Accountability im europäischen Datenschutzrecht

Timon Mertens

doi:10.5771/9783800596324

Zusammenfassung

Mit Accountability hat der europäische Gesetzgeber 2018 einen Begriff in den Kanon der datenschutzrechtlichen Prinzipien in Artikel 5 Datenschutz-Grundverordnung (DSGVO) aufgenommen, den auch bereits die OECD-Richtlinien zum internationalen Datentransfer von 1980 verwenden und der in den vergangenen Jahren zu einem vielfach verwendeten Schlagwort in gesellschaftlichen Debatten geworden ist, in denen es um die Zuweisung von Verantwortung geht. Im europäischen Datenschutzrecht herrscht allerdings alles andere als Klarheit, welche Handlungspflichten genau aus dieser gem. Art. 288 Abs. 2 AEUV direkt anwendbaren Norm für datenschutzrechtlich Verantwortliche und insbesondere für Unternehmen folgen. Die vorliegende Arbeit untersucht ausgehend von der reichhaltigen englischsprachigen Literatur zum Topos der Accountability, welche Inhaltsdimensionen dem Konzept zukommen und in welchen Normen der DSGVO diese ihre Entsprechung gefunden haben. Dabei wird vor allem der adaptive Charakter von Accountability herausgearbeitet, der es zu einem technik- und entwicklungsoffenen Instrument der Durchsetzung materieller Normen macht. Dem im angloamerikanischen Accountability-Diskurs gebräuchlichen Dreiklang „who is accountable for what and to whom“ folgend, untersucht die vorliegende Arbeit aufbauend auf den datenschutzrechtlichen Verantwortungsfiguren des (gemeinsam) Verantwortlichen und des Auftragsverarbeiters, welche Pflichten insbesondere Konzernen sowie deren Leitungsebenen bei der Verarbeitung personenbezogener Daten zukommen. Hierzu wird die vom europäischen Gesetzgeber in den Erwägungsgründen ausdrücklich als maßgebend bezeichnete kartellrechtliche Rechtsprechung des EuGH (Akzo-Vermutung) in das Datenschutzrecht übertragen. Abschließend werden die Parteien untersucht, die aus dem Prinzip der Accountability Rechte ableiten können.

Schlagworte

Publikation durchsuchen

Bibliographische Angaben

Erscheinungsjahr: 2023
Erscheinungsdatum: 17.07.2023
ISBN-Print: 978-3-8005-1862-3
ISBN-Online: 978-3-8005-9632-4
Verlag: dfv Mediengruppe, Frankfurt am Main
Reihe: Kommunikation & Recht
Sprache: Deutsch
Seiten: 546
Produkttyp: Monographie

Inhaltsverzeichnis

KapitelSeiten

Titelei/Inhaltsverzeichnis Kein Zugriff Seiten I - XVIII
1. I. Historischer Ursprung und konstitutive Merkmale von Accountability Kein Zugriff
2. II. Terminologie und Aufbau der Untersuchung Kein Zugriff
1. 1. 1. Imperative Regulierung Kein Zugriff
  2. 2. Regulierte Selbstregulierung Kein Zugriff
  3. 3. Autonome und echte Selbstregulierung Kein Zugriff
  4. 1. a. Imperative Elemente von Art. 5 Abs. 2 und Art. 24 DSGVO Kein Zugriff
    2. 1. (1) Genehmigte Verhaltensregeln (CoC) Kein Zugriff
      2. (2) Zertifizierungen Kein Zugriff
      3. (3) Verbindliche interne Datenschutzvorschriften (BCR) Kein Zugriff
  5. 5. Normative Accountability als imperatives Regulierungsinstrument Kein Zugriff
2. 1. 1. a. Frühe Erscheinungen im amerikanischen und englischen Recht Kein Zugriff
    2. b. Verwaltungsrechtliche Anfänge der Public Accountability Kein Zugriff
  2. 1. a. Prägung durch die OECD Richtlinien zum grenzüberschreitenden Datenverkehr Kein Zugriff
    2. 1. (1) Konvention 108 des Europarates Kein Zugriff
      2. (2) Datenschutzrichtlinie 95/46/EG (DSRL) Kein Zugriff
      3. (3) Vorarbeiten zur DSGVO durch das CIPL und die Art. 29-Gruppe Kein Zugriff
    3. c. Umsetzungen von Datenschutz-Accountability im angloamerikanischen Rechtsraum, speziell den USA, Kanada und Australien Kein Zugriff
    4. d. Durchsetzungsmechanismen der verschiedenen Regelungstypen Kein Zugriff
  3. 3. Wertung der Erkenntnisse aus RL 95/46/EG – Bedürfnis nach dem Instrument der Accountability Kein Zugriff
  4. 1. a. Normenhierarchie und Konkurrenzen Kein Zugriff
    2. 1. (1) Historische Auslegung Kein Zugriff
      2. (2) Grammatikalische Auslegung Kein Zugriff
      3. (3) Systematische, system- und rechtsvergleichende Auslegung Kein Zugriff
      4. (4) Teleologische Auslegung Kein Zugriff
    3. c. Anwendung der Accountability in Verbindung mit materiellen Normen (lex specialis) Kein Zugriff
    4. d. Aufsichtsbehördliche Informationserhebung mittels Art. 31 DSGVO Kein Zugriff
    5. e. Praktische Umsetzung von Accountability in Unternehmen Kein Zugriff
    6. f. Systematische Einordnung der DSGVO-Accountability Kein Zugriff
  5. 5. Zusammenfassung Kein Zugriff
3. 1. 1. 1. (1) Responsibility, Answerability und Responsiveness Kein Zugriff
      2. (2) Zuständigkeit und Adressatenorientierung in der DSGVO Kein Zugriff
    2. 1. (1) Transparenz und Informativeness Kein Zugriff
      2. (2) Inhaltliche Anforderungen an Transparenz und Informationen nach der DSGVO Kein Zugriff
    3. 1. (1) Liability und die Wechselwirkung von Sanktionen Kein Zugriff
      2. (2) Vertikale, horizontale und diagonale Accountability in der DSGVO Kein Zugriff
    4. 1. (1) Public Accountability in Form von Stewardship und Agency Kein Zugriff
      2. (2) Fürsorge- und Sorgfaltspflichten für Daten und Datenverarbeitungen in der DSGVO Kein Zugriff
    5. 1. (1) Liability bei fehlender Legitimacy Kein Zugriff
      2. (2) Beurteilung der Rechtmäßigkeit aufgrund der DSGVO Kein Zugriff
    6. 1. (1) Kontrolle von Akteuren durch das Forum Kein Zugriff
      2. (2) Kontrolle im Datenschutzrecht und der DSGVO Kein Zugriff
    7. 1. (1) Effizienz, Effektivität, Process- und Outcome-Accountability Kein Zugriff
      2. (2) Wirksamkeit und Wirtschaftlichkeit in der DSGVO Kein Zugriff
    8. 1. (1) Vorwirkung und nachgelagerte Implikationen der Dimensionen Kein Zugriff
      2. (2) Ex ante factum Handlungsbedarf und ex post factum Sanktion Kein Zugriff
  2. 2. Konzeptionelle Negativabgrenzung Kein Zugriff
4. IV. Zwischenergebnis zur Schematisierung der DSGVO-Accountability Kein Zugriff
1. 1. 1. 1. (1) Entstehung des Verantwortlichenbegriffs Kein Zugriff
      2. (2) Verantwortlicher nach der DSGVO Kein Zugriff
    2. b. Gemeinsame Verantwortlichkeit Kein Zugriff
    3. c. Auftragsverarbeiter Kein Zugriff
    4. d. Unternehmen und Unternehmensgruppen Kein Zugriff
  2. 1. a. Vereinbarungen zwischen Unternehmen und abgestimmte Verhaltensweisen Kein Zugriff
    2. b. Spürbarkeit einer Beeinträchtigung Kein Zugriff
    3. c. Kartellrechtlicher Unternehmensbegriff Kein Zugriff
  3. 1. a. Argumente gegen eine Zurechnung Kein Zugriff
    2. b. Argumente für eine Zurechnung Kein Zugriff
  4. 4. Stellungnahme Kein Zugriff
2. 1. 1. Betroffenenrisiken als Zurechnungsgrund Kein Zugriff
  2. 1. a. Schutzgüter im Datenschutzrecht Kein Zugriff
    2. b. Gesellschaftsrechtlich-politische und wirtschaftliche Risiken Kein Zugriff
  3. 1. a. Eintrittswahrscheinlichkeit Kein Zugriff
    2. b. Art und Umfang der Verarbeitung Kein Zugriff
    3. 1. (1) Gefährdungslage bei der Verarbeitung durch Unternehmen Kein Zugriff
      2. (2) Branche, Unternehmensgröße und -stellung am Markt Kein Zugriff
      3. (3) Subjektive Bemessungskriterien bezüglich betroffener Personen Kein Zugriff
  4. 1. a. Singuläre Verarbeitungssituationen Kein Zugriff
    2. b. Zurechnung von Auftragsverarbeitungen Kein Zugriff
    3. c. Zurechnung in Fällen gemeinsamer Verantwortung Kein Zugriff
    4. 1. (1) Übertragung der Akzo-Vermutung in das Datenschutzrecht Kein Zugriff
      2. (2) Organisationspflichten, Entscheidungsverantwortung und wirtschaftlicher Nutzen Kein Zugriff
      3. (3) Zurechnung aufgrund unterlassener Aufsichtspflichten Kein Zugriff
      4. (4) Grenzen der Zurechnung – Exzess und Chinese Walls Kein Zugriff
      5. (5) Stellungnahme Kein Zugriff
3. III. Zwischenergebnis Kein Zugriff
1. I. Wahrgenommene Risiken als Handlungsmotivation Kein Zugriff
2. 1. 1. a. Rangverhältnisse der Behördenbefugnisse Kein Zugriff
    2. b. Entschließungsermessen statt Bußgeldzwang Kein Zugriff
  2. 1. a. Einflussnahme gem. Art. 58 Abs. 2 DSGVO Kein Zugriff
    2. b. Bußgeldberechnung und -verhängung gem. Art. 58 Abs. 2 lit. i DSGVO Kein Zugriff
    3. c. Information von Betroffenen und Öffentlichkeit durch die Aufsichtsbehörden gem. Art. 58 Abs. 3 lit. b DSGVO Kein Zugriff
3. 1. 1. 1. (1) Eintritt eines Schadens Kein Zugriff
      2. (2) Verstoß gegen datenschutzrechtliche Pflichten Kein Zugriff
      3. (3) Adäquate Kausalität der Handlung für den eingetretenen Schaden Kein Zugriff
      4. (4) Verschulden und Vertretenmüssen Kein Zugriff
    2. 1. (1) Verantwortliche und Auftragsverarbeiter Kein Zugriff
      2. (2) Schadenersatz von leitenden und sonstigen Angestellten Kein Zugriff
      3. (3) Schadensersatzpflicht des Datenschutzbeauftragten Kein Zugriff
  2. 2. Kollektivrechtliche Durchsetzungsmöglichkeiten Kein Zugriff
4. IV. Inanspruchnahme durch Marktteilnehmer und Verbände Kein Zugriff
5. V. Beziehung von Foren zueinander Kein Zugriff
6. VI. Zwischenergebnis Kein Zugriff
E. Wertung normativer Accountability als entwicklungsoffener Durchsetzungsmechanismus materieller Anforderungen Kein Zugriff Seiten 509 - 514
Quellenverzeichnisse Kein Zugriff Seiten 515 - 515
Literaturverzeichnis Kein Zugriff Seiten 515 - 540
Stellungnahmen der Art. 29 Gruppe bzw. des European Data Protection Board (EDPB) Kein Zugriff Seiten 541 - 541
Webquellen Kein Zugriff Seiten 541 - 546