Читать книгу Praxishandbuch DSGVO - Tobias Rothkegel - Страница 54

77

Die Eröffnung des räumlichen Anwendungsbereichs ist für den Verantwortlichen und seinen Auftragsverarbeiter separat zu prüfen. Dies kann dazu führen, dass derselbe Verarbeitungsvorgang vom Verantwortlichen innerhalb des räumlichen Anwendungsbereichs vorgenommen wird, während der Auftragsverarbeiter diese Verarbeitung außerhalb des räumlichen Anwendungsbereichs durchführt, und umgekehrt.71 Ein solches Auseinanderfallen ist ebenfalls denkbar, wenn es sich bei den Beteiligten um gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO handelt.

Praxishinweis

Der Feststellung des Auseinanderfallens des räumlichen Anwendungsbereichs der DSGVO bei mehreren Stellen, die an derselben Datenverarbeitung beteiligt sind, sollte eine sorgfältige Prüfung vorausgehen. Auch wenn ein Beteiligter nicht in der EU niedergelassen ist, vermag seine Kooperation mit in der EU niedergelassenen Stellen einen territorialen Bezug zur EU zu begründen, der unter Art. 3 Abs. 2 DSGVO fällt.

78

Fällt der räumliche Anwendungsbereich bei mehreren Beteiligten auseinander, stellen sich einige Fragen im Hinblick auf die datenschutzrechtlichen Pflichten, die die einzelnen Beteiligten treffen.72

79

Ist der räumliche Anwendungsbereich für den Verantwortlichen eröffnet, für seinen Auftragsverarbeiter jedoch nicht, sind die Abweichungen im Verhältnis zu der Situation, in der die DSGVO für beide anwendbar ist, dadurch abgemildert, dass der Verantwortliche jeden Auftragsverarbeiter gemäß Art 28 Abs. 3 DSGVO vertraglich umfangreich datenschutzrechtlich verpflichten muss. Zudem ist es in solchen Fällen wahrscheinlich, dass auch die Vorschriften zum internationalen Datenverkehr aus Kapitel V der DSGVO zur Anwendung kommen.73

80

Ist die Situation umgekehrt, ist also der Auftragsverarbeiter im und der Verantwortliche außerhalb des Anwendungsbereichs, ergeben sich erhebliche Abweichungen. Zwar dürfte die Pflicht zum Abschluss eines Vertrages nach Art. 28 DSGVO den Auftragsverarbeiter grundsätzlich treffen. Dieser Vertrag muss aber nicht diejenigen Pflichten enthalten, die offensichtlich von der Anwendbarkeit der DSGVO auf den Verantwortlichen abhängen, wie z.B. die Pflicht zur Unterstützung der Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nach Art. 28 Abs. 3 lit. e DSGVO, da Betroffenenrechte gegenüber dem Verantwortlichen in einem solchen Fall nicht existieren. Letztlich ist in einem solchen Fall jede Pflicht, die den Auftragsverarbeiter trifft, dahingehend zu prüfen, ob sie von der Anwendbarkeit der DSGVO auf den Verantwortlichen abhängig ist oder in sonstiger Weise geprägt wird. Damit ist eine erhebliche Rechtsunsicherheit für den Auftragsverarbeiter verbunden. Besonders prägnant ist diese Unsicherheit im Hinblick auf die Pflichten aus Kapitel V der DSGVO. Stellt die weisungsgemäße Übermittlung personenbezogener Daten an den im Drittland ansässigen Verantwortlichen für den in der EU niedergelassenen Auftragsverarbeiter eine Drittlandübermittlung im Sinne des Kapitel V dar? Dies erscheint kaum interessengerecht, wird aber vertreten.74