aus dem DSG mE nicht ableitbar ist. Auf diese Weise wird auch der Auftragsverarbeiter resp
die dem Verantwortlichen unterstellte Person stärker in die Pflicht genommen, ihre Geheim-
haltungspflicht zu wahren. Von der betroffenen Person kann die unterstellte Person im Falle
einer Verletzung mangels einer entsprechenden Rechtsgrundlage in der DS-GVO nicht in An-
spruch genommen werden. Jedoch bestehen im Falle einer Haftung Regressansprüche des
Verantwortlichen resp des Auftragsverarbeiters gegen die Person, welche die Geheimhal-
tungspflicht verletzt hat.
Schließlich ersetzt der Rechtfertigungsgrund der unions- bzw nationalrechtlichen Grund-
lage für die Datenverarbeitung einer unterstellten Person den schwammig formulierten und
einen sehr weiten Interpretationsspielraum zulassenden „rechtlich zulässigen Grund“ in
Art 10 DSG. Somit wird nun für die Verarbeitung klar die Weisung des Verantwortlichen bzw
des Auftragsverarbeiters oder eine gesetzliche Grundlage als Alternative hierzu vorausgesetzt,
was mE der Rechtssicherheit förderlich ist und eine einfachere Argumentation des Beweis-
pflichtigen (nämlich des Verantwortlichen resp des Auftragsverarbeiters) ermöglicht.
7.4.9 Weitere in der DS-GVO geregelte Grundsätze
7.4.9.1 Grundsatz der Transparenz
Der Grundsatz der Transparenz, welcher in der DS-RL nicht enthalten war, wird in Art 5
Abs 1 lit a DS-GVO zum Ausdruck gebracht??: Danach müssen personenbezogene Daten in
einer „für die betroffene Person nachvollziehbaren Weise verarbeitet werden“. Dieser Grund-
satz verpflichtet den Verantwortlichen in mehrerlei Hinsicht: Einerseits hat er mittels geeig-
neter Maßnahmen dafür zu sorgen, dass sämtliche Informationen und Mitteilungen über die
Verarbeitung der Daten der betroffenen Person für diese (aber auf dieser Grundlage nur die-
ser) leicht zugänglich und in einer klaren und einfachen Sprache sowie einer präzisen, trans-
parenten und verständlichen Form verfasst sind und übermittelt werden (Art 12 Abs 1 DS-
GVO).®* Andererseits muss der Verantwortliche seinerseits der betroffenen Person Informa-
tionen zur Verfügung stellen, welche sich auf die Datenverarbeitung selbst sowie den dafür
853 Vgl Kastelitz in Knyrim, Datenschutz-Grundverordnung, 100.
854 Vgl auch Erw 39 der DS-GVO.
157
