Sind Sachverständige Auftragsverarbeiter oder Verantwortliche iSd DSGVO?

 

Bereits im Blogartikel vom 13.05.2018 (gerichtlich bestellte Sachverständige und DSGVO) wurde darauf hingewiesen, dass die Aussage des Gesetzgebers, dass Sachverständige Auftragsverarbeiter iSd DSGVO seien, so in dieser Allgemeinheit nicht getroffen werden könne.

 

 

 

 

Nun hat das BVwG in einer Entscheidung vom 27.09.2018 (W214 2196366-2) in einem obiter dictum folgende Aussage gemacht:

 

 

 

Das Bundesverwaltungsgericht vertritt in diesem Zusammenhang - in Abweichung von den Erläuterungen zu § 83 GOG idF der Novelle BGBl. I Nr. 32/2018 (ErlRV 65 BlgNR XXVI. GP, 150) - die Rechtsansicht, dass gerichtlich beeidete Sachverständige zumindest gemeinsam mit dem Gericht, das sie mit der Gutachtenserstellung beauftragt hat, als Verantwortliche i.S. des Art. 4 Z 7 DSGVO zu betrachten sind, da sie selbständig und eigenverantwortlich über die Mittel ("Art und Weise, wie ein Ergebnis oder Ziel erreicht wird", siehe die Ausführungen in der Stellungnahme WP 169 vom 16.02.2010 der Art. 29-Datenschutzgruppe, wobei darauf hinzuweisen ist, dass der Begriff des Verantwortlichen nach der DSGVO von der RL 95/46/EG übernommen wurde) entscheiden. Das Gericht hat hinsichtlich der Methodik der Gutachtenserstellung und der Entscheidung, welche personenbezogenen Daten konkret verarbeitet werden, keinerlei Einfluss auf den Inhalt des Gutachtens und auch keine diesbezüglichen Weisungsbefugnisse. Damit wird von den Sachverständigen über wesentliche Aspekte der Mittel entschieden.

 

 

 

 

 

Die Schlussfolgerung des BVwG in diesem Zusammenhang bezieht sich auf einen gerichtlich bestellten Sachverständigen in einem Zivilprozess, der anlässlich einer Befundaufnahme Lichtbilder eines Zeugen angefertigt hat.

 

 

 

Es ist daher davon auszugehen, dass Sachverständige als „Verantwortliche“ iSd DSGVO auch die daraus resultierenden Verpflichtungen, nämlich insbes. das Prinzip der Rechtmäßigkeit des Art 6 oder Art 9 oder Art 10 DSGVO zu wahren haben.

 

Die Grundlage für die Verarbeitung von schlichten Daten wird - wenn man davon ausgeht, dass eine vertragliche Vereinbarung mit dem Auftraggeber (natürliche Person) gegeben ist - der Vertrag (Art 6 Abs 1 lit b DSGVO), in gewissen Bereichen das Gesetz (zB Aufbewahrungsverpflichtungen bei Rechnungslegung; daher Art 6 Abs 1 lit c DSGVO) oder - zB bei einem gerichtlichen Auftrag - das berechtigte Interesse iSd Art 6 Abs 1 lit f DSGVO bzw. bei Daten besonderer Kategorie die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder als "Handlungsorgan" des Gerichtes im Rahmen der justiziellen Tätigkeit (Art 9 Abs 2 lit f DSGVO) sein. ,

 

Es obliegt Ihnen auch die betroffenen Personen iSd Art 13 oder Art 14 DSGVO zu informieren, sofern sie sich nicht auf zumindest eine der Ausnahmen des Art 14 Abs 5 DSGVO berufen kann.

 

 

 

Ein Sachverständiger hat auch auf Anfragen von betroffenen Personen zu reagieren, und zB Auskunft nach Art 15 DSGVO zu erteilen. 

 

Auch ein Verzeichnis der Verarbeitungstätigkeiten gem. Art 30 Abs 1 DSGVO ist von einem Sachverständigen, sofern er die Verarbeitung nicht nur gelegentlich durchführt (Art 30 Abs 4 DSGVO) zu führen.