SlideShare ist ein Scribd-Unternehmen logo
Die Inanspruchnahme des Auftragsverarbeiters
durch die Aufsichtsbehörde
– Der datenschutzrechtliche Satz des Pythagoras
Ass. iur. Stefan Hessel
Associate im Team Datenschutz & Cybersecurity bei reuschlaw Legal Consultants in Saarbrücken &
Geschäftsführer der Defendo GbR – Hessel, Rebmann & Vogelgesang
Dipl.-Jur. Lena Leffer
Wissenschaftliche Mitarbeiterin, Professur für Rechtsinformatik, Universität des Saarlandes
Dipl.-Jur. Karin Potel
Wissenschaftliche Mitarbeiterin, Professur für Rechtsinformatik, Universität des Saarlandes
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 2
Zentrale Frage
●
Kann die Aufsichtsbehörde im
Rahmen ihrer Befugnisse beliebig
den Auftragsverarbeiter oder den
Verantwortlichen in Anspruch
nehmen oder besteht ein
Rangverhältnis?
●
Hohe Praxisrelevanz, z.B. beim
Webhosting
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 3
Verfahrensbeteiligte der DSGVO
●
Aufsichtsbehörde
‒ Durch die Mitgliedsstaaten eingerichtet
(Art. 54 Abs. 1 lit. a DSGVO)
‒ Unabhängig (Art. 51 Abs. 1 DSGVO)
‒ Befugnisse ergeben sich aus Art. 58
DSGVO
‒ Unterteilung in Untersuchungs- und
Abhilfebefugnisse möglich
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 4
Verfahrensbeteiligte der DSGVO
●
(Gemeinsamer) Verantwortlicher
‒ Legal definiert in Art. 4 Nr. 7 DSGVO
‒ Zentral: Entscheidung über die Zwecke und
Mittel der Verarbeitung
‒ Art. 26 DSGVO: Gemeinsame Verantwortung
●
Innenverhältnis: Art. 26 Abs. 1 S.1 DSGVO –
Aufgabenverteilung
●
Außenverhältnis: Art. 26 Abs. 3 DSGVO –
Unbeachtlichkeit (nach Art. 82 Abs. 4 DSGVO
auch für die Haftung)
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 5
Verfahrensbeteiligte der DSGVO
●
Auftragsverarbeiter
‒ Legal definiert in Art. 4 Nr. 8 DSGVO
‒ Zentral: Datenverarbeitung im Auftrag
‒ Weisungsbefugnis des Verantwortlichen
nach Art. 28, 29 DSGVO
‒ Aufschwingen zum Verantwortlichen
nach Art. 28 Abs. 10 DSGVO möglich
(Aufgabenexzess)
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 6
Aufsichtsbehörde – Verantwortlicher
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 7
Verantwortlicher – Auftragsverarbeiter
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 8
Aufsichtsbehörde – Auftragsverarbeiter
?
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 9
Auslegung – Wortlaut
●
Art. 58 Abs. 2 lit. a DSGVO: „ Jede
Aufsichtsbehörde verfügt über sämtliche
folgenden Abhilfebefugnisse, die es ihr gestatten,
… a) einen Verantwortlichen oder einen
Auftragsverarbeiter zu warnen, dass beabsichtigte
Verarbeitungsvorgänge voraussichtlich gegen
diese Verordnung verstoßen, ...“
●
Wahlrecht vs. gesonderte Alternativen → Wenig
hilfreich
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 10
Auslegung – Historie
●
Erwägungsgrund 129:
‒ Anhörungsrecht des Verantwortlichen
‒ Maßnahme muss geeignet, erforderlich und verhältnismäßig
sein
●
Geeignetheit: Kann das verfolgte Ziel mit der Maßnahme
erreicht werden? z.B. Informationspflicht
●
Erforderlichkeit: Kann die Maßnahme Konformität mit der
DSGVO herstellen?
– Grundsatz des Art. 24 Abs. 1 DSGVO
– Maßnahmen gegen Auftragsverarbeiter Ausnahmefall
→ Effektivität
●
Ursache liegt beim Auftragsverarbeiter (z.B. TOM)
●
Verantwortlicher unbekannt oder nicht auffindbar
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 11
Auslegung: Systematik
●
Art. 33 Abs. 2 DSGVO: Meldepflicht des
Auftragsverarbeiters an den Verantwortlichen
(Stufenverhältnis)
●
Art. 17 DSGVO (Löschung): Steht dem Betroffenen
nur gegen (gemeinsamen) Verantwortlichen zu
‒ Verantwortlicher hat Löschung beim
Auftragsverarbeiter zu veranlassen
‒ Bei Involvierung der Aufsichtsbehörde kann
zumindest im ersten Schritt nichts anderes
gelten
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 12
Auflegung: Sinn und Zweck
●
Aufgabe der Aufsichtsbehörde
ist wirksame Abhilfe bei
Rechtsverletzungen (Art. 58
DSGVO)
●
Nachhaltigkeit spricht für
abgestuftes Verhältnis
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 13
Nationales Recht
●
§ 1 Abs. 3 BDSG verweist auf
Verwaltungsverfahrensgesetz(VwVfG)
●
Maßnahme ist Verwaltungsakt i.S.v. § 35 S.1
VwVfG
●
Anhörungsrecht des Betroffenen (Art. 28
Abs. 1 VwVfG), bei europarechtskonformer
Auslegung
●
Emessen bei Adressatenauswahl (§ 40 VwVfG),
aber Beschränkung durch Verhältnismäßigkeit
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 14
Datenschutzrechtlicher Satz des Pythagoras
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 15
Fazit
●
Es besteht ein Rangverhältnis
●
Aufsichtsbehörde ist zunächst an
den Verantwortlichen verwiesen
●
Inanspruchnahme des
Auftragsverarbeiters unter
Effizienzgesichtspunkten
29.02.2020 Hessel / Leffer / Potel – IRIS 2020 16
Kontakt
●
reuschlaw.de
●
legalinf.de/leffer
●
legalinf.de/potel
●
stefan.hessel@reuschlaw.de
●
lena.leffer@uni-saarland.de
●
karin.potel@uni-saarland.de
●
@stefan_hessel

Weitere ähnliche Inhalte

Empfohlen

Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)
contently
 
How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024
Albert Qian
 
Social Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie InsightsSocial Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie Insights
Kurio // The Social Media Age(ncy)
 
Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024
Search Engine Journal
 
5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary
SpeakerHub
 
ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd
Clark Boyd
 
Getting into the tech field. what next
Getting into the tech field. what next Getting into the tech field. what next
Getting into the tech field. what next
Tessa Mero
 
Google's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search IntentGoogle's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search Intent
Lily Ray
 
How to have difficult conversations
How to have difficult conversations How to have difficult conversations
How to have difficult conversations
Rajiv Jayarajah, MAppComm, ACC
 
Introduction to Data Science
Introduction to Data ScienceIntroduction to Data Science
Introduction to Data Science
Christy Abraham Joy
 
Time Management & Productivity - Best Practices
Time Management & Productivity -  Best PracticesTime Management & Productivity -  Best Practices
Time Management & Productivity - Best Practices
Vit Horky
 
The six step guide to practical project management
The six step guide to practical project managementThe six step guide to practical project management
The six step guide to practical project management
MindGenius
 
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
RachelPearson36
 
Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...
Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...
Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...
Applitools
 
12 Ways to Increase Your Influence at Work
12 Ways to Increase Your Influence at Work12 Ways to Increase Your Influence at Work
12 Ways to Increase Your Influence at Work
GetSmarter
 
ChatGPT webinar slides
ChatGPT webinar slidesChatGPT webinar slides
ChatGPT webinar slides
Alireza Esmikhani
 
More than Just Lines on a Map: Best Practices for U.S Bike Routes
More than Just Lines on a Map: Best Practices for U.S Bike RoutesMore than Just Lines on a Map: Best Practices for U.S Bike Routes
More than Just Lines on a Map: Best Practices for U.S Bike Routes
Project for Public Spaces & National Center for Biking and Walking
 
Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...
Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...
Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...
DevGAMM Conference
 
Barbie - Brand Strategy Presentation
Barbie - Brand Strategy PresentationBarbie - Brand Strategy Presentation
Barbie - Brand Strategy Presentation
Erica Santiago
 
Good Stuff Happens in 1:1 Meetings: Why you need them and how to do them well
Good Stuff Happens in 1:1 Meetings: Why you need them and how to do them wellGood Stuff Happens in 1:1 Meetings: Why you need them and how to do them well
Good Stuff Happens in 1:1 Meetings: Why you need them and how to do them well
Saba Software
 

Empfohlen (20)

Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)
 
How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024
 
Social Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie InsightsSocial Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie Insights
 
Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024
 
5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary
 
ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd
 
Getting into the tech field. what next
Getting into the tech field. what next Getting into the tech field. what next
Getting into the tech field. what next
 
Google's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search IntentGoogle's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search Intent
 
How to have difficult conversations
How to have difficult conversations How to have difficult conversations
How to have difficult conversations
 
Introduction to Data Science
Introduction to Data ScienceIntroduction to Data Science
Introduction to Data Science
 
Time Management & Productivity - Best Practices
Time Management & Productivity -  Best PracticesTime Management & Productivity -  Best Practices
Time Management & Productivity - Best Practices
 
The six step guide to practical project management
The six step guide to practical project managementThe six step guide to practical project management
The six step guide to practical project management
 
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
 
Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...
Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...
Unlocking the Power of ChatGPT and AI in Testing - A Real-World Look, present...
 
12 Ways to Increase Your Influence at Work
12 Ways to Increase Your Influence at Work12 Ways to Increase Your Influence at Work
12 Ways to Increase Your Influence at Work
 
ChatGPT webinar slides
ChatGPT webinar slidesChatGPT webinar slides
ChatGPT webinar slides
 
More than Just Lines on a Map: Best Practices for U.S Bike Routes
More than Just Lines on a Map: Best Practices for U.S Bike RoutesMore than Just Lines on a Map: Best Practices for U.S Bike Routes
More than Just Lines on a Map: Best Practices for U.S Bike Routes
 
Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...
Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...
Ride the Storm: Navigating Through Unstable Periods / Katerina Rudko (Belka G...
 
Barbie - Brand Strategy Presentation
Barbie - Brand Strategy PresentationBarbie - Brand Strategy Presentation
Barbie - Brand Strategy Presentation
 
Good Stuff Happens in 1:1 Meetings: Why you need them and how to do them well
Good Stuff Happens in 1:1 Meetings: Why you need them and how to do them wellGood Stuff Happens in 1:1 Meetings: Why you need them and how to do them well
Good Stuff Happens in 1:1 Meetings: Why you need them and how to do them well
 

IRIS 2020 - Top 10-Paper - Zur Inanspruchnahme des Auftragsverarbeiters durch die Aufsichtsbehörde - Hessel/Leffer/Potel

  • 1. Die Inanspruchnahme des Auftragsverarbeiters durch die Aufsichtsbehörde – Der datenschutzrechtliche Satz des Pythagoras Ass. iur. Stefan Hessel Associate im Team Datenschutz & Cybersecurity bei reuschlaw Legal Consultants in Saarbrücken & Geschäftsführer der Defendo GbR – Hessel, Rebmann & Vogelgesang Dipl.-Jur. Lena Leffer Wissenschaftliche Mitarbeiterin, Professur für Rechtsinformatik, Universität des Saarlandes Dipl.-Jur. Karin Potel Wissenschaftliche Mitarbeiterin, Professur für Rechtsinformatik, Universität des Saarlandes
  • 2. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 2 Zentrale Frage ● Kann die Aufsichtsbehörde im Rahmen ihrer Befugnisse beliebig den Auftragsverarbeiter oder den Verantwortlichen in Anspruch nehmen oder besteht ein Rangverhältnis? ● Hohe Praxisrelevanz, z.B. beim Webhosting
  • 3. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 3 Verfahrensbeteiligte der DSGVO ● Aufsichtsbehörde ‒ Durch die Mitgliedsstaaten eingerichtet (Art. 54 Abs. 1 lit. a DSGVO) ‒ Unabhängig (Art. 51 Abs. 1 DSGVO) ‒ Befugnisse ergeben sich aus Art. 58 DSGVO ‒ Unterteilung in Untersuchungs- und Abhilfebefugnisse möglich
  • 4. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 4 Verfahrensbeteiligte der DSGVO ● (Gemeinsamer) Verantwortlicher ‒ Legal definiert in Art. 4 Nr. 7 DSGVO ‒ Zentral: Entscheidung über die Zwecke und Mittel der Verarbeitung ‒ Art. 26 DSGVO: Gemeinsame Verantwortung ● Innenverhältnis: Art. 26 Abs. 1 S.1 DSGVO – Aufgabenverteilung ● Außenverhältnis: Art. 26 Abs. 3 DSGVO – Unbeachtlichkeit (nach Art. 82 Abs. 4 DSGVO auch für die Haftung)
  • 5. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 5 Verfahrensbeteiligte der DSGVO ● Auftragsverarbeiter ‒ Legal definiert in Art. 4 Nr. 8 DSGVO ‒ Zentral: Datenverarbeitung im Auftrag ‒ Weisungsbefugnis des Verantwortlichen nach Art. 28, 29 DSGVO ‒ Aufschwingen zum Verantwortlichen nach Art. 28 Abs. 10 DSGVO möglich (Aufgabenexzess)
  • 6. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 6 Aufsichtsbehörde – Verantwortlicher
  • 7. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 7 Verantwortlicher – Auftragsverarbeiter
  • 8. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 8 Aufsichtsbehörde – Auftragsverarbeiter ?
  • 9. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 9 Auslegung – Wortlaut ● Art. 58 Abs. 2 lit. a DSGVO: „ Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten, … a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen, ...“ ● Wahlrecht vs. gesonderte Alternativen → Wenig hilfreich
  • 10. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 10 Auslegung – Historie ● Erwägungsgrund 129: ‒ Anhörungsrecht des Verantwortlichen ‒ Maßnahme muss geeignet, erforderlich und verhältnismäßig sein ● Geeignetheit: Kann das verfolgte Ziel mit der Maßnahme erreicht werden? z.B. Informationspflicht ● Erforderlichkeit: Kann die Maßnahme Konformität mit der DSGVO herstellen? – Grundsatz des Art. 24 Abs. 1 DSGVO – Maßnahmen gegen Auftragsverarbeiter Ausnahmefall → Effektivität ● Ursache liegt beim Auftragsverarbeiter (z.B. TOM) ● Verantwortlicher unbekannt oder nicht auffindbar
  • 11. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 11 Auslegung: Systematik ● Art. 33 Abs. 2 DSGVO: Meldepflicht des Auftragsverarbeiters an den Verantwortlichen (Stufenverhältnis) ● Art. 17 DSGVO (Löschung): Steht dem Betroffenen nur gegen (gemeinsamen) Verantwortlichen zu ‒ Verantwortlicher hat Löschung beim Auftragsverarbeiter zu veranlassen ‒ Bei Involvierung der Aufsichtsbehörde kann zumindest im ersten Schritt nichts anderes gelten
  • 12. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 12 Auflegung: Sinn und Zweck ● Aufgabe der Aufsichtsbehörde ist wirksame Abhilfe bei Rechtsverletzungen (Art. 58 DSGVO) ● Nachhaltigkeit spricht für abgestuftes Verhältnis
  • 13. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 13 Nationales Recht ● § 1 Abs. 3 BDSG verweist auf Verwaltungsverfahrensgesetz(VwVfG) ● Maßnahme ist Verwaltungsakt i.S.v. § 35 S.1 VwVfG ● Anhörungsrecht des Betroffenen (Art. 28 Abs. 1 VwVfG), bei europarechtskonformer Auslegung ● Emessen bei Adressatenauswahl (§ 40 VwVfG), aber Beschränkung durch Verhältnismäßigkeit
  • 14. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 14 Datenschutzrechtlicher Satz des Pythagoras
  • 15. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 15 Fazit ● Es besteht ein Rangverhältnis ● Aufsichtsbehörde ist zunächst an den Verantwortlichen verwiesen ● Inanspruchnahme des Auftragsverarbeiters unter Effizienzgesichtspunkten
  • 16. 29.02.2020 Hessel / Leffer / Potel – IRIS 2020 16 Kontakt ● reuschlaw.de ● legalinf.de/leffer ● legalinf.de/potel ● stefan.hessel@reuschlaw.de ● lena.leffer@uni-saarland.de ● karin.potel@uni-saarland.de ● @stefan_hessel