Читать книгу: «Datenschutzrecht»

Datenschutzrecht

von

Jürgen Kühling

Manuel Klar

Florian Sackmann

5., neu bearbeitete Auflage

www.cfmueller.de

Datenschutzrecht › Autor

Universitätsprofessor Dr. iur. Jürgen Kühling LL.M. (Brüssel) ist seit Anfang 2007 Inhaber des Lehrstuhls für Öffentliches Recht, Immobilienrecht, Infrastrukturrecht und Informationsrecht an der Universität Regensburg. Kühling ist 1971 geboren, studierte von 1990 bis 1995 an den Universitäten Trier und Nancy II und erwarb im Jahr 1995 den Master in Legal Theory an der KUB und FUSL in Brüssel. Die Promotion und Habilitation an der Universität Bonn folgten 1998 und 2003. Er war von 2004 bis 2007 Professor für Öffentliches Recht, insbesondere Medien- und Telekommunikationsrecht sowie Datenschutzrecht, an der Universität Karlsruhe (TH) und dort zugleich Leiter des Instituts für Informationsrecht. Kühling hat sich in zahlreichen Publikationen, Studien und Rechtsgutachten mit dem Informationsrecht in seiner ganzen Breite (Datenschutz-, Telekommunikations- und Medienrecht) sowie mit dem Netzwirtschafts- und Infrastrukturrecht auseinandergesetzt. Er besitzt eine umfangreiche Beratungserfahrung auf nationaler und internationaler Ebene, wobei er insbesondere die öffentliche Hand in Fragen des Informationsrechts sowie des öffentlichen Wirtschaftsrechts einschließlich des Energie, Wettbewerbs- und Datenschutzrechts berät. Seit Juli 2016 ist er Mitglied der Monopolkommission und seit September 2020 deren Vorsitzender.

Dr. iur. Manuel Klar ist Rechtsanwalt in München. Er berät deutsche und international tätige Unternehmen im Datenschutzrecht. Seit 2017 ist Klar Lehrbeauftragter für Datenschutzrecht an der Universität Regensburg. Im Jahr 2015 vertiefte er seine datenschutzrechtlichen Kenntnisse im Rahmen eines rechtsvergleichenden Forschungsaufenthaltes an der University of California (Berkeley). Vor seiner Anwaltstätigkeit war Klar Wissenschaftlicher Mitarbeiter am Lehrstuhl von Prof. Kühling und promovierte dort zu einem datenschutzrechtlichen Thema. Er hat zahlreiche Fachbeiträge zu verschiedenen datenschutzrechtlichen Themen publiziert.

Dr. iur. Florian Sackmann ist Rechtsanwalt und war Wissenschaftlicher Mitarbeiter am Lehrstuhl von Prof. Kühling. Er promovierte dort zu einem datenschutzrechtlichen Thema. Er studierte Rechtswissenschaften an der Universität Regensburg und leistete sein Referendariat im Bezirk des OLG Nürnberg ab. 2016 war er zeitweise für ein DAX-Unternehmen im Bereich Compliance tätig. Sackmann hat mehrere Fachbeiträge zu unterschiedlichen datenschutzrechtlichen Fragestellungen veröffentlicht.

Impressum

Bibliografische Informationen der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über <http://dnb.d-nb.de> abrufbar.

ISBN 978-3-8114-9038-3

E-Mail: kundenservice@cfmueller.de

Telefon: +49 6221 1859 599

Telefax: +49 6221 1859 598

www.cfmueller.de

© C.F. Müller GmbH, Waldhofer Straße 100, 69123 Heidelberg

Hinweis des Verlages zum Urheberrecht und Digitalen Rechtemanagement (DRM) Der Verlag räumt Ihnen mit dem Kauf des ebooks das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen. Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und Einspeicherung und Verarbeitung in elektronischen Systemen. Der Verlag schützt seine ebooks vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Bei Kauf im Webshop des Verlages werden die ebooks mit einem nicht sichtbaren digitalen Wasserzeichen individuell pro Nutzer signiert. Bei Kauf in anderen ebook-Webshops erfolgt die Signatur durch die Shopbetreiber. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.

Vorwort

Die Datenschutzordnung in der Europäischen Union und in Deutschland erhielt durch die Geltung der Datenschutz-Grundverordnung der EU (DS-GVO) und das Inkrafttreten des begleitenden Bundesdatenschutzgesetzes (BDSG) am 25. Mai 2018 eine neue Gestalt. Ausgangspunkt bei der Rechtsanwendung im allgemeinen Datenschutzrecht ist seitdem primär die EU-Regelung und nur noch ergänzend das deutsche BDSG. Inzwischen konnten fast drei Jahre Erfahrungen mit dem neuen Rechtsregime gesammelt werden und es hat sich die Befürchtung bewahrheitet, dass die Komplexität der Datenschutzordnung durch die Vielzahl neuer, anspruchsvoller Herausforderungen nochmals gestiegen ist. Hinzu kommt eine Vielzahl aktueller Probleme wie die facettenreichen Diskussionen um die Rechtmäßigkeit der Datenverarbeitung in sozialen Netzwerken, beim Cloud-Computing oder im Bereich der Mobilitätsdaten eindrucksvoll belegen. Das Zusammenspiel von unionsrechtlichen Vorgaben und nationalem Recht gestaltet sich angesichts der zahlreichen Öffnungsklauseln der DS-GVO nochmals anspruchsvoller. Erste Gerichtsurteile zeigen auch, dass das deutsche BDSG die Öffnungsklauseln in Einzelfällen überdehnt hat und daher insoweit unionsrechtswidrig ist. Deshalb bietet die vorliegende Einführung nicht nur eine Erläuterung der einzelnen materiell-rechtlichen, prozeduralen und institutionellen Vorgaben des neuen Rechtsregimes, sondern will gerade das komplexe Zusammenspiel der verschiedenen Rechtsebenen verständlich machen. Dabei liegt der Fokus auf dem allgemeinen Datenschutzrecht in der DS-GVO und im BDSG.

Zugleich ist das geltende Datenschutzrecht nicht zuletzt angesichts umfassender verfassungsgerichtlicher Vorgaben zur Normierung hinreichend bestimmter und bereichsspezifischer Ermächtigungsgrundlagen für Datenverarbeitungen im nationalen Recht weiterhin äußerst ausdifferenziert. So finden sich zwar für einen Großteil der Datenverarbeitungsprozesse in der DS-GVO und ergänzend im BDSG (und in den tendenziell vergleichbaren Datenschutzgesetzen der Länder) abschließende Regelungen. Hinzu kommt jedoch eine Vielzahl ergänzender, sektorspezifischer Bestimmungen für Sonderkonstellationen, wie der Datenverarbeitung im Gesundheitswesen oder in der Sozialverwaltung. Angesichts der Fülle der einschlägigen Normen verfolgt die vorliegende Einführung insoweit das Ziel, das Zusammenspiel von allgemeinem und bereichsspezifischem Datenschutzrecht zu verdeutlichen. Näher behandelt werden im Übrigen nur die unionsrechtlich kodifizierten bereichsspezifischen Regeln, also die Bestimmungen im Bereich der öffentlichen Sicherheit und Strafverfolgung einerseits und dem Telemedien- und Telekommunikationssektor andererseits. Beides erfolgt allerdings nur im Überblick, um den Charakter des Lehrbuchs als Einführung zu wahren.

Trotz des Einführungscharakters des vorliegenden Buches soll gleichwohl die für das Verständnis wichtige und daher umfassende Darstellung zunächst der Grundlagen im deutschen Verfassungsrecht sowie im europäischen Recht erfolgen. Dies schließt eine Erläuterung der Genesis der Kodifikationen auf nationaler, internationaler und supranationaler Ebene ein. Für die Datenschutzordnung gilt im besonderen Maße, dass die jetzige Struktur ohne Kenntnis ihrer Entstehung nicht verstanden werden kann.

Ziel der vorliegenden Einführung ist es also, den Leser durch das komplexe Normen-Labyrinth zu leiten und ihm dabei ein systematisches Verständnis des Zusammenspiels der unions- und verfassungsrechtlichen Grundlagen, des horizontalen Datenschutzgesetzes der EU, des Bundes (und der Länder) sowie der bereichsspezifischen Regelungen zu vermitteln. Daher wird ganz bewusst stark an die Normen als textlichem Ausgangsbefund angeknüpft. Dementsprechend wird die Lektüre der einschlägigen Normen beim Durchgang durch das vorliegende Werk nachdrücklich empfohlen. Angesichts des beschränkten Umfangs dieses Buches wird die Darstellung auf das Notwendigste komprimiert. Dafür werden weiterführende Literaturhinweise gegeben. Im Übrigen wird die komplexe Materie des Datenschutzrechts unter Bezugnahme auf praktische Anwendungsfälle erläutert. Zudem erleichtern Grafiken und Übersichten – die sich ebenso wie die Anwendungsfälle bereits im Vorlesungsbetrieb bewährt haben – das Verständnis. Da die Fälle überwiegend an Original-Streitigkeiten aus der Praxis angelehnt sind, sollen sie nicht nur der Kontrolle und Vertiefung des Erlernten dienen, sondern zugleich plastisch vor Augen führen, worüber im datenschutzrechtlichen Alltag gestritten wird.

Das vorliegende Buch richtet sich primär an Juristen, die in Wissenschaft und Praxis mit datenschutzrechtlichen Fragen zu tun haben, seien es Studierende, Wissenschaftler, Rechtsanwälte, Datenschutzbeauftragte, Ministerialbeamte oder Richter. Auch Vertreter anderer Disziplinen wie Informatiker oder Betriebswirte, die sich einen Überblick über das rechtliche Umfeld verschaffen wollen, sollen sich angesprochen fühlen. Dabei soll gerade jenen, die zum ersten Mal mit datenschutzrechtlichen Fragen konfrontiert sind, eine Hilfe an die Hand gegeben werden.

Literatur und Rechtsprechung befinden sich auf dem Stand vom Dezember 2020. Vereinzelt konnten auch noch spätere Entwicklungen berücksichtigt werden. Die Autoren danken den wissenschaftlichen Mitarbeitern Herrn Maximilian Dürr, Herrn Cornelius Sauerborn, Herrn Roman Schildbach und Herrn Martin Weiß für den wertvollen Input, sowie den studentischen Hilfskräften Frau Antonia Schöne, Frau Katharina Philipp, Frau Melissa Mahmoud, Frau Elina Mayer und Frau Marie Solleder für ihre umfassende und sehr hilfreiche Unterstützung bei der Erstellung des Manuskripts und der formalen Überarbeitung. Schließlich danken wir Herrn Christian Lenz vom Verlag C.F. Müller für die hervorragende Betreuung während der Manuskripterstellung. Kritik und Hinweise sind bitte an den Lehrstuhl für Öffentliches Recht, Immobilienrecht, Infrastrukturrecht und Informationsrecht an der Universität Regensburg zu richten (Juergen.Kuehling@jura.uni-regensburg.de).

Regensburg/München/Roding, im Januar 2021

Jürgen Kühling, Manuel Klar und Florian Sackmann

Inhaltsübersicht

Vorwort

Inhaltsverzeichnis

Abkürzungsverzeichnis

Fallverzeichnis

Abbildungsverzeichnis

Ausgewählte Literatur

Einführung

1. Kapitel Grundlagen

A. Internationale Grundlagen

B. Unionsprimärrechtliche Grundlagen

C. Rechtsrahmen im Grundgesetz

D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts

2. Kapitel Datenschutz im Zusammenspiel von DS-GVO, BDSG und LDSGen

A. Anwendungsbereich des Datenschutzrechts

B. Wesentliche Begriffe im Datenschutzrecht

C. Regelungsgrundsätze der DS-GVO

D. Rechtmäßigkeit der Datenverarbeitung

E. Einwilligung der betroffenen Person (Art. 7 f. DS-GVO)

F. Gemeinsame Verantwortlichkeit und Auftragsverarbeitung (Art. 26 und 28 DS-GVO)

G. Grenzüberschreitender Datenverkehr

H. Rechte der betroffenen Person

I. Institutionelles und prozedurales Datenschutzrecht

3. Kapitel Besondere Datenverarbeitungssituationen und bereichsspezifisches Datenschutzrecht

A. Besondere Datenverarbeitungssituationen in DS-GVO und BDSG

B. Datenschutz im Bereich der öffentlichen Sicherheit und Strafverfolgung – DSRL-JI (§§ 45 ff. BDSG)

C. Datenschutz im Bereich der Telekommunikation und der Telemedien

Stichwortverzeichnis

Inhaltsverzeichnis

Vorwort

Inhaltsübersicht

Abkürzungsverzeichnis

Fallverzeichnis

Abbildungsverzeichnis

Ausgewählte Literatur

Einführung

1. Kapitel Grundlagen

A. Internationale Grundlagen

I. Vereinte Nationen

II. OECD

III. Europarat

1. Recht auf Achtung des Privatlebens und der Korrespondenz (Art. 8 EMRK)

2. Datenschutz-Konvention des Europarats

B. Unionsprimärrechtliche Grundlagen

I. Einführung

II. Kompetenzgrundlagen für Sekundärrechtsakte

1. Kompetenz zum Erlass von Rechtsakten

2. Kompetenz zum Abschluss internationaler Übereinkünfte

III. Unionsgrundrechte

1. Grundlagen

2. Anwendungsbereich der Unionsgrundrechte und Zusammenspiel mit mitgliedstaatlichem Grundrechtschutz

3. Recht auf Achtung des Privatlebens und der Kommunikation (Art. 7 GrCh)

4. Datenschutzgrundrecht (Art. 8 GrCh)

C. Rechtsrahmen im Grundgesetz

I. Einführung

II. Datenschutzrechtliche Gesetzgebungskompetenz in Bund und Ländern

III. Grundrechte

1. Anwendbarkeit deutscher Grundrechte neben den Unionsgrundrechten

2. Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG)

a) Volkszählungsurteil als Ursprung des Rechts auf informationelle Selbstbestimmung

b) Weiterer dogmatischer Ausbau

aa) Schutzbereich

bb) Drittwirkung/Schutzpflichten

cc) Abwägungstopoi

dd) Bestimmtheit und Normenklarheit

c) „Recht auf Vergessen(werden)“

d) Abgrenzung zum Recht am eigenen Bild und Recht am eigenen Wort

3. Fernmeldegeheimnis (Art. 10 Abs. 1 Var. 3 GG)

a) Schutzbereich

b) Abwägungstopoi

c) Insbesondere: Richtervorbehalt

d) Vorratsdatenspeicherung

e) Abgrenzung zum Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m Art. 1 Abs. 1 GG)

4. Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme (Art. 2 Abs. 1 i.V.m Art. 1 Abs. 1 GG)

a) Grundlagen

b) Abgrenzung zu anderen Grundrechten durch das BVerfG

aa) Abgrenzung zu Art. 10 Abs. 1 Var. 3 GG

bb) Abgrenzung zu Art. 13 Abs. 1 GG

cc) Abgrenzung zum Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG)

dd) Kritik

D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts

I. Einführung

II. Anfänge und weitere Entwicklung des deutschen Datenschutzrechts

1. Der Weg zum BDSG 1977

2. Das BDSG 1990

3. Richtlinie 95/46/EG (DSRL) und BDSG 2001

4. Kleinere Novellen in 2009 und 2010

5. Grundstruktur des BDSG a.F.

III. Die Prägung des Datenschutzrechts durch das Unionsrecht

1. Die verschiedenen Sekundärrechtsakte im Überblick

2. Umfassende horizontale Regelung in der Richtlinie 95/46/EG (DSRL)

a) Entstehung, Rechtsgrundlage und Kerngehalt

b) Materiell-rechtlicher Schwerpunkt

aa) Weiter Anwendungsbereich

bb) Grundprinzipien

c) Harmonisierung der Betroffenenrechte

d) Institutionelle Vorgaben

e) Präzisierung und Verschärfung durch die Rechtsprechung des EuGH

aa) Verdeutlichung des Wirkkreises der DSRL

bb) Schärfung des territorialen Anwendungsbereichs

cc) Strenge Anforderungen an einen Drittlandtransfer

dd) Stärkung der Unabhängigkeit der Aufsicht

3. Sonstige bisherige Steuerungsvorgaben der EU

a) Überblick über die Regelwerke

b) E-Privacy-Richtlinie 2002/58/EG (EDSRL)

aa) Rechtsgrundlage und Verfahren, Anwendungsbereich, Begriffsbestimmungen

bb) Wesentliche Regelungen

c) Die gescheiterte Vorratsdatenspeicherungsrichtlinie 2006/24/EG

aa) Entstehungsgeschichte; Rechtsgrundlage und Verfahren; Anwendungsbereich

bb) Wesentliche Regelungen

cc) Rechtliche Bewertung und Urteil des EuGH

d) Rahmenbeschluss 2008/977/JI

IV. Die Reform des EU-Datenschutzrechts

1. Umfassende horizontale Regelung in der DS-GVO

a) Allgemeine Diskussion um den Kommissionsentwurf

b) Das Gesamtkonzept in der Fortentwicklung

c) Aufbau und Umfang

2. Sonstige Steuerungsvorgaben der EU

a) Datenschutz bei der Verbrechensbekämpfung – DSRL-JI

b) Künftige E-Privacy-Verordnung (E-Privacy-VO)

c) Neuanlauf zur Vorratsdatenspeicherung?

3. Nationale Begleitung durch das neue BDSG

a) Entstehung des Datenschutzanpassungsgesetzes

b) Aufbau des BDSG

c) Anwendungsbereich des BDSG

V. Zusammenspiel der verschiedenen Datenschutzregelungen

1. Dreifache Ausdifferenzierung des Datenschutzregimes

2. Unions- und nationale Ebene

3. Bundes- und Landesebene

4. Allgemeine und bereichsspezifische Regelungen

5. Prüfungsstruktur einer datenschutzrechtlichen Frage

2. Kapitel Datenschutz im Zusammenspiel von DS-GVO, BDSG und LDSGen

A. Anwendungsbereich des Datenschutzrechts

I. Sachlicher Anwendungsbereich der DS-GVO (Art. 2 DS-GVO)

1. Automatisierte und nichtautomatisierte Verarbeitung (Art. 2 Abs. 1 DS-GVO)

a) Verarbeitung personenbezogener Daten

b) Ganz oder teilweise automatisiert

c) Nichtautomatisierte Verarbeitung bei Speicherung in Dateisystem

2. Ausnahmen vom Anwendungsbereich (Art. 2 Abs. 2 und 3 DS-GVO)

3. Vorgaben im BDSG (§ 1 Abs. 1 BDSG)

II. Räumlicher Anwendungsbereich der DS-GVO (Art. 3 DS-GVO)

1. Niederlassung in der EU (Art. 3 Abs. 1 DS-GVO)

2. Niederlassung außerhalb der EU (Art. 3 Abs. 2 DS-GVO)

a) Angebot von Waren und Dienstleistungen in der EU (Art. 3 Abs. 2 lit. a DS-GVO)

b) Verhaltensbeobachtung (Art. 3 Abs. 2 lit. b DS-GVO)

3. Anwendbarkeit aufgrund völkerrechtlicher Vorgaben (Art. 3 Abs. 3 DS-GVO)

4. Vorgaben im BDSG (§ 1 Abs. 4 BDSG)

B. Wesentliche Begriffe im Datenschutzrecht

I. Personenbezogene Daten

1. Personenbezug und betroffene Person (Art. 4 Nr. 1 DS-GVO)

a) Informationen mit Bezug zu einer Person

b) Identifiziertheit und Identifizierbarkeit der Person

c) Beispiele

2. Anonyme Informationen und Pseudonymisierung

a) Anonyme Informationen

b) Pseudonymisierung (Art. 4 Nr. 5 DS-GVO)

3. Besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DS-GVO)

a) Genetische Daten (Art. 4 Nr. 13 DS-GVO)

b) Biometrische Daten (Art. 4 Nr. 14 DS-GVO)

c) Gesundheitsdaten (Art. 4 Nr. 15 DS-GVO)

d) Sonstige besonders schützenswerte Daten (Art. 9 Abs. 1 DS-GVO)

II. Verarbeitung personenbezogener Daten (Art. 4 Nr. 2 DS-GVO)

1. Erheben und Erfassen

2. Organisation und Ordnen

3. Speichern

4. Anpassung oder Veränderung

5. Auslesen und Abfragen

6. Verwendung

7. Offenlegung durch Übermittlung, Verbreitung und sonstige Bereitstellung

8. Abgleich und Verknüpfung

9. Einschränkung

10. Löschen und Vernichten

III. Verantwortlicher, Auftragsverarbeiter, Empfänger und Dritter

1. Verantwortlicher (Art. 4 Nr. 7 DS-GVO)

2. Auftragsverarbeiter (Art. 4 Nr. 8 DS-GVO)

3. Empfänger und Dritter (Art. 4 Nr. 9 und 10 DS-GVO)

IV. Öffentliche und nichtöffentliche Stellen

1. Keine Unterscheidung in der DS-GVO

2. Öffentliche Stellen i.S.d. BDSG

a) Öffentliche Stellen des Bundes (§ 2 Abs. 1 BDSG)

b) Öffentliche Stellen der Länder (§ 2 Abs. 2 BDSG)

3. Nichtöffentliche Stellen i.S.d. BDSG (§ 2 Abs. 4 BDSG)

C. Regelungsgrundsätze der DS-GVO

I. Rechtmäßigkeit – Verbot mit Zulässigkeitstatbeständen/Erforderlichkeit (Art. 5 Abs. 1 lit. a Var. 1 DS-GVO)

1. Zulässigkeit aufgrund der Einwilligung der betroffenen Person

2. Zulässigkeit aufgrund eines sonstigen gesetzlichen Zulässigkeitstatbestandes

II. Verarbeitung nach Treu und Glauben (Art. 5 Abs. 1 lit. a Var. 2 DS-GVO)

III. Grundsatz der Transparenz (Art. 5 Abs. 1 lit. a Var. 3 DS-GVO)

IV. Zweckbindungsgrundsatz (Art. 5 Abs. 1 lit. b DS-GVO)

V. Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DS-GVO) und Systemdatenschutz

VI. Richtigkeit (Art. 5 Abs. 1 lit. d DS-GVO)

VII. Speicherbegrenzung (Art. 5 Abs. 1 lit. e DS-GVO)

VIII. Integrität und Vertraulichkeit/Datensicherheit (Art. 5 Abs. 1 lit. f DS-GVO)

IX. Rechenschaftspflicht (Art. 5 Abs. 2 DS-GVO)

D. Rechtmäßigkeit der Datenverarbeitung

I. Zulässigkeitstatbestände des Art. 6 Abs. 1 DS-GVO

1. Einwilligung (Art. 6 Abs. 1 UAbs. 1 lit. a DS-GVO)

2. Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 UAbs. 1 lit. b DS-GVO)

a) Vertragserfüllung

b) Durchführung vorvertraglicher Maßnahmen

c) Weiterverarbeitungen

3. Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 UAbs. 1 lit. c DS-GVO)

4. Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 UAbs. 1 lit. d DS-GVO)

5. Aufgabenwahrnehmung (Art. 6 Abs. 1 UAbs. 1 lit. e DS-GVO)

a) Allgemeine Anforderungen

b) Erfordernis einer Rechtsgrundlage

c) Generalklausel des § 3 BDSG

d) Teilweise eingeschränkte Betroffenenrechte

e) Widerspruchsrecht (Art. 21 Abs. 1 DS-GVO)

6. Interessenabwägung (Art. 6 Abs. 1 UAbs. 1 lit. f DS-GVO)

a) Allgemeine Anforderungen

b) Informationspflicht und Widerspruch gegen die Verarbeitung

c) Anwendungsbeispiele

aa) Werbung

bb) IT-Sicherheit

cc) Konzerninterne Datentransfers

II. Rechtmäßigkeit zweckändernder Verarbeitungen

1. Kompatibilität von neuem und ursprünglichem Zweck (Art. 6 Abs. 4 DS-GVO)

2. Weiterverarbeitungen zu Archiv-, Forschungs- und statistischen Zwecken (Art. 5 Abs. 1 lit. b Hs. 2 DS-GVO)

3. Ergänzende Vorgaben im BDSG (§§ 23 ff. BDSG)

a) Zweckändernde Verarbeitung durch öffentliche Stellen

aa) Allgemeine Vorgaben (§ 23 BDSG)

bb) Besondere Anforderungen für zweckändernde Datenübermittlungen (§ 25 BDSG)

b) Zweckändernde Verarbeitung durch nichtöffentliche Stellen (§ 24 BDSG)

III. Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DS-GVO)

1. Grundsätzliches Verarbeitungsverbot (Art. 9 Abs. 1 DS-GVO)

2. Einzelne Zulässigkeitstatbestände (Art. 9 Abs. 2 DS-GVO)

a) Einwilligung (Art. 9 Abs. 2 lit. a DS-GVO)

b) Arbeitsrecht, Recht der sozialen Sicherheit und Sozialschutz (Art. 9 Abs. 2 lit. b DS-GVO)

c) Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c DS-GVO)

d) Stiftungen, Vereinigungen, sonstige Organisationen (Art. 9 Abs. 2 lit. d DS-GVO)

e) Offensichtlich öffentlich gemachte Daten (Art. 9 Abs. 2 lit. e DS-GVO)

f) Verfolgung rechtlicher Ansprüche (Art. 9 Abs. 2 lit. f DS-GVO)

g) Erhebliches öffentliches Interesse (Art. 9 Abs. 2 lit. g DS-GVO)

h) Versorgung im Gesundheitsbereich (Art. 9 Abs. 2 lit. h DS-GVO)

i) Öffentliche Gesundheitsinteressen (Art. 9 Abs. 2 lit. i DS-GVO)

j) Archivarische, wissenschaftliche und statistische Zwecke (Art. 9 Abs. 2 lit. j DS-GVO)

3. Weitere Schutzregelungen und spezifische Pflichten

4. Exkurs: Gesundheitsdatenschutzrecht als national geprägtes sektorspezifisches Regelungsregime

IV. Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DS-GVO)

V. Verbot automatisierter Entscheidungen im Einzelfall einschließlich Profiling (Art. 22 DS-GVO)

1. Grundsätzliches Verbot (Art. 22 Abs. 1 DS-GVO)

2. Ausnahmen vom Verbot in der DS-GVO (Art. 22 Abs. 2 DS-GVO)

3. Ausnahmen vom Verbot im BDSG (§ 37 BDSG)

E. Einwilligung der betroffenen Person (Art. 7 f. DS-GVO)

I. Einführung

II. Die Einwilligung gegenüber öffentlichen und privaten Stellen

III. Grundrechtliche Vorprägung

IV. Inhaltliche Wirksamkeitsvoraussetzungen (Art. 7 DS-GVO)

1. Freiwillig (Art. 4 Nr. 11 DS-GVO; Art. 7 Abs. 4 DS-GVO)

2. Informierte Einwilligung (Art. 4 Nr. 11 DS-GVO)

3. Bestimmtheit (Art. 5 Abs. 1 lit. b, 6 Abs. 1 UAbs. 1 lit. a DS-GVO)

4. Einwilligung bei sensiblen Daten (Art. 9 Abs. 2 lit. a DS-GVO)

V. Formale Wirksamkeitsvoraussetzungen

1. Abgabe/Einwilligungsbewusstsein (Art. 4 Nr. 11, Erwägungsgrund 32 DS-GVO)

2. Form

3. Transparenzgebot (Art. 7 Abs. 2 S. 1 DS-GVO)

4. Nachweisbarkeit (Art. 7 Abs. 1 DS-GVO)

VI. Widerrufbarkeit (Art. 7 Abs. 3 DS-GVO)

VII. Einsichtsfähigkeit und Einwilligung Minderjähriger (Art. 8 DS-GVO)

F. Gemeinsame Verantwortlichkeit und Auftragsverarbeitung (Art. 26 und 28 DS-GVO)

I. Gemeinsame Verantwortlichkeit (Art. 26 DS-GVO)

1. Stärkung und Ausdifferenzierung der Rechtsfigur durch den EuGH

2. Rezeption in der Anwendungspraxis

II. Auftragsverarbeitung (Art. 28 DS-GVO)

1. Begriff der Auftragsverarbeitung

a) Definition

b) Abgrenzung zum Verantwortlichen

c) Abgrenzung zur Figur der gemeinsamen Verantwortlichkeit

2. Eigenständige Pflichten des Auftragsverarbeiters

3. „Privilegierung“ der Auftragsverarbeitung

4. Auswahl des Auftragsverarbeiters durch den Verantwortlichen (Art. 28 Abs. 1 DS-GVO)

5. Vereinbarungen zur Auftragsverarbeitung (Art. 28 Abs. 3, 6 bis 9 DS-GVO)

a) Beschreibung der Verarbeitung, Pflichten und Rechte des Verantwortlichen (Art. 28 Abs. 3 S. 1 DS-GVO)

b) Weisungsbefugnis (Art. 28 Abs. 3 S. 2 lit. a DS-GVO)

c) Vertraulichkeit (Art. 28 Abs. 3 S. 2 lit. b DS-GVO)

d) Sicherheit (Art. 28 Abs. 3 S. 2 lit. c DS-GVO)

e) Unterauftragsverarbeiter (Art. 28 Abs. 3 S. 2 lit. d DS-GVO)

f) Unterstützungspflichten (Art. 28 Abs. 3 S. 2 lit. e und f DS-GVO)

g) Rückgabe/Löschung (Art. 28 Abs. 3 S. 2 lit. g DS-GVO)

h) Informations- und Kontrollbefugnisse (Art. 28 Abs. 3 S. 2 lit. h DS-GVO)

i) Haftungsverteilung (optional)

6. Unterauftragsverarbeitung

7. Besonderheiten bei der Aufsicht

8. IT-Systemwartung

III. Exkurs: Besonderheiten bei berufsrechtlicher Schweigepflicht

G. Grenzüberschreitender Datenverkehr

I. Übermittlung innerhalb des datenschutzrechtlichen Binnenraums

II. Übermittlung in Drittländer (Art. 44 ff. DS-GVO)

1. Angemessenes Schutzniveau beim Empfänger (Art. 45 DS-GVO)

a) Feststellung durch Europäische Kommission

b) Sondersituation bei Datenübermittlungen in die USA

2. Kein angemessenes Schutzniveau beim Empfänger (Art. 46 und 49 DS-GVO)

H. Rechte der betroffenen Person

I. Übergreifende Vorgaben

1. Transparenzgebot und Modalitäten (Art. 12 Abs. 1, 3, 5 DS-GVO)

2. Ausnahmen (Art. 12 Abs. 5 S. 2, Abs. 4 DS-GVO)

3. Öffnungsklauseln (Art. 23, 85 Abs. 2, 89 Abs. 2 und 3 DS-GVO)

II. Betroffenenrechte im Einzelnen

1. Information

a) Datenerhebung bei der betroffenen Person (Direkterhebung)

aa) Allgemeine Vorgaben (Art. 13 Abs. 1, 2 DS-GVO)

bb) Ausnahmen (Art. 13 Abs. 4 DS-GVO; § 32 Abs. 1, 2 BDSG)

b) Datenerhebung nicht bei der betroffenen Person (Dritterhebung)

aa) Allgemeine Vorgaben (Art. 14 Abs. 1, 2 DS-GVO)

bb) Ausnahmen (Art. 14 Abs. 5 DS-GVO; § 29 Abs. 1, § 33 Abs. 1, 2 BDSG)

2. Auskunft

a) Voraussetzungen und Rechtsfolgen (Art. 15 DS-GVO; § 34 Abs. 4 BDSG)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2, 28 Abs. 2, 29 Abs. 1 S. 2, 34 Abs. 1 f. BDSG)

3. Berichtigung

a) Voraussetzungen und Rechtsfolgen (Art. 16 und 19 DS-GVO)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2 S. 1, 28 Abs. 3 BDSG)

4. Löschung

a) Voraussetzungen und Rechtsfolgen (Art. 17 Abs. 1 DS-GVO; § 4 Abs. 5 BDSG)

b) Nachberichts- und Informationspflichten (Art. 17 Abs. 2, 19 DS-GVO)

c) Ausnahmen (Art. 12 Abs. 5 S. 2, 17 Abs. 3 DS-GVO; § 35 BDSG)

5. Einschränkung (Sperrung)

a) Voraussetzungen und Rechtsfolgen (Art. 18 und 19 DS-GVO; § 35 BDSG)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2 S. 1, 28 Abs. 4 BDSG)

6. Recht auf Datenübertragbarkeit

a) Bedeutung

b) Voraussetzungen und Rechtsfolgen (Art. 20 DS-GVO)

c) Ausnahmen (Art. 12 Abs. 5 S. 2, 20 Abs. 3 DS-GVO; § 28 Abs. 4 BDSG)

7. Widerspruch

a) Voraussetzungen und Rechtsfolgen (Art. 21 DS-GVO)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2, 28 Abs. 4, 36 BDSG)

8. Sonstige Rechte (Art. 22, 34, 77, 78, 79, 82 DS-GVO)

I. Institutionelles und prozedurales Datenschutzrecht

I. Aufsichtsbehörden (Art. 51 ff. DS-GVO)

1. Institutionen auf EU-Ebene

a) Europäischer Datenschutzbeauftragter (Art. 16 Abs. 2 S. 2 AEUV)

b) Europäischer Datenschutzausschuss (Art. 68, 73 ff. DS-GVO)

2. Institutionen auf nationaler Ebene

a) Der oder die Bundesbeauftragte für den Datenschutz (§§ 8 ff. BDSG)

b) Die Landesdatenschutzbehörden

3. Abstimmung aufsichtsrechtlicher Entscheidungen auf EU-Ebene

a) Zuständigkeit – Grundsatz (Art. 55 Abs. 1 DS-GVO)

b) Zuständigkeit bei grenzüberschreitender Datenverarbeitung (Art. 56 DS-GVO)

c) Kooperation, Abstimmung und Zusammenarbeit zwischen den Aufsichtsbehörden (Art. 60 f. DS-GVO)

d) Kohärenzverfahren (Art. 63 ff. DS-GVO)

4. Aufgaben und Befugnisse der Aufsichtsbehörden (Art. 57 DS-GVO)

a) Aufgaben

b) Befugnisse

aa) Befugnisse nach der DS-GVO

bb) Ergänzende Befugnisse nach nationalem Recht

II. Dokumentations-, Melde- und Kontrollpflichten des Verantwortlichen

1. Dokumentationspflichten (Art. 5 Abs. 2, 30 Abs. 1, 2 DS-GVO)

2. Meldepflichten

a) Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DS-GVO)

b) Benachrichtigungspflicht gegenüber der betroffenen Person (Art. 34 DS-GVO)

3. Datenschutz-Folgenabschätzung (Art. 35 DS-GVO)

a) Inhalt und Umfang

b) Voraussetzungen und Verfahren

c) Rolle der Aufsichtsbehörden

4. Datenschutzbeauftragter (Art. 37 f. DS-GVO)

a) Benennung und persönliche Voraussetzungen

b) Rechtsstellung

c) Aufgaben

III. Selbstregulierung

1. Zertifizierung (Art. 42 f. DS-GVO)

2. Genehmigte Verhaltensregeln (Art. 40 f. DS-GVO)

IV. Datenschutzfreundliche Produktgestaltung (Art. 25 DS-GVO)

1. Privacy by Design

2. Privacy by Default

V. Rechtsfolgen bei Verstößen (Art. 77 ff. DS-GVO)

1. Bußgeld (Art. 83 DS-GVO)

2. Schadensersatz (Art. 82 DS-GVO)

3. Strafrechtliche Sanktionen (§ 42 BDSG)

4. Wettbewerbsrechtliche Implikationen

5. Einfluss des Kartellrechts

3. Kapitel Besondere Datenverarbeitungssituationen und bereichsspezifisches Datenschutzrecht

A. Besondere Datenverarbeitungssituationen in DS-GVO und BDSG

I. Videoüberwachung

1. Vorgaben der DS-GVO

a) Anwendungsbereich

b) Abwägungstopoi für die materielle Rechtmäßigkeit

c) Transparenzvorgaben

d) Speicherdauer

e) Datenschutz-Folgenabschätzung

f) Besonderheiten beim Einsatz von Gesichtserkennungssoftware

2. Regelungsgehalt des § 4 BDSG und dessen eingeschränkte Anwendbarkeit

3. Videoüberwachung am Arbeitsplatz

II. Datenschutz im Beschäftigtenkontext

1. Öffnungsklausel im EU-Recht (Art. 88 DS-GVO)

2. Nationale Regelung des § 26 BDSG

a) Überblick

b) Begründung, Durchführung, Beendigung des Beschäftigungsverhältnisses (§ 26 Abs. 1 S. 1 BDSG)

c) Aufdeckung von Straftaten (§ 26 Abs. 1 S. 2 BDSG)

d) Erforderlichkeit der Datenverarbeitung

e) Einwilligung der betroffenen Person (§ 26 Abs. 2 BDSG)

f) Verarbeitung besonderer Kategorien personenbezogener Daten (§ 26 Abs. 3 BDSG)

g) Geeignete Schutzmaßnahmen (§ 26 Abs. 5 BDSG)

III. Verarbeitung und Zugang der Öffentlichkeit zu amtlichen Dokumenten (Art. 86 DS-GVO)

IV. Verarbeitung nationaler Kennziffern (Art. 87 DS-GVO)

V. Datenverarbeitung zu Archiv-, Forschungs- und statistischen Zwecken

1. Privilegierung und Öffnungsklauseln in der DS-GVO

2. Rechtsgrundlagen im BDSG

a) Forschungszwecke und statistische Zwecke (§ 27 BDSG)

b) Im öffentlichen Interesse liegende Archivzwecke (§ 28 BDSG)

VI. Rechte der betroffenen Person und aufsichtsbehördliche Befugnisse im Fall von Geheimhaltungspflichten

1. Einschränkung der Betroffenenrechte (Art. 14 Abs. 5 lit. d DS-GVO; § 29 BDSG)

2. Einschränkung aufsichtsbehördlicher Befugnisse (§ 29 Abs. 3 BDSG)

VII. Verbraucherkredite (§ 30 BDSG)

VIII. Schutz des Wirtschaftsverkehrs bei Scoring und Bonitätsauskünften (§ 31 BDSG)

1. Scoring (§ 31 Abs. 1 BDSG)

2. Bonitätsauskünfte (§ 31 Abs. 2 BDSG)

B. Datenschutz im Bereich der öffentlichen Sicherheit und Strafverfolgung – DSRL-JI (§§ 45 ff. BDSG)

I. Allgemeines

II. Materielles Recht

III. Institutionelles Recht

IV. Prozedurales Recht

C. Datenschutz im Bereich der Telekommunikation und der Telemedien

I. Entwicklung der Bestimmungen

1. Status Quo der Bestimmungen in DS-GVO, EDSRL, TKG und TMG

2. Zwischenzeitlich angestrebte Beseitigung von Unklarheiten durch das TTDSG

3. Längerfristige Änderungen durch die geplante E-Privacy-VO

a) Verhältnis der geplanten E-Privacy-VO zu der DS-GVO und dem TKG

b) Anwendungsbereich und wesentliche Inhalte der E-Privacy-VO im Überblick

II. Bereichsspezifischer Datenschutz im Telekommunikationsrecht

1. Bedeutung und Ausgangspunkt des bereichsspezifischen Datenschutzrechts in der Telekommunikation

2. Anwendungsbereich (§ 91 TKG/§ 1 TTDSG-E)

a) Regelung in § 91 TKG

b) Geplante Anpassung des Anwendungsbereichs an die Vorgaben aus der EDSRL in § 1 TTDSG-E

c) OTT-Dienste

3. Einzelne Tatbestände des Telekommunikationsdatenschutzes

a) Fernmeldegeheimnis (§ 88 TKG/§§ 3, 4 TTDSG-E)

b) Informationspflichten (§ 93 TKG)

c) Personal Information Management Services

d) Zulässigkeitsvorgaben orientiert an Datenkategorien

aa) Bestandsdaten (§ 95 TKG)

bb) Verkehrsdaten (§ 96 TKG/§ 9 TTDSG-E)

cc) Standortdaten (§ 98 TKG/§ 13 TTDSG-E)

e) Ausgewählte Verarbeitungszwecke

aa) Verarbeitung zur Entgeltermittlung und Abrechnung (§ 97 TKG/§ 10 TTDSG-E)

bb) Einzelverbindungsnachweis (§ 99 TKG/§ 11 TTDSG-E)

cc) Störungs- und Missbrauchsverhinderung (§ 100 TKG/§ 12 TTDSG-E)

f) Besondere Endnutzerschutzbestimmungen

4. Regelungen zur öffentlichen Sicherheit

a) Technische Vorkehrungen zum Schutz des Fernmeldegeheimnisses und personenbezogener Daten

b) Telekommunikationsüberwachung (§ 110 TKG/§ 169 TKG-N)

c) Spezielle Auskunftsverfahren

aa) Datenerhebung und -speicherung als Voraussetzung für ein Auskunftsersuchen (§ 111 TKG/§ 171 TKG-N)

bb) Automatisiertes Auskunftsverfahren (§ 112 TKG/§ 172 TKG-N)

cc) Manuelles Auskunftsverfahren (§ 113 TKG/§ 173 TKG-N)

III. Bereichsspezifischer Datenschutz im Telemedienrecht

1. Umstrittene Anwendbarkeit der Regelungen des TMG

2. Ausgewählte Probleme des Telemediendatenschutzes

a) Verwendung von Cookies

b) Auskunft über Bestandsdaten

Stichwortverzeichnis

Abkürzungsverzeichnis

Fallverzeichnis

Fallbeispiel 1 Anonyme Kontaktanzeige – Datenschutz nach Art. 8 EMRK

Lösung

Fallbeispiel 2 EU-Agrarbeihilfen – Datenschutz nach der GrCh

Lösung

Fallbeispiel 3 Ermittlung von Mobilfunkdaten durch IMSI-Catcher – Fernmeldegeheimnis

Lösung

Fallbeispiel 4 Löschbegehren gegen Online-Archiv – Recht auf Vergessen I

Lösung

Fallbeispiel 5 Löschbegehren gegen Suchmaschinenbetreiber – Recht auf Vergessen II

Lösung

Fallbeispiel 6 Vorratsdatenspeicherungsrichtlinie – Vereinbarkeit mit Kompetenzgefüge, GrCh, EMRK

Lösung

Fallbeispiel 7 Google Spain – Räumlicher Anwendungsbereich der DS-GVO

Lösung

Fallbeispiel 8 IP-Adressen – Personenbezogene Daten und Haushaltsausnahme

Lösung

Fallbeispiel 9 Verwertungsgesellschaft – Zulässigkeitstatbestände (I)

Lösung

Fallbeispiel 10 Fitnessstudio – Zulässigkeitstatbestände (II)

Lösung

Fallbeispiel 11 Fußball-EM – Einwilligung

Lösung

Fallbeispiel 12 Expansion im Limonadenhandel – Drittlandtransfer und Datenschutzverträge

Lösung

Fallbeispiel 13 Internet-Bewertungsportal – Betroffenenrechte

Lösung

Fallbeispiel 14 Datensammlung des BfF für Auslandsgesellschaften – Reichweite des Auskunftsanspruchs

Lösung

Fallbeispiel 15 Videoüberwachung einer Arztpraxis

Lösung

Fallbeispiel 16 Versicherungskaufmann – Beschäftigtendatenschutz

Lösung

Fallbeispiel 17 Instant-Messenger-App – Telekommunikationsdatenschutz

Lösung

Abbildungsverzeichnis

1 Betroffenheit des Fernmeldegeheimnisses beim E-Mail-Versand

2 Schutzbereichsentsprechungen der Datenschutzgrundrechte im Mehrebenensystem

3 Chronologische Entwicklung des Datenschutzrechts vor der Reform

4 Die Europäische Datenschutzreform

5 Datenschutzvorschriften im Mehrebenensystem

6 Prüfungsreihenfolge im Datenschutzrecht

7 Zentrale Grundbegriffe des Datenschutzrechts

8 Personenbezogene Daten – Begriff

9 Personenbezogene und anonyme Daten

10 Verbot mit Zulässigkeitstatbeständen

11 Grundsätze und Rechenschaftspflicht des Verantwortlichen nach Art. 5 DS-GVO

12 Zulässigkeitstatbestände des Art. 6 Abs. 1 UAbs. 1 DS-GVO

13 Prüfung der Rechtmäßigkeit einer Übermittlung personenbezogener Daten in ein Drittland

14 Grenzüberschreitender Datenverkehr im Rahmen der DS-GVO

15 Wesentliche Rechte der betroffenen Person

16 Aufsichtsbehörden auf EU-Ebene

17 Aufsichtsbehörden in Deutschland

18 Verbundverwaltung im Mehrebenensystem

19 Kohärenzverfahren bei Einspruch anderer betroffener Aufsichtsbehörde nach Art. 60 Abs. 4 i.V.m. 65 Abs. 1 lit. a DS-GVO

20 Kohärenzverfahren bei widersprechender Stellungnahme des EDSA nach Art. 64 i.V.m. 65 Abs. 1 lit. c DS-GVO

21 Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO

22 Pflicht zur Benennung eines Datenschutzbeauftragten

23 Wesentliche Pflichten des Verantwortlichen

Ausgewählte Literatur

Einführung

1

Entsprechend der Regel, die Gordon E. Moore vor gut 50 Jahren aufgestellt hat,[1] wonach die Anzahl von Transistoren auf einem Mikrochip sich alle ein bis zwei Jahre verdoppelt, werden Computer immer leistungsfähiger. Proportional dazu steigen die Möglichkeiten, Informationen über Personen zu erfassen und auszuwerten. Die technische Entwicklung der letzten 50 Jahre ist beeindruckend. Es besteht jedoch weitgehend Konsens, dass nicht alles, was technisch machbar ist, gesellschaftlich auch wünschenswert ist.

2

Der Wandel der Datenverarbeitung selbst und mit ihm der Bedeutungsanstieg eines effektiven normativen Datenschutzes in den letzten Jahren ist vor diesem Hintergrund enorm. Dabei sind zwei Treiber zu erkennen: Die eingangs skizzierte technische Entwicklung einerseits, die vor allem die Datenverarbeitung in allen öffentlichen und privaten Bereichen beschleunigt und vervielfacht hat, und zunehmende staatliche Kontroll- und Überwachungsmaßnahmen andererseits, nicht zuletzt vor dem Hintergrund der fortdauernden terroristischen Bedrohungslage.

3

Dabei zeichnet sich immer deutlicher ab, in welcher Totalität unser Alltag durch datenverarbeitende Prozesse begleitet und geprägt sein wird.[2] Durch die Miniaturisierung, die Verringerung des Energieverbrauchs, die Verbesserungen der Datenaufbewahrung und der Telekommunikationsmöglichkeiten erleben wir gegenwärtig eine beschleunigte Entwicklung und Verbreitung mobiler Kommunikationssysteme. Zudem sinken die Preise für die Speicherung von Daten rasant. Hinzu kommt die Vernetzung der vielfältigen Rechnerkapazitäten durch das Internet. Visionen einer datenbasierten Gesellschaft scheinen in naher Zukunft Realität zu werden. In dieser Welt des „allgegenwärtigen Rechnens“ („Ubiquitous Computing“) ist der Mensch stets und überall mit Computeranwendungen konfrontiert.

4

Digitalisierung, Telemedizin, Cloud-Computing und das „Internet of Things“ sind schon heute in den Medien als Schlagworte omnipräsent.[3] Das Smartphone ist für einen Großteil der Bevölkerung bereits ständiger Begleiter. „Smarte“ Haustechnik optimiert die Heimautomation und spart Energie. Sie wird teils ergänzt durch ständige intelligente persönliche Assistenten, die das Heim oder den Medienkonsum steuern, aber zugleich eine ständige Datenübertragungsquelle im Haus sind – gleichsam ein freiwilliger „großer Lauschangriff“ auf der Basis des Vertrauens zu privaten Unternehmen. Autos kommunizieren mit ihrer Umgebung und sollen in einigen Jahren weitgehend autonom ihren Weg durch den Straßenverkehr finden. Die fortschreitende Vernetzung mit hohen Bandbreiten ermöglicht den Transport unvorstellbarer Mengen von Daten. Diese Möglichkeiten führen zu einer immer arbeitsteiligeren Datenverarbeitung, um Rechenkapazitäten und Know-How möglichst effizient zu nutzen und auszulasten, so dass selbst bei einfachen Vorgängen oft eine Vielzahl von Personen potentiell Zugriff auf Daten erhält. Nicht nur die dahinterstehende Technik, sondern auch die Datenströme werden immer komplexer und sind selbst wiederum nur automatisiert zu verwalten. Zunehmend agieren datenverarbeitende Geräte daher automatisiert und erfordern keine menschliche Interaktion mehr. Dabei entwickeln sich die Algorithmen selbstständig weiter und schaffen so eine künstliche und lernende Intelligenz. Das alles führt zu sehr komplexen und allgegenwärtigen Datenverarbeitungsstrukturen, die selbst für Fachleute im Einzelfall nur noch schwer zu überblicken sind.

5

Die Vorteile sind enorm: Neue Produkte und Dienste wie soziale Netzwerke entstehen. Über alle Bereiche hinweg können die Produktion und der Verbrauch von Gütern deutlich effizienter gestaltet werden. Barrieren durch Landesgrenzen, Sprache und Entfernungen werden abgebaut. Der Zugang zu Informationen wird vereinfacht und diese damit für eine viel größere Zahl an Personen verfügbar.

6

Andererseits können Bewegungen im Netz sowie zahlreiche App-basierte Aktivitäten mit dem Smartphone weitgehend registriert werden, so dass jegliches Verhalten digitale Spuren hinterlässt. Damit ist die vollständige Erfassung der Handlungen in diesem immer wichtiger werdenden virtuellen Sozialraum möglich. Das gilt vor allem für die sog. Social-Web-Angebote wie die von Instagram oder Facebook.[4] Derartige Online-Plattformen eröffnen für Tausende von Nutzern die Möglichkeit des sozialen Austauschs mit all ihren privatheitsrelevanten Implikationen. Soziale Beziehungen und Strukturen werden zunehmend über das World Wide Web aufgebaut und abgewickelt – damit aber zugleich digital nachgezeichnet und datentechnisch erfassbar.

7

Es entsteht so zunehmend ein virtuelles Abbild des Verhaltens und der sozialen Interaktionen von Menschen, das mittels Big-Data-Techniken automatisiert ausgewertet werden kann. Big Data und insbesondere Big-Data-Anwendungen bezeichnen dabei als Sammel- oder Oberbegriffe grundsätzlich solche Anwendungen, Applikationen oder Analyseprogramme, die eine außerordentlich große und ggf. heterogene Datenmenge innerhalb kurzer Zeit (oder in Echtzeit) auswerten.[5] Als Kernmerkmale werden häufig die „drei Vs“ genannt: volume (Menge), velocity (Geschwindigkeit/Echtzeit) und variety (unterschiedliche Daten).[6] Hinzu kommen teilweise noch validity (Richtigkeit bzw. Wahrheitsgehalt der Daten) oder alternativ veracity (Genauigkeit) und value (wirtschaftlicher Wert), so dass man auch von „fünf Vs“ sprechen kann.[7] Eine außergewöhnlich hohe Trennschärfe bietet der Begriff damit nicht und kann schon gar nicht als rechtliche Definition verstanden werden. Jedoch treten im Rahmen von Big-Data-Anwendungen in der Regel eine Reihe von Besonderheiten auf, die sodann (datenschutz-)rechtliche Fragestellungen aufwerfen. Hierzu zählt vor allem, dass – anders als bei vielen herkömmlichen Analysetechniken – nicht gezielt nach der Antwort auf eine bestimmte Fragestellung gesucht wird, sondern die Anwendung ergebnisoffen nach Mustern und Zusammenhängen sucht, woraus sich gänzlich neue Erkenntnisse ergeben können.[8] Durch das Aufzeigen von Korrelationen kann die Big-Data-Anwendung so oftmals dazu beitragen, die richtigen Fragen überhaupt erst zu stellen. Dementsprechend groß sind die Hoffnungen, die in verschiedensten Lebensbereichen – beispielsweise im Gesundheitssektor – in Big-Data-Techniken gesetzt werden. Demgegenüber stehen jedoch die Risiken, die mit der systematischen Auswertung solch großer Datenmengen einhergehen.[9] Die Persönlichkeitsrechtsverletzungen bei einer Big-Data-Anwendung werden in der Regel Folgen für eine große Zahl von Betroffenen entfalten. Werden darüber hinaus auch noch sensible Daten (wie Gesundheitsdaten) verarbeitet, können Datenschutzrechtsverstöße besonders schwer wiegen. Letztlich ist zu befürchten, dass ein unkontrolliertes Sammeln großer Mengen von personenbezogenen Daten in Verbindung mit einer detaillierten und intelligenten Auswertung dieser den Menschen zum vielbeschworenen „gläsernen Bürger“ macht.

8

Durch die immer weitergehende Durchdringung sämtlicher Lebensbereiche mit datenverarbeitenden Prozessen, die eine weitreichende Abbildung der „Offline-Welt“ in datentechnisch erfassbaren Formen ermöglicht, ist die oben skizzierte Entwicklung nicht mehr davon abhängig, ob man sich bewusst „im Internet“ bewegt. Es geschieht vielmehr beiläufig, so dass es auch immer schwieriger wird, sich entsprechenden Datenverarbeitungen zu entziehen. Andererseits eröffnet sich eine ganz neue Dimension innovativer und attraktiver Dienste. Die Anwendungen reichen vom Einsatz in der Arbeitswelt über den Reisebereich bis hin zu neuen Unterhaltungsformen. Insbesondere ist das Smartphone inzwischen zu einer mobilen Informations-, Navigations- und Kommunikationszentrale geworden.

9

Zugleich werden jene Informationen potenziell dem Zugriff hoheitlicher Organe eröffnet. Die immer wieder aufflammende Diskussion um den Zugriff auf die Toll-Collect-Daten[10] für die Strafverfolgung ist nur ein durchaus noch beschränktes Beispiel. Die Datenbestände sozialer Netzwerke wecken viel größere Begehrlichkeiten. Hinzu kommt, dass zunehmend Datenbestände durch Private explizit für hoheitliche Zwecke geschaffen werden. Das gilt beispielsweise für den Aufbau der Kontenevidenzzentrale. Dort sind sämtliche Bestandsdaten der deutschen Banken gesammelt, also Informationen darüber, wer bei welcher Bank welche Arten von Konten führt. Noch problematischer war der massive Ausbau der Speicherpflichten für Telekommunikationsunternehmen durch die – inzwischen wohl gescheiterten[11] – mehrfachen gesetzgeberischen Anläufe zur Einführung einer Vorratsdatenspeicherung. Zuletzt hat in Zeiten der Corona-Krise die Diskussion um den Einsatz einer sogenannten „Corona-Tracing-App“ die nachvollziehbaren öffentlichen Interessen am Zugriff auf die im Smartphone gesammelte Kontaktdaten plastisch vor Augen geführt.[12]

10

Zugleich wachsen die Gefahren des missbräuchlichen Zugriffs auf jene Datenmengen – sei es von hoheitlicher oder von privater Seite, die nicht zuletzt durch die Enthüllungen von Edward Snowden einer breiten Öffentlichkeit in ihrem vollen Ausmaß vor Augen geführt wurden. So wundert es nicht, dass Insuffizienzen beim Datenschutz immer öfter in die Schlagzeilen gelangen.

11

Mit diesen Entwicklungen erlangte auch das Datenschutzrecht als modernes Rechtsgebiet eine zunehmende Bedeutung und nimmt in der öffentlichen Debatte breiten Platz ein. Möchte man auf die Vorzüge des technischen Fortschritts nämlich nicht schlechthin verzichten, so lassen sich Einschränkungen für den Schutz der Daten von betroffenen Personen grundsätzlich nicht vermeiden.

12

Aufgabe des Datenschutzrechts ist es, für jeden Einzelfall eine befriedigende Antwort zu liefern, ob konkret das Interesse der betroffenen Person am Schutz ihrer personenbezogenen Daten überwiegt oder Einschränkungen im Interesse des Gemeinwohls oder eines Dritten hinzunehmen sind. Je mehr Daten verarbeitet werden, desto häufiger stellt sich ein (ggf. multipolarer) Grundrechtskonflikt. Diesen im Wege der praktischen Konkordanz aufzulösen, kann nur auf der Basis eines konsistenten Datenschutzrechts unter Zusammenwirken von Gesetzgeber, Wissenschaft und Rechtsprechung gelingen.

13

Deutschland und die Europäische Union beschreiten dabei einen grundrechtsbasierten, datenschutzorientierten Weg, der zugleich die berechtigten Datenverarbeitungsinteressen berücksichtigen muss, soll er sich gegen andere Modelle im Wettbewerb durchsetzen. Diese können zugespitzt als „Surveillance Capitalism“[13] US-amerikanischer Ausprägung[14] und „Surveillance Communism“ chinesischer Ausprägung bezeichnet werden. Während im ersten Fall die großen US-amerikanischen Internetgiganten wie Facebook, Google & Co die Datenverarbeitungsprozesse prägen und auf eine maximale Datenausbeute zur Finanzierung der extrem leistungsfähigen und innovativen Dienste ausgerichtet sind, treten im zweiten Fall neben einer ebenfalls profitorientierten (staats-)kapitalistischen Maximalverdatung zusätzliche etatistische Überwachungsinteressen, die mit europäischen Rechtsstaatsvorstellungen allzu oft nicht kompatibel sind. Dennoch beeindrucken die innovativen Dienste, die in diesen anders austarierten Rechtssystemen entstehen. Umso wichtiger ist ein funktionsfähiges europäisches Datenschutzmodell, das auch eine „Datensouveränität“[15] im „Big-Data“-Zeitalter gewährleistet. Denn eine Vielzahl der Datenverarbeitungen ist sogar ganz im Interesse der betroffenen Person, da die Nutzung der innovativen Dienste erleichtert wird. Dies ist aber auch für die Möglichkeiten und Grenzen eines Geschäftsmodells „Leistung gegen Daten“ relevant (siehe dazu → Rn. 514). Eine Hypertrophie des Datenschutzes ist dabei unbedingt zu vermeiden (dazu → Rn. 53 f.).

14

Dieses Buch soll den Einstieg in die Materie ermöglichen und ist sowohl für Studierende als auch für Praktiker geeignet. Das Buch hat dabei folgenden Aufbau: Eingangs werden die Grundlagen des internationalen Datenschutzrechts, aber vor allem auch die wichtigen primär- und verfassungsrechtlichen Quellen differenziert aufbereitet. Die ausführliche Darstellung der Entwicklung des Datenschutzrechts soll das notwendige Systemverständnis schaffen. Im zweiten Kapitel steht die Datenschutz-Grundverordnung (DS-GVO) im Vordergrund sowie deren Zusammenspiel mit den deutschen Datenschutzgesetzen auf Bundes- und Landesebene. Das dritte Kapitel befasst sich mit besonderen Verarbeitungssituationen in DS-GVO und BDSG und behandelt die bereichsspezifischen Datenschutzvorschriften im Rahmen der Verbrechensbekämpfung und im Telekommunikations- und Mediensektor.

Anmerkungen

[1]

Vgl. Borchers, 50 Jahre Moores Gesetz: Von der Performance von Prozessoren und der Komplexität von Chips, Heise online v. 19.4.2015, abrufbar unter: https://heise.de/-2612257 (Abruf: 12.1.2021).

[2]

Dazu bereits Kühling, Die Verwaltung 2007, 153.

[3]

Zur Kategorisierung der Entwicklungsstufen hin zu allgegenwärtiger Datenverarbeitung vgl. noch die Vorauflage.

[4]

Vgl. dazu Erd, NVwZ 2011, 19.

[5]

Die folgenden Ausführungen zu dem Begriffsverständnis von Big Data sind angelehnt an Kühling/Sackmann/Schildbach, Rechtsgutachten über den sozialdatenschutzrechtlichen Weiterentwicklungsbedarf im SGB V und SGB X im Hinblick auf Big-Data-Anwendungen, 2019, S. 6 f., abrufbar unter: https://www.bundesgesundheitsministerium.de/fileadmin/Dateien/5_Publikationen/Gesundheit/Berichte/Rechtsgutachten-Big-Data.pdf (Abruf: 12.1.2021).

[6]

Vgl. die Definition der Unternehmensgruppe Gartner, abrufbar unter: https://www.gartner.com/en/conferences/na/data-analytics-us (Abruf: 12.1.2021); siehe auch Rüping, Bundesgesundheitsblatt 2015, 794; Spindler, MedR 2016, 691.

[7]

Culik/Döpke, ZD 2017, 226 (227); Hoffmann-Riem, in: Hoffmann-Riem (Hrsg.), Big-Data – Regulative Herausforderungen, 2018, S. 19 f.; Weichert, Big-Data im Gesundheitsbereich, Gutachten 2019, S. 16, abrufbar unter: http://www.abida.de/sites/default/files/ABIDA%20Gutachten-Gesundheitsbereich.pdf (Abruf: 12.1.2021).

[8]

Boehme-Neßler, DuD 2016, 419 (421 f.)

[9]

Siehe zu den Risiken bereits Weichert, ZD 2013, 251.

[10]

Vgl. Muschel, Polizei soll künftig Zugriff auf Mautdaten bekommen, Badische Zeitung online v. 10.6.2017, abrufbar unter: http://www.badische-zeitung.de/suedwest-1/polizei-soll-kuenftig-zugriff-auf-mautdaten-bekommen--137897974.html (Abruf: 12.1.2021).

[11]

Vgl. dazu auch Kühling, Todesstoß für die Vorratsdatenspeicherung: der Beschluss des OVG NRW und seine Folgen, Verfassungsblog v. 29.6.2017, abrufbar unter: http://verfassungsblog.de/todesstoss-fuer-die-vorratsdatenspeicherung-der-beschluss-des-ovg-nrw-und-seine-folgen/ (Abruf: 12.1.2021).

[12]

Dazu Kühling/Schildbach, NJW 2020, 1545.

[13]

Zuboff, The Age of Surveillance Capitalism, 2019.

[14]

Zu der grundsätzlich anderen Mentalität in Sachen Datenschutz im amerikanischen Rechtsraum, vgl. Klar/Kühling, AöR 2016, 165.

[15]

Dazu Kühling, DuD 2020, 182 (185 ff.).

1. Kapitel Grundlagen

Inhaltsverzeichnis

A. Internationale Grundlagen

B. Unionsprimärrechtliche Grundlagen

C. Rechtsrahmen im Grundgesetz

D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts

15

Das Datenschutzrecht ist ein vergleichsweise junges Rechtsgebiet. Die Kodifikation des Datenschutzrechts nahm in Deutschland erst 1970 mit dem hessischen Datenschutzgesetz ihren Anfang.[1] Auch in anderen europäischen Staaten wurden in den 1970er Jahren die ersten Datenschutzgesetze verabschiedet.[2] Zeitgleich beschleunigten die Globalisierung und die fortschreitende Digitalisierung den grenzüberschreitenden Datenaustausch, so dass entsprechende Regeln auf inter- und supranationaler Ebene erforderlich wurden. Motoren dieser Entwicklung waren die OECD[3] und der Europarat (siehe hierzu A.), erst zu einem relativ späten Zeitpunkt folgten vergleichbare Entwicklungen auch auf supranationaler Ebene (siehe hierzu B.). Wichtig für das Verständnis des Datenschutzrechts sind sodann die verfassungsrechtlichen Vorprägungen sowohl mit Blick auf die Gesetzgebungskompetenzen als auch die Grundrechte (dazu C.). Schließend ist für das Verständnis des geltenden Rechts ein Überblick über die Genesis der verschiedenen Kodifikationen auf nationaler und EU-Ebene und ihr Zusammenspiel erforderlich (dazu D.).

Anmerkungen

[1]

Hessisches Datenschutzgesetz v. 30.9.1970, GVBl. I 1970, 625; ausführlich hierzu zum BDSG a.F. Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einl. Rn. 1 ff.; siehe auch Simitis/Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), Datenschutzrecht, 2019, Einleitung Rn. 226.

[2]

Siehe etwa das schwedische Datenschutzgesetz von 1973, Datalag SFS 1973:289. 1977 folgte das deutsche Datenschutzgesetz (BDSG); zu dieser Entwicklung auch Breuer, in: Heselhaus/Nowak (Hrsg.), Handbuch der Europäischen Grundrechte, 2. Aufl. 2020, § 25 Rn. 7.

[3]

Organisation for Economic Co-operation and Development – Organisation für wirtschaftliche Zusammenarbeit und Entwicklung.

1. Kapitel Grundlagen › A. Internationale Grundlagen

A. Internationale Grundlagen

1. Kapitel Grundlagen › A. Internationale Grundlagen › I. Vereinte Nationen

I. Vereinte Nationen

16

Wenngleich die Generalversammlung der Vereinten Nationen zum Schutz der Menschenrechte vor dem Hintergrund der wachsenden Gefahren durch die automatisierte Verarbeitung personenbezogener Daten 1990 Leitlinien[1] aufstellte, bleiben diese in ihrer materiellen Ausgestaltung des Datenschutzes weit hinter den im Folgenden dargestellten Abkommen zurück. Sie formulieren sehr allgemein gehalten den Grundsatz der Richtigkeit von Daten, der Zweckbestimmung und der Einsichtnahme der betroffenen Person aus und treffen allgemeine Aussagen zum grenzüberschreitenden Datenverkehr. Die Leitlinien sind dabei völkerrechtlich nicht bindend, sondern haben lediglich empfehlenden Charakter.

17

Während im normativen Bereich auf Ebene der Vereinten Nationen zwischenzeitlich keine datenschutzrechtlich relevanten Entwicklungen zu verzeichnen sind, haben die bestürzenden und aufklärenden Enthüllungen Edward Snowdens im Frühsommer 2013 eine zumindest politische und zum Teil ambivalente Dynamik freigesetzt.

18

Insbesondere auf Ebene der Vereinten Nationen haben deutsche Entscheidungsträger den Versuch unternommen, den Schutz der Privatheit und entsprechend den Datenschutz im digitalen Zeitalter auf die Agenda zu setzen. Nachdem durch die Veröffentlichung der so genannten Snowden-Dokumente die schier unbegrenzte Überwachung der weltweiten Kommunikation und die massenhafte Erhebung und Verarbeitung auch personenbezogener Daten durch eine Reihe von Geheimdiensten[2] deutlich geworden war, wurden durch die Generalversammlung der Vereinten Nationen auf Initiative Deutschlands und Brasiliens[3] hin zwei Resolutionen über „Das Recht auf Privatheit im digitalen Zeitalter“ verabschiedet.[4] In diesen in erster Linie politischen, aber rechtlich nicht bindenden Entscheidungen der Generalversammlung wird das Recht auf Privatheit und Datenschutz auch im digitalen Zeitalter bekräftigt und klargestellt, dass die gleichen Rechte, die Menschen offline haben, auch online geschützt werden müssen. Zudem wird die Hohe Kommissarin der Vereinten Nationen für Menschenrechte ersucht, dem Menschenrechtsrat und der Generalversammlung einen Bericht über den Schutz und die Förderung des Rechts auf Privatheit im Kontext des innerstaatlichen und exterritorialen Überwachens und/oder Abfangens von digitaler Kommunikation und Sammelns personenbezogener Daten, namentlich in massivem Umfang, vorzulegen.

19

Nachdem dieser Bericht dem Menschenrechtsrat wie auch der Generalversammlung vorgelegt wurde,[5] entschied der Menschenrechtsrat am 26.3.2015 ein Mandat für einen UN-Sonderberichterstatter zum „Recht auf Privatheit“ einzurichten.[6] Der Bericht stellt fest, dass die bekannt gewordenen Praktiken der Massenüberwachung und -datenerhebung wie auch -datenverwendung geeignet sind, auch gegen die garantierten Menschenrechte und insbesondere gegen das Recht auf Privatheit zu verstoßen. In jedem Fall würde in dieses und weitere Menschenrechte eingegriffen, weshalb die verantwortlichen Staaten in der Pflicht seien, diese Eingriffe zu rechtfertigen und darzulegen, inwiefern hierdurch der Kern der im Fokus stehenden Menschenrechte nicht ausgehöhlt wird. Darüber hinaus wird dargelegt, dass die Konventionsstaaten die Pflicht haben, den Schutz der betreffenden Menschenrechte zu gewährleisten, was auch bedeute, die exterritoriale Ausfuhr von Überwachungstechnologien genau zu prüfen. Schließlich hebt die Hohe Kommissarin für Menschenrechte in ihrem Bericht hervor, dass mit dem zunehmenden Zu- und Rückgriff der Konventionsstaaten auf Private – in erster Linie Telekommunikations- und Internetunternehmen – auch diese sich bewusst sein müssen, sich mit ihren Geschäftspraktiken in Mittäterschaft an Menschenrechtsverletzungen bringen zu können.[7]

20

Bereits in diesem Bericht wurde angeregt, weitere gründliche Analysen und Untersuchungen anzustrengen, um die mannigfaltigen Fragestellungen und Problemkreise des Rechts auf Privatheit (und informationeller Selbstbestimmung) im digitalen Zeitalter aufzuarbeiten und Menschenrechte effektiv zu schützen.[8] In der Folge fiel diese Anregung auf fruchtbaren Boden, denn der Menschenrechtsrat der Vereinten Nationen sieht in seiner Resolution[9] ein zunächst dreijähriges Mandat für einen Sonderberichterstatter zum „Recht auf Privatheit“ vor. Das Mandat umfasst alle Aspekte des Menschenrechts auf Privatheit, das in Art. 12 der Allgemeinen Erklärung der Menschenrechte und in Art. 17 des Internationalen Pakts über bürgerliche und politische Rechte garantiert wird. Zwischenzeitlich liegen mehrere Berichte des Sonderberichterstatters vor.[10] Der erste Bericht vom 24.2.2017 befasste sich intensiv mit der Überwachung durch staatliche Stellen. Es wird insbesondere angeregt, die internationale Zusammenarbeit zu verstärken[11] und die Öffentlichkeit umfassender zu informieren.[12] Auch wird die vielfach pauschale Gleichsetzung von mehr Überwachung mit einem Mehr an Sicherheit kritisiert.[13] Seitdem folgt jährlich ein neuer Bericht des Sonderberichterstatters.[14] In den aktuellsten Berichten aus den Jahren 2019[15] und 2020[16] liegt dabei ein besonderes Augenmerk auf der Gleichberechtigung der Geschlechter bei der Anwendung des Rechts auf Privatheit sowie auf einer Gender-Perspektive auf das Recht. Der Sonderberichterstatter beschreibt geschlechterbasierte Verstöße hierbei als systematische Form der Versagung von Menschenrechten.[17] Zur Verbesserung der Situation schlägt er unter anderem Kampagnen vor, die das öffentliche Bewusstsein hinsichtlich der Ungleichbehandlungen schärfen sollen.[18]

Anmerkungen

[1]

Richtlinien betreffend personenbezogene Daten in automatisierten Dateien, von der Generalversammlung beschlossen am 14.12.1990.

[2]

Darunter zu allererst die US-amerikanische National Security Agency (NSA) und die britische Government Communications Headquarters (GCHQ). Im und außerhalb des NSA-Untersuchungsausschusses des Bundestags tritt jedoch auch die Teilnahme des Bundesnachrichtendienstes (BND) immer deutlicher zu Tage, vgl. nur Baumgärtner/Gude/u.a., Überwachung: Neue Spionageaffäre erschüttert BND, Spiegel Online v. 23.4.2015, abrufbar unter: http://www.spiegel.de/politik/deutschland/ueberwachung-neue-spionageaffaere-erschuettert-bnd-a-1030191.html (Abruf: 12.1.2021) und Mascolo/Goetz, EU und Frankreich auf NSA-Spionageliste, Süddeutsche Zeitung v. 24.4.2015, abrufbar unter: http://www.sueddeutsche.de/politik/spionageaffaere-so-lax-gingen-bnd-und-kanzleramt-mit-der-nsa-um-1.2451318 (Abruf: 12.1.2021).

[3]

Zuvor war bekannt geworden, dass die deutsche Kanzlerin und die brasilianische Staatspräsidentin von US-amerikanischen Geheimdiensten abgehört worden waren.

[4]

A/RES/68/167 v. 18.12.2013 und A/RES/69/166 v. 18.12.2014, abrufbar unter: http://www.un.org/depts/german/gv-69/band1/ar69166.pdf (Abruf: 12.1.2021).

[5]

A/HRC/27/37 v. 30.6.2014, abrufbar unter: https://www.un.org/depts/german/menschenrechte/a-hrc-27-37.pdf (Abruf: 12.1.2021).

[6]

A/HRC/28/L.27 v. 24.3.2015, abrufbar unter: http://www.ip-watch.org/2015/03/26/un-human-rights-council-approves-expert-on-privacy-in-the-digital-age/ (Abruf: 12.1.2021).

[7]

A/HRC/27/37 v. 30.6.2014, S. 16 f., abrufbar unter: http://www.un.org/depts/german/menschenrechte/a-hrc-27-37.pdf (Abruf: 12.1.2021).

[8]

A/HRC/27/37 v. 30.6.2014, S. 18, abrufbar unter: http://www.un.org/depts/german/menschenrechte/a-hrc-27-37.pdf (Abruf: 12.1.2021).

[9]

A/HRC/28/L.27 v. 24.3.2015, abrufbar unter: http://www.ip-watch.org/2015/03/26/un-human-rights-council-approves-expert-on-privacy-in-the-digital-age/ (Abruf: 12.1.2021).

[10]

A/HRC/31/64 v. 24.11.2016, abrufbar unter: https://undocs.org/en/A/HRC/31/64 (Abruf: 12.1.2021); A/71/368 v. 30.8.2016, abrufbar unter: https://undocs.org/en/A/71/368 (Abruf: 12.1.2021).

[11]

A/HRC/34/60 v. 24.2.2017, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session34/Documents/A_HRC_34_60_EN.docx (Abruf: 12.1.2021), S. 12, 17 ff.

[12]

A/HRC/34/60 v. 24.2.2017, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session34/Documents/A_HRC_34_60_EN.docx (Abruf: 12.1.2021), S. 13.

[13]

A/HRC/34/60 v. 24.2.2017, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session34/Documents/A_HRC_34_60_EN.docx (Abruf: 12.1.2021), S. 14 f.

[14]

Alle Berichte des Sonderberichterstatters sind abrufbar unter: https://www.ohchr.org/EN/Issues/Privacy/SR/Pages/AnnualReports.aspx (Abruf: 12.1.2021).

[15]

A/HRC/40/63 v. 27.2.2019, abrufbar unter: https://www.ohchr.org/Documents/HRBodies/UPR/A_HRC_40_2_Advanced_En.docx (Abruf: 12.1.2021).

[16]

A/HRC/43/52 v. 12.2.2020, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session43/Documents/A_HRC_43_52_AdvanceUneditedVersion.docx (Abruf: 12.1.2021).

[17]

A/HRC/40/63 v. 27.2.2019, abrufbar unter: https://www.ohchr.org/Documents/HRBodies/UPR/A_HRC_40_2_Advanced_En.docx (Abruf: 12.1.2021), S. 16; A/HRC/43/52 v. 12.2.2020, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session43/Documents/A_HRC_43_52_AdvanceUneditedVersion.docx (Abruf: 12.1.2021), S. 4.

[18]

A/HRC/43/52 v. 12.2.2020, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session43/Documents/A_HRC_43_52_AdvanceUneditedVersion.docx (Abruf: 12.1.2021), S. 6.

1. Kapitel Grundlagen › A. Internationale Grundlagen › II. OECD

II. OECD

21

Die 1948 gegründete Organisation für europäische wirtschaftliche Zusammenarbeit war die Vorgängerorganisation der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD). Ihr gehören neben den Mitgliedstaaten der EU auch die USA und insbesondere Japan, Kanada und Mexiko an. Die OECD hat früh die Notwendigkeit einer internationalen Regelung des Datenschutzes erkannt. Datenschutz sollte sich nicht zu einem diskriminierenden Handelshemmnis entwickeln, das die sich intensivierende Weltwirtschaft behindern könnte. Vielmehr sollte der Datenschutz mit dem freien Informationsfluss in Einklang gebracht werden. So verabschiedete der Ministerrat der OECD 1980 die „Leitlinien für den Schutz des Persönlichkeitsbereichs und den grenzüberschreitenden Verkehr personenbezogener Daten“.[1] Neben verfahrensrechtlichen Vorgaben enthalten die Leitlinien insbesondere materielle Verarbeitungsregeln und Regeln zu grenzüberschreitenden Datenübermittlungen. Die Leitlinien sollten vor allem verhindern, dass eine Kluft zwischen europäischen und US-amerikanischen Datenschutzbestimmungen entsteht (siehe dazu den Hinweis oben → Rn. 12 f.). Dabei wird der Ansatz der Selbstregulierung zu Grunde gelegt, d.h. die Verantwortlichen bestimmen den Umgang mit personenbezogenen Daten eigenverantwortlich und unterstehen nur ihrer eigenen privaten Kontrolle.[2]

22

Obwohl die Leitlinien als Rechtsinstrument der OECD völkerrechtlich nicht bindend sind und die Mitgliedstaaten nicht verpflichtet sind, die getroffenen Vereinbarungen in nationales Recht umzusetzen, haben sie entscheidend dazu beigetragen, den Datenschutz als Gegenstand internationaler Regulierung zu etablieren.[3]

23

In den Jahren seit 2008 rückte das Thema des Datenschutzes und der Datensicherheit auch bei der OECD immer mehr in den Vordergrund, so dass die Organisation selbst mittlerweile von einem „privacy framework“ spricht, zu dem nicht zuletzt auch eine überarbeitete Fassung der oben beschriebenen Leitlinien gehört.[4] Diese wurden – die Leitlinien aus dem Jahre 1980 nicht ersetzend,[5] sondern fortschreibend und straffend – 2013 verabschiedet. Nicht zuletzt werden nun die Entwicklung der Informationstechnologie und die Globalisierung der Datenverwendung verstärkt berücksichtigt.

24

Im Vergleich der beiden Fassungen der Leitlinien fällt insbesondere auf, dass in der neueren Fassung der staatliche Eingriff in den Informationsfluss und die Datenübermittlung in den Fokus gerückt ist. Mit den Punkten 3 bis 6 der Leitlinien werden die Warnung, die Meinungsfreiheit nicht unverhältnismäßig einzuschränken und Verweise auf die öffentliche Sicherheit und den ordre public-Vorbehalt zu Zwecken der Einschränkung auf ein Minimum zu reduzieren, gleichsam vor die Klammer gezogen.[6] Der Aspekt der internationalen Datenverwendung – und somit die zentrale Regelungsmaterie der Leitlinien – ist gegenüber der ursprünglichen Leitlinienfassung bemerkenswert umgeschrieben worden. Während bisher als erster Regelungspunkt die Möglichkeit der internationalen Datenverwendung Ausgangspunkt war, wird der entsprechende Abschnitt nunmehr mit der Feststellung eröffnet, verarbeitende Stellen blieben für den Umgang mit den von ihnen verwendeten Daten ohne Rücksicht darauf verantwortlich, wo sich die Daten jeweils befänden.[7] Hervorzuheben ist schließlich die konsequente Fortschreibung des Prinzips der Selbstregulierung als grundsätzlicher Ansatz des Vollzugs der Leitlinien wie auch der materiellen Regelungen selbst.[8]

25

Neben den erläuternden Hinweisen zu den jeweiligen Leitlinien und einem Hintergrundbericht zur Überarbeitung eben jener besteht das „privacy framework“ der OECD darüber hinaus aus der Empfehlung über die grenzüberschreitende Zusammenarbeit beim Vollzug von Datenschutzgesetzen und dem zugehörigen Umsetzungsbericht.[9]

Anmerkungen

[1]

OECD-Dokument C (80) 58 (final).

[2]

Vgl. Tinnefeld/Buchner/u.a., Einführung in das Datenschutzrecht, 7. Aufl. 2019, S. 86 f.

[3]

Burkert, in: Roßnagel (Hrsg.), Handbuch Datenschutzrecht, 2003, Kap. 2.3 Rn. 30 ff.

[4]

C (2013) 79 v. 11.7.2013; eine konsolidierte Sammlung der zum Datenschutzrahmen der OECD gehörenden Dokumente „The OECD Privacy Framework“, 2013, ist abrufbar unter: http://www.oecd.org/sti/ieconomy/oecd_privacy_framework.pdf (Abruf: 12.1.2021).

[5]

Daher wurden, wie die Organisation erklärt, die erläuternden Hinweise zu den Leitlinien aus dem Jahr 2008 in das Framework 2013 übernommen; The OECD Privacy Framework, 2013, Kap. 3 S. 5, abrufbar unter: http://www.oecd.org/sti/ieconomy/oecd_privacy_framework.pdf (Abruf: 12.1.2021).

[6]

Simitis/Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), Datenschutzrecht, 2019, Einl. Rn. 120; zum BDSG a.F. Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einl. Rn. 185.

[7]

The OECD Privacy Framework, 2013, Nr. 16, abrufbar unter: http://www.oecd.org/sti/ieconomy/oecd_privacy_framework.pdf (Abruf: 12.1.2021).

[8]

Siehe weiterführend zum BDSG a.F. Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einl. Rn. 188 ff.

[9]

Recommendation of the Council on Cross-border Cooperation in the Enforcement of Laws Protecting Privacy, C (2007) 67 v. 12.6.2007, und Report on the Implementation of the 2007 OECD Recommendation on Privacy Law Enforcement Co-operation, 2011, 2. Teil des OECD Privacy Frameworks, 2013, abrufbar unter: http://www.oecd.org/sti/ieconomy/oecd_privacy_framework.pdf (Abruf: 12.1.2021).

1. Kapitel Grundlagen › A. Internationale Grundlagen › III. Europarat

III. Europarat

26

Der 1949 gegründete Europarat hat als Zielsetzung die dauerhafte Sicherung der Demokratie, der Rechtsstaatlichkeit und der Menschenrechte in Europa (Art. 1, 3 der Satzung des Europarats).[1] In Erfüllung dieser Aufgaben erarbeitete der Europarat die Europäische Menschenrechtskonvention (EMRK), die 1950 unterzeichnet wurde und 1953 in Kraft trat. Dem Europarat gehören 47 europäische Staaten an.[2] Er hat maßgeblich zur Entwicklung und Verrechtlichung der Menschenrechte beigetragen. Gerade das Datenschutzrecht zeigt im Übrigen, dass der Europarat auch auf die Entwicklung des Rechts der Europäischen Gemeinschaften eingewirkt hat und nunmehr auf das der Europäischen Union einwirkt.

27

Fallbeispiel 1 Anonyme Kontaktanzeige – Datenschutz nach Art. 8 EMRK

Eine unbekannte Person stellte eine Bekanntschaftsanzeige auf einer Dating-Seite im Internet ein.[3] Diese Anzeige enthielt

–	den Namen und das Alter des Beschwerdeführers, der damals 12 Jahre alt war,
–	eine detaillierte Beschreibung seiner körperlichen Eigenschaften,
–	einen Link zu seiner Homepage, auf der er auch sein Foto eingestellt hatte und
–	seine Telefonnummer, die bis auf eine Ziffer zutreffend war.

In der Anzeige wurde behauptet, dass der Beschwerdeführer eine intime Beziehung mit einem Jungen seines Alters oder einer älteren Person suche mit dem Ziel „to show him the way“. Die Anzeige auf der Dating-Seite erfolgte ohne Wissen des Beschwerdeführers. Dieser erhielt erst Kenntnis, als ihn ein erwachsener Mann per E-Mail kontaktierte und anbot, ihn zu treffen und „then to see what you want“. Unstrittig handelt es sich bei der Veröffentlichung um eine strafbare Handlung. Der Vater des Beschwerdeführers beantragte bei der Polizei, die Person zu ermitteln, die die Anzeige ins Internet gestellt hat. Die Polizei ermittelte die dynamische IP-Adresse. Der von der Polizei in Anspruch genommene Internetzugangsanbieter (Service-Provider) weigerte sich indes, die zu der IP-Adresse korrelierenden Bestandsdaten bekannt zu geben. Der Service-Provider berief sich auf den Schutz seiner Berufs- und Geschäftsgeheimnisse und auf die Wahrung des Datenschutzes gemäß den Bestimmungen des nationalen Telekommunikationsgesetzes. Die zuständige Behörde verklagte den Service-Provider vor nationalen Gerichten aller Instanzen auf Bekanntgabe der Bestandsdaten. Das erstinstanzliche Gericht stellte in einer Entscheidung fest, dass im nationalen Recht keine Rechtsgrundlage für die Bekanntgabe von Telekommunikationsdaten bei Verleumdung bestünde. Diese Entscheidung hatte vor allen nationalen Gerichten Bestand. Der Beschwerdeführer verklagt deswegen den Konventionsstaat wegen der Verletzung seines Rechts auf „Privatheit“ (Art. 8 EMRK) durch die nationalen Gerichte vor dem EGMR. Der Beschwerdeführer behauptet, dass der Konventionsstaat die Schutzpflicht für seine Privatheit nicht erfüllt habe.

Ist die Beschwerde begründet?

(Lösung siehe Rn. 41)

Anmerkungen

[1]

Satzung des Europarates v. 5.5.1949, SEV-Nr. 1.

[2]

Abrufbar unter: https://www.coe.int/de/web/portal/47-members-states (Abruf: 12.1.2021).

[3]

Angelehnt an EGMR, Urt. v. 2.12.2008, No. 2872/02, ECHR 2008-V, 125 – K.U./Finnland.

1. Recht auf Achtung des Privatlebens und der Korrespondenz (Art. 8 EMRK)

28

Die Europäische Menschenrechtskonvention (EMRK) stellt einen Meilenstein in der Entwicklung und Durchsetzung der Menschenrechte dar. Bei der EMRK handelt es sich um einen völkerrechtlichen Vertrag, der die Vertragsstaaten bindet. Einen wesentlichen Schub als internationales Menschenrechtsinstrument in Europa hat die EMRK durch die Einrichtung des ständigen Europäischen Gerichtshofs für Menschenrechte (EGMR) erhalten. Der neue EGMR trat 1998 an die Stelle des bisherigen, komplizierten Kontrollmechanismus, an dem die Europäische Menschenrechtskommission, der Ministerrat und der alte EGMR beteiligt waren. In Deutschland hat die EMRK zwar formell den Rang eines einfachen Gesetzes, jedoch betont das BVerfG, dass andere gesetzliche Bestimmungen der Bundesrepublik im Lichte der EMRK auszulegen sind.[1] Damit steht die EMRK de facto über dem einfachen Gesetz, ohne einen verfassungsrechtlichen Rang zu beanspruchen.

29

Die Konvention enthält als Grundrechtsdokument aus dem Jahr 1950 kein eigenes Datenschutzgrundrecht. Grundlage für den Datenschutz ist stattdessen das in Art. 8 Abs. 1 EMRK garantierte Recht auf Achtung des Privatlebens und der Korrespondenz. Schon früh hat die Europäische Menschenrechtskommission im Zusammenhang mit nationalen Volkszählungen aus Art. 8 Abs. 1 EMRK ein Recht auf den Schutz personenbezogener Daten entwickelt und es dem Schutzbereich der Privatsphäre zugeordnet.[2] Der Begriff der Korrespondenz wurde von den Konventionsorganen ebenfalls weit ausgelegt. Geschützt ist die Vertraulichkeit der Individualkommunikation, wenn zu Kommunikationszwecken Dritte (z.B. Telekommunikationsanbieter) in den Vorgang einbezogen werden. Der Schutzbereich umfasst demzufolge auch E-Mails, Telefongespräche und die Internet-Telefonie.[3] Ferner sind der Inhalt der Individualkommunikation sowie die Kommunikationsumstände (z.B. Verkehrsdaten) Teil des Schutzes der Privatsphäre.[4] Demnach wird in der Sache ein Datenschutzgrundrecht anerkannt, ohne dass dieses wie in Deutschland mit dem Recht auf informationelle Selbstbestimmung als eigenständige Emanation aus dem allgemeinen Recht auf Achtung des Privatlebens und der Korrespondenz eine gesonderte Bezeichnung erlangt hat. Gleichwohl entspricht in der Tendenz der Schutz der Achtung des Privatlebens dem allgemeinen Datenschutzgrundrecht (Recht auf informationelle Selbstbestimmung), während der Schutz der Korrespondenz dem Telekommunikationsgeheimnis (Fernmeldegeheimnis) entspricht.

30

Jede Erhebung, Speicherung, Weitergabe oder sonstige Verarbeitung personenbezogener Daten stellt dabei einen Eingriff in dieses Recht dar und muss gerechtfertigt werden.[5] Gemäß Art. 8 Abs. 2 EMRK muss der Eingriff gesetzlich geregelt sein. Die Rechtmäßigkeit des Eingriffs setzt des Weiteren voraus, dass ein legitimes, in Abs. 2 näher bestimmtes Ziel verfolgt wird. Schließlich darf der Eingriff nicht gegen den Grundsatz der Verhältnismäßigkeit verstoßen. Er muss mithin geeignet, erforderlich und angemessen sein. Das Recht der betroffenen Personen auf Schutz ihrer personenbezogenen Daten muss mit den öffentlichen Interessen, die für einen Eingriff sprechen, abgewogen werden.[6] Wenngleich der EGMR einem für die Konventionspraxis typischen kasuistischen Ansatz folgt und dogmatisch nicht immer überzeugt,[7] hat er bei der Prüfung der Rechtfertigung eines Eingriffs in den Menschenrechtsgehalt des Art. 8 Abs. 1 EMRK eine an den Teilbereichen des Schutzgehalts orientierte Systematik entwickelt. Zwar lässt die Rechtsprechung beispielsweise bei der Telefonüberwachung und der Speicherung von Verbindungsdaten offen, ob diese Eingriffe dem Recht auf Schutz personenbezogener Daten, mithin dem Teilbereich des Schutzes der Privatsphäre, oder dem Schutz der Vertraulichkeit der vermittelten Kommunikation, also dem Schutz der Korrespondenz, zuzuordnen sind.[8] Für beide Schutzbereiche hat der EGMR jedoch strukturgleiche, erhöhte Anforderungen an die Rechtfertigung eines Eingriffs aufgestellt. Während der EGMR den staatlichen Stellen einen weiten Beurteilungsspielraum bzw. eine weite Einschätzungsprärogative hinsichtlich der Legitimität des verfolgten Ziels und Zwecks belässt,[9] stellt er an die grundsätzlich erforderliche gesetzliche Rechtsgrundlage hohe Anforderungen.[10] Das zum Eingriff ermächtigende Gesetz muss besonders deutlich und genau sein. Dem Bestimmtheitsgebot misst der EGMR insbesondere bei heimlichen Eingriffen eine für die Beurteilung der Angemessenheit des Eingriffs entscheidende Bedeutung zu. Gleichfalls ausschlaggebend sind Vorkehrungen gegen Datenmissbrauch und die Möglichkeit der betroffenen Person, Auskunft zu den über sie gesammelten Daten zu verlangen.[11] Das Gesetz hat zu bestimmen, wer welche Daten zu welchem Zweck verarbeiten darf, wie lange solche Daten aufbewahrt werden dürfen und wie diese Vorgaben kontrolliert werden.[12] Schließlich spielen auch der Aussagegehalt und die Verwendungsmöglichkeiten der Daten eine Rolle bei der durchzuführenden Abwägung.[13] Gesundheitsdaten dürfen beispielsweise nur unter engen Voraussetzungen verarbeitet und genutzt werden.[14]

31

Die Rechtsprechung des EGMR hat die Eigenständigkeit und Bedeutung des Rechts auf den Schutz der personenbezogenen Daten erkannt und weist große Parallelen zur Rechtsprechung des BVerfG auf, sowohl von der angewandten Prüfungsstruktur als auch vom gewährten Schutzniveau her.[15] So stellt der EGMR auch fest, dass das Recht auf den Schutz personenbezogener Daten nicht schrankenlos gewährleistet werden kann, sondern insbesondere mit den Konventionsrechten anderer in Einklang gebracht werden muss. Dementsprechend ist der EGMR mittlerweile dazu übergegangen, ausdrücklich Schutzpflichten des Staates in Fällen anzuerkennen, in denen sich ausschließlich Private gegenüberstehen. Der Staat missachtet seine Schutzpflicht etwa dann, wenn er eine Rechtslage aufrechterhält, die die Identifizierung einer Privatperson aus datenschutzrechtlichen Gründen verhindert, obwohl die zur Identifizierung und zur Aufklärung der Straftat benötigten Daten beim Internetzugangsanbieter vorliegen. Im konkreten Fall konnte ein in seinem Privatleben empfindlich gestörter Minderjähriger nicht gegen den Täter vorgehen, weil die nationalstaatliche Rechtslage eine Verwendung vorliegender personenbezogener Daten zur Identifizierung des Täters nicht erlaubte. Dies stellt nach Ansicht des EGMR eine Verletzung der Schutzpflicht des Konventionsstaates dar.[16]

Anmerkungen

[1]

BVerfG, Beschl. v. 26.3.1987, 2 BvR 589/79 u.a. = BVerfGE 74, 358 (370) – Unschuldsvermutung; Urt. v. 4.5.2011, 2 BvR 2365/09 u.a. = BVerfGE 128, 326 = NJW 2011, 1931, Leitsatz 2 – EGMR Sicherungsverwahrung.

[2]

EKMR, Urt. v. 6.10.1982, No. 9702/82, DR 30, 239 (241) – X. v. Vereinigtes Königreich; Marauhn/Meljnik, in: Grote/Marauhn (Hrsg.), EMRK/GG, Band I, 2. Aufl. 2013, Kap. 16 Rn. 24.

[3]

Vgl. EGMR, Urt. v. 6.9.1978, No. 5029/71, Ser. A 28, Nr. 37 – Klass u.a./Deutschland; Urt. v. 2.8.1984, No. 8691/79, Ser. A 82, Nr. 64 – Malone/Vereinigtes Königreich; Urt. v. 24.4.1990, No. 11105/84, Ser. A 176-B, Nr. 8, 25 – Huvig/Frankreich; Urt. v. 22.10.2002, No. 47114/99 – Taylor-Sabori/Vereinigtes Königreich.

[4]

Grabenwarter/Pabel, EMRK, 6. Aufl. 2016, § 22 Rn. 10; Marauhn/Meljnik, in: Grote/Marauhn (Hrsg.), EMRK/GG, Band I, 2. Aufl. 2013, Kap. 16 Rn. 28; Uerpmann-Wittzack/Jankowska-Gilberg, MMR 2008, 83 (87).

[5]

EGMR, Urt. v. 24.4.1990, No. 11801/85, Ser. A 176-A, Nr. 26 – Kruslin/Frankreich; Urt. v. 25.3.1998, No. 23224/94, ECHR 1998-II, 524, Nr. 51 – Kopp/Schweiz; Urt. v. 16.2.2000, No. 27798/95, ECHR 2000-II, 58, Nr. 44 – Amann/Schweiz.

[6]

EGMR, Urt. v. 25.2.1997, No. 22009/93, ECHR 1997-I, 347, Nr. 95 – Z./Finland; Urt. v. 28.1.2003, No. 44647 ECHR 2003-I, 123, Nr. 79 – Peck; ausführlich Grabenwarter/Pabel, EMRK, 6. Aufl. 2016, § 22 Rn. 45.

[7]

Uerpmann-Wittzack/Jankowska-Gilberg, MMR 2008, 83 (86 f.).

[8]

EGMR, Urt. v. 6.9.1978, No. 5029/71, Ser. A 28, Nr. 41 – Klass u.a./Deutschland; Urt. v. 2.8.1984, No. 8691/79, Ser. A 82, Nr. 64 – Malone/Vereinigtes Königreich; Urt. v. 15.6.1992, No. 12433/86, Ser. A 238, Nr. 39 – Lüdi/Schweiz; Urt. v. 16.2.2000, No. 27798/95, ECHR 2000-II, 58, Nr. 44 – Amann/Schweiz; Urt. v. 3.4.2007, No. 62617/00 = EuGRZ 2007, 415, Nr. 41 – Copland/Vereinigtes Königreich; vgl. Urt. v. 16.6.2016 – 49176/11 – Versini-Campinchi u. Crasnianski/Frankreich = NJW 2017, 3577, Nr. 49.

[9]

Uerpmann-Wittzack, in: Ehlers (Hrsg.), Europäische Grundrechte und Grundfreiheiten, 4. Aufl. 2014, § 3 Rn. 24; Uerpmann-Wittzack/Jankowska-Gilberg, MMR 2008, 83 (87); Meyer-Ladewig/Nettesheim, in: Meyer-Ladewig/Nettesheim/v. Raumer (Hrsg.), EMRK, 4. Aufl. 2017, Art. 8 Rn. 109; Gersdorf, in: Gersdorf/Paal (Hrsg.), BeckOK Informations- und Medienrecht, 29. Ed. 2020, Art. 8 EMRK Rn. 58.

[10]

Grabenwarter/Pabel, EMRK, 6. Aufl. 2016, § 22 Rn. 39; Meyer-Ladewig/Nettesheim, in: Meyer-Ladewig/Nettesheim/v. Raumer (Hrsg.), EMRK, 4. Aufl. 2017, Art. 8 Rn. 34; Gersdorf, in: Gersdorf/Paal (Hrsg.), BeckOK Informations- und Medienrecht, 29. Ed. 2020, Art. 8 EMRK Rn. 53 f.

[11]

EGMR, Urt. v. 2.8.1984, No. 8691/79, Ser. A 82, Nr. 67 – Malone/Vereinigtes Königreich; Urt. v. 24.4.1990, No. 11801/85, Ser. A 176-A, Nr. 30 – Kruslin/Frankreich; Urt. v. 25.3.1998, No. 23224/94, ECHR 1998-II, 524, Nr. 64 – Kopp/Schweiz; Urt. v. 16.2.2000, No. 27798/95, ECHR 2000-II, 58, Nr. 52 ff. – Amann/Schweiz; Urt. v. 3.4.2007, No. 62617/00 = EuGRZ 2007, 415, Nr. 47 f. – Copland/Vereinigtes Königreich; Urt. v. 16.10.2018 – 70288/13 – Visy/Slowakei = NJW 2019, 2291, Nr. 39; Urt. v. 19.6.2018 – 35252/08 – Centrum för Rättvisa/Schweden = NVwZ 2018, 1457, Nr. 104, 107; Johlen, in: Stern/Sachs (Hrsg.), Europäische Grundrechte-Charta, 2016, Art. 8 Rn. 15 u. Fn. 27.

[12]

EGMR, Urt. v. 16.3.1987, No. 9248/81, Ser. A 116, Nr. 48 – Leander/Schweden; Urt. v. 16.2.2000, No. 27798/95, ECHR 2000-II, 58, Nr. 76 ff. – Amann/Schweiz.

[13]

EGMR, Urt. v. 16.3.1987, No. 9248/81, Ser. A 116, Nr. 48 – Leander/Schweden; Urt. v. 15.6.1992, No. 12433/86, Ser. A 238, Nr. 39 – Lüdi/Schweiz; Urt. v. 16.2.2000, No. 27798/95, ECHR 2000-II, 58, Nr. 44 – Amann/Schweiz; Urt. v. 4.5.2000, No. 28341/95, ECHR 2000-V, 61 – Rotaru/Rumänien; Johlen, in: Stern/Sachs (Hrsg.), Europäische Grundrechte-Charta, 2016, Art. 8 Rn. 14 u. Fn. 26.

[14]

EGMR, Urt. v. 25.2.1997, No. 22009/93, ECHR 1997-I, 347, Nr. 95 ff. – Z./Finland.

[15]

So auch Uerpmann-Wittzack, in: Ehlers (Hrsg.), Europäische Grundrechte und Grundfreiheiten, 4. Aufl. 2014, § 3 Rn. 25. Zur Prüfungsstruktur Gersdorf, in: Gersdorf/Paal (Hrsg.), BeckOK Informations- und Medienrecht, 29. Ed. 2020, Art. 8 EMRK Rn. 8 f.

[16]

EGMR, Urt. v. 2.12.2008, No. 2872/02, ECHR 2008-V, 125, Nr. 49 – K.U./Finnland; dazu ausführlich → Rn. 41.

2. Datenschutz-Konvention des Europarats

32

Im Europarat war man sich der durch die moderne Datenverarbeitungstechnologie entstandenen Gefahren für das Persönlichkeitsrecht des Einzelnen früh bewusst. Nach zwei Entschließungen des Ministerkomitees zur Verarbeitung personenbezogener Daten im nichtöffentlichen (1973)[1] und im öffentlichen (1974)[2] Bereich wurde 1981 das „Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten“ (Datenschutz-Konvention, Straßburger Vertrag – K108)[3] zur Unterzeichnung durch die Mitgliedstaaten ausgelegt. Das Übereinkommen trat 1985 in Kraft.

33

Im Gegensatz zu den Leitlinien der OECD ist die Datenschutz-Konvention des Europarats für die zeichnenden Staaten nach Ratifikation durch die Mitgliedstaaten für die Signatare völkerrechtlich verbindlich und ihr ist im nationalen Recht Wirkung zu verschaffen. Damit handelt sich bei der Konvention um das bislang einzige völkerrechtlich verbindliche Abkommen im Bereich des Datenschutzrechts.[4]

34

In materieller Hinsicht beanspruchen die Vorgaben der Konvention nach Art. 3 Abs. 1 K108 sowohl im öffentlichen als auch im privaten Bereich der Datenverarbeitung Geltung. Das heißt also, dass die Bestimmungen nicht danach differenzieren, ob eine öffentliche Stelle (der BND, die Universität etc.) oder ein Privater (ein Telekommunikationsunternehmen, ein Internet-Shop-Betreiber etc.) Daten verarbeitet. Die Konvention beschränkt sich jedoch auf die automatische Verarbeitung personenbezogener Daten natürlicher Personen. Die Anwendung der Konvention auch auf die manuelle Datenverarbeitung und auf juristische Personen ist den Mitgliedstaaten gemäß Art. 3 Abs. 2 lit. b und c K108 unbenommen. Die Konvention formuliert auch heute noch gültige Grundprinzipien des Datenschutzes:

–	die eingeschränkte, d.h. rechtmäßige und nach Treu und Glauben erfolgende Erhebung und Verarbeitung personenbezogener Daten (Art. 5 lit. a K108),
–	die Zweckbindung der Datenerhebung und Datenverarbeitung (Art. 5 lit. b K108),
–	den Verhältnismäßigkeitsgrundsatz bei der Erhebung und Verarbeitung (Art. 5 lit. c K108),
–	das Prinzip der Datenqualität (Art. 5 lit. d K108) und
–	den Grundsatz der frühestmöglichen Anonymisierung personenbezogener Daten (Art. 5 lit. e K108).

35

Neben diesen gemäß Art. 10 K108 sanktionsbewehrten Verarbeitungsgrundsätzen trifft die Konvention auch Regelungen zur Datensicherheit (Art. 7 K108) und zum Umgang mit sensiblen Daten, also etwa Gesundheitsdaten (Art. 6 K108). Die Rechte der betroffenen Person sind in Art. 8 K108 normiert. Sie umfassen ein Auskunftsrecht, das Recht auf Berichtigung und Löschung sowie die Einräumung eines Rechtsmittels, das die betroffene Person in die Lage versetzt, ihre Rechtsposition durchzusetzen. Schließlich regelt die Konvention auch die grenzüberschreitende Übermittlung personenbezogener Daten zwischen Vertragsstaaten (Art. 12 K108). Dies ist gewissermaßen das Herzstück der Konvention, da sie den Konventionsstaaten als Gegenleistung für ihre Harmonisierungsbemühungen die Möglichkeit eines ungehinderten grenzüberschreitenden Datenaustauschs eröffnet. Daher dürfen die Konventionsstaaten den grenzüberschreitenden Verkehr personenbezogener Daten nicht allein zum Zweck des Schutzes des Persönlichkeitsrechts verbieten oder von einer Genehmigung abhängig machen. Hiervon darf gemäß Art. 12 Abs. 3 der Konvention abgewichen werden, wenn die nationale Rechtsordnung für bestimmte personenbezogene Daten besondere Vorschriften enthält und der Empfängerstaat keinen gleichwertigen Schutz gewährt oder es zu verhindern gilt, dass personenbezogene Daten über einen Vertragsstaat in das Hoheitsgebiet einer Nichtvertragspartei weitergegeben werden. Diese beiden Konstellationen stellen jedoch Ausnahmefälle dar. In der Regel bleibt es beim freien Datentransfer.[5] Die Übermittlung personenbezogener Daten in einen nicht den Konventionsbestimmungen unterliegenden Staat ist in Art. 2 des Zusatzprotokolls zur Datenschutz-Konvention[6] geregelt. Dieser bestimmt, dass personenbezogene Daten in einen Nichtvertragsstaat nur dann übermittelt werden dürfen, wenn dieser ein angemessenes Schutzniveau gewährleistet. Sofern das nationale Recht dies vorsieht, dürfen Daten auch in Staaten ohne angemessenes Schutzniveau weitergegeben werden, wenn spezifische Interessen der betroffenen Person oder wichtige öffentliche Interessen dies gebieten. Eine Übermittlung ist auch dann zulässig, wenn die verantwortliche übermittelnde Stelle Garantien (z.B. aus Vertragsklauseln) bietet, die von der zuständigen nationalen Behörde für ausreichend befunden werden.

36

Im Ergebnis normiert die Konvention damit ein angemessenes Datenschutzniveau innerhalb der Konventionsstaaten und ermöglicht dadurch den freien Datenaustausch innerhalb der Konventionsstaaten, wohingegen das „Verlassen“ des Konventionsraums strengeren Anforderungen unterworfen werden darf. Das vom Komitee der Ministerbeauftragten 2001 zur Unterzeichnung aufgesetzte Zusatzprotokoll verlangt schließlich die Schaffung einer oder mehrerer Kontrollstellen, die ihre näher bestimmten Aufgaben in völliger Unabhängigkeit wahrnehmen. Damit soll die effektive Durchsetzung der materiell-rechtlichen Vorgaben institutionell abgesichert werden. Waren es die Leitlinien der OECD, die dem Datenschutz in thematischer Hinsicht zum internationalen Durchbruch verhalfen, so wurde mit dem Inkrafttreten der völkerrechtlich verbindlichen Datenschutz-Konvention des Europarats Rechtsgeschichte geschrieben. Erstmals verpflichteten sich Staaten untereinander, grundsätzliche Datenerhebungs- und Datenverarbeitungsregeln zu achten und – im Falle des Verstoßes – zu sanktionieren. Der Druck auf die Mitgliedstaaten, im Bereich des Datenschutzes regelnd einzugreifen, wurde damit deutlich erhöht. Der Ansatz der Konvention, den freien Datenaustausch auf der Basis eines gemeinsamen Standards zu ermöglichen, sollte auch die Rechtsetzung der damaligen Europäischen Gemeinschaft (EG) maßgeblich beeinflussen. Dabei diente die Datenschutz-Konvention des Europarats als Vorlage für die erste allgemeine Datenschutzrichtlinie der EG.

37

So früh in der Geschichte des Datenschutzes der Europarat diesen als zukunftsträchtige Regelungsmaterie erkannt hatte, so lange hat er sich Zeit gelassen, die aus dem Jahre 1981 stammenden Regelungen der Datenschutz-Konvention an die Gegebenheiten heutiger Informationserhebung und -verwendung durch moderne Informationstechnologie im globalen Maßstab anzupassen. Erst 2010 begannen erste Diskussionen zur „Modernisierung“ der Konvention. Nach eingehenden Konsultationen und öffentlicher Diskussion wurde am 18.12.2012 ein konkreter Vorschlag zur Anpassung der Datenschutz-Konvention durch das Konsultationskomitee dem Ad-hoc-Datenschutzkomitee des Europarats (CAHDATA) vorgelegt.[7] Dieser nahm nach weiterer Überarbeitung am 3.12.2014 den Entwurf einer neuen Datenschutz-Konvention an und übermittelte diesen an das Ministerkomitee.[8] Der Änderungsentwurf ist zwar zunächst im Ministerkomitee auf lange anhaltende Uneinigkeiten gestoßen.[9]

38

Am 18.5.2018 wurde das Protokoll zur Änderung der Datenschutzkonvention[10] dann aber endlich verabschiedet[11], wenngleich es noch nicht in Kraft getreten ist. Hierzu fehlt es noch an der Ratifizierung durch alle Konventionsparteien.[12]

39

So prägend die erste Datenschutz-Konvention des Europarats für die EG-Datenschutzrichtlinie war, so sehr ist bei der Überarbeitung der Konvention auf die Entwicklungen auf Ebene der EU zu achten gewesen.[13] Denn die EU-Datenschutz-Grundverordnung (DS-GVO) und die EU-Datenschutzrichtlinie für den Polizei- und Justizbereich (DSRL-JI) sind seit dem 25.5.2018 anwendbar. Sollen die Mitgliedstaaten der EU oder die EU als solche in der Lage sein, beiden aktualisierten Datenschutzregimen zuzustimmen, kann auf einen gewissen Gleichklang nicht verzichtet werden.

40

Inhaltlich soll die geänderte bzw. ergänzende Datenschutz-Konvention daher in weiten Teilen die Entwicklung des Datenschutzrechts in der EU nachzeichnen. So wird in der durch das Änderungsprotokoll angepassten Datenschutzkonvention die Beschränkung des Anwendungsbereichs auf die automatisierte Datenverarbeitung aufgegeben (vgl. Art. 1 und 2 lit. c K108-neu). Hingegen wird eine „Haushaltsausnahme“ zugunsten von Datenverarbeitungsvorgängen zu rein persönlichen oder familiären Tätigkeiten eingeführt werden (Art. 3 Abs. 2 K108-neu). Eine weitere Neuerung ist der Fokus auf eine verstärkte Transparenz der Datenverarbeitung durch verbindliche und präzise, an die Datensubjekte weiterzuleitende Angaben (Art. 8 Abs. 1 K108-neu). Von praktischer Relevanz dürfte zudem die leichte Erweiterung der Auskunftsrechte der von einer Datenverarbeitung betroffenen Person sein (Art. 9 K108-neu). Das Protokoll sieht darüber hinaus nunmehr explizit eine Pflicht vor, Datenschutzverstöße bei einer ernsthaften Gefährdung der Persönlichkeitsrechte der betroffenen Personen zumindest den zuständigen Datenschutzbehörden umgehend zu melden (Art. 7 Abs. 2 K108-neu). Die verarbeitenden Stellen müssen, ähnlich wie unter der DS-GVO (siehe dazu → Rn. 356 und 788 f.), die Grundsätze „privacy by design“ und „privacy by default“ beachten, sowie Wirkungsanalysen durchführen (Art. 10 K108-neu). Die neue Fassung der Konvention gibt genaue Hinweise auf die Voraussetzungen eines angemessenen Datenschutzniveaus bei grenzüberschreitenden Übermittlungen personenbezogener Daten (Art. 14 Nr. 3 K108-neu). Die revidierte Konvention bestimmt, dass neben gerichtlichen Sanktionen auch Verwaltungssanktionen vorzusehen sind (Art. 12 K108-neu). Zudem werden die Mitgliedstaaten verpflichtet, sicherzustellen, dass Aufsichtsbehörden sanktionieren und Maßnahmen ergreifen können (Art. 15 K108-neu). Die Konvention wird zudem für den Beitritt der Nichtmitgliedstaaten und internationaler Organisationen geöffnet (Art. 27 K108-neu). Strittig sind die Ausnahmemöglichkeiten von den Regelungen zu nationalen Aufsichtsbehörden (Art. 9 Abs. 1 lit. g K108-neu) in Art. 12 Abs. 2 des Entwurfs, die zum Teil als zu weitreichend erachtet werden. Art. 14 Abs. 1 S. 3 K108-neu betrifft die grenzüberschreitende Datenübermittlung und sieht eine Ausnahme zugunsten kollidierender EU-Normen vor, durch welche die Datenübermittlung zwischen EU-Mitgliedstaaten und Drittstaaten erschwert werden könnte. Es wird befürchtet, dies könnte die modernisierte Datenschutzkonvention für Nicht-EU-Mitglieder unattraktiver machen.

41

Lösung zu Fallbeispiel 1 – Anonyme Kontaktanzeige – Datenschutz nach Art. 8 EMRK (Rn. 27)

Begründetheit der Beschwerde?
A.	Eröffnung des sachlichen und funktionalen Schutzbereichs des Art. 8 EMRK
	I.	Sachlicher Schutzbereich
		→	Art. 8 Abs. 1 EMRK schützt das Privatleben (Privatheit) zur freien Entfaltung der Persönlichkeit
		→	geschützt sind demnach die Privatheit (Privatsphäre) und personenbezogene Daten
		→	personenbezogene Daten im Internet veröffentlicht = betrifft Privatleben
	→	(+)
	II.	Funktionaler Schutzbereich
		→	Art. 8 Abs. 1 EMRK beinhaltet auch eine Schutzpflicht des Staates
		→	Staat ist verpflichtet, Beschwerdeführer vor Eingriffen Dritter zu schützen
		→	Dritter verletzt durch Veröffentlichung personenbezogener Daten das Recht auf Privatheit des Beschwerdeführers
	→	(+)
B.	Eingriff
	→	Unterlassen des nationalen Gesetzgebers, Auskunftsansprüche über Bestandsdaten gegen Zugangsanbieter zur Verfolgung von Straftaten zu schaffen
	→	(+)	[Schutzpflichtenverstoß auch zweistufig prüfbar]
C.	Rechtfertigung (Art. 8 Abs. 2 EMRK)
	I.	Gesetzliche Grundlage
		→	nationale Datenschutzgesetze vereitelten Auskunft über Bestandsdaten
	→	(+)
	II.	Legitimer Zweck
		1.	Datenschutzrecht des Dritten als das „Recht anderer“ (Art. 8 Abs. 1 EMRK)
		2.	(Meinungs-)Äußerungsfreiheit des Dritten als das „Recht anderer“ (Art. 10 Abs. 1 EMRK)
	→	(+)
	III.	Verhältnismäßigkeit
		1.	Geeignetheit
		→	Eingriff ist im Stande, Datenschutzrecht des Dritten zu schützen (+)
		2.	Erforderlichkeit
		→	Kein milderes gleich geeignetes Mittel zum Schutz des Datenschutzrechts des Dritten ersichtlich (+)
		3.	Angemessenheit
			a)	Grenzen des konventionsstaatlichen Beurteilungsspielraums
				→	Grenze des Beurteilungsspielraums überschritten, wenn konventionsrechtlicher Mindeststandard unterschritten
			b)	Konventionsrechtlicher Mindeststandard als Ausfluss der Schutzpflicht
				aa)	Schwere des Eingriffs in das Rechtsgut (Privatheit des Beschwerdeführers)
					→	Beschwerdeführer minderjährig und besonders schutzbedürftig
					→	Gefahr, Opfer der Pädophilie und des sexuellen Missbrauchs zu werden
					→	Gefahr der Störung der geistigen und körperlichen Unversehrtheit und Entwicklung
				→	Schwerer Eingriff in bedeutendes Rechtsgut
				bb)	Förderung des Rechtfertigungsrechtsguts (Datenschutzrecht des Täters)
					→	Datenschutzrecht und Recht auf Privatheit des Dritten werden gefördert
					→	Förderung nicht grenzenlos
				cc)	Keine unerfüllbaren oder unverhältnismäßigen Schutzpflichten für den Gesetzgeber
					→	Hier nicht ersichtlich
				dd)	Erfüllung der Schutzpflicht
					→	Abwägung des Schutzbedürfnisses des Beschwerdeführers mit dem des Dritten
					→	Bei Abwägung zugunsten des Dritten wird Datenschutz zum Tatenschutz
				→	(–)
			→	Konventionsrechtlicher Mindeststandard zum Schutz der Rechtsgüter des Art. 8 Abs. 1 EMRK unterschritten
		→	Angemessenheit (–)
	→	Verhältnismäßigkeit (–)
→	Rechtfertigung (–)
D.	Ergebnis Beschwerde ist begründet.

Anmerkungen

[1]

Ministerkomitee, Entschließung (73) 22 über den Schutz der Privatsphäre natürlicher Personen gegenüber elektronischen Datenbanken im privaten Bereich, 26.9.1973, abrufbar unter: https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680502830 (Abruf: 12.1.2021).

[2]

Ministerkomitee, Entschließung (74) 29 über den Schutz der Privatsphäre natürlicher Personen gegenüber elektronischen Datenbanken öffentlichen Charakters, 20.9.1974, abrufbar unter: https://rm.coe.int/native/09000016804d1c51 (Abruf: 12.1.2021).

[3]

Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten v. 28.1.1981, SEV-Nr. 108.

[4]

Parlamentarische Versammlung, Draft Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (ETS No. 108) and its explanatory report, Dok. 14437, 15.11.2017, S. 3 et passim.

[5]

Vgl. Simitis/Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), Datenschutzrecht, 2019, Einl. Rn. 106.

[6]

Zusatzprotokoll zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Kontrollstellen und grenzüberschreitendem Datenverkehr v. 8.11.2001, SEV-Nr. 181.

[7]

Konsultationskomitee zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (SEV-Nr. 108), Propositions of Modernisation, DG I – Human Rights and Rule of Law, T-PD_2012_04_rev4_E, abrufbar unter: https://rm.coe.int/168049691b#search=T%2DPD%5F2012%5F04%5Frev4%5FE (Abruf: 12.1.2021).

[8]

Ad-hoc-Datenschutzkomitee (CAHDATA), Abridged Report of the 3rd and final meeting, DG I – Human Rights and Rule of Law, CAHDATA(2014)RAP03Abr, abrufbar unter: https://rm.coe.int/1680591271 (Abruf: 12.1.2021).

[9]

Vgl. dazu und zum Folgenden Parlamentarische Versammlung, Draft Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (ETS No. 108) and its explanatory report, Dok. 14437, 15.11.2017, S. 7 f.

[10]

Abrufbar unter: https://www.coe.int/de/web/conventions/full-list/-/conventions/rms/090000168098b1be (Abruf: 12.1.2021).

[11]

Mitteilung der Verabschiedung auf der Website des Europarats v. 18.5.2020, abrufbar unter: https://www.coe.int/de/web/portal/-/enhancing-data-protection-globally-council-of-europe-updates-its-landmark-convention (Abruf: 12.1.2021).

[12]

Der aktuelle Stand der Ratifizierungen ist auf der Website des Europarats einsehbar, abrufbar unter: https://www.coe.int/de/web/conventions/full-list/-/conventions/treaty/223/signatures?p_auth=roAlhaNR (Abruf: 12.1.2021).

[13]

Vgl. hierzu zum BDSG a.F. Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einl. Rn. 182.

1. Kapitel Grundlagen › B. Unionsprimärrechtliche Grundlagen

B. Unionsprimärrechtliche Grundlagen

1. Kapitel Grundlagen › B. Unionsprimärrechtliche Grundlagen › I. Einführung

I. Einführung

42

Das Datenschutzrecht ist spätestens mit der Datenschutz-Grundverordnung auch in den Details ganz wesentlich auf europäischer Ebene ausgestaltet. Zentraler normativer Rahmen für die Schaffung, Überprüfung, Auslegung und Anwendung dieses sog. Sekundärrechts ist das Primärrecht der Europäischen Union, also der EUV, der AEUV und vor allem die GrCh. Rechtsakte, die die Organe der Union erlassen, müssen vollumfänglich dem Primärrecht entsprechen, dem damit eine verfassungsähnliche Funktion zukommt. Die Reichweite, entsprechende Gesetzgebungsakte auf Unionsebene zu erlassen, ergibt sich aus der Kompetenzverteilung (dazu II.). Prägende Wirkung für das geltende Recht entfalten zunehmend jedoch auch die Unionsgrundrechte (dazu III.).

1. Kapitel Grundlagen › B. Unionsprimärrechtliche Grundlagen › II. Kompetenzgrundlagen für Sekundärrechtsakte

II. Kompetenzgrundlagen für Sekundärrechtsakte

1. Kompetenz zum Erlass von Rechtsakten

43

Nach alter Rechtslage bildete Art. 286 EGV die einzige explizit datenschutzrechtliche Gesetzgebungsgrundlage. Als Kompetenzgrundlage für die Schaffung datenschutzrechtlicher Sekundärrechtsbestimmungen kam im Übrigen vor allem die gemeinschaftsrechtliche Binnenmarktkompetenz des Art. 95 EGV (jetzt Art. 114 AEUV) in Betracht. Dabei hatten die Gemeinschaftsorgane vor allem auf Art. 95 EGV zurückgegriffen, um ein europäisches Datenschutzrecht zu kreieren, da hier ein Mehrheitsbeschluss ausreichte und keine einstimmige Entscheidung erforderlich war. Kompetenzstreitigkeiten zum Erlass datenschutzrelevanter Vorschriften waren mehrfach ausgebrochen,[1] was angesichts der unterschiedlichen Normgebungsverfahren nicht weiter verwunderte. Dieses Konfliktpotential wurde mit Inkrafttreten des Lissabonner Änderungsvertrags und dem neu eingefügten Art. 16 AEUV minimiert.

44

Art. 16 AEUV weist allerdings eine der dem Lissabonner Vertrag eigenen unnötigen Dopplungen auf: So wird in Art. 16 Abs. 1 AEUV ein Datenschutzgrundrecht normiert, dem jedoch neben dem spezielleren Datenschutzgrundrecht aus Art. 8 GrCh keine Bedeutung zukommt. Art. 16 AEUV enthält im Gegensatz zu Art. 8 GrCh keine Schrankenbestimmung. Um ein Leerlaufen der Schranken der Art. 8 Abs. 2, 52 Abs. 1 GrCh zu vermeiden, ist auf die Anwendung des Art. 52 Abs. 2 GrCh im Fall des Art. 16 Abs. 1 AEUV zu verzichten, so dass Art. 8 GrCh einzige Rechtsquelle für die Grundrechtsprüfung ist.[2] Art. 16 Abs. 2 AEUV schafft daher vor allem eine datenschutzrechtliche Gesetzgebungskompetenz der Union gegenüber ihren eigenen Organen und den Mitgliedstaaten, sofern diese Unionsrecht ausführen. Durch die Überführung des Bereichs der PJZS in das Unionsrecht ist Art. 16 AEUV Rechtsgrundlage für den Erlass datenschutzrechtlicher Bestimmungen auf diesem Feld.[3] Dagegen stellt Art. 16 Abs. 2 UAbs. 2 AEUV klar, dass auf Grundlage des Art. 16 Abs. 2 UAbs. 1 AEUV ergangenes Sekundärrecht die Vorgaben des Art. 39 EUV unberührt lässt. Dieser verleiht dem Rat die alleinige Kompetenz, einen Beschluss zur Festlegung datenschutzrechtlicher Vorschriften bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Kapitels 2 des EUV („Besondere Bestimmungen über die Gemeinsame Außen- und Sicherheitspolitik“) fallen, und über den freien Datenverkehr zu erlassen. Gemäß Art. 39 S. 2 EUV wird die Einhaltung der datenschutzrechtlichen Vorschriften von unabhängigen Behörden überwacht. Trotz des Wegfalls der Differenzierung zwischen supranationalem Gemeinschaftsrecht einerseits und intergouvernementalem Unionsrecht andererseits muss auch weiterhin zur Bestimmung der einschlägigen Rechtsgrundlage zum Erlass datenschutzrechtlichen Sekundärrechts auf Unionsebene unterschieden werden: Bei Datenverarbeitungen, die im Rahmen der Gemeinsamen Außen- und Sicherheitspolitik erfolgen, erlässt der Rat, gestützt auf Art. 39 EUV, die erforderlichen Bestimmungen, in allen anderen Fällen das Europäische Parlament zusammen mit dem Rat gemäß dem ordentlichen Gesetzgebungsverfahren und auf Grundlage des Art. 16 Abs. 2 AEUV.

Anmerkungen

[1]

EuGH, Urt. v. 30.5.2006, C-317/04 u. 318/04, ECLI:EU:C:2006:346 – Fluggastdatenübermittlung; Urt. v. 10.2.2009, C-301/06, ECLI:EU:C:2009:68 – Vorratsdatenspeicherung.

[2]

Vgl. auch Bernsdorff, in: Meyer/Hölscheidt (Hrsg.), Kommentar zur Charta der Grundrechte der Europäischen Union, 5. Aufl. 2019, Art. 8 Rn. 24; Jarass, Kommentar zur Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016, Art. 8 Rn. 1.

[3]

Zu beachten ist der explizite Hinweis auf den als lex specialis bezeichneten Art. 39 EUV in Art. 16 Abs. 2 UAbs. 2 AEUV, der das Datenschutzgrundrecht auch im Bereich der Gemeinsamen Außen- und Sicherheitspolitik anerkennt, die Gesetzgebungskompetenz zu seiner Ausgestaltung aber einzig dem Rat zuspricht. Vgl. auch die Erklärungen 20 u. 21 der Schlussakte von Lissabon bezüglich der datenschutzrechtlichen Rechtssetzung im Bereich der Domaine Réservé und der PJZS, CIG 15/07 Schlussakte der Konferenz der Vertreter der Regierungen der Mitgliedstaaten v. 3.12.2007. Der Rat hat von seiner unter der alten Rechtslage alleinigen Kompetenz zur Ausgestaltung in Form des Rahmenbeschlusses 2008/977/JI über den Schutz personenbezogener Daten, die im Rahmen der PJZS verarbeitet werden, Gebrauch gemacht, ABl. EU 2008, L 350/60. Die Mitgliedstaaten waren gehalten, den Vorschriften des Rahmenbeschlusses bis zum 27.11.2010 nachzukommen (Art. 29 Abs. 1). Vgl. auch tiefergehend hierzu Albers, in: Wolff/Brink (Hrsg.), BeckOK Datenschutzrecht, 33. Ed. 2020, Syst. L. Rn. 30.

2. Kompetenz zum Abschluss internationaler Übereinkünfte

45

Mit Inkrafttreten des Lissabonner Vertrags erlangte die EU Völkerrechtssubjektivität. Dementsprechend regelt Titel V (Internationale Übereinkünfte) des fünften Teils (Auswärtiges Handeln der Union) des AEUV die Kompetenzen und die Verfahren zum Abschluss völkerrechtlicher Verträge zwischen der EU und Drittstaaten bzw. internationalen Organisationen. Art. 216 Abs. 1 AEUV räumt der EU eine Vertragsabschlusskompetenz ein, während Abs. 2 klarstellt, dass die nach Abs. 1 geschlossenen Übereinkünfte die Organe der Union und die Mitgliedstaaten binden. Art. 218 AEUV beschreibt das zum Abschluss völkerrechtlicher Verträge einzuhaltende Verfahren detailliert. Insbesondere wird in Abs. 6 präzise festgelegt, wann – mit Ausnahme der Übereinkünfte, die ausschließlich die Gemeinsame Außen- und Sicherheitspolitik betreffen – das Europäische Parlament einem Beschluss des Rates zustimmen und wann es lediglich angehört werden muss, um einen völkerrechtlichen Vertrag wirksam abzuschließen. Im Rahmen solcher völkerrechtlichen Übereinkommen können insbesondere datenschutzrechtliche oder datenschutzrelevante Übereinkommen geschlossen werden. Beispiel hierfür sind etwa die verschiedenen PNR-(Fluggastdaten-)Abkommen[1], die zwischen der EU und Drittstaaten (bisher mit den USA und Australien) geschlossen wurden. Fortgeschrittene Verhandlungen zu einem solchem Abkommen gibt es zudem etwa mit Japan.[2] Zukünftige Beschlüsse zu Abkommen in diesem Bereich können auf Art. 216 Abs. 1 AEUV gestützt werden und müssen gemäß dem Verfahren des Art. 218 AEUV zustande kommen. Regelmäßig wird dabei das Europäische Parlament dem Beschluss des Rates wegen Art. 218 Abs. 6 S. 2 lit. a (v) AEUV zustimmen müssen.

Anmerkungen

[1]

PNR steht dabei für „Passenger Name Record“, zur Primärrechtswidrigkeit eines geplanten Abkommens mit Kanada und zu Möglichkeiten einer primärrechtskonformen Ausgestaltung vgl. EuGH, Gutachten 1/15 v. 26.7.2017, ECLI:EU:C:2017:592 – PNR-Abkommen mit Kanada.

[2]

Vgl. Rat der EU, PNR-Abkommen EU-Japan: Rat genehmigt Aufnahme von Verhandlungen, Pressemitteilung v. 18.2.2020.

1. Kapitel Grundlagen › B. Unionsprimärrechtliche Grundlagen › III. Unionsgrundrechte

III. Unionsgrundrechte

1. Grundlagen

46

Ausgangspunkt des Grundrechtsschutzes in der EG/EU war bis zum Inkrafttreten des Lissabonner Vertrags am 1.12.2009 Art. 6 Abs. 2 EUV a.F., der die Union verpflichtete, die Grundrechte, wie sie in der EMRK gewährleistet sind und wie sie sich aus den gemeinsamen Verfassungsüberlieferungen der Mitgliedstaaten als allgemeine Grundsätze des damaligen Gemeinschaftsrechts ergeben, zu achten. Ergänzend trat die noch nicht rechtsverbindliche GrCh[1] hinzu, die vom EuGH als Rechtserkenntnisquelle herangezogen wurde.[2] Angesichts der fehlenden expliziten normativen Ausgangsgrundlage hat der EuGH das Datenschutzgrundrecht als allgemeinen Rechtsgrundsatz entwickelt.[3] Allerdings fehlte es zunächst lange an einer entsprechenden ausgereiften Dogmatik des EuGH.[4] Dies wurde etwa im ORF-Urteil deutlich, in dem das Gericht die Eingriffsqualität des bloßen Speicherns von Daten verneinte.[5] Welche fundamentalen Probleme eine solche Auffassung im Ergebnis aufwirft, zeigt sich besonders eindrücklich mit Blick auf die äußerst kontroverse Vorratsdatenspeicherung (dazu detailliert → Rn. 91 ff., 164 ff.). Hier bliebe auf dieser Basis gerade der wesentliche Kern des Problems unberücksichtigt. Ein erster Vorbote einer deutlichen Stärkung des Datenschutzgrundrechtes war aber die Entscheidung des EuGH zu den Internetveröffentlichungspflichten der EU-Agrarbeihilfen (vgl. dazu auch Fallbeispiel 2). Dass gerade im Hinblick auf den Datenschutz die unionsrechtlichen Grundrechtsvorgaben, sowohl was die Systematik[6] angeht als auch und insbesondere bezüglich der Schutzhöhe, im Wesentlichen dem Rechtsrahmen in Deutschland entsprechen,[7] hat eindrucksvoll die Entscheidung des EuGH zur Vorratsdatenspeicherung (näher zum EuGH-Urteil unter → Rn. 164 ff.) demonstriert,[8] die sich – anders als noch das rein kompetenzrechtliche Urteil aus dem Jahr 2009[9] – nunmehr umfassend und richtungsweisend mit der (mangelnden) Grundrechtskonformität der entsprechenden Richtlinie auseinandergesetzt[10] und diese im Ergebnis verworfen hat. Dabei wendet der EuGH beide Datenschutzgrundrechte aus Art. 7 und 8 GrCh weitgehend parallel nebeneinander an und verlangt eine tendenziell strenge Beschränkung der Datenverarbeitung auf das „absolut Notwendige“.[11]

47

Fallbeispiel 2 EU-Agrarbeihilfen – Datenschutz nach der GrCh[12]

Die Gemeinsame Agrarpolitik (GAP) der EU stellt den größten Posten des EU-Haushalts dar. Nachdem in der Vergangenheit in der Öffentlichkeit der Eindruck entstanden war, öffentliche Gelder würden im Rahmen der GAP intransparent verwendet und Empfängern zuteil, die hierzu nicht berechtigt seien, entschlossen sich der Rat und die Kommission, die Verwendung und Zuteilung der Gelder im Rahmen der GAP transparenter zu gestalten. Zu diesem Zweck wurden die Mitgliedstaaten durch Verordnung (VO) verpflichtet, bestimmte Angaben über die Empfänger von EU-Geldern im Rahmen der GAP zu veröffentlichen. Zu diesen Angaben gehören bei natürlichen Personen der Vor- und Zuname des Empfängers, bei juristischen Personen der vollständige eingetragene Name mit Rechtsform, die entsprechende Gemeinde des Empfängers samt Postleitzahl sowie der empfangene Gesamtbetrag an EU-Geldern. Diese Informationen werden auf einer speziellen Website veröffentlicht und sind über differenzierte Suchfunktionen zwei Jahre lang für jedermann abrufbar. Die Kläger Meyer-GmbH und Schmitz haben Anträge auf EU-Agrarbeihilfen gestellt, denen entsprochen wurde. Die Antragsformulare enthielten einen Hinweis auf die Veröffentlichungspflicht ihrer Informationen. Die Meyer-GmbH und Schmitz beantragen vor dem Verwaltungsgericht (VG), das Land zu verpflichten, die Weitergabe oder die Veröffentlichung dieser Daten zu unterlassen bzw. durch Anordnung zu untersagen, mit dem Ziel, die Veröffentlichung ihrer Daten zu verhindern. Sie sind der Meinung, dass die Veröffentlichung der genannten Daten gegen ihre Grundrechte verstößt. Das VG ersucht im Rahmen dieses Rechtsstreits den EuGH, da es Zweifel an der EU-Primärrechtskonformität der betreffenden Verordnung hegt. Dabei legt es ihm folgende Frage zur Vorabentscheidung vor: Ist die Verordnung, die die zu veröffentlichenden Daten bestimmt und die Veröffentlichung im Internet vorsieht, ungültig?

Wie wird der EuGH die vorgelegte Frage unter Berücksichtigung der einschlägigen Grundrechte der GrCh beantworten?

(Lösung siehe Rn. 56)

Anmerkungen

[1]

ABl. EU 2007, C 303, 1.

[2]

Zum Ganzen Kühling, in: v. Bogdandy/Bast (Hrsg.), Europäisches Verfassungsrecht, 2. Aufl. 2009, S. 657.

[3]

Vgl. EuGH, Urt. v. 8.6.2000, C-369/98, ECLI:EU:C:2000:443 – Fisher; Urt. v. 20.5.2003, C-465/00 u.a., ECLI:EU:C:2003:294 – Österreichischer Rundfunk u.a.; Urt. v. 6.11.2003, C-101/01, ECLI:EU:C:2003:596 – Lindqvist; Urt. v. 29.1.2008, C-275/06, ECLI:EU:C:2008:54 – Promusicae.

[4]

Beachte zum Ganzen den lesenswerten Beitrag von Britz, EuGRZ 2009, 1 und vgl. die Ausführungen bei Frenz, EuZW 2009, 6 (7); zur „zögerlichen Anerkennung“ des Datenschutzgrundrechts durch den EuGH vor der Rechtsverbindlichkeit der Charta siehe auch Breuer, in: Heselhaus/Nowak (Hrsg.), Handbuch der Europäischen Grundrechte, 2. Aufl. 2020, § 25 Rn. 9.

[5]

EuGH, Urt. v. 20.5.2003, C-465/00 u.a., ECLI:EU:C:2003:294, Rn. 74 – Österreichischer Rundfunk u.a.

[6]

Die korrekte Terminologie der Grundrechtsprüfung auf Unionsebene ist eigentlich „Anwendungsbereich – Einschränkungen – Rechtfertigung“. Aus Gründen der besseren Lesbarkeit und Verständlichkeit beim synoptischen Lernen wird im Folgenden auch bei den Unionsgrundrechten die ebenfalls gebräuchliche deutsche Terminologie verwendet.

[7]

Ausführlich Kühling, Europäisierung des Datenschutzrechts – Gefährdung deutscher Grundrechtsstandards?, 2014, S. 26 ff.

[8]

EuGH, Urt. v. 8.4.2014, C-293/12 u. C-594/12, ECLI:EU:C:2014:238 – Digital Rights Ireland und Seitlinger u.a.

[9]

EuGH, Urt. v. 10.2.2009, C-301/06, ECLI:EU:C:2009:68 – Vorratsdatenspeicherung.

[10]

Dazu ausführlich Kühling, NVwZ 2014, 681.

[11]

Zuletzt EuGH, Gutachten 1/15 v. 26.7.2017, ECLI:EU:C:2017:592 – PNR-Abkommen mit Kanada, Rn. 140.

[12]

Angelehnt an EuGH, Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert; vgl. dazu Kühling/Klar, in: Dix u.a. (Hrsg.), Informationsfreiheit und Informationsrecht, Jahrbuch 2010, 2010, 69; Wollenschläger, AöR 2010, 363.

2. Anwendungsbereich der Unionsgrundrechte und Zusammenspiel mit mitgliedstaatlichem Grundrechtschutz

48

Die Unionsgrundrechte binden stets die Organe der Union, die Mitgliedstaaten hingegen nur „bei der Durchführung von Unionsrecht“, Art. 51 Abs. 1 S. 1 GrCh. Der EuGH legt den Begriff jedoch weit aus, so dass es ausreicht, wenn auch Unionsrecht berührt ist.[1] Angesichts der prägenden DS-GVO als Sekundärrechtsakt und dem fast immer betroffenen freien Datenverkehr im Binnenmarkt gibt es im Datenschutzrecht kaum mehr denkbare Fälle, bei denen Unionsgrundrechte keine Anwendung finden. Allerdings hat der EuGH im Rahmen der Entwicklung seiner Rechtsprechung zum „Recht auf Vergessenwerden“ festgestellt, dass den Mitgliedstaaten im Rahmen der unionssekundärrechtlich verbliebenen Ausgestaltungsspielräume auch mitgliedstaatliche Konkretisierungsspielräume für die Auflösung multipolarer Grundrechtskonflikte anhand nationaler Grundrechtsstandards verbleiben[2] (siehe zur komplementären Rechtsprechung des BVerfG → Rn. 65 f.). Angesichts der zahlreichen Öffnungsklauseln der DS-GVO (dazu unter → Rn. 198) bleibt dies auch im gegenwärtigen Recht weiter von Bedeutung.

Anmerkungen

[1]

EuGH, Urt. v. 26.2.2013, C-617/10, ECLI:EU:C:2013:105 – Åkerberg Fransson.

[2]

EuGH, Urt. v. 24.9.2019, C-507/17, ECLI:EU:C:2019:772 – Google LLC (Google II), Rn. 67.

3. Recht auf Achtung des Privatlebens und der Kommunikation (Art. 7 GrCh)

49

Art. 7 GrCh normiert das Recht auf Achtung des Privatlebens und der Kommunikation und entspricht in Formulierung und Gewährleistungsgehalt weitgehend Art. 8 EMRK. Der Europäische Konvent, der den Text der Charta formuliert hat, stellt fest, dass die Rechte nach Art. 7 GrCh den Rechten entsprechen, die durch Art. 8 EMRK garantiert werden. Sie haben daher gemäß Art. 52 Abs. 3 GrCh grundsätzlich die gleiche Bedeutung und Tragweite wie die Konventionsrechte. Lediglich der Begriff der Korrespondenz wurde durch den Begriff der Kommunikation ersetzt, ohne dass sich hieraus materielle Unterschiede ergäben.[1] In jüngerer Zeit ergriff auch der EuGH die Gelegenheit, die Entsprechung des Art. 7 GrCh mit Art. 8 EMRK sowohl in der Gewährleistungs- als auch in der Rechtfertigungsdimension festzustellen.[2] Geschützt ist damit insbesondere das Brief-, Post- und Telekommunikationsgeheimnis, wobei auch moderne Formen der Kommunikation (E-Mail, SMS) in den Schutzbereich fallen.[3] Der effektive Schutz der Vertraulichkeit der (vermittelten) Kommunikation verlangt nicht nur die Gewähr der Vertraulichkeit des Inhalts der Kommunikation, sondern beinhaltet auch den Schutz vor Kenntnisnahme der Umstände der Kommunikation durch Dritte. Solche Kommunikationsumstände stellen die bei der Kommunikation erzeugten Kommunikationsdaten (z.B. Verkehrsdaten) dar. Diese können Aufschluss geben über Ort, Zeit, Dauer und weitere Informationen der Kommunikation einer Person.[4] Als personenbezogene Daten fallen sie jedoch auch in den grundsätzlich spezielleren Schutzbereich des Art. 8 GrCh. Für die gemäß Art. 52 Abs. 3 GrCh zu beachtenden Einschränkungsgründe des Art. 8 Abs. 2 EMRK spielt die Zuordnung dieser personenbezogenen Telekommunikationsdaten allerdings keine Rolle. Sie sind sowohl bei Art. 7 GrCh als auch bei Art. 8 GrCh zu berücksichtigen.[5] Weitere ebenfalls in Art. 8 GrCh zu berücksichtigende Einschränkungsgründe sind in Art. 52 Abs. 1 GrCh enthalten. Die Bestimmung formuliert darüber hinaus die wesentlichen Schranken der Einschränkungsmöglichkeiten, nämlich

–	die Notwendigkeit einer gesetzlichen Ermächtigungsgrundlage für einen Eingriff in das betreffende Grundrecht,
–	die Verfolgung eines legitimen Ziels und
–	den Verhältnismäßigkeitsgrundsatz.[6]

Anmerkungen

[1]

Erläuterungen des Präsidiums des Europäischen Konvents, ABl. EU 2004, C 310, 430; Jarass/Kment, EU-Grundrechte, 2. Aufl. 2019, § 12 Rn. 2 f.; Bernsdorff, in: Meyer/Hölscheidt (Hrsg.), Kommentar zur Charta der Grundrechte der Europäischen Union, 5. Aufl. 2019, Art. 7 Rn. 20; Grabenwarter/Pabel, EMRK, 6. Aufl. 2016, § 22 Rn. 10; Kingreen, in: Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl. 2016, GrCh Art. 7 GrCh Rn. 10.

[2]

EuGH, Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert, Rn. 52, 59, 72 u. 87.

[3]

Kingreen, in: Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl. 2016, GrCh Art. 7 GrCh Rn. 10; vgl. auch Schorkopf, in: Ehlers (Hrsg.), Europäische Grundrechte und Grundfreiheiten, 4. Aufl. 2014, § 16 II 1 Rn. 25; Jarass, Kommentar zur Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016, Art. 7 Rn. 31.

[4]

Jarass, Kommentar zur Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016, Art. 7 Rn. 31.

[5]

Jarass, Kommentar zur Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016, Art. 8 Rn.; vgl. auch Schorkopf, in: Ehlers (Hrsg.), Europäische Grundrechte und Grundfreiheiten, 4. Aufl. 2014, § 16 II Rn. 14 und 39 ff.

[6]

Jarass, Kommentar zur Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016, Art. 8 Rn. 11 ff.

4. Datenschutzgrundrecht (Art. 8 GrCh)

50

Art. 8 GrCh normiert explizit ein Datenschutzgrundrecht. Die Bestimmung ist damit grundsätzlich lex specialis gegenüber Art. 7 GrCh.[1] Zunächst stellte der EuGH in diesem Zusammenhang lediglich fest, dass Art. 8 Abs. 1 GrCh in engem, konkretisierendem Verhältnis zu Art. 7 GrCh stehe,[2] ohne damit jedoch insoweit eine grundlegende und dogmatisch überzeugende Abgrenzung vorzunehmen. In jüngerer Zeit wurde indes deutlich, dass das Gericht beide Grundrechte nebeneinander anwendet und weitgehend parallel begreift.[3]

51

Der sachliche Schutzbereich umfasst in Anlehnung an das sekundärrechtliche Datenschutzrecht personenbezogene Daten, also alle Informationen über eine bestimmte oder bestimmbare Person.[4] In den persönlichen Schutzbereich fallen natürliche Personen und juristische Personen, sofern das Grundrecht wesensmäßig auf diese anwendbar ist[5] bzw. ein Durchschlagen auf natürliche Personen möglich ist. Diese Auffassung wird vom EuGH geteilt. Allerdings erachtet er juristische Personen beispielsweise bereits dann als grundrechtsberechtigt im Hinblick auf Art. 8 Abs. 1 GrCh, soweit der zu veröffentlichende Name der juristischen Person eine oder mehrere natürliche Personen bestimmt.[6] Dem ist zu entgegnen, dass in dieser konkreten Konstellation die zu veröffentlichenden Daten der juristischen Person weniger personenbezogene Daten darstellen als vielmehr Geschäftsdaten, die ihrem Wesen nach nicht in den Schutzbereich des Art. 8 Abs. 1 GrCh fallen.[7] In dogmatisch noch unausgereifter Weise rechtfertigt das Gericht in der Folge die Veröffentlichung der Daten der juristischen Person im Gegensatz zur Veröffentlichung der personenbezogenen Daten natürlicher Personen mit dem Argument, ein Eingriff in Art. 8 Abs. 1 GrCh habe in Bezug auf juristische Personen einen geringeren Stellenwert, da juristische Personen ohnehin insoweit einer bereits erweiterten Verpflichtung zur Veröffentlichung ihrer Daten unterlägen. Darüber hinaus stelle die Verpflichtung der Behörden, bei jeder juristischen Person vor Veröffentlichung ihrer Daten zu prüfen, ob deren Name natürliche Personen bestimmt, eine unverhältnismäßige Verwaltungslast dar.[8] Diese Argumentation ist insoweit problematisch, als sie impliziert, dass Eingriffe in Grundrechte mit dem Argument gerechtfertigt werden können, ein grundrechtskonformes Handeln der Verwaltung bedeute zu viel Aufwand. Sie kann bei der Rechtfertigung von Grundrechtseingriffen keinen Bestand haben.

52

Einen Eingriff[9] in Art. 8 GrCh stellt die Verarbeitung personenbezogener Daten dar, so wie sie i.S.d. ergangenen Sekundärrechts zu verstehen ist. Verarbeitung ist somit der Oberbegriff für alle Datenverarbeitungsschritte, von der Erhebung über die Weitergabe bis hin zur Löschung der personenbezogenen Daten.[10]

53

Ein Eingriff bedarf jedoch der Rechtfertigung. Unionsgrundrechte werden dabei nicht schrankenlos gewährleistet. Insbesondere ist auch hier wiederum Art. 52 GrCh zu beachten. Art. 8 Abs. 2 S. 1 GrCh enthält eine Qualifikation der Einschränkungsgründe.[11] So dürfen Daten „nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden“. Damit wird zunächst das bereits neben dem in Art. 52 Abs. 1 S. 1 GrCh enthaltene Erfordernis einer gesetzlichen Grundlage wiederholt. Dieses versteht der EuGH in seiner Entscheidung zur VDSRL sehr streng dahingehend, dass der Unionsgesetzgeber selbst bei derart massiven Grundrechtseingriffen auf unionaler Ebene zentrale Vorkehrungen zur Begrenzung der Eingriffe vornehmen muss und dies nicht der – unionsgrundrechtskonformen – legislativen Umsetzung durch die Mitgliedstaaten überlassen kann. Damit ist jedenfalls für besonders tiefgreifende datenschutzrechtliche Eingriffe ein EU-Parlamentsvorbehalt für das (datenschutz-)grundrechts-Wesentliche geschaffen. Dies hat nicht nur im horizontalen Verhältnis zwischen EuGH als Judikative und Rat der EU, Kommission und EP als Legislative Verlagerungskonsequenzen zugunsten der die wesentlichen Anforderungen statuierenden Judikative, sondern v.a. auch in vertikaler Perspektive eine supranationale Sogwirkung zur Konsequenz.[12] Mit Art. 8 Abs. 2 S. 1 GrCh wurden im Übrigen einige in der datenschutzrechtlichen Grundrechtsdogmatik und in der Datenschutzgesetzgebung entwickelte Vorgaben primärrechtlich verankert: nämlich zum einen der Zweckbindungsgrundsatz und zum anderen der „Zulässigkeits-Dreiklang“ aus Einwilligung, gesetzlicher Spezial- und Allgemeinregelung. Eine Einwilligung kann dabei einen Grundrechtseingriff allerdings nur legitimieren, wenn sie hinreichend informiert und freiwillig erfolgt. Das im Primär- und Sekundärrecht der EU verankerte Transparenzgebot stellt sodann einen rechtfertigenden legitimen Zweck dar, den der europäische Gesetzgeber durch Rechtsetzungsakte fördern muss.[13] Dabei hat der Gesetzgeber jedoch das legitime Ziel, Transparenz zu schaffen, mit den Grundrechtsgehalten der Art. 8 (und 7) GrCh in Einklang zu bringen.[14] Das Transparenzgebot genießt nicht per se Vorrang vor dem Schutz personenbezogener Daten. Das gilt auch dann, wenn gewichtige wirtschaftliche Interessen involviert sind.[15] Vielmehr sind Ausnahmen und Einschränkungen von Art. 8 Abs. 1 GrCh auf das „absolut Notwendige“ zu beschränken (siehe dazu auch unten zur VDSRL → Rn. 164 ff.).[16]

54

Die Abwägung im Einzelfall kann indes im Mehrebenensystem trotz des weitgehenden Gleichlaufs des Grundrechtsschutzes durchaus merklich auseinandergehen. Exemplarisch wird dies etwa anhand der Agrarentscheidung des EuGH deutlich, in der das Gericht im Spannungsfeld von Datenschutz und Transparenz eine deutliche Tendenz zugunsten des Datenschutzes erkennen ließ[17] und damit auffällig anders wertete als noch das BVerfG. Dieses hatte es als zulässig angesehen, dass Vergütungen von Vorstandsmitgliedern von gesetzlichen Krankenversicherungen mit Blick auf das hohe Transparenzinteresse veröffentlicht werden,[18] und hat damit die Transparenzgesichtspunkte unter weitgehender Zurückdrängung datenschutzrechtlicher Interessen signifikant stärker gewichtet. Eine ähnliche Tendenz ist im Safe-Harbor-Urteil des EuGH deutlich geworden, in dem der Gerichtshof das „Safe Harbor“-Abkommen mit den USA verworfen hat, ohne dass klar wurde, wie die davon betroffenen 4400 Unternehmen kurzfristig ihren transatlantischen Datenaustausch rechtssicher organisieren können.[19] Einen Übergangszeitraum hat der EuGH nicht näher erwogen und pragmatische Reaktionen sind anschließend den nationalen Datenschutzbehörden überantwortet worden. Der EuGH betonte stattdessen, dass Ausnahmen vom Schutz personenbezogener Daten auf das absolut Notwendige beschränkt werden müssten.[20] Die Möglichkeiten, Unternehmens- oder Nutzerinteressen hinreichend zu gewichten, sind durch diesen Maßstab in starkem Maße begrenzt. Dabei die gegenläufigen Schutzpositionen ganz aus dem Blick zu verlieren, gefährdet nicht nur berechtigte Interessen der Unternehmen, sondern auch derjenigen Nutzer, die etwa einen größeren Wert auf einfach zugängliche, kostenlose, datenintensive Dienste legen als auf einen möglichst hohen Datenschutz. Jene Ausübung einer informationellen Selbstbestimmung oder Datensouveränität darf nicht einfach übergangen werden. Dabei ist die multipolare Grundrechtssituation eben tendenziell anders zu beleuchten als bei der isolierten Bewertung einer gesetzlichen Speicherpflicht oder behördlicher Zugriffsrechte. Dass in dem Urteil nicht einmal die insoweit einschlägigen Grundrechtsnormen, nämlich die Berufs- und unternehmerische Freiheit aus Art. 15, 16 GRCh, ggf. die allgemeine Handlungsfreiheit als allgemeiner Rechtsgrundsatz, genannt werden, ist nicht unproblematisch.[21] Auch im Google-Urteil[22] hat der EuGH die gegenläufigen Grundrechtspositionen der unternehmerischen Freiheit von Google und vor allem der Pressefreiheit des von der Streichung des Links betroffenen Presseunternehmens im Rahmen der Auslegung der DSRL nicht näher thematisiert. Das konnte jedoch noch als kluge Zurückhaltung gegenüber einer weiteren Ausdifferenzierung des Löschanspruchs auch im Verbund mit den mitgliedstaatlichen Gerichten verstanden werden.[23] Grundsätzlich birgt die scharfe Betonung des Datenschutzgrundrechts letztlich die Gefahr, dieses als „Supergrundrecht“ zu etablieren, das gegenläufige Schutzinteressen an der Datenverarbeitung allzu weit zurückdrängt.

55

Darüber hinaus normiert Art. 8 Abs. 2 S. 2 GrCh mit einem Auskunfts- und Berichtigungsanspruch prozedurale, Art. 8 Abs. 3 GrCh mit der Verpflichtung auf eine Überwachung der Einhaltung der Schutzgehalte durch eine unabhängige Instanz institutionelle Datenschutzgrundrechtsaspekte. Hier schließt sich der Kreis zu den Vorgaben des BVerfG im Volkszählungsurteil, die dementsprechend aufgefächert wurden (dazu → Rn. 67 ff.). Weder Art. 8 Abs. 2 GrCh noch Art. 8 Abs. 2 EMRK führen im Übrigen zu einer Ausdehnung der Schranken.[24]

56

Lösung zu Fallbeispiel 2 EU-Agrarbeihilfen – Datenschutz nach der GrCh (Rn. 47)

VO ungültig, wenn sie Grundrechte der GrCh verletzt
A.	Art. 7 GrCh – Schutz des Privatlebens
	I.	Anwendungsbereich eröffnet?
		→	Privatleben ist weit auszulegen, umfasst auch das Berufsleben (folgt aus Art. 52 Abs. 3 GrCh i.V.m. Rechtsprechung des EGMR zu Art. 8 EMRK)
		→	Agrarbeihilfen = großer Teil der Einkünfte der Beihilfenempfänger
		→	Angaben zur Höhe der Agrarsubventionen lassen Rückschlüsse auf Einkünfte der Beihilfenempfänger zu
		→	Zugriff Dritter auf Veröffentlichung der Agrarbeihilfen führt zum Eindringen in Privatleben der Empfänger
		→	Eröffnung des Gewährleistungsbereichs des Art. 7 GrCh (+)
	II.	ABER: Eindringen in Privatleben resultiert aus Übermittlung und Veröffentlichung der Daten der betroffenen Personen
		→	Art. 8 Abs. 1 GrCh prüfen!
		→	EuGH in diesem Fall: Art. 8 Abs. 1 GrCh stellt Konkretisierung des Art. 7 GrCh dar (zuletzt allerdings parallele Anwendung beider Grundrechte)
B.	Art. 8 Abs. 1 GrCh – Schutz personenbezogener Daten
	I.	Ist jur. Person (hier: GmbH) im Hinblick auf Art. 8 Abs. 1 GrCh grundrechtsberechtigt?
		→	Datenschutzgrundrecht entspringt den höchstpersönlichen Rechten
		→	Datenschutzgrundrecht schützt jedoch juristische Personen, sofern es auf diese anwendbar ist
		→	Informationen über Beihilfezahlungen an eine jur. Person sind im konkreten Fall Geschäftsdaten, NICHT personenbezogene Daten
		→	Meyer-GmbH nicht grundrechtsberechtigt a.A. vertretbar → EuGH: juristische Personen grundrechtsberechtigt, soweit der Name der jur. Person eine oder mehrere natürliche Personen bestimmt
	II.	Anwendungsbereich eröffnet?
		→	Zur Veröffentlichung vorgeschriebene Daten sind im Hinblick auf natürliche Personen personenbezogene Daten i.S.v. Art. 8 Abs. 1 GrCh
		→	Schutzbereich des Art. 8 Abs. 1 GrCh (+)
	III.	Einschränkung des Anwendungsbereichs?
		→	Vorgeschriebene Veröffentlichung der personenbezogenen Daten auf einer Website = Verarbeitung personenbezogener Daten i.S.v. Art. 8 Abs. 2 GrCh
		ABER: Einschränkung des Anwendungsbereichs ausgeschlossen, da Einwilligung gemäß Art. 8 Abs. 2 GrCh bei Antragsstellung eingeholt?
		→	VO begründet Informationspflicht, Antragsformulare enthalten Information über die Pflicht zur Veröffentlichung der personenbezogenen Daten
		→	Bloße Information Einholung einer Einwilligung
		→	Überdies: keine Freiwilligkeit, da alternativlos
		→	Einwilligung der betroffenen Personen in die Veröffentlichung ihrer personenbezogenen Daten (–)
		→	Einschränkung des Anwendungsbereichs des Art. 8 Abs. 1 GrCh (+)
	IV.	Rechtfertigung der Einschränkung?
		→	Art. 8 Abs. 1 GrCh nicht schrankenlos gewährleistet
		→	Art. 8 Abs. 2 S. 1 GrCh i.V.m. Art. 52 Abs. 1 GrCh
			→	Gesetzliche Grundlage = VO (+)
			→	Verfolgung eines legitimen Zwecks = Transparenz und angemessene Verwendung öffentlicher Gelder (+)
			→	Geeignetheit (+)
			→	Erforderlichkeit = EuGH: Ausnahmen und Einschränkungen von Art. 8 Abs. 1 GrCh sind auf das absolut Notwendige zu beschränken
				→	EuGH: milderes Mittel zur Zweckerreichung gegeben
				→	Legitimes Ziel auch dann erreicht, wenn bei natürlichen Personen Veröffentlichung auf bestimmte Empfänger von Agrarbeihilfen beschränkt, beispielsweise differenziert nach Kriterien des Bezugszeitraums, der Bezugshäufigkeit und der Art und des Umfangs des Bezugs
			→	Erforderlichkeit (–)
		ABER: nicht ersichtlich, warum Veröffentlichung bei Unterscheidung nach genannten Kriterien weniger stark in Privatleben und Datenschutzgrundrecht der Empfänger bei gleicher Effektivität eingreift
		→	a.A. vertretbar (+)
		→	Verhältnismäßigkeit der VO (–), a.A. vertretbar: große Bedeutung von Transparenz!
	→	Art. 8 Abs. 1 (und Art. 7) GrCh im Hinblick auf natürliche Personen verletzt (+; a.A. vertretbar)
	→	VO ungültig hinsichtlich natürlicher Personen (+; a.A. vertretbar)
	→	EuGH: bei jur. Personen besitzt Eingriff in Art. 8 Abs. 1 GrCh einen geringeren Stellenwert
	→	Verhältnismäßigkeit der VO insoweit (+), Art. 8 Abs. 1 GrCh verletzt (–), ungültig (–)
	→	a.A. vertretbar (jur. Personen bei Art. 8 Abs. 1 GrCh nicht grundrechtsberechtigt)

Anmerkungen

[1]

Jarass, Kommentar zur Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016, Art. 8 Rn. 4; Kingreen, in: Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl. 2016, Art. 8 GrCh Rn. 1 f.; Wolff, in: Pechstein/Nowak/Häde (Hrsg.), Frankfurter Kommentar EUV, GRC, AEUV, Bd. 1, 2017, Art. 8 GrCh Rn. 3.

[2]

EuGH, Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662, Rn. 47 – Schecke und Eifert.

[3]

EUGH, Urt. v. 8.4.2014, C-293/12 und C-594/12, ECLI:EU:C:2014:238 – Digital Rights Ireland und Seitlinger u.a.; vgl. jüngst auch Gutachten 1/15 v. 26.7.2017, ECLI:EU:C:2017:592, Rn. 133 – PNR-Abkommen mit Kanada.

[4]

Kingreen, in: Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl. 2016, GrCh Art. 8 GrCh Rn. 9. Im Übrigen ist eine im Ergebnis unschädliche, in grundrechtsdogmatischer Hinsicht jedoch noch divergierende Schutzgehaltserfassung des EuGH und des EuG festzustellen, vgl. EuG, T-194/04, ECLI:EU:T:2007:334, Rn. 111 ff. – Bavarian Lager und Urt. v. 29.6.2010, C-28/08 P, ECLI:EU:C:2010:378, – Kommission/Bavarian Lager, Rn. 59 f.; Wolff, in: Pechstein/Nowak/Häde (Hrsg.), Frankfurter Kommentar EUV, GRC, AEUV, Bd. 1, 2017, Art. 8 GrCh Rn. 12.

[5]

Diff. Bernsdorff, in: Meyer/Hölscheidt (Hrsg.), Kommentar zur Charta der Grundrechte der Europäischen Union, 5. Aufl. 2019, Art. 8 Rn. 25; s.a. Goldhammer/Sieber, JuS 2018, 22.

[6]

EuGH, Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert, Rn. 53; kritisch dazu Kingreen, in: Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl. 2016, GrCh Art. 8 GrCh Rn. 11.

[7]

Vgl. zur Art und zum Kontext der veröffentlichten Daten ausführlich Kühling/Klar, in: Dix u.a. (Hrsg.), Informationsfreiheit und Informationsrecht, Jahrbuch 2010, 2010, 69 (76 ff.); Wollenschläger, AöR 2010, 363 (389 f.).

[8]

EuGH, Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert, Rn. 87.

[9]

Die korrekte Terminologie der Grundrechtsprüfung auf Unionsebene ist eigentlich „Anwendungsbereich – Einschränkungen – Rechtfertigung“. Aus Gründen der besseren Lesbarkeit und Verständlichkeit beim synoptischen Lernen wird im Folgenden auch bei den Unionsgrundrechten die ebenfalls gebräuchliche deutsche Terminologie verwendet.

[10]

Vgl. auch Bernsdorff, in: Meyer/Hölscheidt (Hrsg.), Kommentar zur Charta der Grundrechte der Europäischen Union, 5. Aufl. 2019, Art. 8 Rn. 22; Jarass, Kommentar zur Charta der Grundrechte der Europäischen Union, 3. Aufl. 2016, Art. 8 Rn. 8; Kingreen, in: Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl. 2016, Art. 8 GrCh Rn. 12.

[11]

Vgl. auch Schorkopf, in: Ehlers (Hrsg.), Europäische Grundrechte und Grundfreiheiten, 4. Aufl. 2014, § 16 III 3 Rn. 47.

[12]

Kühling, NVwZ 2014, 681.

[13]

Vgl. EuGH, Urt. v. 29.6.2010, C-28/08 P, ECLI:EU:C:2010:378, Rn. 53 f. – Kommission/Bavarian Lager und Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662, Rn. 68 ff. – Schecke und Eifert; vgl. zum Transparenzgebot, das einen in der EU aufgrund des weiterhin bestehenden Demokratiedefizits besonders wichtigen Abwägungstopos darstellt, ausführlich Kühling/Klar, in: Dix u.a. (Hrsg.), Informationsfreiheit und Informationsrecht, Jahrbuch 2010, 2010, 69 (80 ff.); Wollenschläger, AöR 2010, 363 (366 ff.).

[14]

EuGH, Urt. v. 16.12.2008, C-73/07, ECLI:EU:C:2008:727, Rn. 53 ff. – Satakunnan Markkinapörssi und Satamedia und Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert, Rn. 76.

[15]

Vgl. EuGH, Urt. v. 29.6.2010, C-28/08 P, ECLI:EU:C:2010:662 – Kommission/Bavarian Lager, Rn. 75 ff. und Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert, Rn. 85.

[16]

In jüngerer Zeit etwa EuGH, Gutachten 1/15 v. 26.7.2017, ECLI:EU:C:2017:592 – PNR-Abkommen mit Kanada, Rn. 140; ferner Urt. v. 16.12.2008, C-73/07, ECLI:EU:C:2008:727, Rn. 56 ff. – Satakunnan Markkinapörssi und Satamedia und Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert, Rn. 77. Im letzteren Urteil kommt der EuGH zu dem Ergebnis, die in Rede stehenden Verordnungen der Union verstießen gegen Art. 8 Abs. 1 und Art. 7 GrCh, da der Unionsgesetzgeber zur Verfügung stehende mildere Mittel zur Zielerreichung nicht geprüft habe. Wieso jedoch eine durch Verordnung statuierte Veröffentlichungspflicht in Abhängigkeit von Kriterien wie etwa des Bezugszeitraums, der Bezugshäufigkeit und der Art und des Umfangs des Bezugs zu einer vom EuGH angenommenen geringeren Eingriffstiefe in die Grundrechte der von der Veröffentlichung Betroffenen bei gleicher Zweckeffektivität führen soll, bleibt rätselhaft, vgl. hierzu auch Kühling/Klar, in: Dix u.a. (Hrsg.), Informationsfreiheit und Informationsrecht, Jahrbuch 2010, 2010, 69 (86 ff.), die auf die besonders weite Einschätzungsprärogative des Unionsgesetzgebers abstellen.

[17]

EuGH, Urt. v. 9.11.2010, C-92/09 u. C-93/09, ECLI:EU:C:2010:662 – Schecke und Eifert; siehe dazu auch Kühling/Klar, JURA 2011, 771 ff.

[18]

BVerfG, Beschl. v. 25.2.2008, 1 BvR 3255/07, Rn. 20 ff. = BVerfG, NJW 2008, 1435 (1436 f.).

[19]

Vgl. hierzu und zum Folgenden bereits Kühling/Raab, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 3. Aufl. 2020, Einführung Rn. 31 ff., woran diese Passage stark angelehnt ist.

[20]

EuGH, Urt. v. 6.10.2015, C-362/14, ECLI:EU:C:2015:650, Rn. 91 f. – Schrems I; dagegen noch mit einer Abwägung zugunsten der Verhinderung der illegalen Einreise gegenüber Datenschutzinteressen Urt. v. 17.10.2013 – C-291/12, ECLI:EU:C:2013:670 Rn. 54 ff. – Schwarz.

[21]

Zu dieser Kritik bereits Kühling/Heberlein, NVwZ 2016, 7, 12.

[22]

EuGH, Urt. v. 13.5.2014, C-131/12, ECLI:EU:C:2014:317 – Google Spain.

[23]

So bereits Kühling, EuZW 2014, 527 (529 f.).

[24]

Jarass/Kment, EU-Grundrechte, 2. Aufl. 2019, § 13 Rn. 11.

1. Kapitel Grundlagen › C. Rechtsrahmen im Grundgesetz

C. Rechtsrahmen im Grundgesetz

1. Kapitel Grundlagen › C. Rechtsrahmen im Grundgesetz › I. Einführung

I. Einführung

57

Trotz umfassender unionsrechtlicher Überformung des nationalen Rechts hat das nationale Verfassungsrecht weiterhin eine wichtige Bedeutung für das nationale einfachgesetzliche Recht. Im deutschen Grundgesetz finden sich die Vorgaben zur Gesetzgebung in den Art. 70 ff. GG (dazu II.), während die einschlägigen grundrechtlichen Steuerungsvorgaben vor allem in den Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG sowie Art. 10 GG zu finden sind (dazu III.).

1. Kapitel Grundlagen › C. Rechtsrahmen im Grundgesetz › II. Datenschutzrechtliche Gesetzgebungskompetenz in Bund und Ländern

II. Datenschutzrechtliche Gesetzgebungskompetenz in Bund und Ländern

58

Für die Datenschutzgesetzgebung in Deutschland greift die allgemeine Kompetenzverteilung des Grundgesetzes. Danach steht gemäß Art. 70 Abs. 1 GG den Ländern das Recht der Gesetzgebung zu, soweit keine Bundeskompetenz besteht. Hierbei ist zu beachten, dass es keine spezifische Kompetenzgrundlage für datenschutzrechtliche Gesetze gibt. Angesichts der Vielfalt der möglichen Verarbeitungszusammenhänge ist in der Kompetenzordnung des Bundes die Identifikation eines einheitlichen, die gesamte Regelungsbreite des Gesetzes abdeckenden Anknüpfungspunktes nicht möglich.[1] Je mehr Datenschutzgesetzgebung allerdings abschließend auf der Ebene der Europäischen Union erfolgt, desto weniger relevant wird die Frage der innerstaatlichen Kompetenzverteilung. Unabhängig davon wäre die Schaffung einer umfassenden Gesetzgebungskompetenz auf Bundesebene de constitutione ferenda sehr wohl erwägenswert.

59

Bis dahin gilt jedoch im nichtöffentlichen Bereich – also bei der Datenverarbeitung durch private Unternehmen etc. – vorwiegend die konkurrierende Gesetzgebungskompetenz aus Art. 74 Abs. 1 Nr. 1 und 11 GG, beispielsweise bei der Übermittlung von Arbeitnehmerdaten jedoch auch aus Art. 74 Abs. 1 Nr. 12 GG.

60

Im Anwendungsbereich der öffentlichen Verwaltung des Bundes folgt die Gesetzgebungsbefugnis des Bundes aus der Annexkompetenz des Verwaltungsverfahrens zu den jeweiligen Sachkompetenzen der Art. 73 und 74 GG.[2] Für die in Art. 74 GG ggf. aufgeführten Bereiche der konkurrierenden Gesetzgebung ergibt sich die Bundeskompetenz aus Art. 72 Abs. 2 GG. Eine einheitliche Regelung durch den Bund im Bereich des Datenschutzrechts ist zur Wahrung der Rechts- und Wirtschaftseinheit im gesamtstaatlichen Interesse zwingend erforderlich.[3]

61

Auch außerhalb des BDSG bzw. der verschiedenen LDSGe orientiert sich die Kompetenz am Regelungsgegenstand der jeweiligen bereichsspezifischen Materie. In einzelnen Bereichen kann sich daher die Gesetzgebungskompetenz der Länder auch auf das Datenschutzrecht auswirken, etwa im Bereich des Rundfunks oder den klassischen Landesmaterien des Polizei-, Kommunal- und Schulrechts, aber auch im Gesundheitswesen und anderen Bereichen mit Landeskompetenzen. Nicht zuletzt diese Zersplitterung der Kompetenzgrundlagen hat zu einem großen Teil zur Zersplitterung des Datenschutzrechts geführt, was die Qualität dieser Rechtsmaterie nicht verbessert hat.[4]

Anmerkungen

[1]

Zum BDSG a.F. Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, § 1 Rn. 6.

[2]

Zum BDSG a.F. Gola/Klug, Grundzüge des Datenschutzrechts, 2003, S. 7; Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, § 1 Rn. 13.

[3]

Gola/Klug, Grundzüge des Datenschutzrechts, 2003, S. 8.

[4]

Zur Heterogenität der Ermächtigungsgrundlagen Gola/Klug, Grundzüge des Datenschutzrechts, 2003, S. 8; zur überkomplexen Ausdifferenzierung kritisch Kingreen/Kühling, JZ 2015, 213.

1. Kapitel Grundlagen › C. Rechtsrahmen im Grundgesetz › III. Grundrechte

III. Grundrechte

62

Fallbeispiel 3 Ermittlung von Mobilfunkdaten durch IMSI-Catcher – Fernmeldegeheimnis

Auf der Basis einer entsprechenden strafprozessualen Norm (§ 100i StPO) darf zum Zwecke der Ergreifung eines Beschuldigten in bestimmten qualifizierten Fällen die Geräte- und Kartennummer eines aktiv geschalteten Mobiltelefons mittels eines so genannten IMSI[1]-Catchers ermittelt werden.[2] Hierdurch wird die genaue Standortbestimmung des Mobiltelefons ermöglicht. Die so erhobenen Daten werden anonym und automatisch abgeglichen und bei fehlender Betroffenheit erfolgt eine unverzügliche Löschung nach dem Messeinsatz. Unbeteiligte Dritte werden nicht identifiziert. Gegenüber dem des Mordes dringend verdächtigen T erfolgt eine entsprechende Erhebung. T sieht hierin einen nicht gerechtfertigten Eingriff in sein Grundrecht aus Art. 10 Abs. 1 Var. 3 GG (Fernmeldegeheimnis). Nachdem er erfolglos alle Instanzen durchlaufen hat, wendet er sich an das BVerfG.

Verletzt die angegriffene Maßnahme Grundrechte des T?

Hintergrund: Zum Empfang eingehender Anrufe oder Kurzmitteilungen ist die Lokalisierung des Standorts eines Mobiltelefons durch den Mobilfunknetzbetreiber nötig. Im Rahmen dieser ständigen Positionsangabe werden u.a. die Kartennummer (IMSI) und die Gerätenummer (IMEI[3]) des Mobiltelefons an die Basisstation gesendet. Dieses Prinzip nutzt der IMSI-Catcher, indem er innerhalb einer Funkzelle eine Basisstation des Mobilfunknetzes simuliert. Sämtliche eingeschalteten Mobiltelefone, die sich im Einzugsbereich des IMSI-Catchers befinden, senden nunmehr ihre Daten an diesen. Auf diese Weise ist es möglich, Karten- und Gerätenummer sowie den Standort des Mobiltelefons zu ermitteln.

(Lösung siehe Rn. 116)

63

Fallbeispiel 4 Löschbegehren gegen Online-Archiv – Recht auf Vergessen I

(angelehnt an BVerfG, Beschl. v. 6.11.2019 – 1 BvR 16/13 – Recht auf Vergessen I (s. auch Anmerkungen Kühling, NJW 2020, 275))

Der spätere Beschwerdeführer B wurde 1982 rechtskräftig wegen Mordes verurteilt. Nach Verbüßen seiner Strafe wurde er 2002 aus der Haft entlassen. Das Online-Angebot einer Zeitung, die 1982 über die rechtskräftige Verurteilung des Beschwerdeführers mit drei Artikeln berichtete und ihn namentlich nannte, ist weiterhin in Verbindung mit seinem Namen mithilfe der Nutzung einer Internet-Suchmaschine auffind- und online einsehbar. Der Beschwerdeführer macht daher einen Unterlassungsanspruch gegen die Zeitung dahingehend geltend, dass die drei Artikel mit Namensnennung nicht online ohne Zugangsbarrieren verfügbar sein sollen. In der Konsequenz würden diese auch nicht mehr unter den ersten Treffern bei einer Namenssuche in einer Internet-Suchmaschine erscheinen. Das Landgericht hatte der Klage des B und seinem Löschbegehren gegen das Online-Archiv zunächst stattgegeben und das zuständige Oberlandesgericht die Berufung zurückgewiesen. Die dagegen gerichtete Revision war vor dem Bundesgerichtshof allerdings erfolgreich und führte zur Änderung des Urteils des Landgerichts und zur Klageabweisung.

Nun richtet sich der B mit einer Verfassungsbeschwerde an das BVerfG. Ist seine Beschwerde begründet?

(Lösung siehe Rn. 117)

64

Fallbeispiel 5 Löschbegehren gegen Suchmaschinenbetreiber – Recht auf Vergessen II

(angelehnt an BVerfG, Beschl. v. 6.11.2019 – 1 BvR 276/17 – Recht auf Vergessen II (s. auch Anmerkungen Kühling, NJW 2020, 275))

Die Betroffene und spätere Beschwerdeführerin A war Gegenstand eines Berichtes eines bekannten Fernsehmagazins. Sie hatte ihrerzeit auf Anfrage ein Interview für einen Beitrag gegeben. In dem Beitrag wurde ihr Verhalten als Geschäftsführerin im Zusammenhang mit der Kündigung eines Arbeitsnehmers negativ dargestellt. Unter dem Titel „Die fiesen Tricks der Arbeitgeber“ ist der Beitrag auch auf der Internetseite des Magazins abrufbar. Die Beschwerdeführerin verlangte nun von der Internet-Suchmaschine Google die Löschung eines Links auf diesen Beitrag. Zunächst hatte das Landgericht der Klage stattgegeben. In der Berufung hatte das zuständige Oberlandesgericht ihre Klage hingegen abgewiesen. Nun erhebt sie Verfassungsbeschwerde.

Ist die A beschwerdebefugt? Ist die Verfassungsbeschwerde begründet?

(Lösung siehe Rn. 118)

Anmerkungen

[1]

International Mobile Subscriber Identity.

[2]

Angelehnt an BVerfG, Beschl. v. 22.8.2006, 2 BvR 1345/03 = BVerfGK 9, 62 = K&R 2007, 32.

[3]

International Mobile Equipment Identity.

1. Anwendbarkeit deutscher Grundrechte neben den Unionsgrundrechten

65

Wesentliche Teile der datenschutzrechtlichen Normen finden sich seit dem Mai 2018 in einer europäischen Verordnung (Datenschutz-Grundverordnung).[1] Diese sind nicht anhand der Grundrechte des Grundgesetzes überprüfbar, sondern nur am Maßstab des europäischen Primärrechts, denn (jegliches) europäisches Recht geht grundsätzlich auch nationalem Verfassungsrecht vor.[2] Die Grundrechte des Grundgesetzes und die hierzu ergangene verfassungsgerichtliche Rechtsprechung sind gleichwohl weiterhin von Bedeutung: Einerseits belässt die DS-GVO für den nationalen Gesetzgeber umfangreiche Spielräume, die durch das neugefasste Bundesdatenschutzgesetz[3], entsprechende Landesdatenschutzgesetze und eine Vielzahl bereichsspezifischer Regelungen ausgefüllt werden. Da der nationale Gesetzgeber bei der Ausgestaltung der Spielräume einerseits – wie bei jedem nationalen Gesetz – die nationale Verfassung zu beachten hat und andererseits in Durchführung von Unionsrecht handelt, gelten insoweit die Grundrechte des Grundgesetzes und europäische Grundrechte parallel.[4] Auch die Ausführung der datenschutzrechtlichen Normen erfolgt im Wesentlichen durch nationale Behörden, die insoweit ebenfalls einer parallelen Grundrechtsbindung unterliegen. Sollte es zu Interferenzen zwischen den Schutzbereichen der korrespondierenden Normen kommen, insbesondere in multipolaren Grundrechtssituationen, so bleibt es beim Anwendungsvorrang des Unionsrechts, so dass insoweit letztlich die Maßstäbe der Unionsgrundrechte ausschlaggebend sind.[5] Von Bedeutung bleiben wird die nationale Grundrechtsdogmatik aber allemal, zumal ein Großteil der verfassungsgerichtlichen Rechtsprechung im Datenschutzrecht zu Normen im bipolaren Bürger-Staat-Verhältnis ergangen ist und in Bereichen, in denen erhebliche mitgliedstaatliche Ausgestaltungsspielräume verbleiben. Zudem hat die jüngere Rechtsprechung des EuGH am Maßstab des „Rechts auf Vergessenwerden“ klar gemacht, dass auch im Rahmen der Anwendung der DS-GVO feine Spielräumen für die Mitgliedstaaten verbleiben, bei deren Ausfüllung mitgliedstaatliche Grundrechtsstandards relevant sind (siehe oben → Rn. 48).

66

Darauf aufbauend hat das BVerfG jüngst in zwei revolutionären Beschlüssen den Grundrechtsschutz im Mehrebenensystem gerade am Beispiel des auch auf der Unionsebene hoch umstrittenen „Rechts auf Vergessen(werden)“ (dazu unter → Rn. 81 f.) neu austariert und dabei auf den vom EuGH entwickelten Vorrang des Unionsrechts ebenso wie auf die Öffnung gegenüber jener unterschiedliche mitgliedstaatliche Grundrechtspräferenzen wahrenden Anwendung und Auslegung des Unionssekundärrechts reagiert.[6] Dabei sieht sich das Bundesverfassungsgericht künftig auch im unionsrechtlich vollständig überformten nationalen Recht als Hüter des individuellen Grundrechtsschutzes. Bei der Überprüfung der Anwendung des Unionsrechts durch die deutsche Gewalt greift das BVerfG aber nicht auf den Maßstab der – durch den unionsrechtlichen Anwendungsvorrang – verdrängten Grundrechte des Grundgesetzes zurück, sondern auf die Grundrechte der GRCh. Im nicht vollständig durch Unionsrecht determinierten innerstaatlichen Recht bleibt es hingegen beim Prüfungsmaßstab der nationalen Grundrechte, die allerdings im Lichte der Unionsgrundrechte ausgelegt werden. Diesem Prüfungsansatz müssen die Gerichte und Behörden in Deutschland gleichermaßen folgen. Wie fruchtbar die Wahrnehmung der auf diese Weise neu ausgestalteten Rolle sein kann, demonstrieren sodann die beiden Beschlüsse in der Sache. Sehr umsichtig arbeitet das BVerfG die komplexen widerstreitenden Persönlichkeits- und Mediengrundrechte beim „Recht auf Vergessenwerden“ heraus und wägt diese ab. Insgesamt wird damit die Bedeutung einer grundrechtechartakonformen Auslegung des Datenschutzrechts in Deutschland steigen.

Anmerkungen

[1]

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates v. 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung); siehe dazu unten → Rn. 185 ff.

[2]

St. Rspr. des EuGH, vgl. bereits EuGH, Urt. v. 5.2.1963, C-26/62, ECLI:EU:C:1963:1 – Van Gend & Loos; Urt. v. 15.7.1964, C-6/64, ECLI:EU:C:1964:66 – Costa/ENEL; vgl. umfassend Oppermann/Classen/Nettesheim, Europarecht, 8. Aufl. 2018, § 10 Rn. 32 ff.

[3]

Gesetz zur Anpassung des Datenschutzrechts an die VO (EU) 2016/679 und zur Umsetzung der RL (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) v. 30.6.2017, BGBl. I, S. 2097; vgl. hierzu auch Kühling, NJW 2017, 1985.

[4]

EuGH, Urt. v. 26.2.2013, C-617/10, ECLI:EU:C:2013:105 – Åkerberg Fransson; Urt. v. 6.3.2014, C-206/13, ECLI:EU:C:2014:126 – Siragusa; vgl. außerdem allgemein zur Frage der parallelen Anwendbarkeit von Grundgesetz und Grundrechtecharta Ludwigs/Sikora, JuS 2017, 385 (390 f.).

[5]

Vgl. auch Kühling/Sackmann, JURA 2018, 364; Ludwigs/Sikora, JuS 2017, 385 (391); zu Besonderheiten der sog. Identitäts- und Ultra-Vires-Kontrolle vgl. BVerfG, Urt. v. 30.6.2009, 2 BvE 2/08 u.a. = BVerfGE 123, 267 – Lissabon.

[6]

Hierzu und zum Folgenden bereits Kühling/Raab, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 3. Aufl. 2020, Einführung Rn. 35b; vgl. hierzu auch Toros/Weiß, ZJS 2020, 100.

2. Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG)

a) Volkszählungsurteil als Ursprung des Rechts auf informationelle Selbstbestimmung

67

Das BVerfG hat 1983 in seinem wegweisenden Volkszählungsurteil, in dem das Gericht die Verfassungsmäßigkeit des damaligen Volkszählungsgesetzes zu beurteilen hatte, aus dem Allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) das Recht auf informationelle Selbstbestimmung abgeleitet.[1] Darunter ist die Befugnis des Einzelnen zu verstehen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.[2] Das Gericht hat also das Allgemeine Persönlichkeitsrecht in einem Spezialbereich konkretisiert und damit ein allgemeiner gefasstes Grundrecht im Lichte des gewandelten Realbereichs interpretiert. Aufgrund der Beeinflussung des Allgemeinen Persönlichkeitsrechts durch Art. 1 Abs. 1 GG besteht auch für das Recht auf informationelle Selbstbestimmung ein entsprechender Menschenwürdebezug. Der Schutzbereich erstreckt sich auf jede Form der Erhebung personenbezogener Informationen.[3] Gerade vor dem Hintergrund der modernen Datenverarbeitungsmöglichkeiten setzt das Recht auf informationelle Selbstbestimmung den Schutz des Einzelnen gegen eine unbegrenzte Verarbeitung seiner persönlichen Daten voraus. Die im Bereich der elektronischen Kommunikation häufig fehlende Transparenz und die Nichterkennbarkeit der vielfältigen Datenverarbeitungsvorgänge kann sich auf das Kommunikationsverhalten der Nutzer negativ auswirken. Daher hat der Schutzbereich des Rechts auf informationelle Selbstbestimmung auch das Ziel, Einschüchterungseffekte zu verhindern, die dann entstehen können, wenn für den Einzelnen nicht mehr erkennbar ist, wer was wann und bei welcher Gelegenheit über ihn weiß.[4] Die Vermeidung abschreckender Effekte durch fremdes Geheimwissen stellt eine elementare Funktionsbedingung eines auf Handlungs- und Mitwirkungsfähigkeit seiner Bürger gegründeten freiheitlich-demokratischen Gemeinwesens dar.[5] Dabei fasst das BVerfG den Schutzbereich des Rechts auf informationelle Selbstbestimmung weit, wenn es feststellt, dass es vor dem Hintergrund der Verarbeitungs- und Verknüpfungsmöglichkeiten der Informationstechnologie unter den Bedingungen der automatischen Datenverarbeitung kein an sich „belangloses“ Datum mehr geben kann.[6] Jegliches Datum fällt demnach in den Schutzbereich des Rechts auf informationelle Selbstbestimmung. Wichtig ist es gleichwohl zu betonen, dass es um eine Selbstbestimmung geht, die sich auch darin äußern kann, Daten in großem Umfang – etwa in sozialen Netzwerken – preiszugeben. Insofern ist die verfassungsrechtliche Konzeption begrifflich nicht paternalistisch angelegt. Sofern etwa eine Einwilligung auf Basis von Transparenz und Freiwilligkeit erfolgt, kann sie daher problemlos Datenverarbeitungsprozesse legitimieren und sie ist gerade Ausdruck des Konzepts der informationellen Selbstbestimmung. Insoweit ist die neuerdings wieder proklamierte Bedeutung einer „Datensouveränität“ letztlich „alter Wein in neuen Schläuchen“, da dies schon immer der Konzeption einer informationellen Selbstbestimmung entsprach.[7]

68

Das BVerfG hat demnach visionär noch im „Lochkarten-Zeitalter“ und anhand eines in Bezug auf die Eingriffsintensität vergleichsweise harmlosen Falls auf eine sich abzeichnende Entwicklung reagiert, die erst in jüngerer Zeit durch die rasant gestiegenen Möglichkeiten der Verknüpfung verteilter Datenbestände massiv an Bedeutung gewonnen hat.

69

Das so entwickelte Grundrecht enthält zunächst eine materiell-rechtliche Dimension. Dazu gehört auch eine strenge Zweckbindung, die einen Gesetzeswortlaut verlangt, der die Zweckfestlegung im Gesetz selbst klarwerden lässt,[8] insbesondere sofern es um die Datenverarbeitung durch öffentliche Entitäten geht.[9] Eine Datensammlung auf Vorrat ohne zuvor festgelegten Zweck ist mithin verboten.[10] Allein ein strenges Zweckbestimmungsgebot und ein anspruchsvoller Gesetzesvorbehalt reichen indes nicht aus, um die realen Gefährdungen hinreichend einzudämmen. Daher tritt ergänzend eine Grundrechtssicherung durch Verfahren und Organisation hinzu, die sich insbesondere in Form von Informationspflichten und institutionellen Einrichtungen wie der eines Datenschutzbeauftragten entfaltet. Eine derartige Flankierung ist auch vor dem Hintergrund der typischen Grundrechtseingriffe erforderlich, die häufig eher aus kleinen Nadelstichen denn aus eingriffsintensiven Maßnahmen bestehen. Die Konkretisierung jener begleitenden Organisationsaufgaben ist sodann Aufgabe des Gesetzgebers.

70

Zugleich hat das BVerfG betont, dass ein derartiges Verfügungsrecht nicht schrankenlos gewährleistet sein kann. Trotz des Menschenwürdebezuges erlaubt die Gemeinwohleinbindung des Rechts auf informationelle Selbstbestimmung eine Öffnung gegenüber Beschränkungen, die durch überwiegende Allgemeininteressen gerechtfertigt sind. Diese bedürfen aber einer gesetzlichen Grundlage, die insbesondere dem Grundsatz der Verhältnismäßigkeit und dem Gebot der Normenklarheit entsprechen muss.[11] In der Folge ist ein entsprechendes Grundrecht auf Schutz personenbezogener Daten in zehn der 16 Landesverfassungen der Bundesländer verankert.

Anmerkungen

[1]

Skeptisch gegenüber der Verselbstständigung als eigenes Grundrecht Simitis, NJW 1984, 398 (399).

[2]

BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 (43) – Volkszählung.

[3]

BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 (43) – Volkszählung; Urt. v. 17.7.1984, 2 BvE 11/8367 = BVerfGE 67, 100 (143) – Flick-Untersuchungsausschuß.

[4]

BVerfG, Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 (184) – Kommunikationsverbindungsdaten.

[5]

Vgl. BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 (43) – Volkszählung.

[6]

BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 (43) = NJW 1984, 419 (423) – Volkszählung.

[7]

Siehe dazu Deutscher Ethikrat, Big Data und Gesundheit – Datensouveränität als informationelle Freiheitsgestaltung, 2018; Kühling, DuD 2020, 182 (185 ff.).

[8]

BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 (46) – Volkszählung; siehe auch Urt. v. 27.6.1991, 2 BvR 1493/89 = BVerfGE 84, 239 (280) – Kapitalertragssteuer; Beschl. v. 7.3.1995, 1 BvR 1564/93 = BVerfGE 92, 191 (197) – Personalienangabe.

[9]

Zur Bedeutung der Unterscheidung zwischen einer Datenverarbeitung durch private und öffentliche Stellen vgl. auch Kingreen/Kühling, JZ 2015, 213.

[10]

BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 = NJW 1984, 419 (422) – Volkszählung.

[11]

BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 (43 f.) – Volkszählung; Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 (532) – Rasterfahndung II.

b) Weiterer dogmatischer Ausbau

71

Seit dem Volkszählungsurteil hat sich das BVerfG in zahlreichen weiteren Entscheidungen mit dem Recht auf informationelle Selbstbestimmung befasst und das Grundrecht dabei konkretisiert und fortentwickelt.

aa) Schutzbereich

72

Die Weite des Schutzbereichs prägt auch die Folgerechtsprechung des BVerfG. Entsprechende Ausführungen hat das Gericht in der Entscheidung zum Abruf der Daten der Kontenevidenzzentrale[1] gemacht, in der es § 93 Abs. 8 AO wegen Verstoßes gegen das Gebot der Normenklarheit für verfassungswidrig erklärte.[2] Diese Bestimmung zielte darauf ab, verschiedenen Behörden Zugriff auf Informationen zum Bestehen von inländischen Konten und Depots zu verschaffen. Das BVerfG stellte fest, dass der grundrechtliche Schutz von Verhaltensfreiheit und Privatheit durch das Recht auf informationelle Selbstbestimmung schon auf der Stufe der Persönlichkeitsgefährdung beginnt.[3] Diese Gefährdungslage könne bereits im Vorfeld konkreter Bedrohungen benennbarer Rechtsgüter entstehen.[4]

73

Eine weitere Klarstellung nahm das BVerfG in der Entscheidung zur automatisierten Erfassung von Kraftfahrzeugkennzeichen im Jahr 2008 vor. Das Gericht hatte über die Verfassungsmäßigkeit von polizeirechtlichen Vorschriften in Hessen und Schleswig-Holstein zu befinden, die zur automatisierten Erfassung der amtlichen Kennzeichen von Kraftfahrzeugen ermächtigen. Dabei werden die Fahrzeuge zunächst von einer Videokamera aufgezeichnet, wobei mittels Software aus dem Bild das Kennzeichen ausgelesen und schließlich automatisch mit polizeilichen Fahndungsdateien abgeglichen wird. Das Gericht stellte hier fest, dass der grundrechtliche Schutz nicht bereits aufgrund der öffentlichen Zugänglichkeit der betroffenen Informationen entfällt. Auch wenn die betroffene Person sich in die Öffentlichkeit begebe, erstrecke sich der Schutz des Rechts auf informationelle Selbstbestimmung auch auf ihr Interesse, dass die damit verbundenen personenbezogenen Informationen nicht im Zuge automatisierter Informationserhebung zur Speicherung mit der Möglichkeit der Weiterverwertung erfasst werden.[5] Dabei hatte das BVerfG zunächst einen Eingriff in das Recht auf informationelle Selbstbestimmung zunächst von zusätzlichen Voraussetzungen abhängig gemacht und einen solchen für den Fall eines „Nichttreffers“ im Regelfall verneint.[6] Inzwischen hat das BVerfG die Grundrechtssensibilität durch die automatische Kennzeichenerfassung in einer weiteren Entscheidung noch stärker betont und diese Linie ausdrücklich aufgegeben.[7]

Anmerkungen

[1]

BVerfG, Beschl. v. 13.6.2007, 1 BvR 1550/03 u.a. = BVerfGE 118, 168 = DStRE 2007, 1196 – Kontostammdaten.

[2]

Vgl. dazu bereits Kühling, ZRP 2005, 196.

[3]

BVerfG, Beschl. v. 13.6.2007, 1 BvR 1550/03 u.a. = BVerfGE 118, 168 = DStRE 2007, 1196 (1200) – Kontostammdaten.

[4]

BVerfG, Beschl. v. 13.6.2007, 1 BvR 1550/03 u.a. = BVerfGE 118, 168 = DStRE 2007, 1196 (1200 f.) – Kontostammdaten.

[5]

BVerfG, Urt. v. 11.3.2008, 1 BvR 2074/05 = BVerfGE 120, 378 = EuGRZ 2008, 186 (Juris-Rn. 67) – Automatisierte Kennzeichenerfassung.

[6]

BVerfG, Urt. v. 11.3.2008, 1 BvR 2074/05 = BVerfGE 120, 378, Rn. 68 – Automatisierte Kennzeichenerfassung.

[7]

BVerfG, Beschl. v. 18.12.2018, 1 BvR 142/15 = BVerfGE 150, 244, Leitsatz 1 – Kfz-Kennzeichenkontrolle II.

bb) Drittwirkung/Schutzpflichten

74

Im Wege der Schutzpflichtenkonstruktion bzw. im Rahmen der mittelbaren Drittwirkung ist das Recht auf informationelle Selbstbestimmung ferner auf den privaten Bereich mit vergleichbaren Gefährdungslagen zu erstrecken. Das heißt aus dem Recht auf informationelle Selbstbestimmung leitet sich auch ab, dass der Staat Private im horizontalen Verhältnis gegenüber Datenschutzgefährdungen durch andere Private in ihrer informationellen Selbstbestimmung schützen muss.[1] Das BVerfG hat in diesem Zusammenhang auf das Allgemeine Persönlichkeitsrecht bezogen ausgeführt, dass dieses als Norm des objektiven Rechts seinen Rechtsgehalt auch im Privatrecht entfaltet und deshalb die Judikative im Rahmen einer privatrechtlichen Streitigkeit den Schutzgehalt des Allgemeinen Persönlichkeitsrechts zu beachten hat, wenn sie nicht das Grundrecht des Bürgers in seiner Funktion als Schutznorm verletzen will.[2] In seiner späteren Rechtsprechung hat das Gericht dies erneut bestätigt und nochmals betont, dass es die „Aufgabe des Rechts“ sei, insbesondere dann, wenn „in einem Vertragsverhältnis ein Partner ein solches Gewicht hat, dass er den Vertragsinhalt faktisch einseitig bestimmen kann […] auf die Wahrung der Grundrechtspositionen beider Vertragspartner hinzuwirken, um zu verhindern, dass sich für einen Vertragsteil die Selbstbestimmung in eine Fremdbestimmung verkehrt.“[3] Insgesamt ist jedoch zu betonen, dass sich der Großteil der Rspr. des BVerfG auf die Datenverarbeitung durch öffentliche Stellen – und insbesondere den Sicherheitsbereich bezieht.[4]

75

Besondere Brisanz kommt der Drittwirkungsproblematik in multipolaren Grundrechtskonflikten zu. Dies wird exemplarisch deutlich im Rahmen der in der Praxis äußerst relevanten Vaterschaftsfragen. So hatte das BVerfG bereits im Jahr 2007 einen Fall zu entscheiden, in dem ein Scheinvater dagegen vorgehen wollte, dass ein heimlich erstelltes privates Abstammungsgutachten, mit dem er seine biologische Vaterschaft ausschließen konnte, vor Gericht nicht anerkannt worden war.[5] Ein einwilligungsunabhängiges Verfahren zur Vaterschaftsfeststellung war damals nicht vorgesehen. Dies war nur inzident im Rahmen der Vaterschaftsanfechtung möglich. Das BVerfG stellte hier fest, dass das konfligierende Recht des Kindes auf Nichtwissen wie auch das Allgemeine Persönlichkeitsrecht der Mutter angesichts der großen Bedeutung der entsprechenden Kenntnis des „Vaters“ zwar grundsätzlich zurückzutreten habe, weil sich aus den korrespondierenden Vaterpflichten eine besondere Schutzwürdigkeit ergebe. Im konkreten Fall überwiege das Recht des Vaters aber dennoch nicht, da die betreffende Feststellung (vor dem Hintergrund der damaligen Verfahrenslage) zwingend auf eine Statusänderung gerichtet sei und überdies aufgrund des heimlichen Charakters ein erheblicher Eingriff in das Allgemeine Persönlichkeitsrecht des Kindes sowie der Mutter vorliege. Gleichzeitig wies das Gericht aber auf die staatliche Schutzpflicht für das Allgemeine Persönlichkeitsrecht des Vaters hin, die es infolge des Mangels an einem geeigneten Verfahren zur Abstammungsklärung verletzt sah. Der Gesetzgeber hatte demgemäß einen angemessenen Verfahrensweg zu eröffnen, der insbesondere nicht zwingend mit einem Anfechtungsverfahren verbunden werden durfte.[6]

76

Ebenfalls in einer Vaterschaftskonstellation entschied das BVerfG in jüngerer Zeit, dass die richterrechtliche Verpflichtung einer Frau, über die Person des mutmaßlichen leiblichen Vaters Auskunft zu erteilen, diese in ihrem Allgemeinen Persönlichkeitsrecht verletzte.[7] In der Preisgabe einer geschlechtlichen Beziehung zu einem bestimmten Mann liege die Offenbarung intimster Vorgänge ihres Privatlebens. Die bereits erfolgte Offenbarung des Mehrverkehrs in der Empfängniszeit aufgrund einer vorangegangenen erfolgreichen Vaterschaftsanfechtung verbrauche nicht das spezifisch geschützte Recht der Beschwerdeführerin, geschlechtliche Beziehungen zu einem bestimmten Partner nicht offenbaren zu müssen.[8] Mangels hinreichend deutlicher Grundlage im geschriebenen Recht habe die entsprechende gerichtliche Verpflichtung die Grenzen richterlicher Rechtsfortbildung überschritten.[9] Diese seien bei einer Verschlechterung der rechtlichen Situation des Einzelnen dergestalt enger gesteckt, als die Rechtsfindung sich umso stärker auf die Umsetzung bereits bestehender Vorgaben des einfachen Gesetzesrechts beschränken müsse, je schwerer die beeinträchtigte Rechtsposition auch verfassungsrechtlich wiegt.[10] Der schwerwiegenden Grundrechtsbeeinträchtigung der Frau, die mittelbar auch das Allgemeine Persönlichkeitsrecht und das Familienleben eines zu benennenden Mannes tangiere, stehe hier allein das Interesse des Scheinvaters an einer Stärkung der Durchsetzungsfähigkeit seines einfachgesetzlichen Regressanspruchs gegenüber.[11] Der Privatrechtsgesetzgeber war hierbei nach Auffassung des Gerichts angesichts des ihm zuzugestehenden Ausgestaltungsspielraums nicht verfassungsrechtlich gezwungen, einen durchsetzungsstärkeren Regressanspruch zu schaffen.[12]

Anmerkungen

[1]

Vgl. BVerfG, Beschl. v. 23.10.2006, 1 BvR 2027/02 = BVerfGK 9, 353 = WM 2006, 2270 (Juris-Rn. 30); Beschl. v. 11.6.1991, 1 BvR 239/90 = BVerfGE 84, 192 (194 f.) – Offenbarung der Entmündigung.

[2]

BVerfG, Beschl. v. 23.10.2006, 1 BvR 2027/02 = BVerfGK 9, 353 = WM 2006, 2270 (Juris-Rn. 30); Beschl. v. 11.6.1991, 1 BvR 239/90 = BVerfGE 84, 192 (194 f.) – Offenbarung der Entmündigung.

[3]

BVerfG, Beschl. v. 23.10.2006, 1 BvR 2027/02 = BVerfGK 9, 353 (Juris-Rn. 31).

[4]

Siehe dazu die umfassende Auswertung der Rechtsprechung bei Kühling, Die Verwaltung 2011, 525.

[5]

BVerfG, Urt. v. 13.2.2007, 1 BvR 421/05 = BVerfGE 117, 202 – Vaterschaftsfeststellung.

[6]

Der Gesetzgeber reagierte mit dem Gesetz zur Klärung der Vaterschaft unabhängig vom Anfechtungsverfahren, in Kraft getreten am 1.4.2008 (BGBl I 2008, 441), das insbesondere die zentrale Neuregelung in § 1598a BGB mit einem Anspruch auf (vorherige!) Einwilligung in eine genetische Untersuchung zur Klärung der leiblichen Abstammung enthielt. Das entsprechende Verfahren tritt dabei als grundsätzlich außergerichtliches Verfahren neben das gerichtliche Vaterschaftsanfechtungsverfahren.

[7]

BVerfG, Beschl. v. 24.2.2015, 1 BvR 472/14 = BVerfGE 138, 377 – Mutmaßlicher Vater.

[8]

BVerfG, Beschl. v. 24.2.2015, 1 BvR 472/14 = BVerfGE 138, 377, Rn. 33 – Mutmaßlicher Vater.

[9]

BVerfG, Beschl. v. 24.2.2015, 1 BvR 472/14 = BVerfGE 138, 377, Rn. 35 – Mutmaßlicher Vater.

[10]

BVerfG, Beschl. v. 24.2.2015, 1 BvR 472/14 = BVerfGE 138, 377, Rn. 41 – Mutmaßlicher Vater.

[11]

BVerfG, Beschl. v. 24.2.2015, 1 BvR 472/14 = BVerfGE 138, 377, Rn. 45 f. – Mutmaßlicher Vater.

[12]

BVerfG, Beschl. v. 24.2.2015, 1 BvR 472/14 = BVerfGE 138, 377, Rn. 46 – Mutmaßlicher Vater.

cc) Abwägungstopoi

77

Im Übrigen haben sich im Laufe der Zeit bestimmte Abwägungstopoi herauskristallisiert, die das BVerfG immer wieder heranzieht. So ist für die Eingriffsintensität maßgeblich, ob die betroffene Person für die Maßnahme einen Anlass gibt und wie dieser beschaffen ist.[1] Desweiteren spielt die Verdachtslosigkeit und Streubreite des Eingriffs eine Rolle. Es kommt also darauf an, ob zahlreiche Personen in den Wirkungsbereich einer Maßnahme einbezogen werden, die in keiner Beziehung zu einem konkreten Fehlverhalten stehen.[2] Ferner sind die Heimlichkeit des Eingriffs[3] und die Intensität der von der Maßnahme ausgehenden Einschüchterungseffekte zu berücksichtigen.[4] Auf der anderen Seite kommen die Bedeutung der zu schützenden Güter und das Ausmaß ihrer Gefährdung zum Tragen. In seinem neueren Beschluss Antiterrordateigesetz II äußerte sich das BVerfG auch zum Eingriffsgewicht durch die „erweiterte Nutzung“ von personenbezogenen Daten (sog. Data-mining) im Zuge einer Verbunddatei der Polizeibehörden und der Nachrichtendienste.[5] Die gemeinsame Nutzung durch diese Stellen führe zu einem erhöhten Eingriffsgewicht, weshalb Data-mining nur für den Schutz besonders gewichtiger Rechtsgüter in Betracht kommen kann und die Rechtsgrundlage hierfür normenklar und hinreichend präzise sein muss.[6] Diese erhöhten Anforderungen sind auf das informationelle Trennungsprinzip zurückzuführen.[7] Danach dürfen Daten grundsätzlich nicht zwischen Nachrichtendiensten und Polizeibehörden ausgetauscht werden. Eine Ausnahme hiervon ist nur zum Schutz besonders gewichtiger Rechtsgüter möglich und sofern die entsprechenden Daten nach verfassungsrechtlichen Maßstäben auch für den geänderten Zweck neu erhoben werden dürften (Grundsatz der hypothetischen Datenneuerhebung).[8] Auch in der Bestandsdatenauskunft II-Entscheidung[9] des BVerfG legt dieses fest, welche Art der Gefährdung, bzw. welcher Verdachtsgrad vorliegen, und welche Rechtsgüter für eine manuelle Auskunft von Bestandsdaten betroffen sein müssen (siehe dazu → Rn. 98, 951).

78

Diese Abwägungstopoi werden besonders deutlich am Beispiel der Entscheidung zur Rasterfahndung.[10] Im Zusammenhang mit der Verfassungsbeschwerde gegen gerichtliche Entscheidungen über die Anordnung einer präventiven polizeilichen Rasterfahndung stellte das BVerfG fest, dass der durch die Ermächtigung zur Rasterfahndung ermöglichte Grundrechtseingriff eine hohe Eingriffsintensität aufweist. Dies ergibt sich insbesondere daraus, dass dieser sowohl durch seine Verdachtslosigkeit als auch durch eine große Streubreite gekennzeichnet ist. Denn es werden zahlreiche Personen in den Wirkungsbereich einer Maßnahme einbezogen, die in keiner Beziehung zu einem konkreten Fehlverhalten stehen und die den Eingriff durch ihr Verhalten nicht veranlasst haben.[11] Zwar sei der betreffende Eingriff angesichts der hochrangigen Verfassungsgüter, denen er dient (Bestand und Sicherheit des Staates, Leben, Leib und Freiheit der Bevölkerung), nicht schon als solcher unverhältnismäßig. Der Gesetzgeber dürfe ihn aber erst von der Schwelle einer hinreichend konkreten Gefahr für die bedrohten Rechtsgüter an vorsehen.[12] Auch in dem bereits erwähnten Urteil zur automatisierten Erfassung von Kraftfahrzeugkennzeichen aus dem Jahr 2008 stellte das BVerfG maßgeblich auf die Kriterien der Streubreite, Anlasslosigkeit, Heimlichkeit und der Einschüchterungswirkung potentieller Maßnahmen ab.[13]

Anmerkungen

[1]

BVerfG, Beschl. v. 23.2.2007, 1 BvR 2368/06 = BVerfGK 10, 330 = NVwZ 2007, 688 (691); vgl. auch Urt. v. 14.7.1999, 1 BvR 2226/94 u.a. = BVerfGE 100, 313 (376) – Telekommunikationsüberwachung I; Urt. v. 12.3.2003, 1 BvR 330/96 u. 1 BvR 348/99 = BVerfGE 107, 299 (318 ff.); Urt. v. 3.3.2004, 1 BvR 2378/98 u. 1 BvR 1084/99 = BVerfGE 109, 279 (353) – Großer Lauschangriff; Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 (Juris-Rn. 94, 117) – Rasterfahndung.

[2]

BVerfG, Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 (Juris-Rn. 117) – Rasterfahndung; vgl. auch Urt. v. 12.3.2003, 1 BvR 330/96 u. 1 BvR 348/99 = BVerfGE 107, 299 (328).

[3]

BVerfG, Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 (Juris-Rn. 113) – Rasterfahndung; vgl. auch Urt. v. 12.3.2003, 1 BvR 330/96 u. 1 BvR 348/99 = BVerfGE 107, 299 (321); Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 = NJW 2006, 976 (981) – Kommunikationsverbindungsdaten.

[4]

BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a. = BVerfGE 65, 1 (42) – Volkszählung; Beschl. v. 12.4.2005, 2 BvR 1027/02 = BVerfGE 113, 29 (46); Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 (Juris-Rn. 117) – Rasterfahndung.

[5]

BVerfG, Beschl. v. 10.11.2020, 1 BvR 3214/15 = BeckRS 2020, 34607 – Antiterrordateigesetz II.

[6]

BVerfG, Beschl. v. 10.11.2020, 1 BvR 3214/15 = BeckRS 2020, 34607, Ls. 2 und 3 – Antiterrordateigesetz II.

[7]

Hierzu bereits BVerfG, Urt. v. 24.4.2013, 1 BvR 1215/07 = BVerfGE 133, 277, Ls. 2 – Antiterrordateigesetz I.

[8]

BVerfG, Beschl. v. 10.11.2020, 1 BvR 3214/15 = BeckRS 2020, 34607, Ls. 1 und Rn. 99 – Antiterrordateigesetz II; hierzu auch schon BVerfG, Urt. v. 24.4.2013, 1 BvR 1215/07 = BVerfGE 133, 277 (373 ff.), Rn. 225 ff. – Antiterrordateigesetz I.

[9]

BVerfG, Beschl. v. 27.5.2020, 1 BvR 1873/13 u.a. – Bestandsdatenauskunft II.

[10]

BVerfG, Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 – Rasterfahndung.

[11]

BVerfG, Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 (535) – Rasterfahndung.

[12]

BVerfG, Beschl. v. 4.4.2006, 1 BvR 518/02 = BVerfGE 115, 320 = MMR 2006, 531 (535) – Rasterfahndung.

[13]

BVerfG, Urt. v. 11.3.2008, 1 BvR 2074/05 = BVerfGE 120, 378 = EuGRZ 2008, 186 (Juris-Rn. 78 f.) – Automatisierte Kennzeichenerfassung.

dd) Bestimmtheit und Normenklarheit

79

Schließlich kommt dem Gebot der Bestimmtheit und Normenklarheit nach der Rechtsprechung des BVerfG eine entscheidende Rolle zu. Im Urteil zur Videoüberwachung öffentlicher Plätze, in dessen Rahmen die fehlende Bestimmtheit der entsprechenden (allgemeinen) Ermächtigungsgrundlage im BayDSG als Legitimation für die beabsichtigte Videoüberwachung festgestellt wurde, hob das Gericht erneut hervor, dass Anlass, Zweck und Grenzen eines Eingriffs in der Ermächtigung bereichsspezifisch, präzise und normenklar festgelegt werden müssen.[1] Diese Anforderungen hat das BVerfG später in der Entscheidung zum Abruf der Daten der Kontenevidenzzentrale bestätigt (vgl. oben → Rn. 72).[2] Mindestvoraussetzung sei die Angabe im Gesetz, welche staatliche Stelle zur Erfüllung welcher Aufgaben zu der geregelten Informationserhebung berechtigt sein soll.[3] Dies ließ sich aus den gesetzlichen Bestimmungen aber nicht erkennen. Auch in der ersten Entscheidung zur automatisierten Erfassung von Kraftfahrzeugkennzeichen[4] aus dem Jahr 2008 stellte das Gericht fest, dass der Verwendungszweck bei den angegriffenen Normen nicht hinreichend bestimmt sei und sich dies auch nicht durch eine einengende verfassungskonforme Interpretation heilen ließe.[5] Mit dem Fehlen der Zweckbestimmung der automatisierten Kennzeichenerfassung gehe eine grundrechtswidrige Unbestimmtheit auch hinsichtlich der erhebbaren Informationen einher.[6] In der Bestandsdatenauskunft II-Entscheidung[7] des BVerfG legte dieses fest, dass bei Übermittlungs- und Abrufregeln die Verwendungszwecke selbst normenklar begrenzt sein müssen (siehe dazu auch → Rn. 98, 951).

80

Aus diesen Anforderungen ergibt sich ein entsprechender Druck auf den Gesetzgeber. Konsequenz ist die Schaffung einer Vielzahl bereichsspezifischer Regelungen und damit ein Verrechtlichungsschub, der durchaus auch kritisch zu sehen ist, da er die Komplexität des Datenschutzrechts deutlich steigert.[8] Die daraus resultierende hohe Regelungsdichte führt indessen zu einer gewissen Unübersichtlichkeit für die betroffene Person, womit ein Spannungsverhältnis zum ebenfalls bedeutsamen Transparenzgebot entsteht.

Anmerkungen

[1]

BVerfG, Beschl. v. 23.2.2007, 1 BvR 2368/06 = BVerfGK 10, 330 = NVwZ 2007, 688 (690); vgl. auch schon Beschl. v. 3.3.2004, 1 BvF 3/92 = BVerfGE 110, 33 (52) – Zollkriminalamt; Urt. v. 27.7.2005, 1 BvR 668/04 = BVerfGE 113, 348 (375) – Vorbeugende Telekommunikationsüberwachung.

[2]

BVerfG, Beschl. v. 13.6.2007, 1 BvR 1550/03 u.a. = BVerfGE 118, 168 = DStRE 2007, 1196 (1201) – Kontostammdaten.

[3]

BVerfG, Beschl. v. 13.6.2007, 1 BvR 1550/03 u.a. = BVerfGE 118, 168 = DStRE 2007, 1196 (1201) – Kontostammdaten.

[4]

BVerfG, Urt. v. 11.3.2008, 1 BvR 2074/05 = BVerfGE 120, 378 = EuGRZ 2008, 186 – Automatisierte Kennzeichenerfassung.

[5]

BVerfG, Urt. v. 11.3.2008, 1 BvR 2074/05 = BVerfGE 120, 378 = EuGRZ 2008, 186 (Juris-Rn. 153) – Automatisierte Kennzeichenerfassung.

[6]

BVerfG, Urt. v. 11.3.2008, 1 BvR 2074/05 = BVerfGE 120, 378 = EuGRZ 2008, 186 (Juris-Rn. 157) – Automatisierte Kennzeichenerfassung.

[7]

BVerfG, Beschl. v. 27.5.2020, 1 BvR 1873/13 u.a. – Bestandsdatenauskunft II.

[8]

Kingreen/Kühling, JZ 2015, 213.

c) „Recht auf Vergessen(werden)“

81

Neben der bedeutsamen Neuorientierung im Mehrebenensystem (dazu → Rn. 66) gab das BVerfG in der Entscheidung Recht auf Vergessen I dem aus dem Unionsrecht bekannten „Recht auf Vergessenwerden“ (vgl. Art. 17 DS-GVO) auch auf verfassungsrechtlicher Ebene Konturen. Das Recht auf Vergessen(werden) wurde ursprünglich vom EuGH in der Google Spain-Entscheidung[1] begründet und später in Art. 17 DS-GVO (dazu → Rn. 651 ff.) niedergeschrieben. Im Google Spain-Urteil war dieser Anspruch noch auf die Löschung der Verlinkung beim Suchmaschinenbetreiber begrenzt.[2] Dem Löschbegehren der betroffenen Person standen dabei die wirtschaftlichen Interessen des Suchmaschinenbetreibers und die Informationsinteressen der Öffentlichkeit entgegen.[3] In seiner heutigen Form stellt das Recht auf Vergessen im Kern einen Löschanspruch von personenbezogenen Daten der betroffenen Person gegen alle Verantwortlichen dar.[4] Das BVerfG versteht darunter einen Schutzanspruch, sich nicht unbegrenzt frühere Positionen, Äußerungen und Handlungen vor der Öffentlichkeit vorhalten lassen zu müssen.[5] Mit fortschreitender Zeit nimmt dabei die Gewichtung zugunsten des Löschanspruches zu.[6] Daraus folgt allerdings kein allein von der betroffenen Person beherrschbares Recht.[7] Vielmehr ist das allgemeine Persönlichkeitsrecht der betroffenen Person stets in Abwägung mit den kollidierenden Verfassungsinteressen anderer zu stellen. Bemerkenswert ist ferner, dass das BVerfG dieses „Recht auf Vergessen“ nicht aus dem „Recht auf informationelle Selbstbestimmung“ folgert, sondern auf das allgemeine Persönlichkeitsrecht nach Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abstellt. Zwar setzt sich das BVerfG ausführlich mit dem Recht auf informationelle Selbstbestimmung auseinander.[8] Gleichwohl sei dieses aber nicht einschlägig, da es vorliegend nicht um eine Pflicht zur Preisgabe von Daten oder um eine intransparente Nutzung von Daten, sondern um den Schutz vor der Verarbeitung personenbezogener Berichte und Informationen als Ergebnis eines Kommunikationsprozesses gehe.[9]

82

Die ausführliche Betrachtung des Rechts auf informationelle Selbstbestimmung wirft die Frage auf, wie das Recht auf Vergessen in das System des allgemeinen Persönlichkeitsrechts und seiner besonderen Auskopplungen wie dem Recht auf informationelle Selbstbestimmung einzuordnen ist. Die Entscheidung des BVerfG lässt insoweit nur den sicheren Schluss zu, dass das Recht auf Vergessen dem allgemeinen Persönlichkeitsrecht zuzuordnen ist und im zu entscheidenden Fall das Recht auf informationelle Selbstbestimmung nicht einschlägig war. Ob das Recht auf Vergessen nun eine eigene Auskopplung des allgemeinen Persönlichkeitsrechts, ein Teil von diesem oder zwischen dem allgemeinen Persönlichkeitsrecht und dem Recht auf informationelle Selbstbestimmung steht, wird nicht abschließend geklärt. Wünschenswert wäre es aber, wenn das Verfassungsgericht mit dem Recht auf Vergessen auf eine weitere Auskopplung und Neuschöpfung verzichtet und weiterhin nur auf das allgemeine Persönlichkeitsrecht abstellt, da ein Mehrwert ohnehin nicht trennscharf zu unterscheidender Untergliederungen nicht erkennbar ist.

Anmerkungen

[1]

EuGH, Urt. v. 13.5.2014, C-131/12, ECLI:EU:C:2014:317 – Google Spain; kritisch Kühling, EuZW 2014, 527 (529 f.).

[2]

Stollhoff, in: Auernhammer (Hrsg.), DS-GVO/BDSG, 7. Aufl. 2020, Art. 17 DS-GVO Rn. 2.

[3]

Kühling, EuZW 2014, 527 (529).

[4]

Stollhoff, in: Auernhammer (Hrsg.), DS-GVO/BDSG, 7. Aufl. 2020, Art. 17 DS-GVO Rn. 3; Toros/Weiß, ZJS 2020, 100 (103).

[5]

BVerfG, Beschl. v. 6.11.2019, 1 BvR 16/13 = BVerfGE 152, 152 Leitsatz 2 b) – Recht auf Vergessen I.

[6]

Angedeutet in EuGH, Urt. v. 13.5.2014, C-131/12, ECLI:EU:C:2014:317, Rn. 96 – Google Spain; deutlich hingegen BVerfG, Beschl. v. 6.11.2019, 1 BvR 16/13 = BVerfGE 152, 152 (194) Rn. 97 ff. – Recht auf Vergessen I; Klass, ZUM 2020, 265 (270).

[7]

BVerfG, Beschl. v. 6.11.2019, 1 BvR 16/13 = BVerfGE 152, 152 (198) Rn. 107 – Recht auf Vergessen I.

[8]

Vgl. BVerfG, Beschl. v. 6.11.2019, 1 BvR 16/13 = BVerfGE 152, 152 (192) Rn. 85-90 – Recht auf Vergessen I.

[9]

BVerfG, Beschl. v. 6.11.2019, 1 BvR 16/13 = BVerfGE 152, 152 (192) Rn. 91 f. – Recht auf Vergessen I.

d) Abgrenzung zum Recht am eigenen Bild und Recht am eigenen Wort

83

Im Rahmen von Foto- oder Videoaufnahmen kann neben dem Recht auf informationelle Selbstbestimmung auch das Recht am eigenen Bild verfassungsrechtlicher Maßstab sein. Das Recht am eigenen Bild ist wie das Recht auf informationelle Selbstbestimmung als Ausprägung des Allgemeinen Persönlichkeitsrechts anerkannt und normiert ein Verfügungsrecht des Einzelnen über die bildliche Darstellung als Wesensausdruck seiner Person. Daher darf grundsätzlich jedermann selbst bestimmen, ob und inwieweit andere sein Lebensbild im Ganzen oder in Teilen öffentlich darstellen dürfen.[1] Verfassungsrechtlich geschützt ist im Gegensatz zu den einfachgesetzlichen Vorschriften der §§ 22 ff. KunstUrhG nicht nur die Verbreitung und öffentliche Zurschaustellung, sondern auch die Anfertigung von Bildnissen.[2] Ein aus dem Allgemeinen Persönlichkeitsrecht hervorgehobener Schutz ist deshalb erforderlich, weil das Erscheinungsbild eines Menschen durch wissenschaftlich-technische Verfahren vereinfacht von diesem ablösbar, datenmäßig fixierbar und für einen unüberschaubaren Personenkreis reproduzierbar ist. Durch diesen Kontextwechsel kann der Sinngehalt der Bilder verändert werden[3] und der Einzelne muss sich unter Umständen verstärkt auf eine andere Öffentlichkeit einstellen.[4]

84

In Abgrenzung zum Recht auf informationelle Selbstbestimmung ist nach einer gegenständlich-funktionalen Anknüpfung immer dann das Recht am eigenen Bild anwendbar, sobald es sich um die Einordnung eines Bildnisses von einer Person handelt. Dabei ist die besondere Stoßrichtung des Schutzgehalts des Rechts am eigenen Bild im Vergleich zum Recht auf informationelle Selbstbestimmung insofern zu berücksichtigen, als dessen spezifischer Charakter darin besteht, die nach außen gerichtete visuelle Selbstdarstellung der betroffenen Person durch ihre Verfügungsgewalt hierüber zu garantieren. Das heißt, dass nur dann das Recht am eigenen Bild einschlägig ist, wenn die Visualisierung einer Person nicht nur beiläufig erfolgt, sondern gezielt auf die Herstellung eines Abbildes einer Person gerichtet ist und der Aussagegehalt der Aufnahme für einen objektiven Betrachter zentral von der auf der Aufnahme erkennbaren Person geprägt wird.

85

Das Recht am eigenen Wort ist ebenfalls eine Ausprägung des Allgemeinen Persönlichkeitsrechts. In Abgrenzung zum Recht auf informationelle Selbstbestimmung gibt es dem Einzelnen das Recht, selbst zu bestimmen, welchen Personen seine Äußerungen zugänglich gemacht werden und dient der Sicherung des Eigenwerts der Persönlichkeit.[5] Der Schutz gilt universell und ist nicht auf bestimmte Äußerungsinhalte beschränkt.[6] Es ist gegenüber dem Recht auf informationelle Selbstbestimmung das speziellere Grundrecht.[7] In Abgrenzung zum Fernmeldegeheimnis wird nicht die Integrität der telekommunikativen Übermittlung geschützt, sondern das Recht, von weiteren Mithörern in Kenntnis gesetzt zu werden. Es greift folglich das Recht am eigenen Wort ein, wenn es bei einem Telefonat an der Gegenstelle weitere Mithörer gibt, von denen der Äußernde nichts weiß, denn die Integrität der Übermittlung wird davon nicht beeinträchtigt.[8]

Anmerkungen

[1]

Vgl. BVerfG, Beschl. v. 26.2.2008, 1 BvR 1602/07 u.a. = BVerfGE 120, 180 (198) – Caroline von Hannover; Beschl. v. 14.2.2005, 1 BvR 240/04 = GRUR 2005, 500; Urt. v. 15.12.1999, 1 BvR 653/96 = BVerfGE 101, 361 (381) – Caroline von Monaco; Urt. v. 5.6.1973, 1 BvR 536/72 = BVerfGE 35, 202 (220) – Lebach; Beschl. v. 31.1.1973, 2 BvR 454/71 = BVerfGE 34, 238 (246) – Tonband.

[2]

Vgl. BVerfG, Beschl. v. 26.2.2008, 1 BvR 1602/07 u.a. = BVerfGE 120, 180 (198) – Caroline von Hannover; Beschl. v. 19.12.2007, 1 BvR 620/07 = BVerfGE 119, 309 (323) – Gerichtsfernsehen; Urt. v. 15.12.1999, 1 BvR 653/96 = BVerfGE 101, 361 (381 f.) – Caroline von Monaco II; nach Urt. v. 17.2.1998, 1 BvF 1/91 = BVerfGE 97, 228 (268) – Kurzberichterstattung hingegen gewährte das Recht am eigenen Bild noch lediglich „die Verfügungsbefugnis darüber, ob und inwieweit das Bild einer Person verbreitet oder öffentlich zur Schau gestellt werden darf“.

[3]

Vgl. Albers, Informationelle Selbstbestimmung, 2005, S. 260 f.

[4]

Vgl. BVerfG, Urt. v. 15.12.1999, 1 BvR 653/96 u.a. = BVerfGE 101, 361 (381 f.) – Caroline von Monaco.

[5]

Sehr instruktiv BGH, Urt. v. 18.2.2003, XI ZR 165/02 m.w.N.

[6]

BVerfG, Beschl. v. 9.10.2002, 1 BvR 1611/96 = BVerfGE 106, 28 = WM 2002, 2290 (2294) – Mithörvorrichtung.

[7]

BVerfG, Beschl. v. 7. 12. 2011, 2 BvR 2500/09 u. a. = BVerfGE 130, 1 (27) – Verwertungsverbot Wohnraumüberwachung.

[8]

BVerfG, Beschl. v. 9.10.2002, 1 BvR 1611/96 u.a. = BVerfGE 106, 28 = BVerfG WM 2002, 2290 (2293) – Mithörvorrichtung.

3. Fernmeldegeheimnis (Art. 10 Abs. 1 Var. 3 GG)

a) Schutzbereich

86

Das Fernmeldegeheimnis aus Art. 10 Abs. 1 Var. 3 GG schützt die unkörperliche Übermittlung von Informationen an individuelle Empfänger mit Hilfe des Telekommunikationsverkehrs.[1] Dabei wird der Schutzbereich des Fernmeldegeheimnisses nicht allein auf den Kommunikationsvorgang und den Kommunikationsinhalt, sondern auch auf die Kommunikationsumstände erstreckt.[2] Dazu gehören insbesondere Informationen darüber, „ob, wann und wie oft zwischen welchen Personen oder Endeinrichtungen Telekommunikationsverkehr stattgefunden hat oder versucht worden ist“.[3] Anderenfalls wäre der grundrechtliche Schutz unvollständig. Unter die näheren Umstände der Kommunikation fallen daher vor allem Verkehrsdaten.[4] Denn diese haben einen selbständigen Aussagegehalt, da sie im Einzelfall beachtliche Rückschlüsse auf das Kommunikations- und Bewegungsverhalten einzelner Kommunikationsteilnehmer ermöglichen können. Häufigkeit, Dauer und Zeitpunkt von Kommunikationsverbindungen geben Hinweise auf Art und Intensität persönlicher sowie geschäftlicher Beziehungen und lassen auf den Inhalt bezogene Schlussfolgerungen zu.[5] Bestandsdaten nach § 3 Nr. 3 TKG gehören dagegen grundsätzlich nicht zu den näheren Kommunikationsumständen.[6] Denn diese beziehen sich nicht auf den Kommunikationsvorgang, sondern stellen lediglich die notwendigen Informationen zur Vertragsabwicklung zwischen dem jeweiligen Diensteanbieter und den Kunden dar. Zu den näheren Umständen der Kommunikation gehören also alle Verkehrsdaten und sonstigen Umstände, die den jeweiligen Telekommunikationsvorgang individualisierbar und nachverfolgbar machen. In territorialer Hinsicht stellte das BVerfG jüngst klar, dass das Fernmeldegeheimnis nicht nur innerstaatlich Geltung erfahre, sondern es die deutsche Staatsgewalt auch im Ausland zu binden vermag und somit von einer grundsätzlich umfassenden Grundrechtsbindung der deutschen Staatsgewalt auszugehen sei.[7] Dieses Urteil enthält weitreichende Folgen für die Arbeit der Nachrichtendienste und anderer im Ausland tätiger deutscher Staatsgewalt.[8]

Anmerkungen

[1]

Vgl. BVerfG, Beschl. v. 20.6.1984, 1 BvR 1494/78 = BVerfGE 67, 157 (172) – G10; Beschl. v. 9.10.2002, 1 BvR 1611/96 u. 1 BvR 805/98 = BVerfGE 106, 28 (35 f.) – Mithörvorrichtung.

[2]

BVerfG, Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 = MMR 2006, 217 (219) – Kommunikationsverbindungsdaten. Dem Verfahren lag die Verfassungsbeschwerde einer Richterin am Amtsgericht zu Grunde, die sich gegen die Anordnung der Durchsuchung ihrer Wohnung wegen des Verdachts der Verletzung von Dienstgeheimnissen gewendet hat. Die Durchsuchung diente dazu, Kommunikationsverbindungsdaten auf dem PC und dem Mobiltelefon der Richterin zu ermitteln, die einen Nachweis für Kontakte mit einem Reporter hätten ergeben können.

[3]

BVerfG, Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 = MMR 2006, 217 (219) – Kommunikationsverbindungsdaten; Beschl. v. 4.2.2005, 2 BvR 308/04 = BVerfGK 5, 74 = NJW 2005, 1637 (1639); Urt. v. 12.3.2003, 1 BvR 330/96 u. 1 BvR 348/99 = BVerfGE 107, 299 = NJW 2003, 1787 (1788); vgl. auch Beschl. v. 20.6.1984, 1 BvR 1494/78 = BVerfGE 67, 157 (172) – G10; Beschl. v. 25.3.1992, 1 BvR 1430/88 = BVerfGE 85, 386 (396) – Fangschaltungen.

[4]

Verkehrsdaten i.S.d. § 3 Nr. 30 TKG sind Daten, die bei der Erbringung eines Telekommunikationsdienstes erhoben, verarbeitet oder genutzt werden. Eine Auflistung der Verkehrsdaten findet sich in § 96 Abs. 1 TKG.

[5]

Vgl. dazu BVerfG, Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 = MMR 2006, 217 (219) – Kommunikationsverbindungsdaten; Urt. v. 12.3.2003, 1 BvR 330/96 u. 1 BvR 348/99 = BVerfGE 107, 299 (320).

[6]

Anders stellt sich die Sachlage dann dar, wenn Bestandsdaten zu spezifischen Verkehrsdaten übermittelt werden. Dann ist das Fernmeldegeheimnis einschlägig. Diese umstrittene Frage spielt eine Rolle bei den Auskunftsverlangen von Urheberrechtsinhabern und Strafverfolgungsbehörden gegenüber Internet-Access-Providern bei der Verfolgung von Urheberrechtsverstößen in Form von illegalen Downloads, vgl. dazu u.a. LG Stuttgart, Urt. v. 4.1.2005, 13 Qs 89/04 = MMR 2005, 624 (624). Siehe auch unter → Rn. 88 und 98.

[7]

BVerfG, Urt. v. 10.5.2020, 1 BvR 2835/17 = NJW 2020, 2235 (2243) Rn. 105; dazu auch Uerpmann-Wittzack, JURA 2020, 953; Link, Grundrechtsbindung der Bundeswehr im Ausland, 2020, S. 49 f.

[8]

Dazu Uerpmann-Wittzack, JURA 2020, 953 (956).

b) Abwägungstopoi

87

Im Rahmen des Fernmeldegeheimnisses zieht das BVerfG im Wesentlichen dieselben Abwägungstopoi wie beim Recht auf informationelle Selbstbestimmung (vgl. hierzu oben → Rn. 77 f.) heran. Ergänzend spielt jedoch entsprechend dem Verwendungskontext die Nähe der Daten zum Kernbereich privater Lebensgestaltung eine Rolle. So genießen Inhaltsdaten eines konkreten Gesprächs einen intensiveren Schutz als bloße Verkehrsdaten, die nicht zur Kenntnisnahme von Gesprächsinhalten führen.[1]

88

Besondere Aufmerksamkeit verdient ferner der Charakter des Internets als spezifisches Medium der Rechtsverletzung. Entsprechend der Wertung des BVerfG im Beschluss zu den Fangschaltungen, das zur Rechtfertigung dieses Eingriffs darauf abstellte, dass Fangschaltungen ein „besonders wirksames, oft sogar das einzige Mittel der Gegenwehr“ darstellten,[2] liegt es nahe, an die Reaktion auf einen medienspezifischen Missbrauch mit medienspezifischen Abwehrmitteln geringere Rechtfertigungsanforderungen zu stellen. Dies könnte möglicherweise Datenzugriffsrechte von Urheberrechtsinhabern gegenüber Internet-Serviceprovidern, über deren Dienste illegale Downloads erfolgen, leichter legitimieren (vgl. hierzu unten → Rn. 98).

Anmerkungen

[1]

BVerfG, Urt. v. 3.3.2004, 1 BvR 2378/98 u. 1 BvR, 1084/99 = BVerfGE 109, 279 = NJW 2004, 999 (1010) – Großer Lauschangriff.

[2]

Vgl. BVerfG, Beschl. v. 25.3.1992, 1 BvR 1430/88 = BVerfGE 85, 386 (400 f.) – Fangschaltung.

c) Insbesondere: Richtervorbehalt

89

Richtervorbehalte sollen für Fälle besonders schwerwiegender Grundrechtseingriffe fehlenden oder zu spät kommenden Rechtsschutz kompensieren.[1] Im Zusammenhang mit Grundrechtseingriffen bei Wohnungsdurchsuchungen begründet das BVerfG den verfassungsrechtlich vorgegebenen Richtervorbehalt in Art. 13 Abs. 2 GG mit dem hohen Schutzgehalt dieses Grundrechts.[2] Im Rahmen des Fernmeldegeheimnisses aus Art. 10 Abs. 1 Var. 3 GG ist die Situation indes aus verfassungsrechtlicher Sicht schon mangels expliziter grundgesetzlicher Vorgabe eines Richtervorbehalts unklarer. Das BVerfG hat zwar in einer Entscheidung den einfachgesetzlich in § 12 FAG und § 100b StPO vorgesehenen Richtervorbehalt angesichts der persönlichen und sachlichen Unabhängigkeit des Richters auch im Hinblick auf die durch den Verhältnismäßigkeitsgrundsatz gebotene Abwägung der sich bei Eingriffen in das Fernmeldegeheimnis gegenüberstehenden Rechtspositionen für angemessen erachtet.[3] Ein allgemeines Erfordernis eines Richtervorbehalts in Fällen eines Eingriffs in das Fernmeldegeheimnis hat das Gericht jedoch zu Recht nicht aufgestellt. Aus dem Wortlaut des Grundgesetzes ergeben sich auch keinerlei Anhaltspunkte in diese Richtung. Nichtsdestotrotz ist mit Blick auf die erhebliche Bedeutung der durch Art. 10 Abs. 1 GG geschützten Rechtsgüter eine derartige prozedurale Flankierung im Rahmen der Anwendung des Verhältnismäßigkeitsgrundsatzes grundsätzlich erforderlich.

90

In diesem Zusammenhang böte sich möglicherweise aber auch eine Differenzierung nach der Eingriffsintensität an. So wäre es durchaus möglich, einen Richtervorbehalt nur dann als verfassungsrechtlich zwingend vorgegeben anzusehen, wenn der Inhalt der Kommunikation selbst betroffen ist und es nicht lediglich um Verkehrsdaten geht. Letztlich spielt diese Frage bislang aber keine Rolle, da in den entsprechenden einfachgesetzlichen Eingriffsermächtigungen stets ein Richtervorbehalt normiert worden ist. Speziell bei Eingriffen in das Fernmeldegeheimnis zur Durchsetzung urheberrechtlicher Ansprüche wegen Rechtsverletzungen im Internet ist aber zu berücksichtigen, dass es sich beim Internet um das typische Medium der Rechtsverletzung handelt. Dementsprechend muss auch eine medienspezifische Reaktion möglich sein, so dass in diesem Fall aus verfassungsrechtlicher Sicht ein Richtervorbehalt möglicherweise nicht erforderlich ist und auch andere Kontrollverfahren – etwa unter Einschaltung der Bundesnetzagentur – denkbar sind.

Anmerkungen

[1]

So auch Gusy, ZRP 2003, 275.

[2]

BVerfG, Beschl. v. 28.9.2004, 2 BvR 2105/03 = NJW 2005, 275 (276).

[3]

BVerfG, Urt. v. 12.3.2003, 1 BvR 330/96 u. 1 BvR 348/99 = BVerfGE 107, 299 = NJW 2003, 1787 (1792).

d) Vorratsdatenspeicherung

91

Von großer Relevanz im Zusammenhang mit dem Fernmeldegeheimnis war das Urteil des BVerfG zur Vorratsdatenspeicherung[1], in dem das Gericht den Beschwerdeführern im Wesentlichen Recht gab, die angegriffenen Normen (§§ 113a und 113b TKG a.F. sowie § 100g Abs. 1 S. 1 StPO, soweit danach Verkehrsdaten gemäß § 113a TKG a.F. erhoben werden durften) unter Feststellung der Verletzung von Art. 10 Abs. 1 GG für nichtig erklärte und die unverzügliche Löschung der auf dieser Grundlage gespeicherten Daten anordnete.

92

Zur Frage der Prüfungskompetenz führten die Richter zunächst aus, die Wirksamkeit der damaligen Vorratsdatenspeicherungsrichtlinie (siehe dazu → Rn. 164 ff.) sei nicht entscheidungserheblich, weil ein hinreichend weiter Entscheidungsspielraum der Mitgliedstaaten bestehe, um grundsätzlich eine Umsetzung ohne Verstoß gegen deutsche Grundrechte zu erreichen.[2] Eine Vorlage an den EuGH sah das BVerfG nicht als geboten an, weil der Zugang selbst in der Richtlinie nicht näher geregelt werde und eine anlasslose Speicherung an sich nicht schlechthin unvereinbar mit der Verfassung sei. Sie könne mit der Effektivierung der Strafverfolgung, der Gefahrenabwehr und der Erfüllung der Aufgaben der Nachrichtendienste legitime Zwecke verfolgen. Eine bereits im Volkszählungsurteil strikt verbotene Vorratsspeicherung zu unbestimmten oder noch nicht bestimmten Zwecken liege nicht vor. Allerdings unterliege die Speicherung hinsichtlich Begründung und Ausgestaltung besonders strengen Anforderungen. Gegen die Annahme der Geeignetheit und Erforderlichkeit bestünden keine durchgreifenden Bedenken. Speziell das „Quick-Freeze-Verfahren“ könne nicht als ebenso wirksam angesehen werden, weil es keinen vollständigen Datenbestand für die letzten sechs Monate gewährleiste. Es bleibt abzuwarten, ob das BVerfG an diesem im Vergleich zum EuGH (siehe → Rn. 177 ff.) großzügigeren Maßstab auch künftig festhalten wird.

93

Hinsichtlich der Angemessenheit betonte das Gericht zunächst die Schwere des Eingriffs in das Fernmeldegeheimnis aufgrund seiner bisher ungekannten Streubreite, seiner Anlasslosigkeit und Heimlichkeit. Zudem komme den Daten eine weitreichende Aussagekraft zu, weil bei umfassender und automatisierter Auswertung bis in die Intimsphäre hineinreichende inhaltliche Rückschlüsse möglich seien und gegebenenfalls aussagekräftige Persönlichkeits- und Bewegungsprofile erstellt werden könnten. Im Übrigen hob das Gericht die Missbrauchsmöglichkeiten hervor, speziell aufgrund der Vielzahl privater Anbieter, die Zugriff auf die Daten haben müssen.

94

Demgegenüber sei jedoch zu beachten, dass die Erhebung nicht direkt durch den Staat vorgenommen werde und deshalb bei der Speicherung selbst noch keine Zusammenführung erfolge. Der Abruf selbst fände dann stets anlassbezogen nach rechtlich näher festgelegten Kriterien statt. Zwar liege die sechsmonatige Speicherdauer an der Obergrenze der Rechtfertigungsfähigkeit, der Bürger könne sich jedoch nach Ablauf auf die nachhaltige Löschung verlassen. Die Vorratsdatenspeicherung knüpfe außerdem an die besondere Bedeutung der Telekommunikation in der modernen Welt an und reagiere auf ein spezifisches Gefahrenpotential durch Bündelung von Wissen, Handlungsbereitschaft und krimineller Energie.

95

Ungeachtet dessen nahm das Gericht sodann auf den verfassungsrechtlichen Identitätsvorbehalt Bezug, den der Zweite Senat im „Lissabon-Urteil“[3] entwickelt hat und für dessen Wahrung sich die Bundesrepublik in europäischen und internationalen Zusammenhängen einsetzen müsse.[4] Hierzu zähle, dass die Vorratsdatenspeicherung auch im Zusammenspiel mit anderen Datensammlungen nicht zu einer totalen Erfassung und Registrierung der bürgerlichen Freiheitswahrnehmung führen dürfe. Im Ergebnis dürfen also auch nach einer „Überwachungsgesamtrechnung“ nicht praktisch alle Aktivitäten der Bürger erfassbar und rekonstruierbar sein.[5] Vor diesem Hintergrund reduziere die Vorratsdatenspeicherung zwar den Spielraum für weitere anlasslose Datensammlungen auch über den Weg der Europäischen Union. Sie führe jedoch nicht zu einer entsprechenden Totalerfassung und sei damit verfassungsrechtlich unbedenklich, sofern eine angemessene Ausgestaltung der Speicherung und Verwendung der Daten gewährleistet werde.

96

Dies erfordere die Gewährleistung einer besonders hohen Datensicherheit, enge Vorgaben für die Verwendung der Daten, hinreichende Vorgaben zur Transparenz sowie effektive Rechtsschutzmöglichkeiten und Sanktionen. Im Einzelnen bedeute dies etwa grundsätzlich eine getrennte Speicherung, eine anspruchsvolle Verschlüsselung, ein gesichertes Zugriffsregime sowie eine revisionssichere Protokollierung.[6] Der Abruf zur Strafverfolgung setze einen durch bestimmte Tatsachen begründeten Verdacht einer schweren Straftat voraus, deren Schwere in der Strafnorm einen objektivierten Ausdruck finden und die auch im Einzelfall schwer wiegen muss.[7] Hinsichtlich aller Eingriffsermächtigungen mit präventiver Zielsetzung müssen tatsächliche Anhaltspunkte einer konkreten Gefahr für Leib, Leben oder Freiheit einer Person, für den Bestand oder die Sicherheit des Bundes bzw. eines Landes oder einer gemeinen Gefahr vorliegen.[8] Die Zweckbindung müsse dabei jeweils auch im Anschluss an Abruf oder Übermittlung sichergestellt und verfahrensmäßig flankiert werden.[9]

97

Die Verwendung der Daten habe nach Möglichkeit offen zu erfolgen, es sei denn, dies würde den Untersuchungszweck vereiteln. In diesem Fall sei eine richterliche Anordnung und grundsätzlich die nachträgliche Benachrichtigung der betroffenen Person erforderlich.[10] Im Übrigen solle ein Rechtsschutzverfahren zur nachträglichen Kontrolle der Datenverwendung eröffnet und wirkungsvolle Sanktionen bei Verletzungen vorgesehen werden.[11] Die Abfrage oder Übermittlung sei schließlich grundsätzlich unter Richtervorbehalt zu stellen.[12]

98

Weniger strenge Anforderungen sollten dagegen hinsichtlich der Nutzung von Vorratsdaten zur Referenzierung dynamischer IP-Adressen gelten, weil die Behörden selbst hierbei keine Kenntnis von den Vorratsdaten erhalten und die Aussagekraft der Daten eng begrenzt bleibt.[13] Deshalb ließ das Gericht hier die Verfolgung von Straftaten, die Gefahrenabwehr und die Aufgabenwahrnehmung der Nachrichtendienste auf Grundlage der allgemeinen fachrechtlichen Eingriffsermächtigungen genügen, ohne dass ein Richtervorbehalt erforderlich wäre. Voraussetzung sei lediglich das Vorliegen eines hinreichenden Anfangsverdachts bzw. einer konkreten Gefahr auf einzelfallbezogener Tatsachenbasis, die aktenkundig zu machen sind. Ordnungswidrigkeiten können nur dann Anlass sein, wenn ihnen auch im Einzelfall besonderes Gewicht zukommt.[14] Diese Einschränkung hat Bedeutung für den Zugriff anlässlich der Verfolgung von Urheberrechtsverletzungen im Internet, der nach den bereits erläuterten strengen Vorgaben hinsichtlich des Verwendungszwecks eigentlich ausgeschlossen wäre. Weil es hierbei aber gerade um entsprechende behördliche Auskunftsansprüche hinsichtlich der Anspruchsinhaber bestimmter IP-Adressen geht[15], greift die dargestellte Privilegierung mit der Konsequenz, dass ein solcher Zugriff nicht grundsätzlich verwehrt ist. Jüngst wurden vom BVerfG[16] die Voraussetzungen für die Zuordnung dynamischer IP-Adressen im Bereich der manuellen Auskunft nach § 113 TKG und darauf bezugnehmender Normen des Strafprozess- und Sicherheitsrechts allerdings sowohl bei Abruf-, als auch bei Übermittlungsregelungen verschärft, sodass – anders als für Bestandsdaten – über das Vorliegen einer konkreten Gefahr bzw. das Bestehen eines Anfangsverdachts hinaus die Maßnahme noch dem Schutz oder der Bewehrung von Rechtsgütern von hervorgehobenem Gewicht dienen muss (siehe dazu weiter → Rn. 951).

99

Den geschilderten Anforderungen wurden nach Ansicht des BVerfG die angegriffenen Vorschriften nicht gerecht und verstießen deshalb gegen das Fernmeldegeheimnis aus Art. 10 Abs. 1 GG. § 113a Abs. 10 TKG trug den besonders hohen Anforderungen an die Datensicherheit nicht hinreichend Rechnung und ließ ein ausgeglichenes Sanktionssystem vermissen.[17] § 113b S. 1 Nr. 1 TKG i.V.m. § 100g StPO ließen verfassungswidrig generell Straftaten von erheblicher Bedeutung genügen und erlaubten undifferenziert stets den heimlichen Zugriff.[18] § 113b S. 1 Nr. 2 und 3 TKG nannte nicht konkret die Verwendungszwecke. Es wurde keinerlei Schutz von Vertrauensbeziehungen gewährleistet.

100

§ 113b S. 1 Hs. 2 TKG ließ i.V.m. § 113 Abs. 1 TKG die Ahndung jeder Ordnungswidrigkeit genügen, enthielt keine normenklaren speziellen Regelungen und keine Regelungen zur Benachrichtigung der betroffenen Person. Damit war zugleich die Speicherungspflicht aus § 113a TKG verfassungswidrig.[19] Das Gericht entschied, dass die Normen gemäß § 95 Abs. 3 S. 1 BVerfGG für nichtig zu erklären waren, was eine übergangsweise Anwendung in eingeschränktem Umfang ausschloss.

101

Im Ergebnis fehlte es in Deutschland fortan an einer Umsetzungsregelung, wie sie die Richtlinie forderte. Sämtliche auf Basis dieser Vorschriften gespeicherten Daten waren durch die Diensteanbieter unverzüglich zu löschen. Damit wurde wieder der Altzustand des grundsätzlichen Speicherungsverbotes herbeigeführt. Dieser Zustand war vor dem Hintergrund der unionsrechtlichen Umsetzungspflicht problematisch, weil die Bundesrepublik in Ermangelung einer rechtswirksamen Umsetzungsregelung gegen Unionsrecht verstieß und sich prinzipiell einem Vertragsverletzungsverfahren aussetzte. Vor diesem Hintergrund wäre es wohl sinnvoller gewesen, dem Gesetzgeber eine Frist für eine verfassungskonforme Neuregelung zu setzen und die angegriffenen Normen einstweilen (wie bereits im einstweiligen Rechtsschutzverfahren) weitergelten zu lassen, ggf. mit entsprechenden Anwendungsrestriktionen. Diese Überlegung wird auch durch eine ökonomische Betrachtung aus Sicht der betroffenen Telekommunikationsunternehmen gestützt. Die Unternehmen waren zunächst gezwungen, auf eigene Kosten die Daten zu erfassen und vorzuhalten, mussten diese sodann auf eigene Kosten vollständig und unverzüglich löschen und sahen sich in der Folgezeit erneut mit einer Speicherungspflicht konfrontiert, die seither durch eine erhöhte sicherungstechnische Flankierung und damit auch durch eine erhöhte Kostenintensität gekennzeichnet war. Denn obwohl die zugrunde liegende Richtlinie im April 2014 durch den EuGH wegen Verstoßes gegen Art. 7, 8 sowie Art. 52 GrCh für ungültig erklärt wurde (siehe dazu auch unter → Rn. 177 ff.),[20] damit die Umsetzungspflicht entfiel und folglich der Rechtszustand in Deutschland unionsrechtskonform war, wurde Ende 2015 durch das Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten[21] wiederum eine Vorratsdatenspeicherung eingeführt. Auf deren Durchsetzung verzichtete die Bundesnetzagentur aber ausdrücklich noch vor Ablauf der Übergangsfrist,[22] nachdem das OVG NRW in einem von einem Internetzugangsprovider angestrengten Verfahren im einstweiligen Rechtsschutz die Speicherpflicht aufgrund Unionsrechtswidrigkeit der entsprechenden Normen für nicht anwendbar gehalten hatte.[23] Im Hauptsacheverfahren hierzu gibt es bislang noch kein rechtskräftiges Urteil. Das VG Köln, an das die Sache zurückging, blieb in der Sache bei der Position des OVG NRW im einstweiligen Rechtsschutz und hielt die Speicherpflicht für unionsrechtswidrig.[24] Das inzwischen in einer Sprungrevision mit dem Streit befasste BVerwG legte an den EuGH vor, dessen Entscheidung noch aussteht.[25]

102

Insgesamt ist inzwischen die Rechtsprechung des EuGH zur Vorratsdatenspeicherung auf der Basis der Datenschutzgrundrechte der EU strenger als die des BVerfG. Denn zum einen verlangt der EuGH strengere Begrenzungen der Speicherung an sich und zum anderen auch eine Speicherung auf dem Territorium der EU (siehe dazu → Rn. 178).

Anmerkungen

[1]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260 – Vorratsdatenspeicherung.

[2]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 186 f. – Vorratsdatenspeicherung.

[3]

BVerfG, Urt. v. 30.6.2009, 2 BvE 2/08 u.a. = BVerfGE 123, 267, Rn. 240 – Lissabon. Das BVerfG ist indes in der späteren Entscheidung vom 6.7.2010, 2 BvR 2661/06 = BVerfGE 126, 286 – Honeywell, wieder dahingehend „zurückgerudert“, dass eine entsprechende „Ultra-vires“-Kontrolle gegenüber dem EuGH nur dann in Betracht komme, wenn „das kompetenzwidrige Handeln der Unionsgewalt offensichtlich ist und der angegriffene Akt im Kompetenzgefüge zu einer strukturell bedeutsamen Verschiebung zulasten der Mitgliedstaaten führt.“

[4]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 218 – Vorratsdatenspeicherung.

[5]

Roßnagel, NJW 2010, 1238 (1240); Hornung/Schnabel, DVBl. 2010, 834 (827) weisen jedoch auf erhebliche Probleme hinsichtlich einer denkbaren Operationalisierung dieser Gesamtrechnung hin.

[6]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 224 – Vorratsdatenspeicherung.

[7]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 228 f. – Vorratsdatenspeicherung.

[8]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 231 ff. – Vorratsdatenspeicherung.

[9]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 235 f. – Vorratsdatenspeicherung.

[10]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 243 f. – Vorratsdatenspeicherung.

[11]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 251 ff. – Vorratsdatenspeicherung.

[12]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 247 – Vorratsdatenspeicherung.

[13]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 256 – Vorratsdatenspeicherung.

[14]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 261 f. – Vorratsdatenspeicherung.

[15]

Vgl. BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 254 – Vorratsdatenspeicherung.

[16]

BVerfG, Beschl. v. 27.5.2020, 1 BvR 1873/13 u.a. – Bestandsdatenauskunft II.

[17]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 271 ff. – Vorratsdatenspeicherung.

[18]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 278 f. – Vorratsdatenspeicherung.

[19]

BVerfG, Urt. v. 2.3.2010, 1 BvR 256/08 u.a. = BVerfGE 125, 260, Rn. 292 – Vorratsdatenspeicherung.

[20]

EuGH, Urt. v. 8.4.2014, C-293/12 und C-594/12, ECLI:EU:C:2014:238 – Digital Rights Ireland und Seitlinger u.a.

[21]

Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten v. 10.12.2015, BGBl. I, S. 2218.

[22]

Vgl. Bundesnetzagentur, Verkehrsdatenspeicherung, Stand 28.6.2017, abrufbar unter: https://www.bundesnetzagentur.de/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Anbieterpflichten/OeffentlicheSicherheit/Umsetzung110TKG/VDS_113aTKG/VDS-node.html (Abruf: 12.1.2021).

[23]

OVG NRW, Beschl. v. 22.6.2017, 13 B 238/17 = K&R 2017, 597.

[24]

VG Köln, Urt. v. 20.4.2018, 9 K 7417/17.

[25]

BVerwG, EuGH-Vorlage v. 25.9.2019, 6 C 13/18.

e) Abgrenzung zum Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m Art. 1 Abs. 1 GG)

103

Angesichts der gemeinsamen Ausrichtung des Rechts auf informationelle Selbstbestimmung und des Fernmeldegeheimnisses auf den Datenschutz stellt sich die Frage der Abgrenzung zwischen den beiden Grundrechten. Der Schutzgehalt des Fernmeldegeheimnisses verdrängt dabei in seinem Anwendungsbereich die allgemeinere Gewährleistung durch das Recht auf informationelle Selbstbestimmung.[1] Mit Blick auf die Ausgestaltung des Fernmeldegeheimnisses sind eine Reihe von Entscheidungen des BVerfG[2] ergangen. Diese sind insbesondere vor dem Hintergrund der Abgrenzung zum Recht auf informationelle Selbstbestimmung relevant, beschäftigen sich aber auch mit der spezifischen Ausgestaltung des Schutzbereichs des Fernmeldegeheimnisses vor dem Hintergrund technisch komplexer Ermittlungs- und Fahndungsmethoden. Dabei unterscheiden sich die Sachverhalte teilweise nur in Nuancen, so dass keine allgemeine Abgrenzungsformel existiert. Vielmehr wird es weiterhin bei der Konturierung des Schutzbereichs im Rahmen einer Einzelfallrechtsprechung bleiben müssen.

104

Als Folge der Digitalisierung hinterlässt jedenfalls jede Nutzung der Telekommunikation personenbezogene Spuren, die gespeichert und ausgewertet werden können. Auch der Zugriff auf diese Daten fällt grundsätzlich in den Schutzbereich von Art. 10 Abs. 1 Var. 3 GG. Die Einordnung verschiedener Datenarten in die vom TKG vorgegebenen Datenkategorien ist zudem von besonderer Relevanz, da davon auch die Effektivität der Strafverfolgung abhängen kann. So erfordert die Auskunft über Verkehrsdaten (hier ist das Fernmeldegeheimnis grundsätzlich betroffen) nach § 100g Abs. 1 S. 1 StPO eine richterliche Prüfung, die wesentlich zeit- und kontrollintensiver ist als ein formloses Auskunftsverlangen nach § 113 TKG in Bezug auf die Auskunft über Bestandsdaten (hier ist das Fernmeldegeheimnis grundsätzlich nicht betroffen).[3]

105

Das wesentliche Kriterium zur Konturierung des Schutzbereichs ist der Abschluss bzw. die Beendigung eines Kommunikationsvorgangs, die nicht mit dem Eingang der jeweiligen Nachricht am Endgerät (z.B. Computer) des Empfängers verwechselt werden darf. Denn trotz Abrufens beispielsweise einer E-Mail, kann diese weiterhin auf dem Server des Providers gespeichert werden (vgl. Optionen 2, 3 in Abbildung 1, Rn. 107). Die nach Abschluss des Übertragungsvorgangs im Herrschaftsbereich des Kommunikationsteilnehmers gespeicherten Kommunikationsverbindungsdaten werden nicht durch das Fernmeldegeheimnis, sondern durch das Recht auf informationelle Selbstbestimmung und ggf. durch Art. 13 Abs. 1 GG geschützt (vgl. dazu Option 4 in Abbildung 1).[4] Denn die Nachricht ist mit dem Zugang beim Empfänger nicht mehr den erleichterten Zugriffsmöglichkeiten Dritter – und damit auch des Staates – ausgesetzt, die sich aus der fehlenden Beherrschbarkeit und Überwachungsmöglichkeit des Übertragungsvorgangs durch die Kommunikationsteilnehmer ergeben. Die gespeicherten Inhalte und Verkehrsdaten unterscheiden sich dann nicht mehr von Dateien, die der Nutzer selbst angelegt hat.[5] Ist die Nachrichtenübermittlung abgeschlossen, bestehen für die bei den Teilnehmern gespeicherten Kommunikationsinhalte und -umstände nicht mehr dieselben spezifischen Risiken, wie sie sich aus der Nutzung einer Fernmeldeeinrichtung als Kommunikationsmedium ergeben.[6] Damit sind die Kriterien des Abschlusses des Übertragungsvorgangs und der Beherrschbarkeit entscheidend für die Reichweite des Fernmeldegeheimnisses.[7] Bei einem nicht abgeschlossenen Übermittlungsvorgang betrifft auch ein Zugriff am Endgerät – also beispielsweise die Überwachung des laufenden Kommunikationsvorgangs – grundsätzlich noch das Fernmeldegeheimnis.[8]

106

Problematisch ist dagegen die Reichweite des Fernmeldegeheimnisses im Zusammenhang mit der Beschlagnahme von E-Mail-Daten im Rahmen einer Hausdurchsuchung, die sich beim Provider befinden und vor Ort auf den PC der betroffenen Person heruntergeladen werden, um diese zu kopieren.[9] Solange sich die E-Mail noch beim Provider befindet, kann das Fernmeldegeheimnis deshalb als betroffen angesehen werden, weil mit dem Abruf dieser Nachricht noch ein weiterer Telekommunikationsvorgang erforderlich ist.[10] Dabei kann beim Abruf noch zwischen den verschiedenen E-Mail-Systemen mit Blick auf das Kriterium der Beherrschbarkeit unterschieden werden. So ist eine E-Mail dann nicht mehr vom Provider beherrschbar, wenn sie abgerufen wurde und die Speicherung beim Provider beendet ist (so typischerweise beim Abruf mittels POP3[11]). Sofern trotz Abrufens die E-Mail weiterhin beim Provider gespeichert bleibt, muss auch weiterhin von einer Beherrschbarkeit durch den Provider ausgegangen werden (so typischerweise beim Abruf mittels IMAP[12]). Während der Zugriff beim Nachrichtenmittler also eindeutig dem Fernmeldegeheimnis unterfällt[13] unabhängig davon, ob der Empfänger sie bereits abgerufen hat (vgl. Option 1 in Abbildung 1), greift das Recht auf informationelle Selbstbestimmung, sofern der Kommunikationsvorgang abgeschlossen ist und der Zugriff beim Empfänger erfolgt (vgl. Option 4 in Abbildung 1). Davon zu unterscheiden ist die Konstellation, in der die Nachricht beim Empfänger am Endgerät angekommen ist, der Kommunikationsvorgang aber noch nicht abgeschlossen ist. Dies ist der Fall, sofern eine E-Mail beispielsweise auf dem Server des Mittlers ruht, unabhängig davon, ob sie bereits abgerufen wurde oder nicht.[14] In dieser Grauzone hat sich auch das BVerfG noch nicht abschließend festgelegt (vgl. Option 3 in Abbildung 1).[15]

107

Abbildung 1:

Betroffenheit des Fernmeldegeheimnisses beim E-Mail-Versand

[Bild vergrößern]

108

Die Abgrenzung muss sich an Risikosphären orientieren.[16] So ist bei einem Zugriff in der Sphäre des Providers stets auf das Fernmeldegeheimnis zurückzugreifen, während bei einem Zugriff bei der betroffenen Person – unabhängig davon, ob die Daten noch auf dem Server des Providers gespeichert sind – das Recht auf informationelle Selbstbestimmung Anwendung findet. Insoweit ist auf den Aspekt der Heimlichkeit abzustellen und mit der Anwendbarkeit des Fernmeldegeheimnisses zu verbinden. Denn die spezifischen Gefahren der Raum überwindenden Kommunikation verwirklichen sich nur, wenn die betroffene Person vom Zugriffsvorgang keine Kenntnis hat. Der Ort der gespeicherten Daten ist dagegen nicht entscheidend. Danach wäre bei Option 3 in Abbildung 1 das Recht auf informationelle Selbstbestimmung einschlägig. Die gegenteilige Ansicht kann mit dem Argument, dass der Telekommunikationsvorgang noch nicht abgeschlossen ist und die Daten noch durch den Provider beherrscht werden, aber sicherlich auch gut vertreten werden. Dieses Problem stellt sich bei sämtlichen Informationen, die in Nachrichtenübermittlungssystemen mit Zwischenspeicherungsoption gespeichert sind, also etwa auch bei SMS-Nachrichten oder bei Nachrichten auf einem netzseitigen Anrufbeantworter und auch bei Instant-Messaging-Diensten wie WhatsApp, Threema oder Signal. Diese sind zwar beim Endpol der Kommunikation angelangt, allerdings nicht allein durch den Empfänger, sondern auch noch durch den Informationsübermittler potenziell beherrschbar, so dass hier noch der Schutzbereich des Art. 10 Abs. 1 Var. 3 GG betroffen sein kann.

Anmerkungen

[1]

Vgl. BVerfG, Beschl. v. 20.6.1984, 1 BvR 1494/78 = BVerfGE 67, 157 (171) – G10; Urt. v. 14.7.1999, 1 BvR 2226/94 u.a. = BVerfGE 100, 313 (358) – Telekommunikationsüberwachung I; Urt. v. 12.3.2003, 1 BvR 330/96 u. 1 BvR 348/99 = BVerfGE 107, 299 (312); Beschl. v. 3.3.2004, 1 BvF 3/92 = BVerfGE 110, 33 (53) – Zollkriminalamt; Urt. v. 27.7.2005, 1 BvR 668/04 = BVerfGE 113, 348 = NJW 2005, 2603 (2604) – Vorbeugende Telekommunikationsüberwachung.

[2]

BVerfG, Beschl. v. 30.4.2007, 2 BvR 2151/06 = BVerfGK 11, 119 = MMR 2007, 500; Beschl. v. 18.4.2007, 2 BvR 2094/05 = BVerfGK 11, 33 = MMR 2007, 503; Beschl. v. 27.10.2006, 1 BvR 1811/99 = BVerfGK 9, 399 = MMR 2007, 308; Beschl. v. 22.8.2006, 2 BvR 1345/03 = BVerfGK 9, 62 = MMR 2006, 805; Beschl. v. 29.6.2006, 2 BvR 902/06 = BVerfGK 8, 313 = MMR 2007, 169; Beschl. v. 17.6.2006, 2 BvR 1085/05 u. 2 BvR 1189/05 = BVerfGK 8, 219 = MMR 2007, 231; Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115,166 = MMR 2006, 217 – Kommunikationsverbindungsdaten; Beschl. v. 4.2.2005, 2 BvR 308/04 = BVerfGK 5, 74 = MMR 2005, 520.

[3]

Vgl. dazu auch Bär, MMR 2005, 626.

[4]

BVerfG, Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 = MMR 2006, 217 (219 f.) – Kommunikationsverbindungsdaten; anders noch die 3. Kammer des Zweiten Senats in ihrem Beschl. v. 4.2.2005, 2 BvR 308/04 = BVerfGK 5, 74 = NJW 2005, 1637 (1640). Zustimmend Geis/Geis, K&R 2006, 279 (280); Käß, BayVBl. 2007, 135 (137); Rauschenberger, Kriminalistik 2006, 328 (329).

[5]

BVerfG, Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 = MMR 2006, 217 (220) – Kommunikationsverbindungsdaten.

[6]

So auch BVerfG, Beschl. v. 16.6.2009, 2 BvR 902/06 = BVerfGE 124, 43 (54) – Beschlagnahme von E-Mails.

[7]

Vgl. auch Eckardt, DuD 2006, 365 (366).

[8]

BVerfG, Urt. v. 2.3.2006, 2 BvR 2099/04 = BVerfGE 115, 166 = MMR 2006, 217 (220 f.) – Kommunikationsverbindungsdaten; Beschl. v. 9.10.2002, 1 BvR 1611/96 u. 1 BvR 805/98 = BVerfGE 106, 28 (38) – Mithörvorrichtung.

[9]

Vgl. Jahn, JuS 2006, 491 (493); diesen Fall hat das BVerfG noch nicht entschieden.

[10]

Hilfreich ist in diesem Zusammenhang das Vier-Phasen-Modell bei einer E-Mail-Kommunikation, das unterscheidet zwischen den vier Vorgängen (1) des Absendens, (2) des Speicherns beim Provider, (3) des Abrufs durch den Empfänger und (4) des Speicherns beim Empfänger, vgl. dazu Schlegel, HRRS 2007, 44 (47).

[11]

POP3 (Post Office Protocol Version 3). POP3 ist ein Übertragungsprotokoll, über das ein Kunde E-Mails von einem E-Mail-Server abholen kann.

[12]

IMAP (Internet Message Access Protocol). Das IMAP-Protokoll ermöglicht den Zugriff auf und die Verwaltung von empfangenen E-Mails. Im Gegensatz zum weiter verbreiteten Protokoll POP3 (vgl. dazu → Fn. 201) verbleiben die E-Mails in der Regel auf dem Mailserver. Sie werden nur bei Bedarf auf den Kunden-Rechner übertragen.

[13]

So auch BVerfG, Beschl. v. 16.6.2009, 2 BvR 902/06 = BVerfGE 124, 43 – Beschlagnahme von E-Mails.

[14]

Vgl. BVerfG, Beschl. v. 16.6.2009, 2 BvR 902/06 = BVerfGE 124, 43 – Beschlagnahme von E-Mails; so zu Recht auch Schlegel, HRRS 2007, 44 (51).

[15]

In BVerfG, Beschl. v. 16.6.2009, 2 BvR 902/06 = BVerfGE 124, 43 – Beschlagnahme von E-Mails wird diese Frage noch nicht einmal in einem obiter dictum angesprochen.

[16]

In diese Richtung auch BVerfG, Beschl. v. 16.6.2009, 2 BvR 902/06 = BVerfGE 124, 43 – Beschlagnahme von E-Mails.

4. Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme (Art. 2 Abs. 1 i.V.m Art. 1 Abs. 1 GG)

a) Grundlagen

109

Zu einer neuen Grundrechtsausprägung hat das Urteil des BVerfG zu den Online-Durchsuchungen vom 27.2.2008 geführt. Dabei ging es um die Verfassungsmäßigkeit des Verfassungsschutzgesetzes Nordrhein-Westfalens. Dieses regelte u.a. Befugnisse der Verfassungsschutzbehörden zum heimlichen Beobachten und zum sonstigen Aufklären des Internets sowie zum heimlichen Zugriff auf informationstechnische Systeme. Als Reaktion auf die letztgenannte Eingriffsform entwickelte das Gericht das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Dieses soll als weitere Ausprägung des Allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG vor Eingriffen in informationstechnische Systeme schützen, soweit der Schutz nicht durch andere Grundrechte, insbesondere das Fernmeldegeheimnis oder Art. 13 GG, sowie durch das Recht auf informationelle Selbstbestimmung gewährleistet ist.[1] Aufgrund der Allgegenwärtigkeit informationstechnischer Systeme und der zentralen Bedeutung ihrer Nutzung für die Lebensführung vieler Bürger ergäben sich neue Persönlichkeitsgefährdungen.[2] Diese hingen insbesondere damit zusammen, dass der Einzelne zu seiner Persönlichkeitsentfaltung auf die Nutzung informationstechnischer Systeme angewiesen sei und dabei dem System persönliche Daten anvertraue bzw. durch dessen Nutzung zwangsläufig liefere.[3] Insoweit bestehe ein spezifisches und erhebliches Schutzbedürfnis,[4] dem nach Ansicht des Gerichts die bisher anerkannten Ausprägungen des Allgemeinen Persönlichkeitsrechts nicht in ausreichendem Maße genügen.[5]

Anmerkungen

[1]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 167 – Online-Durchsuchungen; vgl. zum Ganzen auch Roggan (Hrsg.), Online-Durchsuchungen, 2008.

[2]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 171 ff – Online-Durchsuchungen; hierzu auch Hoffmann-Riem, JZ 2008, 1009.

[3]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 200 – Online-Durchsuchungen.

[4]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 180 f – Online-Durchsuchungen.

[5]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 196 – Online-Durchsuchungen; vgl. hierzu die verfassungsrechtliche Rechtsprechung unter dem Aspekt der Internetkommunikation systematisch analysierend Bäcker, Die Vertraulichkeit der Internetkommunikation, in: Rensen/Brink (Hrsg.), Linien der Rechtsprechung des Bundesverfassungsgerichts, 2009, 99 ff.

b) Abgrenzung zu anderen Grundrechten durch das BVerfG

aa) Abgrenzung zu Art. 10 Abs. 1 Var. 3 GG

110

Durch das Fernmeldegeheimnis soll vor den spezifischen Gefahren der räumlich distanzierten Kommunikation geschützt werden. Diese bestehen nach Ansicht des BVerfG hinsichtlich solcher Inhalte und Umstände der Kommunikation, die nach Abschluss eines Kommunikationsvorgangs im Herrschaftsbereich eines Teilnehmers gespeichert werden, nicht fort, soweit der Teilnehmer eigene Schutzvorkehrungen gegen heimlichen Datenzugriff treffen kann.[1] Ebenso wenig soll Art. 10 Abs. 1 Var. 3 GG eingreifen, wenn eine staatliche Stelle die Nutzung eines informationstechnischen Systems als solche überwacht oder die Speichermedien des Systems durchsucht.[2] Dient der heimliche Zugriff auf ein System dazu, Daten in dieser Weise zu erheben, soll also das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme eingreifen.[3] Damit wird das Fernmeldegeheimnis bei der sog. Quellen-TKÜ wohl nicht eingreifen. Da Instant-Messenger wie insbesondere WhatsApp die Nachrichten Ende-zu-Ende verschlüsseln, kann während der Übertragung nicht einmal der Anbieter davon Kenntnis nehmen. Insofern versagen auch die klassischen Überwachungsmethoden. Wollen staatliche Stellen diese Kommunikation überwachen, so muss dies an der „Quelle“, also von dem Gerät der betroffenen Person oder deren Kommunikationspartner geschehen, da nur hier die Daten im Klartext vorliegen. Dazu muss eine Schadsoftware auf dem Gerät installiert werden.

Anmerkungen

[1]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 185 – Online-Durchsuchungen.

[2]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 186 – Online-Durchsuchungen.

[3]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 187 – Online-Durchsuchungen.

bb) Abgrenzung zu Art. 13 Abs. 1 GG

111

Ob Art. 13 Abs. 1 GG dem Einzelnen einen generellen, von den Zugriffsmodalitäten unabhängigen Schutz gegen die Infiltration seines informationstechnischen Systems vermittelt, wenn sich dieses System in seiner Wohnung befindet, ist umstritten. Das BVerfG[1] und ein Teil der Literatur[2] verneinen dies mit der zutreffenden Begründung, der Eingriff könne unabhängig vom Standort erfolgen, so dass ein raumbezogener Schutz nicht in der Lage sei, die spezifische Gefährdung des informationstechnischen Systems abzuwehren. Die Ausnutzung der Verbindung des betroffenen Rechners zu einem Rechnernetzwerk durch die Infiltration lasse die durch die Abgrenzung der Wohnung vermittelte räumliche Privatsphäre unberührt.[3] Außerdem soll Art. 13 Abs. 1 GG nicht gegen die durch die Infiltration ermöglichte Erhebung von Daten schützen, die sich im Arbeitsspeicher oder auf den Speichermedien eines informationstechnischen Systems befinden, das in einer Wohnung steht.[4] In diesen Fällen greift Art. 13 Abs. 1 GG folglich nicht ein, was grundsätzlich Raum für das Recht auf Vertraulichkeit und Integrität informationstechnischer Systeme lässt.

Anmerkungen

[1]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 194 m. w. N - Online-Durchsuchungen.

[2]

Vgl. etwa Beulke/Meininghaus, StV 2007, 64; Gercke, CR 2007, 250; Kingreen/Poscher, Grundrechte, Staatsrecht II, 36. Aufl. 2020, Rn. 450; Schlegel, GA 2007, 654.

[3]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 194 – Online-Durchsuchungen.

[4]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 195 – Online-Durchsuchungen.

cc) Abgrenzung zum Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG)

112

Das BVerfG geht davon aus, dass nicht jedes informationstechnische System, das personenbezogene Daten erzeugen, verarbeiten oder speichern kann, des besonderen Schutzes durch eine eigenständige persönlichkeitsrechtliche Gewährleistung bedarf. Das Recht auf informationelle Selbstbestimmung soll nach Ansicht des Gerichts immer dann eingreifen, wenn es um informationstechnische Systeme geht, die lediglich Daten mit punktuellem Bezug zu einem bestimmten Lebensbereich der betroffenen Person enthalten.[1] Demgegenüber bewahre das Allgemeine Persönlichkeitsrecht in seiner Ausprägung als Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme den persönlichen und privaten Lebensbereich des Einzelnen vor staatlichem Zugriff im Bereich der Informationstechnik auch insoweit, als auf das informationstechnische System insgesamt zugegriffen wird und nicht nur auf einzelne Kommunikationsvorgänge oder gespeicherte Daten.[2] Ein Kartenlesegerät gehört daher beispielsweise nicht zu den durch das neue Grundrecht besonders geschützten Systemen.

Anmerkungen

[1]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 202 – Online-Durchsuchungen.

[2]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 201 – Online-Durchsuchungen.

dd) Kritik

113

Wenn auch an der vom BVerfG geschilderten Gefährdungssituation kein Zweifel besteht, so stellt sich doch die Frage, ob es zur angemessenen Reaktion auf die skizzierten Gefahren tatsächlich der Schaffung eines neuen Grundrechts bzw. einer neuen Ausprägung des Allgemeinen Persönlichkeitsrechts bedurfte.[1] Im Einzelnen bleibt etwa unklar, worin letztlich das entscheidende Spezifikum besteht, welches das neue Grundrecht neben den bereits bestehenden erforderlich macht. Laut BVerfG soll es gerade dann einschlägig sein, wenn die Eingriffsermächtigung Systeme erfasst, die allein oder in ihren technischen Vernetzungen personenbezogene Daten der betroffenen Person in einem Umfang und in einer Vielfalt enthalten können, dass ein Zugriff auf das System es ermöglicht, einen Einblick in wesentliche Teile der Lebensgestaltung einer Person zu gewinnen oder gar ein aussagekräftiges Bild der Persönlichkeit zu erhalten.[2] Es soll gerade den persönlichen und privaten Lebensbereich der Grundrechtsträger vor staatlichem Zugriff im Bereich der Informationstechnik bewahren.[3] Das legt ein besonderes Vertrauen infolge räumlicher Nähe und Beherrschbarkeit als ausschlaggebendes Differenzierungskriterium nahe und weist somit Verbindungslinien zum Schutzbereich des Art. 13 GG auf. In diese Richtung deutet auch die Hervorhebung des Zugriffs auf das informationstechnische System insgesamt und nicht nur auf einzelne Kommunikationsvorgänge und gespeicherte Daten als speziellen Anwendungsfall gegenüber dem Recht auf informationelle Selbstbestimmung.[4] Auch stellt das BVerfG in Abgrenzung zum Anwendungsbereich des Art. 10 Abs. 1 Var. 3 GG gerade auf die nach Abschluss eines Kommunikationsvorganges im Herrschaftsbereich eines Teilnehmers gespeicherten Inhalte und Umstände der Telekommunikation ab, die nicht vom Fernmeldegeheimnis erfasst werden, und will die so entstandene „Schutzlücke“ durch das neue Grundrecht schließen.

114

Es kann letztlich bezweifelt werden, ob Eingriffen gerade in die geschilderten Systeme eine derart eigenständige Qualität und Bedeutung beizumessen ist, dass sie in einer Weise aus dem Anwendungsbereich des Rechts auf informationelle Selbstbestimmung heraustreten, welche die Schaffung eines neuen Grundrechts erforderlich macht.[5] Ob die angeführten Argumente der Begründungslast für eine neue Grundrechtsemanation gerecht geworden sind, dürfte wohl erst die etwaige Rezeption dieses Grundrechts durch künftige Verfassungsgeber zeigen. Dies ändert jedoch nichts daran, dass das BVerfG eine besonders problematische Gefährdungskonstellation sorgfältig herausgearbeitet und zu Recht einer strengen Überprüfung unterzogen hat.

115

Abbildung 2: Schutzbereichsentsprechungen der Datenschutzgrundrechte im Mehrebenensystem

Schutzgegenstand	EMRK	GrCh	Grundgesetz
Inhalt der Telekommunikation	Art. 8(Korrespondenz,Abs. 1 Alt. 4)	EuGH: Art. 7 und Art. 8(str.)	Art. 10 Abs. 1 Alt. 3 GG
Umstände derTelekommunikation	Art. 8(Korrespondenz,Abs. 1 Alt. 4)	EuGH: Art. 7 und Art. 8(str.)	Art. 10 Abs. 1 Alt. 3 GG
Sonstige Daten	Art. 8(Privatleben,Abs. 1 Alt. 1)	EuGH: Art. 7 und Art. 8(str.)	RaiS (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG)
Qualifizierte informations-technische Systeme	Art. 8(Privatleben,ggf. WohnungAbs. 1 Alt. 1/3)	EuGH: Art. 7 und Art. 8(str.)	RaGVuIiS (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG)

116

Lösung zu Fallbeispiel 3 – Ermittlung von Mobilfunkdaten durch IMSI-Catcher – Fernmeldegeheimnis (Rn. 62)

A.	Fernmeldegeheimnis, Art. 10 Abs. 1 Var. 3 GG
	I.	Schutzbereich
		→	Private Fernkommunikation
		→	Schutz vor ungewollter Informationserhebung
		→	Fernmeldegeheimnis ist entwicklungsoffen
		→	Auch neuartige Übertragungstechniken geschützt
		→	Unstreitig umfasst: Kommunikationsvorgang, Kommunikationsinhalte sowie nähere Umstände der Kommunikation
		→	P: Werden auch Standortdaten erfasst, die gesprächsunabhängig im Stand-by-Modus eines Mobiltelefons erhoben werden?
			→	BVerfG: (–), bei automatischer Interaktion im reinen Bereitschaftszustand eines Mobilfunkgerätes kein menschlich initiierter Kommunikationsvorgang offengelegt; Datenaustausch ohne individuelle und kommunikative Züge
			→	A. A.: Stand-by-Modus signalisiert Kommunikationsbereitschaft[6] ABER: dann wäre auch Überprüfung, ob Festnetztelefon „frei“ = Eingriff in Fernmeldegeheimnis → abzulehnen
	II.	Ergebnis: Schutzbereich nicht betroffen → keine Verletzung von Art. 10 Abs. 1 Var. 3 GG
B.	RaiS, Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG
	I.	Schutzbereich
		→	Ausformung des APR
		→	Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten
		→	Befugnis, selbst über Preisgabe und Verwendung persönlicher Daten zu bestimmen
		→	Schutz vor von der Grundrechtsausübung abschreckendem Effekt fremden Geheimwissens
	II.	Eingriff
		→	(+), da durch entsprechende Maßnahmen Schluss darauf möglich, welche Person sich wo befindet
	III.	Rechtfertigung
		1.	Schranken
			→	Einfacher Gesetzesvorbehalt, § 100i StPO
			→	Normenklarheit: gegeben
		2.	Verhältnismäßigkeit
			a)	Legitimer Zweck (+), wirksame Strafverfolgung
			b)	Geeignetheit (+), ermöglicht weitere Ermittlungsmaßnahmen und ggf. Ergreifen des Beschuldigten
			c)	Erforderlichkeit (+), kein milderes Mittel ersichtlich
			d)	Angemessenheit
				→	Contra: auch technische Kommunikationsdaten haben schützenswerten Aussagegehalt
				→	Pro: Schutz hochrangiger Güter (schwere Straftat) und konkreter Verdacht; außerdem geringe Eingriffsintensität, da
				→	Effektivierung krimineller Handlungen durch technische Kommunikationsmittel
				→	Dadurch erschwerte Strafverfolgung
				→	Anonymer und automatischer Datenabgleich
				→	Unverzügliche Löschung nach Messeinsatz
				→	Unbeteiligte Dritte werden nicht identifiziert
	IV.	Ergebnis: Eingriff gerechtfertigt, daher keine Verletzung von Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG

117

Lösung zu Fallbeispiel 4 – Löschbegehren gegen Online-Archiv – Recht auf Vergessen I (Rn. 63)

I.	Prüfungsmaßstab BVerfG
	(P): Beurteilungsmaßstab Verfassungsbeschwerde: Grundrechte des GG
	→	Ausformung des APR
	→	BVerfG prüft innerstaatliches Recht und dessen Anwendung am Maßstab des GG
	→	Innerstaatliches Recht vorliegend Durchführung von Unionsrecht nach Art. 51 Abs. 1 GrCh; hier: Durchführung von unionalen Datenschutzbestimmungen der DSRL/DS-GVO
	→	Aber: kein vollständig determinierendes Unionsrecht
	→	Umsetzungsspielraum in Art. 9 DSRL/Art. 85 DS-GVO
	→	Raum für Grundrechtsvielfalt und Anwendbarkeit des GG
	→	Grundsätzlich Prüfung am Maßstab der Grundrechte des GG
	→	Aber: Auslegung im Lichte der GrCh
	→	Ferner: BVerfG keine Superrevisionsinstanz
II.	Schutzbereich
	→	APR (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG)
	→	Geschützt ist die freie Entfaltung der Persönlichkeit
	→	Umfasst ist auch der Schutz vor personenbezogener Berichterstattung und der Verbreitung von Informationen
	→	Auch Schutz vor Äußerungen, die geeignet sind, sich abträglich auf das Ansehen einer Person und ihr Bild in der Öffentlichkeit auszuwirken
	→	Schutzbereich, eröffnet (+)
	→	Gemäß BVerfG nicht einschlägig: RaiS, da es sich vorliegend nicht um eine Pflicht zur Preisgabe von Daten oder eine intransparente Nutzung dieser handelt, sondern um eine Berichterstattung, die der Information der Öffentlichkeit dient (Ergebnis eines Kommunikationsprozesses)
III.	Eingriff
	(P): Mittelbare Drittwirkung
	→	Hier: Urteil (+)
IV.	Rechtfertigung der Einschränkung
	1.	Schranken
		→	Einfacher Gesetzesvorbehalt: §§ 823, 1004 BGB analog
	2.	Schranken-Schranken, insb. Verhältnismäßigkeit des Urteils
		→	Zivilrechtliche Streitigkeit: Abwägung der kollidierenden Grundrechte und schonender Ausgleich im Sinne der praktischen Konkordanz
	a)	Legitimer Zweck
		→	Einschränkung des APRs durch das Urteil, um Meinungs- und Pressefreiheit zu gewährleisten
	b)	Geeignetheit (+)
	c)	Erforderlichkeit (+)
	d)	Angemessenheit
		→	Abwägung: APR der betroffenen Person gegen die Meinungs- und Pressefreiheit
		→	Pro Persönlichkeitsrecht:
			–	Berichterstattung liegt viele Jahre zurück; Haftstrafe rechtmäßig verbüßt
			–	Rehabilitationsinteresse des Beschwerdeführers; Erschweren der Wiedereingliederung in die Gesellschaft
			–	Erhebliche Beeinträchtigungen für das Privatleben
			–	Öffentliche Beurteilung seiner Person allein auf Tat reduziert
			–	Dauerhafte Verfügbarkeit und jederzeitige Aufrufbarkeit der Informationen
			–	Betroffene Person trat zwischenzeitlich hinsichtlich der Tat nicht öffentlich in Erscheinung
		→	Contra APR
			–	Berichterstattung beruht auf zutreffenden Tatsachen
			–	Öffentliches Interesse an schweren Straftaten
			–	Meinungsfreiheit schützt das Berichten über Vorgänge des öffentlichen Lebens
			–	Aus dem APR folgt kein absolutes „Recht auf Vergessenwerden“
			–	Presse hat ein erhebliches Interesse Berichte in unveränderter Form archivieren zu können („Spiegel der Zeitgeschichte“)
			–	Zugleich öffentliches Interesse an der Archivierung
		→	Angemessenheit (-), da APR hier überwiegt
		→	Durch Zeitablauf überwiegt das Interesse der betroffenen Person nicht mehr mit der verbüßten Haftstrafe konfrontiert zu werden
→	Verfassungsbeschwerde begründet (+)

118

Lösung zu Fallbeispiel 5 – Löschbegehren gegen Suchmaschinenbetreiber – Recht auf Vergessen II (Rn. 64)

A.	Beschwerdebefugnis
	→	Insb. Möglichkeit einer Grundrechtsverletzung
	→	Keine Prüfung anhand des GG in vollständig unionsrechtlich determinierten Materien
	→	DSRL/DS-GVO vorliegend mit abschließenden Regelungen → vollständig vereinheitlichte Materie
	→	Prüfung der GrCh durch BVerfG, soweit GG-Grundrechte durch Anwendungsvorrang verdrängt
	→	Beschwerdebefugnis nach Art. 7 und 8 GrCh (+)
B.	Begründetheit
	I.	Prüfungsmaßstab
		→	Insb. BVerfG keine Superrevisionsinstanz
		→	Beurteilungsmaßstab aufgrund der vollständigen Determinierung = GrCh
		→	Wahrnehmung der Integrationsverantwortung aus Art. 23 I GG
	II.	Anwendungsbereich
		→	Schutz der Achtung des Privatlebens und vor der Verarbeitung personenbezogener Daten durch Art. 7 und 8 GrCh
		→	Umfasst auch den Schutz der selbstbestimmten Persönlichkeitsentfaltung gegenüber der Datenverarbeitung Dritter
	III.	Einschränkung
		→	(P) Hineinwirken der GrCh-Grundrechte in das Privatrecht?
			→	Hier: Urteil als Einschränkung der Grundrechte (+)
	IV.	Rechtfertigung der Einschränkung
		1.	Gesetzliche Grundlage (Art. 52 Abs. 1 S. 1 GrCh)
			→	Zivilrechtliches Urteil basiert auf §§ 823, 1004 BGB (+)
		2.	Zulässiges Ziel (Art. 52 Abs. 1 S. 2 GrCh)
			→	(+), Einschränkung der Persönlichkeitsrechte (Art. 7 und 8 GrCh) durch das Urteil, um unternehmerische Freiheit (Art. 16 GrCh) des Suchmaschinenbetreibers sowie Meinungs- und Pressefreiheit des Inhalteanbieters (Art. 11 GrCh) und Informationsinteressen der Internetnutzer zu gewährleisten
		3.	Wesensgehaltsgarantie (Art. 52 Abs. 1 S. 1 GrCh) (+)
		4.	Grundsatz der Verhältnismäßigkeit (Art. 52 Abs. 1 S. 2 GrCh)
			a)	Geeignetheit (+)
			b)	Erforderlichkeit (+)
			c)	Angemessenheit (Verhältnismäßigkeit i.e.S.)
				→	Abwägung: Art. 7 und 8 GrCh der betroffenen Person vs. Art. 16 GrCh des Suchmaschinenbetreibers (kein Berufen auf Art. 11 GrCh), Art. 11 GrCh des Inhalteanbieters und die Informationsinteressen der Nutzer
				→	Pro Persönlichkeitsrechte der betroffenen Person:
					–	Art. 7 und 8 GrCh schützen auch vor der Datenverarbeitung Dritter
					–	Grds. sind die rein wirtschaftlichen Interessen des Suchmaschinenbetreibers weniger gewichtig als der Schutzanspruch der betroffenen Person
					–	Vergehen einer gewissen Zeitspanne → sinkendes öffentliches Interesse an Berichterstattung
					–	Höhere Auffindbarkeit durch Verlinkung im Internet als bei reiner Sendung im TV
					–	Dauerhafte Verfügbarkeit und jederzeitige Aufrufbarkeit der Informationen im Internet
					–	Auswirkungen sowohl auf Sozial-, als auch Privatsphäre
				→	Contra Persönlichkeitsrechte:
					–	Unternehmerische Freiheit umfasst auch das Anbieten von Suchdiensten
					–	Mitberührt sind zudem die Grundrechte des Inhalteanbieters
					–	Interessen der Nutzer sind ferner miteinzubeziehen
					–	Großes Gewicht des Informationsinteresses der Öffentlichkeit und der Meinungs- und Informationsfreiheit Dritter
					–	Kündigungsschutz Thema von allgemeinem Interesse
					–	Zustimmung zu dem Interview für den Beitrag
					–	Titel der Sendung nicht von vorneherein eine unzulässige Schmähung
		→	Angemessenheit (+), Überwiegen der Interessen des Suchmaschinenbetreibers, der Inhalteanbieter und der Nutzer
→	Verfassungsbeschwerde unbegründet

Anmerkungen

[1]

Vgl. hierzu auch die Kritik bei Britz, DÖV 2008, 411 (412 f.).

[2]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 203 – Online-Durchsuchungen; vgl. auch Polenz, Der Grundrechtsschutz beim Zugriff auf informationstechnische Systeme, 2008, 34, abrufbar unter: http://docplayer.org/6209287-Der-grundrechtsschutz-beim-zugriff-auf-informationstechnische-systeme-dr-sven-polenz.html (Abruf: 12.1.2021).

[3]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 201 – Online-Durchsuchungen.

[4]

BVerfG, Urt. v. 27.2.2008, 1 BvR 370/07 u. 1 BvR 595/07 = BVerfGE 120, 274 = WM 2008, 503, Rn. 201 – Online-Durchsuchungen.

[5]

Zweifelnd auch Hornung, CR 2008, 299 (301 f. und 306).

[6]

Nachbaur, NJW 2007, 335 (337).

1. Kapitel Grundlagen › D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts

D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts

1. Kapitel Grundlagen › D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts › I. Einführung

I. Einführung

119

Das jetzige Zusammenspiel von Unionsrecht und nationalem Datenschutzrecht in Deutschland ist schwer verständlich, wenn man sich nicht die Entstehungsgeschichte der verschiedenen Kodifikationen auf nationaler (dazu I.) und europäischer Ebene (dazu II.) bis zum jetzigen Status quo (dazu III.) vor Augen führt. Dabei wird auch deutlich, dass das jetzige BDSG zwar begrifflich in der Tradition allgemeiner bundesdeutscher datenschutzrechtlicher Regelungen steht, aber eine stark modifizierte Funktion im Vergleich zu seinen Vorgängerregelungen aufweist.

1. Kapitel Grundlagen › D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts › II. Anfänge und weitere Entwicklung des deutschen Datenschutzrechts

II. Anfänge und weitere Entwicklung des deutschen Datenschutzrechts

1. Der Weg zum BDSG 1977

120

Das Datenschutzrecht ist in Deutschland gleichsam „bottom up“ zunächst auf der Ebene der Bundesländer entstanden. Die Initialzündung ging vom Hessischen Landesdatenschutzgesetz im Jahr 1970 aus, das weltweit die erste datenschutzrechtliche Kodifikation darstellte.[1] Vier Jahre später folgte eine vergleichbare Regelung in Rheinland-Pfalz.[2] Erst sieben Jahre später, am 27.1.1977, beschloss der Bundesgesetzgeber eine umfangreiche Kodifikation mit dem „Gesetz zum Schutz vor Missbrauch personenbezogener Daten bei der Datenverarbeitung“ – dem ersten BDSG[3]. Insgesamt hat sich die Grundstruktur des BDSG 1977 vierzig Jahre lang gehalten, so dass erst die Neuordnung durch das BDSG 2018 in Verbindung mit der DS-GVO einen fundamentalen Strukturwechsel mit sich bringt. So setzte der kodifikatorische Ansatz schon früh auf eine umfassende Regelung auf der Basis eines Verbots mit Zulässigkeitstatbeständen, die entweder in Form einer Einwilligung oder spezifischen Regelungen in den allgemeinen Datenschutzgesetzen oder in anderweitigen bereichsspezifischen Normen erfolgte. Ferner sah das BDSG 1977 neben materiell-rechtlichen Regelungen auch umfassende Betroffenenrechte vor. Das BDSG von 1977 führte sodann auch die Unterscheidung zwischen öffentlichen und nichtöffentlichen Stellen bei der Datenverarbeitung ein, die sich – trotz fehlender Entsprechung im Unionsrecht – auch im jetzigen BDSG – allerdings in deutlich abgeschwächter Form – fortschreibt (dazu → Rn. 207 und 235 f.). So folgte die Grobgliederung des BDSG 1977 einer Dreiteilung in einen knappen allgemeinen Abschnitt und einen umfassenden Abschnitt zur Datenverarbeitung der Behörden und sonstigen öffentlichen Stellen einerseits sowie zwei Abschnitten zur Datenverarbeitung durch nichtöffentliche Stellen, differenziert danach, ob diese für eigene oder für fremde Zwecke erfolgte. Auch die Datenschutzaufsicht wurde für öffentliche und nichtöffentliche Stelle unterschiedlich normiert. Selbst die Betroffenenrechte wiesen zwar zwischen beiden Bereichen große Parallelen auf, waren jedoch jeweils getrennt geregelt. Ein fünfter Abschnitt normierte Straf- und Bußgeldvorschriften. 47 Paragrafen sah das damalige BDSG vor. An dieser Grundstruktur hat sich in den folgenden vier Dekaden wenig geändert. Bemerkenswert ist, dass unmittelbar nach der Verabschiedung des BDSG von 1977 eine Debatte um die Reformbedürftigkeit der eben erst verabschiedeten Normen einsetzte.[4]

Anmerkungen

[1]

Der Text des Hessischen Landesdatenschutzgesetzes ist abrufbar unter: https://www.rv.hessenrecht.hessen.de/bshe/document/jlr-DSIFGHEV1IVZ (Abruf: 12.1.2021).

[2]

Landesgesetz gegen missbräuchliche Datennutzung, GVBl. 1974, 31.

[3]

Gesetz vom 27.1.1997, GVBl. 1977 I 201 ff.

[4]

Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einleitung, Rn. 52.

2. Das BDSG 1990

121

Trotz der schon seit vielen Jahren geführten Debatte und des Maßstab setzenden Volkszählungsurteils aus dem Jahre 1983 (dazu → Rn. 67 ff.) kam es erst 1990 zu einer weiteren Reform des BDSG, das allerdings nach wie vor als rückständig im Vergleich zu den Regelungen mancher Landesdatenschutzgesetze angesehen wurde.[1] Die Struktur des BDSG 1990 wurde insoweit klarer, als in den Abschnitten zu den öffentlichen und nichtöffentlichen Stellen jeweils übersichtlicher in Unterabschnitten getrennt wurde zwischen den materiell-rechtlichen Vorschriften, den prozeduralen Betroffenenrechten und den institutionellen Vorgaben zur Datenschutzaufsicht. Die Regelungen für nichtöffentliche Stellen wurden auf öffentlich-rechtliche Wettbewerbsunternehmen erstreckt und die Ausdifferenzierung zwischen einer Datenverarbeitung für eigene Zwecke und einer geschäftsmäßigen Datenverarbeitung wurde von der Ebene der Bildung eigener Unterabschnitte auf eine Ausdifferenzierung in verschiedene Paragrafen „heruntergezont“. Die Reform war ansonsten im Wesentlichen eine Fortschreibung des bisherigen Konzepts mit beachtlichen Änderungen im Detail, wobei der Fokus klar auf dem öffentlichen Bereich, also der Datenverarbeitung durch staatliche Institutionen, lag.[2] Es wurde der sachliche Anwendungsbereich des Gesetzes dahingehend ergänzt, dass jegliche Datenverarbeitung öffentlicher Stellen fortan dem Datenschutzrecht unterfallen sollte, insbesondere auch wenn sie nicht automatisiert oder in einer Datei erfolgte, sondern in Akten.[3] Die Datenerhebung, die vorrangig bei der betroffenen Person erfolgen sollte, sowie die Datennutzung waren nun ebenfalls vom Anwendungsbereich des Datenschutzrechts umfasst.[4] Daneben wurden die Legaldefinitionen ausgeweitet, so z.B. für den Begriff des Anonymisierens, und ein verschuldensunabhängiger Schadensersatzanspruch für unzulässige Datenverarbeitung durch die öffentliche Hand statuiert.[5] Im nichtöffentlichen Bereich wurde lediglich der Auskunftsanspruch erweitert.[6] Diese Gesetzesstruktur wurde bis zur großen Novelle im Rahmen der Schaffung des BDSG 2018 beibehalten. Abermals war es so, dass annähernd zeitgleich mit der Verabschiedung des BDSG von 1990 die Debatte um die Notwendigkeit eines Datenschutzrechts auf europäischer Ebene und damit eine erneute Reformdebatte begann.[7]

Anmerkungen

[1]

Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einleitung, Rn. 82: „Flickwerk missglückter Formulierungen und interpretationsoffener Formelkompromisse“.

[2]

BT-Drs. 12/553, S. 85 ff.; vgl. auch Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einleitung, Rn. 66.

[3]

BT-Drs. 12/553, S. 85.

[4]

BT-Drs. 12/553, S. 85.

[5]

BT-Drs. 12/553, S. 85 ff.

[6]

BT-Drs. 12/553, S. 87.

[7]

BT-Drs. 12/553, S. 87.

3. Richtlinie 95/46/EG (DSRL) und BDSG 2001

122

Die nächste Überarbeitung des BDSG war dann bereits durch das europäische Recht geprägt: Es galt, die Richtlinie 95/46/EG in das deutsche Recht zu überführen (dazu sogleich → Rn. 132). Dies geschah mit einiger Verspätung im BDSG von 2001. Die größte Neuerung der Novelle, die vor dem Eindruck eines von der Kommission eingeleiteten Vertragsverletzungsverfahrens gegen Deutschland[1] „hektisch“ die DSRL in nationales Recht transformierte, war dabei die Möglichkeit des freien Datenverkehrs im Binnenmarkt. Vor allem für Unternehmen brachte das einige Vorteile in der täglichen Praxis. Inhaltlich beschränkte man sich weitgehend auf die Umsetzung der DSRL (siehe dazu → Rn. 132). Einige neue inhaltliche Vorgaben beinhaltete die Reform gleichwohl. Dazu zählten Regelungen wie etwa diejenigen zur Videoüberwachung öffentlich zugänglicher Räume und zu Prinzipien der Datenvermeidung und Datensparsamkeit. Das BDSG gliederte sich auch nach der Reform noch in Regelungen für öffentliche und nichtöffentliche Stellen, obwohl diese Unterscheidung so in der DSRL nicht angelegt war. Noch weniger als bei den vorherigen BDSG-Novellen war mit Verabschiedung des Gesetzes die Debatte um eine große Reform abgeschlossen. Vielmehr beabsichtigte man bereits vor (!) der Verabschiedung des Gesetzes eine baldige weitere Reform, in der dann die inhaltlichen Neuerungen, die aufgrund des Zeitdrucks ausgespart blieben, aufgenommen werden sollten.[2]

Anmerkungen

[1]

Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einleitung, Rn. 196.

[2]

Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, Einleitung, Rn. 100.

4. Kleinere Novellen in 2009 und 2010

123

In der folgenden Dekade erfolgten dann aber nur noch kleinere Novellen. So hatte der Gesetzgeber im Jahr 2009 das BDSG insgesamt drei kleineren Novellen unterzogen, deren Änderungen schrittweise erfolgten. Die zweite Novelle[1] trat bereits zum 1.7.2009 in Kraft, die Änderungen der ersten[2] und dritten[3] hingegen folgten erst zum 1.4. bzw. zum 11.6.2010, weil der Bundestag aufgrund vermehrter Datenschutzverstöße großer deutscher Unternehmen dringenden Handlungsbedarf ausmachte und es deshalb für geboten hielt, die zweite Novelle sehr kurzfristig zu verabschieden.[4] Mit ihr sollte rasch gegen skandalöse Datenschutzverstöße vorgegangen werden, die auf große Resonanz in der Öffentlichkeit gestoßen waren. So wurde z.B. eine neue Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten anlässlich eines Skandals in Berlin um verlorene Bankdaten im neuen § 42a in das BDSG a.F. eingeführt oder aufgrund seinerzeit umstrittener Videoüberwachungsmaßnahmen bei Lidl eine Beschäftigtendatenschutznorm in § 32 BDSG a.F. aufgenommen. Die Änderungen im Rahmen der dritten Novelle (2010), die auf Art. 9 der Verbraucherkreditrichtlinie[5] zurückgehen, hatten ihren Schwerpunkt nicht im Datenschutzrecht. Sie bezweckten lediglich, dass Kreditgebern aus sämtlichen Mitgliedstaaten bei grenzüberschreitenden Krediten ein diskriminierungsfreier Zugang zu den zur Bewertung der Kreditwürdigkeit des Verbrauchers verwendeten Auskunftssystemen gewährt wird.

124

Die erste Novelle (2009) enthielt Regelungen hinsichtlich der Datenverarbeitung durch Auskunfteien sowie der Datenübermittlung an Auskunfteien, stellte Anforderungen für die Zulässigkeit von Scoringverfahren auf und stärkte die Auskunfts- und Informationsrechte der betroffenen Personen. Die Neuregelung unterwarf damit einen für die betroffene Person besonders sensiblen Bereich einem differenzierten Regime, weil entsprechende Datenverarbeitungen für die betroffenen Personen – z.B. im Rahmen des Abschlusses eines Kredits bzw. kreditähnlichen Geschäfts – in der Regel direkte Auswirkungen auf den Bezug der gewünschten Leistungen haben.

125

In der zweiten Novelle (ebenfalls 2009) wurden zunächst materiell-rechtliche Änderungen vorgenommen. Neben der Schaffung von Rechtsklarheit bei der Auftragsverarbeitung (damalige Terminologie: Auftragsdatenverarbeitung) hat der Gesetzgeber hier insbesondere versucht, die geltenden Grundsätze beim Beschäftigtendatenschutz zusammenzufassen sowie im Rahmen der Datenverarbeitung zu Werbe- und Adresshandelszwecken der Einwilligung der betroffenen Person mehr Gewicht zu verleihen. Die wohl wichtigsten Änderungen der Novelle erfolgten aber im institutionellen Bereich. Um dem bestehenden Vollzugsdefizit entgegenzuwirken, hat der Gesetzgeber insoweit an drei Stellen Änderungen vorgenommen. So stärkte er auf unternehmensinterner Ebene die Stellung des Datenschutzbeauftragten und erweiterte auf unternehmensexterner Ebene sowohl die Befugnisse der Aufsichtsbehörden als auch die Sanktionsmaßnahmen, die ihnen zur Verfügung standen.

Anmerkungen

[1]

Gesetz zur Änderung datenschutzrechtlicher Vorschriften v. 14.8.2009, BGBl. I, S. 2814; ausführlich zum Gesetzgebungsverfahren Roßnagel, NJW 2009, 2716 (2717).

[2]

Gesetz zur Änderung des Bundesdatenschutzgesetzes v. 29.7.2009, BGBl. I, S. 2254; ausführlich zum Gesetzgebungsverfahren Roßnagel, NJW 2009, 2716 (2717).

[3]

Gesetz zur Umsetzung der Verbraucherkreditrichtlinie des zivilrechtlichen Teils der Zahlungsdiensterichtlinie sowie zur Neuordnung der Vorschriften über das Widerrufs- und Rückgaberecht v. 29.7.2009, BGBl. I, S. 2355, 2384.

[4]

Vgl. ausführlich zur Novellierung des BDSG Kühling/Bohnen, JZ 2010, 600 und Bohnen, Die BDSG Novellen 2009/2010, 2011.

[5]

RL 2008/48/EG v. 23.4.2008 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 87/102/EWG des Rates, ABl. EU 2008, L 133/66.

5. Grundstruktur des BDSG a.F.

126

Das BDSG a.F. – und ihm folgend grundsätzlich auch die Landesdatenschutzgesetze – war in seiner letzten Fassung in sechs Abschnitte untergliedert, von denen vor allem die ersten drei von Bedeutung waren. Der erste Abschnitt war als allgemeiner Teil gleichsam „vor die Klammer gezogen“ und enthielt grundlegende Bestimmungen, die im gesamten Anwendungsbereich des BDSG a.F. Geltung beanspruchten. Im Übrigen erfolgte der Einstieg gemäß der klassischen Systematik über die Festlegung von Zweck und Anwendungsbereich in § 1 BDSG a.F. Hieran knüpften in den §§ 2 und 3 BDSG a.F. Begriffsbestimmungen an. Ein wesentlicher Aspekt der Regelungssystematik wurde bereits hier anhand des § 2 BDSG a.F. deutlich. Dieser war speziell der Definition von öffentlichen und nichtöffentlichen Stellen gewidmet und betonte damit die Bedeutung jener grundlegenden Differenzierung, die auch den weiteren Aufbau des Gesetzes entscheidend prägte. So waren öffentliche Stellen bis zuletzt grundsätzlich anderen Regeln unterworfen als nichtöffentliche. Sowohl materiell-rechtlich als auch prozedural liefen die Regelungen inhaltlich in weiten Teilen jedoch parallel; auch auf der institutionellen Ebene kam es zu Angleichungsprozessen und zwar sowohl mit Blick auf das BDSG a.F. als auch hinsichtlich der LDSGe a.F., so dass zuletzt auch in allen Bundesländern bis auf Bayern eine einheitliche Datenschutzaufsichtsbehörde für öffentliche und nichtöffentliche Stellen tätig wurde (dazu → Rn. 728).

1. Kapitel Grundlagen › D. Entwicklung, Grundstrukturen und Systematik des Datenschutzrechts › III. Die Prägung des Datenschutzrechts durch das Unionsrecht

III. Die Prägung des Datenschutzrechts durch das Unionsrecht

1. Die verschiedenen Sekundärrechtsakte im Überblick

127

Geprägt durch die Vorgaben und Impulse im Rahmen des Europarates (siehe → Rn. 32 ff.) nahm sich auch die damalige Europäische Wirtschaftsgemeinschaft und spätere Europäische Gemeinschaft der Regelung des Datenschutzes an. Von entscheidender umfassender – horizontaler, also nicht sektoraler – Regelungsnatur ist insoweit die Datenschutzrichtlinie 95/46/EG gewesen (dazu unter 2.), die bis zu ihrer Ablösung durch die Datenschutz-Grundverordnung (DS-GVO) im Jahr 2018 (dazu → Rn. 185 ff.) das europäische Datenschutzrecht maßgeblich geprägt hat. Ergänzt wurde sie in sektoraler Perspektive durch die Richtlinie vom 12.7.2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation – EDSRL),[1] zuletzt geändert durch Richtlinie 2009/136/EG[2] (dazu unter → Rn. 156 ff.). Diese gilt zwar noch. Sie soll jedoch in der Folge der Überführung der horizontalen Richtlinie 95/46/EG in eine Datenschutz-Grundverordnung ebenfalls in die Handlungsform einer Verordnung transformiert und modifiziert werden (dazu → Rn. 202).

128

Eine große Bedeutung hatte daneben die Richtlinie vom 15.3.2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, und zur Änderung der Richtlinie 2002/58/EG[3] (dazu unter 4.). Im April 2014 hat der EuGH die Vorratsdatenspeicherungsrichtlinie wegen Verstoßes gegen das Grundrecht auf Achtung des Privat- und Familienlebens (Art. 7 GrCh), das Grundrecht auf Schutz personenbezogener Daten (Art. 8 GrCh) sowie den Verhältnismäßigkeitsgrundsatz (Art. 52 GrCh) für ungültig erklärt (dazu → Rn. 164 ff.).[4] Wegen ihrer erheblichen datenschutzrechtlichen Relevanz und der ungebrochen aktuellen rechtlichen und gesellschaftspolitischen Bedeutung der zugrunde liegenden Problematik soll vorliegend gleichwohl eine nähere Darstellung erfolgen (dazu → Rn. 164 ff.).

129

Darüber hinaus hatte bislang die Verarbeitung personenbezogener Daten, die im Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen erfolgt, den Vorgaben des Rahmenbeschlusses des Rates vom 27.11.2008 über den Schutz personenbezogener Daten, die im Rahmen der PJZS verarbeitet werden, zu genügen.[5] Der Rahmenbeschluss war ausweislich seines Art. 29 Abs. 1 bis zum 27.11.2010 von den Mitgliedstaaten umzusetzen. Er galt nur für den grenzüberschreitenden Austausch von personenbezogenen Daten innerhalb der EU, nicht aber für die Datenverarbeitung innerhalb der Mitgliedstaaten. Das Zweckbindungsprinzip war im Rahmenbeschluss zwar grundsätzlich verankert, gleichzeitig enthielt der Beschluss jedoch eine Fülle von Ausnahmen, die das Zweckbindungsprinzip eher selbst zur Ausnahme als zur Regel machen. Weiterhin ersetzte der Rahmenbeschluss nicht die auf EU-Ebene erlassenen sektorspezifischen Vorschriften über die PJZS wie etwa die Rechtsakte über Europol, Eurojust und das Schengener Informationssystem, die spezielle Datenschutzvorschriften enthalten. Aus diesen Gründen hat die Europäische Union im Zuge der vertieften Harmonisierung auf der Basis der neuen Rechtsgrundlagen des AEUV, auch den datenschutzrechtlichen Bereich der PJZS harmonisiert, und zwar in Form einer Richtlinie (dazu → Rn. 199 ff. und 876 ff.).

Anmerkungen

[1]

RL 2002/58/EG, ABl. EG 2002, L 201, 37.

[2]

RL 2009/136/EG, ABl. EU 2009, L 337, 11.

[3]

RL 2006/24/EG, ABl. EU 2006, L 105, 54.

[4]

EuGH, Urt. v. 8.4.2014, C-293/12 u. C-594/12, ECLI:EU:C:2014:238 – Digital Rights Ireland und Seitlinger u.a.

[5]

Rahmenbeschluss 2008/977/JI, ABl. EU 2008, L 350/60.

2. Umfassende horizontale Regelung in der Richtlinie 95/46/EG (DSRL)[1]

Anmerkungen

[1]

Der folgende Abschnitt ist stark orientiert an Kühling/Raab, in: Kühling/Buchner (Hrsg.), DS-GVO/BDSG, 3. Aufl. 2020, Einführung.

a) Entstehung, Rechtsgrundlage und Kerngehalt

130

Das Europäische Parlament forderte bereits 1975[1], 1976[2], 1979[3] und 1982[4] eine Regelung der Datenverarbeitung, um die Grundrechte des Einzelnen auch im Bereich der sich intensivierenden transeuropäischen Datenströme abzusichern. Die Europäische Kommission reagierte zeitverzögert und präsentierte 1990[5] ein erstes und 1992[6] ein revidiertes zweites Maßnahmenpaket. Die angestrebte Vollendung des Binnenmarkts, aber auch die Einsicht, dass eine menschen- und bürgerrechtliche Absicherung des Gemeinschaftsinformationsmarkts im „Europa der Bürger“ unumgänglich ist, führte 1995 zum Erlass der allgemeinen Datenschutzrichtlinie 95/46/EG.

131

Der Schwerpunkt dieser Richtlinie lag auf der Angleichung des materiell-rechtlichen Datenschutzrechts (dazu unter b)) und der Betroffenenrechte (dazu unter c)). Zwar wurden auch einzelne wichtige institutionelle und prozedurale Zielvorgaben formuliert, gerade in diesen Bereichen überließ die Richtlinie den einzelnen Mitgliedstaaten jedoch erhebliche Ausgestaltungsspielräume.

Anmerkungen

[1]

Entschließung des EP v. 13.3.1975, ABl. EG 1975, C 60/48.

[2]

Entschließung des EP v. 3.5.1976, ABl. EG 1976, C 100/27.

[3]

Entschließung des EP v. 8.5.1979, ABl. EG 1979, C 140/29.

[4]

Entschließung des EP v. 9.3.1982, ABl. EG 1982, C 87/39.

[5]

Mitteilung der Kommission zum Schutz von Personen bei der Verarbeitung personenbezogener Daten in der Gemeinschaft und zur Sicherheit der Informationssysteme v. 13.9.1990, KOM(90) 314 final – SYN 287 u. 288.

[6]

Vorschlag für eine Richtlinie des Rates zum Schutz von Individuen im Hinblick auf die Verarbeitung personenbezogener Daten und den freien Datenverkehr v. 15.10.1992, KOM(92) 422 final – SYN 287.

b) Materiell-rechtlicher Schwerpunkt

aa) Weiter Anwendungsbereich

132

Als Anwendungsbereich markierte die Richtlinie gemäß Art. 3 Abs. 1 die auch nur teilweise automatisierte Verarbeitung personenbezogener Daten ebenso wie die nicht automatisierte Verarbeitung, sofern eine Speicherung dann in einer Datei erfolgte. Die Richtlinie verlagerte damit den datenschutzrechtlichen Anknüpfungspunkt vom Dateibegriff allgemein hin zur automatisierten Verarbeitung personenbezogener Daten.[1] Zwar war in Deutschland für die private Datenverarbeitung der Dateibegriff ausschlaggebend,[2] da aber eine automatisierte Verarbeitung stets darunter subsumiert wurde, hielten sich die Auswirkungen in Grenzen.[3] Neben dem weiten Dateibegriff des Art. 2 lit. c DSRL[4] ging die Richtlinie in Art. 2 lit. b DSRL auch von einer umfassenden Definition der Datenverarbeitung aus und subsumierte darunter entwicklungsoffen jeglichen Datenumgang.[5] Das hinderte den deutschen Gesetzgeber jedoch bedauerlicherweise nicht an der Beibehaltung der Dreiteilung bestehend aus Erhebung, Verarbeitung und Nutzung. Schließlich wurde – die weite Geltung der Richtlinie unterstreichend – auch der Personenbezug in Art. 2 lit. a DSRL extensiv definiert und eine Bestimmbarkeit, also die Möglichkeit einer direkten oder indirekten Identifizierung, als ausreichend erachtet.

133

Als verantwortliche Stelle (so noch die Terminologie in der Richtlinie, inzwischen ist nur noch von dem oder der Verantwortlichen die Rede) definierte die Richtlinie in Art. 2 lit. d DSRL denjenigen, der über die Zwecke und Mittel der Verarbeitung entschied, wovon Empfänger und Dritte abzugrenzen sind. Die Auflösung des Anwendungskonflikts einzelstaatlichen Rechts nahm die Richtlinie in Art. 4 Abs. 1 lit. a DSRL anhand des Sitzlandprinzips vor. Danach war das Recht desjenigen Landes anwendbar, in dem der Verantwortliche seinen Sitz hat.[6] Existierten mehrere Niederlassungen, war deren Sitz ausschlaggebend, mit der Folge, dass auch verschiedene Regelungsregime zur Anwendung kommen konnten.[7]

134

Angesichts des umfassenden Regelungsanspruchs waren schon in der Richtlinie nur wenige Ausnahmen in Art. 3 Abs. 2 DSRL vorgesehen. Das betraf zum einen die eng zu verstehende[8] Datenverarbeitung im persönlichen oder familiären Bereich. Zum anderen erfasste die Richtlinie[9] nicht die Datenverarbeitung in Ausübung einer außerhalb des Anwendungsbereichs des Unionsrechts liegenden Tätigkeit und in den Bereichen der GASP sowie der PJZS. Den unterschiedlichen Gesetzgebungskompetenzen und beschränkten Handlungsmöglichkeiten der EG in jenen Bereichen entsprechend adressierte die Richtlinie damit insbesondere nicht die öffentliche Sicherheit, die Landesverteidigung und die strafrechtliche Tätigkeit eines Staates.[10] Insoweit griff bislang vielmehr der Rahmenbeschluss 2008/977/JI, der jetzt durch die Richtlinie 2016/680/EU (dazu → Rn. 184, 199 ff. und 876 ff.) abgelöst wird, die parallel zur Grundverordnung verhandelt wurde.

Anmerkungen

[1]

Lütkemeier, DuD 1995, 597 (598).

[2]

§ 1 Abs. 2 Nr. 3 BDSG 1990 eröffnete den Anwendungsbereich des BDSG für die nichtöffentlichen Stellen nur, soweit Daten in oder aus Dateien geschäftsmäßig verarbeitet wurden.

[3]

Ehmann/Helfrich, EG-Datenschutzrichtlinie, 1999, Art. 3 Rn. 3 ff.; Wind/Siegert, CR 1993, 46 (47 f.).

[4]

Dammann/Simitis, EG-Datenschutzrichtlinie, 1997, Einleitung Rn. 21.

[5]

Zilkens, RDV 2007, 196 (197).

[6]

Tinnefeld/Buchner/u.a., Einführung in das Datenschutzrecht, 7. Aufl. 2019, S. 224 f.

[7]

Gounalakis/Mand, CR 1997, 431 (435).

[8]

Dammann/Simitis, EG-Datenschutzrichtlinie, 1997, Einleitung Rn. 23.

[9]

Ehmann, RDV 1999, 12 (20).

[10]

Schild, EuZW 1996, 549 (550).

bb) Grundprinzipien

135

Als einen der zentralen Grundsätze des Datenschutzrechts führte die Richtlinie in Art. 6 Abs. 1 UAbs. 1 lit. b DSRL den Zweckbindungsgrundsatz (dazu → Rn. 53 und 349 ff.) ein, wonach eine Verarbeitung nur für festgelegte eindeutige und rechtmäßige Zwecke erfolgen darf und eine mit diesen Zwecken nicht zu vereinbarende Weiterverarbeitung ausgeschlossen ist. Zwar kannte das deutsche Recht diesen Grundsatz bereits für den öffentlichen Bereich. Mangels Trennung zwischen öffentlicher und nichtöffentlicher Datenverarbeitung in der Richtlinie bestand dennoch Umsetzungsbedarf.[1] Der EG-Gesetzgeber schuf insoweit ein im Vergleich zur deutschen Rechtslage und auch der Europarats-Konvention schärferes Datenschutzrecht.[2]

136

Entsprechend dem Ansatz im damaligen BDSG[3] etablierte die DSRL das Verbot mit Zulässigkeitstatbeständen auf supranationaler Ebene. Danach war eine Datenverarbeitung verboten, sofern keine Einwilligung vorlag oder kein sonstiger Zulässigkeitstatbestand nach der DSRL oder einer anderen Norm erfüllt war. Sie machte damit den Datenschutz der betroffenen Person zur Regel und die Verarbeitungsfreiheit des Verantwortlichen zur Ausnahme, was eine gewisse Priorisierung des Datenschutzes zulasten der Verarbeitungsfreiheit impliziert. Ob tatsächlich eine solche stärkere Gewichtung besteht, hängt allerdings maßgeblich von der Reichweite der Zulässigkeitstatbestände und deren praktischer Handhabung ab. Die wichtigsten dieser in Art. 7 DSRL geregelten, weitreichenden Zulässigkeitstatbestände waren die erforderliche Verarbeitung im Rahmen eines Vertragsverhältnisses oder einer rechtlichen Verpflichtung sowie aufgrund einer Abwägung der Interessen des Verantwortlichen und der betroffenen Person. Beruhte die Verarbeitung auf einer Einwilligung, musste diese informiert, ohne Zwang und eindeutig erfolgen. Noch strengere Voraussetzungen etablierte die Richtlinie für die Verarbeitung besonderer Kategorien personenbezogener Daten, die sensiblen Daten, in Art. 8 DSRL. Insoweit war die Richtlinie inspiriert von entsprechenden mitgliedstaatlichen Regelungsansätzen, etwa im spanischen und portugiesischen Recht.[4] Ein weiteres Beispiel nationalgesetzlicher Spuren innerhalb der Richtlinie stellte die Einführung einer Meldepflicht nach Art. 18 f. DSRL dar. Allerdings regelte die Richtlinie sogleich eine Alternative: So durfte von diesem dem französischen Recht entnommenen Erfordernis[5] abgewichen werden, wenn eine verantwortliche Stelle gemäß Art. 18 Abs. 2 2. Spiegelstrich DSRL einen Datenschutzbeauftragten benannte. Hier übernahm die Richtlinie mit dem Datenschutzbeauftragten eine bis dahin lediglich in Deutschland bekannte Institution.[6]

137

Weiteren Umsetzungsbedarf im deutschen Recht generierte die DSRL durch eine vergleichsweise konkretere Regelung der Auftragsverarbeitung (dazu unter der DS-GVO detailliert → Rn. 535 ff.).[7] Art. 2 lit. e DSRL definierte die Auftragsverarbeitung explizit und regelte spezielle Voraussetzungen in Art. 16 f. DSRL. So musste der Auftragsverarbeiter technisch-organisatorische Maßnahmen zum Datenschutz einhalten und der Auftrag vertraglich vereinbart werden, wobei die volle Verantwortlichkeit beim Auftraggeber verblieb und der Auftragsverarbeiter Daten nur auf Weisung verarbeiten durfte. Erst in jüngster Zeit – und ironischer Weise sogar nach Inkrafttreten der DS-GVO – hat der EuGH allerdings in drei Urteilen – Facebook Fanpage[8], Zeugen Jehovas[9] und Fashion ID[10] – klargestellt, dass von einem weiten Konzept der gemeinsamen Verantwortung auszugehen ist, so dass die Reichweite der Auftragsverarbeitung geringer ist, als allgemein vermutet (siehe dazu unten → Rn. 537 ff.).

138

Dem durch die Richtlinie geschaffenen datenschutzrechtlichen Binnenraum folgte eine unterschiedliche Einordnung von Datenübermittlungen innerhalb und außerhalb dieses Binnenraums. Dabei hing deren Zulässigkeit gemäß Art. 25 f. DSRL von einem angemessenen Schutzniveau im jeweiligen Drittland ab. War dieses nicht aufgrund einer Adäquanzentscheidung der Kommission anerkannt, sah die Richtlinie ein Übermittlungsverbot vor, das wiederum durch ausdrückliche Einwilligung der betroffenen Person, verbindliche Unternehmensrichtlinien oder besondere Vertragsklauseln überwunden werden konnte.

Anmerkungen

[1]

Brühann/Zerdick, CR 1996, 429 (431).

[2]

Wind/Siegert, CR 1993, 46 (49).

[3]

Gounalakis/Mand, CR 1997, 431 (433).

[4]

Darauf weist Dammann/Simitis, EG-Datenschutzrichtlinie, 1997, Einleitung Rn. 11, hin.

[5]

Siehe dazu wiederum Dammann/Simitis, EG-Datenschutzrichtlinie, 1997, Einleitung Rn. 12.

[6]

Lütkemeier, DuD 1995, 597 (600).

[7]

Brühann/Zerdick, CR 1996, 429 (430).

[8]

EuGH, Urt. v. 5.6.2018, C-210/16, ECLI:EU:C:2018:388 – Facebook Fanpages.

[9]

EuGH, Urt. v. 10.7.2018, C-25/17, ECLI:EU:C:2018:551 – Zeugen Jehovas.

[10]

EuGH, Urt. v. 29.7.2019, C-40/17, ECLI:EU:C:2019:629 – Fashion ID.

c) Harmonisierung der Betroffenenrechte

139

Schon früh hatte die datenschutzrechtliche Regulierungspraxis gezeigt, dass es nicht nur auf eine materiell-rechtliche Steuerung der Datenverarbeitung ankommt, sondern die betroffenen Personen auch prozedural Rechte benötigen, um etwaige Datenschutzverstöße zu erkennen und zu beseitigen. Als Grundlage der Ausübung der Betroffenenrechte führte die Richtlinie in den Art. 10 ff. DSRL vor diesem Hintergrund umfassende Transparenzpflichten ein.[1] In den Vordergrund rückte die Richtlinie die Informationspflicht und differenziert dabei danach, ob die Erhebung bei der betroffenen Person stattfindet oder bei Dritten. Von großer Bedeutung war ergänzend das Auskunftsrecht.[2] Daran wurden die Rechte auf Berichtigung, Löschung und Sperrung aus Art. 12 lit. b DSRL geknüpft.[3] Zwei weitere Schutzprinzipien wurden aus dem französischen Recht entlehnt: Zum einen wurde in Art. 14 DSRL ein allgemeines Widerspruchsrecht eingeführt,[4] das in Deutschland bis dahin nur speziell in Bezug auf Datenverarbeitung zu Werbezwecken bekannt war.[5] Zum anderen schuf Art. 15 DSRL – eine Regelung betreffend automatisierte Einzelentscheidungen[6] – ein wichtiges Rechtsschutzinstrument gegen den zunehmenden Einsatz von Datenverarbeitungsautomatismen.[7]

Anmerkungen

[1]

Dammann/Simitis, EG-Datenschutzrichtlinie, 1997, Einleitung Rn. 32.

[2]

Schneider, in: Wolff/Brink (Hrsg.), BeckOK Datenschutzrecht, 33. Ed. 2020, Syst. B Rn. 117.

[3]

Zilkens, RDV 2007, 196 (198).

[4]

Gounalakis/Mand, CR 1997, 497 (498 f.).

[5]

Wind/Siegert, CR 1993, 46 (51.)

[6]

Wuermeling, DB 1996, 663 (668).

[7]

Dammann/Simitis, EG-Datenschutzrichtlinie, 1997, Einleitung Rn. 39; Schneider, in: Wolff/Brink (Hrsg.), BeckOK Datenschutzrecht, 33. Ed. 2020, Syst. B Rn. 122.

d) Institutionelle Vorgaben

140

Die Richtlinie traf auch wesentliche Regelungen zu institutionellen und prozeduralen Aspekten. Die diesbezüglichen Vorgaben waren jedoch eher knapp gehalten[1] und überließen es den Mitgliedstaaten, diese Zielvorgaben im nationalen Recht auszudifferenzieren. Zentral war gleichwohl, dass in institutioneller Perspektive gemäß Art. 28 eine Aufsichtsbehörde in völliger Unabhängigkeit und mit angemessenen Vollzugsinstrumenten installiert werden musste, was ein deutliches Bekenntnis zu einem wirksamen Datenschutz auch im Vergleich zu den Ansätzen der Europarats-Konvention darstellte.[2] Die strengen Vorgaben führten auch zu einer Stärkung der Stellung der Aufsichtsbehörden in Deutschland, die bis dahin nur über ein Beanstandungsrecht verfügten.[3] Die Richtlinie sah in Art. 28 Abs. 3 dagegen u.a. etwa ein Klagerecht und die Möglichkeit der Untersagung der Verarbeitung vor. Als erster Schritt einer institutionellen Verflechtung im Mehrebenenverbund wurde gemäß Art. 29 eine europäische Datenschutzgruppe eingeführt, die sich aus Vertretern der einzelnen mitgliedstaatlichen Aufsichtsbehörden zusammensetzt (sog. Art.-29-Datenschutzgruppe).[4] Diese hatte die Aufgabe, u.a. die Kommission zu beraten, vor allem aber für eine einheitliche Anwendung der Richtlinie in den Mitgliedstaaten zu sorgen.[5]

141

Auf prozeduraler Ebene nahmen Art. 22 f. DSRL die Mitgliedstaaten in die Pflicht, den betroffenen Personen gerichtlichen Rechtsschutz zu ermöglichen, die dabei auch in der Lage sein sollten, Schadensersatzansprüche geltend machen zu können. Ergänzend waren gemäß Art. 24 DSRL geeignete Maßnahmen einzuführen, insbesondere Sanktionen, um die Einhaltung der Richtlinienvorgaben sicherzustellen.

Anmerkungen

[1]

Schneider, in: Wolff/Brink (Hrsg.), BeckOK Datenschutzrecht, 33. Ed. 2020, Syst. B Rn. 136.

[2]

Dammann/Simitis, EG-Datenschutzrichtlinie, 1997, Art. 28 Rn. 1.

[3]

Wuermeling, DB 1996, 663 (669 f.).

[4]

Ehmann/Helfrich, EG-Datenschutzrichtlinie, 1999, Art. 29 Rn. 3; Lütkemeier, DuD 1995, 597 (602).

[5]

Schild, EuZW 1996, 549 (554).

e) Präzisierung und Verschärfung durch die Rechtsprechung des EuGH

142

Zentral für die Entwicklung des europäischen Datenschutzrechts war auch die Rechtsprechung des EuGH zur Anwendung der DSRL, die zu einer Präzisierung und Schärfung ihrer Steuerungswirkung geführt hat. Trotz ihrer Entstehung und Umsetzung Mitte und Ende der 1990er Jahre, war die Richtlinie erst seit 2010 vermehrt Gegenstand höchstrichterlicher Rechtsprechung. Dabei interpretierte der EuGH die Richtlinie streng, auch im Lichte der Grundrechte, gab den mitgliedstaatlichen Gerichten oftmals jedoch nur Leitlinien für die konkrete Anwendung im nationalen Recht an die Hand. Die im Folgenden dargestellte Rechtsprechung wird teilweise auch noch die Auslegung der DS-GVO beeinflussen, denn zu dieser wird eine relevante EuGH-Rechtsprechung erst allmählich zu erwarten sein. Die noch immer relevanten Auswirkungen des umfangreichen Rechtsprechungskorpus des EuGH zur Richtlinie auch auf die DS-GVO wurden in jüngerer Zeit nochmal deutlich mit Blick auf die Ausbuchstabierung des Konzepts der gemeinsamen Verantwortung, die sich noch auf den Normtext der Richtlinie bezieht, aber vor allem für das Verständnis der DS-GVO von Bedeutung ist (siehe dazu oben → Rn. 137 und unten → Rn. 537 ff.).

aa) Verdeutlichung des Wirkkreises der DSRL

143

In einer Reihe von Urteilen hat der EuGH der Richtlinie insbesondere ein weitreichendes Harmonisierungskonzept entnommen. Im ORF-Urteil[1] musste sich der Gerichtshof zur Vereinbarkeit der in Österreich praktizierten namentlichen Offenlegung von Gehältern im öffentlich-rechtlichen Rundfunk äußern und über die Vereinbarkeit jener Regelung mit den Vorgaben der Richtlinie entscheiden. Bereits in dieser Entscheidung verdeutlichte der EuGH, dass die Richtlinie ihre Wirkung innerhalb eines Mitgliedstaates auch dann entfalten müsse, wenn grundsätzlich kein grenzüberschreitender Sachverhalt vorliege. Ziel der Richtlinie sei gerade die – bei den auf Art. 114 AEUV (ex Art. 100a EGV – Amsterdam) basierenden Rechtsakten immanente – unionsweite Harmonisierung des Datenschutzrechts. Davon seien auch rein nationale Sachverhalte betroffen. Andernfalls hinge es von den Zufälligkeiten des Datenverkehrs ab, ob das Richtlinienrecht zur Anwendung käme oder nicht.[2] Damit war zu Recht die umfassende Anwendung der Richtlinie auch auf rein innerstaatliche Sachverhalte geklärt, die im Rahmen der Binnenmarktharmonisierung ebenfalls erfasst werden.

144

Kurz darauf musste sich der EuGH in der Entscheidung Lindqvist[3] mit der richtlinienrechtlichen Bewertung der Veröffentlichung von Informationen im Internet befassen. Dabei judizierte der Gerichtshof eher beiläufig und daher in der Wirkung weitgehend verkannt, die Richtlinie sei „nicht auf eine Mindestharmonisierung beschränkt, sondern führe zu einer grundsätzlich umfassenden Harmonisierung.“[4] Damit attestiert der EuGH der Richtlinie eine vollharmonisierende Wirkung, mit der Folge, dass ein Abweichen von dem darin vorgegebenen Schutzniveau grundsätzlich weder nach oben noch nach unten zulässig ist. Einer Ausdehnung der Richtlinienvorgaben auf solche Bereiche, die von der Richtlinie nicht erfasst werden, stünde hingegen nichts entgegen.[5] Dies bestätigte der Gerichtshof noch einmal im Urteil Huber.[6] Hier ging es um die Vereinbarkeit der Verwendung von Daten des deutschen Ausländerzentralregisters zu statistischen Zwecken mit der Richtlinie. Der EuGH stellte erneut deren „grundsätzlich umfassende […] Harmonisierung“ fest.[7]

145

Das deutlichste Signal zur vollharmonisierenden Wirkung der Richtlinie gab der Gerichtshof schließlich in seiner ASNEF-Entscheidung.[8] Der EuGH musste einen spanischen Zulässigkeitstatbestand, der Art. 7 lit. f DSRL umsetzte, auf dessen Richtlinienkonformität überprüfen. Das Problem dabei war, dass die spanische Norm eine Interessensabwägung, wie sie Art. 7 lit. f DSRL fordert, nur dann ermöglichte, wenn die Daten in öffentlichen Verzeichnissen vorhanden waren. Eine Interessensabwägung bei anderweitig gespeicherten Daten war dagegen kategorisch ausgeschlossen. Der EuGH griff die in den vorherigen Urteilen entwickelten Grundsätze auf und verdeutlichte sie anhand des Art. 5 DSRL. Danach können die Mitgliedstaaten die Voraussetzungen der Rechtmäßigkeit einer Datenverarbeitung nach Maßgabe der Richtlinie – also auch nach Art. 7 lit. f DSRL – näher bestimmen. Aufgrund der vollharmonisierenden Wirkung der Richtlinie sei es den Mitgliedstaaten zwar gestattet, Leitlinien in Bezug auf die nach Art. 7 lit. f DSRL zu treffende Abwägung aufzustellen.[9] Nicht vereinbar mit der Richtlinie sei es hingegen, weitere Zulässigkeitstatbestände neben den in Art. 7 DSRL genannten einzuführen oder deren Voraussetzungen zu verändern,[10] mit der Folge, dass ein schwächeres oder strengeres Niveau verglichen mit der Richtlinie greife. Im Übrigen nahm der EuGH eine unmittelbare Wirkung jener Norm der DSRL an, so dass sich Datenverarbeiter unmittelbar auf jene Bestimmung für ihre Datenverarbeitung berufen können. Art. 7 lit. f DSRL war auch Grundlage vieler Zulässigkeitstatbestände in den §§ 28 ff. BDSG a.F. und bereichsspezifischer Regelungen. Auch wenn in der Literatur durchaus vereinzelt auf die „Sprengkraft“ des Urteils hingewiesen wurde,[11] blieben die erwarteten Auswirkungen auf das deutsche Datenschutzrecht doch aus. Der Gesetzgeber ignorierte das Urteil schlichtweg. Dabei hätte eine umfassende Analyse durchaus offenbart, dass einige deutsche Vorschriften den Vorgaben des Unionsrechts im Lichte der Rechtsprechung des EuGH widersprachen und diese Widersprüche auch im Rahmen einer richtlinienkonformen Auslegung oftmals nicht behoben werden können.[12] Zuletzt hat der EuGH folgerichtig § 15 TMG für nicht vereinbar mit Art. 7 lit. f DSRL erklärt, da auch diese Bestimmung im Telemedienbereich keine entsprechende Abwägung ermöglicht.[13]