David Klein - DS-GVO/BDSG

91

Konsequenter erscheint dann wieder die Einbeziehung der §§ 40 bis 44. Sollte der S. 3 einschlägig sein, bietet § 40 eine Zuständigkeitszuordnung der betreffenden Aufsichtsbehörden. Sollte eine Stelle nach S. 3 außerhalb des S. 2 Daten verarbeiten, ist es theoretisch denkbar, dass sie sich rechtswidrig verhalten und Sanktionen nach dem fünften Kapitel des zweiten Teils unterworfen sind, und dass Klagen gegen sie erhoben werden, die nach § 44 zu behandeln sind.

92

Insgesamt scheinen die Verweisnormen nach S. 3 abgesehen von der Einbeziehung der §§ 40 bis 44 allerdings überprüfungswürdig. Allerdings hat der Gesetzgeber in der jüngsten Novelle des BDSG[62] nicht reagiert.

93

Der Hinweis auf die vorrangige Geltung der DS-GVO vor den Vorschriften des BDSG folgt aus dem Charakter der DS-GVO als Verordnung i.S.d. Art. 288 UAbs. 2 AEUV. Die Vorschrift hat insoweit deklaratorischen Charakter, findet laut Gesetzesbegründung aber ihre Rechtfertigung darin, dass wenn in diesem Kapitel punktuelle Wiederholungen von sowie Verweise auf Bestimmungen aus der DS-GVO erfolgten, dies aus Gründen der Verständlichkeit und Kohärenz geschehe und die unmittelbare Geltung der DS-GVO unberührt lasse: „Durch den integrativen Ansatz, gemeinsame Bestimmungen ‚vor die Klammer‘ zu ziehen, trägt der Gesetzgeber diesem hier besonderen Umstand Rechnung und mindert die Herausforderungen für den Rechtsanwender soweit europarechtlich vertretbar unter gleichzeitiger normökonomischer Entlastung des Fachrechts.“[63]

94

§ 1 Abs. 6 und 7 BDSG dienen der Klarstellung, welche Staaten bei Datenverarbeitungen zu Zwecken des Art. 2 Artikel 2 Sachlicher Anwendungsbereich (1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen, c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. (3) 1 Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. 2 Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst. (4) Die vorliegende Verordnung lässt die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der Artikel 12 bis 15 dieser Richtlinie zur Verantwortlichkeit der Vermittler unberührt. – ErwG: 13–21 – BDSG n.F.: § 1 (Abs. 6) und zu Zwecken des Art. 1 Abs. 1 der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates den Mitgliedstaaten der EU gleichstehen.[64]

95

Dies sind gem. Abs. 6 bezüglich der Datenverarbeitung nach Art. 2 Artikel 2 Sachlicher Anwendungsbereich (1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen, c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. (3) 1 Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. 2 Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst. (4) Die vorliegende Verordnung lässt die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der Artikel 12 bis 15 dieser Richtlinie zur Verantwortlichkeit der Vermittler unberührt. – ErwG: 13–21 – BDSG n.F.: § 1 die Vertragsstaaten über den Europäischen Wirtschaftsraum (Island, Norwegen, Liechtenstein) und die Schweiz, gem. Abs. 7 bzw. der Richtlinie (EU) 2016/680 die bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands assoziierten Staaten (Island, Norwegen und die Schweiz). Andere Staaten gelten jeweils als Drittstaaten.

96

Abs. 8 ordnet an, dass für Verarbeitungen personenbezogener Daten im Rahmen von Tätigkeiten, die weder dem Anwendungsbereich der Verordnung (EU) 2016/679 noch der Richtlinie (EU) 2016/680 unterfallen, die Verordnung (EU) 2016/679 und Teil 1 und Teil 2 des BDSG entsprechende Anwendung finden.

97

Damit wird klargestellt, dass auch für diejenige Tätigkeit öffentlicher Stellen, die von der Geltung der vorgenannten EU-Rechtsakte ausgenommen sind, ein datenschutzrechtliches Vollregime gilt, jedenfalls soweit das BDSG oder ein anderes Gesetz keine spezielle Regelung enthält. Die Vorschrift hat damit Auffangcharakter. Laut Entwurfsbegründung dient die hervorgehobene Anwendbarkeit lediglich der Klarstellung, wobei sich die Anwendbarkeit des BDSG insoweit bereits aus § 1 Abs. 1 S. 1 ergibt.[65]

[1]

Vgl. zur weiten Auslegung des Begriffs „Dateisystems“ anhand des in der Datenschutzrichtlinie verwendeten Vorläuferbegriffs „Datei“ durch den EuGH v. 10.7.2018 – C-25/17, ECLI:EU:C:2018:551, Zeugen Jehovas; Schwartmann/Mühlenbeck HK DS-GVO Art. 4 Rn. 110 ff. Die Voraussetzungen einer Datei sind für den EuGH dann erfüllt, „sofern es sich um eine Sammlung personenbezogener Daten handelt und diese Daten nach bestimmten Kriterien so strukturiert sind, dass sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind“, Rn. 62.

[2]

Gola- Gola Art. 2 Rn. 1.

[3]

Kühling/Buchner- Kühling/Raab Art. 2 Rn. 7.

[4]

EuGH v. 19.10.2016 – C-582/14, Breyer/Deutschland, EuZW 2016, 909, 910 f.; auch Kühling/Buchner- Kühling/Raab Art. 2 Rn. 14. Allgemein Schwartmann/Mühlenbeck HK DS-GVO Art. 4 Rn. 9 ff.

[5]

Gola- Gola Art. 2 Rn. 4; Laue/Kremer Das neue Datenschutzrecht in der betrieblichen Praxis, § 1 Rn. 8 f.; Schwartmann/Mühlenbeck HK DS-GVO Art. 4 Rn. 48 ff.