Dr. Oliver Brockmann, Dr. Michael Nugel
Rz. 49
Ebenso bedeutsam ist für die Praxis die Bestimmung der verantwortlichen Stelle i.S.d. Art. 4 Nr. 7 DSGVO (früher § 3 Nr. 7 BDSG a.F.) bei der Verwendung personenbezogener Daten. Hierzu findet sich folgende Empfehlung:
Zitat
"Auch für die Identifikation der verantwortlichen Stelle im Sinne des § 3 Abs. 7 BDSG ist zwischen "Offline"- und "Online"-Autos zu differenzieren."
Bei "Offline"-Autos wird derjenige, der personenbezogene Fahrzeugdaten aus dem Fahrzeug ausliest (d.h. erhebt) und anschließend verarbeitet, zur verantwortlichen Stelle. Hierbei wird es sich in der Regel um Werkstätten handeln.
Auch wenn die Hersteller bei "Offline"-Autos regelmäßig mangels Erhebung nicht bereits beim "Entstehen" der Daten verantwortliche Stelle sind, trifft diese unter anderem nach dem Gedanken "Privacy by Design" dennoch eine Verantwortung im Hinblick auf den Datenschutz. Dies gilt insbesondere, weil der Hersteller im Rahmen seiner technischen Gestaltungsmöglichkeiten (Art und Umfang von Schnittstellen, Zugriffsmöglichkeiten, Verfolgung der in § 3a BDSG niedergelegten Grundsätze von Datenvermeidung und -sparsamkeit) Einfluss auf die zeitlich nach hinten verlagerte Erhebung und Verarbeitung hat (vergleichbar der Regelung in § 6c BDSG). Sofern es um die technischen Gestaltungsmöglichkeiten geht, sind die Hersteller auch bei dieser Fahrzeugkategorie als Ansprechpartner für die Datenschutzaufsichtsbehörden anzusehen.
Bei "Online"-Autos sind diejenigen als verantwortliche Stellen anzusehen, die personenbezogene Daten erhalten, d.h. in der Regel die Hersteller und gegebenenfalls dritte Dienste-Anbieter. Insbesondere wenn Hersteller Zusatzdienstleistungen für das Kfz anbieten und dabei in ihren Backend-Servern Daten speichern, sind sie verantwortliche Stelle für diese Datenverarbeitung.“
Bei dieser Prüfung wird konsequent wieder zwischen Offline und Online – Autos unterschieden. Ebenso konsequent wird bei einer Onlineanbindung der Hersteller oder ein anderer als Dienstleister bei der Datenübermittlung eingesetzter Dritte als Verantwortliche Stelle bewertet. Inwieweit dies allerdings auch auf den Dritten tatsächlich zutrifft hängt auch von der Art des gewählten Vertrages für eine Datenübermittlung ab, wenn dieser anstelle des Herstellers von diesem eingesetzt wird: Bei einer Auftragsdatenverarbeitung würde nämlich der Hersteller als solcher verantwortliche Stelle bleiben.
Rz. 50
Bei den Offline-Autos wird erst einmal der die Daten auslesende Personenkreis als verantwortliche Stelle eingestuft. Dies kann ein Werkstattbetrieb, aber auch ein Sachverständiger oder der Hersteller selbst sein, wenn insoweit sein Personal eigenverantwortlich eingesetzt wird. Bezüglich einer darüber hinausgehenden Bewertung der Stellung des Herstellers enthält die Empfehlung eine Kompromisslösung: Der Hersteller selbst soll zwar nicht als verantwortliche Stelle eingestuft werden, aber wegen seiner technischen Herrschaft über die durchgeführte Datenerhebung und seine notwendige Mithilfe bei der Datenauslesung besondere Pflichten übernehmen, die insbesondere die Sicherheit der so erhobenen personenbezogenen Daten gewährleistet. Im Ergebnis wird damit im Grunde bereits angedeutet, wofür es gute Argumente gibt, nämlich, dass der Hersteller personenbezogene Daten erhebt und mit Beginn der Erhebung eben doch (zumindest mit-) verantwortliche Stelle wird. Diese Einschätzung wird im Übrigen auch von den Grundgedanken des Datenschutzrechts gedeckt. Der Hersteller allein bestimmt über die Art sowie Umfang der Datengewinnung und verfügt über die Alleinherrschaft über diese Daten. Konsequenterweise kann nur er Adressat der datenschutzrechtlichen Pflichten sein. Insbesondere die technische und organisatorische Sicherheit der Daten – vgl. jetzt § 32 DSGVO – muss und kann nur durch den Hersteller gewährleistet werden, um den Betroffenen nicht schutzlos bezüglich seiner personenbezogenen Daten zu lassen. Außerdem kann i.d.R. auch nur der Hersteller die Auskunfts-, Lösch- oder Korrekturrechte des Betroffenen nach den Artikeln 15 ff. DSGVO erfüllen. Es spricht demnach einiges dafür, dass der Hersteller auch als verantwortliche Stelle zu qualifizieren ist.
Dafür spricht sicherlich auch, dass er erst einmal allein i.S.d. Art. 4 Nr. 7 DSGVO mit der Konstruktion des Kfz darüber bestimmt, welche personenbezogenen Daten im Kfz erhoben und gespeichert werden und wie diese ausgelesen werden können. Er allein entscheidet damit über die Mittel, mit denen diese Daten gewonnen werden und ob und wie sie sodann (gerade bei dem Schutz durch eine Verschlüsselung) ausgelesen werden können. Zugleich verfolgt und bestimmt er damit eine Vielzahl an Zwecken, indem diese Datensammlungen z.B. der Weiterentwicklung des Kfz und seiner Verkehrssicherheit sowie als der Aufklärung und Dokumentation bei Gewährleistungs- und Produkthaftungsfällen dienen sollen und schafft damit auch zugleich die Grundlage dafür, dass diese Daten auch ggf. anderen Personen als Grundlage für die Prüfung eines ...