Tobias Rothkegel - Praxishandbuch DSGVO

[Rn. 9–11 entfallen]

2Das Gebiet der Union bestimmt sich nach Art. 52 EUV und Art. 355 AEUV. 3Simitis/Hornung/Spiecker gen. Döhmann/Hornung, Art. 3 DSGVO Rn. 70; Kühling/Buchner/Klar, Art. 3 DSGVO Rn. 105. 4Vgl. in Bezug auf den räumlichen Anwendungsbereich auch BeckOK-DS/Hanloser, Art. 3 DSGVO Rn. 10; Gola/Piltz, Art. 3 DSGVO Rn. 18. Art. 2 Abs. 1 „gilt für die ... Verarbeitung“; Art. 3 Abs. 2 „... findet Anwendung auf die Verarbeitung ... durch einen Verantwortlichen ...“. 5Gola/Piltz, Art. 3 DSGVO Rn. 18. 6Lediglich in Erwägungsgrund 153 S. 6 gibt der Unionsgesetzgeber eine Art kollisionsrechtliche Empfehlung.

12

Nicht jede Verarbeitung personenbezogener Daten eröffnet den sachlichen Anwendungsbereich der Verordnung. So ist zum Beispiel die Verarbeitung personenbezogener Daten durch die betroffene Person selbst schon nicht vom Schutzzweck der DSGVO umfasst.7

13

Zudem muss es sich laut Art. 2 Abs. 1 DSGVO entweder um eine ganz oder teilweise automatisierte Verarbeitung handeln oder um eine nichtautomatisierte Verarbeitung, bei der die Daten in einem Dateisystem gespeichert werden oder werden sollen.

14

Der Begriff „automatisiert“ wird in der DSGVO nicht näher definiert. Erwägungsgrund 15 DSGVO stellt dem Begriff der automatisierten Verarbeitung den Begriff der „manuellen“ Verarbeitung gegenüber und verdeutlicht damit zugleich, dass „manuell“ gleichbedeutend ist mit „nichtautomatisiert“.

15

Letztlich gibt es bei dem Begriff „ automatisiert“ in der Praxis keine Schwierigkeiten in der Handhabung. Sofern es sich um elektronische Datenverarbeitung handelt, handelt es sich grundsätzlich auch um automatisierte Datenverarbeitung. Dem Wortlaut des Art. 2 Abs. 1 DSGVO ist wohl auch zu entnehmen, dass das Vorliegen einer nur teilweise automatisierten Verarbeitungdazu führt, dass das Datenschutzrecht auch auf die nichtautomatisierten Bestandteile dieser Verarbeitung Anwendung finden kann. Unter Heranziehung der Legaldefinition des Verarbeitungsbegriffs in Art. 4 Nr. 2 DSGVO bedeutet dies, dass sowohl die automatisierten als auch die nichtautomatisierten Bestandteile eines Vorgangsbeziehungsweise einer Vorgangsreihein ihrer Gesamtheit im sachlichen Anwendungsbereich des Datenschutzrechts liegen können.8 Und zwar selbst dann, wenn der manuelle Bestandteil des Vorgangs für sich genommen nicht die Voraussetzungen für die Eröffnung des sachlichen Anwendungsbereichs für nichtautomatisierte Verarbeitungen erfüllen würde.

Beispiel

Die manuelle Erhebung von Daten im Rahmen einer Kundenbefragung oder Umfrage ist als Bestandteil einer teilweise automatisierten Verarbeitung vom sachlichen Anwendungsbereich umfasst, wenn die Daten anschließend elektronisch weiterverarbeitet werden, da die Erhebung zur gleichen Vorgangsreihe zu zählen ist.

16

Im Gegensatz zur automatisierten Verarbeitung liegt die nichtautomatisiertebzw. manuelleVerarbeitung personenbezogener Daten nur dann im sachlichen Anwendungsbereich der Verordnung, wenn die Daten in einem Dateisystemgespeichert werden bzw. gespeichert werden sollen. Das Ziel der Speicherung in einem Dateisystem muss dabei hinreichend konkret sein (Englisch: „intended“). Die bloße Möglichkeit oder Wahrscheinlichkeit einer solchen Speicherung reicht nicht.9

17

Der Begriff des „Dateisystems“ ist in Art. 4 Nr. 6 DSGVO legaldefiniert als „jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob die Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird “.10 Die konkreten Ordnungskriterien sind unerheblich. Es reicht, dass die Daten so strukturiert sind, dass sie in der Praxis zur späteren, dem Erhebungszweck entsprechenden Verwendung leicht wiederauffindbar sind.11 In Erwägungsgrund 15 wird demgegenüber erwähnt, dass Akten, Aktensammlungen und ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, nicht in den Anwendungsbereich der Verordnung fallen.

Beispiel

Auch personenbezogene Daten auf Papierkönnen somit im sachlichen Anwendungsbereich der Verordnung liegen, sofern sie entweder Bestandteil einer teilweise automatisierten Datenverarbeitung sind oder wenn sie Bestandteil einer strukturierten Sammlung von Daten in Papierform sind (z.B. in Personal- und Krankenaktenoder Kundenlisten). Der Umgang mit einem einzelnen Ausdruck eines Datenbankauszugs oder handschriftlichen Notizen aus einer Datenbankwird dagegen häufig außerhalb des sachlichen Anwendungsbereichs liegen, da diese in der Regel weder Bestandteil des Datenverarbeitungsvorgangs sind, zu dem die Datenbank gehört, noch Bestandteil einer strukturierten Sammlung von Daten in Papierform. Es gibt insofern keine über den Datenverarbeitungsvorgang hinausgehende Fortwirkung der Anwendbarkeit des Datenschutzrechts.12 Werden mehrere solcher Ausdrucke oder Notizen zusammen strukturiert abgelegt, kann jedoch eine strukturierte Sammlung und damit ein Dateisystem entstehen, welches dann wieder in den sachlichen Anwendungsbereich der Verordnung fiele.

18

Gemäß Art. 2 Abs. 3 DSGVO gilt die Verordnung nicht für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union. Stattdessen gilt gemäß Art. 2 Abs. 3 DSGVO die Verordnung (EG) Nr. 45/2001. Zudem lässt die Verordnung gemäß Art. 2 Abs. 4 DSGVO die Anwendung der sog. E-Commerce-Richtlinie2000/31/EG unberührt. Da Art. 1 Abs. 5 lit. b E-Commerce-Richtlinie in Bezug auf Fragen des Datenschutzes auf die DSRL verweist, was gemäß Art. 94 Abs. 2 DSGVO als Verweis auf die DSGVO zu lesen ist, sind die E-Commerce-Richtlinie und die DSGVO für Dienste der Informationsgesellschaft nebeneinander anwendbar.13 Dieses Nebeneinander kann in der Praxis insbesondere dann zu Wertungswidersprüchen führen, wenn sich bezüglich eines Datenverarbeitungsvorgangs die datenschutzrechtlichen Pflichten und die Haftungsprivilegierungen aus Art. 12ff. E-Commerce-Richtlinie überlagern. Ob die Haftungsprivilegierungen auch für datenschutzrechtliche Pflichten gelten, ist umstritten.14

19

Die ePrivacy-Richtlinie 2002/58/EG hat als lex specialis gemäß Art. 95 DSGVO Vorrang gegenüber der DSGVO, soweit in der Richtlinie Pflichten festgelegt sind, die dasselbe Ziel verfolgen.

20

Zudem findet die Verordnung trotz Eröffnung des sachlichen Anwendungsbereichs keine Anwendung, wenn einer der Ausnahmetatbestände aus Art. 2 Abs. 2 DSGVO vorliegt.

21

So findet die Verordnung keine Anwendung, wenn die Verarbeitung im Rahmen einer Tätigkeit erfolgt, die nicht in den Anwendungsbereich des Unionsrechts fällt (Art. 2 Abs. 2 lit. a DSGVO) – also außerhalb der Zuständigkeiten der EUliegt, welche in Art. 3, 4 und 6 des Vertrags von Lissabon (AEUV) festgelegt sind. Dazu gehört unter anderem die nationale Sicherheit.15

22

Die Anwendung ist auch dann ausgeschlossen, wenn die Verarbeitung durch die Mitgliedstaaten im Rahmen der gemeinsamen Außen- und Sicherheitspolitikim Anwendungsbereich von Titel V Kapitel 2 des Vertrags über die EU (EUV) erfolgt (Art. 2 Abs. 2 lit. b DSGVO).

23

Ebenso findet die DSGVO keine Anwendung auf Datenverarbeitung durch zuständige Behörden, zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (Art. 2 Abs. 2 lit. d DSGVO).