Datenschutz in und durch Unternehmensgruppen im europäischen Datenschutzrecht

Dr. Jens Poll

doi:10.5771/9783845293899

Zusammenfassung

Organisationsvorgaben des europäischen Datenschutzrechts sowie dessen Anforderungen für gruppeninterne Datenübermittlungen. Letztere werden unter den Vorzeichen des „kleinen“ Gruppenprivilegs in Form eines partiellen Abwägungsvorsprungs, des nationalen Beschäftigtendatenschutzes sowie den Anforderungen für internationale Datentransfers untersucht. Für diesen Zweck konturiert die Arbeit den Begriff datenschutzrechtlicher Abhängigkeit i.S.d. Art. 4 Nr. 19 DSGVO und zeigt hierbei die Etablierung eines originär datenschutzrechtlichen Control-Verständnisses auf, welches dem unreflektierten Rekurs auf das deutsche Gesellschaftsrecht zur Bestimmung der Unternehmensgruppe im Anwendungsbereich der DSGVO entgegensteht. Im Lichte dessen werden zudem die gruppenspezifischen Gestaltungsmöglichkeiten und -grenzen der Auftragsdatenverarbeitung sowie der Joint Controllership aufgezeigt.

Publikation durchsuchen

Bibliographische Angaben

Copyrightjahr: 2018
ISBN-Print: 978-3-8487-5194-5
ISBN-Online: 978-3-8452-9389-9
Verlag: Nomos, Baden-Baden
Reihe: Frankfurter Studien zum Datenschutz
Band: 53
Sprache: Deutsch
Seiten: 582
Produkttyp: Monographie

Inhaltsverzeichnis

KapitelSeiten

Titelei/Inhaltsverzeichnis Kein Zugriff Seiten 1 - 22
1. A. Bestandsaufnahme Kein Zugriff
2. B. Gang der Betrachtungen Kein Zugriff
3. C. Terminologie Kein Zugriff
1. 1. I. Wirtschaftliche Einheit Kein Zugriff
  2. 1. 1. Trennungsprinzip Kein Zugriff
    2. 2. Zurechnungsprinzip Kein Zugriff
    3. 3. Prinzip negativer Zurechnung Kein Zugriff
    4. 1. a) Bilanzrecht Kein Zugriff
      2. b) Körperschaftssteuerrecht Kein Zugriff
      3. c) Europäisches Kartellrecht Kein Zugriff
2. 1. 1. 1. Organisatorisches Outsourcing: Shared Service Center Kein Zugriff
    2. 2. Technisches Outsourcing: Cloud Computing Kein Zugriff
    3. 1. a) Gruppendimensionale Verantwortlichkeitszurechnung? Kein Zugriff
      2. b) Privilegierung gruppeninterner Datenübermittlungen? Kein Zugriff
  2. 1. 1. Keine informationstechnische Einheitsbetrachtung Kein Zugriff
    2. 2. Keine Verantwortlichkeitszurechnung Kein Zugriff
    3. 3. Geltung des Verantwortlichkeitsgefüges Kein Zugriff
    4. 4. Geltung des Verbotsprinzips Kein Zugriff
    5. 5. Existenz selbstständiger Übermittlungs- und Empfängerstellen Kein Zugriff
3. C. Zusammenfassung Kein Zugriff
1. 1. I. RL 95/46/EG Kein Zugriff
  2. 1. 1. Zurechnung unselbstständiger Organisationseinheiten? Kein Zugriff
    2. 2. Zurechnung unselbstständiger Organisationseinheiten in Drittstaaten? Kein Zugriff
    3. 3. Zurechnung virtueller Organisationseinheiten? Kein Zugriff
  3. III. Zwischenergebnis Kein Zugriff
2. 1. I. RL 95/46/EG Kein Zugriff
  2. 1. 1. a) Verarbeitungsbezogene Mindestinhalte Kein Zugriff
      2. b) Sonstige Mindestinhalte Kein Zugriff
      3. c) Weisungsgebundenheit Kein Zugriff
      4. d) „Kettenauslagerungen“ Kein Zugriff
    2. 1. aa) Geltung der Funktionsübertragungstheorie? Kein Zugriff
        bb) Geltung der Vertragstheorie? Kein Zugriff
        cc) Stellungnahme Kein Zugriff
        dd) Konsequenzen Kein Zugriff
      2. b) Weisungswidrige Auftragsdatenverarbeitung Kein Zugriff
      3. c) Relativität der Auftragsverhältnisse Kein Zugriff
      4. d) Beschränkung auf „top down“-Auftragsverhältnisse Kein Zugriff
      5. e) Zulässigkeit der „globalen“ Auftragsdatenverarbeitung? Kein Zugriff
    3. 1. a) Personalverwaltung Kein Zugriff
      2. b) Customer Relationship Management Kein Zugriff
      3. c) Marketing Kein Zugriff
      4. d) Call Center Kein Zugriff
      5. e) IT-Dienstleistungen Kein Zugriff
      6. f) Legal Shared Services Kein Zugriff
  3. III. Zwischenergebnis Kein Zugriff
3. 1. I. RL 95/46/EG Kein Zugriff
  2. 1. 1. a) Rechtsgeschäft Kein Zugriff
      2. b) Fiktion der „Joint Control“? Kein Zugriff
    2. 1. a) Gruppeninterne Verantwortlichkeitstrennung Kein Zugriff
      2. aa) Faktisch-funktionaler Maßstab Kein Zugriff
        bb) Transparenzpflichten Kein Zugriff
        cc) Zulässigkeit bedingter „Joint Control“-Vereinbarungen? Kein Zugriff
    3. 1. a) Holding-Organisationen Kein Zugriff
      2. b) Matrix-Organisationen Kein Zugriff
      3. c) Beauftragung gruppeninterner Auftragsverarbeiter Kein Zugriff
  3. III. Zwischenergebnis Kein Zugriff
4. D. Zusammenfassung Kein Zugriff
1. 1. I. Konstitutive Merkmale Kein Zugriff
  2. II. Unternehmensbezogene Rechtsfolgen Kein Zugriff
  3. III. Verhältnis zum datenschutzrechtlichen Verantwortlichkeitsgefüge Kein Zugriff
2. 1. 1. 1. Einheitliche Leitung im Gesellschaftsrecht Kein Zugriff
    2. 2. Beherrschender Einfluss im Gesellschaftsrecht Kein Zugriff
    3. 3. Beherrschender Einfluss im Bilanzrecht Kein Zugriff
  2. 1. 1. Schutzzweckbezogene Abhängigkeit Kein Zugriff
    2. 2. Schuldrechtliche Abhängigkeit Kein Zugriff
    3. 1. a) Kontrolle des Datenschutzmanagements Kein Zugriff
      2. b) Kontrolle der Datenverarbeitung Kein Zugriff
    4. 4. Zwischenergebnis Kein Zugriff
  3. 1. 1. Datenschutzrechtliche Verantwortlichkeit Kein Zugriff
    2. 2. Gruppeninterne Verantwortlichkeitsteilung Kein Zugriff
    3. 3. Gruppeninterne Auftragsdatenverarbeitung Kein Zugriff
  4. 1. 1. Trennungsprinzip Kein Zugriff
    2. 2. Konzernhaftung Kein Zugriff
    3. 1. a) Vereinbarkeit mit der Leitungsmacht von Vorständen Kein Zugriff
      2. b) Vereinbarkeit mit den Hauptversammlungskompetenzen Kein Zugriff
    4. 1. a) Vereinbarkeit mit den Schutzzwecken des Konzernrechts Kein Zugriff
      2. aa) Gruppeninternes Outsourcing der Datenverarbeitung Kein Zugriff
        bb) Integration in ein gruppenweites Informationssystem Kein Zugriff
        cc) Integration in gruppeninternes Datenschutz-Compliance-System Kein Zugriff
3. C. Gesellschaftsrechtliche Beherrschung Kein Zugriff
4. 1. I. Entzug verarbeitungsrelevanter Entscheidungsmöglichkeiten Kein Zugriff
  2. II. Verpflichtung auf Datenschutzvorschriften Kein Zugriff
  3. III. Informationstechnische Vernetzung Kein Zugriff
  4. IV. Wirtschaftliche Abhängigkeit Kein Zugriff
5. 1. 1. 1. Systemführerschaft des Franchise-Gebers Kein Zugriff
    2. 2. Franchise-spezifische Informationsordnung Kein Zugriff
    3. 3. Franchise-spezifische Datenverarbeitung Kein Zugriff
  2. 1. 1. Vereinbarkeit mit unternehmerischer Selbstständigkeit? Kein Zugriff
    2. 2. Informationstechnische Integration Kein Zugriff
    3. 3. Vertragliche Integration Kein Zugriff
  3. 1. 1. Organisatorische Verzahnung Kein Zugriff
    2. 2. Technische Verzahnung Kein Zugriff
    3. 3. Wirtschaftliche Abhängigkeit Kein Zugriff
6. F. Impuls für ein „Unionsrecht der verbundenen Unternehmen“? Kein Zugriff
7. G. Zusammenfassung Kein Zugriff
1. 1. 1. 1. Gesellschaftliche Selbstregulierung Kein Zugriff
    2. 2. Regulierte Selbstregulierung Kein Zugriff
  2. 1. 1. Reaktion auf Vollzugsdefizite Kein Zugriff
    2. 2. Expansion des Datenschutzniveaus Kein Zugriff
    3. 3. Förderung des Infrastrukturschutzes Kein Zugriff
    4. 1. a) Datenschutz durch Wettbewerb Kein Zugriff
      2. b) Datenschutz im Wettbewerb Kein Zugriff
      3. c) Rechenschaft im Wettbewerb Kein Zugriff
  3. 1. 1. Protagonisten und Antagonisten datenschutzrechtlicher Regulierung Kein Zugriff
    2. 1. aa) Rechtsqualität Kein Zugriff
        bb) Verbindlichkeit Kein Zugriff
        cc) Genehmigungsbedürftigkeit Kein Zugriff
        dd) Genehmigungsvoraussetzungen Kein Zugriff
      2. aa) Rechtsqualität Kein Zugriff
        bb) Verbindlichkeit Kein Zugriff
        cc) Genehmigungsbedürftigkeit Kein Zugriff
        dd) Genehmigungsvoraussetzungen Kein Zugriff
        ee) „Enforcement“ und Informationsordnung Kein Zugriff
        ff) Bestandsschutz Kein Zugriff
      3. c) Zwischenergebnis Kein Zugriff
    3. 1. a) Verantwortungsbereich der „Corporate Social Responsibility“ Kein Zugriff
      2. b) Maßnahmen der “Corporate Privacy Responsibility” Kein Zugriff
  4. IV. Zwischenergebnis Kein Zugriff
2. 1. I. Verantwortungsbereich der Corporate Compliance Kein Zugriff
  2. 1. 1. Compliance-Ermessen Kein Zugriff
    2. 2. Compliance-Risikoanalyse Kein Zugriff
    3. 3. Compliance-Maßnahmen Kein Zugriff
    4. 4. Gruppendimensionale Organisationspflichten? Kein Zugriff
  3. 1. 1. Datenschutzrechtliche Organisationszwänge Kein Zugriff
    2. 1. aa) RL 95/46/EG Kein Zugriff
        (1) Organisatorischer Datenschutz Kein Zugriff
        (2) Technischer Datenschutz Kein Zugriff
        (3) Technische Datensicherheit Kein Zugriff
        (4) Gruppenweite Ausgestaltung Kein Zugriff
      2. aa) RL 95/46/EG Kein Zugriff
        (1) Bestellungspflichten Kein Zugriff
        (2) Organisationsanforderungen Kein Zugriff
        (a) Bisheriger Meinungsstand Kein Zugriff
        (b) Regelungsadressat: Unternehmensgruppe Kein Zugriff
        (c) Bestellungskriterium: Erreichbarkeit Kein Zugriff
        (d) Vereinbarkeit mit mitgliedstaatlichen Bestellungspflichten? Kein Zugriff
  4. IV. Zwischenergebnis Kein Zugriff
3. C. Zusammenfassung Kein Zugriff
1. 1. I. Datenschutz durch Unionsgrundrechte Kein Zugriff
  2. II. Datenschutz zwischen und gegenüber Privaten Kein Zugriff
  3. III. Kollisionslagen bei gruppeninternen Datenübermittlungen Kein Zugriff
2. 1. I. Konsekutive Sekundärverarbeitungen Kein Zugriff
  2. II. Intransparente Datenproliferationen Kein Zugriff
  3. III. Friktionen im internationalen Datenschutzniveau Kein Zugriff
  4. IV. Drittstaatliche Datenzugriffe Kein Zugriff
3. C. Zusammenfassung Kein Zugriff
1. 1. I. Personenbezug von Informationen Kein Zugriff
  2. II. Identifizierbarkeit in gruppeninternen Informationsräumen Kein Zugriff
  3. III. Anonymität in gruppeninternen Informationsräumen Kein Zugriff
2. 1. I. Datenübermittlungen (Push) und -abfragen (Pull) Kein Zugriff
  2. 1. 1. Maßgeblichkeit finaler Kriterien? Kein Zugriff
    2. 2. Maßgeblichkeit faktischer Kriterien? Kein Zugriff
  3. 1. 1. Maßgeblichkeit faktischer Kriterien Kein Zugriff
    2. 2. Faktizität und Finalität in „Private Cloud“-Strukturen Kein Zugriff
3. 1. I. Kollisionsrechtliche Herausforderungen Kein Zugriff
  2. 1. 1. a) Prämissen des Niederlassungsprinzips Kein Zugriff
      2. aa) Infrastrukturelle Anforderungen Kein Zugriff
        (1) Allgemeine Anforderungen Kein Zugriff
        (a) EuGH: Extensiver Maßstab Kein Zugriff
        (b) Teile der Literatur: restriktiver Maßstab Kein Zugriff
        (c) Stellungnahme Kein Zugriff
    2. 1. a) Kollisionsrechtlicher Anwendungsbereich Kein Zugriff
      2. aa) Mittel Kein Zugriff
        bb) Rückgriff Kein Zugriff
        cc) Defizite Kein Zugriff
  3. 1. 1. Territoriale Geltung Kein Zugriff
    2. 1. aa) Grundlagen Kein Zugriff
        bb) Anforderungen an relevante Angebotskonzeptionen Kein Zugriff
      2. b) Datenschutzspezifische Prämissen des Marktortprinzips Kein Zugriff
      3. aa) Datenschutzrelevante Angebotskonzeptionen Kein Zugriff
        bb) Irrelevante Kriterien Kein Zugriff
        (1) Sprache Kein Zugriff
        (2) Zahlungsmodalitäten Kein Zugriff
        (3) Personaler Bezug des Angebots Kein Zugriff
        (4) Marketing durch Tochtergesellschaften Kein Zugriff
    3. 3. Zwischenergebnis Kein Zugriff
4. D. Zusammenfassung Kein Zugriff
1. 1. 1. 1. Einwilligung der betroffenen Person Kein Zugriff
    2. 1. a) Verwendungszweck Kein Zugriff
      2. b) Berechtigte Verarbeitungsinteressen Kein Zugriff
      3. aa) Existenz gruppeneigener Interessenssphären? Kein Zugriff
        bb) Einfluss intendierter Auftragsverhältnisse Kein Zugriff
        cc) Einfluss aufsichtsrechtlicher Normkomplexe Kein Zugriff
        dd) Einfluss gruppenweiter Compliance-Systeme Kein Zugriff
    3. 3. Zwischenergebnis Kein Zugriff
  2. 1. 1. Einwilligung der betroffenen Person Kein Zugriff
    2. 1. aa) Vereinbarkeitsgebot bei Konsekutivverarbeitungen Kein Zugriff
        bb) Vereinbarkeitsabwägung bei Konsekutivverarbeitungen Kein Zugriff
        cc) Vereinbarkeitsfolgen bei Konsekutivverarbeitungen Kein Zugriff
      2. b) Berechtigte Verarbeitungsinteressen Kein Zugriff
      3. aa) Begründung eines partiellen Abwägungsvorsprungs Kein Zugriff
        (1) Beachtung grundrechtlicher Schutzbedürfnisse Kein Zugriff
        (2) Beachtung des Zweckbindungsgebots Kein Zugriff
        (3) Beachtung des europäischen Datenschutzniveaus Kein Zugriff
        (4) Anerkennung compliance-bedingter Übermittlungszwänge Kein Zugriff
        (5) Zwischenergebnis Kein Zugriff
        (1) Erfasste Datenarten Kein Zugriff
        (2) Erfasste Empfängerstellen Kein Zugriff
        (3) Erfasste Übermittlungszwecke Kein Zugriff
    3. 3. Zwischenergebnis Kein Zugriff
2. 1. I. RL 95/46/EG Kein Zugriff
  2. 1. 1. Einwilligung der Beschäftigten Kein Zugriff
    2. 1. a) Erfasste Übermittlungszwecke Kein Zugriff
      2. b) Erforderlichkeit beschäftigungsbezogener Datenverarbeitung Kein Zugriff
      3. c) Erforderlichkeit gruppeninterner Datenübermittlungen? Kein Zugriff
    3. 1. a) Gestaltungsmöglichkeiten Kein Zugriff
      2. b) Gestaltungserfordernisse Kein Zugriff
      3. c) Gestaltungsgrenzen Kein Zugriff
  3. 1. 1. aa) Erfasste Übermittlungszwecke Kein Zugriff
        bb) Einwilligungen Kein Zugriff
        cc) Betriebsvereinbarungen Kein Zugriff
      2. aa) Europäische Grundrechtecharta Kein Zugriff
        bb) Anwendungsvorrang bei abweichenden Regelungen Kein Zugriff
        cc) Anwendungsvorrang bei sonstigen Verwendungszwecken Kein Zugriff
        dd) Anwendungsvorrang der Sanktions- und Bußgeldvorschriften Kein Zugriff
    2. 2. Reaktion des Bundesgesetzgebers: § 26 BDSG n.F. Kein Zugriff
    3. 1. a) Fortgeltung der bisherigen Rechtslage Kein Zugriff
      2. b) Verhältnis zum Anwendungsbereich des Art. 6 Abs. 1 S. 1 lit. f) DSGVO Kein Zugriff
      3. c) Verhältnis zum partiellen Abwägungsvorsprung (Erwägungsgrund 48) Kein Zugriff
    4. 4. Fazit Kein Zugriff
3. C. Zusammenfassung Kein Zugriff
1. 1. 1. 1. Pflichten der Kommission Kein Zugriff
    2. 1. a) Prüfungsgegenstände Kein Zugriff
      2. b) Angemessenheitsmaßstab Kein Zugriff
      3. c) Angemessenheitskriterien Kein Zugriff
    3. 1. aa) „Safe Harbor“-Zertifizierung Kein Zugriff
        bb) Europäische Wirksamkeitskontrolle Kein Zugriff
        cc) Defizite und Kritik Kein Zugriff
      2. aa) Gegenstände des Vorlageersuchens Kein Zugriff
        (1) Grundrechtlicher Prüfungsmaßstab Kein Zugriff
        (2) Bindungswirkung von Angemessenheitsbeschlüssen Kein Zugriff
        (3) Prüfungsbefugnisse nationaler Aufsichtsbehörden Kein Zugriff
        (1) Grundrechtlicher Prüfungsmaßstab Kein Zugriff
        (2) Grundrechtlicher Angemessenheitsmaßstab Kein Zugriff
        (a) Drittstaatliche Datenzugriffe Kein Zugriff
        (b) Drittstaatlicher Rechtsschutz Kein Zugriff
        (c) Europäische Wirksamkeitskontrolle Kein Zugriff
    4. 1. aa) Zertifizierungsverfahren Kein Zugriff
        bb) Zertifizierungsvoraussetzungen Kein Zugriff
      2. aa) Aussetzungsbefugnisse nationaler Aufsichtsbehörden Kein Zugriff
        bb) Überwachungspflichten Kein Zugriff
        cc) Informationspflichten Kein Zugriff
        dd) Revisionspflichten Kein Zugriff
  2. 1. 1. a) Prüfungspflichten Kein Zugriff
      2. b) Überwachungspflichten Kein Zugriff
      3. c) Revisionspflichten Kein Zugriff
    2. 1. a) Angemessenheitsgegenstände Kein Zugriff
      2. b) Angemessenheitsmaßstab Kein Zugriff
      3. c) Angemessenheitsskriterien Kein Zugriff
  3. 1. 1. Ausgangslage Kein Zugriff
    2. 2. Konzeptionelle Anforderungen Kein Zugriff
    3. 3. Konzeptionelle Schwächen Kein Zugriff
  4. IV. Zwischenergebnis Kein Zugriff
2. 1. 1. 1. a) Allgemeine Anforderungen Kein Zugriff
      2. b) Standardvertragsklauseln Kein Zugriff
      3. c) Individuelle Vertragsklauseln Kein Zugriff
      4. aa) Defizite des gegenwärtigen Regelungsrahmens Kein Zugriff
        bb) Lösungsansätze Kein Zugriff
    2. 1. a) Allgemeine Anforderungen Kein Zugriff
      2. b) Standardvertragsklauseln Kein Zugriff
      3. c) Individuelle Vertragsklauseln Kein Zugriff
      4. d) Bestandsschutz Kein Zugriff
    3. 1. a) Multilaterale Vertragsverhältnisse Kein Zugriff
      2. b) Grenzen multilateraler Vertragsverhältnisse Kein Zugriff
    4. 4. Zwischenergebnis Kein Zugriff
  2. 1. 1. a) Personaler Anwendungsbereich (RL 95/46/EG) Kein Zugriff
      2. b) Personaler Anwendungsbereich (DSGVO) Kein Zugriff
    2. 1. a) Gruppeninterne und -externe Übermittlungsvorgänge Kein Zugriff
      2. b) Gruppeninterne und -externe (Unter)Auftragsverhältnisse Kein Zugriff
    3. 1. a) Defizite des gegenwärtigen Regelungsrahmens Kein Zugriff
      2. b) Lösungansätze Kein Zugriff
    4. 4. Zwischenergebnis Kein Zugriff
  3. 1. 1. a) Vorlageberechtigung von Unternehmensgruppen? Kein Zugriff
      2. b) Einsatzmöglichkeiten als Garantie? Kein Zugriff
    2. 1. a) Vorlageberechtigung von Unternehmensgruppen? Kein Zugriff
      2. b) Einsatzmöglichkeiten als Garantie Kein Zugriff
    3. 3. Zwischenergebnis Kein Zugriff
  4. 1. 1. RL 96/46/EG Kein Zugriff
    2. 2. DSGVO Kein Zugriff
    3. 3. Zwischenergebnis Kein Zugriff
3. C. Zusammenfassung Kein Zugriff
1. A. Datenschutzrechtliche Abhängigkeitslagen Kein Zugriff
2. B. Datenschutz durch Unternehmensgruppen Kein Zugriff
3. C. Datenschutz in Unternehmensgruppen Kein Zugriff
1. Stellungnahmen der Art. 29-Datenschutzgruppe Kein Zugriff

Datenschutz in und durch Unternehmensgruppen im europäischen Datenschutzrecht

Zusammenfassung

Publikation durchsuchen

Bibliographische Angaben

Inhaltsverzeichnis

Ähnliche Veröffentlichungen