreulicherweise nimmt der EuGH hier die konkret in Rede stehenden Datenverarbeitungen in den Blick.

„Im vorliegenden Fall besteht die im Ausgangsverfahren in Rede stehende Verarbeitung insbesondere in der Veröffentlichung von personenbezogenen Daten der Eigentümer dieser Immobilien auf den Websites zur Vermittlung von Immobilien von Weltimmo sowie gegebenenfalls in der Nutzung dieser Daten für Zwecke der Abrechnung der Inserate nach Ablauf eines Monats.“

Für den bestehen keine Zweifel, dass diese Verarbeitung im Rahmen der Tätigkeiten stattgefunden hat, die Weltimmo in Ungarn ausübt (Rz. 38).

Interessant ist zudem, dass der EuGH dem nationalen Gericht noch eine Handreichung dazu gibt, wie das Gericht bestimmen können soll, ob Weltimmo in Ungarn eine effektive und tatsächliche Tätigkeit ausübt. Dazu gehört:

  • dass die Tätigkeit des für diese Verarbeitung Verantwortlichen, in deren Rahmen diese stattfindet, im Betreiben von Websites besteht, die der Vermittlung von Immobilien dienen, die sich im Hoheitsgebiet dieses Mitgliedstaats befinden,
  • dass die Websites in dessen Sprache verfasst sind,
  • und dass sie daher hauptsächlich oder sogar vollständig auf diesen Mitgliedstaat ausgerichtet ist,
  • und zum anderen, dass dieser Verantwortliche über einen Vertreter in diesem Mitgliedstaat verfügt, der dafür zuständig ist, die Forderungen aus dieser Tätigkeit einzuziehen sowie den Verantwortlichen im Verwaltungsverfahren und im gerichtlichen Verfahren über die Verarbeitung der betreffenden Daten zu vertreten.

Sollten das ungarische Gericht anhand dieser Kriterien zu dem Schluss gelangen, dass eine Niederlassung in Ungarn besteht, dann gelte auch ungarisches Datenschutzrecht.

Kompetenzen von Datenschutzbehörden

Hier geht es um die Frage, wie weit die Befugnisse der ungarischen Behörde reichen, wenn eine Niederlassung von Weltimmo in Ungarn nicht existieren sollte und damit nicht ungarisches Recht anzuwenden wäre.

Der EuGH geht dabei zunächst auf Art. 28 Abs. 3 Datenschutz-Richtlinie ein und stellt fest, dass die Datenschutzbehörden danach insbesondere über Untersuchungsbefugnisse, wie das Recht auf Einholung aller für die Erfüllung ihres Kontrollauftrags erforderlichen Informationen, und über wirksame Einwirkungsbefugnisse, wie die Befugnis, die Sperrung, Löschung oder Vernichtung von Daten oder das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen, oder die Befugnis, eine Verwarnung oder eine Ermahnung an den für die Verarbeitung Verantwortlichen zu richten, verfügen (Rz. 48).

Diese Auflistung ist jedoch nicht abschließend. Nach dem EuGH ist davon auszugehen, dass diese Einwirkungsbefugnisse die Befugnis umfassen können, den für die Datenverarbeitung Verantwortlichen zu bestrafen, indem gegen ihn gegebenenfalls ein Bußgeld verhängt wird (Rz. 49).

Zudem sind die den Behörden eingeräumten Befugnisse allein gemäß dem Verfahrensrecht ihres Mitgliedstaats auszuüben (Rz. 50).

Weiterhin geht der EuGH auf Art. 28 Abs. 6 Datenschutz-Richtlinie ein und stellt fest, dass aus diesem hervorgehe, dass die Kontrollstelle eines Mitgliedstaats, an die sich natürliche Personen mit einer Beschwerde über die Verarbeitung der sie betreffenden personenbezogenen Daten wenden, diese Beschwerde unabhängig vom anwendbaren Recht und daher selbst dann prüfen kann, wenn das auf die Verarbeitung der betreffenden Daten anwendbare Recht das eines anderen Mitgliedstaats ist.

Der EuGH folgt danach den Ausführungen des Generalanwalts und stellt fest, dass die Sanktionsgewalt der Behörden grundsätzlich nicht außerhalb der gesetzlichen Grenzen stattfinden kann, in denen eine Behörde nach dem Recht ihres Mitgliedstaats ermächtigt ist (Rz. 56).

Daraus ergibt sich für den EuGH die Schlussfolgerung, dass, wenn bei einer Kontrollstelle eine Beschwerde eingereicht wird, diese Stelle ihre Untersuchungsbefugnisse unabhängig vom anwendbaren Recht und noch bevor sie weiß, welches nationale Recht auf die fragliche Verarbeitung anzuwenden ist, ausüben kann.

Doch, so der EuGH weiter, wenn die Behörde feststellt, dass das Recht eines anderen Mitgliedstaats anwendbar ist, darf sie keine Sanktionen außerhalb des Hoheitsgebiets ihres Mitgliedstaats verhängen. In einer solchen Situation obliegt es ihr in Wahrnehmung der Verpflichtung zur Zusammenarbeit, die Kontrollstelle dieses anderen Mitgliedstaats zu ersuchen, einen möglichen Verstoß gegen dieses Recht festzustellen und Sanktionen zu verhängen (Rz. 57).

Für das konkrete Verfahren bedeutet dies, dass die ungarische Kontrollstelle für den Fall, dass das anwendbare Recht das eines anderen Mitgliedstaats als Ungarn ist, die ihr durch das ungarische Recht übertragenen Sanktionsbefugnisse nicht ausüben darf.

Fazit

Der EuGH bleibt seiner Rechtsprechung zum Recht auf den Schutz personenbezogener Daten treu. Den Begriff der „Niederlassung“, der für die Anwendbarkeit des Datenschutzrechts bedeutsam ist, legt er, wie auch im Urteil zu Google, sehr weit aus. Vorliegend lässt er die Existenz eines Vertreters, eines Handelsregistereintrages und eines Bankkontos ausreichen, um ungarisches Datenschutzrecht zur Anwendung zu bringen. Insbesondere die Ausführungen zur flexiblen Anwendung des Begriffs und auch der „Checkliste“ für das nationale Gericht, sind besonders interessant.

Was bedeutet dies nun? Unternehmen, die (wenn auch nur über Webseiten) ihre Dienste in mehreren Mitgliedstaaten anbieten und dazu einen (Handels-)Vertreter in einem Mitgliedstaat und dazu eventuell noch einen Handelsregistereintrag besitzen, werden sich mit mehreren, im äußersten Fall 28 verschiedenen, nationalen Datenschutzgesetzen auseinandersetzen müssen. Damit einhergehend auch mit 28 verschiedenen Datenschutzbehörden und deren Auslegung des Datenschutzrechts. Möchte ein Unternehmen nicht in diese Situation geraten, so müsste es jegliche physische Verbindungen in Form von Büros, Mitarbeitern oder Handelsregistereintragungen, zu Mitgliedstaaten kappen und seine Dienste über das Internet allein von einem Ort aus anbieten. Dann gilt auch nur das Datenschutzrecht des Mitgliedstaates am Ort der einzigen Niederlassung.

Für mich wird leider oft zu wenig Wert auf eine genau Trennung und Prüfung der einzelnen Datenverarbeitungen gelegt, wenn über die Frage des anwendbaren Datenschutzrechts gesprochen wird. Eine generelle Aussage, dass etwa für Weltimmo stets nun (auch) ungarisches Datenschutzrecht gilt, wäre meines Erachtens falsch. Denn Datenverarbeitungsprozesse werden zu ganz verschiedenen Zwecken vorgenommen. Der eine etwa, um Mitarbeiterdaten für Abrechnungszwecke zu verarbeiten, der andere, um Forderungen von Kunden einzuziehen und wiederum ein anderer Prozess, um Angebote auf einer Website ein- und darzustellen. Wie genau der hier vom EuGH als mögliche Niederlassung qualifizierte Vertreter in Ungarn jedoch mit diesen Datenverarbeitungen verbunden ist, muss das nationale Gericht noch klären.

Wenn man gerade im Bereich der Feststellung des anwendbaren Datenschutzrechts mit eine groben Kelle arbeiten würde und pauschal ein Datenschutzrecht für ein Unternehmen für anwendbar erklärt, fänden wir uns am Ende in der oben geschilderten Situation wieder, dass nämlich Unternehmen (und es geht hier nicht nur um amerikanische, chinesische oder japanische Unternehmen, die auf dem europäischen Markt unterwegs sind) einfach dem Grunde nach mehrere Datenschutzgesetze parallel beachten müssen. Genau das wollte aber die geltende Datenschutz-Richtlinie nicht. Aus gutem Grund. Denn dann hätte es einer europäischen Vereinheitlichung überhaupt nicht bedurft.