Praxishandbuch DSGVO. Tobias Rothkegel
Zunächst stellt Erwägungsgrund 18 DSGVO klar, dass die Verordnung für Verantwortliche oder Auftragnehmer gilt, die die Instrumente für persönliche oder familiäre Tätigkeiten bereitstellen. Diese Klarstellung kann jedoch die Prüfung der Voraussetzungen der Eröffnung des Anwendungsbereiches der Verordnung auf die Verarbeitung durch diese Anbieter nicht ersetzen.
32
Im Hinblick auf die personenbezogenen Daten, die die Nutzung eines solchen Instrumentes (z.B. eines Online-Speicherplatzes) betreffen, ergeben sich dabei keine Besonderheiten. Im Hinblick auf die Daten Dritter, die ein Nutzer im Rahmen der Haushaltsausnahme mit einem solchen Instrument verarbeitet (z.B. Speicherung von Familienfotos im Online-Speicherplatz eines Anbieters), wird die Prüfung der Eröffnung des sachlichen Anwendungsbereichs jedoch zunehmend verschachtelt. Der sachliche Anwendungsbereich wird zwar für den Anbieter des jeweiligen Instrumentes regelmäßig nach Art. 2 Abs. 1 DSGVO eröffnet sein. Im Rahmen der Prüfung der Eröffnung des persönlichen Anwendungsbereichs werden jedoch verschiedene Fragen aufgeworfen. So entscheiden zum Beispiel Anbieter von E-Mail-Diensten oder von Online-Speicherplatz in der Regel nicht über den Zweck, zu dem die personenbezogenen Daten in diesem Dienst durch den Nutzer verarbeitet werden.35 Vielmehr werden die Zwecke der Verarbeitung der Daten, die von einem Nutzer in einem Dienst im Rahmen einer persönlichen oder familiären Tätigkeit verarbeitet werden, in der Regel von eben diesem Nutzer allein festgelegt. Der Anbieter des für die „Haushaltsverarbeitung“ verwendeten Instrumentes ist somit kein Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, so dass der persönliche Anwendungsbereich der Verordnung für ihn insoweit zumindest nicht als Verantwortlichen eröffnet ist.36 Hält man den Nutzer trotz der Unanwendbarkeit der DSGVO auf die von ihm vorgenommene Verarbeitung für einen Verantwortlichen i.S.d. DSGVO, kann der Anbieter begrifflich ein Auftragsverarbeiter des Nutzers i.S.v. Art. 4 Nr. 8 DSGVO sein, so dass der persönliche Anwendungsbereich für den Anbieter als Auftragsverarbeiter zumindest begrifflich eröffnet wäre.
33
Geht man von der Eröffnung des Anwendungsbereichs für den Anbieter des Instruments zur „Haushaltsverarbeitung“ aus, ergeben sich weitere Schwierigkeiten. Gelangt man zum Beispiel zu dem Ergebnis, die Stelle, die ein Instrument zur „Haushaltsverarbeitung“ bereitstellt, ist ein Verantwortlicher, ergeben sich Fragen, wie dieser Verantwortliche seine Pflichten gegenüber den durch die Haushaltsdatenverarbeitung betroffenen Personen erfüllen kann, ohne inhaltlich von deren Daten Kenntnis zu nehmen und dadurch mit dem Nutzer, der diese Daten verarbeitet, in Konflikt zu geraten. Gelangt man zu dem Ergebnis, der Anbieter, der ein solches Instrument zur Haushaltsverarbeitung bereitstellt, ist ein Auftragsverarbeiter des Nutzers, ergibt sich zum Beispiel die Frage, ob es eines Auftragsverarbeitungsvertrags nach Art. 28 Abs. 3 bedarf oder ob ein von der DSGVO eigentlich nicht vorgesehener „halber Auftragsverarbeiter“ vorliegt.
Zumindest bei der Situation der Auftragsverarbeitung erscheint es jedoch angebracht, dass die Tätigkeit des Auftragsverarbeiters, der die Daten auf Weisung des Nutzers verarbeitet, ebenfalls von der Haushaltsausnahme umfasst ist, solange er sich nicht zum Verantwortlichen aufschwingt.37
Praxishinweis
Natürliche Personen verarbeiten Informationen über sich selbst und über andere in einem immer größer werdenden Umfang und sie nutzen dafür oft Instrumente, die von Unternehmen online bereitgestellt werden. Die Verarbeitung durch die natürlichen Personen liegt dabei häufig schon außerhalb des Schutzbereichs der DSGVO oder sie ist von der Haushaltsausnahme abgedeckt. In diesen Fällen sollte nicht vorschnell davon ausgegangen werden, dass die Beteiligung der Unternehmen an der Verarbeitung im Anwendungsbereich der Verordnung liegt. Dies ist vielmehr im Einzelfall genau zu prüfen.
7 Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 2 DSGVO Rn. 18. 8 Vgl. Gola/Gola, Art. 2 DSGVO Rn. 5. 9 Plath/Plath, Art. 2 DSGVO Rn. 15; aA Paal/Pauly/Ernst, Art. 2 Rn. 10; Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 2 Rn. 16. 10 Der Begriff des „Dateisystems“ ist augenscheinlich die einzige Neuerung im Vergleich zu der ansonsten wortgleichen Vorgängerregelung in Art. 3 Abs. 1 DSRL, in der der Begriff „Datei“ verwendet wurde. Dieser Änderung ist jedoch keine weitere Bedeutung beizumessen. Dies zeigt ein Vergleich z.B. mit den englischen Sprachfassungen der Richtlinie und der Verordnung, in denen jeweils der Begriff „filing system“ verwendet wird. 11 EuGH, Urt. v. 10.7.2018 – C-25/17, ZD 2018, 469, 471, Rn. 60–62. 12 Plath/Plath, Art. 2 DSGVO Rn. 11. Es existiert in der DSGVO keine dem § 27 Abs. 2 BDSG a.F. entsprechende Regelung, welche den Anwendungsbereich des Datenschutzrechts noch auf personenbezogene Daten erstreckte, die offensichtlich aus einer automatisierten Verarbeitung entnommen worden sind. 13 BeckOK-DS/Bäcker, Art. DSGVO 2 Rn. 33; Ehmann/Selmayr/Zerdick, Art. 3 DSGVO Rn. 17; anders Plath/Plath, Art. 2 DSGVO Rn. 31, der von einer Ausnahme von der Anwendbarkeit der Verordnung auszugehen scheint. 14 Vgl. BeckOK-DS/Bäcker Art. 2 DSGVO Rn. 33; Ehmann/Selmayr/Zerdick, Art. 3 DSGVO Rn. 17; Plath/Plath, Art. 2 DSGVO Rn. 31; Sydow/Ennöckl, Art. 2 DSGVO Rn. 17. 15 Vgl. Erwägungsgrund 16. 16 BeckOK-DS/Bäcker Art. 2 DSGVO Rn. 12; Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 2 DSGVO Rn. 23; Gola/Gola, Art. 2 DSGVO Rn. 33. 17 Vgl. Paal/Pauly/Ernst, Art. 2 DSGVO Rn. 21. 18 Paal/Pauly/Ernst, Art. 2 DSGVO Rn. 18. 19 Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 2 DSGVO Rn. 24; BeckOK-DS/Bäcker Art. 2 DSGVO Rn. 12. 20 Gola/Gola, Art. 2 DSGVO Rn. 15. 21 Vgl. Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 2 DSGVO Rn. 7; Kühling/Buchner/Kühling/Raab, Art. 2 DSGVO Rn. 8. 22 Vgl. Plath/Plath, Art. 2 DSGVO Rn. 22. 23 Paal/Pauly/Ernst, Art. 2 DSGVO Rn. 5; vgl. EuGH, Urt. v. 11.12.2014 – C-212/13, Rn. 22, 33. 24 Ausführlich hierzu BeckOK-DS/Bäcker, Art. 2 DSGVO Rn. 17ff. 25 EuGH, Urt. v. 6.11.2003 – C-101/01, Rn. 47. 26 Siehe http://about.fb.com/company-info/, zuletzt abgerufen am 10.2.2021. 27 Bitkom, Vertrauen und Sicherheit im Netz, S. 10. 28 Im Gesetzgebungsverfahren wollte das Europäische Parlament zwar noch aufnehmen lassen, dass die Haushaltsausnahme für Veröffentlichungen gelten soll, bei denen davon auszugehen ist, dass der Kreis der Empfänger begrenzt ist. Dieser Vorschlag hat jedoch keinen Eingang in den Text gefunden. Vgl. Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 2 DSGVO Rn. 7. 29 EuGH, Urt. v. 14.2.2019 – C-345/17, Rn. 43. 30 Paal/Pauly/Ernst, Art. 2 DSGVO Rn. 21; Schantz, NJW 2016, 1841, 1843; Gola/Gola, Art. 2 DSGVO Rn. 21. 31 Gola/Gola, Art. 2 DSGVO Rn. 21. 32 Paal/Pauly/Ernst, Art. 2 DSGVO Rn. 19; Härting, Rn. 313. 33