[pinguin]

In dem heute im EU-Amtsblatt veröffentlichten Beschluß

DURCHFÜHRUNGSBESCHLUSS (EU) 2021/915 DER KOMMISSION

vom 4. Juni 2021

über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates und Artikel 29 Absatz 7 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates
https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=uriserv%3AOJ.L_.2021.199.01.0018.01.DEU&toc=OJ%3AL%3A2021%3A199%3ATOC

wird dargelegt, daß es eines schriftlichen Dokumentes zwischen "Verantwortlichen" und "Auftragsverarbeitern" bedarf, damit "Auftragsverarbeitende" für den "Verantwortlichen" diesbezüglich tätig werden darf.

(4)
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem die in Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 oder die in Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 aufgeführten Elemente festgelegt sind. Der Vertrag oder das Rechtsinstrument ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.

Die EMA wären hier "Auftragsverarbeitende"; was anderes läßt die Definition nicht zu:

(1)
Die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ spielen eine entscheidende Rolle bei der Anwendung der Verordnung (EU) 2016/679 und der Verordnung (EU) 2018/1725. Der Verantwortliche ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Für die Zwecke der Verordnung (EU) 2018/1725 bezeichnet der Ausdruck „Verantwortlicher“ das Organ oder die Einrichtung der Union oder die Generaldirektion oder sonstige Organisationseinheit, das beziehungsweise die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten bestimmt. Sind die Zwecke und Mittel dieser Verarbeitung durch einen besonderen Rechtsakt der Union bestimmt, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien für seine Benennung nach dem Unionsrecht vorgesehen werden. Ein Auftragsverarbeiter ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Hier wird es jetzt interessant, denn wenn ÖRR "Verantwortlicher" im Sinne der Bestimmung ist, braucht es eines Vertrages zwischen ÖRR und EMA, denn ein hoheitliches Verhältnis kommt nicht zum Tragen, da alle ÖRR "Unternehmen im Sinne des Unionsrechts" darstellen und damit keine hoheitlichen Befugnisse haben, siehe

Keine hoheitl. Befugnis f. j.P.ö.R in Wettbewerb; gefestigte Rechtspr. des BFH
https://gez-boykott.de/Forum/index.php/topic,30952.msg192790.html#msg192790

Oder wäre das Land "Verantwortlicher" im Sinne dieser Bestimmungen? Wie passt dieses dann mit der Selbstverwaltungsbefugnis der ÖRR zusammen?

Pflichten der Parteien
7.1.   Weisungen

a)
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b)
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2.   Zweckbindung
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.7.   Einsatz von Unterauftragsverarbeitern

b)
Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

d)
Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

[Zitiergebot]

Die EMA wären hier "Auftragsverarbeitende"; was anderes läßt die Definition nicht zu:

Nachfrage hierzu: Was ist mit "EMA" gemeint?
Es ist nicht verständlich worum es hier gegen soll.

[ticuta]

EMA = EinwohnerMeldeAmt

[Zitiergebot]

Die EMA wären hier "Auftragsverarbeitende"; was anderes läßt die Definition nicht zu:

Hier wird es jetzt interessant, denn wenn ÖRR "Verantwortlicher" im Sinne der Bestimmung ist, braucht es eines Vertrages zwischen ÖRR und EMA, denn ein hoheitliches Verhältnis kommt nicht zum Tragen, da alle ÖRR "Unternehmen im Sinne des Unionsrechts" darstellen und damit keine hoheitlichen Befugnisse haben, siehe

Oder wäre das Land "Verantwortlicher" im Sinne dieser Bestimmungen? Wie passt dieses dann mit der Selbstverwaltungsbefugnis der ÖRR zusammen?

Im Verhältnis zwischen ÖRR und EMA ist die Auftragsdatenverarbeitung entsprechend Art. 28 DSGVO der völlig falsche Ansatz.

ÖRR und EMA sind jeweils eigenständige Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Wobei bei den jeweiligen EMA die einzelne Kommune der Verantwortliche ist. ÖRR und EMA verarbeiten die Daten nach einer entsprechenden Rechtsgrundlage (Art. 6 Abs. 1 lit. c DSGVO), was für die EMA das Bundesmeldegesetz und ggf. landesspezifische Verordnungen sowie für die ÖRR der RBStV ist. Die Übermittlung der Daten durch die EMA an die ÖRR im Zuge der anlassbezogenen Meldedatenübermittlung oder des Meldedatenabgleich erfolgt hier auch auf einer (wenn auch ggf. verfassungswidrigen) Rechtsgrundlage. Für jede ÖRR muss man noch im entsprechenden Gesetz oder Staatsvertrag schauen, welches Landesrecht gültig ist und dann das entsprechende Landes-Datenschutzgesetz heranziehen, um die genauen rechtlichen Details zu kennen.

Mit Auftragsdatenverarbeitung hat es zwischen dem Einwohnermeldeamt und den ÖRR nichts zu tun. Das Land ist auch niemals Verantwortlicher im Sinne der DSGVO.

[pinguin]

Im Verhältnis zwischen ÖRR und EMA ist die Auftragsdatenverarbeitung entsprechend Art. 28 DSGVO der völlig falsche Ansatz.

Wieso? Es braucht immer einen "Verantwortlichen" und einen "Auftragsdatenverarbeitenden", wenn personen-bezogene Daten verarbeitet werden.

Sind beide wechselseitig (?) in einer Person, hat diese Person beide separat geregelten Bereiche einzuhalten. (Die Frage der Zulässigkeit mal unbeachtet).

Mit Auftragsdatenverarbeitung hat es zwischen dem Einwohnermeldeamt und den ÖRR nichts zu tun.

Hat es unionsrechtlich aber; die ÖRR sind "Unternehmen", ("nicht staatlich" gemäß EGMR), die Bürger*ìnnen sind "Verbraucher*innen", nur das EMA ist "Staat".

Das EMA verarbeitet personen-bezogene Daten im Auftrag durch den ÖRR bereits damit, daß es den ÖRR auf den Datenbestand zugreifen läßt.

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (Text von Bedeutung für den EWR)
https://eur-lex.europa.eu/legal-content/DE/TXT/?qid=1496571378935&uri=CELEX:32016R0679

Artikel 4
Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

8.
„Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

Die andere Begriff ist auch definiert:

Artikel 4
Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

7.
„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

Und selbst der Begriff "Verarbeitung" wurde definiert

Artikel 4
Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

2.
„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Selbst das lediglich passive Bereitstellen von personen-bezogenen Daten gilt unionsrechtlich als Verarbeitung, insofern die EMA freilich "Datenverarbeitende" sind, ergo "Auftragsdatenverarbeitende", da sie den Auftrag haben, dem ÖRR diese Daten zur Verfügung zu stellen. Unionsrechtlich zulässig allerdings nur nach Tätigwerden der "Verbraucher*innen", nachdem diese mit dem "Unternehmen" in Kontakt getreten sind, wozu sie aber unionsrechtlich keine Pflicht haben, wenn sie die Dienstleistungen des "Unternehmens" weder nutzen, noch bestellt haben.

Wenn das EMA dem "Unternehmen" ÖRR personen-bezogene Daten herausgibt, ohne daß dieses zuvor durch den dadurch konkret betroffenen Verbraucher/die dadurch konkret betroffene Verbraucherin authorisiert worden ist, handelt das EMA unionsrechtswidrig.

Das Land ist auch niemals Verantwortlicher im Sinne der DSGVO.

Dieser Aspekt wird noch zu klären sein.

Weiterführend auch:
EuGH C-201/14 Ohne Kenntnis d. Bürger kein Datenaustausch zwecks Verarbeitg.
https://gez-boykott.de/Forum/index.php?topic=15947.0

[Zitiergebot]

@pinguin: Das zitieren der DSGVO bringt nur etwas wenn die Zusammenhänge auch verstanden hat. Auftragsdatenverarbeitung ist etwas gänzlich anderes wie du es hier versuchst darzulegen. Es ist nur ärgerlich, dass offensichtlich einige mit diese obskuren Darlegungen versuchen vor Gericht etwas zu erreichen und sich dann wundern, dass sie damit keinen Erfolg haben. Dein letzter Post ist gelinde gesagt nicht ganz richtig. Im Übrigen spielt es keine Rolle welcher Rechtsnatur der Verantwortliche ist, die DSGVO gilt unabhängig von der Rechtsform.

Ich empfehle den kauf des Simitis oder des Gola oder des Bergmann / Möhrle / Herb, das lässt sich das Thema Auftragsdatenverarbeitung auch für Laien verständlich nachlesen.

Wende dich mit deiner Auffassung doch einmal an deinen Landesdatenschutzbeauftragten und veröffentliche dann hier dessen Antwort.

[pinguin]

Das zitieren der DSGVO bringt nur etwas wenn die Zusammenhänge auch verstanden hat.

Die DSGVO gilt, weil Verordnung, so im Wortlaut, wie geschrieben; der Datenschutz ist vollständig harmonisiert, (dazu hat es noch heute ein neues, zudem Deutschland betreffendes EuGH-Thema), was dazu führt, daß die Mitgliedsländer nicht befugt sind, eigenes dazu zu erfinden. Wie es auch bei den Begrifflichkeiten "Unternehmen" der Fall ist, könnte es daher doch sein, daß auch das EMA fallspezifisch im Status "auftragsdatenverarbeitend" ist.

Im Übrigen spielt es keine Rolle welcher Rechtsnatur der Verantwortliche ist, die DSGVO gilt unabhängig von der Rechtsform.

Das ist schon klar.