Festschrift für Jürgen Taeger

Ohnehin bleibt zu hoffen, dass die bisherigen Grundsätze des deutschen Datenschutzrechts im Wege der gebotenen unionsrechtsautonomen Auslegung des Art. 6 Abs. 1 lit. f DS-GVO letztlich nicht nur hierzulande, sondern europaweit dazu führen, dass die Rechte und Interessen des einzelnen Betroffenen im Bereich Auskunfteien effektiv geschützt werden. Was schließlich die Transparenz der Datenverarbeitung im Auskunfteienbereich angeht, hatte das bisherige deutsche Recht bzw. die deutsche Rechtsprechung ohnehin noch „Aufholpotenzial“ und insoweit bleibt zu hoffen, dass der Wechsel vom alten BDSG zur neuen DS-GVO dem einzelnen Betroffenen nochmals zu mehr informationeller Selbstbestimmung verhilft.

1BT-Drs. 18/11325, S. 101. 2Siehe insbesondere seine Kommentierung zu § 31 BDSG: Taeger, in: Taeger/Gabel, DSGVO/BDSG, 3. Aufl. 2019; siehe aber auch schon Taeger, Datenübermittlung an Auskunfteien und das Scoring, K&R Beihefter 4/2014, 2; ders., Scoring in Deutschland nach der EU-Datenschutzgrundlagenverordnung, ZRP 2016, 72; ders., Verbot des Profiling nach Art. 22 DSGVO und die Regulierung des Scoring ab Mai 2018, RDV 2017, 3. 3Siehe Taeger, in: Taeger/Gabel (Fn. 2), § 31 BDSG Rn. 24. 4§ 30 BDSG ist allenfalls am Rande von datenschutzrechtlicher Relevanz; ausführlich dazu Taeger, in: Taeger/Gabel (Fn. 2), § 30 BDSG Rn. 6ff. 5Zur Differenzierung zwischen automatisierter Entscheidung einerseits und der einer solchen Entscheidung vorgeschalteten Datenverarbeitung (etwa Profiling) andererseits siehe Schulz, in: Gola, DS-GVO, 2. Aufl. 2018, Art. 22 DS-GVO Rn. 3. 6Begründung zum Regierungsentwurf, BT-Drs. 18/11325, S. 101. 7Taeger, in: Taeger/Gabel (Fn. 2), § 31 BDSG Rn. 24. 8Vgl. Tinnefeld/Buchner/Petri/Hof, Einführung in das Datenschutzrecht, 7. Aufl. 2020, Kap. 4 Rn. 145. 9Taeger, in: Taeger/Gabel (Fn. 2), § 31 BDSG Rn. 34ff. 10Taeger, in: Taeger/Gabel (Fn. 2), § 31 BDSG Rn. 43ff. 11A. A. zur Einordnung des Art. 6 Abs. 4 DS-GVO als Öffnungsklausel nicht zuletzt der Jubilar – vgl. Taeger, in: Taeger/Gabel (Fn. 2), Art. 6 DS-GVO Rn. 140. Ebenso ordnen auch Culik/Döpke, ZD 2017, 226, 229, Ziegenhorn/von Heckel, NVwZ 2016, 1585, 1590f., sowie Schulz, in: Gola (Fn. 5), Art. 6 DS-GVO Rn. 215, den Art. 6 Abs. 4 als Öffnungsklausel ein. Wie hier dagegen Albers/Veit, in: BeckOK DatenschutzR, Art. 6 DS-GVO Rn. 77f.; Heberlein, in: Ehmann/Selmayr, DS-GVO, 2. Aufl. 2018, Art. 6 DS-GVO Rn. 51; Reimer, in: Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl. 2018, Art. 6 DS-GVO Rn. 67; siehe zum Ganzen auch Buchner, in: Kühling/Buchner, DS-GVO/BDSG, 3. Aufl. 2020 (i.E.), § 31 BDSG Rn. 5. 12In diesem Sinne schon die BfDI-Stellungnahme v. 31.8.2016 zum ersten Referentenentwurf für ein Datenschutz-Anpassungs- und -Umsetzungsgesetz EU, S. 15; siehe dazu auch Buchner/Petri, in: Kühling/Buchner (Fn. 11), Art. 6 DS-GVO Rn. 200. 13Buchner/Petri, in: Kühling/Buchner (Fn. 11), Art. 6 DS-GVO Rn. 76. 14A. A. Lapp, in: Gola/Heckmann, BDSG, 13. Aufl. 2019, § 31 BDSG Rn. 5. 15Stets vorausgesetzt, dass dies im Rahmen einer unionsrechtsautonomen Auslegung geschieht; siehe dazu auch Paal in seinem Beitrag zu dieser Festschrift. 16In diesem Sinne auch Paal in seinem Beitrag zu dieser Festschrift. 17Tinnefeld/Buchner/Petri/Hof (Fn. 8), Kap. 4 Rn. 148. 18A. A. Schantz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 6 Abs. 1 DS-GVO Rn. 137. 19Buchner, Informationelle Selbstbestimmung im Privatrecht, 2006, S. 125ff. 20Begründung zum Regierungsentwurf, BT-Drs. 18/11325, S. 101. 21Vgl. oben II. 2. b. 22Vgl. zu diesem Aspekt Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK), Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien (Stand: März 2019), S. 19f., https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf, zuletzt abgerufen am 11.5.2020. 23Zu diesem Aspekt auch DSK, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien (Fn. 22), S. 17. 24Vgl. Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann (Fn. 18), Art. 5 DS-GVO Rn. 139. 25Schufa in Zahlen, www.schufa.de/schufa/unternehmen/schufa-zahlen/, zuletzt abgerufen am 11.5.2020. 26Siehe stellvertretend für die Berichterstattung in den Medien Seibt, Spiegel Online v. 9.3.2018, Bonitätsbewertung – Wie ich bei der Schufa zum ‚deutlich erhöhten Risiko‘ wurde; abrufbar unter https://www.spiegel.de/wirtschaft/service/schufa-wie-ich-zumdeutlich-erhoehten-risiko-wurde-a-1193506.html, zuletzt abgerufen am 11.5.2020. 27Ausführlich Buchner (Fn. 19), S. 127f. 28Lapp, in: Gola/Heckmann (Fn. 14), § 31 BDSG Rn. 31; Weichert, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, 2. Aufl. 2020, § 31 BDSG Rn. 13; Tinnefeld/Buchner/Petri/Hof (Fn. 8), Kap. 2 Rn. 151. 29Gerberding/Wagner, ZRP 2019, 116, 118, die insoweit allerdings kritisch davon sprechen, dass auch mit diesen Vorgaben nur eine „äußerst niedrige Hürde“ aufgestellt worden sei. 30Weichert, in: Däubler/Wedde/Weichert/Sommer (Fn. 28), § 31 BDSG Rn. 13. 31Insoweit kritisch Gerberding/Wagner, ZRP 2019, 116, 118. 32Vgl. Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Scoring nach der Datenschutz-Novelle 2009 und neue Entwicklungen, 2014, S. 38. 33In diesem Sinne auch schon Roßnagel/Niebel/Richter, ZD 2015, 455, 458. 34BGH, 28.1.2014 – VI ZR 156/13, DuD 2014, 341. 35Vgl. dazu auch Buchner, in: Kühling/Buchner (Fn. 11), Art. 22 DS-GVO Rn. 35a. 36Buchner, in: Kühling/Buchner (Fn. 11), Art. 22 DS-GVO Rn. 35a. 37In diesem Sinne auch Dix, in: Simitis/Hornung/Spiecker gen. Döhmann (Fn. 18), Art. 15 DS-GVO Rn. 25. 38https://www.schufa.de/vertragspartnerschaft/vertragspartner/, zuletzt abgerufen am 11.5.2020. 39Düsseldorfer Kreis, Beschluss vom 22.10.2009, Bonitätsauskünfte über Mietinteressenten nur eingeschränkt zulässig; ebenso Buchner/Petri, in: Kühling/Buchner (Fn. 11), Art. 6 DS-GVO Rn. 57, sowie Wedde, in: Däubler/Wedde/Weichert/Sommer (Fn. 28), Art. 6 DS-GVO Rn. 76. 40Zu einem möglichen Zusammenhang zwischen mangelnder Kreditwürdigkeit und erhöhter Risikoanfälligkeit im Bereich der Kfz-Versicherungen siehe die Nachweise bei Buchner (Fn. 19), S. 263. 41EuGH, 11.12.2019 – C-708/18, BeckRS 2019, 31011 Rn. 46; EuGH, 4.5.2017 – C-13/16, BeckRS 2017, 108615 Rn. 30 – Rigas satiksme. 42Siehe zum alten Recht OLG Köln, 14.8.2009 – 6 U 70/09, NJW 2010, 90, 91. 43In diesem Sinne auch Achtermann/Lachenmann, in: Koreng/Lachenmann, Formularhandbuch Datenschutzrecht, 2. Aufl. 2018, I IV 1 Rn. 8. 44Vgl. Buchner/Petri, in: Kühling/Buchner (Fn. 11), Art. 6 DS-GVO Rn. 66. 45Datenschutzkonferenzbeschluss vom 23.3.2018 (keine fortlaufenden Bonitätsauskünfte an den Versandhandel). 46Taeger, BB Die erste Seite 2017, Nr. 20. 47Stets vorausgesetzt, dass dies im Rahmen einer unionsrechtsautonomen Auslegung des Art. 6 Abs. 1 lit. f DS-GVO geschieht; siehe dazu auch Paal in seinem Beitrag zu dieser Festschrift.

– Kollision zwischen MiFID II und DSGVO? –

Petra Buck-Heeb

Die EU-Datenschutzgrundverordnung1 (DSGVO) hat den Jubilar in vielfacher Hinsicht wissenschaftlich beschäftigt. Die dort geregelte Verarbeitung personenbezogener Daten betrifft inzwischen so gut wie jeden Bereich der Gesellschaft,2 auch den Finanzmarktbereich. Der vorliegende Beitrag befasst sich mit einer Schnittstelle zwischen Wertpapier- und Datenschutzrecht. Sowohl die datenschutz- als auch die wertpapierhandelsrechtlichen Regelungen zu den Aufzeichnungspflichten basieren nämlich auf Europarecht, sodass sich die Frage stellt, inwiefern beide aufeinander abgestimmt sind oder zu einer Normenkollision führen.

Obwohl die verschärften Aufzeichnungspflichten für Wertpapierdienstleistungsunternehmen,3 welche aufgrund der 2. Finanzmarktrichtlinie (Markets in Financial Instruments Directive, sog. MiFID II)4 zum 3.1.2018 durch das Zweite Finanzmarktnovellierungsgesetz (sog. 2. FiMaNoG)5 in nationales Recht umgesetzt wurden, auch datenschutzrechtliche Bezüge haben, werden die Wechselwirkungen zwischen diesen MiFID II- bzw. WpHG-Regelungen und der DSGVO im wissenschaftlichen Schrifttum bislang kaum thematisiert.6 Im Zentrum der Überlegungen steht dabei § 83 WpHG, der in Umsetzung der MiFID II nunmehr verschärfte Anforderungen an die Aufzeichnungspflichten enthält. Bei diesen handelt es sich gleichzeitig um Datenverarbeitung i.S.d. Art. 4 Nr. 2 DSGVO.7