Criminal Compliance und Datenschutz im Konzern

1 - Cover [Seite 1]
2 - Einleitung [Seite 23]
2.1 - A. Grundproblematik [Seite 23]
2.2 - B. Ziel der Arbeit [Seite 24]
2.3 - C. Gang der Arbeit [Seite 25]
2.4 - D. Definition der Grundbegriffe [Seite 26]
2.4.1 - I. (Criminal) Compliance [Seite 26]
2.4.2 - II. Konzern [Seite 29]
3 - Erstes Kapitel: Die »Compliance-Pflicht« - Umfang, Ziel und Inhalt [Seite 32]
3.1 - A. Die Compliance-Pflicht [Seite 32]
3.1.1 - I. Auslegung des deutschen Gesellschafts- und Ordnungswidrigkeitenrecht [Seite 32]
3.1.1.1 - 1. Grundlagen aus dem Gesellschaftsrecht [Seite 32]
3.1.1.2 - 2. Grundlagen aus dem Ordnungswidrigkeitenrecht [Seite 34]
3.1.1.3 - 3. Gemeinsamer Inhalt der Sorgfalts- und Aufsichtspflicht [Seite 34]
3.1.1.4 - 4. Zwischenfazit [Seite 41]
3.1.2 - II. Compliance-Pflicht aus sonstigem Recht [Seite 41]
3.1.2.1 - 1. Ausdrückliche Compliance-Pflichten aus Spezialgesetzen [Seite 41]
3.1.2.2 - 2. Pflicht aus dem Deutschen Corporate Governance Kodex (DCGK) [Seite 42]
3.1.2.3 - 3. Pflichten aus ausländischem Recht [Seite 43]
3.2 - B. Konzernweite Compliance-Pflicht [Seite 44]
3.3 - C. Ziele der Compliance-Tätigkeit [Seite 51]
3.3.1 - I. Haftung nach § 130 I 1 OWiG [Seite 51]
3.3.1.1 - 1. Adressatenkreis [Seite 51]
3.3.1.2 - 2. Mögliche Taten i.S.d. betrieblichen Zuwiderhandlung [Seite 53]
3.3.2 - II. Haftung des Unternehmens nach § 30 I OWiG [Seite 54]
3.3.3 - III. Strafbarkeit wegen Unterlassen [Seite 55]
3.3.4 - IV. Haftung des Vorstands bzw. des Geschäftsführers gegenüber der Gesellschaft aus § 93 II 1 AktG [Seite 56]
3.3.5 - V. Rufschädigung [Seite 56]
3.3.6 - VI. Beeinflussung der Strafzumessung [Seite 57]
3.4 - D. Inhalt der Compliance-Maßnahmen [Seite 58]
3.4.1 - I. Präventive Maßnahmen [Seite 58]
3.4.2 - II. Repressive Maßnahmen [Seite 59]
3.5 - E. Gestaltungsmöglichkeiten der Compliance-Funktion im Konzern [Seite 59]
3.5.1 - I. »Aufhängung« der Compliance-Organisation [Seite 59]
3.5.2 - II. Umfang Compliance-Funktion [Seite 60]
3.5.3 - III. Ausgestaltung der Compliance-Funktion im Konzern [Seite 61]
4 - Zweites Kapitel: Berührungspunkte zwischen Compliance und Datenschutz [Seite 64]
5 - Drittes Kapitel: Maßgebliches Recht [Seite 66]
5.1 - A. Geschichte des Datenschutzrechts in Deutschland [Seite 66]
5.2 - B. Anwendbarkeit BDSG vs. DSGVO [Seite 72]
5.3 - C. Anwendbarkeit der Datenschutzgesetze [Seite 73]
5.3.1 - I. Sachliche Anwendbarkeit [Seite 73]
5.3.1.1 - 1. Rechtslage nach dem BDSG [Seite 73]
5.3.1.1.1 - a) Positive Anwendungsvoraussetzungen nach § 1 II Nr. 3 Hs. 1 BDSG [Seite 73]
5.3.1.1.1.1 - aa) Definition personenbezogener Daten (pbD) [Seite 73]
5.3.1.1.1.2 - bb) Relevanter Datenumgang [Seite 76]
5.3.1.1.1.2.1 - (1) Erheben [Seite 76]
5.3.1.1.1.2.2 - (2) Verarbeiten [Seite 77]
5.3.1.1.1.2.3 - (3) Nutzen [Seite 78]
5.3.1.1.1.3 - cc) Unter Einsatz von Datenverarbeitungsanlagen [Seite 78]
5.3.1.1.1.4 - dd) »In oder aus nicht-automatisierten Dateien« [Seite 79]
5.3.1.1.1.5 - ee) Zwischenergebnis [Seite 80]
5.3.1.1.2 - b) Subsidiarität nach § 1 III 1 BDSG [Seite 80]
5.3.1.2 - 2. Änderung aufgrund der DSGVO [Seite 81]
5.3.2 - II. Örtliche Anwendbarkeit [Seite 83]
5.3.2.1 - 1. Rechtslage nach dem BDSG [Seite 84]
5.3.2.1.1 - a) Datenumgang durch eine deutsche verantwortliche Stelle in Deutschland [Seite 84]
5.3.2.1.2 - b) Datenumgang durch ausländische verantwortliche Stellen in Deutschland [Seite 84]
5.3.2.1.2.1 - aa) Verantwortliche Stelle mit Sitz in der EU bzw. im EWR [Seite 84]
5.3.2.1.2.2 - bb) Verantwortliche Stelle mit Sitz im Drittland [Seite 87]
5.3.2.1.3 - c) Datenumgang durch deutsche verantwortliche Stellen im Ausland [Seite 88]
5.3.2.1.3.1 - aa) In einem anderen Mitgliedstaat der EU bzw. des EWR [Seite 88]
5.3.2.1.3.2 - bb) In einem Drittland [Seite 89]
5.3.2.2 - 2. Änderungen aufgrund der DSGVO [Seite 89]
6 - Viertes Kapitel: Mögliche Rechtsfolgen einer Datenschutzverletzung [Seite 92]
6.1 - A. Rechtsfolgen nach dem Datenschutzrecht [Seite 93]
6.1.1 - I. Ordnungswidrigkeiten [Seite 93]
6.1.1.1 - 1. Natürliche Person als tauglicher Täter? [Seite 94]
6.1.1.2 - 2. Relevante Tatbestände des § 43 BDSG [Seite 95]
6.1.1.2.1 - a) § 43 I Nr. 2b BDSG [Seite 95]
6.1.1.2.2 - b) § 43 I Nr. 4 BDSG [Seite 96]
6.1.1.2.3 - c) § 43 I Nr. 8 BDSG [Seite 96]
6.1.1.2.4 - d) § 43 I Nr. 8a BDSG [Seite 97]
6.1.1.2.5 - e) § 43 II Nr. 1 BDSG [Seite 97]
6.1.1.2.6 - f) § 43 II Nr. 2 BDSG [Seite 97]
6.1.1.2.7 - g) § 43 II Nr. 5 Alt. 2 BDSG [Seite 98]
6.1.2 - II. Straftaten (§ 44 I BDSG) [Seite 101]
6.1.3 - III. Änderungen aufgrund der DSGVO [Seite 102]
6.1.3.1 - 1. Ordnungswidrigkeiten [Seite 102]
6.1.3.2 - 2. Straftaten [Seite 106]
6.2 - B. Geldbuße nach § 130 OWiG [Seite 107]
6.3 - C. Geldbuße gegen die juristische Person (§ 30 OWiG) [Seite 108]
7 - Fünftes Kapitel: Grenzen des Datenschutzes im Konzern [Seite 110]
7.1 - A. Datenschutzrechtlich relevante Vorgänge im internationalen Konzern [Seite 110]
7.2 - B. Notwendigkeit der Rechtfertigung einer Datenerhebung [Seite 112]
7.2.1 - I. Verfassungsrechtliche Grundlage des Datenschutzrechts [Seite 112]
7.2.2 - II. Inhalt und Bedeutung des Verbots mit Erlaubnisvorbehalt [Seite 114]
7.3 - C. Bestimmung der Verantwortlichkeit [Seite 115]
7.3.1 - I. Verantwortliche Stelle i.S.d. Datenschutzrechts [Seite 115]
7.3.2 - II. Kein Konzernprivileg [Seite 116]
7.3.3 - III. Joint Controllership [Seite 119]
7.3.4 - IV. Qualifizierung des Datentransfers zwischen den Compliance-Stellen des Konzerns [Seite 122]
7.3.4.1 - 1. Kriterien für das Vorliegen einer Auftragsdatenverarbeitung [Seite 123]
7.3.4.2 - 2. Übertragbarkeit der Grundsätze der Auftragsdatenverarbeitung auf Compliance-Tätigkeit im Konzern [Seite 126]
7.3.4.3 - 3. Zwischenergebnis [Seite 128]
7.4 - D. Zulässigkeit der datenschutzrechtlich relevanten Vorgänge [Seite 128]
7.4.1 - I. Vorgänge innerhalb eines Konzerns [Seite 128]
7.4.1.1 - 1. Keine Qualifikation der für Compliance relevanten pbD als sensibel [Seite 129]
7.4.1.2 - 2. Rechtfertigung durch Einwilligung des Betroffen [Seite 129]
7.4.1.2.1 - a) Anforderungen an eine Einwilligung [Seite 129]
7.4.1.2.2 - b) Verhältnis zu anderen Ermächtigungsgrundlagen [Seite 133]
7.4.1.2.3 - c) Zwischenergebnis [Seite 135]
7.4.1.3 - 3. Anwendbarkeit und Voraussetzungen der gesetzlichen Ermächtigungsgrundlagen gemäß §§ 28 und 32 BDSG i.R.d. Compliance-Tätigkeit eines Konzerns [Seite 136]
7.4.1.3.1 - a) Erweiterung des Anwendungsbereichs des BDSG für private Unternehmen [Seite 137]
7.4.1.3.2 - b) Die Ermächtigungsgrundlagen aus § 32 BDSG [Seite 139]
7.4.1.3.2.1 - aa) Spezifische Anwendungsvoraussetzungen des § 32 I BDSG [Seite 140]
7.4.1.3.2.1.1 - (1) Personeller Anwendungsbereich [Seite 140]
7.4.1.3.2.1.2 - (2) Sachlicher Anwendungsbereich [Seite 142]
7.4.1.3.2.1.3 - (3) § 32 BDSG auf Verarbeitung durch verbundene Konzerngesellschaft anwendbar? [Seite 144]
7.4.1.3.2.2 - bb) Die Ermächtigungsgrundlage des § 32 I 2 BDSG [Seite 146]
7.4.1.3.2.2.1 - (1) Voraussetzungen [Seite 146]
7.4.1.3.2.2.1.1 - (a) Handeln zum Zweck der Aufdeckung einer Straftat [Seite 147]
7.4.1.3.2.2.1.2 - (b) Verdacht durch tatsächliche Anhaltspunkte [Seite 147]
7.4.1.3.2.2.1.3 - (c) Begehung im Beschäftigtenverhältnis [Seite 148]
7.4.1.3.2.2.1.4 - (d) Erforderlichkeit und Verhältnismäßigkeit [Seite 149]
7.4.1.3.2.2.1.5 - (e) Dokumentationspflicht [Seite 150]
7.4.1.3.2.2.2 - (2) Anwendbarkeit zur Rechtfertigung von Compliance-Maßnahmen [Seite 150]
7.4.1.3.2.2.3 - (3) Anwendbarkeit zur Rechtfertigung von konzerninternen Übermittlungen [Seite 151]
7.4.1.3.2.2.3.1 - (a) Konzernbezogene Beschäftigungsverhältnisse [Seite 152]
7.4.1.3.2.2.3.2 - (b) Übermittlung zur Ermöglichung der Durchführung einer Compliance-Maßnahme [Seite 153]
7.4.1.3.2.2.3.3 - (c) Übermittlung nach Abschluss der Durchführung einer Compliance-Maßnahme [Seite 154]
7.4.1.3.2.2.3.4 - (d) Zwischenergebnis [Seite 156]
7.4.1.3.2.3 - cc) Die Ermächtigungsgrundlage des § 32 I 1 BDSG [Seite 157]
7.4.1.3.2.3.1 - (1) Voraussetzungen [Seite 157]
7.4.1.3.2.3.1.1 - (a) Zwecke des Beschäftigungsverhältnisses [Seite 157]
7.4.1.3.2.3.1.2 - (b) Erforderlichkeit [Seite 159]
7.4.1.3.2.3.2 - (2) Anwendbarkeit zur Rechtfertigung von präventiven Compliance-Maßnahmen [Seite 161]
7.4.1.3.2.3.3 - (3) Anwendbarkeit zur Rechtfertigung von repressiven Compliance-Maßnahmen [Seite 164]
7.4.1.3.2.3.4 - (4) Anwendbarkeit zur Rechtfertigung von konzerninternen Übermittlungen [Seite 165]
7.4.1.3.3 - c) Die Ermächtigungsgrundlagen des § 28 BDSG [Seite 166]
7.4.1.3.3.1 - aa) Spezifische Anwendungsvoraussetzung des § 28 I BDSG [Seite 166]
7.4.1.3.3.2 - bb) Verhältnis § 28 I 1 Nr. 2 BDSG zu § 32 BDSG [Seite 167]
7.4.1.3.3.2.1 - (1) Außerhalb des Anwendungsbereichs des § 32 BDSG [Seite 168]
7.4.1.3.3.2.2 - (2) Innerhalb des Anwendungsbereichs des § 32 BDSG [Seite 168]
7.4.1.3.3.3 - cc) Die Ermächtigungsgrundlage des § 28 I 1 Nr. 1 BDSG [Seite 170]
7.4.1.3.3.4 - dd) Die Ermächtigungsgrundlage des § 28 I 1 Nr. 2 BDSG [Seite 171]
7.4.1.3.3.4.1 - (1) Voraussetzungen [Seite 171]
7.4.1.3.3.4.1.1 - (a) Berechtigtes Interesse der verantwortlichen Stelle [Seite 171]
7.4.1.3.3.4.1.2 - (b) Erforderlichkeit [Seite 172]
7.4.1.3.3.4.1.3 - (c) Interessenabwägung [Seite 173]
7.4.1.3.3.4.2 - (2) Anwendbarkeit zur Rechtfertigung von Compliance-Maßnahmen [Seite 174]
7.4.1.3.3.4.3 - (3) Anwendbarkeit zur Rechtfertigung von konzerninternen Übermittlungen [Seite 174]
7.4.1.3.3.4.4 - (4) Zwischenergebnis zur Anwendbarkeit des § 28 I 1 Nr. 2 BDSG [Seite 177]
7.4.1.3.4 - d) Fazit zur Situation der datenschutzrechtlichen Ermächtigungsgrundlagen im Compliance-Bereich [Seite 177]
7.4.1.4 - 4. Erörterung der datenschutzrechtlichen Rechtfertigung von Compliance-Vorgängen [Seite 178]
7.4.1.4.1 - a) Zulässigkeit repressiver Compliance-Maßnahmen [Seite 178]
7.4.1.4.1.1 - aa) Allgemeines zur Abwägung [Seite 180]
7.4.1.4.1.2 - bb) Auswertung der Telekommunikation [Seite 183]
7.4.1.4.1.2.1 - (1) Abgrenzung zu den Ermächtigungsgrundlagen des TKG [Seite 184]
7.4.1.4.1.2.1.1 - (a) Anwendungsbereich der §§ 88 und 91 ff. TKG [Seite 185]
7.4.1.4.1.2.1.1.1 - (aa) Voraussetzung der ausdrücklichen Erlaubnis einer Privatnutzung? [Seite 186]
7.4.1.4.1.2.1.1.2 - (bb) Sachliche Anwendbarkeit der §§ 91 ff. TKG im Arbeitsverhältnis bei erlaubter Privatnutzung [Seite 187]
7.4.1.4.1.2.1.1.3 - (cc) Exkurs: Zeitlicher Anwendungsbereich der §§ 91 ff. TKG [Seite 190]
7.4.1.4.1.2.1.2 - (b) Rechtfertigungsmöglichkeit eines Zugriffs auf Telekommunikationsdaten bei Annahme des Eingreifens des Fernmeldegeheimnisses [Seite 192]
7.4.1.4.1.2.1.2.1 - (aa) Rechtfertigung nach den §§ 91 ff. TKG [Seite 193]
7.4.1.4.1.2.1.2.2 - (bb) Sonstige Rechtfertigung i.S.d. § 88 III 3 TKG [Seite 194]
7.4.1.4.1.2.1.2.3 - (cc) Fazit zur Rechtfertigungsmöglichkeit eines Zugriffs bei Geltung des Fernmeldegeheimnisses [Seite 195]
7.4.1.4.1.2.1.3 - (c) Zwischenergebnis und Fazit [Seite 195]
7.4.1.4.1.2.2 - (2) Zur Bewertung nach BDSG [Seite 197]
7.4.1.4.1.2.2.1 - (a) Auswertung der Telefon-Kommunikation [Seite 198]
7.4.1.4.1.2.2.1.1 - (aa) Auswertung der Verbindungsdaten [Seite 198]
7.4.1.4.1.2.2.1.2 - (bb) Auswertung der Inhaltsdaten [Seite 198]
7.4.1.4.1.2.2.2 - (b) Auswertung der E-Mail-Kommunikation [Seite 200]
7.4.1.4.1.2.2.2.1 - (aa) Auswertung der Verbindungsdaten [Seite 200]
7.4.1.4.1.2.2.2.2 - (bb) Auswertung der Inhaltsdaten [Seite 200]
7.4.1.4.1.2.2.3 - (c) Bewertung der datenschutzrechtlichen Zulässigkeit der Auswertung der unterschiedlichen Telekommunikationsdaten [Seite 201]
7.4.1.4.1.2.2.4 - (d) Exkurs: Rechtfertigung der Auswertung der Daten gegenüber dem Telekommunikationsteilnehmer [Seite 205]
7.4.1.4.1.2.3 - (3) Zwischenergebnis [Seite 206]
7.4.1.4.1.3 - cc) Befragung [Seite 207]
7.4.1.4.1.3.1 - (1) Grundsätzliche Aussagepflicht von Arbeitnehmern [Seite 207]
7.4.1.4.1.3.2 - (2) Auskunftsverweigerungsrecht wegen Selbstbelastungsfreiheit? [Seite 208]
7.4.1.4.1.3.3 - (3) Anspruch des Arbeitnehmers auf Hinzuziehung Dritter? [Seite 210]
7.4.1.4.1.3.4 - (4) Zwischenergebnis [Seite 210]
7.4.1.4.1.4 - dd) Durchsuchung [Seite 211]
7.4.1.4.1.5 - ee) Fazit zur Zulässigkeit repressiver Compliance-Maßnahmen [Seite 212]
7.4.1.4.2 - b) Zulässigkeit präventiver Compliance-Maßnahmen [Seite 214]
7.4.1.4.2.1 - aa) Allgemeines zur Abwägung [Seite 215]
7.4.1.4.2.2 - bb) Schulungen [Seite 217]
7.4.1.4.2.3 - cc) Mitarbeiterkontrollen [Seite 218]
7.4.1.4.2.3.1 - (1) Datenabgleiche (»Screenings«) [Seite 218]
7.4.1.4.2.3.1.1 - (a) Zulässigkeit des Datenabgleichs [Seite 219]
7.4.1.4.2.3.1.2 - (b) Unzulässigkeit des Datenabgleichs [Seite 220]
7.4.1.4.2.3.1.3 - (c) Bewertung [Seite 220]
7.4.1.4.2.3.1.3.1 - (aa) Grundrechtseingriff durch jegliche Treffer [Seite 220]
7.4.1.4.2.3.1.3.2 - (bb) Vergleich mit Antiterrorlisten-Abgleichen [Seite 221]
7.4.1.4.2.3.1.3.3 - (cc) Fazit [Seite 224]
7.4.1.4.2.3.2 - (2) Stichproben [Seite 226]
7.4.1.4.2.4 - dd) Hinweisgebersysteme [Seite 227]
7.4.1.4.2.5 - ee) Fazit zur Zulässigkeit präventiver Compliance-Maßnahmen [Seite 231]
7.4.1.4.3 - c) Konzerninterne Übermittlungen zu Compliance-Zwecken [Seite 232]
7.4.1.4.3.1 - aa) Übermittlungen von der Konzernmutter an eine Tochtergesellschaft [Seite 233]
7.4.1.4.3.1.1 - (1) Übermittlung zur Ermöglichung einer Compliance-Maßnahme [Seite 233]
7.4.1.4.3.1.2 - (2) Übermittlung nach Abschluss der Durchführung einer Compliance-Maßnahme [Seite 234]
7.4.1.4.3.2 - bb) Übermittlungen von einer Tochtergesellschaft an die Konzernmutter [Seite 235]
7.4.1.4.3.2.1 - (1) Übermittlung zur Ermöglichung einer Compliance-Maßnahme [Seite 235]
7.4.1.4.3.2.2 - (2) Übermittlung nach Abschluss der Durchführung einer Compliance-Maßnahme [Seite 237]
7.4.1.4.3.3 - cc) Fazit zur Zulässigkeit konzerninterner Übermittlungen zu Compliance-Zwecken [Seite 240]
7.4.1.5 - 5. Rechtfertigung durch Betriebsvereinbarung [Seite 241]
7.4.1.6 - 6. Fazit bzgl. der datenschutzrechtlichen Zulässigkeit der Compliance-Vorgänge innerhalb eines Konzerns [Seite 243]
7.4.2 - II. Übermittlung pbD an Gerichte und Behörden [Seite 245]
7.4.2.1 - 1. Grundsatzproblem: Freiwillig versus Verpflichtung [Seite 246]
7.4.2.2 - 2. Mögliche Ermächtigungsgrundlagen für eine Übermittlung an staatliche Einrichtungen [Seite 246]
7.4.2.2.1 - a) Einwilligung [Seite 246]
7.4.2.2.2 - b) § 32 I BDSG [Seite 247]
7.4.2.2.3 - c) § 28 I 1 Nr. 2 BDSG [Seite 248]
7.4.2.2.4 - d) § 28 II BDSG [Seite 249]
7.4.2.2.4.1 - aa) § 28 II Nr. 1 i.V.m. § 28 I 1 Nr. 2 BDSG [Seite 249]
7.4.2.2.4.2 - bb) § 28 II Nr. 2 BDSG [Seite 250]
7.4.2.2.4.2.1 - (1) Kein schutzwürdiges Interesse des Betroffenen [Seite 250]
7.4.2.2.4.2.2 - (2) § 28 II Nr. 2 a BDSG [Seite 252]
7.4.2.2.4.2.3 - (3) § 28 II Nr. 2 b Alt. 2 BDSG [Seite 253]
7.4.2.2.5 - e) Ergebnis bzgl. Übermittlung an öffentliche Stellen [Seite 254]
7.4.3 - III. Datenweitergabe an Dritte [Seite 255]
7.4.4 - IV. Änderungen aufgrund der DSGVO [Seite 257]
7.4.4.1 - 1. Einwilligung des Betroffenen [Seite 257]
7.4.4.1.1 - a) Voraussetzungen im Einzelnen [Seite 258]
7.4.4.1.1.1 - aa) Freiwilligkeit [Seite 258]
7.4.4.1.1.2 - bb) Vorherige Information [Seite 260]
7.4.4.1.1.3 - cc) Form [Seite 260]
7.4.4.1.2 - b) Zwischenergebnis [Seite 261]
7.4.4.2 - 2. Gesetzliche Ermächtigungsgrundlagen [Seite 262]
7.4.4.2.1 - a) Art. 6 I lit. b DSGVO [Seite 262]
7.4.4.2.2 - b) Art. 6 I lit. c DSGVO [Seite 263]
7.4.4.2.3 - c) Art. 6 I lit. d DSGVO [Seite 264]
7.4.4.2.4 - d) Art. 6 I lit. e DSGVO [Seite 264]
7.4.4.2.5 - e) Art. 6 I lit. f Hs. 1 DSGVO [Seite 266]
7.4.4.2.5.1 - aa) Anerkennung eines berechtigten Interesses gegenüber internen Ermittlungen? [Seite 267]
7.4.4.2.5.2 - bb) Konzernprivileg durch Erwägungsgründe? [Seite 268]
7.4.4.2.5.2.1 - (1) Art und Weise dieser »Privilegierung« im Rahmen des Entstehungsprozesses der DSGVO [Seite 268]
7.4.4.2.5.2.2 - (2) Bewertung [Seite 269]
7.4.4.2.6 - f) Öffnungsklausel [Seite 271]
7.4.4.2.7 - g) Zweckänderung [Seite 275]
7.4.4.2.7.1 - aa) Vereinbarkeit der Zwecke [Seite 276]
7.4.4.2.7.2 - bb) Gesetzliche Rechtfertigung der Zweckänderung [Seite 277]
7.4.4.2.7.3 - cc) Zwischenergebnis [Seite 279]
7.4.4.3 - 3. Änderung im Rahmen von Auftragsdatenverarbeitungen [Seite 280]
7.4.4.4 - 4. Zwischenfazit [Seite 281]
7.5 - E. Besonderheiten betreffend Übermittlungen ins Ausland [Seite 282]
7.5.1 - I. Notwendigkeit einer »zwei-stufigen Prüfung« bei Auslandsberührung [Seite 282]
7.5.2 - II. Voraussetzungen der zweiten Prüfungsstufe [Seite 283]
7.5.2.1 - 1. Auslandsübermittlung innerhalb des Konzernverbundes [Seite 283]
7.5.2.1.1 - a) Voraussetzungen für Übermittlungen in andere EU- oder EWR-Staaten [Seite 284]
7.5.2.1.2 - b) Voraussetzungen für Übermittlung in Drittländer [Seite 284]
7.5.2.1.2.1 - aa) Angemessenes Datenschutzniveau [Seite 285]
7.5.2.1.2.1.1 - (1) Europarechtskonforme Ausweitung durch den deutschen Gesetzgeber? [Seite 285]
7.5.2.1.2.1.2 - (2) Kriterien eines angemessenen Datenschutzniveaus [Seite 287]
7.5.2.1.2.1.3 - (3) Feststellung eines angemessenen Datenschutzniveaus [Seite 288]
7.5.2.1.2.1.3.1 - (a) Weiße Liste der EU-Kommission [Seite 289]
7.5.2.1.2.1.3.2 - (b) Sonderfall »Safe Harbor« [Seite 291]
7.5.2.1.2.1.3.3 - (c) EU-U.S. Privacy Shield [Seite 293]
7.5.2.1.2.1.4 - (4) Zwischenergebnis bzgl. der Voraussetzung eines angemessenen Datenschutzniveaus [Seite 295]
7.5.2.1.2.2 - bb) Vorliegen eines Ausnahmetatbestandes nach § 4c I 1 BDSG [Seite 295]
7.5.2.1.2.2.1 - (1) § 4c I 1 Nr. 1 BDSG: Einwilligung [Seite 296]
7.5.2.1.2.2.2 - (2) § 4c I 1 Nr. 2 BDSG: Erforderlichkeit zur Erfüllung eines Vertrags mit dem Betroffenen [Seite 297]
7.5.2.1.2.2.3 - (3) § 4c I 1 Nr. 3 BDSG: Erforderlichkeit zur Erfüllung eines Vertrags mit einem Dritten im Interesse des Betroffenen [Seite 298]
7.5.2.1.2.2.4 - (4) § 4c I 1 Nr. 4 Alt. 1 BDSG: Erforderlichkeit zur Wahrung öffentlicher Interessen [Seite 298]
7.5.2.1.2.2.5 - (5) § 4c I 1 Nr. 4 Alt. 2 BDSG: Erforderlichkeit zur Geltendmachung von Rechtsansprüchen vor Gericht [Seite 298]
7.5.2.1.2.2.6 - (6) § 4c I 1 Nr. 5 BDSG: Erforderlichkeit zur Wahrung lebenswichtiger Interessen [Seite 300]
7.5.2.1.2.2.7 - (7) § 4c I 1 Nr. 6 BDSG: Übermittlung aus öffentlichen Registern [Seite 300]
7.5.2.1.2.2.8 - (8) Fazit bzgl. dem Eingreifen eines Ausnahmetatbestandes [Seite 300]
7.5.2.1.2.3 - cc) Genehmigung nach § 4c II 1 BDSG [Seite 301]
7.5.2.1.2.3.1 - (1) Eigene Vertragsklauseln [Seite 302]
7.5.2.1.2.3.2 - (2) EU-Standardvertragsklauseln [Seite 303]
7.5.2.1.2.3.2.1 - (a) Arten von Standardvertragsklauseln [Seite 304]
7.5.2.1.2.3.2.2 - (b) Anwendbarkeit Set II-Klauseln auf Arbeitnehmerdaten [Seite 306]
7.5.2.1.2.3.2.3 - (c) Standardvertragsklauseln als Mehrparteienvertrag [Seite 307]
7.5.2.1.2.3.2.4 - (d) Auswirkungen des »Schrems«-Urteils auf Standardvertragsklauseln [Seite 311]
7.5.2.1.2.3.3 - (3) Binding Corporate Rules [Seite 313]
7.5.2.1.2.3.3.1 - (a) Keine Genehmigungspflicht der auf BCR basierenden Übermittlungen [Seite 315]
7.5.2.1.2.3.3.2 - (b) Auswirkungen des »Schrems«-Urteils auf BCR [Seite 317]
7.5.2.1.2.3.3.3 - (c) Rechtsform der BCR [Seite 318]
7.5.2.1.2.3.4 - (4) Bewertung der unterschiedlichen Garantien i.S.d. § 4c II 1 BDSG [Seite 322]
7.5.2.1.3 - c) Fazit zu den Erfordernissen der »zweiten Stufe« bei konzerninternen Datenübermittlungen [Seite 324]
7.5.2.1.4 - d) Sonderproblem: Transnationaler Transfer zwischen unselbständigen Unternehmensteilen [Seite 325]
7.5.2.1.5 - e) Sonderproblem: Datenimport [Seite 326]
7.5.2.1.6 - f) Sonderproblem: Rücktransport pbD in Drittstaat, wenn einziger Bezug zu Deutschland der Sitz des Datenbankbetreibers ist [Seite 327]
7.5.2.2 - 2. Übermittlung an öffentliche Stellen im Ausland [Seite 330]
7.5.2.2.1 - a) Vorrang spezieller Gesetze und Vereinbarungen [Seite 330]
7.5.2.2.2 - b) Zulässigkeit der Übermittlung nach BDSG [Seite 331]
7.5.2.2.2.1 - aa) Übermittlungen innerhalb Europa bzw. innerhalb des EWR [Seite 332]
7.5.2.2.2.1.1 - (1) Voraussetzung des § 4b I BDSG: Tätigkeit im Anwendungsbereich des Rechts der EG [Seite 332]
7.5.2.2.2.1.2 - (2) Zulässigkeit nach § 4b II 1, 2 BDSG [Seite 333]
7.5.2.2.2.2 - bb) Übermittlung in Drittländer [Seite 334]
7.5.2.2.3 - c) Fazit und Handlungsempfehlung [Seite 336]
7.5.2.3 - 3. Übermittlung an sonstige Dritte [Seite 337]
7.5.3 - III. Änderung der Zulässigkeit auf zweiter Stufe aufgrund der DSGVO [Seite 339]
7.5.3.1 - 1. Allgemeines [Seite 339]
7.5.3.2 - 2. Angemessenheitsentscheidung der EU-Kommission [Seite 339]
7.5.3.3 - 3. Garantien nach der DSGVO [Seite 341]
7.5.3.3.1 - a) Individuelle Vertragsklauseln [Seite 341]
7.5.3.3.2 - b) Standardvertragsklauseln [Seite 341]
7.5.3.3.3 - c) Binding Corporate Rules [Seite 342]
7.5.3.3.4 - d) Sonstige [Seite 343]
7.5.3.4 - 4. Ausnahmen [Seite 343]
7.5.3.5 - 5. Übermittlung an öffentliche Stellen [Seite 345]
7.5.3.6 - 6. Fazit zur Änderung der Anforderungen an den internationalen Datentransfer durch die DSGVO [Seite 346]
7.6 - F. Nebenpflichten der Compliance [Seite 348]
7.6.1 - I. Löschpflicht [Seite 348]
7.6.1.1 - 1. Nach § 35 BDSG [Seite 348]
7.6.1.2 - 2. Änderung aufgrund der DSGVO [Seite 351]
7.6.2 - II. Benachrichtigungspflicht [Seite 353]
7.6.2.1 - 1. Zeitpunkt der Benachrichtigungspflicht [Seite 354]
7.6.2.2 - 2. Ausnahmen von der Benachrichtigungspflicht [Seite 354]
7.6.2.3 - 3. Änderung aufgrund der DSGVO [Seite 356]
7.6.2.3.1 - a) Zeitpunkt der Benachrichtigung [Seite 356]
7.6.2.3.2 - b) Ausnahmen von der Benachrichtigungspflicht [Seite 357]
7.6.2.3.3 - c) Fazit [Seite 359]
7.6.3 - III. Auskunftspflicht [Seite 359]
7.6.3.1 - 1. Inhalt der Pflicht nach § 34 BDSG [Seite 359]
7.6.3.2 - 2. Änderung aufgrund der DSGVO [Seite 360]
7.6.4 - IV. Direkterhebungsgrundsatz [Seite 362]
7.6.5 - V. Zusätzliche Voraussetzungen einer »konzerninternen Compliance-Datenbank« [Seite 363]
7.6.5.1 - 1. Anwendbarkeit der § 10 I bis IV BDSG bei »Verbundsdatenbanken« [Seite 364]
7.6.5.2 - 2. Notwendigkeit einer spezifischen Interessenabwägung [Seite 364]
7.6.5.3 - 3. Änderung aufgrund der DSGVO [Seite 366]
7.6.6 - VI. Widerspruchsrecht nach Art. 21 I DSGVO [Seite 367]
8 - Sechstes Kapitel: Abschließende Zusammenfassung und Bewertung [Seite 368]
8.1 - A. Bewertung der Voraussetzungen für eine Compliance-Abteilung [Seite 368]
8.1.1 - I. Beantwortung der aufgestellten Thesen [Seite 368]
8.1.1.1 - 1. Das Datenschutzrecht schränkt die Arbeit einer Compliance-Abteilung in einem Konzern nicht ein. [Seite 368]
8.1.1.1.1 - a) Die Compliance-Pflicht [Seite 368]
8.1.1.1.2 - b) Anwendbarkeit des Datenschutzrechts [Seite 369]
8.1.1.1.3 - c) Mögliche datenschutzrechtliche Ermächtigungsgrundlagen [Seite 371]
8.1.1.1.3.1 - aa) Einwilligung [Seite 371]
8.1.1.1.3.2 - bb) Gesetz [Seite 371]
8.1.1.1.3.3 - cc) Betriebsvereinbarung [Seite 372]
8.1.1.2 - 2. Die Grenzen, die der Datenschutz einer Compliance-Abteilung aufgibt, sind in jedem Konzern identisch, unabhängig davon ob es sich um einen Konzern handelt, der nur deutschlandweit, EU-weit oder auch weltweit agiert. [Seite 373]
8.1.1.3 - 3. Es können klare Vorgaben gegeben werden, wie die Compliance-Abteilung eines Konzerns zu agieren hat, um dem Datenschutz gerecht zu werden. [Seite 374]
8.1.1.3.1 - a) Interessenabwägung bzgl. Compliance-Maßnahmen [Seite 375]
8.1.1.3.1.1 - aa) Kategorisierung der untersuchten repressiven Maßnahmen [Seite 376]
8.1.1.3.1.2 - bb) Kategorisierung der untersuchten präventiven Maßnahmen [Seite 377]
8.1.1.3.2 - b) Interessenabwägung bzgl. eines konzerninternen Datentransfers zu Compliance-Zwecken [Seite 378]
8.1.1.4 - 4. Ein Unternehmen bzw. ein Konzern hat im Falle eines Verstoßes gegen das Datenschutzrecht keine ernsten Folgen zu erwarten. [Seite 380]
8.1.1.5 - 5. Aufgrund der DSGVO wird sich die Situation grundlegend ändern. [Seite 382]
8.1.1.5.1 - a) Erweiterter Geltungsbereich [Seite 382]
8.1.1.5.2 - b) Änderungen auf »erster Stufe« [Seite 383]
8.1.1.5.3 - c) Änderungen auf »zweiter Stufe« [Seite 384]
8.1.1.5.4 - d) Bußgeldrahmen [Seite 385]
8.1.1.5.5 - e) Fazit [Seite 386]
8.1.2 - II. Beeinflussung der Verhältnismäßigkeit über konzerninterne Vereinbarungen [Seite 386]
8.1.3 - III. Zusammenfassende Empfehlung für die Praxis [Seite 387]
8.2 - B. Bewertung der Gesetzesregelung aktuell und im Hinblick auf die DSGVO [Seite 389]
8.2.1 - I. Generalklausel als Ermächtigungsgrundlage [Seite 389]
8.2.2 - II. Konzernprivileg durch die Rechtsfolgen nach Art. 83 DSGVO [Seite 391]
8.2.3 - III. Zusammenfassendes Fazit zu den Datenschutzregelungen [Seite 394]
9 - Literaturverzeichnis [Seite 397]