DSGVO - BDSG - TTDSG

36

Der weit gefasste Anwendungsbereich des europäischen Datenschutzrechts und die Erfassung von Verantwortlichen außerhalb der Union im Rahmen des Marktortprinzips gemäß Art. 3 Abs. 2 DSGVO bedeutet für diese eine parallele Anwendung des europäischen Datenschutzrechts, des lokalen Datenschutzrechts108 und ggf. weiterer Datenschutzregime. Daneben stellt sich die Frage, wie mit Kollisionenzwischen den mitgliedstaatlichen Datenschutzrechten im Rahmen der Öffnungsklauseln umgegangen wird.

37

Die Ausweitung des Anwendungsbereichs des europäischen Datenschutzrechts durch das Marktortprinzip geht mit der Begründung paralleler Regelungsregime einher. Diese kristallisieren sich etwa in der Frage, ob US-Cloud-Anbieterim Anwendungsbereich des europäischen Datenschutzrechts personenbezogene Daten von Verantwortlichen in der Union herausgeben müssen, weil sie dazu aufgrund des US-Sicherheitsrechts verpflichtet sind.109 Für diese kollisionsrechtliche Frage gibt es eine dogmatische Lösung, nämlich die Anwendung des Rechts nach den Regelungen des eigenen Kollisionsrechts. Der europäische Rechtsanwender würde entsprechend der Regelung in Art. 3 Abs. 1 oder Abs. 2 DSGVO die DSGVO anwenden, der US-amerikanische Rechtsanwender die Regelungen des US-Sicherheitsrechts. In der Praxis führt dies für Verantwortliche und Auftragsverarbeiter zu erheblichen praktischen Problemen, für die es in der DSGVO keine Lösung gibt. Insbesondere können die Parteien diesen Konflikt nicht durch Rechtswahl lösen. Gemäß Art. 3 Abs. 1 Satz 1 Rom-I-VO ist eine Rechtswahl nämlich auf das für einen schuldrechtlichen Vertrag anwendbare Recht beschränkt. Die Parteien können aber nicht von den Voraussetzungen gemäß Art. 3 DSGVO abweichende Regelungen zum anwendbaren Datenschutzrecht treffen.110 Art. 3 DSGVO ist nämlich eine Eingriffsnorm im Sinne des Art. 9 Abs. 1 Rom-I-VO, die gemäß Art. 9 Abs. 2 Rom-I-VO nicht zur Disposition der Vertragsparteien steht.

38

Dieses Dilemma lässt sich für den Normadressaten im Zweifel nicht angemessen lösen, da zwei Rechtsordnungen für sich Geltung beanspruchen und die Frage der anzuwendenden Regelung von dem angerufenen Gericht oder der angerufenen Stelle abhängt. Für Verantwortliche und Auftragsverarbeiter läuft dies häufig auf die Entscheidung zwischen zwei nicht gewollten Alternativen hinaus. Sie können den Anwendungskonfliktvermeiden und damit den Anforderungen beider Rechtsordnungen entsprechen, indem sie den Dienstleister nicht beauftragen oder einen Prozess nicht in einen Staat außerhalb der Union auslagern. Alternativ kann man den Konflikt mit einer Rechtsordnung zulasten des Konflikts mit der anderen Rechtsordnung lösen. Soweit dies als pragmatisches Vorgehen bezeichnet wird,111 ist es im Ergebnis nur eine Umschreibung für einen Rechtsbruch, der aufgrund höher bewerteter Geschäftsinteressen im Rahmen einer wirtschaftlichen Risikobewertung in Kauf genommen wird.

39

Die DSGVO enthält keine Art. 4 DSRl vergleichbaren Kollisionsregelungenfür Anwendungskonflikte zwischen mitgliedstaatlichen Datenschutzgesetzen, die im Rahmen der Öffnungsklauseln erlassen wurden.112 Territoriale Anwendungskonflikte zwischen mitgliedstaatlichen Datenschutzgesetzen sind aber nicht ausgeschlossen, sodass sich die Frage nach deren Auflösung stellt. Dafür sollte zunächst geklärt werden, ob mitgliedstaatliche Regelungen vom Rahmen der Öffnungsklauseln erfasst sind. Soweit dies nicht der Fall ist, besteht ein Anwendungskonflikt mit der DSGVO, der stets zur Anwendbarkeit der DSGVO führt. Soweit die mitgliedstaatliche Regelung sich im Rahmen der Öffnungsklauselbefindet, muss im nächsten Schritt nach dem mitgliedstaatlichen Datenschutzrecht die territoriale Anwendbarkeit geklärt werden (zur deutschen Regelung siehe § 1 BDSG Rn. 25ff.).113 Für eine direkte oder analoge Anwendung des Art. 3 DSGVO besteht – jedenfalls aus der Perspektive des deutschen Rechts – keine Notwendigkeit.114 Ebenfalls bedarf es keiner fortgesetzten Anwendung der Regelungen gemäß Art. 4 DSRl.115

1ErwG 23; Albrecht, CR 2016, 88, 90; Piltz, K&R 2016, 557, 558. 2von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 4. 3Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 3; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 30. 4Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 31; Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 131. 5Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 3; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 32. 6Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 33. 7Piltz, in: Gola, DS-GVO, Art. 3 Rn. 4. 8Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 4. 9EuGH, 13.5.2014 – Rs. C-131/12, Rn. 49 – Google/Spain; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 9. 10Dazu EuGH, 1.10.2015 – Rs. C-230/14, Rn. 29 – Weltimmo; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 9; Piltz, K&R 2016, 557, 558. 11Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 3. 12ErwG 22. 13Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 7; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 10. 14EuGH, 1.10.2015 – Rs. C-230/14 – Weltimmo; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 8. 15Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 42. 16Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 44. 17Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 7; Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 19f. 18EuGH, 1.10.2015 – Rs. C-230/14, Rn. 33 – Weltimmo. 19EuGH, 24.9.2019 – Rs. C-507/17, Rn. 49 – Google vs CNIL. 20Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 20; Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 22f.; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 19. 21Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 8; a.A. Bergmann/Möhrle/Herb, Datenschutzrecht, Art. 3 Rn. 10. 22Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 7; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 46. 23EuGH, 28.7.2016 – Rs. C-191/15, Rn. 76 – Verein für Konsumenteninformation; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 12. 24Piltz, in: Gola, DS-GVO, Art. 3 Rn. 13. 25Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 38. 26Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 45. 27Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 45. 28Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 8; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 17. 29EuGH, 13.5.2014 – Rs. C-131/12 – Google/Spain; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 15. 30Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 55. 31Piltz, in: Gola, DS-GVO, Art. 3 Rn. 19. 32So Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 12; wohl auch Hoffmann, ZD-Aktuell 2017, 05488; zur Beauftragung von Auftragsverarbeitern in Drittstaaten durch Verantwortliche im Anwendungsbereich der DSGVO siehe Rn. 32f. 33Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 34. 34Freund, in: Schuster/Grützmacher, Kommentar zum IT-Recht, Art. 28 DSGVO Rn. 53f.; Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 33; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 38; im Ergebnis ebenfalls: Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 12. 35Diese Ähnlichkeit für die Auslegung auch heraushebend Rauer/Ettig, in: Wybitul, DSGVO, Art. 3 Rn. 1; zwar stellt Art. 4 Abs. 1 lit. a DSRl vielmehr eine Kollisionsnorm zwischen den Mitgliedstaaten selbst dar, dieses ist jedoch ausschließlich dem Regelungsmittel als Richtlinie geschuldet und ist vom Regelungsziel ähnlich. 36EuGH, 13.5.2014 – Rs. C-131/12, Rn. 32ff. – Google/Spain. 37EuGH, 13.5.2014 – Rs. C-131/12, Rn. 32ff. – Google/Spain. 38StIGH, 10 7.9.1927 – P.C.I.J., Series A – No. 10 – Rn. 45 – S.S. Lotus; ausführlich dazu Ipsen, Völkerrecht, § 5 Rn. 59ff. 39Dazu Funken, Das Anerkennungsprinzip im internationalen Privatrecht, S. 269f. 40Dies außer Acht lassend Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 12; ebenso wohl auch Bergmann/Möhrle/Herb, Datenschutzrecht, Art. 3 DSGVO Rn. 12. 41EGMR, 10.5.2001 – Nr. 25781/94, Rn. 75ff., 135ff. – Zypern v. Türkei; EGMR, 8.4.2004 – Nr. 71503/01, Rn. 138f. – Assanidze v. Georgia; Jarass, in: Jarass, GRCh, Art. 51 Rn. 39. 42Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 15. 43Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 15. 44Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 12; Klar, DuD 2017, 533. 45StIGH, 107.9.1927 – P.C.I.J., Series A – No. 10 – Rn. 45 – S.S. Lotus; ausführlich dazu Ipsen, Völkerrecht, § 5 Rn. 59ff., Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 172f. 46Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 25f.; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 14. 47Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 16. 48Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 16. 49Dazu ohne inhaltliche Festlegung: Piltz, in: Gola, DS-GVO, Art. 3 Rn. 35; Piltz, K&R 2016, 557, 559; Hoffmann, ZD-Aktuell 2017, 05488. 50Art.-29-Datenschutzgruppe, Stellungnahme 8/2010 zum anwendbaren Recht, WP 179, S. 24, die auch nach der Google/Spain-Entscheidung sich zu Recht nur bestätigt sahen, Art.-29-Datenschutzgruppe, Update of Opinion 8/2010, WP 179 update, S. 6f. 51Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 76f. 52Herrmann, in: Grabitz/Hilf/Nettesheim, Das Recht der Europäischen Union, Art. 28 AEUV Rn. 40; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 76f. 53Herrmann, in: Grabitz/Hilf/Nettesheim, Das Recht der Europäischen Union, Art. 28 AEUV Rn. 41; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 79; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 17. 54Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 79. 55ErwG 23; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 6; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 17. 56Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 88. 57Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 18. 58ErwG 23; Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 16; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 28. 59ErwG 23; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 83; Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6; Uecker, ZD 2019, 67, 69. 60Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 84; Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 18. 61Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 14; Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 18. 62Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6. 63Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6. 64Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6. 65Brauneck, in: EuZW 2019, 494, 497; Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 32. 66Schlender, in: Gierschmann/Schlender/Stentzel/Veil, DSGVO, Art. 3 Rn. 23. 67Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 16; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 87; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 30. 68von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 16. 69Piltz, in: Gola, DS-GVO, Art. 3 Rn. 27; Piltz, K&R 2016, 557, 559. 70Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 17. 71Piltz, in: Gola, DS-GVO, Art. 3 Rn. 29; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 32. 72Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 13; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 82. 73Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 94f. 74Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 64. 75Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 23. 76EuGH, 7.12.2010 – Rs. C-585/08, C-144/09, C-324/09 – Pammer/Hotel Alpenhof. 77StIGH, 107.9.1927 – P.C.I.J., Series A – No. 10 – Rn. 45 – S.S. Lotus; ausführlich dazu Ipsen, Völkerrecht, § 5 Rn. 59ff. 78EGMR, 10.5.2001 – Nr. 25781/94, Rn. 75ff., 135ff. – Zypern v. Türkei; EGMR, 8.4.2004 – Nr. 71503/01, Rn. 138f. – Assanidze v. Georgia; Jarass, in: Jarass, GRCh, Art. 51 Rn. 39. 79ErwG 24. 80Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 98; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 19. 81Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 98; Piltz, K&R 2016, 557, 559; Schantz, NJW 2016, 1841, 1842. 82Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 98; Schantz, NJW 2016, 1841, 1842. 83Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 84Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 85Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 86Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 87Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 58; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 31; a.A. Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 92. 88Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 2; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 25; Schlender, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 3 Rn. 24. 89Ratsdokument, 27.3.2013, 8004/13, S. 50, Fn. 59; Piltz, in: Gola, DS-GVO Art. 3 Rn. 25. 90Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 11. 91Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 11. 92Klar, DuD 2017, 533, 534; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 11. 93Piltz, in: Gola, DS-GVO, Art. 3 Rn. 26; Schlender, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 3 Rn. 29; Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 46. 94Siehe dazu Ratsdokument, 4.12.2012, 16529/12, Fn. 47. 95Klar, DuD 2017, 533, 535; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 18. 96Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 18. 97Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 223f. 98Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 32. 99Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 54; Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 117f. 100Dazu Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 121f. 101Vgl. EDPB Leitlinien 3/2018, S. 24f. 102Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 103. 103ErwG 25; Schlender, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 3 Rn. 25. 104Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 21. 105Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 66. 106Zum Verfahren der Inkorporation siehe auch Piltz, BDSG, § 1 Rn. 56ff.; Voigt, CR 2020, 315, 316. 107Zur Kurzdarstellung des Verfahrenshergangs siehe Note by Subcommittee V, 23.5.2013, Ref. 1113623, S. 2; im Detail geregelt in der Verordnung (EG) Nr. 2894/94 des Rates über die Modalitäten der Durchführung des EWR-Abkommens, ABl. L 305, 30.11.1994, S. 6. 108von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 3. 109von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 26. 110EuGH, 28.7.2016 – Rs. C-191/15, Rn. 45ff.; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 105; Laue, ZD 2016, 463, 466f.; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 38 und 42; Piltz, K&R 2012, 640, 641. 111von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 26. 112Dazu Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 107; Laue, ZD 2016, 463, 464; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 27ff.; Piltz, in: Gola, DS-GVO Art. 3 Rn. 37; Piltz, K&R 2016, 557, 559. 113Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 108. 114Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 108; Laue, ZD 2016, 463, 464. 115So aber von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 28.