106
}
Im deutschen Datenschutzrecht hingegen ist die Pflicht zur Bestellung eines
so genannten betrieblichen Datenschutzbeauftragten ebenfalls in einem
Regel-Ausnahme-System geregelt:
Stellen, die personenbezogene Daten automatisiert verarbeiten,
haben nach deutschem Datenschutzrecht einen Beauftragten für den
Datenschutz schriftlich zu bestellen. Dies gilt nicht, wenn sie in der
Regel höchstens neun Personen ständig mit der automatisierten
Verarbeitung personenbezogener Daten beschäftigen.
Eine Pflicht zur Bestellung bei Erhebung und/oder Verwendung
personenbezogener Daten auf andere Weise besteht, wenn damit in
der Regel mindestens 20 Personen beschäftigt sind.
Soweit nicht-öffentliche Stellen automatisierte Verarbeitungen
vornehmen, die einer Vorabkontrolle unterliegen, oder
personenbezogene Daten geschäftsmäßig zum Zweck der
Übermittlung, der anonymisierten Übermittlung oder für Zwecke der
Markt- oder Meinungsforschung automatisiert verarbeiten, haben
sie unabhängig von der Anzahl der mit der automatisierten
Verarbeitung beschäftigten Personen einen Beauftragten für den
Datenschutz zu bestellen.
3.7
Besonderheiten bei Cross-Border-Datentransfers
Will ein Auftraggeber einen Cloud-Anbieter im Ausland beauftragen, der
seinen Sitz in einem Drittstaat außerhalb der EU/des EWR hat, müssen die
Anforderungen an eine Übermittlung der Daten an den Cloud-Anbieter in
einen solchen Drittstaat erfüllt werden. Insbesondere muss die
Übermittlung angemessen sein und darf den Schutz der Betroffenen nicht
verschlechtern.
Ist der Datentransfer ins Ausland immer bereits dann rechtmäßig, wenn die
von der Europäischen Kommission vorgeschlagenen und für rechtmäßig
erachteten Standard-Vertragsklauseln zur Auftragsdatenverarbeitung (so
genannte Standard Contract Clauses) verwendet werden? Nach
überwiegendem deutschem Rechtsverständnis lautet die Antwort nein. Die
Verwendung dieser Standardklauseln stellt zwar auf vertraglichem Weg ein
vergleichbares Datenschutzniveau sicher, wie es innerhalb der EU bzw. des
EWR gilt. Allein die Verwendung dieser Standard-Vertragsklauseln führt
jedoch nicht automatisch zur Rechtmäßigkeit, sondern ist nur ein Aspekt der
Zulässigkeitsprüfung. Überwiegend wird zudem gefordert, dass zusätzlich zu
