David Klein - DS-GVO/BDSG

30

Damit fällt eine manuelle Datenerhebung, die nicht im weitesten Sinne darauf ausgerichtet ist, die Daten in ein entsprechendes System zu überführen, trotz ihrer persönlichkeitsrechtsrelevanten Auswirkungen nicht in den Anwendungsbereich der DS-GVO.[10] Eine Weiterverarbeitung von Daten auf dem Papier wäre so jedenfalls nicht erfasst, wenn sie bspw. in einer unsortierten Akte zusammengefasst werden. Sobald aber Daten in einer nach bestimmten Kriterien sortierten – wenn auch analogen – Ablage zusammengefasst werden, etwa in Karteikartensystemen oder in nach festgelegten Gesichtspunkten geführten Personal- oder Krankenakten, liegt eine Speicherung i.S.d. Art. 2 Abs. 1vor.[11] Die Anforderungen an den Umstand, dass Daten „gespeichert werden sollen“, sind nicht zu hoch anzusetzen. Hierzu ist insbesondere keine zielgerichtete Absicht im Moment der manuellen Datenerhebung vonnöten. Es reicht aus, dass die Möglichkeit in Betracht gezogen wird; ebenso schadet nicht, dass die Entscheidung über die Speicherung erst noch von einer übergeordneten Stelle getroffen werden muss.

31

Art. 2 Abs. 2führt vier Fälle der Verarbeitung personenbezogener Daten auf, auf die die DS-GVO keine Anwendung findet.

32

Nach Art. 2 Abs. 2 lit. afindet die Verordnung keine Anwendung auf Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen. Unter Zugrundelegen des ErwG 16 sind dies Tätigkeiten etwa im Rahmen der nationalen Sicherheit.

33

Die Vorschrift korrespondiert mit der begrenzten Rechtsetzungsbefugnis der Union, wie sie sich aus Art. 16 Abs. 2 AEUV ergibt. Nach Art. 16 Abs. 2 AEUV erlassen das Parlament und der Rat Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, sofern diese durch die Organe, Einrichtungen und sonstigen Stellen der Union erfolgt, sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen. Im Umkehrschluss ist diejenige Tätigkeit der Nationalstaaten, die nicht von der Rechtsetzungsbefugnis der Union erfasst ist, zugleich von der Geltung des DS-GVO ausgenommen.

34

Unter Zugrundelegung des ErwG 16 können dies Tätigkeiten sein, die mit der Verarbeitung personenbezogener Daten einhergehen, etwa im Rahmen der nationalen Sicherheit. Erfasst von der Geltung der DS-GVO ist dagegen der Bereich der polizeilich-justiziellen Zusammenarbeit nach Art. 81–86 AEUV.

35

Ausgenommen von der Geltung der Verordnung sind über die in ErwG 16 genannten Fragen der nationalen Sicherheit hinaus aber alle Tätigkeiten, die ein Mitgliedstaat in denjenigen Bereichen entfaltet, die nach den üblichen Abgrenzungskriterien, dem Prinzip der begrenzten Einzelermächtigung, der Verhältnismäßigkeit und der Subsidiarität den Nationalstaaten zustehen.[12]

36

Ausgenommen ist weiter eine Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen des auswärtigen Handelns und der Gemeinsamen Außen- und Sicherheitspolitik (GASP) gem. Titel V Kapitel 2 EUV (Art. 23–46 EUV). Die Ausnahme liegt darin begründet, dass Art. 39 EUV eine eigene Ermächtigungsgrundlage enthält, aufgrund derer der Rat Vorschriften erlassen kann über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Titel V Kapitel 2 fallen.[13] Insoweit ist zweifelhaft, ob der Datenschutz – jedenfalls nach Erlass derartiger Vorschriften – unmittelbar an Art. 7 und 8 GRCh zu messen ist.

37

Der Ausnahmetatbestand des Art. 2 Abs. 2 lit. c, die sog. „Haushaltsausnahme“ oder auch das Haushaltsprivileg, war bereits Bestandteil des Art. 3 Abs. 2 2. Spiegelstrich der DSRL und des BDSG a.F. Die Regelung folgt dem Gedanken, dass die häusliche Privatsphäre ihrerseits den grundrechtlichen Schutz des allgemeinen Persönlichkeitsrechts genießt und so von der staatlichen Regelungsbefugnis ausgenommen sein soll.[14]

38

ErwG 18 enthält nur ansatzweise Hinweise auf den Umfang der Regelung. So soll „auch das Führen eines Schriftverkehrs oder von Anschriftenverzeichnissen oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen solcher Tätigkeiten“ Ausdruck persönlicher oder familiärer Datenverarbeitungstätigkeiten sein können. Insbesondere Art. 4enthält insoweit keine Definitionen der Begriffe „persönlich“ und „familiär“.[15] Sprachlich ist eine Abweichung festzustellen zum Wortlaut etwa der englischen und der französischen Fassung, die anstelle des Begriffs „private“ in der deutschen Fassung die Begriffe „household“ bzw. „domestique“ verwenden. Die genannten Fassungen dürften somit den Regelungsgehalt besser zum Ausdruck bringen, weil sie stärker als die deutsche Fassung auf die häusliche Privatsphäre abstellen.

39

Der Abgrenzung bedarf die Vorschrift insoweit, als – wie ErwG 18 dies ausführt – auch bei häuslicher Datenverarbeitung kein Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit bestehen darf. Damit sind neben der Erfassung und Pflege bspw. rein familiärer Kontaktdaten auch Datensammlungen erfasst, die über den privaten Kreis hinausgehen, also Dritte außerhalb des Familienkreises betreffen, so über Prominente, Sportler oder sonstige außenstehende Personen, die für den Privaten von Interesse sind, etwa im Rahmen eines privaten Hobbies.[16] Fehlt derartigen Verarbeitungsvorgängen der wirtschaftlich-berufliche Bezug, sind auch diese von der Geltung der DS-GVO ausgenommen. Somit dürfte etwa die Beobachtung des Eingangsbereichs privat genutzter Wohnhäuser mittels einer Videokamera nicht der DS-GVO unterfallen.[17]

40

Die Nutzung sozialer Netzwerke im häuslich-privaten Bereich ist dann von der Geltung der DS-GVO ausgenommen, wenn der Kreis der Zugriffsberechtigten auf das jeweilige Datum begrenzt ist. Wird die Information an eine unbestimmte Vielzahl von Personen verbreitet, muss hierfür die DS-GVO trotz des grundsätzlich privaten Rahmens der Nutzung gelten.[18] Dies steht im Übrigen im Einklang mit der Rechtsprechung des EuGH zu Art. 3 Abs. 1, 2, Art. 8 Abs. 1 DSRL, wonach auch die private Nutzung des Internets dann der Richtlinie unterfällt, wenn die betreffenden Daten einer unbegrenzte Zahl von Personen zugänglich gemacht werden.[19] Deswegen ist eine Beschränkung der Privilegierung bei Nutzung sozialer Netzwerke auf einen engen Familien- und Freundeskreis zu fordern.[20] Ob die Ausnahme nach lit. c greift, ist damit aber letztlich einzelfallabhängig.

41

Besteht eine Verbindung zu beruflicher oder wirtschaftlicher Betätigung, gleich in welcher konkreten Ausgestaltung diese stattfindet, greift die Ausnahme nach lit. c nicht. Dies gilt nach zutreffender Ansicht auch, wenn die Tätigkeit nicht auf Gewinnerzielung angelegt ist, also auch bei Datenverarbeitung in ehrenamtlicher Funktion; letztere dient gerade nicht nur persönlichen Zwecken.[21]

42

Das Kriterium der Ausschließlichkeit einer Datenverarbeitung zu persönlichen oder privaten Zwecken führt zugleich dazu, dass eine private Datenverarbeitung, die sowohl den privaten wie den geschäftlichen Bereich betrifft, nicht der Privilegierung nach lit. c unterfallen kann.[22] Ob gerade bei gemischten Dateien bzw. Nutzungen eine Abgrenzung nach dem Schwerpunkt der jeweiligen Datenverarbeitung vorzugswürdig wäre,[23] kann insoweit bezweifelt werden, als die zunehmende Durchdringung auch des privaten Bereichs mit beruflichen Aspekten und die wachsenden technischen Möglichkeiten eine eher restriktive Auslegung fordern.[24] Ob eine Abgrenzung nach dem Schwerpunkt praktikabler wäre als das Kriterium der Ausschließlichkeit,[25] ist letztlich nicht nachweisbar; eine solche Vorgehensweise würde sich im Zweifel noch eher in Beweisfragen im Einzelfall aufreiben.