Codes of conduct are increasingly being used to concretise specific sections of the General Data Protection Regulation. Against the backdrop of the general discussion in administrative law on regulated self-regulation, Tim Templin investigates how Article 40 of the GDPR is being put into practice with codes of conduct that have so far been approved.

Wie wird das Konzept der regulierten Selbstregulierung durch datenschutzrechtliche Verhaltensregeln umgesetzt? Das zunehmend genutzte Instrument ermöglicht es Verbänden, die Vorgaben der DS-GVO sektorspezifisch zu konkretisieren und erleichtert den Nachweis rechtskonformen Handelns. Tim Templin untersucht konzeptionelle Grundlagen, rechtliche Grenzen sowie die praktische Umsetzung. Er demonstriert dabei die große Diversität der bisher genehmigten Verhaltensregeln, welche sich in ihrer Ausgestaltung und Ausrichtung erheblich unterscheiden, und erarbeitet eine anwendungsorientierte Auslegung des Art. 40 DS-GVO vor dem Hintergrund der allgemeinen verwaltungsrechtswissenschaftlichen Diskussion über die regulierte Selbstregulierung als Regulierungskonzept. Im Vergleich mit anderen Instrumenten der Selbstregulierung zeigt der Autor, dass die Verhaltensregeln zudem als Mittel zur Anwendungsharmonisierung herangezogen werden können.

Autorentext
Geboren 1996; Studium der Rechtswissenschaft an der Albert-Ludwigs-Universität Freiburg; 2019 Erste Juristische Prüfung; Wissenschaftlicher Mitarbeiter am Zentrum für Angewandte Rechtswissenschaften des Karlsruher Instituts für Technologie und am Lehrstuhl für Deutsches und Europäisches Öffentliches Recht und Rechtsvergleichung der Universität des Saarlandes; 2024 Promotion; Rechtsreferendariat am HansOLG Hamburg.

Inhalt
A. Einleitung: Objekt und Verlauf der Untersuchung
B. Verfahren und Rechtsfolgen des Art. 40 DS-GVO im Überblick
I. Verfahren - II. Prüfungsmaßstab und notwendiger Inhalt von Verhaltensregeln - III. Rechtsfolgen - IV. Auslegungsspielräume

C. Datenschutzrechtliche Verhaltensregeln nach Art. 40 DS-GVO in der Praxis
I. Die Verhaltensregeln der Berufsvereinigung der ArbeitgeberInnen privater Bildungseinrichtungen (Österreich) - II. Die Verhaltensregeln für Internet Service Provider (Österreich) - III. Die Verhaltensregeln für Bilanzbuchhaltungsberufe (Österreich) - IV. Verhaltensregeln für die Verarbeitung von mit intelligenten Messsystemen erhobenen personenbezogenen Daten (Österreich) - V. Der Verhaltenskodex für smartes Netzmanagement (Niederlande) - VI. Verhaltensregeln für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen (Österreich) - VII. Verhaltensregeln für die Datenverarbeitung im Rahmen von Werbetätigkeiten (Spanien) - VIII. Verhaltensregeln für die Verarbeitung personenbezogener Daten im Bereich klinischer Studien und anderer klinischer Forschung und der Pharmakovigilanz (Spanien) - IX. Verhaltenskodex für die Verarbeitung von personenbezogenen Daten in den gemeinsamen Informationssystemen des Versicherungssektors (Spanien) - X. Die Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien (Deutschland) - XI. Verhaltensregeln zu technischen und organisatorischen Maßnahmen der Notarinnen und Notare im Hinblick auf elektronische Aufzeichnungen und Hilfsmittel (Deutschland) - XII. Data Pro Code (Niederlande) - XIII. Verhaltensregeln "Anforderungen an die Auftragsverarbeiter nach Art. 28 DS-GVO - Trusted Data Processor" (Deutschland) - XIV. Transnationale Verhaltensregeln für Cloud-Anbieter - XV. Die Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die deutsche Versicherungswirtschaft als Sonderfall - XVI. Ergebnisse des Vergleichs der Verhaltensregeln

D. Regulierungsziele und -konzepte
I. Der Begriff der Regulierung - II. Regulierungsziele der DS-GVO - III. Regulierungskonzepte - IV. (Regulierte) Selbstregulierung in anderen Rechtsgebieten
E. Schlussfolgerungen
I. Schlussfolgerungen für die Auslegung des Art. 40 DS-GVO - II. Rechtspolitische Bewertung des Art. 40 f. DS-GVO - III. Erkenntnisse zum Konzept der Regulierten Selbstregulierung

F. Fazit und Ausblick