David Klein - DS-GVO/BDSG

217

Das Verhältnis von Abs. 3 S. 2zu S. 3ist vor allem für den Kontroll- und Prüfungsmaßstabbedeutsam, dem die jeweiligen mitgliedstaatlichen Umsetzungsnormen bei der Ausgestaltung der Öffnungsklausel unterliegen.[408] Denn sofern die mitgliedstaatliche Regelung bloß den pflichtigen Mindeststandard nach Abs. 3 S. 2im erfüllt, handelt es sich dabei lediglich um eine Umsetzung europäischer Vorgaben, so dass Prüfungsmaßstab das Europarecht bildet und eine Kontrolle durch den EuGH gegeben ist.[409] Im Rahmen der fakultativen Spezifizierungsmöglichkeit nach Abs. 3 S. 3werden die Mitgliedstaaten hingegen aus ihrer unionsrechtlichen Verantwortung zugunsten der nationalen Gerichtsbarkeit entlassen.[410] Diese Sichtweise wird nunmehr auch durch die Rechtsprechung des BVerfG in seinen Entscheidungen „ Recht auf Vergessen I“[411] und „ Recht auf Vergessen II“[412] gestützt.[413]

218

Für öffentliche Stellen besteht keine Relevanz.

219

Unternehmen sollten sich bei ausschließlicher Anwendung von innerstaatlichen Normen, die auf Grundlage von Art. 6 Abs. 2im BDSG n.F. erlassen wurden – namentlich insbesondere § 4 BDSG– der Diskussion um eine mögliche Europarechtswidrigkeit bewusst sein. Insofern wird teilweise die Frage aufgeworfen, ob § 4 BDSGmit Blick auf die Wahrnehmung öffentlicher Interessen wirksam erlassen wurde.[414] Im Falle der Nichtanwendung des BDSG ist an Amtshaftungsansprüche gegenüber der Aufsicht zu denken.

220

Für betroffene Personen besteht keine Relevanz.

221

Wenn Aufsichtsbehörden Normen, die im Rahmen der Öffnungsklauseln in den Mitgliedstaaten erlassen wurden, trotz mangelnder Beanstandung der entsprechenden BDSG-Normen durch die EU-Kommission nicht anwenden, dann sind sie schon mit Blick auf drohende Amtshaftungsprozesse gehalten, die Unionsrechtswidrigkeit der im Rahmen der Öffnung erlassenen Regelungen genau zu prüfen. Sie müssen sich bewusst darüber sein, dass in der Nichtanwendung derartiger Bestimmungen deren einstweilige faktische Verwerfung liegt. Weil der Anwendungskonflikt der verantwortlichen Stelle zwischen DS-GVO und BDSG n.F. mit weitreichenden Konsequenzen verbunden ist, bis der EuGH die Rechtslage geklärt hat, geht die Aufsicht bei Nichtanwendung des BDSG erhebliche Kostenrisiken bei Prozessen ein, wenn sie Bußgelder verhängt. Entscheidet sie sich für ein Vorgehen im Wege der Anweisung, so ist das prozessuale Kostenrisiko erheblich reduziert. Der Streitwert dürfte sich dann nicht nach der Bußgeldhöhe richten, sondern pauschal geringer bemessen lassen. Weil der Anwendungskonflikt der verantwortlichen Stelle zwischen DS-GVO und BDSG n.F. mit weitreichenden Konsequenzen verbunden ist, bis der Europäische Gerichtshof die Rechtslage geklärt hat, geht die Aufsicht bei Nichtanwendung des BDSG erhebliche Kostenrisiken bei Prozessen ein, wenn sie Bußgelder verhängt. Entscheidet sie sich für ein Vorgehen im Wege der Anweisung, so ist das prozessuale Kostenrisiko erheblich reduziert. Der Streitwert dürfte sich dann nicht nach der Bußgeldhöhe richten, sondern sich pauschal geringer bemessen lassen.[415]

Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

– ErwG: 50

– BDSG n.F.: §§ 23–25

222

ErwG 50 benennt die Grundlagen der in Art. 6 Abs. 4geregelten Zweckänderungen. Im Wesentlichen finden sich dort die Voraussetzungen, die auch im eigentlichen Text der Vorschrift niedergeschrieben sind. Teilweise enthält ErwG 50 aber auch darüber hinausgehende Ausführungen, die zum Verständnis und zur Auslegung der Vorschrift herangezogen werden können. Insbesondere wird statuiert, dass im Falle der Vereinbarkeit von neuen Zwecken und denen, für die die personenbezogenen Daten ursprünglich erhoben wurden, keine andere gesonderte Rechtsgrundlage erforderlich ist als diejenige für die Erhebung der personenbezogenen Daten.[416]

223

§ 4 BDSGregelt die Videoüberwachung öffentlich zugänglicher Räume. Hier ist eine strenge Zweckbindung vorgesehen ( § 4 Abs. 1 Nr. 3 BDSG). Für einen anderen Zweck dürfen sie nur weiterverarbeitet werden, soweit dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist ( § 4 Abs. 3 S. 3 BDSG).

224

§§ 23und 24 BDSGenthalten spezielle Regelungen zur Verarbeitung zu anderen Zwecken durch öffentliche Stellen ( § 23) sowie durch nichtöffentliche Stellen ( § 24). § 23 BDSGsieht einen sechs Ziffern umfassenden Katalog vor, nach dem eine Verarbeitung unter neuem Zweck zulässig sein kann. Die Regelung für nichtöffentliche Stellen ( § 24) ist merklich schlanker und erlaubt eine Verarbeitung zu einem anderen als dem ursprünglichen Zweck lediglich für die Gefahrenabwehr oder im Rahmen zivilrechtlicher Ansprüche. Nichtöffentliche Stellen werden ihre etwaigen im Wege einer Zweckänderung stattfindenden Verarbeitungsvorgänge demnach hauptsächlich an Art. 6 Abs. 4zu messen haben (vgl. dazu unten Rn. 260 ff.).

225

In diesem Licht liest sich auch § 48 BDSG, der die „Verarbeitung zu anderen Zwecken“ im Rahmen der Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten erlaubt (vgl. dazu ab Rn. 280 ff.). § 48 BDSGbefindet sich in Teil 3, den „Bestimmungen für Verarbeitungen zu Zwecken gem. Art. 1 Abs. 1 der Richtlinie (EU) 2016/680“[417] und ist daher nur im Rahmen der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit anwendbar.

226

Schon der ursprüngliche Kommissionsentwurf für eine Datenschutz-Grundverordnung[418] sah in deren Art. 6 Nr. 4 die Möglichkeit einer „Weiterverarbeitung“ außerhalb des ursprünglichen Zwecks vor. Danach musste der Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten erhoben wurden, „vereinbar“ sein, andernfalls musste auf die Verarbeitung einer der in Abs. 1 genannten allgemeinen Rechtfertigungsgründe zutreffen. Die Norm unterstellte daher bei grundsätzlicher „Vereinbarkeit“ mit dem Ursprungszweck eine Weiterverarbeitungsbefugnis. Diese Systematik war so grundsätzlich schon in der DSRL 95/46/EG vorgesehen. Gleichwohl enthielt die Version des Berichterstatters eine komplette Streichung des Art. 6 Nr. 4 mit der Begründung, dass für eine Änderung des Zwecks „ohnehin einer der Rechtsgründe gem. Abs. 1 Anwendung finden muss. Auch die DSRL ermöglicht keine Änderung des Zwecks, so dass das Schutzniveau hier beibehalten werden sollte“.[419] Auch die Parlamentsversion sah diesen Passus dementsprechend nicht mehr vor. Die Version des Rates sah daraufhin wieder die ursprüngliche Formulierung der Kommission vor und ging noch darüber hinaus. Danach sollte die Weiterverarbeitung durch denselben für die Verarbeitung Verantwortlichen für nicht konforme Zwecke aufgrund der berechtigten Interessen dieses für die Verarbeitung Verantwortlichen oder eines Dritten rechtmäßig sein, sofern diese Interessen gegenüber den Interessen der betroffenen Person überwiegen. Das Parlament hatte jedoch immer wieder klargestellt, dass es kein Zurück hinter den Schutzstandard und damit insbesondere die Grundsätze der Richtlinie aus dem Jahr 1995 geben dürfe, sodass letztlich die Einigung auf die Kompatibilitätsgesichtspunkte des heutigen Art. 6 Abs. 4erfolgte.[420]