Der Beitrag zeigt auf, welche Handlungsoptionen die deutschen Aufsichtsbehörden gegenüber gem. Art. 26 DSGVO gemeinsam Verantwortlichen haben und welche Konsequenzen sich hieraus für die Beratung ergeben können.

I. Ausgangssituation

II. Verantwortlicher als Adressat einer Maßnahme nach Art. 58 DSGVO

1. Störerauswahl im Verwaltungsrecht

a) Relevante Gruppen von Störern

b) Grundsätze der Auswahl

2. Übertragung auf Maßnahmen nach der DSGVO

a) Mögliche Störergruppen im Rahmen der DSGVO

b) Übertragung der Grundsätze zur Störerhaftung

c) Einschränkung des Auswahlermessens durch Art. 26 Abs. 3 DSGVO

d) Folgerungen für einzelne Maßnahmen

III. Fazit
 

I. Ausgangssituation

Mit der Einführung von Art. 26 DSGVO begann eine intensive Beschäftigung mit dem Begriff der „gemeinsam Verantwortlichen“. Zwar war diese Figur auch schon über Art. 2 lit. d DSRL bekannt. Da das BDSG a.F. jedoch keine gemeinsam Verantwortlichen kannte, fand die Konstellation weniger Beachtung. Mit den jüngsten Entscheidungen des EuGH zur RL in Sachen Wirtschaftsakademie Schleswig-Holstein, Zeugen Jehovas und Fashion ID werden die Anforderungen an gemeinsam Verantwortliche, insb. in Abgrenzung zur Auftragsverarbeitung intensiv diskutiert. Für die Praxis endet damit die Fragestellung noch lange nicht. Den Verantwortlichen wird vielmehr interessieren, welche Folgen sich aus der Stellung eines „gemeinsam Verantwortlichen“ gerade im Hinblick auf Maßnahmen der Aufsichtsbehörden nach Art. 58 DSGVO ergeben.

II. Verantwortlicher als Adressat einer Maßnahme nach Art. 58 DSGVO

Wenn die Aufsichtsbehörde im Rahmen ihrer Prüfung bei zwei oder mehr Verantwortlichen eine „gemeinsame Verantwortung“ für einen Datenverarbeitungsvorgang feststellt, muss sie prüfen, gegen wen konkret und in welchem Umfang sie vorgeht. Vorstellbar sind folgende Lösungen:

• Die gemeinsam Verantwortlichen werden als Gesamtschuldner betrachtet und die Aufsichtsbehörde geht gegen beide zeitgleich vor.
• Die gemeinsam Verantwortlichen werden einzeln mit unterschiedlichen Maßnahmen belegt oder die Maßnahme ergeht nur gegenüber einem, wobei die Aufsichtsbehörde nach freiem Ermessen handelt. Die Aufsichtsbehörde übt ihr Ermessen gemäß der vertraglich vereinbarten Aufgabenverteilung der Verantwortlichen aus, wobei hier die Frage der Bindungswirkung eine Rolle spielt.

Die DSGVO beschränkt sich darauf, den gemeinsam Verantwortlichen in Art. 26 zu definieren und punktuelle Regelungen in Einzelfragen zu treffen (z.B. Artt. 82 Abs. 2, 83 Abs. 4 DSGVO). Eine Regelung, wer wie im Rahmen von Art. 58 DSGVO heranzuziehen ist, gibt es nicht. Daher muss die Auswahl auf der Basis entsprechender nationaler Rechtsgrundsätze erfolgen. Es stellt sich also die Frage nach der Störerauswahl im allgemeinen Verwaltungsrecht, das hierzu die am ehesten sachnahen Regelungen enthält.

Zunächst werden kurz die Grundsätze der Störerauswahl dargestellt und sodann deren Übertragbarkeit auf bzw. Anpassung an den Regelungsbereich der DSGVO untersucht.

1. Störerauswahl im Verwaltungsrecht

a) Relevante Gruppen von Störern

Im Verwaltungsrecht kommt dem Begriff des Störers vor allem im Bereich des Polizei- und Ordnungsrechts, im Baurecht und im Bodenschutzrecht besondere Bedeutung zu. Es wird zwischen drei Hauptgruppen unterschieden, wobei Hauptkriterium der für die Gefahr oder Störung relevante Verhaltensbeitrag ist.

Handlungsstörer: Der Handlungsstörer verursacht durch aktives Tun oder pflichtwidriges Unterlassen (s. z.B. § 4 POG RLP) eine Gefahr oder Störung. Ein Unterlassen wird ihm dabei nur vorgeworfen, wenn eine Rechtspflicht zum Handeln bestand. In den Bereich des pflichtwidrigen Unterlassens fällt auch die Verletzung der Aufsichtspflicht gegenüber delikts- und geschäftsunfähigen Kindern.

Zustandsstörer: Der Zustandsstörer ist für eine Sache verantwortlich (aufgrund von Eigentum oder Besitzrechten), die eine Gefahr oder Beeinträchtigung auslöst (s. z.B. § 5 POG RLP). Er haftet allein aufgrund seiner Gewalt über die Sache, unabhängig davon, ob er auch einen Handlungsbeitrag für den gefahrträchtigen Zustand der Sache geleistet hat.

Nichtstörer: Der Nichtstörer kann unter engen Voraussetzungen in Anspruch genommen werden, obwohl er (...)