David Klein - DS-GVO/BDSG

209

Hinzu tritt, dass die Ausformung des Begriffs des öffentlichen Interesses in Art. 6 Abs. 2, 3 S. 3die Fortsetzung der Begrifflichkeit aus Art. 7 lit. c und e DSRL darstellt, dessen inhaltlicher Gehalt von den Mitgliedstaaten ausgeformt wurde. Daran ändert sich auch dadurch nichts, dass die DS-GVO im Unterschied zur DSRL unmittelbare Anwendung findet. Denn entgegen der Annahme, dass der Begriff des öffentlichen Interesses keiner Interpretation durch die Mitgliedstaaten zugänglich ist, spricht bereits, dass dieser Begriff in den Mitgliedstaaten unterschiedlich beurteilt wird. Insofern ermöglichen erst Rechtssetzungsakte des nationalen Gesetzgebers eine begriffliche Konkretisierung und unterstreichen deren Notwendigkeit.[384] In der Folge ergeben sich aus einzelstaatlicher Perspektive keine begrifflichen Änderungen gegenüber der DSRL. Als öffentliches Interesse gelten im deutschen Recht demnach etwa die Regelungsbereiche der Ordnungsverwaltung einschließlich der Regelungen des Straßenverkehrs sowie die Leistungsverwaltung wie z.B. in Gestalt der Daseinsvorsorge.[385] Weshalb die Regelungen des BDSG außerhalb dieses Anwendungsbereichs liegen sollten ist nicht ersichtlich.[386]

210

Grundsätzlich gilt der Vorrang des Unionsrechts gegenüber dem mitgliedstaatlichen Recht bei Kollision unionsrechtlicher und mitgliedstaatlicher Regelungen. Diesem Regelungskomplex folgt auch die bisherige Rechtsprechungspraxis. Das BVerfG hat in seiner Solange II-Entscheidung die eigene Prüfungskompetenz auf ausbrechende Rechtsakte der Union beschränkt. Ein Regelungskonflikt besteht insoweit gerade dann, wenn eine nationale Vorschrift mit der bereits zuvor normierten DS-GVO nicht vereinbar erscheint. Der Gerichtshof erlaubt in Übereinstimmung mit deutschen Gerichten nicht, mitgliedstaatliches Recht anzuwenden, wenn es nach ihrer Auffassung gegen unmittelbar geltendes EU-Recht verstößt.[387]

211

Nationales Recht wird in diesem Fall nicht nichtig, sondern bleibt exekutiv unangewendet. Dafür muss ein Unionsmitglied z.B. außerhalb einer in der DS-GVO normierten Öffnung Recht erlassen, etwa außerhalb ihres sachlichen Anwendungsbereichs gem. Art. 2 Artikel 2 Sachlicher Anwendungsbereich (1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen, c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. (3) 1 Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. 2 Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst. (4) Die vorliegende Verordnung lässt die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der Artikel 12 bis 15 dieser Richtlinie zur Verantwortlichkeit der Vermittler unberührt. – ErwG: 13–21 – BDSG n.F.: § 1 . Um selbst dann von einer Rechtsanwendung ebendieses mitgliedstaatlichen Rechts abzusehen, muss die EU-Rechtswidrigkeit derart offensichtlich sein, dass sie der Gerichtshof der EU auch attestiert.[388] Hier dürften die Hürden hoch sein, weil die Nichtanwendung eine faktische Verwerfung darstellt und den Verantwortlichen in einen Normenkonflikt zwischen BDSG und DS-GVO in der Auslegung durch die Aufsicht bringt. Es besteht bei Nichtanwendung nationalen Rechts insbesondere aus Sicht der Aufsichtsbehörden das Risiko, dass die Norm etwa in einem anschließenden Verwaltungsgerichtsprozess mit Vorlage an den EuGH, doch als unionsrechtskonform eingestuft wird.[389] Das Risiko ausräumen können die Behörden nicht selbstständig, da diese nicht vorlageberechtigt sind und mithin der Weg über Art. 267 AEUV versperrt ist. Wenn einzelstaatliche Gerichte jedoch Unionsrechtsakte außer Anwendung lassen wollen, sind diese zur Vorlage nicht nur berechtigt, sondern verpflichtet.[390] Weil die Aufsicht mit der faktischen Verwerfung nationalen Rechts eine besondere Rechtsunsicherheit erzeugt, ist insbesondere mit Blick auf drohende Amtshaftungsprozesse höchste Sorgfalt bei der Prüfung der Europarechtswidrigkeit geboten.

212

Die Öffnungsklausel des Abs. 2ist aufgrund des Wortes „können“ fakultativer Natur. Auch unter teleologischen Gesichtspunkten ist die legislative Präzisierung verzichtbar und es „wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt“[391]. Es handelt es sich also bei Abs. 2 um eine freiwillig zu nutzende Öffnungsklausel und es besteht keine Pflicht der Mitgliedstaaten spezifische Regelungen zu erlassen.[392]

213

Dies alles gilt auch für die in Kap. IX ( Art. 85–91) geregelten Verarbeitungssituationen.

214

Die Anforderungen an die Rechtsgrundlagen für die Verarbeitungen gem. Abs. 1 lit. cund ekönnen sich nach Abs. 3 UAbs. 1sowohl aus dem Unionsrecht ( Abs. 3 UAbs. 1 lit. a), als auch aus dem jeweiligen nationalen Recht, „dem der Verantwortliche unterliegt“ ( Abs. 3 UAbs. 1 lit. b), ergeben. Erst mit einer rechtlichen Ermächtigung oder Verpflichtungen ist der Verantwortliche befugt eine rechtmäßige Verarbeitung gem. Abs. 1 lit. cund edurchzuführen. Dementsprechend kann die Schaffung einer Rechtsgrundlage als Pflicht angesehen werden. Das Erfordernis des Abs. 3 UAbs. 1ergibt sich aber bereits aus dem Primärrecht bzw. dem GG und ist dementsprechend lediglich wiederholend.[393] Ein von einem Parlament angenommener Gesetzgebungsakt ist dafür nicht zwingend erforderlich.[394]

215

Weiter nennt Abs. 3eine Reihe von Anforderungen an die Rechtsvorschriften. Danach ist bei beiden Verarbeitungszwecken der Zweck der Verarbeitung in der Rechtsgrundlage festzulegen. Der Zweckbindungsgrundsatz ist aber bereits primär-, als auch sekundärrechtlich normiert und mithin selbstverständlich zu erfüllen.[395] Jenem Erfordernis muss nicht ausdrücklich Rechnung getragen werden, sondern vielmehr reicht die Erkennbarkeit des impliziten Zwecks der Rechtsgrundlage.[396] Zudem muss sie ein im öffentlichen Interesse liegendes Ziel verfolgen sowie verhältnismäßig in Bezug auf den verfolgten Zweck sein.[397]

216

Die Öffnung für nationale Rechtsetzung in Bezug auf die Datenverarbeitung durch öffentliche Stellen findet sich in Abs. 3 UAbs. 2 S. 2und 3.[398] Die Öffnungsklausel des Abs. 3geht mit der des Abs. 2einher, weil Abs. 3die Existenz einer verordnungsrechtlichen Erlaubnis zum Erlass mitgliedstaatlichen Rechts voraussetzt.[399] Es handelt sich hier um kumulative, ganzheitlich zu erfüllende Anforderungen, die für die Verarbeitungen nach Abs. 1 UAbs. 1 lit. cund e von den Mitgliedstaaten zu erfüllen sind.[400] Zwar wird das Verhältnis des Abs. 2und Abs. 3teilweise als „unklar“[401] umschrieben, was nicht unberechtigt erscheint. Hinsichtlich der Systematik der Öffnungsklausel ist gleichwohl Folgendes festzuhalten:[402] Art. 6 Abs. 3 S. 2legt fest, dass die Rechtsgrundlage im mitgliedstaatlichen Recht nicht nur den Zweck der Verarbeitung festlegen, sondern darüber hinaus die Verarbeitung für die Erfüllung einer Aufgabe erforderlich sein muss, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt („Muss-Inhalt“).[403] S. 2 des Abs. 3legt also den pflichtigen Mindeststandardfest, den die Mitgliedstaaten bei der Schaffung mitgliedstaatlichen Rechts beachten müssen.[404] S. 2statuiert damit eine Umsetzungspflicht und greift so den Regelungsauftrag aus Abs. 3 S. 1 lit. bauf.[405] Abs. 3 S. 3enthält über S. 2hinausgehend eine fakultative Zusatzmöglichkeitzum Erlass spezifischer mitgliedstaatlicher Regelungen („Kann-Inhalt“).[406] Denn nach S. 3 kanndie mitgliedstaatliche Regelung spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften der DS-GVO enthalten. Der fakultative Charakter der Öffnungsklausel zur Schaffung spezifischen mitgliedstaatlichen Rechts nach Abs. 3 S. 3folgt also aus dem Wortlaut der Verordnung („muss“ in S. 2, „kann“ in S. 3). Den Mitgliedstaaten wird durch S. 3somit die Entscheidung darüber überlassen, ob sie über den pflichtigen Mindeststandard des Art. 6 Abs. 3 S. 2hinaus die Anforderungen hinsichtlich der Rechtmäßigkeit der Datenverarbeitung nach S. 3spezifizieren.[407]