Übermittlung

Sind Länder gemeint, die nicht zur EU gehören, spricht die EU-DSGVO von „Drittländern“. Datenübermittlungen innerhalb der EU sind nicht geregelt und daher grundsätzlich zulässig.

Jede Übermittlung in Drittländer ist dagegen nur zulässig, wenn die Bedingungen der DSGVO eingehalten werden. Das durch die DSGVO gewährte Schutzniveau darf nicht unterschritten werden.

Die EU-Kommission beschließt für jedes Land die Angemessenheit des Datenschutzes (Angemessenheitsbeschluss). Eine Übermittlung in solche Länder bedarf keiner weiteren Genehmigung.

Besteht kein Angemessenheitsbeschluss, darf nur übermittelt werden, wenn Verantwortliche und Auftragsverarbeiter geeignete Garantien im Sinne der Verordnung vorgesehen haben oder natürlich wieder eine entsprechende Einwilligung (Nr. 5) vorliegt.

Beispiel: Eine Übertragung personenbezogener Daten außerhalb der EU kann schon stattgefunden haben, wenn Adressen in Mobiltelefonen verwaltet werden. Die Anbieter von Betriebssystemen dieser Telefone verraten i. d. R. nicht, wo genau ihre Daten gespeichert werden. Es ist daher möglich, dass die in einem Handy eingetragenen Kontakte zusätzlich in einem Rechenzentrum in den USA gespeichert werden. Das gilt auch für „Cloud-Speicher“, also im Internet verfügbaren Speicherplatz, sowie „YouTube-Videos“.

Weitere Informationen

• Der Europäische Datenschutzbeauftragte arbeitet an Richtlinien für die Datenübermittlung zwischen Behörden.
• Zu den "Spiegel-Leaks"
• Auch Enkel-Fotos dürfen nicht einfach so veröffentlicht werden.
• Die neue Meldeübermittlungsverordnung NRW (MeldDÜV NRW) ist online (Eigene Meldung, 15.06.2020).
• Fotos von Kindern, für die man das Sorgerecht nicht hat, dürfen nicht veröffentlicht werden 🙁 (Datenschutz-Notizen, 18.06.2020).
• AirBNB muss Vermieterdaten zum Aufspüren von Ordnungswidrigkeiten doch nicht herausgeben (eRecht24, 18.06.2020).
• Zu den Standardvertragsklauseln.
• Zur Nachfolge von "Schrems II".
• Neue Entwicklungen (Mai 2022).

Die EU-DSGVO regelt die Übermittlung von Daten innerhalb einer öffentlichen Stelle oder zwischen öffentlichen Stellen nicht im Speziellen.

DSG NW: Das Datenschutzgesetz Nordrhein-Westfalen regelt dagegen die Einrichtung eines automatisierten Übermittlungsverfahrens und die regelmäßige Datenübermittlung innerhalb einer oder zwischen öffentlichen Stellen wie zuvor auch. Sie ist zulässig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen oder zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erfolgt.

Die obersten Landesbehörden dürfen eine Verordnung erlassen, die diese Übermittlungen erlaubt. Dies ist bisher allerdings nicht geschehen.

Die Verantwortung für die Zulässigkeit einer solchen Datenübermittlung trägt die ersuchende Stelle. Die übermittelnde Stelle prüft dagegen nur, ob die Übermittlung im Rahmen der Aufgaben des Empfängers liegt. Weitere Prüfungen erfolgen nur, sofern hierzu im Einzelfall Anlass besteht. Die ersuchende Stelle muss für die Prüfung erforderliche Angaben machen.

Bei einem automatischen Abruf trägt die Verantwortung der Empfänger.

Datenbestände, die jedermann zur Benutzung offen stehen oder veröffentlicht werden dürften (Open Data) fallen natürlich nicht unter diese Beschränkungen .

DSG NW: Die Verantwortung der Zulässigkeit einer Datenübermittlung trägt die übermittelnde Stelle. Auf die folgenden Voraussetzungen ist die private Stelle hinzuweisen!

Sie ist nur zulässig, wenn

• sie zur Aufgabenerfüllung der übermittelnden Stelle erforderlich ist und
• die Verarbeitung nach § 3 DSG rechtmäßig und nach § 9 DSG zweckgebunden ist und
• die private Stelle ein berechtigtes Interesse an den Daten glaubhaft darlegt und
• die schutzwürdigen Belange der Betroffenen nicht überwiegen oder
• die Daten zur Geltendmachung rechtlicher Ansprüche erforderlich sind und
• der Dritte sich gegenüber der übermittelnden Stelle verpflichtet, die Zweckbindung zu erfüllen

Eine Verarbeitung zu anderen Zwecken ist aber zulässig, wenn auch eine Übermittlung zu diesem Zweck zulässig wäre und die übermittelnde Stelle zugestimmt hat.

Für besondere personenbezogene Daten ist darüber hinaus notwendig, wenn die Person eingewilligt hat, dadurch ihr Arbeitsrecht und ihren Sozialschutz ausüben kann, lebenswichtige Interessen der Person sie erforderlich machen, sie diese Daten selbst veröffentlicht hat oder die Übermittlung den anderen Anforderungen des Artikel 9 Absatz 2 der EU-DSGVO entspricht.