DSGVO - BDSG - TTDSG

6

Weitere Impulse für die Vereinheitlichung des europäischen Datenschutzrechts und Weiterentwicklung des Informationsbinnenmarktes verspricht die Digitalstrategie der neuen Kommission.23 Zentrale Elemente davon sind die Regulierung künstlicher Intelligenz,24 Cybersicherheit und die Europäische Datenstrategie.25 Ziel der Europäischen Datenstrategie ist nicht weniger als „ die EU in die Lage [zu] versetzen [...] , zur attraktivsten, sichersten und dynamischsten datenagilen Wirtschaft der Welt zu werden , [...].“26 Erster Schritt zur Umsetzung der Datenstrategie ist der Kommissionsentwurf eines Daten-Governance-Gesetzes27 mit dem der europäische Informationsbinnenmarkt gestärkt werden soll. Ziele, die mit dem Entwurf des Daten-Governance-Gesetzes verfolgt werden, sind die Bereitstellung von Daten aus dem öffentlichen Sektor zur Weiterverwendung der Daten, an denen Rechte Dritter bestehen, die gemeinsame Datennutzung durch Unternehmen gegen Entgelt, die gemeinsame Datennutzung personenbezogener Daten durch Einschaltung von Mittlern und die Ermöglichung der Datennutzung zu altruistischen Zwecken. Nächste Schritte im Gesetzgebungsverfahren sind die Beratung und Beschlussfassung im Europäischen Parlament und im Europäischen Rat.

7

Die Kirchen regeln den Datenschutz aufgrund der Freiheitsgarantie des Art. 140 GG i.V.m. Art. 137 Abs. 3 Satz 1 WRV und des daraus folgenden kirchlichen Selbstbestimmungsrechts autonom28 und haben sich dabei weitgehend an den allgemeinen Datenschutzgesetzen orientiert. Nach Art. 91 DSGVO ist ihnen das weiter möglich, soweit ihr Datenschutzrecht mit der DSGVO „in Einklang“ steht (siehe dazu Art. 91 Rn. 25f.).29 Der Datenschutz in der Evangelischen Kirche ergibt sich aus dem Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz – DSG-EKD), der Datenschutz in der katholischen Kirche ist im Gesetz über den Kirchlichen Datenschutz (KDG) geregelt.

8

Wie bei der Normierung des nationalen Datenschutzrechts ist auch auf internationaler Ebene die technische Entwicklung Schrittmacher des Datenschutzrechts.30 Die globale Vernetzung und die Entstehung des Internets sind nicht an nationale Grenzen gebunden und machen eine internationale Regulierung des Datenschutzrechts erforderlich.31

9

Bereits 1980 wurden von der OECD „Leitlinien für den Schutz des Persönlichkeitsrechts und den grenzüberschreitenden Verkehr personenbezogener Daten“ verabschiedet.32 Diese enthalten materielle und verfahrensrechtliche Regelungen des Datenverkehrs im privaten und im öffentlichen Sektor sowie Regeln für die grenzüberschreitende Datenübermittlung.33 Bedeutung kommt ihnen insbesondere durch die Etablierung des Datenschutzrechts als Gegenstand internationaler Regulierung zu.34 Zudem hatten die Regelungen prägenden Einfluss auf zahlreiche Regelungen zum Datenschutz in OECD-Mitgliedstaaten.35 Die Leitlinie wurde 2013 erstmals von einem Multistakeholder-Expertengremium mit dem Ziel angepasst, die gesellschaftlichen und volkswirtschaftlichen Veränderungen stärker zu berücksichtigen.36 Zur Umsetzung dieses Ziels wurden zwei wesentliche Maßnahmen gewählt. Einerseits ist ein risikobasierter Ansatzzur praktischen Umsetzung des Schutzes der Privatsphäre implementiert worden. Andererseits wurden große Anstrengungen unternommen, durch neue Konzepte die Verbesserung von Interoperabilität zu erreichen und so der globalen Dimension des Datenschutzes Rechnung zu tragen.37

10

Auch die Vereinten Nationen haben sich der automatisierten Datenverarbeitung angenommen und 1985 einen ersten Richtlinienentwurf zum Datenschutz durch die UN-Menschenrechtskommissionerarbeitet.38 1990 wurden die „Richtlinien zur Verarbeitung personenbezogener Daten in automatisierten Dateien“ verabschiedet.39 Sie enthalten allgemeine Empfehlungen für die Gestaltung des Datenschutzrechts unter Beachtung des Grundsatzes der Datenrichtigkeit, der Zweckbestimmung und der Beachtung der Rechte der Betroffenen40 im privaten und im öffentlichen Sektor. Wie bei den OECD-Leitlinien handelt es sich jedoch nicht um bindendes Völkerrecht, sodass sich keine Umsetzungspflicht für nationale Gesetzgeber ergibt.41

11

Die erste völkerrechtlich verbindliche Normierung des Datenschutzrechts ist die Europäische Datenschutzkonvention,42 die 1981 verabschiedet, den Mitgliedstaaten zur Ratifizierung vorgelegt und 1985 mit der Verabschiedung des Ratifizierungsgesetzes43 in Deutschland geltendes Recht wurde. Mit Stand Dezember 2020 ist die Konvention von 55 Staaten ratifiziert worden.44 Sie regelt den Datenschutz bei der automatischen Verarbeitung personenbezogener Daten natürlicher Personen und enthält Prinzipien des Datenschutzes, wie den Grundsatz der rechtmäßigen Datenerhebung nach Treu und Glauben (Art. 5a), den Zweckbindungsgrundsatz der Datenerhebung und Verarbeitung (Art. 5b und 5c), den Grundsatz der richtigen Datenerhebung (Art. 5d), den Grundsatz der Anonymisierung (Art. 5e) sowie den Grundsatz der Datensicherheit (Art. 7). In Art. 12 werden zudem Regelungen zum grenzüberschreitenden Datenverkehr getroffen.

12

Noch Anfang der 1990er Jahre differierte das Datenschutzniveau innerhalb der Union erheblich und wurde damit ein Hindernis für den innereuropäischen Handel.45 Dies war Anlass für den europäischen Gesetzgeber, den Schutz personenbezogener Daten in der DSRl46 zu normieren.47 In der Folge haben die Mitgliedstaaten nationale Umsetzungsgesetze erlassen und so jedenfalls theoretisch einen europäischen Informationsbinnenmarkt mit einem einheitlichen Datenschutzniveaugeschaffen (siehe Art. 1 Rn. 50ff.). Praktisch divergierte das Schutzniveau innerhalb der Union dennoch stark. Begründet war das neben der unterschiedlichen Ausgestaltung des Datenschutzrechts in den nationalen Datenschutzgesetzen insbesondere in der teils erheblich divergierenden Auslegung und Durchsetzungspraxis.

13

Die DSRl sollte in einem Rechtsakt die Grundsätze zum Schutz personenbezogener Daten zusammenzufassen und damit die Grundlage der Normierung des Datenschutzrechts in den Mitgliedstaaten schaffen,48 um das Datenschutzrecht auf möglichst hohem Niveau in der Union zu vereinheitlichen.49 Die DSRl knüpfte dafür an die Grundsätze des Datenschutzes nach der Datenschutzkonvention des Europarates an50 und ordnete in ErwG 10 an, dass ihre Umsetzung nicht zu einer Absenkung des Schutzniveaus in den Mitgliedstaaten führen darf. Die DSRl strebte eine umfassende, aber nicht lückenlose Harmonisierungdes Datenschutzrechts in der Union an und den Abbau rechtlicher Hindernisse für den freien Datenverkehr (ErwG 7).51 Die Normierung des Datenschutzrechts erfolgte in Ergänzung zur DSRl auf europäischer Ebene durch weitere Richtlinien, wie die ePrivacy-Richtlinie,52 die Richtlinie über die Vorratsdatenspeicherung53 und die Cookie-Richtlinie.54

14

Schon lange vor Erlass der DSRl im Jahr 1995 war das Datenschutzrecht in Deutschland durch das BDSG a.F. und Datenschutzgesetze der Länder geregelt (siehe Rn. 4ff.). Das BDSG a.F. wurde 1977 verabschiedet und in drei Novellen wesentlich überarbeitet. Das Gesetz zur Fortentwicklung der Datenverarbeitung und des Datenschutzes55 aus dem Jahr 1990 entwickelte das BDSG auf der Basis des verfassungsrechtlichen Meilensteins des Datenschutzrechts,56 dem Volkszählungsurteil des Bundesverfassungsgerichts,57 weiter (zum Volkszählungsurteil siehe Art. 1 Rn. 25f.). Der Schwerpunkt lag hierbei auf der Überarbeitung der Regelungen des Datenschutzes im öffentlichen Bereich.58