David Klein - DS-GVO/BDSG

112

Art. 6 Abs. 3enthält dabei weitergehende Bestimmungen hinsichtlich der Voraussetzungen zur rechtskonformen Ausgestaltung der Öffnungsklausel. Nach Art. 6 Abs. 3 S. 2muss die Rechtsgrundlage im mitgliedstaatlichen Recht nicht nur den Zweck der Verarbeitung festlegen, sondern darüber hinaus mussdie Verarbeitung für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.[197] S. 2 des Abs. 3legt somit den pflichtigen Mindeststandardfest, den die Mitgliedstaaten bei der Schaffung mitgliedstaatlichen Rechts beachten müssen.[198] S. 2 statuiert damit eine Umsetzungspflicht.[199] Art. 6 Abs. 3 S. 3enthält darüber hinaus eine fakultative Zusatzmöglichkeitzum Erlass spezifischer mitgliedstaatlicher Regelungen.[200] Denn nach S. 3 kanndie mitgliedstaatliche Regelung spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften der DS-GVO enthalten. Der fakultative Charakter der Öffnungsklausel zur Schaffung spezifischen mitgliedstaatlichen Rechts wird daher bereits im Wortlaut der Verordnung deutlich („muss“ in S. 2, „kann“ in S. 3). Den Mitgliedstaaten wird somit durch S. 3 die Möglichkeit eingeräumt im Rahmen des Regelungsauftrages über den pflichtigen Mindeststandard des Art. 6 Abs. 3 S. 2hinaus die Anforderungen hinsichtlich der Rechtmäßigkeit der Datenverarbeitung zu spezifizieren.[201]

113

Das Verständnis für den Charakter und die Systematik der Öffnungsklausel ist insbesondere bedeutsam für den Kontroll- und Prüfungsmaßstab, dem die jeweiligen mitgliedstaatlichen Umsetzungsnormen bei der Ausfüllung und weitergehenden Ausgestaltung der Öffnungsklausel letztlich unterliegen. Denn sofern die mitgliedstaatliche Regelung letztlich bloß den pflichtigen Mindeststandard aus Art. 6 Abs. 3 S. 2im Rahmen ihres Regelungsauftrages erfüllt, so handelt es sich dabei lediglich um eine Umsetzung europäischer Vorgaben, so dass Prüfungsmaßstab das Europarecht bildet und eine Kontrolle durch den EuGH gegeben ist.[202] Machen die Mitgliedstaaten allerdings von der fakultativen Spezifizierungsmöglichkeit des Abs. 3 S. 3Gebrauch, so werden sie dadurch aus ihrer unionsrechtlichen Verantwortung zugunsten der nationalen Gerichtsbarkeit entlassen.[203]

114

Dementsprechend hat der Bundesgesetzgeber durch den Erlass einer datenschutzrechtlichen Generalklausel § 3 seine Umsetzungspflicht nach Art. 6 Abs. 1 S. 1 lit. e i.V.m. Art. 6 Abs. 3 S. 2erfüllt. Darüber hinaus nutzt § 3auch die fakultative Öffnung des Art. 6 Abs. 3 S. 3, indem die Norm zusätzlich das Kriterium der Zuständigkeit der öffentlichen Stelle in den Tatbestand aufnimmt.[204] In der Folge ist § 3am Maßstab des Grundgesetzes zu messen und unterliegt der Zuständigkeit des Bundesverfassungsgerichts.[205] Da die Länder in ihren Generalklauseln wiederum unterschiedliche Voraussetzungen vorsehen und nicht alle Bundesländer die Öffnung in Art. 6 Abs. 3 S. 3nutzen (so etwa Bayern, Bremen, Nordrhein-Westfalen und Rheinland-Pfalz), ergibt sich insoweit eine geteilte Rechtsordnung.[206]

115

Diese Sichtweise wird nunmehr auch durch die Rechtsprechung des BVerfG in seinen Entscheidungen „ Recht auf Vergessen I“[207] und „ Recht auf Vergessen II“[208] gestützt. In der Entscheidung „Recht auf Vergessen I“ hat das BVerfG hinsichtlich seines Prüfungsmaßstabes klargestellt, dass es dann, wenn Fachrecht unionsrechtlich nicht vollständig vereinheitlicht und determiniert ist (etwa im Rahmen des Medienprivilegs des Art. 85, vgl. dazu Art. 85 Rn. 44 ff.) und daher in den Mitgliedstaaten unterschiedlich ausgestaltet ist, dessen Auslegung primär am Maßstab des Grundgesetzes prüft, auch wenn daneben gleichzeitig die Unionsgrundrechte gelten.[209] Sofern das Fachrecht der Union somit Gestaltungsspielräume eröffne, bestünde die Möglichkeit die eigenen mitgliedstaatlichen Grundrechtsstandards zur Geltung zu bringen.[210] Die Entscheidung „Recht auf Vergessen II“ bezieht sich auf die Frage des Prüfungsmaßstabs und der Reichweite der Prüfungskompetenz des BVerfG im Rahmen vollständig vereinheitlichen Unionsrechts.[211] Das BVerfG hat insoweit festgestellt, dass sofern im Rahmen unionsrechtlich vollständig vereinheitlichen Rechts die Grundrechte des Grundgesetzes im Wege des Anwendungsvorrangs des Unionsrechts verdrängt würden, als Prüfungsmaßstab ausschließlich die Unionsgrundrechte maßgeblich seien, dass das Gericht die innerstaatliche Anwendung des Unionsrechts durch deutsche Stellen am Maßstab der Unionsgrundrechte prüfe.[212] Nach Ansicht des Gerichts hängt dabei die Frage, ob die Grundrechte des Grundgesetzes oder die GRCh anzuwenden sind, vor allem von der Unterscheidung zwischen vollständig vereinheitlichtem und gestaltungsoffenen Unionsrechtab.[213] Insoweit komme es vor allem auf eine Auslegung des betreffenden Unionsrechts sowie auf die Rechtsform des Unionsrechts (Richtlinie oder Verordnung) an.[214] Daher sei „in Bezug auf die jeweilige Norm des Unionsrechts zu untersuchen, ob sie auf die Ermöglichung von Vielfalt und die Geltendmachung verschiedener Wertungen angelegt ist, oder ob sie nur dazu dienen soll, besonderen Sachgegebenheiten hinreichend flexibel Rechnung zu tragen, dabei aber von dem Ziel einer gleichförmigen Rechtsanwendung getragen ist“[215]. Die beiden Entscheidungen des BVerfG stehen damit in inhaltlichem Zusammenhang mit früheren Urteilen des BVerfG[216] (etwa Solange I und II[217], Maastricht[218], Bananenmarkt[219] und Lissabon[220]) und führen diese fort.[221] In Bezug auf Art. 6 Abs. 3 S. 2und 3lässt sich aus der Rechtsprechung des BVerfG ableiten, dass sich unterschiedliche Prüfungsmaßstäbe und -kompetenzen im Rahmen der Überprüfung mitgliedstaatlichen Rechts infolge einer Auslegung des Unionsrecht i.S.d. obigen Ausführungen (vgl. Rn. 113 f.) ergeben können.[222]

116

§ 3stellt eine allgemeine Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen dar, auf die stets zurückgegriffen werden kann, sofern öffentliche Stellen als Verantwortliche nicht auf speziellere bereichsspezifische Regelungen innerhalb oder außerhalb des BDSG zurückgreifen können. Gemäß Art. 6 Abs. 1 lit. eist auch für die Datenverarbeitung zum Zweck der Aufgabenerfüllung im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt stets eine solche Rechtsgrundlage nachzuweisen, die sich aus Unionsrecht oder – wie im Falle des § 3– aus nationalem Recht ergeben kann (vgl. dazu oben Rn. 110 ff.).[223]

117

Adressaten des § 3sind öffentliche Stellen des Bundes. Der Begriff der öffentlichen Stellen bestimmt sich nach § 2. Die Gesetzesbegründung stellt noch einmal klar, dass zu den öffentlichen Stellen auch Private gehören, die mit hoheitlichen Aufgaben betraut werden, die damit als so genannte Beliehene auch auf § 3als Grundlage für die Verarbeitung personenbezogener Daten zurückgreifen können.

118

Die öffentlichen Stellen sind damit zugleich die in § 3benannten Verantwortlichen, die als öffentliche Stellen entweder die in ihrer Zuständigkeit liegenden Aufgaben erfüllen, oder in Ausübung der ihnen übertragenen öffentlichen Gewalt handeln.

119

§ 3sieht zwei Fälle vor, in denen die Norm als Ermächtigung für die Verarbeitung personenbezogener Daten dienen kann. Zum einen ist der Fall erfasst, dass die Verarbeitung zur Erfüllung übertragener Aufgabenerfolgt. Zum anderen greift die Norm, wenn die Verarbeitung in Ausübung der der öffentlichen Stelle übertragenen öffentlichen Gewaltgeschieht. Beide Varianten stehen unter dem Vorbehalt, dass die Datenverarbeitung im jeweiligen Kontext erforderlich ist.