Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 251

423

Gemäß Art. 4 Nr. 16 lit. a DSGVO i.V.m. ErwG 36 bestimmt sich die Hauptniederlassung eines Verantwortlichen (mit mehreren Niederlassungen innerhalb der EU) danach, an welchem Standort die Entscheidungen hinsichtlich der Zwecke und Mittel der Verarbeitung personenbezogener Daten getroffen werden. Hierbei wird vermutet, dass es sich dabei in der Regel um den Ort der Hauptverwaltung des Verantwortlichen bzw. innerhalb von Unternehmensgruppen um „die Hauptniederlassung des herrschenden Unternehmens“778 handelt. Sofern und soweit eine andere Niederlassung des Verantwortlichen in der Union diese Entscheidungen trifft und diese Niederlassung befugt ist, diese Entscheidungen umsetzen zu lassen, gilt diese Niederlassung als Hauptniederlassung.

424

ErwG 36 Satz 2 gibt eine Hilfestellung bei der Ermittlung der Hauptniederlassung, sofern das Kriterium des Sitzes der Hauptverwaltung nicht zur Anwendung kommt. Die Bestimmung der Hauptniederlassung soll nach objektiven Kriterien erfolgen. Dabei ist insbesondere die „effektive und tatsächliche Ausübung von Managementtätigkeiten durch eine feste Einrichtung, in deren Rahmen die Grundsatzentscheidungen zur Festlegung der Zwecke und Mittel der Verarbeitung getroffen werden“, als Faktor heranzuziehen. Nicht maßgeblich ist hingegen, ob die Verarbeitung selbst auch an diesem Ort stattfindet. Auch „das Vorhandensein und die Verwendung technischer Mittel und Verfahren zur Verarbeitung personenbezogener Daten oder Verarbeitungstätigkeiten“ sind zur Bestimmung der Hauptniederlassung weder begründend noch entscheidend.

425

Vor dem Hintergrund, dass die Hauptniederlassung danach zu bestimmen ist, wer über Zwecke und Mittel der Datenverarbeitung entscheidet, kann es sich dabei auch jeweils um den datenschutzrechtlich Verantwortlichen i.S.v. Art. 4 Nr. 7 DSGVO handeln.779 So richtet sich die Bestimmung des Verantwortlichen nach den gleichen Kriterien.780 Dies wird im Falle von rechtlich unselbstständigen Niederlassungen in aller Regel jedenfalls unproblematisch gegeben sein; Entsprechendes gilt, sofern (rechtlich selbstständige) Niederlassungen ihre Verantwortlichenstellung an die Hauptniederlassung delegieren.781 In Unternehmensgruppen (mithin insbesondere im Verhältnis zu rechtlichen selbstständigen Niederlassungen) wird dies jedoch oftmals nicht in einer derartigen Ausprägung vorliegen. Vielmehr entspricht es dem Regelfall in der Praxis, dass zwar in der Konzernspitze (oder auch einer anderen Niederlassung) übergeordnete Entscheidungen hinsichtlich der Verarbeitung von personenbezogenen Daten (zu bestimmten Zwecken und möglicherweise anhand bestimmter Mittel) getroffen werden, diese Einflussnahme jedoch keinen solchen Grad erreicht, der dazu führt, dass die ausführenden Tochtergesellschaften ihre Stellung als Verantwortliche i.S.v. Art. 4 Nr. 7 DSGVO verlieren würden. Auch in solchen Fällen agiert die entscheidende Niederlassung hingegen als Hauptniederlassung i.S.v. Art. 4 Nr. 16 DSGVO (nicht jedoch als Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO). Insofern genügt es, dass Letztere die relevanten (übergreifenden) unternehmenspolitischen Entscheidungen im Hinblick auf die Datenverarbeitung durch ihre Tochtergesellschaften trifft sowie befugt ist, „[...] diese Entscheidungen [im Bedarfsfall] umsetzen zu lassen“.782