Grenzenlose Auftragsdatenverarbeitung

• Dr. Stefan Drewes
• Manfred Monreal

Wieso gibt es die Standardvertragsklauseln der Europäischen Kommission für Auftragsverarbeiter mit Sitz in einem „unsicheren“ Drittland, wenn es nach dem BDSG außerhalb von EU/EWR gar keine Auftragsverarbeiter gibt? Warum ist die nach der EU-Datenschutzrichtlinie 95/46/EG und nach der Datenschutz-Grundverordnung vorgesehene Regelung zur gemeinsamen verantwortlichen Stelle bei Unternehmen in Deutschland weitgehend unbekannt? Ist es der Begriff oder auch der vermeintlich fehlende Erlaubnistatbestand, der die gemeinsame Datenverarbeitung gestattet? Und was meint die Artikel-29-Gruppe, wenn sie sagt, dass der Begriff „für die Verarbeitung Verantwortlicher“ in den Mitgliedstaaten unterschiedlich verstanden wird?
Dies sind Fragen, die bei der aktuellen Diskussion über die europäische Datenschutz-Grundverordnung eher im Hintergrund stehen. Die Antworten auf diese Fragen offenbaren jedoch, dass bei der Transformation der EU-Datenschutzrichtlinie 95/46/EG in das deutsche Recht allenfalls das „Wort“, nicht aber auch der vollständige Regelungszweck und die dahinterliegende Konzeption der Richtlinie übernommen worden sind. Dies ist ein Grund dafür, dass einige der vorgeschlagenen Regelungen für die Datenschutz–Grundverordnung in Deutschland auf Unverständnis und Ablehnung stoßen. Im Rahmen des laufenden Gesetzgebungsverfahrens bietet sich dem europäischen Gesetzgeber die historische Chance, die bestehenden „Missverständnisse“ zu beseitigen und so für einen besseren Datenschutz und mehr Rechtssicherheit zu sorgen.