§ 2 Zentrale Begriffe / 11. Offenlegung [durch Übermittlung & Verarbeitung]

Rz. 54

Nach den Vorgaben der DSGVO kann die Offenlegung durch "Übermittlung", "Verbreitung" oder "eine andere Form der Bereitstellung" erfolgen. Offenlegung meint in diesem Sinne grundsätzlich die die Bekanntgabe von gespeicherten oder durch Datenverarbeitung gewonnen personenbezogenen Daten an einen "Dritten".^[131] Dies kann auf unterschiedliche Weise durchgeführt werden. Die DSGVO nennt das Übermitteln und die Verbreitung. Die Offenlegung kann dabei sowohl durch Weitergabe von personenbezogen Daten durch den Verantwortlichen oder den Auftragsverarbeiter an einen Dritten als auch dadurch geschehen, dass einem Dritten die (von diesem auch genutzte) Möglichkeit eingeräumt wird, bereitgehaltene Daten einzusehen ("Lesenlassen") oder abzurufen.

Rz. 55

Nicht maßgeblich ist, in welcher Form Daten weitergegeben werden.^[132] So liegt eine Weitergabe nicht nur dann vor, wenn einem Dritten ein verkörperter Datenträger, z.B. eine CD, eine Chipkarte oder ein USB-Stick, ausgehändigt wird, sondern auch, wenn Daten auf jede andere Weise, z.B. mündlich, telefonisch, schriftlich, per SMS^[133] oder sonst elektronisch bekanntgegeben werden.^[134] Werden personenbezogene Daten veröffentlicht, stellt dies ebenfalls eine – besonders intensive^[135] – Offenlegung von Daten dar.^[136] Dabei macht es grundsätzlich keinen Unterschied, wo die Daten veröffentlicht werden, z.B. in Zeitschriften, Büchern, im Internet,^[137] am Schwarzen Brett eines Unternehmens bzw. einer Behörde oder im Rundfunk. Weitere Beispiele für Offenlegungen sind die Weitergabe kompletter Kunden-, Klienten- oder Patientenkarteien bei Veräußerung eines Unternehmens, einer Anwaltskanzlei oder einer Arztpraxis.^[138]

Rz. 56

Die Weitergabe von Daten oder das "Lesenlassen" derselben durch Mitarbeiter eines Verantwortlichen oder eines Auftragsverarbeiters stellt grundsätzlich keine Offenlegung von Daten im Sinne des BDSG dar, da die Daten nicht an einen Dritten gelangen. Dies gilt indes nicht ausnahmslos, wie ein Blick in Kapitel 5 DSGVO zeigt. Hier sind "Datenübermittlungen an Drittländer" geregelt und vorgesehen, dass auch Weitergaben innerhalb ein- und desselben Verantwortlichen als "Übermittlungen" anzusehen sind, wenn personenbezogene Daten "aus der Gemeinschaft heraus" in ein Drittland verbracht oder Teilen der verantwortlichen Stelle mit Sitz in einem Drittland Zugriff auf innerhalb der Union verarbeitete Daten gewährt wird. Auch die Übermittlung an einen Auftragsverarbeiter außerhalb der Union ist eine "Übermittlung" im Sinne der DSGVO, auch wenn der Auftragsverarbeiter – wie noch zu zeigen sein wird – grundsätzlich "wie ein Teil der verantwortlichen Stelle" behandelt wird. Wollte man den Übermittlungsbegriff in einem solchen Fall nur dann anwenden, wenn tatsächlich ein Dritter i.S.d. Art. 4 Nr. 10 DSGVO involviert ist, liefe die DSGVO jedenfalls dann ins Leere, wenn als Verantwortlicher – wegen einer bestehenden Konzernstruktur – nicht die in Europa befindliche "Niederlassung", sondern eine in einem Drittland belegene Konzernzentrale angesehen werden würde.^[139] In einem solchen Fall würden die Daten – obwohl die Verarbeitung tatsächlich in einem Drittland erfolgt – nicht "übermittelt" und Art. 44 ff. DSGVO liefen leer.

[131] Zum Begriff oben unter Rdn 10.

[132] Bergmann/Möhrle/Herb, BDSG, 25. Ergänzungslieferung, Juni 2001, § 3 Rn 91; Wank, in: Müller-Glöge/Preis/Schmidt (Hrsg.), Erfurter Kommentar zum Arbeitsrecht, 11. Aufl. 2011, § 28 BDSG Rn 14.

[133] Vgl. EuGH, Urt. v. 16.12.2008 – Rs. C-73/07, Slg. 2008, I-9831 = EuZW 2009, 108.

[134] Buchner, in: Taeger/Gabel (Hrsg.), BDSG, 2010, § 3 Rn 35.

[135] BVerfG, Beschl. v. 24.7.1990 – 1 BvR 1244/87, NVwZ 1990, 1162: "intensivste Form"; vgl. auch OVG Lüneburg, Urt. v. 12.2.1991 – 9 L 246/89, NJW 1992, 192; Weichert, in: Däubler/Klebe/Wedde/Weichert (Hrsg.), BDSG, 3. Aufl. 2010, § 3 Rn 37.

[136] Dazu Gola, NJW 2000, 3749, 3752; Dammann, RDV 2004, 19, 21 f.; Brühann, DuD 2004, 201.

[137] Vgl. EuGH, Urt. v. 6.11.2003 – Rs. C-101/01, Slg. 2003, I-12971 = EuZW 2004, 245.

[138] Vgl. Buchner, in: Taeger/Gabel (Hrsg.), BDSG, 2010, § 3 Rn 37; Gola, in: Gola/Schomerus, BDSG, 10. Aufl. 2010, § 3 Rn 35.

[139] Hierzu bereits oben unter Rdn 4.