Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 182

209

Aus einer übergreifenden Analyse der drei Judikate lässt sich dabei ableiten, dass eine gemeinsame Verantwortlichkeit wahrscheinlich anzunehmen ist, wenn folgende Voraussetzungen kumulativ vorliegen:

 – Die Zwecke und Mittel der Verarbeitung sind (i) identisch oder (ii) zumindest ähnlich oder bedingen einander (symbiotisches Verhältnis),432 wobei jedenfalls vorauszusetzen sein sollte, dass die jeweiligen Datenverarbeitungsaktivitäten der Beteiligten derart untrennbar miteinander verknüpft sind, dass das (potenziell gemeinsam verantwortete) Datenverarbeitungsverfahren bzw. die damit verfolgte Zweckerreichung ohne die Beteiligung aller (vermeintlich gemeinsam) Verantwortlichen nicht möglich wären.433

 – Die Zwecke der Verarbeitung erfolgen aus demselben übergeordneten (abstrakten) Interesse, z.B. „wirtschaftliches Interesse“.434

 – Jede Partei hat übergeordnete Kenntnisse über die Zwecke und Mittel der anderen Partei.435

 – Jede Partei akzeptiert die Zwecke der jeweils anderen Partei zumindest konkludent durch eine aktive Handlung, etwa durch den Abschluss eines Vertrages oder durch eine positive Beeinflussung der Verarbeitung,436 wie z.B. die Einleitung oder Förderung der Verarbeitung oder die Bereitstellung eines in dieser Hinsicht konzipierten Verarbeitungswerkzeugs.

 – Jede Partei profitiert direkt von der Verarbeitung des spezifischen Datensatzes,437 d.h. durch die Verarbeitung wird ein direkter Nutzen für die beteiligten Parteien generiert (der über eine bloße finanzielle Kompensation hinausgeht).

210–215

Der EuGH scheint dabei die (vorliegenden) Verarbeitungszwecke mit den (eventuell nachgelagert) verfolgten Interessen an der Verarbeitung zu vermengen, die sich eher auf sich anschließende Verarbeitungsmöglichkeiten beziehen bzw. erst im Rahmen einer Rechtfertigungsprüfung nach Art. 6 Abs. 1 lit. f DSGVO relevant werden.438 Der Gerichtshof versteht das gemeinsam verfolgte Interesse der Beteiligten dabei wohl als verbindende Klammer im Verhältnis zu den jeweils individuell (jedoch wechselseitig akzeptierten) Verarbeitungszwecken. Insofern ist es auch nur konsequent, dass der EuGH im Fashion ID-Verfahren die gemeinsame Verantwortlichkeit auf die initiale Erhebung und Übermittlung an Facebook beschränkt, da der Webseiten-Betreiber an etwaigen nachgelagerten Verarbeitungsvorgängen durch Facebook nicht mehr (wirtschaftlich) partizipiert und daher auch kein Eigeninteresse verfolgt (obwohl er die Verarbeitung durch Facebook jedenfalls konkludent hinnimmt).439

216

Der singuläre Umstand, dass eine Datenverarbeitung einen Nutzen für mehrere Akteure entfaltet, genügt für sich alleine jedoch in der Regel nicht, um eine gemeinsame Verantwortlichkeit zu begründen.440 Insbesondere muss das Eigeninteresse über die bloße Erfüllung der Verarbeitungsleistung für einen anderen hinausgehen. Vielmehr muss für den Verarbeitenden aus der konkreten Datenverarbeitung unmittelbar ein Nutzen hervorgehen, der über die etwaige Zahlung eines entsprechenden Entgelts hinausgeht (insbesondere relevant für die Abgrenzung zur Auftragsverarbeitung).441