Читать книгу DS-GVO/BDSG - David Klein - Страница 140

153

War nach § 3 Abs. 7 BDSG a.F. noch die Zweckbestimmung der Datenverarbeitung das wesentliche Abgrenzungsmerkmal des Verantwortlichen, so ist dies nach Art. 4 Nr. 7 nunmehr die Entscheidung über Zweck und Mittel der Verarbeitung personenbezogener Daten. Mangels weiterer Ausführungen in der DS-GVO sowie im BDSG ist somit als Auslegungshilfe auch hier das WP 169 der Art.-29-Datenschutzgruppe sowie die Rechtsprechung des EuGH[381] heranzuziehen:[382] Danach ist der Zweck ein „erwartetes Ergebnis, das beabsichtigt ist oder die geplanten Aktionen leitet“ und das Mittel die „Art und Weise, wie ein Ergebnis oder Ziel erreicht wird“.[383] Insoweit ist im Wege einer kontextbezogenen Betrachtung zu prüfen, wer die Zwecke und Mittel der Verarbeitung, d.h. das Ob, Warum und Wie der Verarbeitung der personenbezogenen Daten festlegt.[384] Dabei ist ausschlaggebend, wie detailliert jemand über Zwecke und Mittel entscheidet und welchen Handlungsspielraum er etwa einem vom Verantwortlichen abzugrenzenden Auftragsverarbeiter[385] einräumt.[386] Dabei kann für die Bestimmung des Verantwortlichen die Entscheidung über Zweck oder Mittel jeweils unterschiedlich im Vordergrund stehen.[387] Als Abwägungskriterien können etwa das Weisungsrecht des Verantwortlichen gegenüber dem Auftragsverarbeiter, die Kontrollmöglichkeiten gegenüber dem Auftragsverarbeiter oder die Abgrenzung der verschiedenen Handlungsspielräume dienen.[388] Letztlich ist zu fragen, wer entscheidet, warum eine Verarbeitung erfolgt und dabei die Rolle und mögliche Beteiligung der jeweiligen Akteure festlegt. Die Entscheidung über die Mittel beinhaltet sowohl technische als auch organisatorische Fragen.[389]

154

Insgesamt folgt die Prüfung, wer über Zwecke und Mittel entscheidet einem kontextbezogenen und pragmatischen Ansatz. Gerade im Rahmen von Datenverarbeitungsprozessen wird etwa das beauftragende Unternehmen zwar über die Zwecke der Verarbeitung entscheiden, demgegenüber besitzt das beauftragte Unternehmen das erforderliche Spezialwissen und trifft somit die Entscheidung hinsichtlich der Mittel der Datenverarbeitung. Daraus folgt, dass die Entscheidung über die Zwecke der Datenverarbeitung stets einen aussagekräftigen Rückschluss auf die Stellung als Verantwortlicher zulässt, während die Entscheidung über die Mittel auch einem vom Verantwortlichen abzugrenzenden Auftragsverarbeiter zufallen kann.[390]