§ 12 Grenzüberschreitender Verkehr von Beschäftigtendaten / 1. Tatbestand

a) Internationale Organisation

Rz. 11

Art. 4 Nr. 26 DSGVO definiert die internationale Organisation als "eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde". Ein Beispiel hierfür ist die Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD).

b) Drittland

Rz. 12

Drittländer (nicht legaldefiniert) sind alle Länder, in denen die DSGVO aufgrund eines fehlenden unionsrechtlichen Rechtsanwendungsbefehls nicht gilt.^[20] Im Grundsatz sind damit alle Staaten gemeint, die außerhalb der EU (bzw. des EWR)^[21] liegen.

[20] Paal/Pauly/Pauly, Art. 44 Rn 6.

[21] Die drei EWR-Staaten Norwegen, Island und Liechtenstein haben die Anwendung der DSGVO für die EWR-Staaten am 06.07.2018 beschlossen und gelten damit nicht mehr als Drittländer (dazu Paal/Pauly/Pauly, Art. 44 Rn 6).

c) Übermittlung

Rz. 13

Art. 44 S. 1 DSGVO verbietet "Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland […] verarbeitet werden sollen", ohne aber den Begriff der Übermittlung zu definieren. Richtigerweise ist unter Übermittlung jeder analoge oder digitale Vorgang zu verstehen, bei dem personenbezogene Daten zu einem Empfänger im Drittland oder in einer internationalen Organisation gelangen. Diese weite Definition umfasst jede Form der Datenübertragung und verhindert damit – im Sinne des Art. 44 S. 2 DSGVO – eine technische Umgehung der Art. 44 ff. DSGVO.

Rz. 14

Aus dem Wortlaut des Art. 4 Nr. 26 DSGVO geht nicht eindeutig hervor, ob es sich bei der grenzüberschreitenden Datenübermittlung um eine Form der Datenverarbeitung handelt. Nach herrschender Meinung ist jedenfalls dann von einer Datenüberverarbeitung auszugehen, wenn es zu einer Offenlegung im Drittland kommt.^[22] Die Annahme einer Datenverarbeitung hat zur Folge, dass die Übermittlung (zusätzlich zu den Art. 44 ff. DSGVO) auch an allgemeinen Datenverarbeitungsnormen (im Beschäftigtenkontext also § 26 BDSG^[23]) zu messen ist.

Rz. 15

Praxistipp

Die Übermittlung von Beschäftigtendaten sollte (zusätzlich zu den Anforderungen nach Art. 44 ff. DSGVO) sicherheitshalber auch als eigenständige Datenverarbeitungs-Tätigkeit i.S.v. Art. 4 Nr. 2, 30 DSGVO dokumentiert und an § 26 BDSG gemessen werden.

[22] Paal/Pauly/Pauly, Art. 44 Rn 3 f.

[23] Soweit in diesem Kapitel vom BDSG die Rede ist, meint dies das seit 25.5.2018 geltende BDSG n.F. Vorschriften des BDSG a.F. werden als solche gekennzeichnet.

d) Weiterübermittlung

Rz. 16

Art. 44 Abs. 1 S. 1 Hs. 2 DSGVO erstreckt das präventive Verbot auch auf "die etwaige Weiterübermittlung personenbezogener Daten durch das betreffende Drittland […] in ein anderes Drittland". Weiterleitung meint also jede Übermittlung von solchen Daten, die Gegenstand einer bereits nach Art. 44 ff. DSGVO vollzogenen Übermittlung waren.^[24] Erwägungsgrund 104 S. 4 DSGVO ("In jedem Fall") stellt klar, dass die Anforderungen der Art. 44 ff. DSGVO auch von im Drittland ansässigen Empfängern strikt beachtet werden müssen, wenn eine Weiterübermittlung erfolgt. Insofern weitet die Spezialnorm Art. 44 Abs. 1 S. 1 Hs. 2 DSGVO die räumliche Reichweite der DSGVO gegenüber den allgemeinen Bestimmungen des Art. 3 DSGVO erheblich aus. Im Ergebnis haftet das hohe DSGVO-Schutzniveau den aus der EU stammenden Daten also dauerhaft an,^[25] wird also perpetuiert.

[24] BeckOK Datenschutzrecht/Kamp/Beck, Art. 44 Rn 17.

[25] Auernhammer/Hladjk, Art. 44 Rn 10.