© 2020 Deutscher Bundestag WD 3 - 3000 - 153/20 Politische Parteien und Datenschutz Ausarbeitung Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 2 Politische Parteien und Datenschutz Aktenzeichen: WD 3 - 3000 - 153/20 Abschluss der Arbeit: 22. Juni 2020 Fachbereich: WD 3: Verfassung und Verwaltung Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 3 Inhaltsverzeichnis 1. Fragestellung 4 2. Politische Meinung i.S.d. Art. 9 Abs. 1 DSGVO 4 3. Verarbeitung von Daten 5 4. Ausnahmeregelung nach Art. 9 Abs. 2 lit. d) DSGVO 6 5. Verhältnis von Art. 9 Abs. 1 DSGVO zu Art. 6 Abs. 1 S. 1 lit. f) DSGVO 8 6. Anwendbarkeit von Art. 6 Abs. 1 S. 1 lit. f) DSGVO für Parteien 9 7. Das Konzernprivileg für Parteien? 9 7.1. Der Begriff des Konzernprivilegs 10 7.2. Der Begriff des Konzernprivilegs im Datenschutzrecht 10 7.3. Parteien vergleichbar einer Unternehmensgruppe im Sinne der DSGVO? 11 7.4. Voraussetzungen des Konzernprivilegs 13 7.4.1. Berechtigtes Interesse an der Datenübermittlung 13 7.4.2. Interne Parteizwecke als berechtigte Interessen 13 7.4.3. Abwägung der widerstreitenden Interessen 13 7.4.4. Besonderheit: Daten zur politischen Meinung 14 8. Überprüfung der Einhaltung von Datenschutzvorgaben durch nationale Stelle 14 Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 4 1. Fragestellung Die Ausarbeitung befasst sich mit mehreren Aspekten des Datenschutzes durch politische Parteien. Eingegangen wird dabei auf den besonderen Schutz für personenbezogene Daten, aus denen die politische Meinung hervorgeht und verschiedene Fragestellungen zur Möglichkeit der Verarbeitung solcher Daten. Zudem wird auf das sog. Konzernprivileg und die datenschutzrechtliche Aufsicht eingegangen. Rechtliche Grundlagen für die Ausarbeitung sind im Wesentlichen die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO) und das Bundesdatenschutzgesetz (BDSG). Bereits vorab ist festzuhalten, dass Parteien als privatrechtliche Vereine1 datenschutzrechtlich wie alle juristischen Personen des Privatrechts behandelt werden. 2. Politische Meinung i.S.d. Art. 9 Abs. 1 DSGVO Art. 9 Abs. 1 DSGVO stellt – neben anderen Kategorien – personenbezogene Daten, aus denen politische Meinungen hervorgehen, unter besonderen Schutz. Unter Meinungen sind Werturteile zu verstehen.2 Meinungen sind politisch, wenn sie Themen des Zusammenlebens in der menschlichen Gemeinschaft betreffen.3 Personenbezogene Daten beziehen sich auf politische Meinungen, wenn diese entweder Angaben über die Meinung selbst oder Tätigkeiten betreffen, die eine bestimmte Meinung nahelegen.4 Das umfasst also die persönliche politische Einstellung, aber auch die Parteimitgliedschaft, die Teilnahme an politischen Veranstaltungen, oder das Abonnement von Zeitschriften, die bestimmten Politikrichtungen nahestehen, soweit aus diesen Tätigkeiten auf eine bestimmte politische Einstellung geschlossen werden kann.5 Aus den Daten muss die politische Meinung „hervorgehen“. Ob ein solcher Rückschluss möglich ist, hängt vom jeweiligen Kontext 1 Kunig, in: Isensee/Kirchhof (Hrsg.), Handbuch des Staatsrechts, 3. Aufl. 2005, § 40, Rn. 84; Hientzsch, NVwZ 2009, 1135. 2 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 18. 3 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 18. 4 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 27; Petri, in: Simitis/ Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 18. 5 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 19; Schiff, in: Ehmann/ Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 20; Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 27; a.A. Schulz, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 14. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 5 ab.6 „So ist dies bei der Teilnahme an einer Demonstration der NPD eher der Fall als etwa dem Besuch […] einer Wahlkampfveranstaltung der Bundeskanzlerin.“7 Nicht erfasst von dem Begriff der politischen Meinung sind Äußerungen oder Tätigkeiten, die rein kommerziellen Charakter haben, ohne Bezug zur demokratischen und pluralistischen Gesellschaft bzw. zu Belangen öffentlichen Interesses oder solche, die als ausschließlich privatnützig zu betrachten sind.8 Im Zweifel ist im Sinne des Schutzzweckes des Art. 9 Abs. 1 DSGVO von einem weiten Verständnis des Begriffs der politischen Meinung auszugehen.9 Fraglich ist, ob bereits personenbezogene Daten, aus denen politische Meinungen hervorgehen, vorliegen, wenn Informationen von Besuchern auf Webseiten einer Partei erhoben und gespeichert werden. Insofern fehlt es mit hoher Wahrscheinlichkeit an der direkten Ableitbarkeit der politischen Meinung aus der gespeicherten Information, also am Merkmal des „Hervorgehens“ nach Art. 9 Abs. 1 DSGVO. Denn beispielsweise besuchen auch Journalisten, Wissenschaftler oder anderweitig politisch orientierte Personen die Homepage einer Partei, um sich dort zu informieren oder zu recherchieren. Jedoch könnte ein „Like“ auf einer Social Media-Seite einer Partei unter Beachtung des konkreten Kontextes ausreichen, insbesondere wenn dieser nicht nur für sich betrachtet , sondern mit anderen verfügbaren Informationen verknüpft wird.10 3. Verarbeitung von Daten Für die in Art. 9 Abs. 1 DSGVO genannten Datenkategorien gilt ein grundsätzliches Verbot der Verarbeitung. Art. 4 Nr. 2 DSGVO definiert „Verarbeitung“ als: „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung , das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung“. Mithin stellt auch die Speicherung und Weitergabe von Mitgliederdaten an spezielle Gliederungen der Partei und insbesondere an externe parteinahe Vereinigungen eine Verarbeitung dar. Unter den in Art. 9 Abs. 2 bis Abs. 4 DSGVO genannten Bedingungen ist eine Verarbeitung der Daten jedoch möglich. 6 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 27. 7 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 27. 8 Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 19. 9 Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 19. 10 Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 21. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 6 4. Ausnahmeregelung nach Art. 9 Abs. 2 lit. d) DSGVO Nach Art. 9 Abs. 2 lit. d) DSGVO gilt das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO nicht unter folgender Bedingung: „die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden“.11 Zu den hier begünstigten Tendenzorganisationen gehören im politischen Bereich zum Beispiel Parteien, ihre Jugend- und Unterorganisationen und parteinahe Stiftungen.12 Die Begriffe der politischen Vereinigung bzw. Organisation sind insofern weit zu verstehen, sodass sich diese nicht nur auf eine örtliche Gliederung einer Partei beziehen, sondern auch die Partei als Ganzes meinen. Denn auf die konkrete Organisationsform kommt es nach Art. 9 Abs. 2 lit. d) DSGVO nicht an.13 Die Organisation darf keine Gewinnerzielungsabsicht haben. Insofern darf sie nur Einnahmen generieren, solange diese dem Organisationszweck entsprechend verwendet werden.14 Die Verarbeitung muss zudem im Rahmen einer rechtmäßigen Tätigkeit erfolgen. Dies ist gegeben, wenn die Datenverarbeitung innerhalb der spezifischen Ausrichtung der Organisation erfolgt, welche beispielsweise durch den Satzungszweck definiert werden kann.15 „Eine Partei darf auf dieser Grundlage zB nur Daten zur Zugehörigkeit zu Parteien, nicht aber zu Gewerkschaften oder Religionsgesellschaften verarbeiten.“16 Zudem bedarf es als Grundlage einer geeigneten Garantie. Diese Garantien dienen dem Schutz bzw. der Wahrung der Rechte, Freiheiten und Interessen der betroffenen Personen. Als angemessene Garantien können zum Beispiel die in Art. 32 Abs. 1 DSGVO genannten technisch-organisatorischen 11 Hervorhebung nur hier. 12 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 71; Petri, in: Simitis/ Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 51; Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 43. 13 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 50; Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 33. 14 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 52; Weichert, in: Kühling/ Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 73. 15 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 53; Schiff, in: Ehmann/ Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 43; Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 74. 16 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 74, m.w.N. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 7 Maßnahmen dienen.17 Jeder Mitgliedstaat kann hier eigene Anforderungen an die Garantien aufstellen , um angepasst an die jeweilige Verarbeitungssituation einen effektiven Datenschutz festzulegen.18 Die geeigneten Garantien müssen eine Aufklärung der betroffenen Personen über den Verwendungszweck vorsehen sowie einen Hinweis darauf enthalten, dass diese die Anonymisierung der Daten oder deren Löschung von den Organisationen verlangen dürfen.19 Der 56. Erwägungsgrund zur DSGVO erklärt darüber hinaus: „Wenn es in einem Mitgliedstaat das Funktionieren des demokratischen Systems erfordert, dass die politischen Parteien im Zusammenhang mit Wahlen personenbezogene Daten über die politische Einstellung von Personen sammeln, kann die Verarbeitung derartiger Daten aus Gründen des öffentlichen Interesses zugelassen werden, sofern geeignete Garantien vorgesehen werden.“ Die Datenerhebung müsste insofern zur ordnungsgemäßen Funktionsweise von politischen Parteien beitragen, beispielsweise indem deren innere Meinungsbildung durch solche Erhebungen unterstützt wird.20 Aber auch die Sammlung von Unterstützungsunterschriften zur Zulassung einer Partei zur Wahl nach § 27 Abs. 1 Bundeswahlgesetz würde unter diesen Erwägungsgrund fallen. Privilegiert werden durch die Vorschrift auch nur personenbezogene Daten bestimmter Personen, wie (ehemaligen) Mitgliedern oder Personen, die mit der Organisation regelmäßigen Kontakt unterhalten . Dazu zählen zum Beispiel Mitgliedschaftsinteressenten, regelmäßige Teilnehmer an Veranstaltungen, Beiräte, Freunde, Spender oder Unterstützer.21 Art. 9 Abs. 2 lit. d) DSGVO legt darüber hinaus auch fest, dass die Privilegierung der Tendenzbetriebe zunächst nur bezüglich einer internen Datenverarbeitung gilt. Sollen die Daten nach außen offengelegt werden, bedarf es der ausdrücklichen Einwilligung der betroffenen Person. Diese Anforderungen an die Einwilligung unterscheiden sich dann nicht von dem Einwilligungserfordernis des Art. 9 Abs. 2 lit. a) DSGVO.22 Im Ergebnis zählen also Parteien als politische Vereinigungen oder Organisationen i.S.d. Art. 9 Abs. 2 lit. d) DSGVO, die, wenn sie eine interne Verwaltung und Nutzung der Mitgliederdaten vornehmen, auch sich auf die politische Meinung beziehende personenbezogene Daten verarbeiten dürfen. 17 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 27. 18 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 27. 19 Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 43. 20 Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 44. 21 Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 75. 22 Petri, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, 2019, Art. 9 DSGVO, Rn. 56. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 8 5. Verhältnis von Art. 9 Abs. 1 DSGVO zu Art. 6 Abs. 1 S. 1 lit. f) DSGVO Art. 6 Abs. 1 S. 1 lit. f) DSGVO regelt in Bezug auf die Verarbeitung personenbezogener Daten: „Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“ Die Norm lässt also bei berechtigtem Interesse von Verantwortlichen oder Dritten die Datenverarbeitung zu, erfordert aber eine Abwägung zwischen den Interessen und Rechten der betroffenen Person und des Verarbeitenden. Art. 9 Abs. 2 DSGVO sieht für die nach Art. 9 Abs. 1 DSGVO besonders geschützten personenbezogenen Daten hingegen einen eigenen Katalog mit Ausnahmen für eine zulässige Verarbeitung vor. Das von Art. 9 Abs. 2 DSGVO erklärte Schutzniveau darf nicht über die Anwendung von anderen Ausnahmetatbeständen abgesenkt werden, soweit dieser weitergehende Anforderungen stellt.23 Die in Art. 9 Abs. 2 DSGVO normierten Ausnahmen sind abschließend zu verstehen und dürfen auch nicht durch die Mitgliedstaaten erweitert werden.24 Dies macht auch Erwägungsgrund 51 zur DSGVO deutlich, wenn er einerseits den besonderen Schutzstatus der in Art. 9 Abs. 1 DSGVO genannten Daten betont, und zum anderen erklärt: „Zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten.“25 Die Anforderungen an die Zulässigkeit der Datenverarbeitung können im Lichte der weiteren Normen der DSGVO in Bezug auf die besonders geschützten Daten – also gegenüber Art. 9 Abs. 2 DSGVO – nur noch gesteigert, nicht jedoch abgesenkt werden. Da Art. 9 Abs. 2 DSGVO seinerseits keine vergleichbare Regelung zu Art. 6 Abs. 1 S. 1 lit. f) DSGVO vorsieht, kann diese Ausnahme für personenbezogene Daten, aus denen die politische Meinung hervorgeht, nicht angewandt werden. 23 Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 32. 24 Schiff, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 9, Rn. 32; Weichert, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 9 DS-GVO, Rn. 46. 25 Hervorhebung nur hier. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 9 6. Anwendbarkeit von Art. 6 Abs. 1 S. 1 lit. f) DSGVO für Parteien Die Anwendbarkeit des Art. 6 Abs. 1 S. 1 lit. f) DSGVO könnte zudem für Parteien in Betracht kommen , wenn personenbezogene Daten verarbeitet werden, die nicht unter den speziellen Schutz des Art. 9 Abs. 1 DSGVO fallen. Aus diesen Daten darf also insbesondere nicht die politische Meinung hervorgehen. Nach Art. 6 Abs. 1 S. 2 DSGVO ist die Anwendung von Art. 6 Abs. 1 S. 1 lit. f) für Behörden in Erfüllung ihrer Aufgaben vorgenommenen Datenverarbeitungen ausgeschlossen. Der Behördenbegriff bestimmt sich dabei nach dem nationalen Recht26 und somit nach § 1 Abs. 4 Verwaltungsverfahrensgesetz . Behörde ist danach jede Stelle, die Aufgaben der öffentlichen Verwaltung wahrnimmt. Da Parteien keine Aufgaben der öffentlichen Verwaltung wahrnehmen, gilt der Ausschluss nach Art. 6 Abs. 1 S. 2 DSGVO für diese also nicht. Art. 6 Abs. 1 S. 1 lit. f) DSGVO greift im Verhältnis unter Privaten,27 also auch im Verhältnis von Parteien zu betroffenen Personen. Inwiefern die Verarbeitung personenbezogener Daten über diese Vorschrift zulässig sein kann, ist eine Frage des Einzelfalls und erfordert insbesondere eine Interessenabwägung. Im Rahmen dieser Abwägung werden sowohl die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person als auch die Interessen der Partei berücksichtigt. Dass die Datenverarbeitung insofern zum Beispiel politischen Zwecken und der Information über Ziele und Vorhaben einer Partei dient, bzw. der Mitwirkung an der politischen Willensbildung des Volkes (Art. 21 Abs. 1 S. 1 GG), kann im Rahmen der Interessenabwägung berücksichtigt werden. In der Literatur wird zum Beispiel auch eine gesonderte Möglichkeit der Berücksichtigung der Werbung für Spenden anerkannt.28 Das Ziel der Mitwirkung an der politischen Willensbildung des Volkes überwiegt aber nicht per se entgegenstehende Interessen und Rechte der betroffenen Person. 7. Das Konzernprivileg für Parteien? Fraglich ist, ob auch das sog. Konzernprivileg für Parteien Anwendung finden kann, beispielsweise wenn sie Daten unter den einzelnen Gliederungen oder Arbeitsgemeinschaften etc. austauschen . Dazu muss zunächst das Konzernprivileg erklärt und die Vergleichbarkeit von Konzernen und Parteien herausgearbeitet werden. Diesbezüglich ist jedoch zwischen verschieden Kategorien an Daten (Mitgliederdaten, Daten zu politischen Meinung, allgemeine personenbezogene Daten) zu unterscheiden. Die Begriffe Konzern und Unternehmensgruppe werden im Folgenden synonym verwandt, da insoweit deren rechtliche Unterscheidungen für diese Ausarbeitung nicht relevant sind. 26 Heberlein, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 6, Rn. 24. 27 Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 6 DS-GVO, Rn. 26. 28 Buchner/Petri, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 6 DS-GVO, Rn. 177. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 10 7.1. Der Begriff des Konzernprivilegs Der Begriff des Konzernprivilegs wird im Kontext verschiedener Teilrechtsgebiete (beispielsweise dem Arbeits- oder dem Aktienrecht) verwendet, um speziell auf Konzerne bezogene Regelungen zu umschreiben. Einen Konzern bilden nach § 18 Aktiengesetz (AktG) „ein herrschendes und ein oder mehrere abhängige Unternehmen, [die] unter der einheitlichen Leitung des herrschenden Unternehmens zusammengefaßt [sind]“. Konzernunternehmen werden insbesondere durch Regelungen zur Besteuerung nach dem Gewerbesteuergesetz und dem Umsatzsteuergesetz privilegiert.29 7.2. Der Begriff des Konzernprivilegs im Datenschutzrecht In der Literatur wird darüber diskutiert, ob speziell in Bezug auf das Datenschutzrecht ein Konzernprivileg existent ist. Jedenfalls eine ausdrückliche Privilegierung eines Konzerns im Hinblick auf datenschutzrechtliche Vorgaben ist der deutschen Rechtsordnung bislang fremd.30 Den Regelungen der DSGVO kommt in diesem Zusammenhang eine maßgebliche Bedeutung zu. Bei mehreren „Verantwortlichen“ im Sinne der DSGVO kommt Art. 26 DSGVO zur Anwendung, der die eindeutige Zuweisung von Verantwortlichkeiten bezweckt.31 „Verantwortlicher“ ist nach Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Ob bei einer gemeinsamen Verantwortlichkeit das Erfordernis zur Rechtfertigung der wechselseitigen Datenweitergabe und -verarbeitung entfällt, in diesem Sinne also ein Konzernprivileg besteht, ist in der Literatur umstritten.32 Das Vorliegen einer gemeinsamen Verantwortlichkeit ist eine Frage des Einzelfalls.33 Jedenfalls sind dann die weiteren aus Art. 13 und 14 DSGVO resultierenden Informationspflichten zu beachten und es ist in „transparenter Form“ zu vereinbaren, wer genau welche Pflichten erfüllt (Art. 26 Abs. 1 S. 2 DSGVO). Erwägungsgrund 48 der DSGVO wird in der Literatur teilweise als „kleines Konzernprivileg“ bezeichnet .34 Andere Stimmen in der Literatur weisen darauf hin, dass auch Erwägungsgrund 48 kein 29 Voigt/v.d. Bussche, Konzerndatenschutz, 2. Aufl. 2019, Rn. 2. 30 Schröder, in: ders. (Hrsg.), Datenschutzrecht für die Praxis, 3. Aufl. 2019, S. 60. 31 Piltz, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 26, Rn. 2, Hervorhebung nur hier. 32 Dagegen Hartung, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 26 DS-GVO, Rn. 27; Nink, in: Spindler/Schuster (Hrsg.), Recht der elektronischen Medien, 4. Aufl. 2019, Art. 26, Rn. 2; dafür Piltz, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 26 DS-GVO, Rn. 8; Martini, in: Paal/Pauly (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 26 DS-GVO, Rn. 3a. 33 Piltz, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 26, Rn. 7. 34 Ausdrücklich Wurzberger, ZD 2017, 258, 260; Spoerr, in: Wolff/Brink (Hrsg.), BeckOK, Datenschutzrecht, 32. Ed., Art. 26, Rn. 3 m.w.N. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 11 Konzernprivileg im eigentlichen Sinne enthält.35 Personenbezogene Daten dürften nur unternehmensintern weitergegeben und verarbeitet werden, nicht jedoch innerhalb des gesamten Konzerns.36 Erwägungsgrund 48 der DSGVO lautet: „Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind können ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln. Die Grundprinzipien für die Übermittlung personenbezogener Daten innerhalb von Unternehmensgruppen an ein Unternehmen in einem Drittland bleiben unberührt.“37 Die insoweit erklärte Möglichkeit der Datenweitergabe im Konzern entspricht wiederum den Vorgaben des Art. 6 Abs. 1 S. 1 lit. f) DSGVO. 7.3. Parteien vergleichbar einer Unternehmensgruppe im Sinne der DSGVO? Unter Unternehmensgruppe im Sinne der DSGVO ist gemäß Art. 4 Nr. 19 DSGVO „eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht“ zu verstehen. Parteien kommen gegenüber den Bürgern keine Hoheits- oder Zwangsgewalt zu – sie sind private Vereinigungen38 und insoweit mit privaten Unternehmen vergleichbar. Parteien gliedern sich nach § 7 Abs. 1 S. 1 Parteiengesetz in Gebietsverbände. Für Parteimitglieder sollen durch die Gliederungen vor Ort Mitwirkungs- und Einflussmöglichkeiten sichergestellt werden.39 Den jeweiligen Verbänden kommt zwar eine gewisse Selbstständigkeit (beispielsweise in Personalund Finanzierungsfragen) zu; diese ist jedoch nicht unbegrenzt.40 Die Gebietsverbände sind nach § 6 Abs. 1 S. 2 Parteiengesetz zwar dazu befugt, „ihre Angelegenheiten durch eigene Satzungen [zu regeln]“, dies gilt indes nur „soweit die Satzung des jeweils nächsthöheren Gebietsverbandes hierüber keine Vorschriften enthält“. Die Bundesebene kann damit verbindliche Kriterien für die Satzungen aller Untergliederungsebenen vorgeben.41 Die Gebietsverbände werden seitens der Gesamtpartei bzw. der jeweils höheren Parteiebene gegründet bzw. aufgelöst.42 Auch die Mitgliedschaft in der Partei stellt sich als sog. gestufte Mehrfachmitgliedschaft dar. Die persönliche Mitgliedschaft erstreckt sich also ausgehend von der lokalen Ebene bis auf die Bundesebene in 35 Voigt/v.d. Bussche, Konzerndatenschutz, 2. Aufl. 2019, Rn. 2. 36 Schröder, in: ders. (Hrsg.), Datenschutzrecht für die Praxis, 3. Aufl. 2019, S. 60. 37 Hervorhebung nur hier. 38 Kunig, in: Isensee/Kirchhof (Hrsg.), Handbuch des Staatsrechts, 3. Aufl. 2005, § 40, Rn. 84. 39 Morlok, Parteiengesetz, 2. Aufl. 2013, § 7, Rn. 1. 40 Morlok, Parteiengesetz, 2. Aufl. 2013, § 7, Rn. 4. 41 Morlok, Parteiengesetz, 2. Aufl. 2013, § 6, Rn. 5. 42 Lenski, Parteiengesetz, 2011, § 7, Rn. 11 f. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 12 einem gestuften Verhältnis. Die Mitgliedschaft nur auf einer bestimmten Ebene ist nicht möglich.43 Die Parteien stellen insofern organisatorisch regelmäßig „Gesamtvereine“ dar, die die nachgeordneten Gebietsverbände umfassen.44 „Die Untergliederung eines Gesamtvereins erfolgt häufig auf mehreren Ebenen und führt so zu einer mehrstufigen Organisationsstruktur. So gliedert sich beispielsweise die Christlich- Soziale Union Bayern eV in zehn Bezirksverbände, über 100 Kreisverbände und knapp 3.000 Ortsverbände. Wer der Partei beitritt, erwirbt neben der Mitgliedschaft im CSU eV auch Mitgliedschaften in dem jeweils für ihn zuständigen Bezirks-, Kreis- und Ortsverband.“45 Gesamtvereine unterteilen sich in Haupt- und Zweigvereine. Diese sind rechtlich selbstständig und verfügen über selbstständige Vermögen.46 Haupt- und Zweigvereine können auch eigenständig rechtsgeschäftlich handeln. Bezogen auf die datenschutzrechtliche Behandlung scheint mithin eine Differenzierung angezeigt. Bezieht sich ein Datenaustausch auf Mitgliederdaten, so ist festzustellen, dass aufgrund der Mitgliedschaft auf den einzelnen Ebenen diese jeweils die Daten als eigene vollständig nutzen können. Insofern bedarf es aufgrund der jeweils bestehenden Mitgliedschaft für diese Daten keiner spezielleren Betrachtung des Konzernprivilegs. Die Übermittlung von Daten zwischen den einzelnen Parteiebenen kann schon auf Grundlage des folgenden Gedankens durch die DSGVO nicht völlig ausgeschlossen werden: Parteien wirken bei der politischen Willensbildung des Volkes mit (Art. 21 Abs. 1 S. 1 GG) – laut Bundesverfassungsgericht sind sie „vor allem Wahlvorbereitungsorganisationen “.47 Bei der Durchführung von Wahlen komme den Parteien von Verfassungswegen eine entscheidende Rolle zu.48 Der Gedanke der Vergleichbarkeit mit einer Unternehmensgruppe greift datenschutzrechtlich jedoch dann, wenn andere personenbezogene Daten, als solche von Mitgliedern verarbeitet werden sollen. So können beispielsweise Landesverbände aufgrund ihrer rechtlichen Selbstständigkeit eigene Vertragsverhältnisse unterhalten und somit über die Daten von Vertragspartnern verfügen. Diese Daten wären dann nur unter speziellen Umständen solche, aus denen die politische Meinung abgeleitet werden kann. Auch Spenden an einzelne Landes- oder Kreisverbände sind möglich, wobei die damit verbundenen personenbezogenen Daten unter den Schutz des Art. 9 Abs. 1 DSGVO fallen können. 43 Ipsen, in: ders. (Hrsg.), Parteiengesetz, 2. Aufl. 2018, § 7, Rn. 11; Lenski, Parteiengesetz, 2011, § 7, Rn. 15. 44 Morlok, Parteiengesetz, 2. Aufl. 2013, § 7, Rn. 4; Ipsen, in: ders. (Hrsg.), Parteiengesetz, 2. Aufl. 2018, § 7, Rn. 11. 45 Leuschner, in: Münchener Kommentar zum BGB, 8. Aufl. 2018, Vor. § 21, Rn. 140. 46 Leuschner, in: Münchener Kommentar zum BGB, 8. Aufl. 2018, Vor. § 21, Rn. 148. 47 BVerfGE 8, 51 (63). 48 BVerfGE 8, 51 (63). Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 13 Andere Untergliederungen wie angeschlossene Wirtschaftsvereine, Frauenzusammenschlüsse oder Jugendorganisationen sind im Einzelfall darauf zu untersuchen, ob es sich bei diesen um Unterorganisationen handelt, oder diese eigenständig zu betrachten sind.49 Stiftungen sind jedoch stets getrennt von der Gesamtpartei zu betrachten. 7.4. Voraussetzungen des Konzernprivilegs 7.4.1. Berechtigtes Interesse an der Datenübermittlung Davon ausgehend, dass die Datenübermittlung innerhalb einer Unternehmensgruppe besonderen Rechtfertigung bedarf,50 kommt es maßgeblich darauf an, wann ein berechtigtes Interesse an der Übermittlung personenbezogener Daten für interne Verwaltungszwecke innerhalb einer Unternehmensgruppe vorliegt. Erwägungsgrund 48 der DSGVO bezieht sich auf die Interessenabwägung des Art. 6 Abs. 1 S. 1 lit. f) DSGVO einschließlich der oben genannten Abwägungsklausel. 7.4.2. Interne Parteizwecke als berechtigte Interessen Zu den berechtigten Interessen im Sinne der Norm zählen rechtliche, tatsächliche, wirtschaftliche und ideelle Interessen.51 Interne Parteizwecke können ein tatsächliches Interesse begründen, beispielsweise bei Umfragen zur thematischen Schwerpunktsetzung oder die technisch-organisatorische Vorbereitung eines Wahlkampfs. Zu beachten ist dabei, dass stets jenes Mittel zu wählen ist, das am wenigsten eingriffsintensiv ist (beispielsweise eine anonyme Datenerhebung, wenn die internen Verwaltungszwecke hiermit auch zu erreichen sind).52 Dies kann durch einen Datenschutzbeauftragten sichergestellt werden.53 Erwägungsgrund 47 der DSGVO, der das Kriterium des berechtigten Interesses weiter spezifiziert, verdeutlicht, dass der Begriff des berechtigten Interesses weit zu verstehen ist.54 Ein berechtigtes Interesse könnte hiernach „beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z.B. wenn die betroffene Person ein Kunde des Verantwortlichen ist […]“. 7.4.3. Abwägung der widerstreitenden Interessen Alleine daraus, dass ein berechtigtes Interesse an der Datenverarbeitung vorliegt, resultiert noch nicht ihre Zulässigkeit. Das berechtigte Interesse der Verantwortlichen ist mit den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Personen abzuwägen.55 An die Rechtfertigung 49 Ipsen, in: ders. (Hrsg.), Parteiengesetz, 2. Aufl. 2018, § 7, Rn. 3. 50 Wurzberger, ZD 2017, 258, 260. 51 Buchner/Petri, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 6 DS-GVO, Rn. 146. 52 Schulz, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 6, Rn. 20 u. 57. 53 Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 6 DS-GVO, Rn. 27. 54 Frenzel, in: Paal/Pauly (Hrsg.), DS-GVO/BDSG, 2. Aufl. 2018, Art. 6 DS-GVO, Rn. 28. 55 Schulz, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 6, Rn. 57 f. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 14 der Datenverarbeitung sind umso höhere Anforderungen zu stellen, je weitergehender sich das aus der Datenverarbeitung resultierende Risiko für die Rechte und Grundfreiheiten der betroffenen Personen gestaltet.56 Dabei muss auch bei einer „konzerninternen“ Datenübermittlung für jeden beabsichtigten Verarbeitungsschritt einzeln die erforderliche Interessenabwägung vorgenommen werden, solange nicht einzelne andere Erlaubnistatbestände bestehen.57 Nach Erwägungsgrund 47 der DSGVO sind im Zuge der Abwägung „die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.“ Die Abwägung ist dann stets eine Frage des Einzelfalls und bedarf insbesondere der Berücksichtigung der konkret betroffenen Daten, Interessen und Rechte. 7.4.4. Besonderheit: Daten zur politischen Meinung Auch im Zusammenhang mit der Möglichkeit, ein „Konzernprivileg“ für Parteien anzunehmen, ist jedoch zwingend zu beachten, dass die Verarbeitung personenbezogener Daten, aus denen sich die politische Meinung ergibt, nur nach den Vorgaben des Art. 9 Abs. 2 DSGVO erfolgen darf. Insoweit gilt das unter Punkt 4. der Ausarbeitung Beschriebene. Das überwiegende berechtigte Interesse der Partei i.S.d. Konzernprivilegs genügt insofern bei personenbezogenen Daten, aus denen sich die politische Meinung ergibt, nicht. Hinzuweisen ist darüber hinaus auch erneut auf die in Art. 9 Abs. 2 lit. a) DSGVO geregelte Möglichkeit der Einwilligung in die Datenverarbeitung. 8. Überprüfung der Einhaltung von Datenschutzvorgaben durch nationale Stelle Nach § 40 Abs. 1 BDSG sind die Aufsichtsbehörden der Länder zuständig für die Überwachung der Anwendung der DSGVO durch nichtöffentliche Stellen. Welche Behörde dies im jeweiligen Bundesland genau ist, richtet sich nach den landesrechtlichen Datenschutzvorschriften. § 40 Abs. 2 BDSG regelt darüber hinaus: „Hat der Verantwortliche oder Auftragsverarbeiter mehrere inländische Niederlassungen, findet für die Bestimmung der zuständigen Aufsichtsbehörde Artikel 4 Nummer 16 der Verordnung (EU) 2016/679 entsprechende Anwendung. Wenn sich mehrere Behörden für zuständig oder für unzuständig halten oder wenn die Zuständigkeit aus anderen Gründen zweifelhaft ist, treffen die Aufsichtsbehörden die Entscheidung gemeinsam nach Maßgabe des § 18 Absatz 2. § 3 Absatz 3 und 4 des Verwaltungsverfahrensgesetzes findet entsprechende Anwendung.“ 56 Schulz, in: Gola (Hrsg.), DS-GVO, 2. Aufl. 2018, Art. 6, Rn. 59. 57 Heberlein, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 6, Rn. 26. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 153/20 Seite 15 Art. 4 Nr. 16 DSGVO definiert insoweit: „Hauptniederlassung“ a) „im Falle eines Verantwortlichen mit Niederlassungen in mehr als einem Mitgliedstaat den Ort seiner Hauptverwaltung in der Union, es sei denn, die Entscheidungen hinsichtlich der Zwecke und Mittel der Verarbeitung personenbezogener Daten werden in einer anderen Niederlassung des Verantwortlichen in der Union getroffen und diese Niederlassung ist befugt, diese Entscheidungen umsetzen zu lassen; in diesem Fall gilt die Niederlassung , die derartige Entscheidungen trifft, als Hauptniederlassung; b) im Falle eines Auftragsverarbeiters mit Niederlassungen in mehr als einem Mitgliedstaat den Ort seiner Hauptverwaltung in der Union oder, sofern der Auftragsverarbeiter keine Hauptverwaltung in der Union hat, die Niederlassung des Auftragsverarbeiters in der Union, in der die Verarbeitungstätigkeiten im Rahmen der Tätigkeiten einer Niederlassung eines Auftragsverarbeiters hauptsächlich stattfinden, soweit der Auftragsverarbeiter spezifischen Pflichten aus dieser Verordnung unterliegt“. Insofern ist nach geltendem Recht die Aufsichtsbehörde des Landes für die Datenschutzaufsicht zuständig, in denen die Partei Landes- oder Kreisverbände hat, die die entsprechenden Entscheidungen zur Verarbeitung personenbezogener Daten treffen. Lässt sich eine Hauptniederlassung i.S.d. Art. 4 Nr. 16 DSGVO feststellen, so kann auch der Sitz dieser maßgeblich für die Bestimmung der zuständigen Landesaufsichtsbehörde sein. Hat beispielsweise die Bundesparteizentrale in Berlin für die Mitglieder aller Landesverbände eine Datenverarbeitung vorgenommen, so wäre für die Aufsicht über diese Maßnahme der Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig. Fraglich ist, ob diese Aufgabe mittels einer Gesetzesänderung auch einer nationalen Stelle zugewiesen werden könnte. Anknüpfungspunkt dafür könnte das Merkmal der Partei sein. Das Bundesdatenschutzgesetz weist in § 9 BDSG dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit die Datenschutzaufsicht über bestimmte Stellen zu. Einer Erweiterung dieser Zuweisungen scheint aus Sicht des Bundesdatenschutzgesetzes nichts entgegen zu stehen. Auch die DSGVO steht der Übertragung der Zuständigkeit auf eine einzige Aufsichtsbehörde nicht entgegen. Art. 51 Abs. 1 DSGVO sieht vor, dass in jedem Mitgliedstaat „eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind“, wobei die Entscheidung darüber dem Mitgliedstaat obliegt. Da die DSGVO also die Entscheidung für eine oder mehrere Aufsichtsbehörden offen lässt, geht von dieser auch keine Einschränkung für die Zuständigkeitsaufteilung unter den Behörden eines Mitgliedstaats aus. Beachtlich ist jedoch, dass es auch zahlreiche Parteien gibt, die nur in einzelnen Regionen oder Ländern bestehen. Fraglich ist insofern, ob für diese eine Benachteiligung entstehen könnte, wenn sie sich trotz ihres regionalen Schwerpunkts einer Aufsichtsbehörde auf Bundesebene gegenüber sehen würden. Auch die Aufklärung bestimmter Sachverhalte könnte für die Behörde bei einer gewissen Distanz erschwert werden. Da mit der Aufsichtsbehörde jedoch nicht regelmäßig persönlicher Kontakt vor Ort erforderlich scheint, kann ein solcher Nachteil schwerlich vermutet werden. Ausreichende Ermittlungstätigkeiten vor Ort könnten auch anderweitig organisatorisch sichergestellt werden. ***