Niederlassung in der EU genügt allein nicht
Das Kriterium der Verantwortlichkeit schränkt das oben erläuterte Niederlassungsprinzip ein. So ist nicht allein deshalb zu schlussfolgern, dass Facebook irischem Datenschutzrecht mit europäischem Schutzstandard unterliegt, weil der Konzern dort eine Niederlassung unterhält. Umgekehrt darf aber auch nicht davon ausgegangen werden, dass die irische Niederlassung als bloße Abrechnungsstelle keinerlei Einfluss auf Datenverarbeitungsvorgänge nimmt. Nur wenn diese EU-Niederlassung die jeweilige datenschutzrelevante Aktivität in eigener Verantwortung vornimmt, gilt auch das Datenschutzrecht des Mitgliedsstaats, in dem sie sich befindet.
Beispiele Verantwortlichkeitsprinzip: Facebook-Like-Button
Eine andere Frage ist die der datenschutzrechtlichen Verantwortlichkeit. Diese wird beim Einsatz des Facebook-Like-Buttons neben Facebook zum Beispiel durch das unabhängige Landeszentrum für Datenschutz Schleswig-Holstein auch dem Webseitenbetreiber zugeschrieben, da er den Quellcode des Buttons in seine Webseite eingebunden hat. Mit dieser Argumentation forderte das ULD im Herbst 2011 die in Schleswig-Holstein ansässigen Webseitenbetreiber auf, den Button zu entfernen, da über § 3 Abs. 1 TMG auch deutsche Rechtsvorgaben zu beachten seien. Gegen die Verantwortlichkeit des Webseitenbetreibers wird unter anderem eingewandt, dass dieser keinerlei Einfluss darauf habe, wann und in welchem Umfang die Erhebung welcher Daten erfolge und diese Entscheidung letztlich bei Facebook liege. Eine verlässliche Entscheidung zu den streitigen Fragen existiert bislang nicht. Zur datenschutzkonformen Anpassung des Facebook-Like-Buttons finden Sie hier weitere Informationen.
Beispiel Verantwortlichkeitsprinzip: Google Analytics
Auch bei dem Webanalyse-Dienst Google Analytics fällt die grundsätzliche Entscheidung für die Erhebung der Daten zum Zweck der Übermittlung an Google durch den inländischen Betreiber der Webseite. Dass er über den genauen Zeitpunkt und Umfang nicht Bescheid weiß, ändert daran nichts. Im Unterschied zum Facebook-Like-Button ist für den Besucher hier überhaupt keine Verbindung zu Google zu erkennen. Er ist sich beim Besuch der Webseite zu keinem Zeitpunkt darüber im Klaren, dass sein Verhalten aufgezeichnet wird. Damit entscheidet der Webseitenbetreiber über den Zweck der Übermittlung an Google und ist daher nach der Definition der Artikel 29-Datenschutzgruppe insoweit als "verantwortliche Stelle" anzusehen.