Tobias Rothkegel - Praxishandbuch DSGVO

Praxishinweis

Aktuell ergibt sich hieraus eine besondere Problematik bei der Frage des rechtmäßigen Einsatzes von Cookiesauf Unternehmens-Webseiten. Es bestehen unterschiedliche Ansichten darüber, ob die Regelungen im TMG eine ordnungsgemäße Umsetzung von Art. 5 Abs. 3 der RL 2002/58/EG darstellen. Die deutschen Datenschutzaufsichtsbehörden verneinen dies mit der Folge, dass sie insbesondere § 15 Abs. 3 TMG für unanwendbar halten und die Zulässigkeit am Maßstab der DSGVO messen.12

14

Außerdem regelt die DSGVO auch im Übrigen den Datenschutz in der EU und den Mitgliedstaaten nicht vollständig. Teil des EU-Legislativpakets zum Datenschutz war nicht nur die DSGVO, sondern auch die RL 2016/680/EU13 im Bereich der Strafverfolgung. Die Vorgaben dieser Richtlinie bedürfen wiederum der Umsetzung ins nationale Recht; in Deutschland ist dies in Teil 3 des BDSG bereits erfolgt. Diese Regelungen stehen unbeeinflusst neben der DSGVO.

15

Der Vollständigkeit halber sei abschließend erwähnt, dass es auch datenschutzrechtliche Regelungsmaterien gibt, die weder in die Anwendungsbereiche der DSGVO noch der RL 2016/680/EU fallen, wie etwa im Bereich der Landesverteidigung. Für die Datenverarbeitung durch Unternehmen spielen diese Regelungen freilich allenfalls eine Nebenrolle.

16

Der vorstehende Überblick zeigt, dass es nunmehr ein schwieriger zu bewältigendes Regelungsgeflecht von DSGVO, Richtlinien und nationalen Begleit- und Umsetzungsgesetzen gibt. Gerade dort, wo nationale Datenschutzvorschriften nicht eindeutig und trennscharf einer Öffnungsklausel der DSGVO oder einer umzusetzenden Richtlinienvorgabe zugewiesen werden können, besteht eine unsichere Rechtslage.

1Siehe Kap. 4 Rn. 3ff. 2Siehe Kap. 5 Rn. 10ff. 3Siehe Kap. 16 Rn. 87ff. 4Siehe Kap. 10 Rn. 10ff. 5Siehe hierzu Kap. 20. 6Umfrage des Bitkom e.V.; Ergebnisse abrufbar unter: https://www.bitkom.org/Presse/Presseinformation/Zwei-Drittel-Unternehmen-DS-GVO-groesstenteils-umgesetzt, zuletzt abgerufen am 2.3.2021. 7Siehe Kap. 10 Rn. 56. 8EuGH, Urt. v. 1.10.2019– Rs. C-673/17, MMR 2019, 732, 734m. Anm Moos/Rothkegel. 9BGBl. I 1944 v. 5.7.2017, S. 2097; vgl. zur Rechtslage in Österreich außerdem ausführlich Kap. 18. 10Vgl. Kremer, CR 2017, 367, 371ff. 11Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12.7.2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation), ABl. L 201 v. 31.7.2002, S. 37. 12Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, Stand März 2019, abrufbar unter: https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf, zuletzt abgerufen am 8.10.2020. 13Richtlinie (EU) 2016/680 vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. EU L 119 v. 4.5.2016, S. 89.

17

Eine jedenfalls für eine längere Dauer fast noch komplexere Problematik besteht im Hinblick auf die nationalen Datenschutzregeln und Gesetze, die nach wie vor nicht an die DSGVO angepasstworden sind. Soweit solche nationalen Regelungen nicht entweder außerhalb des Anwendungsbereichs der DSGVO liegen oder spezialgesetzliche Richtlinienvorgaben umsetzen, sind sie nur noch in dem Umfang zugelassen und anwendbar, wie sie von Öffnungsklauseln der DSGVO gedeckt sind.

18

Auch wenn in Deutschland durch das 1. und das 2. DSAnpUG und das BDSG viele Datenschutzvorschriften in Spezialgesetzen bereits angepasst worden sind, stehen manche Anpassungen noch aus (wie z.B. beim TMG, welches durch das 2. DSAnpUG nicht geändert worden ist). Das führt dazu, dass weiterhin nationale Rechtsvorschriften fortbestehen, die nicht an die neue europäische Rechtslage angeglichen sind.

Beispiel

In seinem Urteil vom 14.2.2019 hat sich der EuGH u.a. mit der datenschutzrechtlichen Bereichsausnahme für die Medien befasst und Hinweise zur Vereinbarkeit des Medienprivilegsnach nationalem Recht mit dem europäischen Datenschutzrechtgegeben.14 Art. 85 DSGVO sieht analog der RL 95/46/EG zwar generell eine datenschutzrechtliche Privilegierung der Medien vor, soweit personenbezogene Daten „zu journalistischen Zwecken“ verarbeitet werden. Nach Art. 85 Abs. 2 DSGVO dürfen die Mitgliedstaaten hiernach Abweichungen oder Ausnahmen von Kapitel II (Grundsätze) aber nur vorsehen, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen. Aus den Ausführungen des EuGH lässt sich ableiten, dass er eine umfassende Bereichsausnahme für zu weitgehend halten könnte, wenn dadurch z.B. sämtliche Rechte der betroffenen Personen ausgeschlossen sind.

19

Nationale Vorschriften können seit dem 25.5.2018 somit nicht mehr bedenkenlos weiter angewendet werden, so dass für die Unternehmen eine gewisse Rechtsunsicherheit entsteht. Sie müssen in jedem Einzelfall prüfen, ob und in welchem Umfang die Regelung von einer Öffnungsklausel der DSGVO oder einer spezialgesetzlichen EU-Richtlinie gedecktist. Nur in diesem Rahmen kann die jeweilige Vorschrift weiter angewendet werden. Außerhalb dieses Rahmens gilt der Anwendungsvorrang des EU-Rechts, so dass dann ggf. auf die Vorschriften der DSGVOzurückgegriffen werden muss.

Praxishinweis

Sobald für eine konkrete Rechtsfrage Normen verschiedener Gesetze relevant sind, sollte in einem ersten Schritt die Wirksamkeit dieser Normen und ihr Verhältnis zueinander anhand der vorstehend aufgeführten Maßstäbe geprüft werden.

14EuGH, Urt. v. 14.2.2019 – C-345/17, ECLI:EU:C:2019:122.

20

Neben der Ermittlung der Anwendbarkeit der einschlägigen Datenschutzvorschriften besteht eine Herausforderung in ihrer richtigen Auslegung.

21

Sowohl die DSGVO als auch die ePrivacy-Richtlinie sind europäische Rechtsakte. Nur die europäischen Gerichte legen sie verbindlich aus. Nach Art. 267 Abs. 1 lit. a AEUV entscheidet der EuGH z.B. im Wege der Vorabentscheidung über die Auslegung der Verträge. Hingegen sind das BDSG, das TMG, das TKG und sonstige deutsche Gesetze mit datenschutzrechtlichem Regelungsgehalt nationale Rechtsakte, die primär von den deutschen Gerichten ausgelegt werden. Europäische Gerichte legen diese deutschen Gesetze nur dann aus, wenn es für europarechtliche Fragen relevant ist.15

22

Diese scheinbar trivialen Feststellungen haben spätestens seit Geltung der DSGVO erhebliche Implikationen für den Datenschutzpraktiker. Denn regelmäßig hängt die konkrete Ausgestaltung datenschutzrechtlich getriebener Maßnahmen von der Auslegung eines der oben genannten Gesetze ab. Dabei darf die deutsche Auslegungsmethodologie– wie es auch in der Literatur häufig passiert – nicht unreflektiert auf die DSGVO angewendet werden. Stattdessen sind die europäischen Vorgaben entsprechend der Methoden der europäischen Gerichte auszulegen.

Praxishinweis