2.817
Bearbeitungen
1 BDSG a.F. Kommentar Absatz 5 Teil 2: Unterschied zwischen den Versionen
1 BDSG a.F. Kommentar Absatz 5 Teil 2 (Quelltext anzeigen)
Version vom 27. Mai 2018, 18:41 Uhr
, 27. Mai 2018Teclador verschob die Seite 1 BDSG Kommentar Absatz 5 Teil 2 nach 1 BDSG a.F. Kommentar Absatz 5 Teil 2: Anpassung alte Fassung
Keine Bearbeitungszusammenfassung |
K (Teclador verschob die Seite 1 BDSG Kommentar Absatz 5 Teil 2 nach 1 BDSG a.F. Kommentar Absatz 5 Teil 2: Anpassung alte Fassung) |
||
| (7 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
{{komm_header|P=1}} | {{DISPLAYTITLE:BDSG a.F. Kommentare und Erläuterungen}}{{komm_header|P=1}} | ||
{{komm_abstext|A=5|T= | |||
(5) Dieses Gesetz findet keine Anwendung, sofern eine in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegene verantwortliche Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt durch eine Niederlassung im Inland. Dieses Gesetz findet Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen ist, personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt. Soweit die verantwortliche Stelle nach diesem Gesetz zu nennen ist, sind auch Angaben über im Inland ansässige Vertreter zu machen. Die Sätze 2 und 3 gelten nicht, sofern Datenträger nur zum Zweck des Transits durch das Inland eingesetzt werden. § 38 Abs. 1 Satz 1 bleibt unberührt. | |||
{{komm_abstext | |||
}} | }} | ||
==Kollisionsvermeidungsnorm im Verhältnis zu Drittstaaten (Sätze 2 bis 4)== | ==Kollisionsvermeidungsnorm im Verhältnis zu Drittstaaten (Sätze 2 bis 4)== | ||
Nach Satz 2 ist das BDSG anzuwenden, wenn eine verantwortliche Stelle personenbezogene Daten '''im Inland erhebt, verarbeitet oder nutzt''', die '''nicht in einem Mitgliedstaat der Union oder in einem EWR-Staat (EU/EWR-Staat) angesiedelt''' ist. Im Verhältnis zu Drittstaaten stellt das Gesetz das Schutzbedürfnis der Betroffenen in den Vordergrund. Das deutsche Gesetz wird für anwendbar erklärt, weil sonst ein verminderter Schutz oder ein schutzloser Zustand eintreten könnte. Ob dies tatsächlich der Fall wäre, ist dem Gesetz gleichgültig. Auch verantwortliche Stellen in Staaten, deren Schutzniveau von der EU-Kommission als adäquat anerkannt worden ist, fallen unter die Regelung. Ebenso wenig spielt es eine Rolle, ob der Sitz im Drittstaat in der Absicht gewählt wurde, der Anwendung des deutschen Gesetzes zu entgehen („forum shopping“). Ist der gesetzliche Tatbestand gegeben, findet „dieses Gesetz“ Anwendung, d.h. alle seine Bestimmungen, soweit nur ihre jeweiligen Voraussetzungen erfüllt sind. Praktisch besonders wichtig sind die Pflichten zur Information des Betroffenen und dessen Auskunfts , Berichtigungs- und Löschungsrechte. | Nach Satz 2 ist das [[BDSG]] anzuwenden, wenn eine verantwortliche Stelle personenbezogene Daten '''im Inland erhebt, verarbeitet oder nutzt''', die '''nicht in einem Mitgliedstaat der Union oder in einem EWR-Staat (EU/EWR-Staat) angesiedelt''' ist. Im Verhältnis zu Drittstaaten stellt das Gesetz das Schutzbedürfnis der Betroffenen in den Vordergrund. Das deutsche Gesetz wird für anwendbar erklärt, weil sonst ein verminderter Schutz oder ein schutzloser Zustand eintreten könnte. Ob dies tatsächlich der Fall wäre, ist dem Gesetz gleichgültig. Auch verantwortliche Stellen in Staaten, deren Schutzniveau von der EU-Kommission als adäquat anerkannt worden ist, fallen unter die Regelung. Ebenso wenig spielt es eine Rolle, ob der Sitz im Drittstaat in der Absicht gewählt wurde, der Anwendung des deutschen Gesetzes zu entgehen („forum shopping“). Ist der gesetzliche Tatbestand gegeben, findet „dieses Gesetz“ Anwendung, d.h. alle seine Bestimmungen, soweit nur ihre jeweiligen Voraussetzungen erfüllt sind. Praktisch besonders wichtig sind die Pflichten zur Information des Betroffenen und dessen Auskunfts , Berichtigungs- und Löschungsrechte. | ||
Satz 2 regelt, ebenso wie Satz 1, nur das anwendbare Recht, nicht die internationale aufsichtsbehördliche Zuständigkeit oder den internationalen Gerichtsstand. | Satz 2 regelt, ebenso wie Satz 1, nur das anwendbare Recht, nicht die internationale aufsichtsbehördliche Zuständigkeit oder den internationalen Gerichtsstand. | ||
Die Regelung entspricht dem Territorialprinzip. Als Spezialregelung bewirkt sie, dass die Vorschriften des zweiten Kapitels des ersten Teils des EGBGB zum internationalen Privatrecht verdrängt werden. Die dort bestehende Möglichkeit, für die Bestimmung des anwendbaren Rechts an andere Gesichtspunkte | Die Regelung entspricht dem Territorialprinzip. Als Spezialregelung bewirkt sie, dass die Vorschriften des zweiten Kapitels des ersten Teils des EGBGB zum internationalen Privatrecht verdrängt werden. Die dort bestehende Möglichkeit, für die Bestimmung des anwendbaren Rechts an andere Gesichtspunkte anzuknüpfen, wie etwa die sprachliche und thematische Ausrichtung einer Website auf das deutsche Publikum, entfällt damit. | ||
Soweit privatrechtliche Ansprüche wegen unerlaubter Handlung aus dem widerrechtlichen Umgang mit personenbezogenen Daten nicht aus dem BDSG folgen, richtet sich das anwendbare Recht nach dem allgemeinen Deliktsstatut. Danach ist der Geschäftssitz der verantwortlichen Stelle maßgeblich; auf Verlangen des Verletzten ist das Recht desjenigen Staates anzuwenden, in dem der Verletzungserfolg eingetreten ist. | Soweit privatrechtliche Ansprüche wegen unerlaubter Handlung aus dem widerrechtlichen Umgang mit personenbezogenen Daten nicht aus dem BDSG folgen, richtet sich das anwendbare Recht nach dem allgemeinen Deliktsstatut. Danach ist der Geschäftssitz der verantwortlichen Stelle maßgeblich; auf Verlangen des Verletzten ist das Recht desjenigen Staates anzuwenden, in dem der Verletzungserfolg eingetreten ist. | ||
| Zeile 43: | Zeile 34: | ||
Durch das Setzen und spätere Lesen von '''Cookies''' werden zwar keine aktiven Programme, wohl aber auch Daten gespeichert, damit die Programme des Anbieters bei nachfolgenden Sessionen des gleichen Benutzers darauf zurückgreifen und ihn individuell im Hinblick auf seine Präferenzen und Attitüden behandeln können. Typischerweise kennzeichnen Cookies Elemente des Nutzerverhaltens wie besuchte Seiten nach Uhrzeit, Dauer und Ablauf, woraus sich durch fortgesetzte Verknüpfung aussagekräftige Profile ergeben können. Die Identifizierbarkeit des Benutzers ist für den Anbieter oft zunächst nur latent gegeben, realisiert sich aber, sobald der Benutzer sich erstmals selbst identifiziert. Da er dabei regelmäßig nicht an diese Nebenfolge denkt und insoweit auch gegenüber dem Anbieter keine datenschutzrelevante Verfügung trifft, ist die gesamte Verarbeitung und Nutzung der Cookies dem Anbieter als verantwortlicher Stelle zuzurechnen. Auch hier liegt ein Rückgriff auf Verarbeitungsmittel im deutschen Territorium und damit ein Fall der Anwendbarkeit des BDSG vor. Eine andere Beurteilung ist nur möglich, wenn die Verarbeitung von Cookies so angelegt wird, dass sie ein Mittel für Zwecke des Benutzers sind, deren Steuerung vollkommen in seiner Hand liegt. Mit modernen Browsern kann der Benutzer die Annahme von Cookies, wenn auch nur nach recht pauschalen Kriterien, steuern und Cookies jederzeit insgesamt oder einzeln löschen. | Durch das Setzen und spätere Lesen von '''Cookies''' werden zwar keine aktiven Programme, wohl aber auch Daten gespeichert, damit die Programme des Anbieters bei nachfolgenden Sessionen des gleichen Benutzers darauf zurückgreifen und ihn individuell im Hinblick auf seine Präferenzen und Attitüden behandeln können. Typischerweise kennzeichnen Cookies Elemente des Nutzerverhaltens wie besuchte Seiten nach Uhrzeit, Dauer und Ablauf, woraus sich durch fortgesetzte Verknüpfung aussagekräftige Profile ergeben können. Die Identifizierbarkeit des Benutzers ist für den Anbieter oft zunächst nur latent gegeben, realisiert sich aber, sobald der Benutzer sich erstmals selbst identifiziert. Da er dabei regelmäßig nicht an diese Nebenfolge denkt und insoweit auch gegenüber dem Anbieter keine datenschutzrelevante Verfügung trifft, ist die gesamte Verarbeitung und Nutzung der Cookies dem Anbieter als verantwortlicher Stelle zuzurechnen. Auch hier liegt ein Rückgriff auf Verarbeitungsmittel im deutschen Territorium und damit ein Fall der Anwendbarkeit des BDSG vor. Eine andere Beurteilung ist nur möglich, wenn die Verarbeitung von Cookies so angelegt wird, dass sie ein Mittel für Zwecke des Benutzers sind, deren Steuerung vollkommen in seiner Hand liegt. Mit modernen Browsern kann der Benutzer die Annahme von Cookies, wenn auch nur nach recht pauschalen Kriterien, steuern und Cookies jederzeit insgesamt oder einzeln löschen. | ||
Nach Artikel 5 Abs. 3 Datenschutzrichtlinie für elektronische Kommunikationsdienste („ePrivacy Directive“) haben | Nach Artikel 5 Abs. 3 Datenschutzrichtlinie für elektronische Kommunikationsdienste („ePrivacy Directive“) haben | ||
| Zeile 51: | Zeile 43: | ||
Bei der Nutzung von '''Telekommunikationseinrichtungen''' in Deutschland von einem Drittland aus ist danach zu unterscheiden, in welcher Rolle dieses Mittel genutzt wird. Die Benutzung eines Kommunikationsnetzes als Kunde oder sonst außenstehender Nutzer vermittelt (hinsichtlich der kommunizierten Daten) keine Verfügung über dieses Mittel; es fehlt der bestimmende Einfluss auf Inhalt und Zweck des Datenumgangs im Rahmen der Steuerung der Netzwerkaktivitäten. Der Nutzer nimmt nur eine ihm vom '''Netzbetreiber''' angebotene Dienstleistung entgegen. Die von ihm ausgehende Aktivität entfaltet zwar Wirkungen auf deutschem Territorium, diese sind aber von ihrem Urheber dort nicht weiter beeinflussbar. Ein im Drittland niedergelassener Netzbetreiber kann aber aus dem Ausland die Möglichkeiten der Steuerung des Betriebs und der Administration (Fernwartung, Remote Betrieb) besitzen, die in Bezug auf die dort verwalteten Daten (Nutzungs- und Abrechnungsdaten, keine Inhaltsdaten) die Anwendung des Satzes 2 rechtfertigen. | Bei der Nutzung von '''Telekommunikationseinrichtungen''' in Deutschland von einem Drittland aus ist danach zu unterscheiden, in welcher Rolle dieses Mittel genutzt wird. Die Benutzung eines Kommunikationsnetzes als Kunde oder sonst außenstehender Nutzer vermittelt (hinsichtlich der kommunizierten Daten) keine Verfügung über dieses Mittel; es fehlt der bestimmende Einfluss auf Inhalt und Zweck des Datenumgangs im Rahmen der Steuerung der Netzwerkaktivitäten. Der Nutzer nimmt nur eine ihm vom '''Netzbetreiber''' angebotene Dienstleistung entgegen. Die von ihm ausgehende Aktivität entfaltet zwar Wirkungen auf deutschem Territorium, diese sind aber von ihrem Urheber dort nicht weiter beeinflussbar. Ein im Drittland niedergelassener Netzbetreiber kann aber aus dem Ausland die Möglichkeiten der Steuerung des Betriebs und der Administration (Fernwartung, Remote Betrieb) besitzen, die in Bezug auf die dort verwalteten Daten (Nutzungs- und Abrechnungsdaten, keine Inhaltsdaten) die Anwendung des Satzes 2 rechtfertigen. | ||
Eine Auftragsverarbeitung durch ein im Inland ansässiges Serviceunternehmen für einen '''Auftraggeber im | |||
Eine Auftragsverarbeitung durch ein im Inland ansässiges Serviceunternehmen für einen '''Auftraggeber im Drittland''' führt nicht zur Anwendung der für verantwortliche Stellen geltenden Vorschriften des BDSG. Für den Auftragsverarbeiter gilt das auch bei Aufträgen aus dem Inland und dem EU/EWR-Raum geltende Recht. Auf den Auftraggeber wird das BDSG nicht erstreckt, weil er zwar die Art der Verarbeitung bestimmt, aber nicht selbst auf die technischen Mittel des Dienstleisters zugreift. Die inländische Verarbeitung ist seinen im Drittland stattfindenden Aktivitäten zuzurechnen. | |||
| Zeile 58: | Zeile 51: | ||
Ein Mangel hinsichtlich des Umfangs der Umsetzung ist darin zu sehen, dass die Verpflichtung, enger als die Richtlinie, nur greift, „soweit die verantwortliche Stelle nach diesem Gesetz zu nennen ist“. Hierunter fallen | Ein Mangel hinsichtlich des Umfangs der Umsetzung ist darin zu sehen, dass die Verpflichtung, enger als die Richtlinie, nur greift, „soweit die verantwortliche Stelle nach diesem Gesetz zu nennen ist“. Hierunter fallen | ||
* die Verpflichtung zur Meldung bei der Aufsichtsbehörde nach | * die Verpflichtung zur Meldung bei der [[ASB|Aufsichtsbehörde]] nach {{bdsgl|4d}} | ||
* die Verpflichtung, bei optisch-elektronischer Beobachtung die verantwortliche Stelle erkennbar zu machen und | * die Verpflichtung, bei optisch-elektronischer Beobachtung die verantwortliche Stelle erkennbar zu machen und | ||
* die Unterrichtung des Betroffenen über die Identität der verantwortlichen Stelle bei der Datenerhebung | * die Unterrichtung des Betroffenen über die Identität der verantwortlichen Stelle bei der Datenerhebung | ||
| Zeile 66: | Zeile 59: | ||
Eine Sanktion bei fehlender Bestellung, wie im Falle des Beauftragten für den Datenschutz, ist nicht vorgesehen. | Eine Sanktion bei fehlender Bestellung, wie im Falle des Beauftragten für den Datenschutz, ist nicht vorgesehen. | ||
Der Inlandsvertreter kann auch eine juristische Person sein. Wesentlich sind der ihn identifizierende Name und eine Zustellanschrift. Keine grundsätzlichen Bedenken bestehen auch dagegen, die gleiche Person als Inlandsvertreter für mehrere Mitgliedstaaten oder seitens mehrerer verantwortlicher Stellen zu bestellen, solange sie für ihre Aufgabe nicht ungeeignet ist. Sie muss insbesondere bereit und in der Lage sein, auf Anforderungen der | Der Inlandsvertreter kann auch eine juristische Person sein. Wesentlich sind der ihn identifizierende Name und eine Zustellanschrift. Keine grundsätzlichen Bedenken bestehen auch dagegen, die gleiche Person als Inlandsvertreter für mehrere Mitgliedstaaten oder seitens mehrerer verantwortlicher Stellen zu bestellen, solange sie für ihre Aufgabe nicht ungeeignet ist. Sie muss insbesondere bereit und in der Lage sein, auf Anforderungen der Aufsichtsbehörden oder Betroffener einzugehen. | ||
Die Bestellung und Benennung des Inlandsvertreters ist keine Bedingung der Zulässigkeit des Datenumgangs. Die Aufsichtsbehörden können jedoch bei versäumter Bestellung einen Verstoß gegen | Die Bestellung und Benennung des Inlandsvertreters ist keine Bedingung der Zulässigkeit des Datenumgangs. Die Aufsichtsbehörden können jedoch bei versäumter Bestellung einen Verstoß gegen {{bdsg|1|5|3}} BDSG feststellen und ihre Befugnisse nach {{bdsgl|38}} ausüben. Die zwangsweise Durchsetzung ist infolge der territorialen Kompetenzgrenzen schwierig. | ||
| Zeile 76: | Zeile 69: | ||
Die Erwähnung der '''Datenträger''' ist nicht einschränkend, sondern exemplarisch gemeint. Für den '''datenträgerlosen Transit''', ob leitungsgebunden oder per '''Funk''', muss erst recht gelten, dass die Sätze 2 und 3 nicht anwendbar sind. | Die Erwähnung der '''Datenträger''' ist nicht einschränkend, sondern exemplarisch gemeint. Für den '''datenträgerlosen Transit''', ob leitungsgebunden oder per '''Funk''', muss erst recht gelten, dass die Sätze 2 und 3 nicht anwendbar sind. | ||
Der Begriff des Transits umfasst auch Zwischenspeicherungen auf Servern oder Routern. Gemeint sind damit typische und technisch bedingte Protokollierungen und ähnliche '''begleitende Verarbeitungen''' bei paketvermittelnden Diensten, die lediglich der (sicheren) Abwicklung der Durchfuhr dienen und planmäßig, | Der Begriff des Transits umfasst auch Zwischenspeicherungen auf Servern oder Routern. Gemeint sind damit typische und technisch bedingte Protokollierungen und ähnliche '''begleitende Verarbeitungen''' bei paketvermittelnden Diensten, die lediglich der (sicheren) Abwicklung der Durchfuhr dienen und planmäßig, z.B. programmgesteuert, gelöscht werden. Auch die Verarbeitung von Abrechnungsdaten, die sich auf den Datentransit beziehen, wird man wegen ihres akzessorischen Charakters noch einbeziehen können. Werden solche Daten jedoch für andere Zwecke verwendet, weitergehend aufbewahrt oder zur Kenntnis genommen, so entfällt die Privilegierung. | ||
Auf die Auftragsverarbeitung ist die Transitregelung nicht, auch nicht entsprechend, anzuwenden. | Auf die Auftragsverarbeitung ist die Transitregelung nicht, auch nicht entsprechend, anzuwenden. | ||
Entsprechend dem Normzweck, bloßen Transit unbehelligt zu lassen, ist auch der der Fall des Transits einzubeziehen, der in einem (anderen) EG/ EWR-Staat beginnt oder endet. | Entsprechend dem Normzweck, bloßen Transit unbehelligt zu lassen, ist auch der der Fall des Transits einzubeziehen, der in einem (anderen) EG/EWR-Staat beginnt oder endet. | ||
== Datenschutzaufsicht (Satz 5)== | == Datenschutzaufsicht (Satz 5)== | ||
Die Regelungen über die '''Datenschutzaufsicht''' werden von den Kollisionsnormen '''nicht tangiert'''. Dies besagt Satz 5, wonach | Die Regelungen über die '''Datenschutzaufsicht''' werden von den Kollisionsnormen '''nicht tangiert'''. Dies besagt Satz 5, wonach {{bdsg|38|1|1}} unberührt bleibt. Auch wenn das Rechts eines anderen EU/EWR-Staates anzuwenden ist, bleibt es bei der Zuständigkeit der deutschen Aufsichtsbehörden. Nicht zuletzt im Hinblick darauf wurde im gleichen Zug eine besondere internationale Amtshilfepflicht begründet (Art. 28 Abs. 6 Satz 3 der Richtlinie, umgesetzt mit {{bdsg|38|1|4}}). Die vom Gesetz getroffene Aussage trifft für die BfDI in gleicher Weise zu, soweit dieser (in den Bereichen der Telekommunikations- und der Postdienstleistungen) als Aufsichtsbehörde fungiert. | ||
Der aufsichtsbehördlichen Zuständigkeit steht nicht entgegen, dass die verantwortliche Stelle im Ausland angesiedelt ist. Es genügt, dass die Vorgänge oder Zustände, die Kontrollgegenstand sind, sich auf deutschem Territorium ereignen bzw. befinden. Die verantwortlichen Stellen – einschließlich ausländischer öffentlicher Stellen – sind als nicht-öffentliche Stellen nach | Der aufsichtsbehördlichen Zuständigkeit steht nicht entgegen, dass die verantwortliche Stelle im Ausland angesiedelt ist. Es genügt, dass die Vorgänge oder Zustände, die Kontrollgegenstand sind, sich auf deutschem Territorium ereignen bzw. befinden. Die verantwortlichen Stellen – einschließlich ausländischer öffentlicher Stellen – sind als nicht-öffentliche Stellen nach {{bdsgl|2|4|1}} anzusehen. | ||
Der Ort des Vorgangs oder Zustandes ist für die Bestimmung der örtlich zuständigen Aufsichtsbehörde maßgeblich. | Der Ort des Vorgangs oder Zustandes ist für die Bestimmung der örtlich zuständigen Aufsichtsbehörde maßgeblich. | ||
Der internationale Gerichtsstand bleibt von den Regelungen des | Der internationale Gerichtsstand bleibt von den Regelungen des {{bdsg|1|5}} unberührt. | ||
{{komm_nextsite|P=1|A=5}} | |||
{{komm_nav|P=1|A=5}} | {{komm_nav|P=1|A=5}} | ||
{{komm_footer|P=1}} | {{komm_footer|P=1}} | ||
{{BfDI-Content}} | |||