Tobias Rothkegel - Praxishandbuch DSGVO

2

Eine Einschränkung von diesen Grundsätzen gilt dort, wo das Unionsrecht Umsetzungsspielräume eröffnet – im Falle der DSGVO also bei den Öffnungsklauseln, die den Mitgliedstaaten konkretisierende Regelungen gestatten. Bei nationalen Gesetzen, die von diesen Öffnungsklauseln Gebrauch machen, können auch die nationalen Grundrechtsverbürgungen beachtenswert sein.1

1Zu Einzelheiten dieser „konkurrierenden Mehrfachbindung“ und der einschlägigen Rechtsprechung des BVerfG ausführlich: BeckOK-DS/Schneider, Syst. B Rn. 11.

3

Das EU-Datenschutzrecht verfolgt im Wesentliche zwei Ziele: Zum einen dient es dazu, die Menschen (also im juristischen Sprachgebrauch „natürliche Personen“) bei der Verarbeitung der sie betreffenden Daten zu schützen. Zum anderen soll die das Datenschutzrecht mittlerweile sehr wesentlich prägende DSGVO aber auch den freien Datenverkehr innerhalb der EU sicherstellen.2

4

Im Kern des Datenschutzrechts steht der Schutz der natürlichen Personen, auf die sich die Daten beziehen. Anders als der Begriff „Datenschutz“ es nahelegt, geht es primär also nicht um den Schutz der Daten an sich, sondern um die dahinterstehende Person. Teilweise besteht hier freilich eine Wechselwirkung: So umfasst das Datenschutzrecht z.B. auch Vorgaben für die Gewährleistung der Datensicherheit,3 weil durch eine ungewollte Veröffentlichung von Daten nicht nur deren Integrität, sondern auch die Rechte der betroffenen Person beeinträchtigt werden können.

5

Das Schutzgut ist sogar grundrechtlich verankert: namentlich in dem Grundrecht auf Schutz personenbezogener Datennach Art. 8 der EU-Grundrechte-Charta (GrCh).4 Danach hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. Hierauf nehmen die ErwG 1 und 2 DSGVO unmittelbar Bezug und legen es als das Hauptziel der DSGVO fest, das Grundrecht auf Schutz personenbezogener Daten ungeachtet der Staatsangehörigkeit und des Aufenthaltsortes der betroffenen Person zu wahren.

6

Der grundrechtliche Kerngehaltdes „Rechts auf Datenschutz“ besteht aus drei Säulen und ergibt sich aus Art. 8 Abs. 2 GrCh. Danach dürfen diese Daten nur (1) nach Treu und Glauben, (2) für festgelegte Zwecke und (3) mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Auch das Recht jeder Person, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken, ist grundrechtlich verankert. Schließlich ist grundrechtlich die Überwachung durch eine unabhängige Stelle vorgegeben.

Praxishinweis

Der EuGH legt die DSGVO regelmäßig im Lichte der GRCh einschließlich des Art. 8 GrCh aus; so hat er zuletzt in seinem Urteil vom 16.7.2020 (Rs. C- 311/18) in Sachen Schrems II 5 Art. 45 DSGVO im Lichte der in Art. 7, 8 und 47 verbrieften Garantien der GRCh ausgelegt und konstatiert, dass die verfahrensgegenständliche Übermittlung personenbezogener Daten in einen Drittstaat regelmäßig u.a. in das Recht auf Schutz personenbezogener Daten (Art. 8 Abs. 1 GRCh) eingreife.

7

Ein weiteres Schutzgut der DSGVO besteht in der Gewährleistung eines freien Datenverkehrsinnerhalb der EU. Nach Art. 1 Abs. 3 DSGVO darf der freie Verkehr personenbezogener Daten in der Union aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.

8

Die DSGVO untersagt es also Mitgliedstaaten, eigenständig nationale Maßnahmen zum Schutz personenbezogener Daten zu ergreifen und diese Beschränkung der Grundfreiheiten mit dem Bestreben nach einem höheren Schutzniveau zu rechtfertigen.6 Ebenso ist es den Mitgliedstaaten verwehrt, das Datenschutzniveau eines anderen Mitgliedstaats als nicht ausreichend zu qualifizieren; Datenverarbeitungen in einem anderen Mitgliedstaat müssen identisch zu solchen innerhalb des eigenen Mitgliedstaates behandelt werden.7

Beispiel

Aus diesem Grund sind z.B. mitgliedstaatliche Vorschriften untersagt, die aus Gründen eines besseren Datenschutzes eine Speicherung von Daten im Inland verlangen.

9

Zulässig bleiben jedoch solche Schutzmaßnahmen der Mitgliedstaaten, die anderen Zielsetzungen als einem höheren Datenschutzstandard folgen, auch wenn sie de facto zu einer Einschränkung des freien Datenverkehrs führen.8 Die Abgrenzung kann in Einzelfall sehr schwierig sein.9

2Vgl. Art. 1 Abs. 1 DSGVO. 3Zur Datensicherheit siehe Kap. 13. 4Quasi als Vorbilder für diese Grundrechtsverbürgung gelten im Wesentlichen die Europarats-Konvention Nr. 108 und auch Art. 8 EMRK; daneben gibt es teilweise vergleichbare Grundrechtsverbürgungen in den mitgliedstaatlichen Verfassungen; vgl. Knecht, in: Schwarze/Becker/Hatje/Schoo, EU-Kommentar, 4. Aufl. 2019, Art. 8 GrCh Rn. 1. 5Siehe Kap. 19 Rn. 96. 6BeckOK-DS/Schantz, Art. 1 DSGVO Rn. 9. 7Paal/Pauly/Ernst, Art. 1 DSGVO Rn. 14. 8Mitteilung der Europäischen Kommission, Building a European Data Economy, COM(2017) 9 final, S. 5; Ehmann/Selmayr/Zerdick, Art. 1 DSGVO Rn. 13. 9BeckOK-DS/Schantz, Art. 1 DSGVO Rn. 9.

10

Das wichtigste Merkmal zur Definition des Anwendungsbereichs – und damit auch zur Abgrenzung von anderen Rechtsmaterien – ist der „Personenbezug“ der Daten. Nur wenn Daten einen solchen Personenbezug aufweisen, unterfallen sie der DSGVO und den sonstigen Datenschutzvorschriften.

11

Der für das gesamte Datenschutzrecht zentrale Begriff des „ personenbezogenen Datums“ ist in Art. 4 Nr. 1 DSGVO definiert. Demnach ist Personenbezug dann gegeben, wenn sich die jeweilige Information auf eine natürliche Person und nicht ausschließlich auf Sachen bezieht. Die Person muss durch die Information identifiziert oder zumindest identifizierbar sein.

Beispiel

In Abgrenzung zu personenbezogenen Daten haben Sachdaten keinen Personenbezug; bspw. „Das Handy ist mit einer 16 Megapixel Kamera ausgestattet.“ Entsprechend kann auch keine Person identifiziert werden.10

12

Wenn die natürliche Person nicht unmittelbar aus den Informationen des Datums identifiziert werden kann, ist ein Bezug dennoch gegeben, wenn eine entsprechende Identifizierung mit Hilfe von Verknüpfungen mit weiteren Informationen hergestellt werden kann.11

13

Das Gegenstück zu personenbezogenen Daten sind anonyme Daten. Wann ein ausreichender „Grad an Anonymität“ gegeben ist, so dass die DSGVO unanwendbar ist, ist in der Praxis häufig nicht leicht festzustellen. Grundsätzlich gilt, dass Anonymität bei Informationen vorliegt, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder bei personenbezogenen Daten, die (nachträglich) in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Anonyme Daten sind gemäß Erwägungsgrund 26 Satz 5 und 6 nicht vom Anwendungsbereich der DSGVO umfasst.12

Praxishinweis

Denkbare Vorgehensweisen zur Anonymisierung:13

– Löschung von identifizierenden Merkmalen (Name, Adresse, Bankverbindung),

– Aggregation von Daten,

– Bildung von Gruppen und/oder die kontrollierte Einbringung von Zufallsfehlern.

14