4 Nr. 9.[460]
b) Begriff der Offenlegung
193
Die Empfängereigenschaft nach Art. 4 Nr. 9 setzt voraus, dass dem Empfänger personenbezogene Daten durch den Verantwortlichen offengelegt werden. Nach der Definition des Art. 4 Nr. 2 ist die Offenlegung, die Übermittlung, Verbreitung oder eine andere Form der Bereitstellung. Umstritten ist die Frage, ob die Offenlegung auch die Veröffentlichung durch den Verantwortlichen umfasst. Wäre dies der Fall, wäre auch der als Empfänger nach Art. 4 Nr. 9 anzusehen, der von personenbezogenen Daten Kenntnis erlangt, die durch den Verantwortlichen veröffentlicht wurde.
194
Es wird vertreten, dass auch dann eine Offenlegung vorliegt, wenn „Daten auf einer Website oder in einem Internet-Forum anderen zur Kenntnis gegeben werden“[461] oder wenn „die Weitergabe an eine unbestimmte Vielzahl von Empfängern“[462] erfolgt. Die Offenlegung nach Art. 4 Nr. 2 erfasst danach auch die Veröffentlichung durch den Verantwortlichen an eine unbestimmte und unbestimmbare Anzahl an Empfängern.
195
Nach einer anderen Ansicht setzt die Offenlegung voraus, dass der Verantwortliche einer bestimmten oder zumindest bestimmbaren Person oder einem Kreis bestimmter oder bestimmbarer Personen die personenbezogenen Daten zielgerichtet übermittelt. Demnach sei eine Veröffentlichung keine Offenlegung im Sinne der DS-GVO, da sich die Veröffentlichung an einen unbestimmten Personenkreis richtet.[463] Würden „Offenlegung“ und „Verbreitung“ im Sinne von Art. 4 Nr. 2 die Veröffentlichung personenbezogener Daten meinen, müssten die Begriffe in der DS-GVO auch benutzt werden. Stattdessen werden für die Veröffentlichung personenbezogener Daten so konsequent andere Begriffe als „Offenlegung“ und „Verbreitung“ verwendet, dass der Begriff der „Offenlegung“ Veröffentlichungen nicht umfassen dürfte.[464] Vor allem die systematische Auslegung anhand der Verwendung der Begrifflichkeiten in der DS-GVO lässt die letztgenannte Auffassung vorzugswürdig erscheinen.
3. Ausnahmen bei Behörden
196
Art. 4 Nr. 9 S. 2 enthält eine Ausnahme von der Einordnung als Empfänger. Danach sollen Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach Unionsrecht oder dem Recht der Mitgliedstaaten personenbezogene Daten erhalten, nicht als Empfänger gelten. Der Begriff des Untersuchungsauftrags dürfte nach der deutschen Gesetzesterminologie am ehesten mit „Ersuchen“ übersetzt werden können.[465]
197
ErwG 31 nennt beispielhaft und nicht abschließend die Steuer- und Zollbehörden, Finanzermittlungsstellen, unabhängige Verwaltungsbehörden oder Finanzmarktbehörden, die für die Regulierung von Wertpapiermärkten zuständig sind. Mangels Empfängereigenschaft entfallen hier die Informations- und Mitteilungspflichten.[466] Art. 4 Nr. 9 S. 2 stellt jedoch klar, dass die Verarbeitung durch die ausgenommenen Behörden im Einklang mit den geltenden Datenschutzvorschriften erfolgen muss.
198
Grund für die Privilegierung dieses Sachverhalts ist, dass die Verarbeitung durch die genannten Behörden ja ohnehin im Einklang mit den Datenschutzvorschriften der DS-GVO und des bereichsspezifischen Rechts zu erfolgen hat.[467]
1. Allgemeines
199
Nach Art. 4 Nr. 10 ist Dritter eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten. Der Begriff des Dritten dient der Abgrenzung verschiedener Akteure innerhalb des Regelungsbereiches der DS-GVO. Wenn man aufgrund der Anwendung der Definition und der danach notwendigen Abwägungen zum Schluss kommt, dass ein Dritter – rechtmäßig oder rechtswidrig – personenbezogene Daten empfängt, ist er als ein neuer Verantwortlicher anzusehen und unterliegt damit allein oder gemeinsam mit anderen Verantwortlichen sämtlichen diesen nach der DS-GVO obliegenden Pflichten.[468] Die Definition entspricht Art. 2 lit. f DSRL.
200
Neben der Definition in Art. 4 Nr. 10 nennt die DS-GVO den Begriff des Dritten bei der Definition des Empfängers und im Zusammenhang mit dem Erlaubnistatbestand des Art. 6 Abs. 1 lit. f.[469] Da der Begriff des Dritten in Art. 6 Abs. 1 lit. f und bei den damit zusammenhängende Informationspflichten genannt wird, ist die Definition für den Verantwortlichen relevant, der sich für seine Datenverarbeitung auf die berechtigten Interessen eines Dritten stützen will, und für den Betroffenen, dessen Interessen gegen die berechtigten Interessen des Dritten abgewogen werden müssen. Weitere Erwähnung findet der Begriff des Dritten in den ErwG 47, 54 und 69.
2. Inhalt
201
Dritter kann eine natürliche oder juristische Person, eine Behörde, eine Einrichtung oder eine andere Stelle sein. Wie sich aus der Regelung des Art. 6 Abs. 1 lit. f entnehmen lässt, muss es sich bei dem Dritten um eine Person oder Stelle handeln, dessen Interesse vom berechtigten Interesse des Verantwortlichen abweicht. Werden dem Dritten personenbezogene Daten offengelegt, wird er zum Empfänger und damit zum Verantwortlichen.[470]
202
Art. 4 Nr. 10 grenzt den Dritten negativ ab. Danach ist der Dritte kein Betroffener, kein Verantwortlicher, kein Auftragsverarbeiter und keine Person, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt ist, personenbezogene Daten zu verarbeiten. Zum Auftragsverarbeiter gehören auch dessen Unterauftragnehmer.[471]
203
Maßgebliches Kriterium ist, dass der Dritte „außerhalb der verantwortlichen Stelle“ steht. Dritter ist damit in Abgrenzung zu einer Behörde jede andere Behörde, auch wenn diese zum gleichen Rechtsträger gehört. Damit ist auch jede andere öffentliche Stelle Dritter. Innerhalb einer Behörde (z.B. Gemeindeverwaltung) können jedoch, wenn funktional mehrere Aufgaben wahrgenommen werden, die „Ämter“ dieser Behörde „Dritte“ zueinander sein.[472] Dritte sind Personen oder Stellen, die mit dem Verantwortlichen nicht identisch sind.[473] In dem Moment, in dem eine Person oder Stelle verantwortlich wird, ist sie nicht mehr Dritter.[474] Beschäftigte des Verantwortlichen, die nicht befugt sind, personenbezogene Daten zu bearbeiten sind damit als Dritte einzustufen.[475] Gibt also ein Mitarbeiter rechtswidrig personenbezogene Daten an einen Kollegen weiter, so
