Regulierte Selbstregulierung im europäischen Datenschutzrecht

Name: Regulierte Selbstregulierung im europäischen Datenschutzrecht
Brand: Mohr Siebeck
Price: 99.0 EUR
Availability: OnlineOnly

Verena Stürmer(Autor*in)

Mohr Siebeck (Verlag)

1. Auflage

Erschienen im Mai 2022

LII, 469 Seiten

E-Book

PDF mit Adobe-DRM

Systemvoraussetzungen

978-3-16-161235-0 (ISBN)

99,00 €inkl. 7% MwSt.

Systemvoraussetzungen

für PDF mit Adobe-DRM

E-Book Einzellizenz

Als Download verfügbar

Beschreibung

Weitere Details

Weitere Ausgaben

Person

Inhalt

Cover
Titel
Vorwort
Inhaltsübersicht
Inhaltsverzeichnis
Abkürzungsverzeichnis
Teil 1: Einführung
§ 1 Regulierte Selbstregulierung als Antwort auf beobachtete aktuelle Herausforderungen des Datenschutzes
§ 2 Ziele der Untersuchung
§ 3 Gegenstand der Untersuchung und Eingrenzung
A. Selbstregulierung und Steuerungstheorie
B. Referenzgebiet europäisches Datenschutzrecht
§ 4 Gang der Untersuchung
Teil 2: Grundlagen der konzeptionellen Erfassung der regulierten Selbstregulierung im europäischen Datenschutzrecht
§ 5 Erweiterte steuerungstheoretische Perspektive als analytischer Rahmen
A. Die Steuerungsdiskussion der Sozialwissenschaften
I. Steuerungsdiskussion als Antwort auf die Beobachtung einer Krise des Staates
II. Der systemorientierte Ansatz
1. Steuerung nach dem Gesellschaftsbild der Systemtheorie
2. Konsequenzen für die Möglichkeit einer rechtlichen Steuerung der Gesellschaft
III. Empirische und theoretische Einwände gegen den systemorientierten Ansatz
1. Fehlende empirische Abbildbarkeit des Steuerungspessimismus
2. Theoretische Schwachstellen des systemorientierten Ansatzes
IV. Der akteurszentrierte Ansatz
1. Steuerung als Interaktion zwischen Steuerungssubjekt und -objekt
2. Konsequenzen für die Möglichkeiten und die Art der rechtlichen Steuerung
V. Ergänzung des akteurszentrierten Ansatzes durch die "Governance" Perspektive
1. Die Limitationen der steuerungstheoretischen Fokussierung von Steuerungssubjekt und -objekt
2. Die Perspektivenverschiebung der Governance-Forschung
3. Governance als Handlungskoordination durch Regelungsstrukturen
B. Rechtswissenschaftliche Rezeption der Steuerungsdiskussion und Konsequenzen für die Untersuchung eines Konzeptes regulierter Selbstregulierung
I. Regulierte Selbstregulierung als Produkt der Steuerungstheorie
II. Die prinzipielle Überlegenheit der steuerungstheoretischen (akteurszentrierten) Perspektive
III. Chancen der Perspektivenerweiterung durch die Anknüpfung an Regelungsstrukturen der Governance Perspektive
IV. Folgen für die Untersuchung: Teilweise Zugrundelegung einer erweiterten steuerungstheoretischen Perspektive
§ 6 Grundlagen der konzeptionellen Erfassung der regulierten Selbstregulierung im europäischen Datenschutzrecht
A. Ausgangspunkt: Die Möglichkeiten der Beteiligung Privater am Vollzug von Unionsrecht als Wahrnehmung öffentlicher Aufgaben
I. Der Begriff des "Privaten"
1. Mögliche Abgrenzungsmerkmale zur Unterscheidung Privater vom Staat
2. Definition anhand der organisatorischen Zuordnung im Vorfeld der Beteiligung
II. Der Begriff der öffentlichen Aufgabe und ihre Wahrnehmung durch Staat und Private
1. Definition der öffentlichen Aufgabe in Abgrenzung zur Staatsaufgabe
2. Die Wahrnehmung von öffentlichen Aufgaben und Staatsaufgaben durch Private
a) Selbstständige Wahrnehmung von Staatsaufgaben durch Private: Beleihung
b) Teilnahme Privater an der Wahrnehmung von Staatsaufgaben: Verwaltungshilfe
c) Wahrnehmung öffentlicher Aufgaben durch Private: weitere Beteiligungsformen denkbar
III. Die Erweiterung im supranationalen Kontext: Die Wahrnehmung öffentlicher Aufgaben durch die EU, die Mitgliedstaaten und Private
1. Der Private im supranationalen Kontext
2. Die Aufgabenverteilung zwischen Europäischer Union und den Mitgliedstaaten
3. Die Beteiligung Privater am Vollzug von Unionsrecht
a) Selbstständige Wahrnehmung einer Unions- oder Staatsaufgabe: Übertragung von unionsweiten oder staatlichen Hoheitsbefugnissen oder originäre Zuweisung unionsweiter Hoheitsbefugnisse
b) Teilnahme an der Wahrnehmung von Unions- oder Staatsaufgaben durch Einschaltung in den direkten oder indirekten Vollzug oder Agieren als autonome, privatrechtlich handelnde Vollzugsinstanzen
IV. Zwischenergebnis: Beteiligung in Ausübung von Staats- oder Unionsgewalt, durch Einschaltung in den direkten oder indirekten Vollzug oder als autonome, privatrechtlich agierende Vollzugsinstanz denkbar
B. Anwendung auf das Referenzgebiet: Möglichkeiten der Beteiligung Privater am Vollzug des europäischen Datenschutzrechts als Wahrnehmung der öffentlichen Aufgabe Datenschutz
I. Datenschutz als öffentliche Aufgabe
1. Grundrechtliche Verankerung des Datenschutzes
2. Binnenmarktbezug des Datenschutzes
II. Datenschutz als Unionsaufgabe und Staatsaufgabe
III. Die Beteiligung Privater am Vollzug europäischen Datenschutzrechts
IV. Ergänzung für den europäischen Datenschutz: Die Beteiligung im Rahmen der regulierten Selbstregulierung muss sich vom Selbstdatenschutz unterscheiden
C. Das Steuerungskonzept der regulierten Selbstregulierung als eine bestimmte Form der Beteiligung Privater an der Wahrnehmung öffentlicher Aufgaben
I. Einsatzbereiche und Beispiele regulierter Selbstregulierung
1. Rechtskonkretisierung
2. Rechtsdurchsetzung
II. Konzeptionelle Erfassung aus steuerungstheoretischer Perspektive
1. Die Grundidee: Überformung privater Interessenwahrnehmung zur Erreichung hoheitlich definierter Steuerungsziele
2. Die Steuerungsleistung des Hoheitsträgers: Strukturelle Steuerung der Regelungs- und Kontrolltätigkeit privater Instanzen
a) Die Instrumentalisierung Privater zu Regelungs- und Kontrollinstanzen
b) Die Steuerung ihrer Regelungs- und Kontrolltätigkeit durch rechtliche Rahmenvorgaben und hoheitliche Überwachungstätigkeit
aa) Steuerung der Organisation und des Verfahrens der privaten Regelungs- oder Kontrollinstanzen
bb) Ergänzende Steuerung der Gesetzesadressaten hinsichtlich der Teilnahme an Selbstregulierungsprozessen
cc) Auslagerung der Determination und Durchsetzung materieller Verhaltensmaßstäbe an die Privaten
c) Die hoheitliche Rezeption der Selbstregulierung als Schnittstelle zur parallel stattfindenden direkten Verhaltenssteuerung durch regulatives Recht
3. Die Funktion des Beitrags der Privaten: Effektivere Determination und Durchsetzung materieller Verhaltensmaßstäbe infolge autonomer Interessenwahrnehmung
a) Erhöhung der Steuerungsfähigkeit des Staates bzw. der EU
b) Erhöhung der Steuerbarkeit der Gesellschaft durch Nutzung der spezifischen Handlungsrationalität des privaten Sektors
c) Überschneidungen und Divergenzen mit dem systemtheoretischen Konzept der Kontextsteuerung durch reflexives Recht
4. Die Folgen der Verschränkung hoheitlicher Steuerung und autonomer Interessenwahrnehmung
III. Definition der regulierten Selbstregulierung
1. Begriffswahl "regulierte Selbstregulierung"
2. Definitionsversuche des übergeordneten Begriffs der "Regulierung"
3. Der Begriff der "Selbstregulierung"
4. Die Regulierung der Selbstregulierung
5. Ergebnis: Definition der regulierten Selbstregulierung
D. Erscheinungsformen der regulierten Selbstregulierung im europäischen Datenschutzrecht
I. Spezifizierung der Definition der regulierten Selbstregulierung für das europäische Datenschutzrecht
1. Gesetzesadressaten: Verantwortlicher und Auftragsverarbeiter
2. Relevante Hoheitsträger: Nationale Aufsichtsbehörden, Art. 29-Datenschutzgruppe bzw. Europäischer Datenschutzausschuss, Europäische Kommission
3. Zwischenergebnis
II. Instrumente der regulierten Selbstregulierung unter der DSRL/ dem BDSG aF
1. Verhaltensregeln, § 38a BDSG aF, Art. 27 DSRL
2. Datenschutzaudit, § 9a BDSG aF
3. Verbindliche Unternehmensregelungen (Binding Corporate Rules),§ 4c Abs. 2 S. 1 Hs. 2 BDSG aF, Art. 26 Abs. 2 DSRL
III. Instrumente der regulierten Selbstregulierung unter der DS-GVO
1. Verhaltensregeln, Art. 40 f. DS-GVO
2. Zertifizierung, Art. 42 f. DS-GVO
3. Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules), Art. 47 DS-GVO
IV. Zusammenfassung der Erscheinungsformen im Referenzgebiet des europäischen Datenschutzrechts
Teil 3: Grundlagen der rechtsdogmatischen Untersuchung von Selbstregulierungsinstrumenten des europäischen Datenschutzrechts
§ 7 Rechtliche Einordnung des Handelns der Privaten im Rahmen der Selbstregulierung
A. Verwaltungsrechtliche Einordnung der Tätigkeit der Regelungs- und Kontrollinstanzen
I. Einordnung in das Spektrum der Beteiligungsformen
1. Übertragung bzw. Zuweisung von Hoheitsbefugnissen?
a) Einsatzbereich Rechtskonkretisierung: Keine Beleihung mit Rechtsetzungsmacht
b) Einsatzbereich Rechtsdurchsetzung: Übertragung bzw. Zuweisung von Hoheitsbefugnissen gegenüber Dritten?
aa) Einordnung nach dem Konzept der regulierten Selbstregulierung: Typischerweise keine Übertragung bzw. Zuweisung von Hoheitsbefugnissen an Kontrollinstanzen
bb) Erarbeitung von Abgrenzungskriterien für die spätere rechtsdogmatische Untersuchung
(1) Keine Übertragung der von den Unionsorganen ausgeübten Hoheitsbefugnisse in den hier relevanten Anwendungsfällen
(2) Übertragung staatlicher Hoheitsbefugnisse?
(a) Die grundsätzlich maßgeblichen Kriterien der Abgrenzung
(aa) Rechtsprechung des EuGH
(bb) Deutsche Rechtsprechung
(aaa) Ungeeignetheit des früheren Abstellens auf den Umfang staatlichen Einflusses
(bbb) Abstellen auf den Zusammenhang privaten Handelns mit der Verwaltungstätigkeit einer Behörde in jüngeren Entscheidungen
(b) Übertragung auf die Tätigkeit als Kontrollinstanz der regulierten Selbstregulierung
(3) Originäre Zuweisung unionsweiter Hoheitsbefugnisse ("neue europäische Verwaltungsstruktur")?
(a) Mittelbare, über vertragliche Vereinbarungen vermittelte Zuweisung nach Röhl
(b) Kritik
(c) Unmittelbare Zuweisung durch die Verordnung als entscheidendes Kriterium
c) Ergebnis: Typischerweise keine Übertragung bzw. Zuweisung von Hoheitsbefugnissen im Einsatzbereich der Rechtskonkretisierung und -durchsetzung
2. Haftungsrechtliche Zurechenbarkeit des Handelns der Regelungsund Kontrollinstanzen zum Staat bzw. der EU?
a) Exkurs: Voraussetzungen der haftungsrechtlichen Zurechnung des Handelns Privater
b) Einordnung nach dem Konzept der regulierten Selbstregulierung: Typischerweise keine haftungsrechtliche Zurechenbarkeit
c) Erarbeitung von Abgrenzungskriterien für die spätere rechtsdogmatische Untersuchung
d) Ergebnis: Typischerweise keine haftungsrechtliche Zurechenbarkeit
II. Die Verantwortung des Staates bzw. der EU im Rahmen regulierter Selbstregulierung
1. Die Verantwortungsstufen der Erfüllungs-, Gewährleistungsund Auffangverantwortung im Kontext der Beteiligung Privater an der Aufgabenwahrnehmung
2. Einordnung der Rolle des Staates bzw. der EU nach dem Konzept der regulierten Selbstregulierung
3. Ergebnis: Gewährleistungs- und Auffangverantwortung des Staates bzw. der EU für die private Aufgabenwahrnehmung und davon zu trennende Verantwortung für die Rezeption der Ergebnisse der Selbstregulierung
III. Regulierte Selbstregulierung und Privatisierung
1. Vorbereitende Eingrenzungen
2. Die grundlegenden Privatisierungsformen: formelle, materielle, funktionale und Verfahrensprivatisierung
3. Einordnung der Beteiligung Privater nach dem Konzept der regulierten Selbstregulierung als materielle (Teil-)Privatisierung und Verfahrensprivatisierung
IV. Verhältnis zur Indienstnahme Privater zur Erfüllung öffentlicher Aufgaben: Bestehen von Überschneidungen
V. Zusammenfassung und Einführung der Rechtsfiguren der "Regelsetzer der Selbstregulierung" (RdS) und "unabhängigen Kontrollstellen der Selbstregulierung" (UKS)
B. Die internen und externen (Rechts-)Wirkungen im Zusammenhang mit der Regelungs- und Kontrolltätigkeit der Regelsetzer und unabhängigen Kontrollstellen der Selbstregulierung
I. Mögliche (Rechts-)Wirkungen im Zusammenhang mit der Regelungstätigkeit der Regelsetzer der Selbstregulierung
1. Begriff des Rechts und die Relevanz der Lehre von den Rechtsquellen
2. Die rechtliche Geltung privater Regeln als Voraussetzung der Entfaltung unmittelbarer rechtlicher Wirkungen
a) Anerkennung als privat gesetztes Recht durch hoheitlichen Geltungsbefehl
b) Verweisung und Inkorporation als hoheitlich gesetztes Recht
c) Private Regeln als Nichtrecht der sozialen Sphäre
3. Die Unterscheidung interner und externer (Rechts-)Wirkungen im Zusammenhang mit der Regelungstätigkeit
a) Interne (Rechts-)Wirkungen zwischen den Teilnehmern der Selbstregulierung
aa) Interne Rechtsverbindlichkeit bei rechtlicher Geltung als privat gesetztes Recht
bb) (Bloß) faktischer Befolgungsdruck
b) Externe (Rechts-)Wirkungen gegenüber privaten Dritten und dem öffentlichen Sektor
aa) Bindung der Regeladressaten: Externe Rechtsverbindlichkeit bei rechtlicher Geltung als privat bzw. hoheitlich gesetztes Recht
bb) Bindung im Rahmen der Anwendung hoheitlich gesetzten Rechts: Rechtliche Relevanz durch gesetzlich eröffnete oder autonome Rezeption
(1) Rezeption im Rahmen der Sachverhaltsfeststellung
(a) "Rezeption" durch Anknüpfung an die Existenz der privaten Regel oder eine Tatsache im Zusammenhang mit der Regel
(b) Beweisbezogene Rezeption technisch-wissenschaftlicher Standards in Abgrenzung zur Rezeption normativer Wertungen
(aa) Ablehnung der Qualifikation wertender technischer Anweisungen der Verwaltung als sog. "antizipierte" Sachverständigengutachten
(bb) Ablehnung beweisbezogener Auslegung von Rezeptionsklauseln mit "Vermutungswirkung" bei Regeln mit normativen Wertungen am Beispiel des § 342 Abs. 2 HGB
(2) Rezeption im Rahmen der Feststellung des Inhalts der infrage kommenden Rechtssätze
(a) Rezeption als normkonkretisierende Direktive bei rechtlicher Geltung der privaten Regeln als hoheitlich gesetztes Recht
(b) Rezeption als norminterpretierende Konkretisierungs- und Auslegungshilfen
(3) "Rezeption" im Rahmen der Feststellung der Rechtsfolgen
(4) Zusammenfassung
cc) Rechtliche Relevanz über die Bindungswirkung von Verwaltungsakten
(1) Abweichungsverbote nach deutschem Verwaltungsverfahrensrecht
(a) Abweichungsverbote gegenüber dem erlassenden Entscheidungsträger
(b) Abweichungsverbote gegenüber anderen Entscheidungsträgern
(2) Besonderheiten beim indirekten Vollzug von Unionsrecht?
(3) Zusammenfassung
4. Zusammenfassung der (Rechts-)Wirkungen privater Regeln
II. Mögliche (Rechts-)Wirkungen im Zusammenhang mit der Kontrolltätigkeit der unabhängigen Kontrollstellen der Selbstregulierung
1. Interne (Rechts-)Wirkungen
2. Externe (Rechts-)Wirkungen
a) Das Zusammenspiel zwischen privater Kontrolltätigkeit und hoheitlicher Rechtsdurchsetzung: (Teilweise) Ersetzung oder Ergänzung hoheitlicher Überwachung
aa) Aufnahmeüberwachung
bb) Ausübungsüberwachung
b) Mögliche Formen der Rezeption der Kontrolltätigkeit im Rahmen hoheitlicher Rechtsanwendung
3. Zusammenfassung der (Rechts-)Wirkungen im Zusammenhang mit der Kontrolltätigkeit
§ 8 Ausgewählte normative Vorgaben für die Ausgestaltung eines Konzeptes regulierter Selbstregulierung im europäischen Datenschutzrecht
A. Ermittlung des Prüfungsmaßstabs
I. Europäisches Verfassungsrecht als primärer Prüfungsmaßstab
1. Europäisches Primärrecht als grundsätzlicher Maßstab
2. Unionsgrundrechte auch als Maßstab der Kontrolle der Anwendung des Datenschutzrechts durch deutsche Hoheitsträger durch das BVerfG?
3. Europäisches Primärrecht auch als Maßstab der demokratischen Legitimation mitgliedstaatlicher Hoheitsträger?
II. Deutsches Verfassungsrecht als Integrationsschranke iSv Art. 23 Abs. 1 S. 3, 79 Abs. 3 GG hinsichtlich der demokratischen Legitimation deutscher Hoheitsträger
1. Die Grenzen des Anwendungsvorrangs des Unionsrechts aus der Sicht des BVerfG
2. Keine Prüfung anhand der Ultra-vires-Kontrolle und der Grundrechtskontrolle
3. Relevanz der Identitätskontrolle
4. Ergebnis: Berücksichtigung des Gebotes demokratischer Legitimation iSv Art. 20 Abs. 2 GG als Integrationsschranke
B. Normative Vorgaben zur Strukturierung und Begleitung der Regelungsund Kontrolltätigkeit der Privaten
I. Ausgangspunkt: Die Folgen der autonomen Wahrnehmung öffentlicher Aufgaben durch Private - Defizite im Vergleich zur Aufgabenwahrnehmung durch Hoheitsträger?
1. Ohne Weiteres eingreifende gemeinwohlsichernde Bindungen
a) Keine unmittelbare Anwendbarkeit des Rechtsstaats- und Demokratieprinzips
b) Keine Grundrechtsbindung iSv Art. 51 Abs. 1 S. 1 GrCh
c) Unmittelbare Bindung an die Grundfreiheiten
d) Ausschließlich privatrechtliche Haftung für (unions-)rechtswidriges Handeln gegenüber Dritten
aa) Keine haftungsrechtliche Zurechnung des Handelns Privater zum Staat bzw. der EU
bb) Privatrechtliche Haftung nach Maßgabe des nationalen Rechts
e) Rechtschutz Dritter vor den Zivilgerichten
2. Ergebnis: Defizite im Vergleich zur Aufgabenwahrnehmung durch Hoheitsträger
II. Lösungsstrategie 1: "Etatisierung" der Regelsetzer und unabhängigen Kontrollstellen der Selbstregulierung
1. Anknüpfungspunkt: Regelungs- und Kontrolltätigkeit selbst
2. Etatisierung der Privaten iSv Anwendung des öffentlichrechtlichen Rechtsregimes
3. Problem: Aufgabe herkömmlichen Verständnisses der Verfassungsprinzipien und Verfremdung der Handlungsrationalität des privaten Sektors
III. Lösungsstrategie 2: Ableitung einer Pflicht des Staates bzw. der EU zur Strukturierung und Begleitung der Aufgabenwahrnehmung durch Private
1. Anknüpfungspunkt: Handeln von Hoheitsträgern im Zusammenhang mit der Selbstregulierung
2. Normative Begründung einer Gewährleistungs- und Auffangverantwortung iSe Einstandspflicht des Hoheitsträgers für die Aufgabenwahrnehmung durch Private
a) Unionsgrundrechtliche Schutzpflichten
aa) Relevante Grundrechte und potentielle Pflichteninhalte
bb) Die Voraussetzungen und Rechtsfolgen unionsgrundrechtlicher und -grundfreiheitlicher Schutzpflichten
cc) Ableitbare Handlungsaufträge: Pflicht zur Beobachtung der Privaten und ggf. zu eigenhändigem Eingreifen in Abhängigkeit vom verbleibenden (parallelen) hoheitlichen Aktivitätsniveau
b) Demokratieprinzip
aa) Demokratieprinzip nach (supra-)nationalem Verständnis
bb) Hinreichendes Legitimationsniveau nach (supra-)nationalem Legitimationskonzept
(1) Legitimationskonzept des GG
(2) Legitimationskonzept des Unionsverfassungsrechts
cc) In der Literatur vertretene Ansätze für den rein nationalen Kontext
(1) Garantenstellung
(2) Staatliche Legitimationsverantwortung
(3) Strukturschaffungspflicht
dd) Schrittweise Herleitung unter Berücksichtigung der unionsrechtlichen Einbettung
(1) Entscheidender hoheitlicher Beitrag: Rezeption der Regelungs- und Kontrolltätigkeit
(2) Normative Begründung
(a) Kompensation legitimationsmindernden Einflusses Privater nach deutschem Verständnis
(b) Voraussetzung legitimationsfördernden Einflusses Privater aus unionsverfassungsrechtlicher Sicht
ee) Ergebnis: Statuierung organisations- und verfahrensbezogener Vorgaben als Voraussetzung legitimationsfördernder Wirkung und Kompensation privaten Einflusses auf die Rezeptionsentscheidung
c) Verantwortungsteilung zwischen der EU und den Mitgliedstaaten
C. Anforderungen höherrangigen Rechts an die Regulierung durch mitgliedstaatliche Behörden bei transnationaler oder unionsweiter Relevanz der Selbstregulierung
I. Modelle des indirekten Vollzugs
II. Legitimation transnationaler Verwaltungsentscheidungen
D. Zusammenfassung der ermittelten normativen Vorgaben
§ 9 Wirkdimension: Anforderungen an eine praktisch wirksame Ausgestaltung eines Konzeptes regulierter Selbstregulierung
A. Allgemeine Erwägungen zur Wirkdimension
I. Initiierung der Selbstregulierung
1. Hemmender Faktor: der mit der Beteiligung verbundene Aufwand
2. Fördernde Faktoren: Regelungsandrohung sowie ökonomische und rechtliche Vorteile
II. Strukturierung und Begleitung der Selbstregulierung
B. Methodengerechte Verwertung der gewonnenen Erkenntnisse im Rahmen der Untersuchung der DS-GVO
I. Im Rahmen nachvollziehender teleologischer Erwägungen: Teleologische Auslegung der DS-GVO
II. Im Rahmen gestaltender teleologischer Erwägungen: Rechtspolitische Bewertung der Ausgestaltung in der DS-GVO
§ 10 Zusammenfassung der in Teil 2 und 3 gewonnenen Erkenntnisse: Prüfmuster der rechtsdogmatischen Untersuchung einer Ausgestaltung des Konzeptes regulierter Selbstregulierung
Teil 4: Rechtsdogmatische Untersuchung und Bewertung der Umsetzung der regulierten Selbstregulierung im europäischen Datenschutzrecht
Abschnitt 1: DSRL/BDSG aF
§ 11 Nachvollzug der Auslegung der Instrumente unter der DSRL/ dem BDSG aF
A. Verhaltensregeln und Datenschutzaudit als allgemeine Selbstregulierungsinstrumente
I. Das Handeln der Privaten (Selbstregulierung)
1. Verhaltensregeln, § 38a BDSG aF, Art. 27 DSRL
a) Identifikation der relevanten Akteure: Berufsverbände und andere Vereinigungen sowie verantwortliche Stellen iSv § 3 Abs. 7 BDSG aF
b) Gegenstand und Maßstab der Regelungstätigkeit: Bereichsspezifische Präzisierung des geltenden Datenschutzrechts
2. Datenschutzaudit, § 9a BDSG aF
a) Identifikation der relevanten Akteure: Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen sowie unabhängige und zugelassene Gutachter
b) Gegenstand und Maßstab der Kontrolltätigkeit: Unterscheidung zwischen Produkt- und Verfahrensaudits
II. Die Regulierung der Selbstregulierung
1. Verhaltensregeln, § 38a BDSG aF, Art. 27 DSRL
a) Initiierung durch ökonomische und rechtliche Anreize
b) Strukturierung und Begleitung der Regelungstätigkeit durch "Anerkennung" iSv § 38a Abs. 2 BDSG aF bzw. eine Stellungnahme der Art. 29-Datenschutzgruppe iSv Art. 27 Abs. 3 S. 2 DSRL
aa) Regulierung einzelstaatlicher Verhaltensregeln durch eine "Anerkennung", § 38a Abs. 2 BDSG aF
(1) Rahmenvorgaben
(2) Durchsetzungsmechanismen
bb) Regulierung gemeinschaftlicher Verhaltensregeln durch eine Stellungnahme der Art. 29-Datenschutzgruppe, Art. 27 Abs. 3 S. 2 DSRL
(1) Durchsetzungsmechanismen
(2) Rahmenvorgaben
2. Datenschutzaudit, § 9a BDSG aF
a) Initiierung durch ökonomische Anreize
b) Strukturierung und Begleitung der Kontrolltätigkeit durch "Zulassung" eines unabhängigen Gutachters
III. Interne und externe (Rechts-)Wirkungen im Zusammenhang mit der Regelungs- und Kontrolltätigkeit
1. Einzelstaatliche deutsche Verhaltensregeln, Art. 27 DSRL, § 38a BDSG aF
a) Interne Wirkungen: Interne Rechtsverbindlichkeit nur bei privatrechtlicher Vereinbarung
b) Externe Wirkungen: "Selbstbindung" der zuständigen Aufsichtsbehörde
aa) Keine externe Rechtsverbindlichkeit "anerkannter" Verhaltensregeln für deren Regeladressaten
bb) Keine rechtliche Relevanz aufgrund einer gesetzlich eröffneten Rezeptionsentscheidung einer Behörde oder eines Gerichts
cc) Rechtliche Relevanz über die Bindungswirkung der Anerkennung?
2. Datenschutzaudit, § 9a BDSG aF, als Aliud zur aufsichtsbehördlichen Überwachung
IV. Zusammenspiel mit hoheitlicher Rechtsetzung und Rechtsdurchsetzung: kein enges Zusammenspiel bei Verhaltensregeln
Datenschutzaudit als isoliertes Wettbewerbsinstrument
V. Behördliche Kooperationsstrukturen und Geltungsbereich regulierender Verwaltungsakte
1. Einzelstaatliche Verhaltensregeln
2. Gemeinschaftliche Verhaltensregeln
B. BCR als besondere Selbstregulierungsinstrumente zur Ermöglichung von Drittstaatenübermittlungen (§§ 4b f. BDSG aF, Art. 25 f. DSRL)
I. Einordnung in den Gesamtzusammenhang: BCR als Instrumente zur Ermöglichung von Drittstaatenübermittlungen
1. Die Überwachung der Drittstaatenübermittlung unter der DSRL/ dem BDSG aF
2. BCR als Ausnahme iSv § 4c Abs. 2 S. 1 Hs. 2 BDSG aF (Art. 26 Abs. 2 DSRL)
II. Das Handeln der Privaten (Selbstregulierung)
1. Identifikation der relevanten Akteure
a) Regelungsinstanz: Unternehmensgruppe
b) Gesetzesadressat der §§ 4b f. BDSG aF: Verantwortliche übermittelnde Stelle iSv § 4b Abs. 5 BDSG aF
2. Gegenstand und Maßstab der Regelungstätigkeit: (Erstmalige) Schaffung eines angemessenen Datenschutzniveaus bei der Verarbeitung in Drittstaaten
a) BCR für Verantwortliche
b) PBCR für Auftragsdatenverarbeiter
III. Die Regulierung der Selbstregulierung
1. Initiierung durch Einbettung in einen hoheitlichen Überwachungsmechanismus
a) Fehlendes "Konzernprivileg" beim Datenaustausch innerhalb einer Unternehmensgruppe
b) Vorteilhaftigkeit von BCR im Vergleich zu den gesetzlichen Ausnahmen in § 4c Abs. 1 BGSG aF und den Standardvertragsklauseln iSv Art. 26 Abs. 4 DSRL
2. Mittelbare Strukturierung und Begleitung über die Genehmigung von Drittstaatenübermittlungen auf Grundlage von BCR
a) Der präventive Durchsetzungsmechanismus
b) Rahmenvorgaben: Materielles Schutzprogramm, Compliancemaßnahmen, Transparenz sowie interne und externe Rechtsverbindlichkeit
(1) Materielles Schutzprogramm
(2) Compliancemaßnahmen zur Sicherung der praktischen Wirksamkeit
(3) Transparenz
(4) Verbindlichkeit
(a) Interne Rechtsverbindlichkeit
(b) Externe Rechtsverbindlichkeit
(aa) Gegenüber Betroffenen
(bb) Gegenüber Aufsichtsbehörden
IV. Interne und externe (Rechts-)Wirkungen des privaten Handelns
1. Interne Rechtsverbindlichkeit entsprechend den öffentlichrechtlichen Rahmenvorgaben
2. Externe Wirkungen
a) Keine externe Rechtsverbindlichkeit gegenüber den materiellen Regeladressaten
b) Externe Rechtsverbindlichkeit gegenüber den Betroffenen und den Aufsichtsbehörden entsprechend den öffentlich-rechtlichen Rahmenvorgaben
V. Zusammenspiel mit hoheitlicher Rechtsetzung und Rechtsdurchsetzung
1. Zusammenspiel mit der Überwachung der Drittstaatenübermittlung
2. BCR als Wettbewerbsinstrument
VI. Behördliche Kooperationsstrukturen und Geltungsbereich regulierender Verwaltungsakte
1. Problematik und Trennung zwischen der Anerkennung von BCR und der Genehmigung von Übermittlungen
2. Die Anerkennung von BCR nach Durchführung eines informellen Koordinierungs- bzw. Mutual Recognition-Verfahrens auf mitgliedstaatenübergreifender Ebene
3. Die Genehmigung von Datenübermittlungen auf Grundlage von BCR durch die zuständige Aufsichtsbehörde
§ 12 Wirkdimension: Die praktische Wirksamkeit der Selbstregulierungsinstrumente unter der DSRL/dem BDSG aF
A. Verhaltensregeln, § 38a BDSG aF, Art. 27 DSRL
I. Einzelstaatliche Verhaltensregeln, § 38a BDSG aF
1. Nur zwei praktische Anwendungsfälle: Verhaltensregeln der Versicherungswirtschaft und GeoBusiness Code of Conduct
2. Erklärungsansätze für die geringe praktische Relevanz: unzureichende rechtliche Anreize, fehlende Bestimmtheit und Begrenzung inhaltlicher Mindestanforderungen sowie vergleichsweise hoher Verfahrensaufwand
II. Geringe praktische Relevanz gemeinschaftsweiter Verhaltensregeln
B. Datenschutzaudit, § 9a BDSG aF
I. Stützung des Wettbewerbsargumentes durch die ökonomische Theorie (Neue Institutionenökonomik, Vertragstheorie, Prinzipal- Agent-Theorie) unter gewissen Voraussetzungen
II. Keine verallgemeinerungsfähigen empirischen Erkenntnisse aus dem Forschungsgebiet der Ökonomie der Privatsphäre
C. BCR, § 4c Abs. 2 S. 1 BDSG aF, Art. 26 Abs. 2 DSRL
I. Praktischer Befund: Mit 131 abgeschlossenen Verfahren der Anerkennung vergleichsweise große praktische Relevanz
II. Hindernisse größerer praktischer Relevanz: vergleichsweise große(r) Verfahrensdauer und Verfahrensaufwand
§ 13 Ableitung von Anforderungen an eine praktisch wirksamere Ausgestaltung der regulierten Selbstregulierung im europäischen Datenschutzrecht
A. Hemmende Faktoren der Beteiligung der Regelungsinstanzen (und Kontrollinstanzen)
I. Übermäßige(r) Verfahrensaufwand und -dauer in Bezug auf regulierende Hoheitsakte
II. Fehlende Bestimmtheit und Begrenzung regulierender Rahmenvorgaben
B. Fördernde Faktoren der Beteiligung der Regelungsinstanzen (und Kontrollinstanzen) - ökonomische und/oder rechtliche Anreize
I. Ökonomische Vorteile des Datenschutzaudits unter gewissen Voraussetzungen durch ökonomische Theorie gestützt
II. Rechtliche Vorteile (insbesondere im Zusammenhang mit Verhaltensregeln und BCR): Einbettung in einen hoheitlichen Überwachungsmechanismus als besonders fördernder Faktor
Abschnitt 2: DS-GVO
§ 14 Der Grundsatz der Accountability als Grundlage eines übergeordneten hoheitlichen Überwachungsmechanismus der DS-GVO
A. Konzeptionelle Erfassung des Grundsatzes der "Accountability" im europäischen Datenschutzrecht
I. Allgemeines Begriffsverständnis im angelsächsischen Sprachraum
1. Die grundlegende Unterscheidung: Accountability als Tugend und als sozialer Mechanismus
2. Kernelemente von Accountability als sozialer Mechanismus: Accountability als Überwachungsmechanismus mit aktiver Kommunikationsleistung des Überwachungspflichtigen
3. Definition der Accountability als Überwachungsmechanismus zwischen einem rechenschaftspflichtigen und einem zur Rechenschaft ziehenden Akteur
4. Abgrenzung zu den Begriffen Transparenz, Kontrollierbarkeit und Verantwortung
II. Begriffsverständnis im Zusammenhang mit dem Datenschutz
1. Grundlegendes: Unterscheidung zwischen Accountability als allgemeiner Grundsatz und als Ansatz der Regulierung des Drittlandtransfers
2. Kernelemente des Accountability Begriffs im Datenschutzrecht
a) Der allgemeine Grundsatz der Accountability und seine gegenständliche Beschränkung auf Compliancemaßnahmen
aa) Wer ist der Akteur? (Who is accountable?)
bb) Wer ist der Akteur, der diesen zur Rechenschaft zieht? (To whom is he accountable?)
cc) Für welches Verhalten ist der Akteur rechenschaftspflichtig? (For what is he accountable?)
dd) Wie hat die Rechenschaftsablegung (der "account") auszusehen?
ee) Welche Konsequenzen sind vorgesehen? Welche Sanktionen können verhängt werden? Welche "Belohnungen" gibt es?
ff) Zusammenfassung
b) Accountability als alternativer Ansatz zur Regulierung des Drittlandtransfers mit Fokus auf die individuelle Empfängersituation
c) Zusammenfassung
III. Erscheinungsformen von Accountability unter der DSRL und in den Arbeitspapieren der Art. 29-Datenschutzgruppe
1. Accountability unter der DSRL: Verantwortungszuweisung, einzelne Compliancepflichten und erster Accountability Mechanismus zur Regulierung des Drittlandtransfers
2. Accountability in den Arbeitspapieren der Art. 29-Datenschutzgruppe
a) Statuierung eines allgemeinen Grundsatzes der Accountability ("Rechenschaftspflicht")
aa) Proaktive Compliancemaßnahmen
(1) Ebene 1: Grundlegende Rechtspflicht zur Ergreifung praktischer und wirksamer Maßnahmen und zum Nachweis der Ergreifung
(2) Ebene 2: Freiwillige Maßnahmen zur Ergänzung
bb) Reaktive Compliancemaßnahmen
b) Ausweitung von Accountability Mechanismen zur Ermöglichung von Drittlandtransfers
B. Der Grundsatz der Accountability in der DS-GVO
I. Der allgemeine Grundsatz der Accountability ("Rechenschaftspflicht"), Art. 5 Abs. 2 DS-GVO
1. Rechenschaftspflicht gegenüber der zuständigen Aufsichtsbehörde
a) Rechenschaftspflicht bei Verarbeitung durch den Verantwortlichen, Art. 5 Abs. 2, 24 Abs. 1, 2, 25, 30, 32, 35 f. DS-GVO
aa) Zuweisung der Verantwortlichkeit an den Verantwortlichen
bb) Gegenstand der Rechenschaftspflicht: Proaktive und reaktive Compliancemaßnahmen
(1) Auslegung als umfassende Pflicht zum Nachweis der Einhaltung des Datenschutzrechts bei jeder einzelnen Datenverarbeitung?
(2) Herleitung der gegenständlichen Beschränkung der Rechenschaftspflicht gem. Art. 5 Abs. 2 DS-GVO auf Compliancemaßnahmen
cc) "Risiko" und "Garantien" als zentrale Begriffe der Accountability nach der DS-GVO
dd) Systematik der Konkretisierungen des Art. 5 Abs. 2 DS-GVO in Bezug auf proaktive Compliancemaßnahmen
(1) Pflichten zur Ergreifung proaktiver Compliancemaßnahmen
(a) Allgemeine Rechtspflicht der "ersten Ebene", Art. 5 Abs. 2, 24 Abs. 1 DS-GVO
(b) Spezielle Rechtspflichten der "ersten Ebene", Art. 24 Abs. 2, 25, 32, 30, 35 f., 37 ff. DS-GVO
(aa) Policies, Art. 24 Abs. 2 DS-GVO
(bb) Umsetzungsmaßnahmen
(cc) Art. 25, 32 DS-GVO
(dd) Art. 35 DS-GVO
(ee) Art. 37-39 DS-GVO
(ff) Art. 30 DS-GVO
(gg) Überprüfungsmaßnahmen
(2) Pflichten zum Nachweis der Ergreifung proaktiver Compliancemaßnahmen
(a) Trennung von Compliance- und Nachweispflichten
(b) Entfaltung der Nachweispflichten
(aa) Identifikation
(bb) Rechtsnatur der Nachweispflichten: Materiellrechtliche Mitwirkungspflichten
(cc) Die Mittel der Nachweisführung
(3) Befugnisse der Aufsichtsbehörde bei Verletzung der Compliance- und oder Nachweispflichten
ee) Systematik der Konkretisierungen des Art. 5 Abs. 2 DS-GVO in Bezug auf reaktive Compliancemaßnahmen
b) Rechenschaftspflicht im Rahmen der Auftragsverarbeitung, Art. 28 f. DS-GVO: Unterscheidung externer Accountability des Verantwortlichen und interner Accountability des Auftragsverarbeiters
aa) Externe Accountability des Verantwortlichen
bb) Interne Accountability des Auftragsverarbeiters gegenüber dem Verantwortlichen
(1) Grundsatz: Interne Accountability gegenüber dem Verantwortlichen
(2) Sonderfall: Unterauftragsverarbeitung
cc) Keine externe Accountability des Auftragsverarbeiters
(1) Systematisierung in Bezug auf proaktive Compliancemaßnahmen
(a) Eigenständige Pflichten zur Ergreifung von proaktiven Maßnahmen: Umsetzungs- und Überprüfungsmaßnahmen nach Art. 32 Abs. 1, 2, 4, Art. 30 Abs. 2, 3, 4, Art. 37 Abs. 1 DS-GVO
(b) Keine umfassende Nachweispflicht des Auftragsverarbeiters
(2) Systematisierung in Bezug auf reaktive Compliancemaßnahmen
c) Verortung im aufsichtsbehördlichen Überwachungssystem der DS-GVO: Accountability Überwachung als eine der Überwachung der Einhaltung des Datenschutzrechts bei der einzelnen Verarbeitung vor- und nachgelagerte Überwachung
aa) Ausgangspunkt: Die Dreiteilung der Pflichten des Verantwortlichen
bb) Die Zweiteilung der datenschutzrechtlichen Überwachung in Accountability Überwachung und Überwachung der Einhaltung des Datenschutzrechts bei der Verarbeitung
2. Rechenschaftspflicht gegenüber der betroffenen Person
a) Vorfrage: Horizontale Wirkung des europäischen Datenschutzrechts
b) Rechenschaftspflicht des Verantwortlichen im Rahmen der Durchsetzung von Schadenersatzansprüchen, Art. 82 Abs. 3 DS-GVO
aa) Grundlagen der Haftung nach Art. 82 DS-GVO
bb) Der materielle Haftungsausschluss des Art. 82 Abs. 3 DS-GVO als Konkretisierung eines Grundsatzes der Accountability gegenüber der betroffenen Person
cc) "Verantwortlich" iSv Art. 82 Abs. 3 DS-GVO
(1) Ablehnung der Gleichsetzung von Verschulden und Verantwortlichkeit iSv Art. 82 Abs. 3 DS-GVO
(2) Insbesondere: Exkulpation bei Vorliegen höherer Gewalt
c) Einordnung der Art. 13-15 DS-GVO als Ausformung einer Rechenschaftspflicht des Verantwortlichen gegenüber der betroffenen Person?
d) Rechenschaftspflicht des Verantwortlichen im Falle der Verarbeitung auf Grundlage einer Einwilligung, Art. 7 Abs. 1 DS-GVO
e) Ergebnis: Ausformung in Art. 7 Abs. 1, 13-15, 82 Abs. 3 DS-GVO
II. Accountability als alternativer Ansatz zur Regulierung des Drittlandtransfers, Art. 46 Abs. 1, 2 DS-GVO
1. Identifikation der relevanten Vorschriften
2. Entfaltung der Accountability im Rahmen des Drittlandtransfers
a) Zuweisung der Verantwortlichkeit an den Verantwortlichen
b) Gegenstand der Überwachung: Garantien zur Sicherstellung eines angemessenen Datenschutzniveaus
c) Bestehen einer Pflicht zum Nachweis der geeigneten Garantien?
d) Befugnisse der Aufsichtsbehörde bei Verletzung der Nachweispflicht bzw. bei Fehlen geeigneter Garantien
III. Zusammenfassung
1. Der allgemeine Grundsatz der Accountability, Art. 5 Abs. 2 DS-GVO
a) Rechenschaftspflicht gegenüber der zuständigen Aufsichtsbehörde: Art. 5 Abs. 2, 24 Abs. 1, 2, 25, 28, 30, 32, 35 f. DS-GVO als inneres System proaktiver und reaktiver Compliance- sowie Nachweispflichten gegenüber der zuständigen Aufsichtsbehörde
b) Art. 7 Abs. 1, 13-15 und 82 Abs. 3 DS-GVO als Ausformung einer über die Vorschläge der Art. 29-Datenschutzgruppe hinausgehenden Rechenschaftspflicht gegenüber der betroffenen Person
2. Accountability als alternativer Ansatz zur Regulierung des Drittlandtransfers mit Fokus auf die individuelle Empfängersituation, Art. 46 Abs. 1, 2 DS-GVO
§ 15 Rechtsdogmatische Untersuchung der Instrumente der regulierten Selbstregulierung
A. Verhaltensregeln und Zertifizierung als allgemeine Selbstregulierungsinstrumente
I. Das Handeln der Privaten (Selbstregulierung)
1. Verhaltensregeln, Art. 40 f. DS-GVO
a) Identifikation und rechtliche Einordnung der Akteure: Vereinigungen als RdS, Überwachungsstellen als UKS und Verantwortliche/Auftragsverarbeiter als materielle Regel- und Gesetzesadressaten
aa) Regelungsinstanz: Verbände und andere Vereinigungen, die bestimmte Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, Art. 40 Abs. 2 DS-GVO, als Regelsetzer der Selbstregulierung
bb) Kontrollinstanz: Überwachungsstellen iSv Art. 41 DS-GVO als unabhängige Kontrollstellen der Selbstregulierung
cc) Adressaten der Regelungs- und Kontrolltätigkeit: Verantwortliche und Auftragsverarbeiter
b) Gegenstand und Maßstab der Regelungs- und Kontrolltätigkeit: Regelung datenschutzrechtlicher Pflichten nach Maßgabe geltenden Datenschutzrechts, Kontrolle der Verarbeitung sich unterwerfender Verantwortlicher/Auftragsverarbeiter am Maßstab der Verhaltensregeln
aa) Regelungstätigkeit: Pflichten der Verantwortlichen und Auftragsverarbeiter am Maßstab der DS-GVO und (ggf.) der mitgliedstaatlichen Vorschriften
bb) Kontrolltätigkeit: Verarbeitungen der sich unterwerfenden Verantwortlichen und Auftragsverarbeiter am Maßstab der Verhaltensregeln
2. Zertifizierung, Art. 42 f. DS-GVO
a) Identifikation und rechtliche Einordnung der Akteure: Zertifizierungsstellen als RdS und UKS, Verantwortliche/ Auftragsverarbeiter als taugliche Antragsteller
aa) Kontrollinstanz: Zertifizierungsstelle iSv Art. 43 DS-GVO als unabhängige Kontrollstelle der Selbstregulierung
(1) Durchführung der Zertifizierung durch eine Zertifizierungsstelle iSv Art. 43 DS-GVO als eine von mehreren Ausgestaltungsmöglichkeiten
(2) Rechtliche Einordnung der Zertifizierungsstelle iSv Art. 43 DS-GVO als unabhängige Kontrollstelle der Selbstregulierung
bb) Regelungsinstanz: Zertifizierungsstellen iSv Art. 43 DS-GVO und Programmeigner (Dritte) als Regelsetzer der Selbstregulierung
cc) Adressaten der Regelungs- und Kontrolltätigkeit: Verantwortliche und Auftragsverarbeiter
b) Gegenstand und Maßstab der Regelungs- und Kontrolltätigkeit: Regelung datenschutzrechtlicher Pflichten nach Maßgabe geltenden Datenschutzrechts, Kontrolle der Verarbeitungen antragstellender Verantwortlicher/Auftragsverarbeiter am Maßstab der Zertifizierungskriterien
aa) Kontrolltätigkeit: Verarbeitungen durch Verantwortliche oder Auftragsverarbeiter am Maßstab der Zertifizierungskriterien
(1) Begriffsklärung
(2) Umfang ("Scope") der Zertifizierung iSv Art. 42 f. DS-GVO: Verarbeitungvorgänge, die in oder mithilfe von Produkten, Prozessen oder Dienstleistungen erbracht werden
(3) Konkreter Zertifizierungsgegenstand ("Target of Evaluation"): Vom Antragssteller ausgewählte Verarbeitungen
bb) Zertifizierungskriterien: Ableitung aus der DS-GVO und (ggf.) nationalen Vorschriften
II. Die Regulierung der Selbstregulierung
1. Verhaltensregeln, Art. 40 f. DS-GVO
a) Initiierung
b) Strukturierung und Begleitung: Genehmigung und Allgemeingültigkeiterklärung von Verhaltensregeln, aufsichtsbehördliche Überwachung der Kontrolltätigkeit
aa) Regulierung der Erarbeitung von Verhaltensregeln, Art. 40 DS-GVO - Regulierung durch Genehmigung bzw. Allgemeingültigkeitserklärung
(1) Rahmenvorgaben (zu nationalen, transnationalen und unionsweiten Verhaltensregeln)
(a) Rahmenvorgaben nach dem Wortlaut der DS-GVO
(b) Rahmenvorgaben nach der "Interpretation" des Ausschusses
(2) Durchsetzungsmechanismen bezüglich der Erarbeitung von Verhaltensregeln
(a) Durchsetzungsmechanismen bei nationalen Verhaltensregeln, Art. 40 Abs. 5 f., 11 DS-GVO
(aa) Verfahren der Genehmigung durch die zuständige Aufsichtsbehörde
(bb) Rechtsnatur und Inhalt der Genehmigung nach Art. 40 Abs. 5 S. 2 DS-GVO
(aaa) Auffassung der deutschen Aufsichtsbehörden
(bbb) Überwiegende Literaturauffassung: Genehmigung als feststellender Verwaltungsakt
(ccc) Teilweise vertretene Ansicht: Genehmigung als behördliche Willenserklärung
(ddd) Hier vertretene Auffassung: Genehmigung als Verwaltungsakt mit Gültigkeitserklärung
(b) Durchsetzungsmechanismen bei transnationalen und unionsweiten Verhaltensregeln, Art. 40 Abs. 5, 7 ff. DS-GVO
bb) Regulierung der Überwachung der genehmigten Verhaltensregeln, Art. 41 DS-GVO - Regulierung durch Akkreditierung
(1) Rahmenvorgaben
(a) Akkreditierungsvoraussetzungen, Art. 41 Abs. 1, 2 DS-GVO
(b) Laufende Pflichten der Überwachungsstelle, Art. 41 Abs. 4 DS-GVO
(aa) Ergreifung geeigneter Maßnahmen im Fall einer Verletzung von Verhaltensregeln, Art. 41 Abs. 4 S. 1 DS-GVO
(bb) Unterrichtung der zuständigen Aufsichtsbehörden über ergriffene Maßnahmen und deren Begründung, Art. 41 Abs. 4 S. 2 DS-GVO
(2) Durchsetzungsmechanismen bezüglich der Überwachung der Einhaltung von Verhaltensregeln
(a) Aufnahmeüberwachung durch Akkreditierung
(aa) Verfahren der Akkreditierung durch die zuständige Aufsichtsbehörde
(bb) Rechtsnatur und Regelungsgehalt der Akkreditierung iSv Art. 41 Abs. 2 DS-GVO: Feststellender Verwaltungsakt
(b) Ausübungs- und Beendigungsüberwachung durch Sanktionierung und Widerruf der Akkreditierung
2. Zertifizierung, Art. 42 f. DS-GVO
a) Initiierung
b) Strukturierung und Begleitung: Genehmigung von Zertifizierungskriterien, aufsichtsbehördliche Überwachung der Zertifizierungstätigkeit
aa) Regulierung der Erarbeitung von Zertifizierungskriterien: Regulierung durch Genehmigung, Art. 42 Abs. 5 S. 1 DS-GVO
(1) Rahmenvorgaben
(a) Nationale Zertifizierungskriterien
(b) Unionsweite Zertifizierungskriterien
(2) Durchsetzungsmechanismen bezüglich der Erarbeitung von Zertifizierungskriterien
(a) Nationale Zertifizierungskriterien: Genehmigung durch die zuständige Aufsichtsbehörde
(aa) Verfahren der Genehmigung durch die Aufsichtsbehörde
(bb) Rechtsnatur und Regelungsgehalt der Genehmigung durch die Aufsichtsbehörde
(b) Unionsweite Zertifizierungskriterien: Genehmigung durch den Ausschuss
(aa) Rechtsnatur und Regelungsgehalt der "Genehmigung" durch den Ausschuss
(bb) Verfahren der Genehmigung durch den Ausschuss
bb) Regulierung der Durchführung der Zertifizierung durch die Zertifizierungsstelle iSv Art. 43 DS-GVO - Regulierung durch Akkreditierung bzw. Befugniserteilung
(1) Rahmenvorgaben
(a) Akkreditierungsvoraussetzungen
(aa) Anforderungen aus harmonisierten Normen, insbesondere EN-ISO/IEC 17065/2012
(bb) Anforderungen nach der VO (EG) Nr. 765/ 2008 und dem AkkStelleG
(cc) Anforderungen aus genehmigten Akkreditierungsanforderungen, Art. 43 Abs. 3 S. 1 DS-GVO
(aaa) Im Falle eines nationalen Zertifizierungsmechanismus: von der zuständigen Aufsichtsbehörde genehmigte Akkreditierungsanforderungen
(bbb) Im Falle eines unionsweiten Zertifizierungsmechanismus: vom Ausschuss genehmigte Anforderungen, Art. 70 Abs. 1 lit. p) DS-GVO
(b) Laufende Pflichten der Zertifizierungsstelle
(2) Durchsetzungsmechanismen bezüglich der Durchführung der Zertifizierung
(a) Aufnahmeüberwachung: Akkreditierung iSv Art. 43 Abs. 1 S. 2 DS-GVO, § 39 BDSG durch die zuständige Aufsichtsbehörde und die DAkkS
(aa) Akkreditierung durch die DAkkS
(bb) Befugniserteilung durch die Befugnis erteilende Behörde, § 39 S. 1 BDSG
(b) Ausübungs- und Beendigungsüberwachung
(aa) Überwachung durch die DAkkS und die Befugnis erteilende Aufsichtsbehörde
(bb) Überwachung durch die "zuständige Aufsichtsbehörde" bzw. die "zuständigen Aufsichtsbehörden"
(aaa) Unterrichtung rechtzeitig vor Erteilung oder Verlängerung der Zertifizierung, Art. 43 Abs. 1 S. 1, 5 DS-GVO
(bbb) Mitteilung der Gründe für den Widerruf einer Zertifizierung, Art. 43 Abs. 5 DS-GVO
(cc) Mitwirkung durch Verantwortliche und Auftragsverarbeiter
III. Interne und externe (Rechts-)Wirkungen des Handelns der Privaten
1. Verhaltensregeln, Art. 40 f. DS-GVO
a) Interne Rechtswirkungen entsprechend der privatrechtlichen Vereinbarung
aa) Interne Rechtsverbindlichkeit der Verhaltensregeln nur bei privatrechtlicher Vereinbarung
bb) "Zuständigkeit" und Befugnisse der Überwachungsstelle iSv Art. 41 DS-GVO
b) Externe Rechtswirkungen: Rechtliche Relevanz aufgrund gesetzlich eröffneter oder autonomer Rezeption durch Aufsichtsbehörden und Gerichte
aa) Verhaltensregeln
(1) Externe Rechtsverbindlichkeit gerichtet an den Verantwortlichen/den Auftragsverarbeiter
(a) Keine externe Rechtsverbindlichkeit bloß aufsichtsbehördlich genehmigter Verhaltensregeln
(b) Externe Rechtsverbindlichkeit für allgemeingültig erklärter Verhaltensregeln iSv Art. 40 Abs. 9 DS-GVO?
(aa) Ablehnung der Auslegung als Allgemeinverbindlichkeitserklärung
(bb) Auslegung als Anordnung der territorialen Geltungserstreckung der aufsichtsbehördlichen Genehmigung auf die übrigen Mitgliedstaaten
(2) Rechtliche Relevanz aufgrund einer gesetzlich eröffneten Rezeptionsentscheidung einer Behörde oder eines Gerichts
(a) Gegenstand der Rezeption: Primär Verhaltensregeln als solche (Regelungstätigkeit)
(b) Rezeption durch die zuständige Aufsichtsbehörde im Rahmen der Accountability Überwachung (Art. 5 Abs. 2 DS-GVO)
(aa) Art. 24 Abs. 3, 28 Abs. 5, 32 Abs. 3 DS-GVO
(aaa) Verhaltensregeln als norminterpretierende Auslegungs- und Konkretisierungshilfen
(bbb) Von den Rezeptionsklauseln statuierte Rechtspflichten
(bb) Art. 35 Abs. 8 DS-GVO: Rechtliche Relevanz als norminterpretierende Auslegungs- und Konkretisierungshilfe für Aufsichtsbehörden und Verantwortliche
(cc) Art. 83 Abs. 2 S. 2 lit. j) DS-GVO: Unechte Rezeption der Einhaltung von Verhaltensregeln bei der Prüfung des Verschuldens und als ermessensleitender Gesichtspunkt
(b) Rezeption durch Aufsichtsbehörden im Rahmen der Überwachung der Einhaltung des Datenschutzrechts bei der Verarbeitung: Unechte Rezeption der Einhaltung von Verhaltensregeln bei der Prüfung des Verschuldens und als ermessensleitender Gesichtspunkt über Art. 83 Abs. 2 S. 2 lit. j) DS-GVO
(c) Rezeption durch Zivilgerichte als norminterpretierende Auslegungshilfen
(3) Rechtliche Relevanz über die Bindungswirkung von regulierenden Verwaltungsakten: Bindung an die Existenz der Genehmigung über die Tatbestandswirkung ieS
(4) Rechtliche Relevanz aufgrund einer autonomen Rezeptionsentscheidung einer Behörde oder eines Gerichts
(a) Grundlegendes zur autonomen Rezeption
(b) Beispiel: Entscheidung des LG Frankfurt a. M. unter Heranziehung der genehmigten Verhaltensregeln des Verbandes "Die Wirtschaftsauskunfteien e.V."
bb) Überwachung der genehmigten Verhaltensregeln
(1) Keine Ersetzung, sondern Ergänzung der Ausübungsüberwachung durch ASB
(2) Unechte Rezeption der ergriffenen Maßnahmen iSv Art. 41 Abs. 4 S. 1 DS-GVO nach Art. 83 Abs. 2 S. 2 lit. j) DS-GVO
2. Zertifizierung, Art. 42 f. DS-GVO
a) Interne Rechtswirkungen entsprechend der privatrechtlichen Zertifizierungsvereinbarung
b) Externe Rechtswirkungen: Rechtliche Relevanz aufgrund gesetzlich eröffneter oder autonomer Rezeption durch Aufsichtsbehörden und Gerichte
aa) Der Zertifizierungskriterien
(1) Keine externe Rechtsverbindlichkeit infolge Genehmigung nach Art. 42 Abs. 5 S. 1 DS-GVO
(2) Keine isolierte rechtliche Relevanz der Zertifizierungskriterien im Rahmen der Überwachung der zertifizierten Verantwortlichen und Auftragsverarbeiter
bb) Durchführung der Zertifizierung
(1) Ergänzung, keine Ersetzung hoheitlicher Ausübungsüberwachung
(2) Rechtliche Relevanz aufgrund einer gesetzlich eröffneten Rezeptionsentscheidung einer Behörde oder eines Gerichts
(a) Rezeption durch Aufsichtsbehörden im Rahmen der Accountability Überwachung (Art. 5 Abs. 2 DS-GVO)
(aa) Art. 24 Abs. 3, 25 Abs. 3, 28 Abs. 5, 32 Abs. 3 DS-GVO
(aaa) Unechte Rezeption als Mittel der Nachweisführung
(bbb) Rezeption im Rahmen eines Indizienbeweises bezüglich der Erfüllung der Compliancepflichten
(bb) Art. 83 Abs. 2 S. 2 lit. j) DS-GVO: Unechte Rezeption als ermessensleitender Gesichtspunkt
(b) Rezeption durch Aufsichtsbehörden im Rahmen der Überwachung der Einhaltung des Datenschutzrechts bei der Verarbeitung: Unechte Rezeption als ermessensleitender Gesichtspunkt über Art. 83 Abs. 2 S. 2 lit. j) DS-GVO
(c) Rezeption durch Zivilgerichte
(3) Rechtliche Relevanz aufgrund einer autonomen Rezeptionsentscheidung einer Behörde oder eines Gerichts
(4) Rechtliche Relevanz über die Bindungswirkung von regulierenden Verwaltungsakten: Bindung an die Existenz von Genehmigung und Akkreditierung über die Tatbestandswirkung ieS
IV. Zusammenspiel mit hoheitlicher Rechtsetzung und Rechtsdurchsetzung
1. Kein direktes Zusammenspiel von Verhaltensregeln mit hoheitlicher Rechtsetzung
2. Zusammenspiel von Verhaltensregeln und Zertifizierungsmechanismen mit hoheitlicher datenschutzrechtlicher Überwachung
a) Einbettung in die Accountability Überwachung: Verhaltensregeln und Zertifizierungsmechanismen als formalisierte freiwillige Accountability Instrumente der "zweiten Ebene" des Accountability Grundsatzes mit rechtlicher Relevanz für dessen "erste Ebene"
b) Einbettung in die Überwachung der Einhaltung des Datenschutzrechts bei einzelnen Verarbeitungen, insbesondere über Art. 83 Abs. 2 S. 2 lit. j) DS-GVO
3. Zusammenspiel von Verhaltensregeln und Zertifizierungsmechanismen mit der Rechtsprechung der Zivilgerichte
4. Isolation bei Verwendung als Wettbewerbsinstrument
V. Behördliche Kooperationsstrukturen und Geltungsbereich regulierender Verwaltungsakte
1. Verhaltensregeln, Art. 40 f. DS-GVO
a) Nationale Verhaltensregeln
b) Transnationale und unionsweite Verhaltensregeln: transnationale Geltung der aufsichtsbehördlichen Genehmigung
aa) Genehmigung des Entwurfs
(1) Zuständigkeit und Kooperation im Genehmigungsverfahren
(2) Territorialer Geltungsbereich der Genehmigung
(a) Auslegungsalternative 1: Keine Abweichung vom Territorialitätsgrundsatz
(b) Auslegungsalternative 2: Transnationale Wirkung der Genehmigung durch die Wahlaufsichtsbehörde bei transnationalen bzw. unionsweiten Verhaltensregeln
bb) Akkreditierung und Überwachung
(1) Zuständigkeit und Kooperation
(2) Territorialer Geltungsbereich der Akkreditierung
2. Zertifizierung, Art. 42 f. DS-GVO
a) Nationale Zertifizierung auf Grundlage der von den Aufsichtsbehörden genehmigten Zertifizierungskriterien: Geltung der Genehmigung und Akkreditierung (nur) im Hoheitsgebiet der handelnden Aufsichtsbehörde
b) Unionsweite Zertifizierung auf Grundlage der vom Ausschuss genehmigten Zertifizierungskriterien (Gemeinsame Zertifizierung, Europäisches Datenschutzgütesiegel): Unionsweite Geltung von Genehmigung und Akkreditierung
aa) Zuständigkeit und Verfahren
bb) Territorialer Geltungsbereich der regulierenden Hoheitsakte
(1) Geltungsbereich der Genehmigung unionsweiter Zertifizierungskriterien durch den Ausschuss
(2) Geltungsbereich der Akkreditierung einer Zertifizierungsstelle
B. Verhaltensregeln, Zertifizierung und BCR als Selbstregulierungsinstrumente zur Ermöglichung von Drittlandtransfers (Art. 44 ff. DS-GVO)
I. Das Handeln der Privaten (Selbstregulierung)
1. BCR, Art. 47 DS-GVO
a) Identifikation und rechtliche Einordnung der Akteure: Unternehmensgruppen als RdS, Unterscheidung von materiellen Regel- und Gesetzesadressaten
aa) Regelungsinstanz: Unternehmensgruppe oder Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, als Regelsetzer der Selbstregulierung
bb) Materieller Regeladressat: Mitglieder der Unternehmensgruppe oder Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben
b) Gegenstand und Maßstab der Regelungstätigkeit: Verarbeitung im Drittland nach Maßgabe eines angemessenen Datenschutzniveaus
aa) Verarbeitung im Drittland nach Maßgabe eines angemessenen Datenschutzniveaus
bb) Trennung zwischen BCR und PBCR
2. Verhaltensregeln und Zertifizierung
a) Identifikation und rechtliche Einordnung der Akteure
b) Gegenstand und Maßstab der Regelungstätigkeit: Verarbeitung im Drittland nach Maßgabe eines angemessenen Datenschutzniveaus
II. Die Regulierung der Selbstregulierung
1. BCR, Art. 47 DS-GVO
a) Initiierung
b) Strukturierung und Begleitung: Genehmigung von BCR
aa) Regulierung der Regelungstätigkeit: Genehmigung der BCR und Exkurs zur Ausübungsüberwachung der Übermittlung an ein Drittland
(1) Rahmenvorgaben
(2) Durchsetzungsmechanismus
bb) Exkurs: Ausübungsüberwachung der Übermittlung an ein Drittland
2. Verhaltensregeln und Zertifizierung
a) Regulierung der Regelungs- (und Kontroll-)tätigkeit: Genehmigung (und Akkreditierung)
b) Exkurs: Ausübungsüberwachung der Übermittlung
aa) Rahmenvorgaben
(1) Anforderungen an genehmigte Verhaltensregeln bzw. genehmigte Zertifizierungsmechanismen
(2) Anforderungen an rechtsverbindliche und durchsetzbare Verpflichtungen des Verantwortlichen oder Auftragsverarbeiters in dem Drittstaat
bb) Durchsetzungsmechanismen
III. Interne und externe (Rechts-)Wirkungen des Handelns der Privaten entsprechend den öffentlich-rechtlichen Vorgaben
IV. Zusammenspiel mit hoheitlicher Rechtsdurchsetzung
1. Zusammenspiel mit hoheitlicher datenschutzrechtlicher Überwachung: Einbettung in die Überwachung des Drittstaatentransfers (Accountability) - BCR, Verhaltensregeln und Zertifizierung als Quellen der Garantien iSv Art. 46 Abs. 1, 2 DS-GVO
2. Isolation bei Verwendung als Wettbewerbsinstrument
V. Behördliche Kooperationsstrukturen
1. BCR, Art. 47 DS-GVO
a) Zuständigkeit und Verfahren
aa) Zuständigkeit bei Verwendungsabsicht zur Übermittlung aus mehreren Mitgliedstaaten
bb) Verfahren bei Verwendungsabsicht zur Übermittlung aus mehreren Mitgliedstaaten
(1) Informelle Vereinbarung eines Kooperationsverfahrens durch die Aufsichtsbehörden
(2) Kohärenzverfahren nach Art. 63 ff. DS-GVO
b) Transnationale Geltung der Genehmigung der "federführenden" Aufsichtsbehörde
2. Verhaltensregeln und Zertifizierungsmechanismen
C. Zusammenfassung
I. Allgemeine Selbstregulierungsinstrumente
1. Verhaltensregeln, Art. 40 f. DS-GVO
a) Erarbeitung von Verhaltensregeln, Art. 40 DS-GVO
aa) Selbstregulierung
bb) Regulierung der Selbstregulierung und behördliche Kooperationsstrukturen
cc) Interne und externe (Rechts-)Wirkungen und Zusammenspiel mit hoheitlicher Rechtsetzung und Rechtsdurchsetzung
b) Überwachung der Einhaltung von Verhaltensregeln, Art. 41 DS-GVO
aa) Selbstregulierung
bb) Regulierung der Selbstregulierung
cc) Interne und externe (Rechts-)Wirkungen und das Zusammenspiel mit hoheitlicher Rechtsdurchsetzung
2. Zertifizierung, Art. 42 f. DS-GVO
a) Selbstregulierung
b) Regulierung der Selbstregulierung und behördliche Kooperationsstrukturen
c) Interne und externe (Rechts-)Wirkungen und das Zusammenspiel mit hoheitlicher Rechtsdurchsetzung
II. Selbstregulierungsinstrumente zur Ermöglichung des Drittlandtransfers
1. BCR, Art. 47 DS-GVO
a) Selbstregulierung
b) Regulierung der Selbstregulierung und behördliche Kooperationsstrukturen
c) Interne und externe (Rechts-)Wirkungen und das Zusammenspiel mit hoheitlicher Rechtsdurchsetzung
2. Verhaltensregeln und Zertifizierung
a) Selbstregulierung
b) Regulierung der Selbstregulierung
c) Interne und externe (Rechts-)Wirkungen und das Zusammenspiel mit hoheitlicher Rechtsdurchsetzung
§ 16 Verfassungsrechtliche Bewertung
A. Allgemeine Selbstregulierungsinstrumente
I. Pflichten der EU bzw. der Mitgliedstaaten zur Strukturierung und Begleitung des Handelns der Privaten im Rahmen der Selbstregulierung
1. Kein Infragestellen der Erfüllung unionsgrundrechtlicher Schutzpflichten mangels relevanten Rückzugs aus der eigenhändigen Aufgabenwahrnehmung
a) Verhaltensregeln (Regelungstätigkeit) als bloße Auslegungsund Konkretisierungshilfen auf Ebene der Rechtsanwendung
b) Verhaltensregeln (Kontrolltätigkeit) als bloße Ergänzung der aufsichtsbehördlichen datenschutzrechtlichen Überwachung
c) Zertifizierung als bloße Ergänzung der aufsichtsbehördlichen datenschutzrechtlichen Überwachung
2. Keine Verletzung der Integrationsschranke des Art. 23 Abs. 1 S. 3, 79 Abs. 3, 20 Abs. 2 GG
a) Verhaltensregeln (Regelungstätigkeit): Geringes Schädigungspotential, ausreichende legitimationssichernde Vorkehrungen
b) Verhaltensregeln (Kontrolltätigkeit): Kein Schädigungspotential mangels echter Rezeption, überobligatorische legitimationssichernde Vorkehrungen
c) Zertifizierung: Geringes Schädigungspotential, ausreichende legitimationssichernde Vorkehrungen
3. Legitimationsfördernde Wirkung der Partizipation von Verbänden und Vereinigungen im Rahmen der Erarbeitung von Verhaltensregeln
4. Zwischenergebnis: Nichtbestehen verfassungsrechtlicher Bedenken
II. Hinreichende Legitimation transnationaler Verwaltungsentscheidungen
1. Genehmigung der Ergebnisse der Regelungstätigkeit bei transnationalen Verhaltensregeln: ausreichende horizontale und vertikale Legitimationsstränge
2. Akkreditierung unionsweit agierender Zertifizierungsstellen: wohl noch ausreichender sachlich-inhaltlicher und vertikaler Legitimationsstrang
3. Zwischenergebnis: Nichtbestehen verfassungsrechtlicher Bedenken
B. Selbstregulierungsinstrumente zur Ermöglichung des Drittlandtransfers
I. Pflichten der EU bzw. der Mitgliedstaaten zur Strukturierung und Begleitung des Handelns der Privaten im Rahmen der Selbstregulierung
1. Verfassungsrechtlicher Anknüpfungspunkt: Grundrechtliche Schutzpflicht (Art. 8 GrCh)
2. Schutzpflichterfüllung durch Durchsetzung detaillierter Rahmenvorgaben
II. Hinreichende Legitimation transnational wirkender Entscheidungen - BCR: Grundsätzlich ausreichende horizontale und vertikale Legitimationsstränge
§ 17 Wirkungsorientierte rechtspolitische Bewertung
A. Allgemeine Selbstregulierungsinstrumente
I. Verhaltensregeln, Art. 40 f. DS-GVO
1. Hemmende Faktoren
a) Grundsätzlich verringerte(r) Verfahrensaufwand und -dauer der Genehmigung und Akkreditierung durch "one stop shopping"
b) Notwendige Begrenzung der vom Ausschuss formulierten inhaltlichen Anforderungen an Verhaltensregeln
2. Fördernde Faktoren
a) Eher geringe ökonomische Vorteile für Verantwortliche und Auftragsverarbeiter durch Werbung mit der Einhaltung genehmigter Verhaltensregeln
b) Entscheidend: Rechtliche Vorteile für die Verantwortlichen und Auftragsverarbeiter - Einbettung in Überwachungsmechanismen und Rezeption der Ergebnisse der Regelungstätigkeit
aa) Geringe rechtliche Vorteile hinsichtlich der Überwachung der Einhaltung von Verhaltensregeln
bb) Entscheidend: Erarbeitung von Verhaltensregeln
II. Zertifizierung, Art. 42 f. DS-GVO
1. Grundsätzlich verringerte(r) Verfahrensdauer und -aufwand der Genehmigung von Zertifizierungskriterien und der Akkreditierung von Zertifizierungsstellen durch "one stop shopping"
2. Fördernde Faktoren
a) Eher geringe ökonomische Vorteile für die zertifizierten Verantwortlichen und Auftragsverarbeiter
aa) Hohe Vertrauenswürdigkeit aufgrund hoheitlicher Regulierung
bb) Gestärkte Vergleichbarkeit unter den Datenschutzgütesiegeln der DS-GVO
cc) Geringes Differenzierungspotential gegenüber anderen (nicht) zertifizierten Verantwortlichen und Auftragsverarbeitern
b) Entscheidend: Rechtliche Vorteile für zertifizierte Verantwortliche und Auftragsverarbeiter - Einbettung in übergeordnete Überwachungsmechanismen und Rezeption der Ergebnisse der Kontrolltätigkeit
3. CE-Kennzeichnung und Konformitätsbewertung des europäischen Sicherheitsrechts als regulatorisches Vorbild der Zertifizierung?
B. Selbstregulierungsinstrumente zur Ermöglichung des Drittlandtransfers
I. BCR, Art. 47 DS-GVO
1. (Potentiell) hemmende Faktoren
a) Deutliche Verfahrensvereinfachung der Genehmigung von BCR durch "one stop shopping"
b) Erforderliche Begrenzung inhaltlicher Mindestanforderungen der Art. 29-Datenschutzgruppe, die über die Statuierung eines angemessenen Datenschutzniveaus hinausgehen
2. Fördernde Faktoren: Rechtliche Vorteile für Verantwortliche und Auftragsverarbeiter von Unternehmensgruppen: Einbettung in die Überwachung des Drittlandtransfers
II. Verhaltensregeln und Zertifizierung
1. Fehlende Bestimmtheit inhaltlicher Mindestanforderungen als potentiell hemmender Faktor
2. Rechtliche Vorteile für Verantwortliche (und übermittelnde Auftragsverarbeiter): Einbettung in Überwachung des Drittlandtransfers
C. Zusammenfassende Prognose und Nachbesserungsvorschläge
Teil 5: Zusammenfassende Betrachtung und Ausblick
§ 18 Zusammenfassende Betrachtung
A. Konzeptionelle Erfassung und rechtsdogmatische Untersuchung der Umsetzung der regulierten Selbstregulierung im europäischen Datenschutzrecht
I. Grundlagen
1. Konzeptionelle Erfassung
2. Rechtsdogmatische Untersuchung
a) Selbstregulierung
b) Rezeption
aa) Regelungstätigkeit
bb) Kontrolltätigkeit
c) Regulierung
II. Umsetzung im Referenzgebiet des europäischen Datenschutzrechts
1. Konzeptionelle Erfassung und Identifikation der relevanten Instrumente
2. Rechtsdogmatische Untersuchung
a) Verhaltensregeln (Art. 40 f. DS-GVO) und Zertifizierung (Art. 42 f. DS-GVO) als allgemeine Selbstregulierungsinstrumente
aa) Selbstregulierung
bb) Regulierung der Selbstregulierung
cc) Rezeption
(1) Rezeption durch Aufsichtsbehörden
(a) Rezeption im Rahmen der Accountability Überwachung
(b) Rezeption im Rahmen der Überwachung der Einhaltung des Datenschutzrechts bei einzelnen Verarbeitungen
(2) Rezeption durch Zivilgerichte
(3) Verfassungsrechtliche Bewertung
dd) Unabhängig von den bestehenden Rezeptionsmöglichkeiten: Verwendung von Verhaltensregeln und Zertifizierungsmechanismen als Wettbewerbsinstrumente
b) Verhaltensregeln, Zertifizierung und BCR (Art. 47 DS-GVO) als Selbstregulierungsinstrumente zur Ermöglichung des Drittlandtransfers
aa) Selbstregulierung
(1) BCR
(2) Verhaltensregeln und Zertifizierung
bb) Regulierung
(1) BCR
(2) Verhaltensregeln und Zertifizierung
cc) Rezeption
B. Wirkdimension: Wirkungsorientierte Auslegung und rechtspolitische Bewertung
I. Grundlagen
II. Umsetzung im Referenzgebiet des europäischen Datenschutzrechts
1. Ableitung von Anforderungen an eine praktisch wirksamere Ausgestaltung der regulierten Selbstregulierung in der DS-GVO aus der Erfahrung mit der DSLR/dem BDSG aF
2. Methodengerechte Verwertung der gewonnenen Erkenntnisse im Rahmen der Untersuchung der DS-GVO
§ 19 Ausblick
A. Verhaltensregeln, Zertifizierung und BCR als Antwort auf beobachtete aktuelle Herausforderungen des Datenschutzes?
B. Bislang erfolgte praktische Umsetzung der Selbstregulierungsinstrumente der DS-GVO
I. Verhaltensregeln
II. Zertifizierung
III. BCR
IV. Ergebnis
Literaturverzeichnis
Sachverzeichnis

Systemvoraussetzungen

Als PDF speichern Als Link merken