David Klein - DS-GVO/BDSG

32

Für die natürlichen Personen ist dabei ohne Belang, ob sie im Rahmen selbstständiger beruflicher Tätigkeiten, bspw. Kaufleute in Einzelfirma oder als Vertreter eines freien Berufs, oder als Privatpersonen auftreten.

33

Juristische Personen des Privatrechts sind bspw. der eingetragene Verein, die Aktiengesellschaft oder die Gesellschaft mit beschränkter Haftung; erfasst sind auch Personenmehrheiten oder Personengesellschaften ohne eigene Rechtspersönlichkeit, etwa nach BGB (nicht eingetragener Verein, Gesellschaft bürgerlichen Rechts) oder HGB (Kommanditgesellschaft oder offene Handelsgesellschaft). Die sind nur dann ausnahmsweise öffentliche Stellen, wenn sie nicht wegen Wahrnehmung öffentlicher Aufgaben den Absätzen 1 bis 3 zuzuordnen sind.[758]

34

Eine Gegenausnahme stellen die Beliehenen dar, also Private, die durch Gesetz oder aufgrund eines Gesetzes mit hoheitlichen Aufgaben betraut werden. Diese gelten dann (nur) in Ausübung der hoheitlichen Tätigkeit als öffentliche Stellen,[759] sind aber zugleich Behörden i.S.d. der Abs. 1und 2. Die Zuordnung nach S. 2 ist aufgabenbedingt; ein Beliehener kann insofern je nachdem, welche Aufgabe gerade ausgeführt wird, öffentliche oder nichtöffentliche Stelle sein.

35

Entsprechend der Gesetzesbegründung wird der „Regelungsgehalt des § 27 Abs. 1 S. 1 Nummer 2 BDSG a.F.“ nachvollzogen.[760] Während § 27 BDSG a.F. die Erstreckung des Anwendungsbereichs der §§ 27–32auf öffentlich-rechtliche Unternehmen im Wettbewerb regelte, enthält § 2 Abs. 5lediglich eine Begriffsbestimmung mit dem Ziel der Zuordnung der betreffenden Unternehmen zum Kreis der nichtöffentlichen Stellen, so dass alle Normen, die nach BDSG für nichtöffentliche Stellen gelten, auch auf diese Unternehmen erstreckt werden. Zugleich nimmt S. 2 eine Zuordnung der betreffenden Unternehmen zum Geltungsbereich des Bundes- oder des Landesrechts vor.

36

Sinn der Regelung ist ungeachtet der Zuordnung zu Land oder Bund, auf der datenschutzrechtlichen Ebene Wettbewerbsverzerrungen zugunsten der öffentlich-rechtlichen Unternehmen ggü. privaten Unternehmen zu vermeiden.[761]

37

Unternehmen i.S.d. des S. 1 können bspw. öffentlich-rechtlich organisierte Unternehmen in der Kreditwirtschaft und im Versicherungswesen sein. Ebenso denkbar ist die Einbeziehung von Versorgungs- oder Verkehrsunternehmen.

38

Gegenstand der Begriffsbestimmung sind öffentlich-rechtliche Wettbewerbsunternehmen. Eine Einschränkung nimmt S. 1 aber insoweit vor, als öffentlich-rechtliche Unternehmen nur als nichtöffentliche Stellen gelten, „soweit“ sie am Wettbewerb teilnehmen. Die Kreditanstalt für Wiederaufbau gilt im Bereich der Entwicklungshilfe und der Finanzierung von Exportgeschäften inländischer Unternehmen als öffentliche Stelle. Bietet sie im Wettbewerb Wertpapiere auf dem Kapitalmarkt an, gilt sie als nichtöffentliche Stelle.[762]

39

Öffentlich-rechtliche Unternehmen auf Landesebene, die Bundesrecht ausführen, könnten Sparkassen sein, die aber regelmäßig landesdatenschutzrechtlichen Regelungen unterliegen. Die flächendeckende Geltung der Landesdatenschutzgesetze lässt somit für ein Eingreifen des § 2 Abs. 5 S. 1wenig Raum.

40

Zu kritisieren ist, dass § 2die Unsicherheiten etwa bezüglich des zugrunde gelegten Behördenbegriffs, die schon nach BDSG a.F. herrschten, durch weithin wortgleiche Übernahme nicht ausgeräumt hat.

41

Gerade im Fall des § 2 Abs. 5ist die Formulierung „soweit“ ernst zu nehmen. So muss für jeden Fall der Datenverarbeitung ermessen werden, ob das jeweilige Unternehmen im Wettbewerb tätig wird oder nicht.

42

Ebenso müssen Beliehene i.S.d. § 2 Abs. 4 S. 2jeweils entscheiden, ob jeweilige Tätigkeit im Rahmen der Beleihung oder außerhalb dessen anzusiedeln ist. Hiervon hängt ab, ob sie als öffentliche oder nichtöffentliche Stelle gelten.

[1]

Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates vom 9. September 2015 über ein Informationsverfahren auf dem Gebiet der technischen Vorschriften und der Vorschriften für die Dienste der Informationsgesellschaft (ABl. L 241 vom 17.9.2015, S. 1).

[2]

Abrufbar unter http://www.bitkom.org/Presse/Presseinformation/Grosses-Wachstum-bei-Big-Data.html, zuletzt abgerufen am 15.4.2020.

[3]

Abrufbar unter https://www.sueddeutsche.de/digital/corona-tracing-dezentral-regierung-1.4888963, zuletzt abgerufen am 28.4.2020.

[4]

Abrufbar unter http://www.faz.net/aktuell/wirtschaft/netzwirtschaft/google-flutrends-big-data-kann-helfen-uns-gegen-krankheiten-zu-wappnen-13268389.html, zuletzt abgerufen am 15.4.2020.

[5]

Abrufbar unter https://netzpolitik.org/2020/corona-tracking-datenschutz-kein-notwendiger-widerspruch/, zuletzt abgerufen am 15.4.2020.

[6]

Abrufbar unter https://www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/it-digitalpolitik/gutachten-datenethikkommission-kurzfassung.pdf?__blob=publicationFile&v=4, zuletzt abgerufen am 15.4.2020.

[7]

Abrufbar unter http://europa.eu/rapid/press-release_MEMO-15-6385_en.pdf, zuletzt abgerufen am 15.4.2020.

[8]

Abrufbar unter https://www.gdd.de/downloads/praxishilfen/GDDPraxishilfe_15_JointControllership_1.0.pdf, zuletzt abgerufen am 15.4.2020.

[9]

Abrufbar unter https://www.gdd.de/downloads/praxishilfen/001_ePrivacy_01.pdf, zuletzt abgerufen am 15.4.2020.

[10]

Abrufbar unter https://www.gdd.de/downloads/praxishilfen/gdd-praxishilfe_xvi-videokonferenzen-und-datenschutz, zuletzt abgerufen am 15.4.2020.

[11]

Abrufbar unter http://www.heise.de/tr/artikel/Und-jetzt-Ihr-Wetter-2599595.html, zuletzt abgerufen am 15.4.2020.

[12]

Abrufbar unter https://ombudsman-fuer-die-wissenschaft.de/wp-content/uploads/2019/06/Schwartmann_Gutachten_Ombudsman_26092018.pdf, zuletzt abgerufen am 15.4.2020.

[13]

Abrufbar unter https://dataagenda.de/wp-content/uploads/2019/09/190925_Arbeitspapier_02.pdf, zuletzt abgerufen am 15.4.2020.

[14]

Abrufbar unter https://dataagenda.de/wp-content/uploads/2019/09/190926_Arbeitspapier_04.pdf, zuletzt abgerufen am 15.4.2020.

[15]

Abrufbar unter https://dataagenda.de/wp-content/uploads/2019/09/190926_Arbeitspapier_05.pdf, zuletzt abgerufen am 15.4.2020.

[16]

Abrufbar unter https://dataagenda.de/wp-content/uploads/2019/10/DataAgenda-Arbeitspapier-10_Die-EuGH-Rechtsprechung-zum-Joint-Controllership.pdf, zuletzt abgerufen am 15.4.2020.

[17]

Abrufbar unter https://dataagenda.de/wp-content/uploads/2020/04/DataAgenda-Arbeitspapier-17_Factsheet_Positionen_Handytracking.pdf, zuletzt abgerufen am 15.4.2020.

[18]

Abrufbar unter https://www.gdd.de/downloads/whitepaper-zur-pseudonymisierung, zuletzt abgerufen am 20.4.2020.

[19]

Abrufbar unter https://www.gdd.de/downloads/anforderungen-an-datenschutzkonforme-pseudonymisierung, zuletzt abgerufen am 20.4.2020.

[20]

Abrufbar unter https://www.de.digital/DIGITAL/Redaktion/DE/Digital-Gipfel/Download/2019/p9-code-of-conduct.pdf?__blob=publicationFile&v=2, zuletzt abgerufen am 20.4.2020.

[21]

Abrufbar unter https://www.bundestag.de/resource/blob/692998/c88738c96c087f66748ac75a0a7788b2/WD-3-098-20-pdf-data.pdf, zuletzt abgerufen am 4.5.2020.

[22]

Plath- Schreiber Art. 4 Rn. 1 sowie Auernhammer- Eßer Art. 4 Rn. 2.

[23]

In der Entwurfsfassung der DS-GVO war eine Definition vorgesehen. Vgl. dazu Auernhammer- Eßer Art. 4 Rn. 3.

[24]

Sydow- Kampert Art. 8 Rn. 8.

[25]