§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / 1. Regelung innerhalb der DSGVO, Art. 37 Abs. 1

Rz. 133

Die DSGVO selbst trifft Bestimmungen über die Verpflichtung zur Bestellung eines Datenschutzbeauftragten in Art. 37 Abs. 1 DSGVO. Hiernach ist die Benennung eines Datenschutzbeauftragten in drei bestimmten Fällen vorgeschrieben.

a) Verarbeitung durch Behörden und öffentliche Stellen

Rz. 134

In Fällen, in denen die Verarbeitung durch eine Behörde oder öffentliche Stelle — mit Ausnahmen von Gerichten oder unabhängigen Justizbehörden, die im Rahmen ihrer justiziellen Tätigkeit handeln – erfolgt, ist diese in jedem Fall zur Bestellung eines Datenschutzbeauftragten verpflichtet (Art. 37 Abs. 1 lit. a) DSGVO). Gleiches gilt für Auftragsverarbeiter, die im Auftrag einer Behörde oder einer öffentlichen Stelle Verarbeitungen personenbezogener Daten durchführen. Ebenso sind solche Verantwortlichen zur Bestellung verpflichtet, denen, etwa als Beliehene, Aufgaben der öffentlichen Gewalt übertragen wurden.^[168]

Rz. 135

Gem. Art. 37 Abs. 3 DSGVO kann für mehrere Behörden oder Stellen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe ein gemeinsamer Datenschutzbeauftragter benannt werden. Anders als für die "nicht-öffentlichen" Verantwortlichen, die innerhalb einer Unternehmensgruppe berechtigt sind, einen Konzerndatenschutzbeauftragten einheitlich zu bestimmen, vorgesehen,^[169] verzichtet Art. 37 Abs. 3 DSGVO auf weitere Anforderungen an einen gemeinsamen Datenschutzbeauftragten von Behörden und öffentlichen Stellen. Insbesondere muss dieser offenbar nicht von jeder beteiligen Behörde und/oder öffentlichen Stelle aus leicht erreichbar sein.

[168] Art. 29-Datenschutzgruppe, Leitlinien in Bezug auf Datenschutzbeauftragte ("DSB"), WP 243 vom 13.12.2016, S. 7.

[169] Art. 37 Abs. 2 DSGVO.

b) Die Kerntätigkeit besteht aus Datenverarbeitungsvorgängen, die eine regelmäßige und systematische Überwachung von betroffenen Personen in großem Umfang erfordern

Rz. 136

Nach Art. 37 Abs. 1 lit. b) DSGVO sollen auch nicht öffentliche Verantwortliche und Auftragsverarbeiter zur Bestellung eines Datenschutzbeauftragten verpflichtet sein, soweit ihre Kerntätigkeit in der Durchführung umfangreicher,^[170] regelmäßiger und systematischer Überwachungen von betroffenen Personen besteht.

Rz. 137

Der Begriff der Kerntätigkeit eines Verantwortlichen bezieht sich auf die "Haupttätigkeiten" und nicht auf die Verarbeitung personenbezogener Daten als Nebentätigkeit.^[171] Als "Kerntätigkeit" lassen sich die wichtigsten Arbeitsabläufe eines Verantwortlichen oder Auftragsverarbeiters bezeichnen, die zur Erreichung der (wirtschaftlichen) Ziele erforderlich sind. Die Art. 29-Datenschutzgruppe sieht z.B. die Kerntätigkeit eines Krankenhauses darin, medizinische Versorgung zu leisten. Da ein Krankenhaus diese Kerntätigkeit nicht ohne die Verarbeitung gesundheitsbezogener Daten vollziehen könne, muss auch die mit der Haupttätigkeit des Krankenhauses verbundene Verarbeitung solcher Daten als Kerntätigkeit eines jeden Krankenhauses anzusehen sein, weshalb die Benennung eines Datenschutzbeauftragten nach Art. 37 Abs. 1 lit. b) DSGVO verpflichtend ist.^[172] Ebenso soll auch ein privates Sicherheitsunternehmen, das private Einkaufszentren und öffentliche Plätze überwacht, verpflichtet sein, einen Datenschutzbeauftragten zu benennen.^[173]

Rz. 138

Eine Verarbeitungstätigkeit gilt nach Erwägungsgrund 24 der DSGVO der Beobachtung des Verhaltens von betroffenen Personen jedenfalls dann, wenn Internetaktivitäten nachvollzogen werden, einschließlich der möglichen nachfolgenden Verwendung von Techniken zur Verarbeitung personenbezogener Daten, durch die von einer natürlichen Person ein Profil erstellt wird, das die Grundlage für sie betreffende Entscheidungen bildet oder anhand dessen ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert oder vorausgesagt werden sollen. Gleichwohl beschränkt sich der Begriff der Überwachung nicht auf die Online-Umgebung. Deshalb ist die Online-Verfolgung nur als ein Beispiel für die Überwachung des Verhaltens von betroffenen Personen anzusehen.^[174] Die Art. 29-Datenschutzgruppe will Regelmäßigkeit als gegeben ansehen, wenn sich die Verarbeitung als fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums vorkommend oder immer wieder oder wiederholt zu bestimmten Zeitpunkten auftretend oder ständig oder regelmäßig stattfindend darstellt.^[175] Eine systematische Verarbeitung soll vorliegen, wenn sie sich als "systematisch vorkommend", "vereinbart, organisiert oder methodisch" darstellt oder im "Rahmen eines allgemeinen Datenerfassungsplans oder der einer entsprechenden Strategie" erfolgt.^[176]

Rz. 139

Ein weiterer Anwendungsfall des Art. 37 Abs. 1 lit b) DSGVO liegt bei Inkassounternehmern vor, deren Haupttätigkeit in der gewerblichen Rechtsverfolgung von Schuldnern im Gläubigerauftrag liegt. Ein effektives Forderungsmanagement kann jedoch nicht ohne die Verarbeitung personenbezogener Daten erfolgen. Da dies die Überwachung von Schuldnern und ihres Zahlungsverhaltens umfasst, dürfte hier – ebenso wie bei Auskunfteien – unproblematisch eine Verpflichtung zur Bestellung eines betrieblichen Datenschutzbeauftragten bestehen. Im Anhang zur WP 243 werden zudem Betreiber von Telekommunikationsnetzen, Anbi...