David Klein - DS-GVO/BDSG

17

Art. 2 Abs. 1beschreibt den sachlichen Anwendungsbereich der DS-GVO orientiert an den Zielen, die insbesondere in Art. 1skizziert werden, aber auch bereits mit der DSRL verfolgt wurden, nämlich den Schutz natürlicher Personen durch Gefährdungen des allgemeinen Persönlichkeitsrechts, die mit der automatisierten Datenverarbeitung oder der Speicherung von Daten in Dateisystemen[1] auf Grundlage manueller Datenverarbeitung einhergehen. Die Erfassung von Vorgängen manueller Datenverarbeitung soll einer Umgehung der Anwendbarkeit des DS-GVO vorbeugen.[2]

18

Die DS-GVO konkretisiert so die Rechte von Unionsbürgern nach Art. 8 GRCh, wonach jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Dabei wird aber nicht jede Art der Datenverarbeitung in Bezug genommen, sondern lediglich die in Abs. 1genannten. Zugleich verfolgt Art. 2 Abs. 1das Ziel, den grenzüberschreitenden Verkehr mit personenbezogenen Daten zu harmonisieren und zu regulieren.

19

Ausnahmen von der Geltung der Verordnung regelt insbesondere Abs. 2, wonach die Verordnung auf Verarbeitung personenbezogener Daten in den dort genannten Fällen keine Anwendung findet, obgleich die Voraussetzungen des Art. 2 Abs. 1erfüllt sind.

20

Abs. 3regelt die fortgesetzte Anwendbarkeit der Verordnung (EG) Nr. 45/2001 auf die Tätigkeit der Unionsorgane und ihrer Untergliederungen, zugleich die Anwendbarkeit weiterer Rechtsakte, die die Datenverarbeitung durch die Unionsorgane zum Gegenstand haben; zugleich wird vorgeschrieben, dass die betreffenden Rechtsakte an die Regelungen der DS-GVO anzupassen sind.

21

Schließlich bestimmt Abs. 4die Fortgeltung der E-Commerce-Richtlinie 2000/31/EG bezogen auf die Verantwortlichkeit von Vermittlern.

22

Insbesondere Art. 2 Abs. 1nimmt Teile der Begrifflichkeit nach Art. 4, „personenbezogene Daten“ ( Art. 4 Nr. 1), „Verarbeitung“ ( Art. 4 Nr. 2) und „Dateisystem“ ( Art. 4 Nr. 6) in Bezug.

23

Art. 2 Artikel 2 Sachlicher Anwendungsbereich (1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen, c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. (3) 1 Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. 2 Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst. (4) Die vorliegende Verordnung lässt die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der Artikel 12 bis 15 dieser Richtlinie zur Verantwortlichkeit der Vermittler unberührt. – ErwG: 13–21 – BDSG n.F.: § 1 entspricht insbesondere bezüglich der grundsätzlichen Anwendbarkeit sowie bezüglich der wesentlichen Ausnahmetatbestände Art. 3 DSRL. In Abweichung zur DSRL sind über Abs. 3nunmehr auch die Unionsorgane und ihre Einrichtungen jedenfalls mittelbar Adressaten der DS-GVO, indem auf die Verordnung (EG) Nr. 45/2001 verwiesen wird, die an die Grundsätze des DS-GVO angepasst werden soll. Der Vorschlag des EU-Parlaments, die Verordnung (EG) Nr. 45/2001 für die Organe und Einrichtungen der Union vorrangig gelten zu lassen, soweit die der DS-GVO nicht spezieller seien, wurde zugunsten der Anpassungsregelung in Abs. 3fallengelassen.[3] Die ursprünglich diskutierte Herausnahme der Datenverarbeitung im öffentlichen Bereich wurde zugunsten der Öffnungsklausel nach Art. 6 Abs. 2verworfen.

24

Art. 2 Abs. 1erstreckt die Anwendbarkeit des DS-GVO auf die Verarbeitung personenbezogener Daten im automatisierten und nicht-automatisierten Verfahren. ErwG 14 stellt klar, dass nur die Verarbeitung von Daten natürlicher Personen erfasst sein soll, nicht aber die Verarbeitung personenbezogener Daten juristischer Personen und insbesondere als juristische Person gegründeter Unternehmen, einschließlich Name, Rechtsform oder Kontaktdaten der juristischen Person.

25

Personenbezogene Daten sind demnach gem. Art. 4 Nr. 1solche Information, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Zentral ist damit die Identifizierbarkeit der Person anhand der betreffenden Daten, sei es direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen. Gemeint sind somit Daten, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind. Die Begrifflichkeit nach Art. 4 Nr. 1orientiert sich insoweit ihrerseits am Wortlaut von Art. 2 lit. a DSRL, der aber für sich genommen bereits umstritten war.[4]

26

Als Verarbeitung wird – in Abweichung zum Wortlaut des § 1 BDSG a.F., wo von „Umgang mit personenbezogenen Daten“ gesprochen wurde – gem. der Begrifflichkeit des Art. 4 Nr. 2jeder Vorgang, der personenbezogene Daten betrifft, angesehen.[5]

27

Vom Vorliegen einer automatisierten Datenverarbeitung ist immer dann auszugehen, wenn die Verarbeitung in einer Datenverarbeitungsanlage geschieht. Dass hierfür keine Beispiele benannt werden, kann im Zusammenhang mit ErwG 15 gesehen werden, dem zufolge der Schutz natürlicher Personen technologieneutral sein und nicht von den verwendeten Techniken abhängen soll. Folge ist zugleich eine weite Auslegung des Begriffs der automatisierten Datenverarbeitung[6], der dann alle technischen Einrichtungen erfasst, die im Zuge der Benutzung personenbezogene Daten – ggf. auch nur in geringem Umfang und kurzfristig – speichern, verarbeiten oder vermitteln. Dies können somit auch Computer, digitale Kopierer, Videoüberwachungssysteme, jedenfalls bei kontinuierlicher Speicherung von Informationen,[7] oder Smart-Home-Anwendungen sein.

28

Erfasst vom Begriff der automatisierten Datenverarbeitung sind auch teilautomatisierte Vorgänge, etwa bei manueller Eingabe von Daten in ein System, das diese dann automatisiert weiterverarbeitet. Eine teilautomatisierte Datenverarbeitung liegt auch vor, sofern bezüglich einer analogen Datensammlung eine automatisierte Indizierung mit dem Ziel leichterer Auffindbarkeit von Daten erzeugt wird.[8] Auch hier gilt wieder, dass entsprechend des ErwG 15 eine Umgehung der DS-GVO möglichst ausgeschlossen sein soll.

29

Gemäß dem Grundsatz der Technologieneutralität nach ErwG 15 wird auch die manuelle Datenvereinbarung erfasst, sofern die manuell erhobenen Daten in einem Dateisystem gespeichert werden oder gespeichert werden sollen. Der Begriff des Dateisystems ist wiederum unter Rückgriff auf Art. 4zu bestimmen. Hier wird der Begriff unter Nr. 6 beschrieben wird als „strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist, unabhängig davon, ob sie zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird“.[9] Die Formulierung stimmt insoweit mit Art. 2 lit. c DSRL überein, der als Ausgangspunkt aber noch den Begriff der Datei zugrunde legte; entsprechend war auch eine Vorfassung im Gesetzgebungsverfahren formuliert. Der Begriff „Dateisystem“ entspricht dem des „filing system“ in der englischen Fassung.