165
Weil alle sozialen Netzwerke einem gemeinsamen Zweck zu einem gegenseitigen Nutzen im Sinne der Rechtsprechung dienen, dürfte sich die Rechtsprechung über Facebook hinaus, etwa auch auf Twitter, Xing, LinkedIn, Instagram, TikTok usw. erstrecken. Inwieweit sie auch auf Messengerdienste wie WhatsApp[413], Signal oder Threema erstrecken, hängt von der konkreten Ausgestaltung der Angebote ab.
166
Zu berücksichtigen ist dabei, dass es in Zeiten digitaler Kommunikation gerade auch für öffentliche Stellen eine Pflicht zur Teilhabe an digitaler Kommunikation sowie zur Nutzung digitaler Angebote zur Öffentlichkeitsarbeit und zur Krisenkommunikation geben kann. Diese Teilhabepflicht besteht schon aus Gründen der Aufgabenerfüllung im Netz („digitalisierte Daseinsvorsorge“). Schließlich korrespondiert der Anspruch des Bürgers auf digitale Angebote mit der Pflicht der öffentlichen Hand zur Bereitstellung und Nutzung dieser Angebote. Essentiell erforderlich ist hierbei die Differenzierung nach Ausrichtung und Funktion des Angebots.
167
Konkrete Rechtsfragen digitaler behördlicher Kommunikation stellen sich nicht nur mit Blick auf die Kommunikation im Rahmen der Aufgabenerfüllung. Von Bedeutung ist auch die Ermittlung der konkreten Nutzungsbefugnisse je nach DS-GVO-Erlaubnistatbestand und die Frage des Vorgehens bei der Nutzung nicht rechtskonformer Dienste zur Aufgabenerfüllung (Art. 1 Abs. 3 GG). Fragen werfen auch die rechtliche Bindungswirkung von behördlichen Positionierungen im Rahmen digitaler Kommunikation (Regelung, Bindungswirkung), die Abgrenzung von formellen und informelle Positionierungen in Posts und Tweets, die Abgrenzung der Kommunikation zu dienstlichen oder privaten Zwecken, die Nutzung privater Endgeräte zu dienstlichen Zwecken, die Wahrnehmung von Rechenschafts- und Dokumentationspflichten bei digitalen Äußerungen, die Differenzierung der Zulässigkeit von Äußerungen, abhängig der Funktionen im Rahmen der Staatsgewalten, auf. Jeweils genauer Prüfung bedarf auch die Eröffnung der Anwendungsbereiche (DS-GVO/BDSG/LDG) etwa bezogen auf die datenschutzrechtliche Stellung von Abgeordneten (parlamentarisch/fiskalisch) und den Einsatz sozialer Mediendienste zu Wahlwerbezwecken.
168
Die Frage der Verantwortlichkeit für eine Datenverarbeitung stellt sich zudem bei der Nutzung von Videokonferenzdiensten im Rahmen von Telearbeit.[414] Insbesondere im Zuge der Corona-Pandemie sind aufgrund der anhaltenden Infektionsgefahr viele Arbeitnehmer ins Home Office ausgewichen und Vorlesungen für Studierende an Hochschulen konnten nicht stattfinden, so dass sowohl Unternehmen als auch Hochschulen vermehrt die Dienstleistungen verschiedener Anbieter für die Einrichtung von Videokonferenzen, Online-Vorlesungen, Webinaren etc. in Anspruch nehmen. Es stellt sich in diesem Zusammenhang unter anderem[415] die Frage, wer als datenschutzrechtlich Verantwortlicher i.S.v. Art. 4 Nr. 7 anzusehen ist. Grundsätzlich ist davon auszugehen, dass der Veranstalter der Videokonferenz als Verantwortlicher anzusehen ist.[416] Arbeitnehmer fallen dabei unter die datenschutzrechtliche Verantwortlichkeit des Arbeitgebers und sind für die Einrichtung einer Videokonferenz selbst nicht datenschutzrechtlich verantwortlich, sofern sie keine Daten zu eigenen Zwecken verarbeiten.[417] Dies ergibt sich bereits aus der Dienst- und Treuepflicht der Arbeitnehmer gegenüber dem Arbeitgeber. Eine abweichende Beurteilung kann sich allerdings dann ergeben, wenn der Arbeitgeber etwa die Nutzung eines bestimmten Dienstes anbietet, etwa weil er für Arbeitnehmer ein Nutzerkonto bei einem bestimmten Dienst einrichtet, der Arbeitnehmer sich aber für die Nutzung eines anderen Dienstes entscheidet. In diesem Falle ist fraglich, ob dies ausreicht, um eine eigene Verantwortlichkeit des Arbeitnehmers zu begründen. Erforderlich ist eine Prüfung der durch die Rechtsprechung des EuGH[418] konkretisierten tatbestandlichen Voraussetzungen von Art. 4 Nr. 7 im Einzelfall. Eine gemeinsame Verantwortlichkeit verschiedener Veranstalter einer Videokonferenz hängt von den bestehenden Zugriffsrechten auf die Inhalte der Videokonferenz (Aufzeichnung, Transkripte etc.)[419] ab und bedarf ebenfalls einer eingehenden Prüfung im Einzelfall. Im Falle einer gemeinsamen Verantwortlichkeit bedarf es einer Vereinbarung nach Art. 26. Ob eine gemeinsame Verantwortlichkeit des Veranstalters einer Videokonferenz mit dem jeweiligen Diensteanbieter in Betracht kommt, hängt davon ab, ob der Anbieter lediglich eine datenverarbeitende Hilfsfunktion[420] wahrnimmt und somit Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 ist oder ob er darüber hinaus Daten für eigene Zwecke verarbeitet (z.B. Dauer der Videokonferenz, Anzahl der Teilnehmer, Standortdaten), vgl. zur Abgrenzung Rn. 155 ff. Auch hier ist eine eingehende Prüfung im Einzelfall anhand der Voraussetzungen von Art. 4 Nr. 7 und der Rechtsprechung des EuGH sowie der jeweiligen Datenschutzerklärung des Anbieters unabdingbar. Im Außenverhältnis zum Anbieter der Videokonferenz dürfte eindeutig von einer Auftragsverarbeitung nach Art. 28 auszugehen sein, da der Anbieter als Auftragnehmer auf Weisung des Auftraggebers handelt und keinerlei eigene Zwecke mit der Durchführung der Konferenz verfolgt.[421]
169
Ebenfalls noch nicht geklärt ist die Frage, welche Folgen eine „aufgedrängte Verantwortlichkeit“ hat. In diesen Situationen werden einem Dritten personenbezogene Daten z.B. offengelegt, ohne dass er hiervon Kenntnis hat oder dies will. Zu denken ist insbesondere an Fälle von Datenpannen, bei denen ein Verantwortlicher personenbezogene Daten, ob gewollt oder nicht, an die falsche Person übermittelt. Würde man den Dritten in diesen Situationen als Verantwortlichen einstufen, träfen ihn die kompletten Pflichten, die sich aus der DS-GVO für den Verantwortlichen ergeben. Resultierend aus der weiten Definition der Verarbeitung unter der DS-GVO verarbeitet der Dritte bereits bei Kenntnisnahme der personenbezogenen Daten die selbigen. Unabhängig davon, ob auch eine aufgedrängte Verarbeitung unter die Begriffsdefinition des Art. 4 Nr. 7 zu fassen ist, erscheint es unbillig, würde man den Dritten in solchen Fallkonstellationen mit den Verpflichtungen eines Verantwortlichen belasten. Der Dritte hat keine Entscheidungsbefugnis über Zweck und Mittel der Verarbeitung. Er bekommt die Verarbeitung gegen seinen Willen aufgedrängt. Kontextbezogen betrachtet wird man in dieser Situation erkennen, dass der Dritte das Ob, Warum und Wie der Verarbeitung der personenbezogenen Daten nicht festlegt.[422] Untermauert wird dieses Ergebnis auch dadurch, dass im Fall der Datenpanne der Verantwortliche zur Meldung der Panne verpflichtet ist, nicht der Dritte, der die Daten empfängt.[423] Erst dann, wenn der Dritte die personenbezogenen Daten bewusst für eigene Zwecke verarbeitet, wird er zum Verantwortlichen nach der DS-GVO.
170
Wesentliche Pflichten des Verantwortlichen nach der DS-GVO*
| Wesentliche Pflichten für den Verantwortlichen | Zuordnung DS-GVO |
|---|---|
| (Verarbeitungs-)Verbot mit Erlaubnisvorbehalt | Art. 6 |
| Verarbeitung auf rechtmäßige und transparente Art und Weise sowie nach Treu und Glauben | Art. 5 Abs. 1 lit. a |
| Grundsatz der Zweckbindung | Art. 5 Abs. 1 lit. b |
| Grundsatz der Datenminimierung | Art. 5 Abs. 1 lit. c |
| Richtigkeitsgrundsatz | Art. 5 Abs. 1 lit. d |
| Grundsatz der Speicherbegrenzung |
|
