Kontrollzuständigkeiten bei Datenverarbeitung im Auftrag

Transkript

1 Kontrollzuständigkeiten bei Datenverarbeitung im Auftrag 1 Vorbemerkung Lässt eine öffentliche Stelle personenbezogene Daten im Auftrag durch eine andere Stelle verarbeiten, ist auch die Frage zu beantworten, wie die datenschutzrechtliche Kontrolle im Zusammenhang mit der Beauftragung organisiert ist. Im Vordergrund steht dabei insbesondere die Frage, inwieweit die für die Datenschutzkontrolle beim Auftraggeber zuständige Datenschutzbehörde auch für die Kontrolle der Verarbeitung personenbezogener Daten beim Auftragnehmer im Hinblick auf die Beauftragung zuständig ist oder ob (ggf. zusätzlich) die für die eigene Datenverarbeitung des Auftragnehmers zuständige Aufsichtsbehörde die Aufsicht hat. Während es hinsichtlich der Zuständigkeiten für die Datenschutzkontrolle beim Auftraggeber keine datenschutzrechtlichen Besonderheiten gegenüber einer Datenverarbeitung durch die Stelle selbst gibt, sind im Hinblick auf den Auftragnehmer verschiedene Varianten möglich. Die Rechtsfrage wird im Bundesdatenschutzgesetz (BDSG) und in den Landesdatenschutzgesetzen in unterschiedlicher Weise gelöst. Im Folgenden sollen sowohl die unterschiedlichen Lösungsansätze als auch die daraus folgenden rechtlichen Fragestellungen dargestellt und Empfehlungen für das praktische Herangehen bei der datenschutzrechtlichen Prüfung in Fällen der Datenverarbeitung im Auftrag gegeben werden. 2 Darstellung der Rechtslage im BDSG, SGB X und den Landesdatenschutzgesetzen 2.1 Datenschutzkontrolle beim Auftraggeber Zunächst ist klarzustellen, dass bei einer Datenverarbeitung im Auftrag der Auftraggeber für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich ist. Dieses Prinzip ist der Datenverarbeitung im Auftrag immanent und ist daher in allen Vorschriften zur Datenverarbeitung im Auftrag explizit geregelt. Dies wirkt sich auch auf die Datenschutzkontrolle aus. Die datenschutzrechtliche Kontrolle des Auftraggebers durch den BfDI bzw. den jeweils zuständigen LfD erstreckt sich deshalb nicht nur auf die Einhaltung der datenschutzrechtlichen Bestimmungen bei der vom Auftraggeber selbst mit eigenen Mitteln durchgeführten Verarbeitung personenbezogener Daten. Angesichts der datenschutzrechtlichen Verantwortlichkeit des Auftraggebers ist vielmehr auch die Einhaltung der datenschutzrechtlichen Bestimmungen im Zusammenhang mit der Beauftragung von der Datenschutzkontrolle des BfDI bzw. des jeweiligen LfD umfasst. Die für den Auftraggeber zuständige Kontrollbehörde prüft deshalb auch, ob der Umfang der Beauftragung den jeweiligen Vorschriften entspricht, ob die schriftliche Vereinbarung alle notwendigen formellen und materiellen Anforderungen erfüllt und ob dem Auftraggeber die gesetzlich vorgesehenen Weisungs- und Kontrollrechte vorbehalten sind. Ebenso kann sich der BfDI bzw. der zuständige LfD im Rahmen seiner Kontrollkompetenz jederzeit beim Auftraggeber (etwa durch Einsichtnahme in entsprechende

2 - 2 - Dokumentationen) davon überzeugen, dass der Auftragnehmer die notwendigen technischen und organisatorischen Maßnahmen einhält, die Weisungen des Auftraggebers umsetzt und sich auch sonst an die schriftlichen Vereinbarungen hält. 2.2 Datenschutzkontrolle beim Auftragnehmer Schwerer zu beantworten und in den Datenschutzgesetzen in Bund und Ländern nicht einheitlich gelöst ist hingegen die Frage, von welcher Datenschutzaufsicht und in welchem Umfang der Auftragnehmer selbst ggf. vor Ort im Zusammenhang mit der Beauftragung kontrolliert wird. Soweit in den Datenschutzgesetzen dazu überhaupt Regelungen getroffen wurden, unterscheiden sich diese in mehrfacher Hinsicht. Zur besseren Übersicht sind die in den Gesetzen vorgesehenen Zuständigkeiten in der als Anlage beigefügten Tabelle verdeutlicht. Generell muss zunächst danach differenziert werden, ob es sich beim Auftragnehmer um eine öffentliche Stelle oder eine nicht-öffentliche Stelle handelt. Darüber hinaus sind an den Sitz der Stelle bzw. bei öffentlichen Stellen an den Verwaltungsträger in vielen Datenschutzgesetzen unterschiedliche Rechtsfolgen geknüpft. Deshalb muss auch danach unterschieden werden, ob der Auftragnehmer seinen Sitz im gleichen Hoheitsgebiet wie der Auftraggeber hat oder nicht bzw. ob es sich bei einer öffentlichen Stelle als Auftragnehmer um eine solche handelt, die dem gleichen Zuständigkeitsbereich zuzurechnen ist wie der Auftraggeber. So sind im Ergebnis bei der Beauftragung durch öffentliche Stellen die folgenden vier Grundkonstellationen zu unterscheiden: Auftragnehmer ist öffentliche Stelle im gleichen Hoheitsgebiet wie der Auftraggeber Bei dieser Konstellation gibt es im Hinblick auf die Kontrollzuständigkeit grundsätzlich keine Besonderheiten. Der Auftragnehmer unterliegt ohnehin der vollen Kontrollzuständigkeit durch die gleiche Datenschutzkontrollbehörde (BfDI bzw. LfD) wie der Auftraggeber. Eine Reihe von Datenschutzgesetzen regelt hierfür ausdrücklich, dass für den Auftragnehmer die Vorschriften über die Kontrolle des (gleichen) Datenschutzgesetzes anzuwenden sind ( 11 Abs. 4 Nr. 1 lit. a BDSG, 7 Abs. 3 DSG B-W, Art. 6 Abs. 3 BayDSG, 3 Abs. 2 BlnDSG, 11 Abs. 4 BbgDSG, 9 Abs. 2 BrDSG, 3 Abs. 2 HmbDSG, 5 Abs. 2 SDSG, 8 Abs. 4 DSG-LSA, 8 Abs. 4 ThürDSG). In diesen Landesdatenschutzgesetzen bzw. im BDSG wird in der Regel allgemein von öffentlicher Stelle als Auftragnehmer gesprochen. Da sich die Gesetzgebungskompetenz immer nur auf den eigenen Hoheitsbereich beschränken kann, ist dabei gemeint, dass es sich um eine öffentliche Stelle im Geltungsbereich des eigenen Gesetzes handeln muss; zum Teil wird konsequenter Weise auf die Definition im eigenen Gesetz unmittelbar Bezug genommen. Öffentliche Stellen außerhalb des Geltungsbereichs des eigenen Gesetzes sind davon grundsätzlich nicht umfasst. Zum Teil ist in den Gesetzen eine weitere Zuständigkeit für solche Auftragnehmer begründet, die zwar nicht-öffentliche Stellen sind, bei denen eine öffentliche Stelle

3 - 3 - (im Rahmen des Geltungsbereichs des jeweiligen Gesetzes) die Mehrheit der Anteile hält oder ihr die Mehrheit der Stimmen zusteht. Diese werden in diesem Zusammenhang wie öffentliche Stellen im eigenen Hoheitsgebiet behandelt ( 11 Abs. 4 Nr. 1 lit. b BDSG, 7 Abs. 4 Satz 1 LDSG B-W, 3 Abs. 3 BlnDSG, 9 Abs. 3 BrDSG, 8 Abs. 5 DSG LSA, 8 Abs. 5 ThürDSG). In einigen weiteren Landesdatenschutzgesetzen werden solche Stellen ohnehin als öffentliche Stellen betrachtet (vgl. z. B. 2 Abs. 2 DSG M-V oder 3 Abs. 1 Nr. 2 LDSG S-H). In den übrigen Ländern kann die Kontrollkompetenz hinsichtlich des Auftragnehmers nur unmittelbar aus den jeweiligen Vorschriften über die Kontrollkompetenz des LfD hergeleitet werden. Da der jeweilige LfD ohnehin sowohl für den Auftragnehmer als auch für den Auftraggeber zuständig ist, kann er die Einhaltung des Datenschutzes sowohl hinsichtlich des Auftrages als auch hinsichtlich der übrigen Verarbeitung personenbezogener Daten durch den Auftragnehmer kontrollieren Auftragnehmer ist nicht-öffentliche Stelle im jeweils eigenen Hoheitsgebiet Für diese Konstellation sind die Regelungsansätze in den Datenschutzgesetzen unterschiedlich. a. Das Bundesdatenschutzgesetz legt in 11 Abs. 4 Nr. 2 BDSG fest, dass hinsichtlich der Datenschutzkontrolle beim Auftragnehmer in jedem Falle 38 BDSG gilt, sofern der Auftragnehmer eine nicht-öffentliche Stelle ist. Damit wird die Datenschutzaufsicht der jeweils zuständigen Aufsichtsbehörde für den nicht-öffentlichen Bereich zugewiesen. b. Im Geltungsbereich des SGB ist die Konzeption ähnlich. Auch hier verweist 80 Abs. 6 Satz 4 SGB X allgemein auf die Aufsichtsbehörden nach 38 BDSG, sofern es sich nicht um eine der in 35 SGB I genannten Stellen handelt. c. Einige Landesdatenschutzgesetze sehen für diese Konstellation vor, dass sich der Auftragnehmer im Zusammenhang mit der Beauftragung der Kontrolle des für den Auftraggeber zuständigen Landesdatenschutzbeauftragten unterwerfen muss. In einem Teil dieser Länder beschränkt sich die Unterwerfungsklausel ausschließlich auf die hier betrachtete Konstellation, dass der Auftragnehmer die Datenverarbeitung im eigenen Bundesland durchführt ( 3 Abs. 4 Satz 1 BlnDSG, 3 Abs. 3 Satz 1 HmbDSG, 11 Abs. 3 Satz 1 DSG NRW). In dem anderen Teil der zu dieser Gruppe zählenden Länder gilt die Unterwerfungsklausel unabhängig davon, wo die Datenverarbeitung durchgeführt wird ( 9 Abs. 1 Satz 5 BrDSG, 4 Abs. 3 Satz 1 HDSG, 4 Abs. 3 Satz 1 DSG M-V, 4 Abs. 1 Satz 3 LDSG R-P, 5 Abs. 3 Satz 1 SDSG, 8 Abs. 6 Satz 1 DSG LSA; siehe auch unten 2.2.4). Zum Teil enthalten die Vorschriften zusätzlich eine Verpflichtung, den jeweiligen LfD zu unterrichten, damit dieser von der Unterwerfung erfährt. d. In den übrigen Ländern ist eine Unterwerfung unter die Kontrolle des LfD im Gesetz nicht vorgesehen. Wiederum in einem Teil dieser Länder wird verlangt, dass eine Kontrolle entweder durch die zuständige Datenschutzaufsicht oder durch Veranlassung des Auftraggebers sicherzustellen oder die zuständige Aufsicht zu unterrichten ist ( 11 Abs. 1 Satz 3 BbgDSG, 6 Abs. 4 NDSG, 7 Abs. 3 SächsDSG, 17 Abs. 3 LDSG S-H, 8 Abs. 6 ThürDSG). In den Ländern Baden-

4 - 4 - Württemberg und Bayern ist keine Regelung zur Datenschutzkontrolle bei Auftragnehmern, die nicht-öffentliche Stellen sind, getroffen. In diesen Ländern ist davon auszugehen, dass die Datenschutzkontrolle beim Auftragnehmer durch die für diesen zuständige Aufsichtsbehörde nach 38 BDSG wahrgenommen wird. Unabhängig von der Frage, ob das jeweilige Datenschutzgesetz eine Unterwerfung des Auftragnehmers unter die Kontrolle des für den Auftraggeber zuständigen Datenschutzbeauftragten vorsieht, ist zu klären, ob und in welchem Umfang eine solche Unterwerfung gleichwohl vertraglich vereinbart werden könnte. Darauf wird unten (3.) näher eingegangen Auftragnehmer ist öffentliche Stelle außerhalb des Hoheitsgebietes Für diese Konstellation sehen die Datenschutzgesetze wiederum zwei unterschiedliche Lösungsansätze vor: Vertragliche Unterwerfung unter die Kontrolle des für den Auftraggeber zuständigen LfD (a.) Kontrollzuständigkeit der für die eigene Datenverarbeitung des Auftragnehmers zuständigen Behörde (b.) a. In einigen Landesdatenschutzgesetzen ist auch in dieser Konstellation vorgesehen, dass sich der Auftragnehmer vertraglich verpflichtet, sich der Kontrolle des für den Auftraggeber zuständigen LfD zu unterwerfen ( 9 Abs. 1 Satz 5 BrDSG, 4 Abs. 3 HDSG, 4 Abs. 3 Satz 1 DSG M-V, 4 Abs. 1 Satz 3 LDSG R-P, 5 Abs. 3 Satz 1 SDSG, 8 Abs. 6 Satz 1 DSG LSA). b. In den übrigen Landesdatenschutzgesetzen sowie im BDSG ist eine Unterwerfung von Auftragnehmern, die öffentliche Stellen sind, nicht vorgesehen. Entweder beschränkt sich die Unterwerfung ausschließlich auf nicht-öffentliche Stellen im (räumlichen) Geltungsbereich des eigenen Gesetzes (Berlin, Hamburg, Nordrhein- Westfalen) oder eine Unterwerfung unter die Kontrolle des für den Auftraggeber zuständigen LfD (bzw. des BfDI) ist generell nicht vorgesehen. Im letzteren Falle treffen die Landesdatenschutzgesetze entweder keine Regelungen (Bund, Bayern, Baden-Württemberg) oder verlangen bestenfalls, dass eine Datenschutzkontrolle sichergestellt wird. Im Ergebnis unterliegt der Auftragnehmer nach der gesetzlichen Konzeption in diesen Fällen ausschließlich der Datenschutzkontrolle des ohnehin für ihn zuständigen Datenschutzbeauftragten für den öffentlichen Bereich. Eine Kontrolle durch die für den Auftraggeber zuständige Kontrollbehörde ist nicht vorgesehen. Zur Frage der Möglichkeit und des Umfangs einer vertraglichen Unterwerfung s. u. 3.

5 Auftragnehmer ist nicht-öffentliche Stelle außerhalb des eigenen Hoheitsgebiets Auch bei der vierten Variante schließlich sind wieder die beiden bereits unter und dargestellten Grundkonstellationen zu beobachten: Unterwerfung unter die Kontrolle des für den Auftraggeber zuständigen (Landes-)datenschutzbeauftragten (a.) oder (ausschließliche) Zuständigkeit der für die eigene Datenverarbeitung des Auftragnehmers zuständigen Aufsichtsbehörde (b.) a. In einer Reihe von Landesdatenschutzgesetzen ist es auch dann vorgesehen, dass sich der Auftragnehmer der Kontrolle des für den Auftraggeber zuständigen LfD vertraglich unterwerfen muss, wenn der Auftragnehmer nicht-öffentliche Stelle mit Sitz außerhalb des räumlichen Geltungsbereichs des Gesetzes ist ( 9 Abs. 1 Satz 5 BrDSG, 4 Abs. 3 Satz 1 HDSG, 4 Abs. 3 Satz 1 DSG M-V, 4 Abs. 1 Satz 3 LDSG R-P, 5 Abs. 3 Satz 1 SDSG, 8 Abs. 6 Satz 1 DSG LSA). In allen hier genannten Ländern mit Ausnahme von Rheinland-Pfalz ist der hier für zuständig erklärte LfD über die Beauftragung zu unterrichten. b. Im BDSG und den übrigen Landesdatenschutzgesetzen ist eine solche Unterwerfung wiederum nicht vorgesehen. Wie oben (2.2.2) bereits dargestellt, besteht in drei weiteren Ländern (Berlin, Hamburg, Nordrhein-Westfalen) eine solche Unterwerfungsverpflichtung nur für solche Auftragnehmer, die die Datenverarbeitung im räumlichen Geltungsbereich des jeweils eigenen Landesdatenschutzgesetzes durchführen. In den verbleibenden Ländern ist eine Unterwerfung generell nicht vorgesehen. In all diesen Ländern sowie beim Bund unterliegt der Auftragnehmer daher nach der gesetzlichen Konzeption in jedem Falle der Datenschutzaufsicht durch die nach 38 BDSG zuständige Aufsichtsbehörde. In der Mehrzahl der Datenschutzgesetze, in denen eine Unterwerfung nicht vorgesehen ist, sind allerdings dennoch bestimmte formale Verpflichtungen zu erfüllen: In Berlin ( 3 Abs. 4 Satz 2 BlnDSG) ist vorgeschrieben, dass sicherzustellen ist, dass der Auftragnehmer einer Datenschutzkontrolle durch die jeweils zuständige Stelle unterliegt. Es wird allerdings nicht festgelegt, in welcher Art und Weise durch welche der beteiligten Parteien dies zu geschehen hat. In Brandenburg ( 11 Abs. 1 Satz 3 BbgDSG), Niedersachsen ( 6 Abs. 4 Satz 1 NDSG) und Schleswig-Holstein ( 17 Abs. 3 LDSG S-H) und Thüringen ( 8 Abs. 2 Satz 4 ThürDSG) ist vorgesehen, dass der Auftrageber den Auftragnehmer dazu verpflichtet, jederzeit von ihm (dem Auftraggeber) veranlasste Kontrollen zu ermöglichen. In Hamburg ( 3 Abs. 3 Satz 2 HmbDSG), Niedersachsen ( 6 Abs. 4 Satz 2 NDSG), Nordrhein-Westfalen ( 11 Abs. 3 Satz 2 DSG NRW), Sachsen ( 7 Abs. 3 SächsDSG) und Thüringen ( 8 Abs. 6 ThürDSG) muss die für den Auftragnehmer zuständige Datenschutzaufsichtsbehörde über die Beauftragung unterrichtet werden, während in Berlin ( 3 Abs. 4 Satz 3

6 - 6 - BlnDSG) der Berliner Beauftragte für Datenschutz und Informationsfreiheit zu informieren ist. In Baden-Württemberg und Bayern besteht keine der genannten Verpflichtungen. 3 Rechtliche Bewertung Abgesehen von der Konstellation, dass der Auftragnehmer öffentliche Stelle des gleichen Landes ist wie der Auftraggeber bzw. beide Seiten öffentliche Stellen des Bundes sind, sind bei der datenschutzrechtlichen Kontrolle des Auftragnehmers im Wesentlichen zwei Grundkonzeptionen zu beobachten (s. o. 2.2): Der Auftragnehmer unterliegt der Kontrolle bzw. der Aufsicht derjenigen Kontrollstelle, die auch sonst für die Verarbeitung personenbezogener Daten zu eigenen Zwecken zuständig ist (3.1). Der Auftragnehmer muss sich verpflichten, sich der Kontrolle der für den Auftraggeber zuständigen Datenschutzkontrollbehörde zu unterwerfen (3.2). 3.1 Auftragnehmer muss sich keiner Kontrolle unterwerfen Für den Fall, dass sich der Auftragnehmer einer Datenverarbeitung im Auftrag nach den obigen Erläuterungen keiner Kontrolle des für den Auftraggeber zuständigen Datenschutzbeauftragten unterwerfen muss, bestehen keine rechtlichen Schwierigkeiten. In diesen Fällen unterliegt der Auftragnehmer der Datenschutzaufsicht bzw. Datenschutzkontrolle, die für ihn auch im Hinblick auf die Verarbeitung personenbezogener Daten zu eigenen Zwecken zuständig ist. Die Kontrollzuständigkeit dieser Behörde bezieht sich dabei grundsätzlich auch auf die Tätigkeit als Auftragnehmer. So kann die für den Auftragnehmer zuständige Datenschutzaufsicht insbesondere prüfen, ob der Auftragnehmer bei der Verarbeitung personenbezogener Daten die notwendigen technischen und organisatorischen Maßnahmen zur Gewährleistung des Datenschutzes getroffen hat. Darüber hinaus ist eine Kontrolle nur dahingehend möglich, dass der Auftragnehmer die datenschutzrechtlichen Bestimmungen beachtet, die ohnehin für ihn gelten. Ist der Auftragnehmer eine öffentliche Stelle außerhalb des Geltungsbereichs des für den Auftraggeber geltenden Rechts, kann der für den Auftragnehmer zuständige LfD bzw. bei öffentlichen Stellen des Bundes der BfDI nur die Einhaltung der eigenen datenschutzrechtlichen Bestimmungen kontrollieren. Eine gleichzeitige Kontrolle der Einhaltung der Vorschriften des für den Auftraggeber geltenden Datenschutzrechts ist hingegen originär nicht möglich. Dies gilt auch dann, wenn sich der Auftragnehmer vertraglich verpflichtet, die Bestimmungen des für den Auftraggeber geltenden Datenschutzrechts zu beachten. Eine solche Vereinbarung würde nur die Parteien binden, könnte aber nicht die gesetzliche Aufgabenzuweisung der für den Auftragnehmer zuständigen Kontrollbehörde erweitern. Dies kann auch dem Rechtsgedanken aus Art. 17 Abs. 3, 2. Anstrich der EG-Datenschutzrichtlinie entnommen werden.

7 - 7 - Beispiel: Auftraggeber ist öffentliche Stelle des Landes Brandenburg, Auftragnehmer ist öffentliche Stelle des Bundes. In diesem Falle ist für die Datenschutzkontrolle des Auftragnehmers mangels Unterwerfungsmöglichkeit im Brandenburgischen Datenschutzgesetz der BfDI zuständig, dessen Kontrolle auf die Einhaltung der 12 ff. BDSG und ggf. anderer für öffentliche Stellen des Bundes geltenden Datenschutzbestimmungen beschränkt ist. Auch wenn sich der Auftragnehmer in der Vereinbarung verpflichtet haben sollte, die Bestimmungen des Brandenburgischen Datenschutzgesetzes zu beachten, kann dessen Einhaltung durch den BfDI nicht aus eigener Zuständigkeit kontrolliert werden. Die dem BfDI in 24 ff. BDSG zugewiesenen Aufgaben können nicht durch vertragliche Vereinbarung erweitert werden. Möglich ist es aber, die für den Auftragnehmer zuständige Kontroll- bzw. Aufsichtsbehörde im Wege der Amtshilfe zu bitten, vor Ort tätig zu werden und bestimmte Aspekte der Einhaltung datenschutzrechtlicher Bestimmungen im Zusammenhang mit der Beauftragung zu überprüfen. Die ersuchte Behörde kann dabei grundsätzlich nur Tatsachenfeststellungen treffen. Eine rechtliche Bewertung, ob die Datenverarbeitung im Auftrag zulässig ist und die insoweit vorgeschriebenen Bedingungen erfüllt sind, steht ihr nicht zu. Derartige Bewertungen kann nur die für den Auftraggeber zuständigen Kontrollbehörde abgeben (siehe oben 2.1). Auch wenn im Gesetz eine Unterwerfung unter die für den Auftraggeber zuständige Datenschutzkontrolle nicht angeordnet ist, ist sie gleichwohl auf vertraglicher Basis in bestimmten Grenzen möglich und zulässig. Eine solche vertragliche Unterwerfung wird in der Praxis von einigen Datenschutzbeauftragten auch empfohlen. Die freiwillige vertragliche Unterwerfung muss sich darauf beschränken, dass der für den Auftraggeber zuständigen Kontrollbehörde das Recht eingeräumt wird, die Räume und Anlagen des Auftragnehmers zu betreten und zu besichtigen, soweit sie für die Durchführung des Auftrages genutzt werden. Der Auftraggeber kann sich also vertraglich das Recht einräumen lassen, dass die für ihn zuständige Kontrollbehörde die notwendigen Tatsachenfeststellungen trifft um zu prüfen, ob die datenschutzrechtlichen Anforderungen im Zusammenhang mit der Beauftragung erfüllt sind. Soweit es sich bei dem Auftragnehmer um eine öffentliche Stelle handelt, wird auf die unter Ziffer 3.2 in letzten Absatz dargestellte abweichende Auffassung hingewiesen. Eine datenschutzrechtliche Bewertung kann die für den Auftraggeber zuständige Kontrollbehörde jedoch aus den o. g. Gründen lediglich gegenüber dem (für die Datenverarbeitung im Auftrag verantwortlichen) Auftraggeber abgeben. Ebenso kann sie Sanktionen (z. B. Beanstandungen) nur gegenüber dem Auftraggeber aussprechen; unmittelbar gegenüber dem Auftragnehmer ist dies nicht zulässig. Rechtlich gesehen handelt es sich somit bei einer freiwilligen Unterwerfung um eine räumlich verlängerte Kontrolle des Auftraggebers und nicht um eine Kontrolle des Auftragnehmers i. S. d. 24, 38 BDSG bzw. der jeweiligen Vorschriften der Landesdatenschutzgesetze.

8 Auftragnehmer unterwirft sich der Kontrolle der für den Auftraggeber zuständigen Kontrollbehörde Soweit nach den obigen Ausführungen (2.2.2 bis 2.2.4) vorgesehen ist, dass sich der Auftragnehmer vertraglich verpflichten muss, sich der Kontrolle der für den Auftraggeber zuständigen Kontrollbehörde zu unterwerfen, werden verschiedentlich Zweifel geäußert, ob und in welchem Umfang dies überhaupt rechtlich möglich ist. Dabei ist zu berücksichtigen, dass die verfassungsrechtliche Kompetenzordnung grundsätzlich nicht disponibel und daher vom Gesetz abweichenden Vereinbarungen zwischen Verwaltungsträgern oder zwischen Verwaltung und Privaten nicht zugänglich ist. Allerdings ist anerkannt, dass durch gesetzliche Bestimmungen etwa vorgesehen werden kann, dass die Zuständigkeit einer Behörde durch Vereinbarung festgelegt wird. Beispiele hierfür sind 25 Abs. 1 Satz 5 Vermögensgesetz oder 1 Abs. 5 Satz 2 Vermögenszuordnungsgesetz. Außerdem ist es der Rechtsordnung nicht fremd, dass durch Gesetz Zuständigkeiten außenwirksam auf einen anderen Verwaltungsträger als den eigentlich zuständigen verlagert werden. Dies ist jedenfalls insoweit auch im Rahmen der verfassungsrechtlichen Kompetenzordnung möglich, als sich der jeweilige Gesetzgeber bei der Zuständigkeitsverlagerung im Rahmen seiner Gesetzgebungskompetenz bewegt. Insofern ist es unbedenklich, wenn ein Landesgesetzgeber nicht-öffentliche Stellen mit Sitz im eigenen Land verpflichtet, sich als Auftragnehmer der Kontrolle des eigenen LfD zu unterwerfen. Auch wenn der Bundesgesetzgeber durch Schaffung der für nicht-öffentliche Stellen geltenden Datenschutzbestimmungen im BDSG abschließend von seiner konkurrierenden Gesetzgebungskompetenz Gebrauch gemacht hat, so hat er es jedoch in 38 Abs. 6 BDSG den Ländern überlassen, die Aufsichtsbehörden zu bestimmen. Zwar sind dort die Landesregierungen genannt; es ist aber unbestritten, dass eine Bestimmung durch Landesgesetz erst recht möglich ist. Dies bedeutet, dass die Länder insoweit auch einen Spielraum haben, für den Spezialfall der Datenverarbeitung im Auftrag zu bestimmen, wer bei einem nichtöffentlichen Auftragnehmer die Aufsichtsbehörde sein soll. Dies ist den Ländern selbstverständlich auch dann möglich, wenn sie im Übrigen gem. 38 Abs. 6 BDSG eine Behörde der allgemeinen Verwaltung als Aufsichtsbehörde bestimmt haben. Deshalb begegnet die in Berlin, Hamburg und Nordrhein-Westfalen getroffene Regelung keinen Bedenken, zumal in diesen Ländern der jeweilige LfD ohnehin Aufsichtsbehörde nach 38 BDSG ist. Aber auch in Bremen, Hessen, Mecklenburg- Vorpommern, Rheinland-Pfalz, Saarland und Sachsen-Anhalt ist die Unterwerfung unter die Kontrolle des jeweiligen LfD jedenfalls dann unproblematisch, wenn Auftragnehmer eine nicht-öffentliche Stelle im eigenen Land ist. Ist Auftraggeber eine öffentliche Stelle des Bundes, ist es allerdings trotz der Gesetzgebungskompetenz wegen Art. 83 GG nicht möglich, sämtliche nicht-öffentliche Stellen als Auftragnehmer der Kontrolle durch den BfDI zu unterwerfen. Sofern allerdings auch öffentliche Stellen eines anderen Landes oder des Bundes oder nicht-öffentliche Stellen außerhalb des eigenen Landes sich vertraglich verpflichten müssen, sich als Auftragnehmer der Kontrolle des für den Auftraggeber

9 - 9 - zuständigen LfD zu unterwerfen, bedarf dies aus Gründen der Gesetzgebungskompetenz einer einschränkenden Auslegung. So ist durch 24 ff., 38 BDSG bzw. die jeweiligen Bestimmungen der Landesdatenschutzgesetze bereits eine Datenschutzkontrolle bzw. -aufsicht durch den jeweils zuständigen Gesetzgeber festgelegt. Es wäre deshalb verfassungsrechtlich bedenklich, wenn ein anderer Landesgesetzgeber für den Fall der Datenverarbeitung im Auftrag die Auftragnehmer, für die er an sich keine Zuständigkeit hat, aus dieser Aufsicht/Kontrolle herauslösen und der Kontrolle des eigenen LfD unterwerfen kann. Letztlich würde dies zu einer doppelten Zuständigkeit führen, die insbesondere dann problematisch wird, wenn beide Behörden zu unterschiedlichen Bewertungen kommen. Eine Vollzuständigkeit des eigenen LfD kann auch nicht aus der unzweifelhaft vorhandenen Kompetenz für den Auftraggeber und die Tatsache, dass dieser für die Rechtmäßigkeit der Datenverarbeitung verantwortlich bleibt, hergeleitet werden. Als Maßstab kann insofern 11 Abs. 4 BDSG herangezogen werden, der eindeutig bestimmt, welcher Kontrolle der Auftragnehmer unterliegt. Im Ergebnis könnte eine komplette Zuständigkeitsverlagerung möglicherweise nur durch Staatsvertrag rechtlich sicher vorgenommen werden. Ob dafür ein praktisches Bedürfnis besteht, ist allerdings fraglich. Die Vorschriften sind deshalb so auszulegen, dass sich die vertragliche Unterwerfung auf den Umfang beschränkt, der oben unter 3.1 bereits umrissen wurde: Die für den Auftraggeber zuständige Datenschutzkontrollbehörde kann sich demnach das Recht einräumen lassen, die Einhaltung der datenschutzrechtlichen Bestimmungen im Zusammenhang mit der Beauftragung vor Ort physisch zu prüfen. Datenschutzrechtliche Einwirkungsbefugnisse stehen ihr nur gegenüber dem Auftraggeber zu. Falls sich derartige Maßnahmen gegenüber dem Auftragnehmer als notwendig erweisen sollten, kann dies nur durch die für den Auftragnehmer originär zuständige Datenschutzkontrolle bzw. -aufsicht geschehen. Die gesetzlich angeordnete vertragliche Unterwerfung bedeutet also, dass die Kontrollkompetenz gegenüber dem Auftraggeber auf die Auftragstätigkeit durch den Auftragnehmer erstreckt wird, indem der für den Auftraggeber zuständige LfD beim Auftragnehmer bestimmte Kontrolltätigkeiten vornehmen darf. Verletzungen der vertraglichen Verpflichtung im Innenverhältnis führen im Außenverhältnis zu einem datenschutzrechtlichen Verstoß durch den Auftraggeber. Hierzu das folgende Beispiel: Eine öffentliche Stelle in Hessen beauftragt im Rahmen einer Datenverarbeitung im Auftrag eine öffentliche Stelle des Bundes. Nach 4 Abs. 3 Satz 1 HDSG muss sich die öffentliche Stelle des Bundes vertraglich verpflichten, sich der Kontrolle des Hessischen Datenschutzbeauftragten (HDSB) unterwerfen. Stellt der HDSB im Rahmen der Kontrolle beim Auftragnehmer im Zusammenhang mit dem Auftrag Verstöße fest, muss er diese gegenüber der hessischen Stelle rügen oder ggf. beanstanden. Er kann außerdem den BfDI unterrichten, der seinerseits die Datenverarbeitung der öffentlichen Stelle des Bundes (im Übrigen) originär kontrolliert und ggf. eine Beanstandung wegen eines Verstoßes gegen das BDSG aussprechen kann. Sofern es sich beim Auftragnehmer um eine öffentliche Stelle handelt, wird auch die Auffassung vertreten, dass bereits die bloße Präsenz einer staatlichen Kontrollbehörde in den Räumen einer öffentlichen Stelle und die Feststellung von Sachverhal-

10 ten dort hoheitliche Maßnahmen der Kontrollbehörde sind. In diesem Falle ist die Unterwerfung unter die Kontrolle der für den Auftraggeber zuständigen Datenschutzbehörde aus verfassungsrechtlichen Gründen auch dann ausgeschlossen, wenn sie sich auf den hier skizzierten Umfang beschränkt. Bei Zweifelsfällen sollte deshalb jeder Auftraggeber frühzeitig mit den zuständigen Datenschutzbehörden Kontakt aufnehmen, um die rechtlichen Möglichkeiten einer Unterwerfung zu prüfen. 4 Kontrolle bei Aufgabenverlagerung ins Ausland 4.1 Auftragnehmer hat seinen Sitz in der Europäischen Union oder im Europäischen Wirtschaftsraum Hat der Auftragnehmer seinen Sitz in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) oder ist er selbst ein Organ der Europäischen Union ist, gelten grundsätzlich keine Besonderheiten. Infolge der Harmonisierung aufgrund der EG-Datenschutzrichtlinie 95/46/EG werden die genannten Stellen genauso behandelt wie Stellen im Inland. Die Konstruktion der Datenverarbeitung im Auftrag einschließlich der damit einhergehenden Definition des Dritten ist in der Richtlinie bereits entsprechend angelegt (vgl. Art. 2 litt. e und f der Richtlinie 95/46/EG). Insbesondere folgt die Datenverarbeitung im Auftrag hier den gleichen Regeln wie innerhalb Deutschlands (vgl. z. B. 3 Abs. 8 Satz 3 BDSG). Im Ergebnis ist es somit im Rahmen der allgemeinen Datenschutzgesetze einerseits möglich, dass sich der Auftragnehmer vertraglich verpflichten muss, sich einer Kontrolle durch die für den Auftraggeber zuständige Kontrollbehörde in dem unter 3.1 beschriebenen Umfang (d. h. beschränkt auf die Feststellung datenschutzrelevanter Sachverhalte) zu unterwerfen. Andererseits ist auch im europäischen Kontext die Möglichkeit der Amtshilfe gegeben, da alle Mitgliedsstaaten eine unabhängige Kontrollstelle i. S. v. Art. 28 der Richtlinie 95/46/EG haben müssen. 4.2 Auftragnehmer hat seinen Sitz außerhalb EU/EWR Hat der Auftragnehmer seinen Sitz nicht in einem EU- oder EWR-Mitgliedsstaat, handelt es sich nicht um eine Datenverarbeitung im Auftrag im Sinne des deutschen Datenschutzrechts. Die mit der Datenverarbeitung im Auftrag verbundenen Privilegierungen setzen voraus, dass der Auftragnehmer gem. 3 Abs. 8 Satz 3 BDSG nicht Dritter ist. Diese Privilegierung lässt das Gesetz jedoch nur für Auftragnehmer im Inland sowie in EU/EWR zu. Wird also eine Stelle in einem Drittstaat beauftragt, müssen in jedem Falle die Voraussetzungen für eine Übermittlung ins Ausland nach den 4b, 4c BDSG bzw. den entsprechenden landesrechtlichen Bestimmungen erfüllt sein. Ist dies der Fall, ist eine Beauftragung einer Stelle außerhalb EU/EWR nicht ausgeschlossen. Der Auftraggeber kann (und sollte) sich in einem solchen Falle bei der Vertragsgestaltung nach 11 BDSG bzw. den entsprechenden Landesregelungen richten. Dies schließt auch die vertraglichen Möglichkeiten einer Unterwerfung unter

11 die Kontrolle der für den Auftraggeber zuständigen Kontrollbehörde mit ein. Auch hier bestehen keine Bedenken, wenn der Auftragnehmer sich insoweit vertraglich einer Kontrolle unterwirft, dass die Kontrollbehörde alle für die Prüfung des Auftraggebers notwendigen Sachverhaltsermittlungen beim Auftragnehmer in dem oben unter 3.1 beschriebenen Umfang durchführt. Dies ist umso wichtiger, als eine Art. 28 der EG- Datenschutzrichtlinie entsprechende Datenschutzkontrolle in vielen Ländern nicht gegeben ist und eine Amtshilfe deshalb häufig an Grenzen stoßen dürfte. 5 Empfehlungen Um in allen Fällen einer Datenverarbeitung im Auftrag zu einer rechtlich sicheren, praktikablen und effektiven Datenschutzkontrolle zu kommen, bietet sich folgende Lösung an: Die Kontrolle des Auftraggebers einer Datenverarbeitung im Auftrag durch die zuständige Kontrollbehörde (BfDI oder LfD) erstreckt sich auch auf die Einhaltung der Anforderungen von 11 BDSG bzw. den entsprechenden Vorschriften der Landesdatenschutzgesetze. Sie ist in dem unter 2.1 beschriebenen Umfang möglich. Für die Kontrolle des Auftragnehmers ist zunächst die Kontroll- bzw. Aufsichtsbehörde zuständig, die für die Datenverarbeitung des Auftragnehmers zu eigenen Zwecken originär zuständig ist. Eine Unterwerfung unter die Kontrolle des für den Auftraggeber zuständigen LfD ist jedenfalls dann unbedenklich, wenn der Auftragnehmer eine Stelle im Geltungsbereich des eigenen Gesetzes ist. Eine vertragliche Unterwerfung unter die Kontrolle des für den Auftraggeber zuständigen BfDI oder LfD ist insoweit zulässig, als sich diese auf die tatsächliche Feststellung datenschutzrelevanter Sachverhalte vor Ort beschränkt und diese nicht als hoheitliche Tätigkeit angesehen wird (s. Ziffer 3.2 letzter Absatz). Im Übrigen ist eine Unterwerfung unter die Kontrolle der für den Auftraggeber zuständigen Datenschutzkontrolle allerdings dann rechtlich zweifelhaft, wenn der Auftragnehmer eine Stelle außerhalb des Geltungsbereichs des eigenen Gesetzes ist und die Kontrolle auch hoheitliche Maßnahmen und datenschutzrechtliche Sanktionen gegenüber dem Auftragnehmer umfasst. Ohne Weiteres ist es immer möglich, die vor Ort zuständige Kontroll- bzw. Aufsichtsbehörde um Amtshilfe zu ersuchen.