David Klein - DS-GVO/BDSG

99

Im zuvor geschilderten Fall der Datenverarbeitungstätigkeit politischer Parteien mögen bspw. melderechtliche Bestimmungen der Mitgliedstaaten eine hinreichende Rechtsgrundlage bieten können.

100

Die in Art. 6 Abs. 1 lit. egeforderte Erforderlichkeit der Datenverarbeitung ist unionsrechtlich auszulegen; Datenverarbeitungen sind daher daraufhin zu überprüfen, ob sie mit den Zielen des DS-GVO in Einklang stehen, insbesondere ob sie verhältnismäßig sind.[168] Dabei lässt sich aus der Rechtsprechung des EuGH herleiten, dass eine Erforderlichkeit auch dann anzunehmen sein kann, wenn ohne die betreffende Tätigkeit ein legitimes Ziel nur weniger effizient zu erfüllen ist.[169]

101

Art. 6 Abs. 1 lit. e Var. 2bezieht sich auf die Datenverarbeitung im Rahmen der Ausübung öffentlicher Gewalt. Hier stellt die DS-GVO auf die Wahrnehmung hoheitlicher Aufgaben im Rahmen rechtlich festgelegter Befugnisse ab.[170] Dabei ist – wie bei lit. c – der Erlaubnistatbestand in der Rechtsetzung nach Abs. 3zu sehen.[171] Zugleich wird die Wahrnehmung von Befugnissen in Ausübung öffentlicher Gewalt immer auch Ausdruck einer Aufgabe im öffentlichen Interesse sein;[172] es ist aber darauf hinzuweisen, dass die konkrete Datenverarbeitung eben im Rahmen dieser Aufgabenwahrnehmung erfolgen muss, die Übertragung der Aufgabe also nicht jede Form der Datenverarbeitung erlauben will.

102

Aufgabenträger i.S.d. der zweiten Variante können wiederum öffentliche und nichtöffentliche Stellen sein. Auch wird nicht davon auszugehen sein, dass die zweite Variante eine Beleihung Privater voraussetzt. Dies lässt sich aus dem Wortlaut des Art. 6 Abs. 1 lit. e Var. 2in Abgrenzung zu Art. 49 Abs. 2 und Art. 79 Abs. 2 herleiten, die jeweils von Ausübung hoheitlicher Befugnisse sprechen und damit – auch in Kombination mit dem Begriff der „Behörde“ – nur öffentliche Stellen ansprechen.[173] Gleichwohl sind auch Fälle der Beleihung, also der Übertragung hoheitlicher Gewalt durch Gesetz oder aufgrund eines Gesetzes, erfasst.[174] Damit sind alle öffentlichen Stellen, einschließlich der Stellen mittelbarer Staatsverwaltung, die Beliehenen und alle sonstigen mit der Wahrnehmung öffentlicher Aufgaben betrauten Privatrechtssubjekte eingeschlossen. Nicht erfasst sind die Behörden und Einrichtungen der Union, da diese zwar öffentliche Aufgaben wahrnehmen können, aber gem. Art. 2 Abs. 3weiterhin der Verordnung (EG) Nr. 45/2001 unterfallen.[175]

103

Die noch in Art. 7 lit. e DSRL enthaltene Variante „dem Dritten, dem die Daten übermittelt werden“, ist in Art. 6 Abs. 1 lit. enicht mehr enthalten.

104

Erforderlich ist, dass die Aufgabe dem betreffenden Verantwortlichen im Einklang mit der Zuständigkeitsordnung übertragen sein muss. Der Begriff der öffentlichen Gewalt definiert sich dabei allerdings nach dem Recht der Mitgliedstaaten; entsprechend ist aber für die Bundesrepublik das hoheitliche Handeln von Behörden und sonstigen Trägern hoheitlicher Gewalt jedenfalls als eine von lit. e erfasste Aufgabenwahrnehmung anzusehen.[176] Wie die Aufgabe übertragen wird, ist dem nationalen Organisationsrecht anheimgestellt; insoweit müssen hier ggf. Innenrechtssätze für die Aufgabenübertragung genügen.[177]

105

Entsprechend ErwG 45 ist eine Aufgabe in Ausübung hoheitlicher Gewalt wiederum nur dann anzuerkennen, wenn diese eine positiv-rechtliche Normierung gefunden hat.[178] Legitimierende Wirkung für die betreffende Datenverarbeitung vermittelt damit abermals nicht Art. 6 Abs. 1 lit. e, sondern der dem Unionsrecht oder dem mitgliedstaatlichen Recht zugehörige Außenrechtssatz, der die Aufgabenzuweisung vornimmt.[179] Dies folgt aus der Systematik von Art. 6 Abs. 1 lit. eund Abs. 2und 3, die ihrerseits Öffnungsklauseln für mitgliedstaatliches Recht sind.[180] Bezgl. der Qualität dieser Rechtsgrundlage gilt dann wieder das zu Art. 6 Abs. 1 lit. cGesagte. Die inhaltlichen Anforderungen, die an entsprechende Rechtssätze gestellt werden können, ergeben sich aus Art. 6 Abs. 2und 3. Für den Bund stellt § 3 BDSG einen generalklauselartigen Erlaubnistatbestand dar,[181] der aufgrund der Subsidiarität des BDSG gegenüber datenschutzrechtlichem Sonderrecht gem. § 1 Abs. 2 BDSG durch speziellere Erlaubnisnormen verdrängt werden kann. Für das Landesrecht kann beispielhaft auf § 3 DSG NRW verwiesen werden.[182]

106

Festzustellen ist, dass als Rechtsgrundlage nach lit. e auch solche Rechtssätze genügen, die den Verantwortlichen zum Handeln ermächtigen, aber – anders als nach lit. c – nicht zum Handeln verpflichten.[183]

107

Die in Art. 6 Abs. 1 lit. enormierte Erforderlichkeit der Datenverarbeitung ist auch bezüglich der Ausübung öffentlicher Gewalt unionsrechtlich auszulegen; Datenverarbeitungen sind daher auch hier daraufhin zu überprüfen, ob sie mit den Zielen des DS-GVO in Einklang stehen, insbesondere ob sie verhältnismäßig sind.[184] Hier gilt wieder, dass eine Erforderlichkeit auch dann anzunehmen sein kann, wenn ohne die betreffende Tätigkeit ein legitimes Ziel nur weniger effizient zu erfüllen ist.[185] Allerdings ist bei Verarbeitung statistischer Daten im Sinne der Erforderlichkeit zumeist ausreichend, dass anonymisierte, nicht personalisierte Daten verarbeitet werden.[186]

§ 3 BDSG Verarbeitung personenbezogener Daten durch öffentliche Stellen

Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.

108

Gegenstand der Norm ist die Schaffung einer allgemeinen, ggf. subsidiären Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen. Sie ist damit die datenschutzrechtliche Generalklauselfür öffentliche Stellen des Bundes. Die Vorschrift steht insbesondere im engen Zusammenhang mit Art. 6 Abs. 1 lit. e, der die Rechtmäßigkeit der Datenverarbeitung bei Vorliegen einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt betrifft, aber selbst keine Rechtsgrundlage für solche Verarbeitungen darstellt (vgl. dazu Rn. 111).[187]

109

Aufgenommen wird der Regelungsgehalt der §§ 13 Abs. 1, 14 Abs. 1 BDSG a.F., wobei entsprechend der Diktion der DS-GVO allgemein auf die Verarbeitung von personenbezogenen Daten abgestellt und nicht zwischen den einzelnen Phasen des Umgangs mit solchen Daten differenziert wird.[188]

110

Im Hinblick auf § 3 ist insbesondere dessen Verhältnis zur DS-GVO zu beachten. Ausweislich der Gesetzesbegründung stützt sich der Erlass von § 3 BDSG auf Art. 6 Abs. 1 S. 1 lit. e i.V.m. Abs. 3 S. 1 DS-GVO .[189] Entscheidend ist daher, ob der deutsche Gesetzgeber mit Erlass von § 3 BDSGrechtmäßig von der Öffnungsklausel der DS-GVO Gebrauch gemacht hat. Zu diesem Zweck sind Inhalt und Reichweite der Öffnungsklausel aus Art. 6 Abs. 1 S. 1 lit. e, Abs. 2, Abs. 3zu bestimmen (vgl. dazu bereits Rn. 88 ff.).[190]

111

Zunächst ist dabei festzuhalten, dass ein Blick auf die Systematik von Art. 6, insbesondere im Hinblick auf das Zusammenspiel von Art. 6 Abs. 1 S. 1 lit. e zu Art. 6 Abs. 3zeigt, dass Art. 6 Abs. 1 lit. eals solcher keinen eigenständigen Zulässigkeitstatbestand darstellen kann, der eine Verarbeitung personenbezogener Daten durch öffentliche Stellen rechtfertigt (vgl. dazu oben Rn. 108).[191] Vielmehr ist Art. 6 Abs. 1 S. 1 lit. e im Zusammenhang mit dessen Abs. 2und 3zu lesen. Dies zeigen bereits Abs. 2 und 3, die ihrerseits ausdrücklich auf Art. 6 Abs. 1 S. 1 lit. e verweisen.[192] Demnach lässt sich hinsichtlich der Systematik und Rechtsnatur der Vorschrift Folgendes festhalten: Nach Art. 6 Abs. 3 S. 1 lit. bwird die Rechtsgrundlage für Verarbeitungen nach Abs. 1 lit. edurch das Recht der Mitgliedstaaten festgelegt. Daraus ergibt sich, dass die Rechtsgrundlage für Datenverarbeitung nach Abs. 1 lit. enur außerhalb der DS-GVO liegen kann.[193] Andernfalls wäre wiederum der Verweis in Art. 6 Abs. 3 S. 1 lit. aauf die Schaffung einer Rechtsgrundlage durch das Unionsrecht überflüssig.[194] Art. 6 Abs. 1 S. 1 lit. e i.V.m. Abs. 3 S. 1setzt vielmehr zur Rechtfertigung einer Verarbeitung personenbezogener Daten durch öffentliche Stellen einen weiteren Rechtsetzungsakt voraus und enthält damit einen Regelungsauftragan die Mitgliedstaaten zur Schaffung mitgliedstaatlichen Rechts.[195] Daraus folgt, dass Art. 6 Abs. 1 S. 1 lit. e i.V.m. Abs. 3 S. 1eine Öffnungsklauselfür die Schaffung mitgliedstaatlichen Rechts im öffentlichen Bereich darstellt.[196]