Читать книгу DS-GVO/BDSG - David Klein - Страница 181

275

Die maßgebliche Regelung zur Hauptniederlassung des Verantwortlichen findet sich in Art. 4 Nr. 16 lit. a Hs. 1. Danach liegt im Falle eines Verantwortlichen mit Niederlassungen in mehr als einem Mitgliedstaat die Hauptniederlassung am Ort der Hauptverwaltung in der Union. Dies gilt allerdings nach Art. 4 Nr. 16 lit. a Hs. 2 nicht, wenn die Entscheidungen hinsichtlich der Zwecke und Mittel der Verarbeitung personenbezogener Daten in einer anderen Niederlassung des Verantwortlichen getroffen werden.

276

In diesem Falle ist also abweichend von Art. 4 Nr. 16 lit. a Hs. 1 die Niederlassung, die diese Entscheidungen trifft, als Hauptniederlassung zu qualifizieren.[629] Dies stellt insbesondere ErwG 36 S. 1 klar: Bei Verantwortlichen ist als Hauptniederlassung diejenige Niederlassung anzusehen, an der tatsächlich die Entscheidungen über Zweck und Mittel der Verarbeitung getroffen werden, sofern diese Entscheidungen für den Verantwortlichen insgesamt wirksam sind und auch durchgesetzt werden können.[630] Zur Bestimmung der Hauptniederlassung eines Verantwortlichen müssen also objektive Kriterien herangezogen werden, wobei ein Kriterium die effektive und tatsächliche Ausübung von Managementtätigkeit durch eine feste Einrichtung ist, in deren Rahmen die Grundsatzentscheidungen zur Festlegung der Zwecke und Mittel der Verarbeitung getroffen werden (ErwG 36 S. 2). Dabei sollte indes nicht entscheidend sein, ob die Verarbeitung der personenbezogenen Daten auch tatsächlich an diesem Ort durchgeführt wird. Denn das Vorhandensein und die Verwendung technischer Mittel und Verfahren zur Verarbeitung personenbezogener Daten oder Verarbeitungstätigkeiten begründen an sich noch keine Hauptniederlassung und sind daher kein ausschlaggebender Faktor (ErwG 36 S. 3 und 4). Insofern ergibt sich aus den ErwG selbst eine klare Leitlinie für die Prüfung hinsichtlich des Vorhandenseins einer Hauptniederlassung. Insgesamt ist daher der tatsächliche Geschäfts- und Tätigkeitsschwerpunkt hinsichtlich der Datenverarbeitung i.S. e. flexiblen Betrachtungsweise im o.g. Sinne maßgeblich.[631]

277

Die DS-GVO befasst sich nicht spezifisch mit der Frage, welche Niederlassung als Hauptniederlassung i.S.d. Art. 4 Nr. 16 gilt, falls zwei oder mehr in der EU Niedergelassene gemeinsam für die Datenverarbeitung verantwortlich sind. In einem solchen Fall ist nach dem Ansatz des Art. 4 Nr. 16 diejenige Niederlassung zu ermitteln, die befugt ist die Entscheidungen über Zwecke und Mittel der Datenverarbeitung für alle gemeinsam Verantwortlichen umzusetzen. Um die Vorteile des Verfahrens der Zusammenarbeit in vollem Umfang nutzen zu können und Transparenz zu gewährleisten, sollten gemeinsam Verantwortliche daher festlegen, welche entscheidungsbefugte Niederlassung eines gemeinsam Verantwortlichen diese Befugnis haben soll.[632] Diese gilt dann als die für die Datenverarbeitung im Namen der gemeinsam Verantwortlichen zuständige Hauptniederlassung.

278

Gleichwohl kann es, unabhängig von der Anzahl der Verantwortlichen, vorkommen, dass unterschiedliche Niederlassungen jeweils autonome Entscheidungen hinsichtlich verschiedener grenzüberschreitender Verarbeitungstätigkeiten treffen, somit verschiedene Entscheidungszentren existieren. In einem solchen Fall gibt es nach dem Ansatz des Art. 4 Nr. 16 mehrere Hauptniederlassungen, was dazu führt, dass mehrere Aufsichtsbehörden federführend für jeweils unterschiedliche Tätigkeiten sind.[633]

279

In praktischer Hinsicht folgt aus den Erwägungen zur Bestimmung der Hauptniederlassung, dass etwa eine „Briefkastenfirma“ zwar Niederlassung, allerdings nicht Hauptniederlassung sein kann.[634] Darüber hinaus kommt es auch nicht auf den Serverstandort an. Dies ist insbesondere vor dem Hintergrund relevant, dass international agierende Unternehmen und „Internet-Giganten“ sich nicht durch die Wahl eines „geeigneten“ Serverstandortes der Geltung der Anforderungen der DS-GVO entziehen können sollen. Gleichwohl bleibt es in der Praxis den Unternehmen überlassen, welcher Niederlassung sie die Grundsatzentscheidungen überlassen. Insofern werden Serverstandorte zwar ausgeklammert, gleichwohl eröffnet sich ein Missbrauchsrisiko dahingehend, dass Unternehmen ihren tatsächlichen Tätigkeitsschwerpunkt selbst wählen und damit die Geltung von Art. 4 Nr. 16 lit. a letztlich doch beeinflussen können.[635] Gleichwohl lässt sich die fehlende Entscheidungskompetenz der zuständigen Aufsichtsbehörde durch eine Änderung der Hauptniederlassung nicht mehr begründen. Vielmehr bleibt die anfängliche Zuständigkeit der Aufsichtsbehörde in diesem Fall erhalten.[636]