Rz. 16
Obgleich es die Definition der Auftragsverarbeitung – wie vorstehend (Rdn 9) erläutert – nicht gestattet, dass ein Auftragsnehmer personenbezogene Daten eigenverantwortlich und zugleich (jedenfalls) auch im Interesse seines Auftraggebers verarbeitet, sind derartige Konstellationen des arbeitsteiligen Zusammenwirkens datenschutzrechtlich nicht gänzlich unbeachtet und ungeregelt geblieben. Bereits Art. 4 Nr. 7 DSGVO geht davon aus, dass ein Verantwortlicher auch gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden kann. Art. 26 Abs. 1 DSGVO konkretisiert dies dahingehend, dass zwei oder mehr Verantwortliche, die gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen, als "gemeinsam Verantwortliche" gelten.
Rz. 17
Ob eine "alleinige" oder eine "gemeinsame" Verantwortung vorliegt, soll nach Auffassung der Art. 29-Datenschutzgruppe maßgeblich davon abhängen, ob eine gemeinsame Kontrolle mehrerer Verantwortlicher gegeben ist. Dies soll der Fall sein, "wenn verschiedene Parteien im Zusammenhang mit spezifischen Verarbeitungen entweder über den Zweck oder über wesentliche Elemente der Mittel (gemeinsam) entscheiden." Diese gemeinsame Entscheidung muss nicht zwingend "gleichberechtigt" erfolgen und kann verschiedene Formen aufweisen. Entscheidend ist lediglich, dass "mehrere Akteure an einer Verarbeitung beteiligt sind, deren Beziehung sehr eng (z.B. vollständig übereinstimmende Zwecke und Mittel der Verarbeitung) oder eher locker sein (es stimmen z.B. nur die Zwecke oder nur die Mittel oder nur Teile davon überein)" sein kann. "Auf der anderen Seite soll die reine Tatsache, dass Akteure bei der Verarbeitung personenbezogener Daten zusammenarbeiten (z.B. in Form einer Kette), nicht in allen Fällen bedeutet, dass sie gemeinsam für die Verarbeitung Verantwortliche sind, da ein Austausch von Daten zwischen zwei Parteien ohne gemeinsame Zwecke oder Mittel in einer gemeinsamen Vorgangsreihe nur als Datenübermittlung zwischen getrennten für die Verarbeitung Verantwortlichen anzusehen ist."
Rz. 18
Wo sich Verarbeitungen durch verschiedene Verantwortliche auf dieselben personenbezogenen Daten beziehen und die Verarbeitungsvorgänge "auf Makroebene" einen gemeinsamen einheitlichen Zweck haben oder bei der gemeinsam festgelegte Mittel verwendet werden liegt eine gemeinsame Verarbeitung nahe. Dies ist zum einen anzunehmen, wenn mehrere Verantwortliche technische oder organisatorische Einrichtungen gemeinsam unterhalten und/oder nutzen, etwa im Rahmen einer gemeinsamen Internetpattform oder der Nutzung gemeinsamer Soft- und/oder Hardwareumgebungen. Ebenso dürfte eine gemeinsame Verantwortung unproblematisch bei gemeinsamem Handeln zweier oder mehrerer Verantwortlicher, z.B. in einer Arbeitsgemeinschaft oder der Durchführung gemeinsamer Werbeaktionen anzunehmen sein. Schließlich spielt auch das Wesen der Verbindung zwischen mehreren Verantwortlichen eine nicht unerhebliche Rolle, so dass im Fall von Auftragsverhältnissen eine gemeinsame Verarbeitung anzunehmen sein kann. Dabei spielen
▪ |
die Ausführlichkeit der dem Auftragnehmer erteilten Weisungen, |
▪ |
der dem Auftragnehmer tatsächlich verbleibende Handlungsspielraum, |
▪ |
das Ausmaß der Überwachung der Erbringung der Auftragsdienstleistung durch den Auftraggeber, |
▪ |
der Eindruck, der den betroffenen Personen von der Stellung des Auftragnehmers vermittelt wird und |
▪ |
die hieraus resultierenden Erwartungen der betroffenen Personen |
eine maßgebliche Rolle.
Eine permanente sorgfältige Beaufsichtigung durch den Auftraggeber, mit der sichergestellt werden soll, dass der Auftragnehmer die Weisungen und Vertragsbedingungen des Auftraggebers genau beachtet, lässt darauf schließen, dass dieser – trotz der grundsätzlich bestehenden Mit-Verantwortlichkeit des Auftragnehmers – gleichwohl weitgehend noch die vollständige und alleinige Kontrolle über die Verarbeitungsvorgänge ausüben möchte. Martini formuliert in diesem Sinne:
Zitat
"Voraussetzung ist […] die kooperative Determinierung des mit der Verarbeitung angestrebten, von legitimen Verarbeitungsgründen getragenen Zielzustands (Art. 5 Abs. 1 lit. b) und der Mittel, die bei dessen Erreichung zum Einsatz kommen – also die Übereinkunft über die Motive und Instrumente der Datenverarbeitung."
Rz. 19
Bezogen auf die Erbringung von Inkassodienstleistungen durch qualifizierte Rechtsdienstleister, die – schon mit Blick auf die Verpflichtung zur rechtlichen Prüfung im Einzelfall – in der der Regel nicht als Auftragsverarbeiter, sondern als Verantwortliche agieren, kann die vertragliche Ausgestaltung des Inkassodienstleistungsvertrages sowohl für eine eigenständige, alleinige Verantwortung des Inkassounternehmens, als auch für eine gemeinsame Verantwortung von Inkassounternehmen und Auftraggeber sprechen. Wird das Inkassounternehmen lediglich allgemein mit der Forderungsbeitreibung und -überwachung, der Adressrecherche, der Schuldneransprache usw. beauftragt und ...