Konvergierende Entscheidungen
Anders ist die Lage bei konvergierenden Entscheidungen: Hier resultiert die gemeinsame Beteiligung – so auch die Rechtsprechung des EuGH – daraus, dass sie auf gemeinsamer Verantwortlichkeit gründet. Entscheidungen über die Zwecke und die Mittel können als konvergierend betrachtet werden, sofern sie sich ergänzen sowie für die Datenverarbeitung erforderlich sind und damit einen wirkungsvollen Einfluss auf diese Entscheidung haben. Allerdings ist zu betonen, dass solch konvergierende Entscheidungen über die Zwecke und die Mittel der Verarbeitung, jedoch nicht über sonstige Details der geschäftlichen Beziehungen der Parteien gefällt werden. Damit wäre dann ein zentrales Kriterium erklärt: Konvergierende Entscheidungen über die Mittel und die Zwecke liegen dann vor, wenn die Datenverarbeitungen untrennbar miteinander verbunden und nur mit der Beteiligung der beteiligten Parteien möglich wären. Wichtig ist hier auch die Unterscheidung von der anders gelagerten Situation der Auftragsverarbeitung. Bei dieser ist der Auftragsverarbeiter zwar derjenige, der die Verarbeitung mindestens zum Teil durchführt, jedoch tut er dies im Auftrag des Verantwortlichen. Er tut dies nicht, um einen eigenen Zweck zu erfüllen. Daher liegt hier kein Fall einer konvergierenden Entscheidung vor.
Keinen Datenzugang zu haben, befreit nicht von gemeinsamer Verantwortung
Hat eine Partei keinen Zugriff auf die verarbeiteten personenbezogenen Daten, ist dies für einen Ausschluss von der gemeinsamen Verantwortung nicht hinreichend. Der Europäische Gerichtshof vertrat im Falle der Zeugen Jehovas die folgende Meinung: Die Mitglieder, die ihren Glauben verkünden, indem sie Gespräche an Wohnungstüren führen, können gemeinsam mit ihrer Gemeinschaft als Verantwortliche betrachtet werden, wenn es um die Verarbeitung der personenbezogenen Daten ihrer Gesprächspartner geht. Der EuGH sah es als hierfür nicht erforderlich an, dass auch die Gemeinschaft Zugang zu diesen Daten habe. Auch schriftliche Weisungen für die Mitglieder seien in diesem Zusammenhang nicht erforderlich. Die gemeinsame Verantwortung sei dadurch begründet, dass die Religionsgemeinschaft die Aktionen der Mitglieder koordiniere, um die Ziele der Glaubensgemeinschaft zu erreichen, und sich auf diese Weise an der Entscheidung über die Zwecke und die Mittel der Verarbeitung der personenbezogenen Daten beteilige. Zudem war die Religionsgemeinschaft darüber informiert, dass diese Daten verarbeitet werden, um den Glauben zu verbreiten.
Gemeinsame Verantwortlichkeit nur bei bestimmten Vorgängen
Außerdem hat das EuGH festgestellt, dass die gemeinsame Verantwortlichkeit einer Stelle sich nur auf solche Vorgänge beziehen kann, für die diese Stelle Mittel und Zwecke der Verarbeitung personenbezogener Daten tatsächlich gemeinsam mit den anderen Verantwortlichen festlegt. Dies gelte insbesondere bei einer konvergierenden Entscheidung. Falls eine Stelle allerdings über die Mittel und die Zwecke von solchen Vorgängen entscheidet, die in einer Kette mehrerer Verarbeitungen vor oder nach der betreffenden stattfinden, dann ist diese entscheidende Stelle für den vor- oder auch nachgelagerten Vorgang die jeweils allein verantwortliche Stelle.
Unterschiedliches Maß an Verantwortung
Eine weitere Frage ist die nach dem Umgang mit einem unterschiedlichen Maß an Verantwortung auf Seiten der gemeinsam Verantwortlichen. Dazu ist festzuhalten, dass die gemeinsame Verantwortung für die Verarbeitung personenbezogener Daten nicht unbedingt zur Folge haben muss, dass alle an dieser Verarbeitung beteiligten Verantwortlichen im gleichen Maße Verantwortung übernehmen. Der Europäische Gerichtshof stellte vielmehr klar, dass die verschiedenen Akteure, die in unterschiedlichem Maß und in verschiedenen Phasen an einer Verarbeitung beteiligt sein können, in unterschiedlichem Ausmaß an der gemeinsamen Verantwortung beteiligt sein können. Bei der Beurteilung des Einzelfalls sind alle relevanten Umstände einzubeziehen und miteinander abzuwägen.
Mehr Infos zu den Perspektiven gemeinsamer Verantwortung
Kommen Sie herzlich gern auf uns zu. Sie erreichen uns entweder unter Telefon 09122 6937302 oder mit Ihrer persönlichen Nachricht. Wir antworten Ihnen so bald als möglich, beraten Sie gern und freuen uns schon darauf, Sie kennenzulernen!
Ihr Team von Datenschutz Prinz
Mehr zum Thema Auftragsverarbeitung: