Читать книгу: «DSGVO - BDSG - TTDSG»
Kommentar
DSGVO – BDSG – TTDSG
Herausgegeben von
Univ.-Prof. Prof. h.c. Dr. Jürgen Taeger
Rechtsanwalt/Of Counsel, Köln/Oldenburg
und
Dr. Detlev Gabel
Rechtsanwalt, Frankfurt am Main
Bearbeitet von:
Dr. Marian Alexander Arning, LL.M.; Dr. Anna K. Bernzen; Dr. Martin Braun;
Dr. Diana Ettig, LL.M.; Dr. Detlev Gabel; Prof. Dr. Alexander Golland;
Jan Felix Grabenschröer, LL.M.; Joachim Grittmann; Dr. Stefanie Hellmich, LL.M.;
Britta Hinzpeter, LL.M.; Dr. Anja Keller; Dr. Karsten Kinast, LL.M.;
Dr. Ansgar Koreng; Sascha Kremer; Dr. Markus Lang; Dr. Hannah Lee-Wunderlich;
Dr. Sebastian Louven; Dr. Holger Lutz, LL.M.; Dr. Jan Geert Meents;
Dr. Britta Alexandra Mester; Dr. Flemming Moos; Dr. Martin Munz, LL.M. (Illinois);
Malaika Nolde, LL.M.; Jan Pohle; Boris Reibach, LL.M.; Anne Reiher, LL.M.;
Wiebke Reuter, LL.M.; Dr. Edgar Rose; Dr. Tobias Rothkegel; Dr. Jens Schefzig;
Dr. Gregor Scheja; Dr. Bernd Schmidt, LL.M. (Auckland); Dr. Jyn Schultze-Melling,
LL.M.; Jan Spittka; Univ.-Prof. Prof. h.c. Dr. Jürgen Taeger; Barbara Thiel;
Dr. Frederic Ufer; Dr. Paul Voigt, Lic. en Derecho; Dr. DietrichWestphal,
M. Jur. (Oxford); TimWybitul; Johannes Zhou; Oliver Zöll
4., völlig neu bearbeitete und wesentlich erweiterte Auflage 2022
Fachmedien Recht und Wirtschaft | dfv Mediengruppe | Frankfurt am Main
Bibliografische Information der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
ISBN 978-3-8005-1760-2
© 2022 Deutscher Fachverlag GmbH, Fachmedien Recht und Wirtschaft, Frankfurt am Main
Der Verlag im Internet: www.ruw.de
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Satzkonvertierung: Lichtsatz Michael Glaese GmbH, 69502 Hemsbach
Druck und Verarbeitung: Kösel GmbH & Co. KG, 87452 Altusried-Krugzell
Printed in Germany
Vorwort
Am 25. Mai 2018 hat eine neue Zeitrechnung im europäischen Datenschutzrecht begonnen. Seit diesem Tag ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung oder kurz DSGVO) unmittelbar geltendes Recht in allen Mitgliedstaaten der Europäischen Union. Das erklärte Ziel der DSGVO ist es, die Grundrechte der Bürger im digitalen Zeitalter zu stärken und Geschäftstätigkeiten national und international zu erleichtern, indem die Datenschutzregeln im digitalen Binnenmarkt vereinfacht und vereinheitlicht werden. Die DSGVO ersetzt die Richtlinie 95/46/EG aus dem Jahr 1995 und die auf deren Grundlage jeweils ergangenen nationalen Umsetzungsvorschriften. Der Unionsgesetzgeber hat sich dabei bewusst für das Instrument der Verordnung entschieden, damit innerhalb der Union ein gleichmäßiges Datenschutzniveau gewährleistet ist. Eine eingehende Auseinandersetzung mit den Vorgaben der DSGVO ist daher auch für den deutschen Rechtsanwender unabdingbar.
Ungeachtet der angestrebten europaweiten Vereinheitlichung des Datenschutzrechts sieht die DSGVO eine Reihe von Öffnungsklauseln für den nationalen Gesetzgeber vor, auf deren Grundlage er abweichende oder ergänzende Bestimmungen treffen kann. Zudem enthält die DSGVO konkrete, an die Mitgliedstaaten gerichtete Regelungsaufträge. Der deutsche Gesetzgeber hat den sich daraus im allgemeinen Datenschutzrecht ergebenden Anpassungsbedarf im Rahmen des sog. Datenschutz-Anpassungs- und -Umsetzungsgesetzes EU in Form einer vollständigen, im Juni 2017 verkündeten und parallel zur DSGVO in Kraft getretenen Neufassung des Bundesdatenschutzgesetzes (BDSG) vollzogen. Dies betrifft etwa die Ausgestaltung der Datenschutzaufsicht, die Schaffung von Rechtsgrundlagen für besondere Verarbeitungssituationen wie die Videoüberwachung und die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses sowie eine weitere Ausformung der Betroffenenrechte.
Im Umgang mit den neuen Vorgaben besteht freilich von Anfang an viel Unsicherheit. Dies liegt nicht nur an der eingeschränkten Übersichtlichkeit aufgrund der Menge an Vorschriften (99 Artikel in der DSGVO, die von 173 Erwägungsgründen getragen werden, sowie inzwischen 86 Paragraphen im novellierten BDSG), sondern auch an zahlreichen Unklarheiten und Inkonsistenzen im Regelwerk, die dem langwierigen und am Ende von zahlreichen Kompromissen gekennzeichneten Gesetzgebungsverfahren geschuldet sind. Verstärkt wird die Unsicherheit durch die hohen, kartellrechtsähnlichen Bußgelder, die nunmehr bei Datenschutzverstößen fällig werden können.
Durch das im November 2019 verkündete und in Kraft getretene Zweite Datenschutz-Anpassungs- und -Umsetzungsgesetz EU wurde das BDSG nochmals geringfügig geändert und erweitert. Vor allem wurden jedoch weite Teile der bereichsspezifischen Datenschutzgesetzgebung an die DSGVO angepasst. Mit dem im Juni 2021 verkündeten und im Dezember 2021 in Kraft tretenden Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) hat der Gesetzgeber schließlich die Datenschutzbestimmungen des Telekommunikationsgesetzes und des Telemediengesetzes zusammengeführt und ebenfalls mit der DSGVO harmonisiert. Flankiert wurden diese Entwicklungen durch zahlreiche aufsichtsbehördliche Stellungnahmen und gerichtliche Entscheidungen zu Anwendungs- und Auslegungsfragen sowohl auf nationaler als auch auf europäischer Ebene.
Wie auch schon mit den vorangegangenen Auflagen möchte das vorliegende Werk diese dynamischen Veränderungen nachvollziehen und dabei dem Bedürfnis nach einer wissenschaftlichen Ansprüchen genügenden, dennoch leicht verständlichen, aktuellen und an den Erfordernissen der Praxis orientierten Erläuterung der fraglichen Regelungen Rechnung tragen. Kommentiert werden die DSGVO und die sich auf diese beziehenden Teile 1 und 2 des BDSG sowie – neu – das TTDSG.
Die Kommentierung befindet sich grundsätzlich auf dem Stand Juni 2021. Neuere Entscheidungen, Veröffentlichungen, aufsichtsbehördliche Stellungnahmen und andere Rechtsentwicklungen wurden vereinzelt bis zur Drucklegung nachgetragen.
Unser Dank gilt dem Autorenteam, das zum großen Teil bereits an den Vorauflagen mitgewirkt hat und Experten umfasst, die in Unternehmen, Verwaltung, Wissenschaft und Rechtsanwaltschaft jahrelange Erfahrung in Datenschutzfragen gesammelt haben. Gegenüber der Vorauflage sind Frau Dr. Anna K. Bernzen, Herr Dr. Martin Braun, Frau Dr. Diana Ettig, Frau Dr. Anja Keller, Herr Dr. Frederic Ufer, Herr Tim Wybitul sowie Herr Johannes Zhou zum Kreis der Autoren hinzugekommen.
Ebenso sind wir dem Deutschen Fachverlag, Fachmedien Recht und Wirtschaft, insbesondere Frau Tanja Brücker, für die unermüdliche und umsichtige verlegerische Betreuung zu Dank verpflichtet.
Für Hinweise, Kritik und Anregungen sind wir weiterhin offen.
| Oktober 2021 | Die Herausgeber |
Bearbeiterverzeichnis
| Dr. Marian Alexander Arning LL.M. | Art. 4 DSGVO; § 2 BDSG |
| Dr. Anna K. Bernzen | § 4 TTDSG |
| Dr. Martin Braun | §§ 6, 12, 14–18 TTDSG |
| Dr. Diana Ettig, LL.M. | Einl. TTDSG, §§ 1, 2, 20–26 TTDSG |
| Dr. Detlev Gabel | Art. 28, 29, 44–50 DSGVO |
| Prof. Dr. Alexander Golland | Art. 94–99 DSGVO |
| Jan Felix Grabenschröer, LL.M. | § 4 BDSG |
| Joachim Grittmann | Art. 51–59 DSGVO; §§ 8–16 BDSG |
| Dr. Stefanie Hellmich, LL.M. | Art. 68–76 DSGVO; §§ 17–19 BDSG |
| Britta Hinzpeter, LL.M. | Art. 16–18 DSGVO |
| Dr. Anja Keller | Art. 85 DSGVO |
| Dr. Karsten Kinast, LL.M. | Art. 40–43, 91 DSGVO; §§ 38, 39 BDSG |
| Dr. Ansgar Koreng | Art. 23 DSGVO; §§ 32–36 BDSG |
| Sascha Kremer | Art. 63–67 DSGVO |
| Dr. Markus Lang | Art. 24–27 DSGVO; § 3 BDSG |
| Dr. Hannah Lee-Wunderlich | Art. 11 DSGVO |
| Dr. Sebastian Louven | Art. 89, 90, 92, 93 DSGVO; §§ 27–29 BDSG |
| Dr. Holger Lutz, LL.M. | Art. 28, 29 DSGVO |
| Dr. Jan Geert Meents | Art. 16–18 DSGVO |
| Dr. Britta Alexandra Mester | Art. 9, 13–15, 86, 87 DSGVO |
| Dr. Flemming Moos | Art. 77–84 DSGVO; § 19 TTDSG |
| Dr. Martin Munz, LL.M. (Illinois) | Art. 20, 21 DSGVO; Einl. TTDSG Teil 2, §§ 3, 5 7–11, 13 TTDSG |
| Malaika Nolde, LL.M. | Art. 10 DSGVO |
| Jan Pohle | Art. 12, 19 DSGVO; §§ 20, 21, 44 BDSG |
| Boris Reibach, LL.M. | Art. 35, 36 DSGVO |
| Anne Reiher, LL.M. | Art. 91 DSGVO |
| Wiebke Reuter, LL.M. | § 4 BDSG |
| Dr. Edgar Rose | §§ 22–25 BDSG |
| Dr. Tobias Rothkegel | Art. 4 DSGVO; § 2 BDSG |
| Dr. Jens Schefzig | Art. 77–84 DSGVO |
| Dr. Gregor Scheja | Art. 37–39 DSGVO; §§ 5–7 BDSG |
| Dr. Bernd Schmidt, LL.M (Auckland) | Einf.; Art. 1–3 DSGVO; § 1 BDSG |
| Dr. Jyn Schultze-Melling, LL.M. | Art. 30–34 DSGVO |
| Jan Spittka | Art. 12, 19 DSGVO; §§ 20, 21, 44 BDSG |
| Prof. Dr. Jürgen Taeger | Einf.; Art. 6–8, 22 DSGVO; §§ 30, 31, 37 BDSG |
| Barbara Thiel | Art. 60–62 DSGVO; § 40 BDSG |
| Dr. Frederic Ufer | §§ 27–30 TTDSG |
| Dr. Paul Voigt, Lic. en Derecho | Art. 5 DSGVO |
| Dr. Dietrich Westphal M. Jur. (Oxford) | Art. 85 DSGVO |
| Tim Wybitul | §§ 41–43 BDSG |
| Johannes Zhou | §§ 41–43 BDSG |
| Oliver Zöll | Art. 88 DSGVO; § 26 BDSG |
Inhaltsverzeichnis
1 Vorwort
2 Bearbeiterverzeichnis
3 Abkürzungsverzeichnis
4 Literaturverzeichnis
5 1. Teil: EU-Datenschutz-Grundverordnung Einführung Kapitel 1 Allgemeine Bestimmungen Art. 1 Gegenstand und Ziele Art. 2 Sachlicher Anwendungsbereich Art. 3 Räumlicher Anwendungsbereich Art. 4 Begriffsbestimmungen Kapitel 2 Grundsätze Art. 5 Grundsätze für die Verarbeitung personenbezogener Daten Art. 6 Rechtmäßigkeit der Verarbeitung Art. 7 Bedingung für die Einwilligung Art. 8 Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft Art. 9 Verarbeitung besonderer Kategorien personenbezogener Daten Art. 10 Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten Art. 11 Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist Kapitel 3 Rechte der betroffenen Person Abschnitt 1 Transparenz und Modalitäten Art. 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person Abschnitt 2 Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten Art. 13 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden Art. 15 Auskunftsrecht der betroffenen Person Abschnitt 3 Berichtigung und Löschung Art. 16 Recht auf Berichtigung Art. 17 Recht auf Löschung („Recht auf Vergessenwerden“) Art. 18 Recht auf Einschränkung der Verarbeitung Art. 19 Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung Art. 20 Recht auf Datenübertragbarkeit Abschnitt 4 Widerspruchsrecht und automatisierte Entscheidungsfindung im Einzelfall Art. 21 Widerspruchsrecht Art. 22 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling Abschnitt 5 Beschränkungen Art. 23 Beschränkungen Kapitel 4 Verantwortlicher und Auftragsverarbeiter Abschnitt 1 Allgemeine Pflichten Art. 24 Verantwortung des für die Verarbeitung Verantwortlichen Art. 25 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen Art. 26 Gemeinsam Verantwortliche Art. 27 Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeitern Art. 28 Auftragsverarbeiter Art. 29 Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters Art. 30 Verzeichnis von Verarbeitungstätigkeiten Art. 31 Zusammenarbeit mit der Aufsichtsbehörde Abschnitt 2 Sicherheit personenbezogener Daten Art. 32 Sicherheit der Verarbeitung Art. 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde Art. 34 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person Abschnitt 3 Datenschutz-Folgenabschätzung und vorherige Konsultation Art. 35 Datenschutz-Folgenabschätzung Art. 36 Vorherige Konsultation Abschnitt 4 Datenschutzbeauftragter Art. 37 Anwendungsbereich und Begriffsbestimmungen Art. 38 Stellung des Datenschutzbeauftragten Art. 39 Aufgaben des Datenschutzbeauftragten Abschnitt 5 Verhaltensregeln und Zertifizierung Art. 40 Verhaltensregeln Art. 41 Überwachung der genehmigten Verhaltensregeln Art. 42 Zertifizierung Art. 43 Zertifizierungsstellen Kapitel 5 Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen Art. 44 Allgemeine Grundsätze der Datenübermittlung Art. 45 Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses Art. 46 Datenübermittlung vorbehaltlich geeigneter Garantien Art. 47 Verbindliche interne Datenschutzvorschriften Art. 48 Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung Art. 49 Ausnahmen für bestimmte Fälle Art. 50 Internationale Zusammenarbeit zum Schutz personenbezogener Daten Kapitel 6 Unabhängige Aufsichtsbehörden Abschnitt 1 Unabhängigkeit Art. 51 Aufsichtsbehörde Art. 52 Unabhängigkeit Art. 53 Allgemeine Bedingungen für die Mitglieder der Aufsichtsbehörde Art. 54 Errichtung der Aufsichtsbehörde Abschnitt 2 Zuständigkeit, Aufgaben und Befugnisse Art. 55 Zuständigkeit Art. 56 Zuständigkeit der federführenden Aufsichtsbehörde Art. 57 Aufgaben Art. 58 Befugnisse Art. 59 Tätigkeitsbericht Kapitel 7 Zusammenarbeit und Kohärenz Abschnitt 1 Zusammenarbeit Art. 60 Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden Art. 61 Gegenseitige Amtshilfe Art. 62 Gemeinsame Maßnahmen der Aufsichtsbehörden Abschnitt 2 Kohärenz Art. 63 Kohärenzverfahren Art. 64 Stellungnahme des Ausschusses Art. 65 Streitbeilegung durch den Ausschuss Art. 66 Dringlichkeitsverfahren Art. 67 Informationsaustausch Abschnitt 3 Europäischer Datenschutzausschuss Art. 68 Europäischer Datenschutzausschuss Art. 69 Unabhängigkeit Art. 70 Aufgaben des Ausschusses Art. 71 Berichterstattung Art. 72 Verfahrensweise Art. 73 Vorsitz Art. 74 Aufgaben des Vorsitzes Art. 75 Sekretariat Art. 76 Vertraulichkeit Kapitel 8 Rechtsbehelfe, Haftung und Sanktionen Art. 77 Recht auf Beschwerde bei einer Aufsichtsbehörde Art. 78 Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde Art. 79 Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter Art. 80 Vertretung von betroffenen Personen Art. 81 Aussetzung des Verfahrens Art. 82 Haftung und Recht auf Schadensersatz Art. 83 Allgemeine Bedingungen für die Verhängung von Geldbußen Art. 84 Sanktionen Kapitel 9 Vorschriften für besondere Verarbeitungssituationen Art. 85 Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit Art. 86 Verarbeitung und Zugang der Öffentlichkeit zu amtlichen Dokumenten Art. 87 Verarbeitung der nationalen Kennziffer Art. 88 Datenverarbeitung im Beschäftigungskontext Art. 89 Garantien und Ausnahmen in Bezug auf die Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken Art. 90 Geheimhaltungspflichten Art. 91 Bestehende Datenschutzvorschriften von Kirchen und religiösen Vereinigungen oder Gemeinschaften Kapitel 10 Delegierte Rechtsakte und Durchführungsrechtsakte Art. 92 Ausübung der Befugnisübertragung Art. 93 Ausschussverfahren Kapitel 11 Schlussbestimmungen Art. 94 Aufhebung der Richtlinie 95/46/EG Art. 95 Verhältnis zur Richtlinie 2002/58/EG Art. 96 Verhältnis zu bereits geschlossenen Übereinkünften Art. 97 Berichte der Kommission Art. 98 Überprüfung anderer Rechtsakte der Union zum Datenschutz Art. 99 Inkrafttreten und Anwendung
6 2. Teil: Bundesdatenschutzgesetz Teil 1 Gemeinsame Bestimmungen Kapitel 1 Anwendungsbereich und Begriffsbestimmungen § 1 Anwendungsbereich des Gesetzes § 2 Begriffsbestimmungen Kapitel 2 Rechtsgrundlagen der Verarbeitung personenbezogener Daten § 3 Verarbeitung personenbezogener Daten durch öffentliche Stellen § 4 Videoüberwachung öffentlich zugänglicher Räume Kapitel 3 Datenschutzbeauftragte öffentlicher Stellen § 5 Benennung § 6 Stellung § 7 Aufgaben Kapitel 4 Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit § 8 Errichtung § 9 Zuständigkeit § 10 Unabhängigkeit § 11 Ernennung und Amtszeit § 12 Amtsverhältnis § 13 Rechte und Pflichten § 14 Aufgaben § 15 Tätigkeitsbericht § 16 Befugnisse Kapitel 5 Vertretung im Europäischen Datenschutzausschuss, zentrale Anlaufstelle, Zusammenarbeit der Aufsichtsbehörden des Bundes und der Länder in Angelegenheiten der Europäischen Union § 17 Vertretung im Europäischen Datenschutzausschuss, zentrale Anlaufstelle § 18 Verfahren der Zusammenarbeit der Aufsichtsbehörden des Bundes und der Länder § 19 Zuständigkeiten Kapitel 6 Rechtsbehelfe § 20 Gerichtlicher Rechtsschutz § 21 Antrag der Aufsichtsbehörde auf gerichtliche Entscheidung bei angenommener Rechtswidrigkeit eines Beschlusses der Europäischen Kommission Teil 2 Durchführungsbestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 Kapitel 1 Rechtsgrundlagen der Verarbeitung personenbezogener Daten Abschnitt 1 Verarbeitung besonderer Kategorien personenbezogener Daten und Verarbeitung zu anderen Zwecken Abschnitt 2 Besondere Verarbeitungssituationen Kapitel 2 Rechte der betroffenen Person § 32 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person § 33 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden § 34 Auskunftsrecht der betroffenen Person § 35 Recht auf Löschung § 36 Widerspruchsrecht § 37 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling Kapitel 3 Pflichten der Verantwortlichen und Auftragsverarbeiter § 38 Datenschutzbeauftragte nichtöffentlicher Stellen § 39 Akkreditierung Kapitel 4 Aufsichtsbehörde für die Datenverarbeitung durch nichtöffentliche Stellen § 40 Aufsichtsbehörden der Länder Kapitel 5 Sanktionen § 41 Anwendung der Vorschriften über das Bußgeld- und Strafverfahren § 42 Strafvorschriften § 43 Bußgeldvorschriften Kapitel 6 Rechtsbehelfe § 44 Klagen gegen den Verantwortlichen oder Auftragsverarbeiter Teil 3 Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 Kapitel 1 Anwendungsbereich, Begriffsbestimmungen und allgemeine Grundsätze für die Verarbeitung personenbezogener Daten § 45 Anwendungsbereich § 46 Begriffsbestimmungen § 47 Allgemeine Grundsätze für die Verarbeitung personenbezogener Daten Kapitel 2 Rechtsgrundlagen der Verarbeitung personenbezogener Daten § 48 Verarbeitung besonderer Kategorien personenbezogener Daten § 49 Verarbeitung zu anderen Zwecken § 50 Verarbeitung zu archivarischen, wissenschaftlichen und statistischen Zwecken § 51 Einwilligung § 52 Verarbeitung auf Weisung des Verantwortlichen § 53 Datengeheimnis § 54 Automatisierte Einzelentscheidung Kapitel 3 Rechte der betroffenen Person § 55 Allgemeine Informationen zu Datenverarbeitungen § 56 Benachrichtigung betroffener Personen § 57 Auskunftsrecht § 58 Rechte auf Berichtigung und Löschung sowie Einschränkung der Verarbeitung § 59 Verfahren für die Ausübung der Rechte der betroffenen Person § 60 Anrufung der oder des Bundesbeauftragten § 61 Rechtsschutz gegen Entscheidungen der oder des Bundesbeauftragten oder bei deren oder dessen Untätigkeit Kapitel 4 Pflichten der Verantwortlichen und Auftragsverarbeiter § 62 Auftragsverarbeitung § 63 Gemeinsam Verantwortliche § 64 Anforderungen an die Sicherheit der Datenverarbeitung § 65 Meldung von Verletzungen des Schutzes personenbezogener Daten an die oder den Bundesbeauftragten § 66 Benachrichtigung betroffener Personen bei Verletzungen des Schutzes personenbezogener Daten § 67 Durchführung einer Datenschutz-Folgenabschätzung § 68 Zusammenarbeit mit der oder dem Bundesbeauftragten § 69 Anhörung der oder des Bundesbeauftragten § 70 Verzeichnis von Verarbeitungstätigkeiten § 71 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen § 72 Unterscheidung zwischen verschiedenen Kategorien betroffener Personen § 73 Unterscheidung zwischen Tatsachen und persönlichen Einschätzungen § 74 Verfahren bei Übermittlungen § 75 Berichtigung und Löschung personenbezogener Daten sowie Einschränkung der Verarbeitung § 76 Protokollierung § 77 Vertrauliche Meldung von Verstößen Kapitel 5 Datenübermittlungen an Drittstaaten und an internationale Organisationen § 78 Allgemeine Voraussetzungen § 79 Datenübermittlung bei geeigneten Garantien § 80 Datenübermittlung ohne geeignete Garantien § 81 Sonstige Datenübermittlung an Empfänger in Drittstaaten Kapitel 6 Zusammenarbeit der Aufsichtsbehörden § 82 Gegenseitige Amtshilfe Kapitel 7 Haftung und Sanktionen § 83 Schadensersatz und Entschädigung § 84 Strafvorschriften Teil 4 Besondere Bestimmungen für Verarbeitungen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten § 85 Verarbeitung personenbezogener Daten im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten § 86 Verarbeitung personenbezogener Daten für Zwecke staatlicher Auszeichnungen und Ehrungen
7 3. Teil: Telekommunikation-Telemedien-Datenschutz-Gesetz Einleitung Teil 1 Allgemeine Vorschriften § 1 Anwendungsbereich des Gesetzes § 2 Begriffsbestimmungen Teil 2 Datenschutz und Schutz der Privatsphäre in der Telekommunikation Kapitel 1 Vertraulichkeit der Kommunikation Einführung Teil 2 § 3 Vertraulichkeit der Kommunikation – Fernmeldegeheimnis § 4 Rechte des Erben des Endnutzers und anderer berechtigter Personen § 5 Abhörverbot, Geheimhaltungspflicht der Betreiber von Funkanlagen § 6 Nachrichtenübermittlung mit Zwischenspeicherung § 7 Verlangen eines amtlichen Ausweises § 8 Missbrauch von Telekommunikationsanlagen Kapitel 2 Verkehrsdaten, Standortdaten § 9 Verarbeitung von Verkehrsdaten § 10 Entgeltermittlung und Entgeltabrechnung § 11 Einzelverbindungsnachweis § 12 Störungen von Telekommunikationsanlagen und Missbrauch von Telekommunikationsdiensten § 13 Standortdaten Kapitel 3 Mitteilen ankommender Verbindungen, Rufnummernanzeige und -unterdrückung, automatische Anrufweiterschaltung § 14 Mitteilen ankommender Verbindungen § 15 Rufnummernanzeige und -unterdrückung § 16 Automatische Anrufweiterschaltung Kapitel 4 Endnutzerverzeichnisse, Bereitstellen von Entnutzerdaten § 17 Endnutzerverzeichnisse § 18 Bereitstellen von Endnutzerdaten Teil 3 Telemediendatenschutz, Endeinrichtungen Kapitel 1 Technische und organisatorische Vorkehrungen, Verarbeitung von Daten zum Zweck des Jugendschutzes und zur Auskunftserteilung § 19 Technische und organisatorische Vorkehrungen § 20 Verarbeitung personenbezogener Daten Minderjähriger § 21 Bestandsdaten § 22 Auskunftsverfahren bei Bestandsdaten § 23 Auskunftsverfahren bei Passwörtern und anderen Zugangsdaten § 24 Auskunftsverfahren bei Nutzungsdaten Kapitel 2 Endeinrichtungen § 25 Schutz der Privatsphäre bei Endeinrichtungen § 26 Anerkannte Dienste zur Einwilligungsverwaltung, Endnutzereinstellungen Teil 4 Straf- und Bußgeldvorschriften und Aufsicht § 27 Strafvorschriften § 28 Bußgeldvorschriften § 29 Zuständigkeit, Aufgaben und Befugnisse der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit § 30 Zuständigkeit, Aufgaben und Befugnisse der Bundesnetzagentur
Abkürzungsverzeichnis
| 1. DSAnpUG-EU | Datenschutz-Anpassungs- und Umsetzungsgesetz EU |
| 2. DSAnpUG-EU | Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU |
| 3DES | Triple Data Encryption Standard |
| a.A. | anderer Ansicht |
| ABl. | Amtsblatt |
| ABl. EG | Amtsblatt der Europäischen Gemeinschaft |
| ABl. EU | Amtsblatt der Europäischen Union |
| AcP | Archiv für die civilistische Praxis (Zeitschrift) |
| ADD | Aufsichts- und Dienstleistungsdirektion |
| ADV | Automatische Datenverarbeitung |
| AES | Advanced Encryption Standard |
| AEUV | Vertrag über die Arbeitsweise der Europäischen Union (EU-Arbeitsweisevertrag) |
| AfP | Archiv für Presserecht (Zeitschrift) |
| AG | Aktiengesellschaft |
| AGB | Allgemeine Geschäftsbedingungen |
| AGG | Allgemeines Gleichbehandlungsgesetz |
| AiB | Arbeitsrecht im Betrieb |
| AktG | Aktiengesetz |
| Alt. | Alternative |
| AMGuaÄndG | Gesetz zur Änderung arzneimittelrechtlicher und anderer Vorschriften |
| Anm. | Anmerkung |
| AnwBl. | Anwaltsblatt |
| AnwZert ErbR | AnwaltZertifikat Online – Erbrecht |
| AO | Abgabenordnung |
| AÖR | Archiv des öffentlichen Rechts (Zeitschrift) |
| API | Advance Passenger Information |
| ArbG | Arbeitsgericht |
| ArbRB | Arbeitsrechtsberater (Zeitschrift) |
| ArbSchG | Gesetz über die Durchführung von Maßnahmen des Arbeitsschutzes zur Verbesserung der Sicherheit und des Gesundheitsschutzes der Beschäftigten bei der Arbeit (Arbeitsschutzgesetz) |
| ASOG | (Berliner) Allgemeines Sicherheits- und Ordnungsgesetz |
| ASP | Application Service Providing |
| AsylVfG | Asylverfahrensgesetz |
| AuA | Arbeit und Arbeitsrecht (Zeitschrift) |
| AuR | Arbeit und Recht (Zeitschrift) |
| AuslG | Gesetz über die Einreise und den Aufenthalt von Ausländern im Bundesgebiet (Ausländergesetz) |
| Az. | Aktenzeichen |
| AZRG | Gesetz über das Ausländerzentralregister |
| BaFin | Bundesanstalt für Finanzdienstleistungsaufsicht |
| BAG | Bundesarbeitsgericht |
| BAGE | Entscheidungen des Bundesarbeitsgerichts |
| BAT | Bundesangestelltentarifvertrag |
| BayDSG | Bayerisches Datenschutzgesetz |
| BayGVBl. | Bayerisches Gesetz- und Verordnungsblatt |
| BayStMI | Bayerisches Staatsministerium des Innern |
| BayVBl. | Bayerische Verwaltungsblätter (Zeitschrift) |
| BB | Betriebs-Berater (Zeitschrift) |
| BBG | Bundesbeamtengesetz |
| BbgDSG | Gesetz zum Schutz personenbezogener Daten im Land Brandenburg (Brandenburgisches Datenschutzgesetz) |
| Bbg. OLG | Brandenburgisches Oberlandesgericht |
| BCR | Binding Corporate Rules |
| BCR-C | Binding Corporate Rules for Controllers |
| BCR-P | Processor Binding Corporate Rules |
| BDatG-E | Beschäftigtendatenschutzgesetz (Entwurf) |
| BDIU | Bundesverband der Deutschen Inkasso-Unternehmen |
| BDSAuditG-E | Bundesdatenschutzauditgesetz (Entwurf) |
| BDSG | Bundesdatenschutzgesetz |
| BeckOK | Beck’scher Onlinekommentar |
| BeckOK | Beck’scher Onlinekommentar Datenschutzrecht (hrsg. von Wolff/ |
| DatenschutzR | Brink) |
| BeckOK | Beck’scher Onlinekommentar Informations- und Medienrecht (hrsg. |
| InfoMedienR | von Gersdorf/Paal) |
| Begr. | Begründung |
| BerHessLR | Bericht der (Hessischen) Landesregierung über die Tätigkeit der für den Datenschutz im nicht-öffentlichen Bereich in Hessen zuständigen Aufsichtsbehörden |
| BetrVG | Betriebsverfassungsgesetz |
| BfDI | Bundesbeauftragter für den Datenschutz und die Informationsfreiheit |
| BGB | Bürgerliches Gesetzbuch |
| BGBl. | Bundesgesetzblatt |
| BGH | Bundesgerichtshof |
| BGHZ | Entscheidungen des Bundesgerichtshofs in Zivilsachen (Entschei- |
| dungssammlung) | |
| BGSG | Gesetz über den Bundesgrenzschutz (Bundesgrenzschutzgesetz) |
| Bit | binary digit |
| BITKOM | Bundesverband Informationswirtschaft, Telekommunikation und neue |
| Medien e.V. | |
| BKAG | Gesetz über das Bundeskriminalamt und die Zusammenarbeit des Bundes und der Länder in kriminalpolizeilichen Angelegenheiten (Bundeskriminalamtgesetz) |
| BKR | Zeitschrift für Bank- und Kapitalmarktrecht |
| BlnBDI | Berliner Beauftragter für Datenschutz und Informationsfreiheit |
| BlnDSG | Gesetz zum Schutz personenbezogener Daten in der Berliner Verwaltung (Berliner Datenschutzgesetz) |
| BMI | Bundesministerium des Inneren |
| BMinG | Gesetz über die Rechtsverhältnisse der Mitglieder der Bundesregierung |
| BMWi | Bundesministerium für Wirtschaft und Energie. |
| BNDG | Gesetz über den Bundesnachrichtendienst (BND-Gesetz) |
| BNotO | Bundesnotarordnung |
| BORA | Berufsordnung der Rechtsanwälte |
| BOStB | Satzung über die Rechte und Pflichten bei der Ausübung der Berufe der Steuerberater und der Steuerbevollmächtigten (Berufsordnung) |
| BPersVG | Bundespersonalvertretungsgesetz |
| BRAO | Bundesrechtsanwaltsordnung |
| BR-Drs. | Drucksache des Deutschen Bundesrates |
| BremDSAuditV | Bremische Datenschutzauditverordnung |
| BremDSG | Bremisches Datenschutzgesetz |
| BremKRG | Gesetz über das Krebsregister der Freien Hansestadt Bremen (Krebsregistergesetz) |
| BremÖGDG | Bremer Öffentlicher Gesundheitsdienstgesetz |
| brmApBO | Berufsordnung der Apothekerkammer Bremen |
| BRRG | Rahmengesetz zur Vereinheitlichung des Beamtenrechts (Beamtenrechtsrahmengesetz) |
| BSG | Bundessozialgericht |
| BSGE | Entscheidungen des Bundessozialgerichts |
| BSI | Bundesamt für Sicherheit in der Informationstechnik |
| BStatG | Gesetz über die Statistik für Bundeszwecke (Bundesstatistikgesetz) |
| BT | Bundestag |
| BT-Drs. | Drucksache des Deutschen Bundestages |
| BvD | Berufsverband der Datenschutzbeauftragten Deutschlands |
| BVerfG | Bundesverfassungsgericht |
| BVerfGE | Entscheidungen des Bundesverfassungsgerichts |
| BVerfSchG | Gesetz über die Zusammenarbeit des Bundes und der Länder in Angelegenheiten des Verfassungsschutzes und über das Bundesamt für Verfassungsschutz (Bundesverfassungsschutzgesetz) |
| BVerwGE | Entscheidungen des Bundesverwaltungsgerichts |
| BWHinwBDSG | Hinweise des Innenministeriums Baden-Württemberg zum Datenschutz für private Unternehmen und Organisationen |
| CCBE | Rat der Anwaltschaften der Europäischen Union |
| CDROM | Compact Disc Read-Only Memory |
| CLOUD Act | Clarifying Lawful Overseas Use of Data Act |
| CMP | Consent Management Platforms |
| CD-RW | Compact Disc ReWritable |
| Cookie-Richtlinie | Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25.November 2009 zur Änderung der Richtlinie 2002/22/EG über den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und -diensten, der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation und der Verordnung (EG) Nr. 2006/2004 über die Zusammenarbeit im Verbraucherschutz |
| COPPA | Children’s Online Privacy Protection Act (15 U.S.C. § 6501–6506, Publ.L. 105–277 Stat. 2581-728 v. 21.10.1998) |
| CR | Computer und Recht (Zeitschrift) |
| CRi | Computer und Recht International (Zeitschrift) |
| CRM | Customer Relationship Management |
| CWA | Corona–Warn-App |
| DAT | Digital Audio Tape |
| DB | Der Betrieb (Zeitschrift) |
| Dbr | Der Betriebsrat (Online-Zeitschrift) |
| DEK | Datenethikkommission |
| DES | Data Encryption Standard |
| DIRL | Richtlinie über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen (Digitale-Inhalte-Richtlinie) |
| Diss. | Dissertation |
| DJT | Deutscher Juristentag |
| DÖV | Die Öffentliche Verwaltung (Zeitschrift) |
| Drs. | Drucksache |
| DSB | Datenschutzberater (Zeitschrift) |
| DSB | Datenschutzbeauftragter |
| DSB-DW | Datenschutzbeauftragter der Deutschen Welle |
| DSG-EKD | Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz) |
| DSG-LSA | Gesetz zum Schutz personenbezogener Daten der Bürger (Land Sachsen-Anhalt) |
| DSRl | Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutzrichtlinie) |
| DSG M-V | Gesetz zum Schutz des Bürgers bei der Verarbeitung seiner Daten (Landesdatenschutzgesetz Mecklenburg-Vorpommern) |
| DSK | Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) |
| DSWR | Datenverarbeitung – Steuern – Wirtschaft – Recht (Zeitschrift) |
| DTAG | Deutsche Telekom AG |
| DuD | Datenschutz und Datensicherheit (Zeitschrift) |
| DurchfVO | Durchführungdverordnung |
| DV | Datenverarbeitung |
| DVBl. | Deutsches Verwaltungsblatt (Zeitschrift) |
| DVD | Digital Versatile Disc |
| DVP | Deutsche Verwaltungspraxis (Zeitschrift) |
| e.V. | Eingetragener Verein |
| EAI | Enterprise Application Integration |
| EC2 | Elastic Computing Cloud |
| ECRL | Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 8.6.2000 über bestimmte rechtliche Aspekte der Dienste der Informationsgesellschaft, insbesondere des elektronischen Geschäftsverkehrs, im Binnenmarkt (Richtlinie über den elektronischen Geschäftsverkehr – E-Commerce Richtlinie) |
| EDI | Electronic Data Interchange |
| EDSA | Europäischer Datenschutzausschuss |
| EDSB | Europäischer Datenschutzbeauftragter |
| EDPB | European Data Protection Board |
| EDV | Elektronische Datenverarbeitung |
| EG | Europäische Gemeinschaft |
| eG | Eingetragene Genossenschaft |
| EGBGB | Einführungsgesetz zum Bürgerlichen Gesetzbuch |
| EGG | Gesetz über die rechtlichen Rahmenbedingungen für den elektronischen Geschäftsverkehr (Elektonischer-Geschäftsverkehr-Gesetz) |
| EKD | Evangelische Kirche in Deutschland |
| EKU | Evangelische Kirche der Union |
| ElGVG | Gesetz zur Vereinheitlichung von Vorschriften über bestimmte elektronische Informations- und Kommunikationsdienste (Elektronischer-Geschäftsverkehr-Vereinheitlichungsgesetz) |
| EMRK | Konvention zum Schutze der Menschenrechte und Grundfreiheiten (Europäische Menschenrechtskonvention) |
| ENISA | European Union Agency for Network and Information Security |
| ePrivacy-Richtlinie | Richtlinie 2002/58/EG vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) |
| ER | Europäischer Rat |
| ErfK | Müller-Glöge/Preis/Schmidt (Hrsg.), Erfurter Kommentar zum Arbeitsrecht, 18. Aufl., München 2018 |
| ERP | Enterprise Resource Planning |
| EuCML | Journal of European Consumer and Market Law |
| EuGH | Europäischer Gerichtshof |
| EU-Komm. | Europäische Kommission |
| EuroPrise | European Privacy Seal |
| EWR | Europäischer Wirtschaftsraum |
| EWS | Europäisches Wirtschafts- und Steuerrecht (Zeitschrift) |
| FA | Fachanwalt für Arbeitsrecht (Zeitschrift) |
| FAQ | Frequently Asked Questions |
| FD-ErbR | Fachdienst Erbrecht |
| f. | folgende |
| ff. | fortfolgende |
| FIN | Fahrzeugidentifikationsnummer |
| Fn. | Fußnote |
| FS | Festschrift |
| FTC | Federal Trade Commission |
| FuR | Familie und Recht (Zeitschrift) |
| GBl. BW | Gesetzblatt Baden-Württemberg |
| GBO | Grundbuchordnung |
| GDD | Gesellschaft für Datenschutz und Datensicherheit |
| GebrMG | Gebrauchsmustergesetz |
| GenDG | Gendiagnostikgesetz |
| GeschGehG | Gesetz zum Schutz von Geschäftsgeheimnissen vom 18.4.2019 (Geschäftsgeheimnisgesetz) |
| GeschmMG | Gesetz über den rechtlichen Schutz von Mustern und Modellen (Geschmacksmustergesetz) |
| GewArch | Gewerbearchiv (Zeitschrift) |
| GewO | Gewerbeordnung |
| GG | Grundgesetz |
| GK | Gemeinschaftskommentar |
| GmbH | Gesellschaft mit beschränkter Haftung |
| GmbHG | Gesetz betreffend die Gesellschaften mit beschränkter Haftung |
| GoBS | Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme |
| GPRS | General Packet Radio Service |
| GrCh | Europäische Grundrechtecharta (ABl. C 326 vom 26.10.2012, S. 391) |
| GVG | Gerichtsverfassungsgesetz |
| h.M. | herrschende Meinung |
| Hs. | Halbsatz |
| HBÜ | Haager Übereinkommen vom 18.3.1970 über die Beweisaufnahme im Ausland in Zivil- und Handelssachen |
| Hdb. | Handbuch |
| Hdb. DSR | Handbuch Datenschutzrecht |
| Hess. GVBl. | Hessisches Gesetz- und Verordnungsblatt |
| HGB | Handelsgesetzbuch |
| HIV | Human Immunodeficiency Virus |
| HmbDSG | Hamburgisches Datenschutzgesetz |
| HR | Human Resources |
| HSOG | Hessisches Gesetz über die öffentliche Sicherheit und Ordnung |
| i.S.d. | im Sinne des |
| i.S.v. | im Sinne von |
| ID | Identity |
| IDS | Intrusion Detection System |
| IFG | Gesetz zur Regelung des Zugangs zu Informationen des Bundes (Informationsfreiheitsgesetz) |
| IHK | Industrie- und Handelskammer |
| IKS | Internes Kontrollsystem |
| IP | Intellectual Property |
| IPS | Intrusion Prevention System |
| IPSec | Internet Protocol Security |
| ISMS | IT-Sicherheitsmanagement-System |
| ISO | Internationale Organisation für Normung |
| IoT | Internet of Things |
| IT | Informationstechnologie |
| ITRB | Der IT-Rechts-Berater (Zeitschrift) |
| IuKDG | Gesetz zur Regelung der Rahmenbedingungen für Informations- und Kommunikationsdienste (Informations- und Kommunikationsdienste-Gesetz) |
| i.V.m. | in Verbindung mit |
| JA | Juristische Arbeitsblätter (Zeitschrift) |
| JArbschG | Gesetz zum Schutz der arbeitenden Jugend (Jugendarbeitsschutzgesetz) |
| JGG | Jugendgerichtsgesetz |
| jurisPK | Juris Praxiskommentar |
| JurPC | Internet-Zeitschrift für Rechtsinformatik und Informationsrecht, www.jurpc.de |
| jurisPR-ITR | juris PraxisReport IT-Recht (Zeitschrift) |
| JZ | Juristenzeitung (Zeitschrift) |
| K&R | Kommunikation und Recht (Zeitschrift) |
| KBSt | Koordinierungs- und Planungsstelle der Bundesregierung für Informationstechnik |
| KDG | Gesetz über den Kirchlichen Datenschutz |
| KDO | Anordnung über den kirchlichen Datenschutz |
| KGaA | Kommanditgesellschaft auf Aktien |
| KGR | KG-Report Berlin (Schnelldienst für Zivilrechtsprechung des Kammergerichts) |
| KI | Künstliche Intelligenz |
| KonTraG | Gesetz zur Kontrolle und Transparenz im Unternehmensbereich |
| KrW-/AbfG | Gesetz zur Förderung der Kreislaufwirtschaft und Sicherung der umweltverträglichen Beseitigung von Abfällen (Kreislaufwirtschafts- und Abfallgesetz) |
| KunstUrhG | Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie |
| KWG | Gesetz über das Kreditwesen (Kreditwesengesetz) |
| LAG | Landesarbeitsgericht |
| LAN | Local Area Network |
| LDA Bbg | Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg |
| LDSG | Landesdatenschutzgesetz |
| LDSG BW | Gesetz zum Schutz personenbezogener Daten (Landesdatenschutzgesetz Baden-Württemberg) |
| LDSG NRW | Gesetz zum Schutz personenbezogener Daten (Datenschutzgesetz Nordrhein-Westfalen) |
| LDSG RPf | Landesdatenschutzgesetz Rheinland-Pfalz |
| LDSG SH | Schleswig Holsteinisches Gesetz zum Schutz personenbezogener Daten (Landesdatenschutzgesetz) |
| LfD | Landesbeauftragte/Landesbeauftragter für den Datenschutz |
| LfD Nds | Die Landesbeauftragte für den Datenschutz Niedersachsen |
| LG | Landgericht |
| LKHG BW | Landeskrankenhausgesetz Baden-Württemberg |
| LSA | Land Sachsen-Anhalt |
| LT-Drs. | Landtags-Drucksache |
| LuftSiG | Luftsicherheitsgesetz |
| LV | Landesverfassung |
| LVerf | Landesverfassung |
| LVwG | Landesverwaltungsgesetz |
| LVwVfG | Landesverwaltungsverfahrensgesetz |
| MADG | Gesetz über den militärischen Abschirmdienst (MAD-Gesetz) |
| MaRisk | Mindestanforderungen an das Risikomanagement |
| MarkenG | Gesetz über den Schutz von Marken und sonstigen Kennzeichen (Markengesetz) |
| MDR | Monatsschrift für Deutsches Recht (Zeitschrift) |
| MedR | Medizinrecht (Zeitschrift) |
| MES | Manufacturing Execution System |
| MiFID | Richtlinie 2004/39/EG des Europäischen Parlaments und des Rates vom 21.4.2004 über Märkte für Finanzinstrumente, zur Änderung der Richtlinien 85/611/EWG und 93/6/EWG des Rates und der Richtlinie 2000/12/EG des Europäischen Parlaments und des Rates und zur Aufhebung der Richtlinie 93/22/EWG des Rates (Finanzmarktrichtlinie) |
| MIT | Massachusetts Institute of Technology |
| MMR | Multimedia und Recht (Zeitschrift) |
| MRRG | Melderechtsrahmengesetz |
| MStV | Medienstaatsvertrag |
| MüKo-BGB | Münchener Kommentar zum BGB |
| MüKo-StGB | Münchener Kommentar zum StGB |
| MüKo-UWG | Münchener Kommentar zum Lauterkeitsrecht (UWG) |
| MüKo-ZPO | Münchener Kommentar zur ZPO |
| MuSchG | Gesetz zum Schutz der erwerbstätigen Mutter (Mutterschutzgesetz) |
| m.w.N. | mit weiteren Nachweisen |
| NASDAQ | National Association of Securities Dealers Automated Quotations |
| NDSG | Niedersächsisches Datenschutzgesetz |
| NJOZ | Neue Juristische Online Zeitschrift |
| NJW | Neue Juristische Wochenschrift (Zeitschrift) |
| NJW-CoR | Neue Juristische Wochenschrift – Computer Report (Zeitschrift) |
| NJW-RR | NJW-Rechtsprechungsreport (Zeitschrift) |
| Nr. | Nummer |
| Nrn. | Nummern |
| NRW | Nordrhein-Westfalen |
| NStZ | Neue Zeitschrift im Strafrecht |
| NVwZ | Neue Zeitschrift für Verwaltungsrecht |
| NYSE | New York Stock Exchange |
| NZA | Neue Zeitschrift für Arbeitsrecht |
| NZFam | Neue Zeitschrift für Familienrecht |
| NZWiSt | Neue Zeitschrift für Wirtschafts-, Steuer- und Unternehmensstrafrecht |
| OBFCM | On-Board Fuel Consumption Metering |
| OECD | Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (Organisation for Economic Co-operation and Development) |
| OHG | Offene Handelsgesellschaft |
| OLG | Oberlandesgericht |
| ÖOGH | Österreichischer Oberster Gerichtshof |
| OTT | Over-the-Top-Dienste |
| OVG | Oberverwaltungsgericht |
| OWiG | Gesetz über Ordnungswidrigkeiten |
| PartGG | Gesetz über Partnerschaftsgesellschaften Angehöriger Freier Berufe (Partnerschaftsgesellschaftsgesetz) |
| PatG | Patentgesetz |
| PC | Personal Computer |
| PCMCIA | Personal Computer Memory Card International Association |
| PDA | Personal Digital Assistant |
| PDSV | Verordnung über den Datenschutz bei der geschäftsmäßigen Erbringung von Postdiensten (Postdienste-Datenschutzverordnung) |
| PGP | Pretty Good Privacy |
| PIN | Persönliche Identifikationsnummer |
| PIMS | Personal Information Management-Systemen |
| PM | Pressemitteilung |
| PNR | Passenger Name Records |
| PostG | Postgesetz |
| PPS | Produktionsplanung und -steuerung |
| RDV | Recht der Datenverarbeitung (Zeitschrift) |
| RegE | Regierungsentwurf |
| RFID | Radio Frequency Identification |
| rlpApBO | Berufsordnung für Apotheker der Landesapothekerkammer Rheinland-Pfalz |
| Rn. | Randnummer |
| RNotZ | Rheinische Notar-Zeitschrift |
| Rpfleger | Der Deutsche Rechtspfleger (Zeitschrift) |
| Rs. | Rechtssache (EuGH) |
| RSA | Asymmetrisches Verschlüsselungssystem nach Rivest, Shamir und Adleman |
| S. | Seite, Satz (bei Rechtsnormen) |
| S/MIME | Secure Multipurpose Internet Mail Extension |
| SaaS | Software as a Service |
| SächsDSG | Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz) |
| SAN | Storage Area Networks |
| SchlHA | Schleswig-Holsteinische Anzeigen |
| SCHUFA | Schutzgemeinschaft für allgemeine Kreditsicherung |
| SDM | Standard-Datenschutzmodell |
| SDSG | Saarländisches Gesetz zum Schutz personenbezogener Daten (Saarländisches Datenschutzgesetz) |
| SEC | Security and Exchange Commission |
| SGB I | Sozialgesetzbuch Erstes Buch |
| SGB III | Sozialgesetzbuch Drittes Buch |
| SGB V | Sozialgesetzbuch Fünftes Buch |
| SGB X | Sozialgesetzbuch Zehntes Buch |
| SigG | Gesetz über Rahmenbedingungen für elektronische Signaturen (Signaturgesetz) |
| SIM | Subscriber Identity Module |
| SK-StGB | Rudolphi/Horn/Samson/Günther (Hrsg.), Systematischer Kommentar zum Strafgesetzbuch, Loseblattwerk, Neuwied u.a., Stand: 9. Aufl. 2017 |
| SLA | Service Level Agreement |
| SMS | Short Message Service |
| SortenschG | Sortenschutzgesetz |
| SOX | Sarbanes-Oxley Act |
| SprAuG | Gesetz über Sprecherausschüsse der leitenden Angestellten (Sprecherausschussgesetz) |
| SpURt | Zeitschrift für Sport und Recht |
| SSH | Secure Shell |
| StaaS | Storage as a Service |
| StAnz | Staatsanzeiger |
| StBerG | Steuerberatungsgesetz |
| StGB | Strafgesetzbuch |
| StMi | (Bayerisches) Staatsministerium des Inneren |
| st. Rspr. | ständige Rechtsprechung |
| StPO | Strafprozessordnung |
| Strafo | Strafverteidiger forum (Zeitschrift) |
| StUG | Gesetz über die Unterlagen des Staatssicherheitsdienstes der ehemaligen Deutschen Demokratischen Republik (Stasi-Unterlagen-Gesetz) |
| StV | Der Strafverteidiger (Zeitschrift) |
| StVG | Straßenverkehrsgesetz |
| SWIFT | Society for Worldwide Interbank Financial Telecommunications |
| Tb | Tätigkeitsbericht |
| TCM | Trusted Computing Module |
| TDDSG | Gesetz über den Datenschutz bei Telediensten (Teledienstedatenschutzgesetz) |
| TDG | Gesetz über die Nutzung von Telediensten (Teledienstegesetz) |
| TDSV | Verordnung über den Datenschutz für Unternehmen, die Telekommunikationsdienstleistungen erbringen (Telekommunikationsdienstunternehmen-Datenschutzverordnung) |
| ThürDSG | Thüringer Datenschutzgesetz |
| TierSchG | Tierschutzgesetz |
| TK-DSRl | Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12.7.2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation |
| TKG | Telekommunikationsgesetz |
| TKG a.F. | Telekommunikationsgesetz in der bis zum 30.11.2021 geltenden Fassung |
| TKO | Telekommunikationsordnung |
| TKMR | TeleKommunikations- und MedienRecht (Zeitschrift) |
| TKMoG | Telekommunikationsmodernisierungsgesetz |
| TMG | Telemediengesetz |
| TPG | Gesetz über die Spende, Entnahme und Übertragung von Organen und Geweben (Transplantationsgesetz) |
| TTDSG | Telekommunikation-Telemedien-Datenschutz-Gesetz |
| TÜV | Technischer Überwachungsverein |
| UAG | Gesetz zur Ausführung der Verordnung (EG) Nr. 761/2001 des Europäischen Parlaments und des Rates vom 19.3.2001 über die freiwillige Beteiligung von Organisationen an einem Gemeinschaftssystem für das Umweltmanagement und die Umweltbetriebsprüfung (EMAS) (Umweltauditgesetz) |
| UKlaG | Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz) |
| ULD SH | Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein |
| UMTS | Universal Mobile Telecommunications System |
| UPR | Zeitschrift für Umwelt- und Planungsrecht |
| UrhG | Gesetz über Urheberrecht und verwandte Schutzrechte (Urheberrechtsgesetz) |
| URL | Uniform Resource Locator |
| USA | United States of America |
| USB | Universal Serial Bus |
| UstG | Umsatzsteuergesetz |
| USV | unterbrechungsfreie Stromversorgung |
| UV | ultraviolett |
| UWG | Gesetz gegen den unlauteren Wettbewerb |
| VAG | Gesetz über die Beaufsichtigung der Versicherungsunternehmen (Versicherungsaufsichtsgesetz) |
| VELKD | Vereinigte Evangelisch-Lutherische Kirche Deutschlands |
| VersG | Gesetz über Versammlungen und Aufzüge (Versammlungsgesetz) |
| VersR | Zeitschrift für Versicherungsrecht, Haftungs- und Schadensrecht |
| VG | Verwaltungsgericht |
| vgl. | vergleiche |
| VoIP | Voice over IP |
| Vol. | Volume |
| VPN | Virtual private Network |
| VR | Virtuelle Realität |
| VuR | Verbraucher und Recht (Zeitschrift) |
| VVaG | Versicherungsverein auf Gegenseitigkeit |
| VVG | Gesetz über den Versicherungsvertrag (Versicherungsvertragsgesetz) |
| VW | Versicherungswirtschaft (Zeitschrift) |
| VwGO | Verwaltungsgerichtsordnung |
| VwVfG | Verwaltungsverfahrensgesetz |
| WAN | Wide Area Network |
| WIMAX | Worldwide Interoperability for Microwave Access |
| Wistra | Zeitschrift für Wirtschafts- und Steuerstrafrecht |
| Wlan | Wireless Local Area Network |
| WM | Wertpapier-Mitteilungen – Zeitschrift für Wirtschafts- und Bankrecht |
| WP | Working Paper |
| WpHG | Gesetz über den Wertpapierhandel (Wertpapierhandelsgesetz) |
| WPO | Gesetz über eine Berufsordnung der Wirtschaftsprüfer (Wirtschaftsprüferordnung) |
| WRP | Wettbewerb in Recht und Praxis (Zeitschrift) |
| ZASt | Zentrale Anlaufstelle |
| ZAfTDa | Zentralarchiv für Tätigkeitsberichte des Bundes- und der Landesdatenschutzbeauftragten und der Aufsichtsbehörden für den Datenschutz |
| ZD | Zeitschrift für Datenschutz |
| ZErb | Zeitschrift für die Steuer- und Erbrechtspraxis |
| ZEV | Zeitschrift für Erbrecht und Vermögensnachfolge |
| ZevKR | Zeitschrift für evangelisches Kirchenrecht |
| ZfdG | Gesetz über das Zollkriminalamt und die Zollfahndungsämter (Zollfahndungsdienstgesetz) |
| ZGR | Zeitschrift für Unternehmens- und Gesellschaftsrecht |
| ZHR | Zeitschrift für das gesamte Handels- und Wirtschaftsrecht |
| Ziff. | Ziffer |
| ZirkRegV | Verordnung über die Registrierung von Erlaubnissen zur Zurschaustellung von Tieren an wechselnden Orten (Zirkusregisterverordnung) |
| ZPO | Zivilprozessordnung |
| ZRP | Zeitschrift für Rechtspolitik |
| ZUM | Zeitschrift für Urheber- und Medienrecht |
| ZVI | Zeitschrift für Verbraucher- und Privat-Insolvenzrecht |
Literaturverzeichnis
| Albrecht, Jan Philipp/Jotzo, Florian | Das neue Datenschutzrecht der EU, Baden-Baden 2017 |
| Bergmann, Lutz/Möhrle, Roland/Herb, Armin | Datenschutzrecht, Loseblattwerk, Stuttgart, Stand: 2021 |
| v. d. Bussche/Voigt | Konzerndatenschutz, Rechtshandbuch, 2. Aufl., München 2019 |
| Däubler, Wolfgang/Wedde, Peter/Weichert, Thilo/Sommer, Imke (Hrsg.) | EU-DSGVO und BDSG, Kompaktkommentar, 2. Aufl., Frankfurt am Main 2020 |
| Ehmann, Eugen/Selmayr, Martin (Hrsg.) | Datenschutz-Grundverordnung, 2. Aufl., München 2018 |
| Eßer, Martin/Kramer, Philipp/von Lewinski, Kai (Hrsg.) | Auernhammer, Datenschutzgrundverordnung, Bundesdatenschutzgesetze und Nebengesetze, 7. Aufl., Köln 2020 |
| Forgó Nikolaus/Helfrich, Marcus/Schneider, Jochen (Hrsg.) | Betrieblicher Datenschutz, 3. Aufl., München 2019 |
| Gierschmann, Sibylle/Schlender, Katharina/Stenzel, Rainer/Veil, Winfried (Hrsg.) | Kommentar Datenschutzgrundverordnung, Köln 2018 |
| Gola, Peter (Hrsg.) | DS-GVO Datenschutz-Grundverordnung, Kommentar, 2. Aufl., München 2018 |
| Gola/Heckmann | BDSG, 13. Aufl., München 2019 |
| Härting, Niko | Datenschutz-Grundverordnung, Köln 2016 |
| Hoeren, Thomas/Sieber, Ulrich/Holznagel, Bernd (Hrsg.) | Handbuch Multimedia-Recht, 54. Ergänzungslieferung, München 2021 |
| Koreng, Ansgar/Lachenmann, Matthias (Hrsg.) | Formularhandbuch Datenschutzrecht, 3. Aufl., München 2021 |
| Kühling, Jürgen/Buchner, Benedikt (Hrsg.) | Datenschutz-Grundverordnung Bundesdatenschutzgesetz, 3. Aufl., München 2020 |
| Kühling, Jürgen/Klar, Manuel/Sackmann, Florian | Datenschutzrecht, 5. Aufl., Heidelberg 2021 |
| Kühling, Jürgen/Martini, Mario | Die Datenschutz-Grundverordnung und das nationale Recht, Münster 2016 |
| Kuner, Christopher/Bygrave, Lee A./Docksey, Christopher/Drechsler, Laura | The EU General Data Protection Regulation (GDPR), Oxford 2018 |
| Laue, Philip/ Kremer, Sascha | Das neue Datenschutzrecht in der betrieblichen Praxis, 2. Aufl., Baden-Baden 2019 |
| Moos, Flemming (Hrsg.) | Datenschutz- und Datennutzungsverträge, 2. Aufl., Köln 2018 (3. Aufl., März 2021) |
| Moos, Flemming/Schefzig, Jens/Arning, Marian (Hrsg.) | Die neue Datenschutz-Grundverordnung, Berlin 2018 |
| Paal, Boris P./Pauly, Daniel A. (Hrsg.) | Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 3. Aufl., München 2021 |
| Piltz, Carlo | BDSG Praxiskommentar für die Wirtschaft, Frankfurt am Main 2018 |
| Plath, Kai-Uwe (Hrsg.) | DSGVO BDSG, Kommentar, 3. Aufl., Köln 2018 |
| Roßnagel, Alexander (Hrsg.) | Das neue Datenschutzrecht, Baden-Baden 2018 |
| Spindler, Gerald/Schuster, Fabian (Hrsg.) | Recht der elektronischen Medien, 4. Aufl., München 2019 |
| Schantz, Peter/Wolff, Heinrich Amadeus | Das neue Datenschutzrecht, München 2017 |
| Schaffland, Hans-Jürgen/Wiltfang, Noeme | DS-GVO BDSG, Kommentar, Loseblattsammlung, Berlin, Stand: 2021 |
| Schläger, Uwe/Thode, Jan-Christoph (Hrsg.) | Handbuch Datenschutzrecht und IT-Sicherheit, Berlin 2018 |
| Schwartmann, Rolf/Jaspers, Andreas/Thüsing, Gregor/Kugelmann, Dieter | DS-GVO BDSG, 2. Aufl. 2020 |
| Simitis, Spiros/Hornung, Gerrit/Spiecker gen. Döhmann, Indra (Hrsg.) | Datenschutzrecht DSGVO mit BDSG, Baden-Baden 2019 |
| Specht, Louisa/Mantz, Reto | Handbuch Europäisches und deutsches Datenschutzrecht, München 2019 |
| Sydow, Gernot (Hrsg.) | Europäische Datenschutzgrundverordnung, Handkommentar, 2. Aufl., Baden-Baden 2018 |
| Sydow, Gernot (Hrsg.) | Bundesdatenschutzgesetz, Kommentar, Baden-Baden 2020 |
| Taeger, Jürgen | Datenschutzrecht, Frankfurt am Main 2014 |
| Taeger, Jürgen/Gabel, Detlev (Hrsg.) | DSGVO BDSG, Kommentar, 3. Aufl., Frankfurt am Main 2019 |
| Tinnefeld, Marie-Theres/Buchner, Benedikt/Petri, Thomas/Hof, Hans-Joachim (Hrsg.) | Einführung in das Datenschutzrecht, 7. Aufl., Berlin/Boston 2019 |
| Voigt, Paul/von dem Bussche, Axel | EU-Datenschutz-Grundverordnung (DSGVO), Praktikerhandbuch, Heidelberg 2018 |
| Wolff, Hans J./Brink, Stefan (Hrsg.) | Beck’scher Online Kommentar Datenschutzrecht, München, 35. Edition, Stand: 02/2021 |
| Wybitul, Tim (Hrsg.) | Handbuch EU-Datenschutz-Grundverordnung, Frankfurt am Main 2017 |
| Wybitul, Tim/Schultze-Melling, Jyn | Datenschutz im Unternehmen, 2. Aufl., Frankfurt am Main 2014 |
1. Teil: EU-Datenschutz-Grundverordnung
Einführung
Literatur: Albrecht, Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Albrecht, Die EU-Datenschutzgrundverordnung rettet die informationelle Selbstbestimmung!, ZD 2013, 587; Bäcker, Die Datenschutzrichtlinie für Polizei und Strafjustiz und das deutsche Eingriffsrecht, in: Hill/Kugelmann/Martini (Hrsg.), Perspektiven der digitalen Lebenswelt, 2017, S. 63; Bäcker/Hornung, EU-Richtlinie für die Datenverarbeitung bei Polizei und Justiz in Europa, ZD 2012, 147; Boehm, Datenschutz in der Europäischen Union, JA 2009, 435; Brühann, Datenschutzrichtlinie – Umsetzung in einem vernetzten Europa, RDV 1996, 12; Buchner, Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD 2016, 155; Buchner, Informationelle Selbstbestimmung im Privatrecht, 2006; Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl., München 2016; Claessen, Das neue Datenschutzgesetz der evangelischen Kirche, DuD 1995, 8; Deutelmoser, Kennt das Initiativrecht der Europäischen Kommission keine Grenzen?, NVwZ 2015, 1577; Dix, Datenschutzaufsicht im Bundesstaat – ein Vorbild für Europa, DuD 2012, 318; Eckhardt, EU-DatenschutzVO – Ein Schreckgespenst oder Fortschritt?, CR 2012, 195; Eckhardt/Kramer, EU-DSGVO – Diskussionspunkte aus der Praxis, DuD 2013, 287; Fachet, Datenschutz in der Katholischen Kirche, RDV 1996, 177; Fechner/Riedl, DSGVO: Entstehungsgeschichte und Problemstellungen aus österreichischer Sicht, in: Knyrim (Hrsg.), Datenschutzgrundverordnung, Wien 2016, S. 7; Forst, Beschäftigtendatenschutz im Kommissionsvorschlag einer EU-Datenschutzverordnung, NZA 2012, 364; Franzen, Der Vorschlag für eine EU-Datenschutz-Grundverordnung und der Arbeitnehmerdatenschutz, DuD 2012, 322; Frey, Direktmarketing und Adresshandel im Spannungsfeld von UWG und BDSG, in: Taeger/Wiebe (Hrsg.), Inside the Cloud, Edewecht 2009, S. 33; Gabel, Update EDV-Vertragsrecht, in: Taeger/Wiebe (Hrsg.), Inside the Cloud, Edewecht 2009, S. 193; Germann, Das kirchliche Datenschutzrecht als Ausdruck kirchlicher Selbstbestimmung, ZevKR 2003, 446; Gießen, Imperiale und totalitäre Züge des Kommissionsentwurfs für eine europäische Datenschutzverordnung, CR 2012, 550; Gola, EU-Datenschutz-Grundverordnung und der Beschäftigtendatenschutz, RDV 2012, 60; Gola/Klug, Grundzüge des Datenschutzrechts, München 2013; Grabitz/Hilf/Nettesheim (Begr./Hrsg.), Das Recht der Europäischen Union: EUV/AEUV, Loseblatt 5/2018, München; Grentzenberg/Schreibauer/Schuppert, Die Datenschutznovelle (Teil I), K&R 2009, 368; Gürtler, Baustelle Datenschutz – internationale Entwicklungen, RDV 2012, 126; Hanloser, Die BDSG-Novelle II: Neuregelungen zum Kunden- und Arbeitnehmerdatenschutz, MMR 2009, 594; Härting, Starke Behörden, schwaches Recht – der neue EU-Datenschutzentwurf, BB 2012, 459; Härting/Schneider, Datenschutz in Europa: Ein Alternativentwurf für eine Datenschutz-Grundverordnung, CRi 2013, 19; Hartung, Eine Datenschutz-Grundverordnung für Europa?, ZD 2012, 99; Herrmann, Modernisierung des Datenschutzrechts – ausschließlich eine europäische Aufgabe?, ZD 2012, 49; Hoeren, Big Data und Datenqualität – ein Blick auf die DS-GVO, ZD 2016, 459; Hofmann/Johannes, DS-GVO: Anleitung zur autonomen Auslegung des Personenbezugs – Begriffserklärung der entscheidenden Frage des sachlichen Anwendungsbereichs, ZD 2017, 221; Hornung, Datenschutz durch Technik in Europa – Die Reform der Richtlinie als Chance für ein modernes Datenschutzrecht, ZD 2011, 51; Hornung, Eine Datenschutz-Grundverordnung für Europa? – Licht und Schatten im Kommissionsentwurf vom 25.1.2012, ZD 2012, 99; Hornung/Hofmann, Die Auswirkungen der europäischen Datenschutzreform auf die Markt- und Meinungsforschung, ZD-Beil. 2017, 1; Jaspers, Die EU-Datenschutz-Grundverordnung, DuD 2012, 571; Jüngling, Die Digitalstrategie der EU-Kommission: Regulierung von Künstlicher Intelligenz, MMR 2020, 440; Kahler, Die Europarechtswidrigkeit der Kommissionsbefugnisse in der Grundverordnung, RDV 2013, 69; Kamlah, Right of Privacy, Köln 1969; Kehr, EU-Datenschutz-Grundverordnung – Überblick über die wesentlichen Modifizierungen für Unternehmen, CB 2016, 421; Kilian, Informationelle Selbstbestimmung und Marktprozesse, CR 2002, 921; Kilian/Lenk/Steinmüller (Hrsg.), Datenschutz – Juristische Grundfragen beim Einsatz elektronischer Datenverarbeitungsanlagen in Wirtschaft und Verwaltung, Frankfurt a.M. 1973; Klug, Baustelle Datenschutz – internationale Entwicklungen, RDV 2012, 129; Klass, Das Recht auf Vergessen(-werden) und die Zeitlichkeit der Freiheit, ZUM 2020, 265; Koós, Das Vorhaben eines einheitlichen Datenschutzes in Europa, ZD 2014, 9; Kranig, Anmerkung zu: Kahler, Die Europarechtswidrigkeit der Kommissionsbefugnisse in der Grundverordnung, RDV 2013, 217; Kugelmann, Datenschutz bei Polizei und Justiz – Der Richtlinienvorschlag der Kommission, DuD 2012, 581; Kühling, Das „Recht auf Vergessenwerden“ vor dem BVerfG – November(r)evolution für Grundrechtsarchitektur im Mehrebenensystem, NJW 2020, 275; Kühling, Neues Bundesdatenschutzgesetz – Anpassungsbedarf bei Unternehmen, NJW 2017, 1985; Kühling, Rechtliche Rahmenbedingungen für Zulässigkeitstatbestände in einer künftigen ePrivacy-VO, CR 2020, 199; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht – Erste Überlegungen zum innerstaatlichen Regelungsbedarf, Münster 2016; Kühling/Martini, Die Datenschutz-Grundverordnung: Revolution oder Evolution im europäischen und deutschen Datenschutzrecht?, EuZW 2016, 448; Kühling/Sackmann, Irrweg „Dateneigentum“ – Neue Großkonzepte als Hemmnis für die Nutzung und Kommerzialisierung von Daten, ZD 2020, 24; Kuner, European Data Protection Law: Corporate Compliance and Regulation, 2. Aufl., Oxford 2007; Lang, Reform des EU-Datenschutzrechts, K&R 2012, 145; Laue, Öffnungsklauseln in der DS-GVO – Öffnung wohin?, ZD 2016, 463; Leopold, Datenschutz auf Skandinavisch – Das neue norwegische Datenschutzgesetz, DuD 2000, 471; von Lewinski, Europäisierung des Datenschutzrechts, DuD 2012, 564; von Lewinski, Geschichte des Datenschutzrechts von 1600 bis 1977, in: Arndt et al. (Hrsg.), Freiheit – Sicherheit – Öffentlichkeit, Baden-Baden 2008, S. 196; von Lewinski/Pohl, Auskunfteien nach der europäischen Datenschutzreform, ZD 2018, 17; Lorenz, Die Novellierung des Bundesdatenschutzgesetzes in ihren Auswirkungen auf die Kirchen, DVBl. 2001, 428; Masing, Herausforderungen des Datenschutzes, NJW 2012, 2305; Maunz/Dürig (Begr.). Grundgesetz – Loseblatt-Kommentar, 82. EL, München 2018; Moos, Update Datenschutzrecht, in: Taeger/Wiebe (Hrsg.), Inside the Cloud, Edewecht 2009, S. 79; Moos, Die Entwicklung des Datenschutzrechts im Jahr 2008, K&R 2009, 154; Moos, Die Entwicklung des Datenschutzrechts im Jahr 2009, K&R 2010, 166; Moos, Die Entwicklung des Datenschutzrechts im Jahr 2010, K&R 2011, 151; Moos/Rothkegel, Nutzung von Scoring-Diensten im Online-Versandhandel, ZD 2016, 561; Nguyen, Subsidiaritätsrüge, DuD 2013, 662; Nguyen, Die zukünftige Datenschutzaufsicht in Europa, ZD 2015, 265; Nguyen, Die Subsidiaritätsrüge des Deutschen Bundesrates gegen den Vorschlag der EU-Kommission für eine Datenschutz-Grundverordnung, ZEuS 2012, 278; Podlech, Verfassungsrechtliche Probleme öffentlicher Informationssysteme, DVR 1972/73, 149; Pötters, Primärrechtliche Vorgaben für eine Reform des Datenschutzrechts, RDV 2015, 10; Pohle (Hrsg.), Data Privacy Legislation in the European Union Member States – A Practical Overview, CRi 2018, 97; Preuß, Das Datenschutzrecht der Religionsgesellschaften, ZD 2015, 217; Reding, Herausforderungen an den Datenschutz bis 2020: Eine europäische Perspektive, ZD 2011, 1; Reding, Sieben Grundbausteine der europäischen Datenschutzreform, ZD 2012, 195; Reif, Und noch etwas Vorratsspeicherung: EU-Richtlinie über die Verwendung von Fluggastdaten beschlossen, RDV 2016, 205; Richter, Datenschutz durch Technik und die Grundverordnung der EU-Kommission, DuD 2012, 576; Richter, Datenschutz zwecklos? – Das Prinzip der Zweckbindung im Ratsentwurf der DSGVO, DuD 2015, 735; Ronellenfitsch, Fortentwicklung des Datenschutzes, DuD 2012, 561; Roßnagel, Datenschutz in einem informatisierten Alltag, Berlin 2007; Roßnagel, Datenschutzgesetzgebung, DuD 2012, 553; Roßnagel, Wie zukunftsfähig ist die Datenschutz-Grundverordnung?, DuD 2016, 561; Roßnagel, DuD 2017, 277; Roßnagel, Gesetzgebung im Rahmen der Datenschutz-Grundverordnung, DuD 2017, 290, 291; Roßnagel/Kroschwald, Was wird aus der Datenschutzgrundverordnung?, ZD 2014, 495; Roßnagel/Müller, Ubiquitous Computing – neue Herausforderungen für den Datenschutz, CR 2004, 625; Roßnagel/Nebel/Richter, Was bleibt vom Europäischen Datenschutzrecht?, ZD 2015, 455; Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts. Gutachten im Auftrag des Bundesministers des Innern, 2001; Roßnagel/Richter/Nebel, Besserer Internetdatenschutz für Europa – Vorschläge zur Spezifizierung der DS-GVO, ZD 2013, 103; Schaar, Datenschutz muss mit einer Stimme sprechen, DuD 2011, 756; Schaar, EU-Datenschutz: Schluss mit der Verzögerungstaktik, ZD 2014, 313; Schantz, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Schild/Tinnefeld, Datenschutz in der Union – Gelungene oder missglückte Gesetzentwürfe?, DuD 2012, 312; Schmidt, Arbeitnehmerdatenschutz gemäß § 32 BDSG – Eine Neuregelung (fast) ohne Veränderung der Rechtslage, RDV 2009, 193; Schmitt, Die europäische Gesetzgebung am Beispiel der Datenschutz-Grundverordnung, PerspektivePraxis 2015, 4; Schneider/Härting, Wird der Datenschutz nun endlich internettauglich?, ZD 2012, 199; Schulz, Datenverarbeitungen im Auskunfteienwesen nach neuem Datenschutzrecht, zfm 2017, 91; Schultze-Melling, Ein Datenschutzrecht für Europa – eine schöne Utopie oder irgendwann ein gelungenes europäisches Experiment?, ZD 2012, 97; Schulze Lohoff/Bange, Die (fehlende) Abhilfebefugnis des BfDI nach § 16 Abs. 2 BDSG – Europarechtskonforme Umsetzung oder rechtswidrige Gesetzeslücke?, ZD 2019, 199; Schwartmann, Ausgelagert und ausverkauft – Rechtschutz nach der Datenschutz-Grundverordnung, RDV 2012, 55; Schwichtenberg, Die „kleine Schwester“ der DSGVO: Die Richtlinie zur Datenverarbeitung bei Polizei und Justiz, DuD 2016, 605; Singelnstein, Folgen des neuen Datenschutzrechts für die Praxis des Strafverfahrens und die Beweisverbotslehre, NStZ 2018, 681; Steinmüller, Das informationelle Selbstbestimmungsrecht – Wie es entstand und was man daraus lernen kann, RDV 2007, 158; Steinmüller/Lutterbeck/Mallmann/Harbort/Kolb/Schneider, Grundfragen des Datenschutzes, Gutachten im Auftrag des BMI, Juli 1971; Svanberg, Getting the EU data protection reform back on track, PinG 2013, 18; Sydow/Kring, Die Datenschutzgrundverordnung zwischen Technikneutralität und Technikbezug, ZD 2014, 271; Taeger, Datenschutzrecht in Europa, EWS 1995, 69; Taeger, Grenzüberschreitender Datenverkehr und Datenschutz in Europa, Clausthal-Zellerfeld 1995; Taeger, Risiken web-basierter Personalisierungsstrategien, in: Taeger/Wiebe, Informatik – Wirtschaft – Recht: Regulierung in der Wissensgesellschaft, Festschrift für Wolfgang Kilian zum 65. Geburtstag, Baden-Baden 2004, S. 241; Taeger, Scoring in Deutschland nach der EU-Datenschutzgrundlagenverordnung, ZRP 2016, 72; Tinnefeld, Meinungsfreiheit durch Datenschutz, ZD 2015, 22; Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, 4. Aufl., 2004, Veil, DS-GVO: Risikobasierter Ansatz statt rigides Verbotsprinzip, ZD 2015, 347; Wagner, Grenzen des europäischen Datenschutzrechts, DuD 2012, 303; Wagner, Der Entwurf einer Datenschutz-Grundverordnung der Europäischen Kommission, DuD 2012, 676; Weichert, Die EU-Rl für den Datenschutz bei Polizei und Justiz, Stand 1.2.2016; Westin, Privacy and Freedom, New York 1967; Westphal, Grundlagen und Bausteine des europäischen Datenschutzrechts, in: Bauer/Reimer (Hrsg.), Handbuch Datenschutzrecht, Wien 2009, S. 53; Winteler, Betrugs- und Korruptionsbekämpfung vs. Arbeits- und Datenschutzrecht, in: Taeger/Wiebe (Hrsg.), Inside the Cloud, Edewecht 2009, S. 469; Wybitul, EU-Datenschutz-Grundverordnung in der Praxis – Was ändert sich durch das neue Datenschutzrecht?, BB 2016, 1077; Wybitul/Fladung, EU-Datenschutz-Grundordnung – Überblick und arbeitsrechtliche Betrachtung des Entwurfs, BB 2012, 509; Wybitul/Rauer, EU-Datenschutz-Grundverordnung und Beschäftigtendatenschutz, ZD 2012, 160; Ziegenhorn/Drossel, Die Anwendung kirchlicher Regeln zum Datenschutz unter der EU-Datenschutz-Grundverordnung am Beispiel des § 2 Absatz 8 KDO, K&R 2016, 230; Ziekow, Datenschutz und evangelisches Kirchenrecht, 2002; Zilkens, Europäisches Datenschutzrecht – Ein Überblick, RDV 2007, 196.
Übersicht
| Rn. | |
| I. Entwicklung des Datenschutzrechts | 1 |
| 1. Normierung des Datenschutzrechts | 2 |
| 2. Internationales Datenschutzrecht | 8 |
| a) OECD | 9 |
| b) Vereinte Nationen | 10 |
| c) Europarat | 11 |
| 3. Datenschutzrichtlinie | 12 |
| 4. Bundesdatenschutzgesetz 1977–2018 | 14 |
| II. Datenschutz-Grundverordnung | 20 |
| 1. Meilensteine auf dem Weg zur DSGVO | 22 |
| a) Kommissionsentwurf | 23 |
| b) Parlamentsentwurf | 27 |
| c) Ratsentwurf | 30 |
| d) Trilog und Verabschiedung der DSGVO | 34 |
| 2. Struktur und wesentliche Inhalte der DSGVO | 35 |
| 3. Gesetzgebungskompetenz der Union | 43 |
| 4. Verfassungsrechtliche Kritik | 46 |
| 5. Öffnungsklauseln | 51 |
| III. Neues deutsches Datenschutzrecht | 56 |
| 1. Bundesdatenschutzgesetz – Gesetzgebungsprozess | 57 |
| 2. Struktur des BDSG | 58 |
| 3. Gesetzgebungskompetenz | 63 |
| 4. Neue Datenschutzgesetze der Länder | 65 |
I. Entwicklung des Datenschutzrechts
1
Erste Überlegungen zum Schutz von Betroffenen vor den Gefahren elektronischer Datenverarbeitung kamen in den 60er Jahren des vergangenen Jahrhunderts auf, zunächst in den USA und dann auch in Deutschland, als die automatisierte Datenverarbeitung mit ihren Großrechnern in der öffentlichen Verwaltung Einzug hielt.1 In Deutschland mündeten sie Ende der 1970er Jahre in die ersten Kodifizierungen allgemeiner Datenschutzgesetze im Land Hessen und im Bund. Weitere Meilensteine waren der Erlass der DSRl im Jahr 1995 und zuletzt der DSGVO.
1. Normierung des Datenschutzrechts
2
Die Normierung des Datenschutzrechts ist eng verknüpft mit der technischen Entwicklung von Datenverarbeitungssystemen. Diese lässt sich vereinfacht in drei Phasen darstellen.2 Am Anfang der Entwicklung standen dezentrale Rechenzentren und Einzelrechner, die eine intensivierte Datenverarbeitung in lokalen Strukturen ermöglichten. Die zweite Phase war geprägt von einer Verknüpfung dezentraler Rechnerstrukturen, durch die zunächst der Austausch von Daten zwischen einzelnen Rechnern und Rechenzentren ermöglicht wurde und die in ihrer Entwicklung zur umfassenden globalen Vernetzung durch das Internet geführt hat. Die dritte Phase zeichnet sich durch die Entstehung einer Vielzahl von Diensten aus, die das Einstellen von Informationen in lokalen Netzwerken und dem Internet vereinfachten und zu einem rasanten Anwachsen globaler Datenströme und Datenbestände geführt hat. Das heutige „Web 2.0“ ermöglicht eine weltweite Kommunikation und Interaktion über Plattformen, in die Nutzer selbst Inhalte einstellen, häufig mit sehr persönlichen Daten über sich selbst oder Dritte. Die Verarbeitung personenbezogener Daten erfolgt dabei sowohl im Kontext privater Nutzung von Diensten, als auch bei der Verarbeitung personenbezogener Daten im Zusammenhang mit Geschäftsprozessen zunehmend in dezentralen und global vernetzten Strukturen. Diese sind weitgehend unabhängig von nationalen Grenzen gestaltet. Häufig kennen dabei weder Nutzer noch Betroffene den Ort der Datenverarbeitung.
3
Fortschritte in der Datenverarbeitungstechnik waren stets bestimmendes Element für die Weiterentwicklung des Datenschutzrechts3 und sie werden auch in Zukunft dessen weitere Entwicklung prägen. Die Vorstellung der Steuerung technischer Entwicklung durch das Datenschutzrecht wird sich nur bedingt umsetzen lassen. Vielmehr ist anzunehmen, dass die technischen Entwicklungen auch in der Zukunft neue Herausforderungen für die Gewährleistung des Betroffenenschutzes durch das Datenschutzrecht schaffen werden. Die Normierung des Datenschutzrechts stellt eine Reaktion der Gesellschaft auf diese Veränderung ihrer sozialen Umwelt dar. Sie begann mit dem weltweit ersten Datenschutzgesetz,4 das 1970 in Hessen in Kraft trat. Es wurde gefolgt von einem vergleichbaren Regelungswerk in Bayern, das jedoch nicht als Datenschutzgesetz, sondern als EDV-Organisationsgesetz betitelt wurde,5 dem schwedischen Datenschutzgesetz aus dem Jahr 1973,6 dem Privacy Act von 19747 in den USA und dem norwegischen Datenschutzgesetz von 1978.8 Die Bundesregierung befasste sich mit dem Problem des Datenschutzes erstmals Ende der 1960er Jahre,9 das Bundesministerium des Innern erteilte der Universität Regensburg 1970 einen Forschungsauftrag zur Erstellung eines Datenschutzkonzepts,10 das die Entwicklung des Datenschutzrechts in der Folge prägen sollte.11
4
1977 wurde das erste Datenschutzgesetz des Bundes12 verabschiedet, das am 1.1.1978 in Kraft trat und materielle Regeln der Datenverarbeitung für öffentliche und private Stellen enthielt. Nach dem Bundesland Hessen folgten auch die übrigen Bundesländer und erließen allgemeine Datenschutzgesetze zur Regelung des Datenschutzes bei landesunmittelbaren Stellen. Im Bund und in den Ländern wurde, insbesondere im Anschluss an das BVerfG-Urteil zur Volkszählung 1983,13 eine große Zahl bereichsspezifischer Datenschutzgesetze verabschiedet. Diese konkretisieren Erlaubnistatbestände des allgemeinen Datenschutzrechts und knüpfen die Verarbeitung an besondere Voraussetzungen, etwa beim Telemediengesetz oder dem Telekommunikationsgesetz, oder schränken die Rechte der Betroffenen aufgrund einer von der Legislative vorgenommenen Interessenabwägung ein, wie beispielsweise mit dem BKA-Gesetz.
5
Seit dem Inkrafttreten der DSRl kommt auch dem europäischen Datenschutzrecht eine entscheidende Rolle zu (siehe Rn. 11f.), das über die Grenzen Europas hinaus Impulse für Datenschutzgesetzgebung nach europäischem Vorbild gibt.14 Die Harmonisierung des Datenschutzrechtes in der Union erreicht mit der DSGVO nun eine neue Qualität (siehe Rn. 20ff.). Das Ende dieser Entwicklung ist noch nicht absehbar. Ziele der digitalen Agenda für Europa 201015 und der Strategie für einen digitalen Binnenmarkt für Europa16 sind die Schaffung eines gemeinsamen digitalen Binnenmarkts beziehungsweise dessen Vertiefung. Diese Digitalisierungsstrategie der Kommission setzt unter anderem auf die unionsweite gemeinsame Nutzung von IT-Infrastruktur und die Vereinheitlichung von Standards. Die unionsweite Rechtsvereinheitlichung wird dabei auch künftig eine große Rolle spielen und Veränderungen des Datenschutzrechts und angrenzender Regelungsmaterien verursachen. Der nächste große Schritt auf diesem Weg, die Überführung der ePrivacy-Richtlinie17 in eine ePrivacy-Verordnung,18 die zeitgleich mit der DSGVO wirksam werden sollte (Art. 29 Abs. 2 ePrivacy-VO-KOM-E), war dann wiederholt verschoben worden und schien nach mehreren vergeblichen Initiativen unter der jeweiligen Ratspräsidentschaft gescheitert zu sein.19 Nun hat sich der Rat der Europäischen Union unter der portugiesischen Ratspräsidentschaft aber auf eine Entwurfsfassung einer ePrivacyVO geeinigt20 – bei Enthaltung des deutschen Vertreters im Rat. Der Entwurf, der auf heftige Kritik stößt,21 wird im Trilog weiter beraten werden – Ausgang ungewiss. Im Vorgriff auf die ePrivacyVO, deren Wirksamenwerden nicht absehbar ist, wurde das „Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG)“ verabschiedet22 (siehe dazu die Kommentierung in diesem Werk).
6
Weitere Impulse für die Vereinheitlichung des europäischen Datenschutzrechts und Weiterentwicklung des Informationsbinnenmarktes verspricht die Digitalstrategie der neuen Kommission.23 Zentrale Elemente davon sind die Regulierung künstlicher Intelligenz,24 Cybersicherheit und die Europäische Datenstrategie.25 Ziel der Europäischen Datenstrategie ist nicht weniger als „die EU in die Lage [zu] versetzen [...], zur attraktivsten, sichersten und dynamischsten datenagilen Wirtschaft der Welt zu werden, [...].“26 Erster Schritt zur Umsetzung der Datenstrategie ist der Kommissionsentwurf eines Daten-Governance-Gesetzes27 mit dem der europäische Informationsbinnenmarkt gestärkt werden soll. Ziele, die mit dem Entwurf des Daten-Governance-Gesetzes verfolgt werden, sind die Bereitstellung von Daten aus dem öffentlichen Sektor zur Weiterverwendung der Daten, an denen Rechte Dritter bestehen, die gemeinsame Datennutzung durch Unternehmen gegen Entgelt, die gemeinsame Datennutzung personenbezogener Daten durch Einschaltung von Mittlern und die Ermöglichung der Datennutzung zu altruistischen Zwecken. Nächste Schritte im Gesetzgebungsverfahren sind die Beratung und Beschlussfassung im Europäischen Parlament und im Europäischen Rat.
7
Die Kirchen regeln den Datenschutz aufgrund der Freiheitsgarantie des Art. 140 GG i.V.m. Art. 137 Abs. 3 Satz 1 WRV und des daraus folgenden kirchlichen Selbstbestimmungsrechts autonom28 und haben sich dabei weitgehend an den allgemeinen Datenschutzgesetzen orientiert. Nach Art. 91 DSGVO ist ihnen das weiter möglich, soweit ihr Datenschutzrecht mit der DSGVO „in Einklang“ steht (siehe dazu Art. 91 Rn. 25f.).29 Der Datenschutz in der Evangelischen Kirche ergibt sich aus dem Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz – DSG-EKD), der Datenschutz in der katholischen Kirche ist im Gesetz über den Kirchlichen Datenschutz (KDG) geregelt.
2. Internationales Datenschutzrecht
8
Wie bei der Normierung des nationalen Datenschutzrechts ist auch auf internationaler Ebene die technische Entwicklung Schrittmacher des Datenschutzrechts.30 Die globale Vernetzung und die Entstehung des Internets sind nicht an nationale Grenzen gebunden und machen eine internationale Regulierung des Datenschutzrechts erforderlich.31
a) OECD
9
Bereits 1980 wurden von der OECD „Leitlinien für den Schutz des Persönlichkeitsrechts und den grenzüberschreitenden Verkehr personenbezogener Daten“ verabschiedet.32 Diese enthalten materielle und verfahrensrechtliche Regelungen des Datenverkehrs im privaten und im öffentlichen Sektor sowie Regeln für die grenzüberschreitende Datenübermittlung.33 Bedeutung kommt ihnen insbesondere durch die Etablierung des Datenschutzrechts als Gegenstand internationaler Regulierung zu.34 Zudem hatten die Regelungen prägenden Einfluss auf zahlreiche Regelungen zum Datenschutz in OECD-Mitgliedstaaten.35 Die Leitlinie wurde 2013 erstmals von einem Multistakeholder-Expertengremium mit dem Ziel angepasst, die gesellschaftlichen und volkswirtschaftlichen Veränderungen stärker zu berücksichtigen.36 Zur Umsetzung dieses Ziels wurden zwei wesentliche Maßnahmen gewählt. Einerseits ist ein risikobasierter Ansatz zur praktischen Umsetzung des Schutzes der Privatsphäre implementiert worden. Andererseits wurden große Anstrengungen unternommen, durch neue Konzepte die Verbesserung von Interoperabilität zu erreichen und so der globalen Dimension des Datenschutzes Rechnung zu tragen.37
b) Vereinte Nationen
10
Auch die Vereinten Nationen haben sich der automatisierten Datenverarbeitung angenommen und 1985 einen ersten Richtlinienentwurf zum Datenschutz durch die UN-Menschenrechtskommission erarbeitet.38 1990 wurden die „Richtlinien zur Verarbeitung personenbezogener Daten in automatisierten Dateien“ verabschiedet.39 Sie enthalten allgemeine Empfehlungen für die Gestaltung des Datenschutzrechts unter Beachtung des Grundsatzes der Datenrichtigkeit, der Zweckbestimmung und der Beachtung der Rechte der Betroffenen40 im privaten und im öffentlichen Sektor. Wie bei den OECD-Leitlinien handelt es sich jedoch nicht um bindendes Völkerrecht, sodass sich keine Umsetzungspflicht für nationale Gesetzgeber ergibt.41
c) Europarat
11
Die erste völkerrechtlich verbindliche Normierung des Datenschutzrechts ist die Europäische Datenschutzkonvention,42 die 1981 verabschiedet, den Mitgliedstaaten zur Ratifizierung vorgelegt und 1985 mit der Verabschiedung des Ratifizierungsgesetzes43 in Deutschland geltendes Recht wurde. Mit Stand Dezember 2020 ist die Konvention von 55 Staaten ratifiziert worden.44 Sie regelt den Datenschutz bei der automatischen Verarbeitung personenbezogener Daten natürlicher Personen und enthält Prinzipien des Datenschutzes, wie den Grundsatz der rechtmäßigen Datenerhebung nach Treu und Glauben (Art. 5a), den Zweckbindungsgrundsatz der Datenerhebung und Verarbeitung (Art. 5b und 5c), den Grundsatz der richtigen Datenerhebung (Art. 5d), den Grundsatz der Anonymisierung (Art. 5e) sowie den Grundsatz der Datensicherheit (Art. 7). In Art. 12 werden zudem Regelungen zum grenzüberschreitenden Datenverkehr getroffen.
3. Datenschutzrichtlinie
12
Noch Anfang der 1990er Jahre differierte das Datenschutzniveau innerhalb der Union erheblich und wurde damit ein Hindernis für den innereuropäischen Handel.45 Dies war Anlass für den europäischen Gesetzgeber, den Schutz personenbezogener Daten in der DSRl46 zu normieren.47 In der Folge haben die Mitgliedstaaten nationale Umsetzungsgesetze erlassen und so jedenfalls theoretisch einen europäischen Informationsbinnenmarkt mit einem einheitlichen Datenschutzniveau geschaffen (siehe Art. 1 Rn. 50ff.). Praktisch divergierte das Schutzniveau innerhalb der Union dennoch stark. Begründet war das neben der unterschiedlichen Ausgestaltung des Datenschutzrechts in den nationalen Datenschutzgesetzen insbesondere in der teils erheblich divergierenden Auslegung und Durchsetzungspraxis.
13
Die DSRl sollte in einem Rechtsakt die Grundsätze zum Schutz personenbezogener Daten zusammenzufassen und damit die Grundlage der Normierung des Datenschutzrechts in den Mitgliedstaaten schaffen,48 um das Datenschutzrecht auf möglichst hohem Niveau in der Union zu vereinheitlichen.49 Die DSRl knüpfte dafür an die Grundsätze des Datenschutzes nach der Datenschutzkonvention des Europarates an50 und ordnete in ErwG 10 an, dass ihre Umsetzung nicht zu einer Absenkung des Schutzniveaus in den Mitgliedstaaten führen darf. Die DSRl strebte eine umfassende, aber nicht lückenlose Harmonisierung des Datenschutzrechts in der Union an und den Abbau rechtlicher Hindernisse für den freien Datenverkehr (ErwG 7).51 Die Normierung des Datenschutzrechts erfolgte in Ergänzung zur DSRl auf europäischer Ebene durch weitere Richtlinien, wie die ePrivacy-Richtlinie,52 die Richtlinie über die Vorratsdatenspeicherung53 und die Cookie-Richtlinie.54
4. Bundesdatenschutzgesetz 1977–2018
14
Schon lange vor Erlass der DSRl im Jahr 1995 war das Datenschutzrecht in Deutschland durch das BDSG a.F. und Datenschutzgesetze der Länder geregelt (siehe Rn. 4ff.). Das BDSG a.F. wurde 1977 verabschiedet und in drei Novellen wesentlich überarbeitet. Das Gesetz zur Fortentwicklung der Datenverarbeitung und des Datenschutzes55 aus dem Jahr 1990 entwickelte das BDSG auf der Basis des verfassungsrechtlichen Meilensteins des Datenschutzrechts,56 dem Volkszählungsurteil des Bundesverfassungsgerichts,57 weiter (zum Volkszählungsurteil siehe Art. 1 Rn. 25f.). Der Schwerpunkt lag hierbei auf der Überarbeitung der Regelungen des Datenschutzes im öffentlichen Bereich.58
15
Die zweite Überarbeitung des BDSG erfolgte im Jahr 2001 durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze,59 in dem der Gesetzgeber die Anforderungen der DSRl in deutsches Recht umsetzte.60 Dabei wurde aber im Grundsatz die Konzeption des BDSG a.F. beibehalten, sodass es auch relevante Unterschiede zur Konzeption des Datenschutzrechts in der DSRl gab, unter anderem die in der DSRl fehlende Differenzierung zwischen der Datenverarbeitung durch öffentliche und nichtöffentliche Stellen. Anders als das BDSG a.F. differenziert die DSRl auch nicht zwischen der verwendeten Technologie und erfasst automatisierte und nicht automatisierte Verarbeitung im gleichen Maße wie das BDSG a.F.61
16
Die Umsetzung der DSRl war gemäß Art. 32 Abs. 1 DSRl bis zum 24.10.1998 vorzunehmen. In Deutschland zog sie sich jedoch in die Länge und erfolgte im Jahr 2001, zweieinhalb Jahre nach Ablauf der Umsetzungsfrist und erst nach der Einleitung eines Vertragsverletzungsverfahrens durch die Europäische Kommission.62 Das war zum einen bedingt durch das Ende der Legislaturperiode, zum anderen durch die Forderung nach einer grundlegenden Modernisierung des Datenschutzrechts.63 Bei der Umsetzung beschränkte sich der Gesetzgeber dann nicht zuletzt aufgrund des Zeitdrucks weitgehend auf die Umsetzung der DSRl.64 Es wurden hierbei aber auch Grundsätze eines modernen Datenschutzrechts mit Elementen ökonomischer Anreize eingeführt, wie die Prinzipien der Datenvermeidung und der Datensparsamkeit (§ 3a BDSG), des Datenschutzes durch Technik oder eines Datenschutzaudits (§ 9a BDSG).65 Zur grundlegenden Reform des BDSG a.F. kam es im Rahmen der Umsetzung der DSRl durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze66 jedoch nicht. Die Forderung nach einer umfassenderen Modernisierung des Datenschutzrechts blieb bestehen.67
17
Zuletzt wurde das BDSG a.F. 2009 durch drei Reformgesetze geändert.68 Die sog. BDSG-Novelle I69 erfolgte durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes vom 29.7.2009.70 Sie trat zum 1.4.2010 in Kraft und befasst sich mit Scoring, Rating und dem Recht der Auskunfteien. Die Novelle brachte Neuerungen des Datenschutzrechts insbesondere in vier Bereichen; so wurden Mitteilungs- und Erklärungspflichten bei automatisierten Einzelentscheidungen, Zulässigkeitsregeln für Scoring-Verfahren sowie die Übermittlung von Daten an Auskunfteien und Auskunftspflichten in Bezug auf Scoringwerte neu geregelt.71 Die zweite Novellierung des BDSG72 im Jahr 2009 erfolgte durch das Gesetz zur Änderung datenschutzrechtlicher Vorschriften vom 14.8.2009.73 Sie trat in ihren wesentlichen Teilen zum 1.9.2009 in Kraft, in den durch Art. 5 des Änderungsgesetzes benannten Ausnahmen hingegen erst mit Wirkung zum 1.4.2010.
18
Durch die BDSG-Novelle II sollten ursprünglich die Voraussetzungen zur Durchführung eines freiwilligen Datenschutzaudits gemäß § 9a BDSG a.F. durch ein Datenschutzauditgesetz74 geschaffen werden. Hiervon wurde im Laufe des Gesetzgebungsverfahrens aber Abstand genommen. Die BDSG-Novelle II brachte jedoch Veränderungen für das sog. Listenprivileg gemäß § 28 Abs. 3 Sätze 2–5 BDSG a.F.,75 die Auftragsdatenverarbeitung gemäß § 11 BDSG a.F.76 sowie eine Erhöhung des Bußgeldrahmens für Datenschutzverstöße gemäß § 43 BDSG a.F.,77 die Neuregelung von Informationspflichten bei unrechtmäßiger Kenntniserlangung von Daten gemäß § 42a BDSG a.F.78 und die Einführung einer Regelung zum Arbeitnehmerdatenschutz in § 32 BDSG a.F.79
19
Die BDSG-Novelle III80 erfolgte durch Art. 5 des Gesetzes zur Umsetzung der Verbraucherkreditrichtlinie, des zivilrechtlichen Teils der Zahlungsdienstrichtlinie sowie zur Neuordnung der Vorschriften über das Widerrufs- und Rückgaberecht vom 29.7.2009.81 Sie enthielt unter anderem Regelungen zum Umgang mit personenbezogenen Daten im Zusammenhang mit der Kreditwürdigkeitsprüfung von Verbrauchern und Änderungen der Informationspflichten beim Abschluss bzw. der Ablehnung von Verbraucherdarlehensverträgen in § 29 BDSG.
II. Datenschutz-Grundverordnung
20
Die Verarbeitung personenbezogener Daten betrifft heute praktisch jeden Bereich der Gesellschaft und stellt für viele Wirtschaftsprozesse einen wesentlichen Faktor der Wertschöpfungskette dar. Das Datenschutzrecht und der damit verfolgte Ausgleich widerstreitender Interessen an der Freiheit des Datenverkehrs einerseits und dem Schutz natürlicher Personen vor den Gefahren der Datenverarbeitung andererseits ist damit elementar für unser soziales und wirtschaftliches Leben. Der Rechtsrahmen zur Bewertung damit verbundener Fragen aus DSRl und deren Umsetzung in mitgliedstaatlichen Datenschutzgesetzen, wie dem BDSG a.F., wird nun durch die DSGVO und deren Anpassungsgesetze abgelöst.
21
Die DSGVO tritt an die Stelle der DSRl und ist für die Mitgliedstaaten gemäß Art. 288 Abs. 2 AEUV unmittelbar anwendbares Recht.82 Mit der DSGVO erreicht die Harmonisierung des europäischen Datenschutzrechts eine neue Qualität, die aber u.a. durch zahlreiche Öffnungsklauseln und das weiterbestehende Fachrecht im öffentlichen Bereich der Mitgliedstaaten in Frage gestellt wird. Erstmals gibt es in der Rechtsform der Verordnung gemäß Art. 288 Abs. 2 AEUV unionsweit unmittelbar anwendbares Datenschutzrecht. Angesichts zunehmend globalisierter Datenverarbeitung, die sich schon lange nicht mehr durch nationalstaatliche Grenzen einschränken lässt, ein konsequenter, wichtiger und richtiger Schritt; mit Sicherheit aber nicht der letzte zur Weiterentwicklung des Datenschutzrechts der Union. Die Bedeutung der DSGVO für die europäische und weltweite Entwicklung des Datenschutzrechts kann nicht überschätzt werden.83
1. Meilensteine auf dem Weg zur DSGVO
22
Der Prozess zur Neuordnung des europäischen Datenschutzrechts begann schon viele Jahre vor der Verabschiedung der DSGVO. Die erste wichtige Manifestation dieses Prozesses war die Vorstellung des „Gesamtkonzepts für den Datenschutz in der EU“84 am 4.11.2010 durch die Kommission unter Führung der Kommissarin für Justiz, Grundrechte und Bürgerrechte Viviane Reding. Dieses Konzept sah vor, den Datenschutzstandard in der Union anzuheben und unionsweit zu vereinheitlichen, um die Wettbewerbsgleichheit in der Union zu fördern. Zudem sollte der Schutz der Betroffenen im Rahmen eines vollharmonisierten Regelungsumfelds vom Ort der Datenverarbeitung unabhängig gewährleistet werden.85 Das Konzept der Kommission sieht dafür sieben „Grundbausteine“ vor, nämlich 1. eine Einheitliche Rechtsgrundlage in der Rechtsform der Verordnung, 2. eindeutige Zuständigkeiten jeweils einer Aufsichtsbehörde, 3. ein einheitliches und hohes Schutzniveau, 4. Berücksichtigung der Besonderheiten von Polizei und Justiz, 5. Berücksichtigung der Besonderheiten von kleinen und mittleren Unternehmen, 6. ausgewogene Berücksichtigung sämtlicher Grundrechte und 7. Offenheit für technische Entwicklungen.86 Das Parlament begrüßte und unterstützte dieses Konzept ausdrücklich.87 Dennoch dauerte es danach noch fast sechs Jahre, bis eine Einigung der europäischen Institutionen erreicht und die DSGVO am 14.4.2016 durch das Parlament verabschiedet wurde.
a) Kommissionsentwurf
23
Am 25.1.2012 stellte die Kommission ihren Entwurf zur Regelung des europäischen Datenschutzrechts in einer Verordnung88 sowie den Vorschlag für eine Richtlinie für die behördliche Datenverarbeitung zu Zwecken der Aufklärung und Verhinderung von Straftaten89 vor. Mit diesen Regelungsvorschlägen sollte das europäische Datenschutzrecht grundlegend reformiert und an die Anforderungen moderner Datenverarbeitung angepasst werden.90 Der Kommissionsentwurf ist in wesentlichen Teilen in der finalen Fassung der DSGVO umgesetzt worden, sah sich aber auch intensiver Kritik ausgesetzt und wurde in zentralen Aspekten während des Gesetzgebungsverfahrens modifiziert.
24
Kritisiert wurde insbesondere die zentrale und dominierende Rolle der Kommission bei der Normierung und Durchsetzung des Datenschutzrechts. Der Kommissionsentwurf sah an 26 Stellen Regelungen delegierter Rechtsakte nach Art. 290 AEUV vor,91 mit denen die Kommission hätte rechtsetzend tätig werden können. Delegierte Rechtsakte entsprechen in ihrer Funktion einer Verordnung im deutschen Recht.92 Diese Ermächtigungen sollten es ermöglichen, flexibel auf neue Entwicklungen in Technik und Recht zu reagieren.93 Der Umfang dieser Ermächtigungen wurde zu Recht kritisiert.94 Die Kommission wäre damit faktisch zur zentralen Institution der Regulierung und Kontrolle des europäischen Datenschutzrechts geworden. Die Kritik stützte sich auf Art. 290 Abs. 1 AEUV, wonach der Kommission die Kompetenz nur zur Ergänzung und Änderung „nicht wesentlicher Vorschriften“ sekundärrechtlicher Regelungen übertragen werden darf.95 Die Ermächtigungen in dem Kommissionsentwurf gingen allein durch ihre Zahl über dieses Maß hinaus. Parlament und Rat haben die Zahl der delegierten Rechtsakte in ihren Entwürfen stark reduziert (siehe dazu Rn. 27 und Rn. 30f.). In der finalen Fassung finden sich nur noch zwei Ermächtigungen für delegierte Rechtsakte.96
25
Zudem sah der Kommissionsentwurf in Art. 57 ein Kohärenzverfahren für Maßnahmen mit grenzüberschreitender Wirkung vor,97 an dessen Spitze die Kommission stehen sollte. Sie hätte in ihrer Rolle zwar kein Entscheidungs- und Weisungsrecht gehabt, durch delegierte Rechtsakte hätte sie jedoch Verfahren und zugrunde liegendes Datenschutzrecht bestimmen können. Die Aufsichtsbehörden hätten damit bildlich gesprochen auf einem Teppich gestanden, den die Kommission jederzeit unter den Füßen hätte wegziehen können.98 Das Kohärenzverfahren hätte damit im Widerspruch zur Unabhängigkeit der Aufsichtsbehörden gestanden.99 Diese sollte aber auch nach dem Kommissionsentwurf gewährleistet werden.
26
Besonders in der deutschen Literatur wurde die Geltung der Verordnung neben dem nicht-öffentlichen auch für den öffentlichen Sektor kritisiert. Die Ausdehnung auf den öffentlichen Sektor wurde teilweise als Verstoß gegen das Subsidiaritätsprinzip aus Art. 5 Abs. 3 EUV gewertet, da Art. 16 Abs. 2 AEUV diesen nicht mitumfasse und es insofern an einer Ermächtigungsgrundlage für den europäischen Gesetzgeber fehle (siehe dazu Rn. 42ff.).100
b) Parlamentsentwurf
27
Das Parlament erarbeitete im federführenden Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE)101 von dem Kommissionsentwurf ausgehend den Parlamentsentwurf.102 Dabei wurde die kaum vorstellbare Zahl von 3999 Änderungsvorschlägen evaluiert und für den Entwurf berücksichtigt.103 Der finale Bericht104 wurde dem Parlament schließlich am 21.10.2013 durch den parlamentarischen Berichterstatter Jan Philipp Albrecht zur Entscheidung vorgelegt. Er sah 207 Änderungen105 an dem Kommissionsentwurf vor und wurde vom Parlament am 12.3.2014 in der vorgelegten Form beschlossen.106 Der Parlamentsentwurf erhielt dabei eine Zustimmung von über 95 %.107
28
Im Ergebnis sind nach dem Parlamentsentwurf die Befugnisse der Kommission eingeschränkt und zugunsten der Aufsichtsbehörden und Mitgliedstaaten ausgestaltet worden.108 In dem Parlamentsentwurf gibt es nur noch zehn Normen, die delegierte Rechtsakte der Kommission vorsehen.109 Stattdessen wurden Öffnungsklauseln für Rechtsakte der Mitgliedstaaten und Ermächtigung des Europäischen Datenschutzausschusses zum Erlass unverbindlicher Leitlinien eingefügt.110 Anstelle des One-Stop-Shop-Verfahrens (siehe dazu Art. 56 Rn. 1) in dem Kommissionsentwurf, nach dem sich Betroffene nur an die Aufsichtsbehörde am Ort der Hauptniederlassung hätten wenden können, wurde mit dem Parlamentsentwurf das Prinzip der federführenden Aufsichtsbehörde vorgeschlagen, das sich nun auch im finalen Text der DSGVO findet (siehe dazu Art. 56 Rn. 10ff.).111 In dem Parlamentsentwurf wurden entsprechend auch die Befugnisse des Europäischen Datenschutzausschusses ausgeweitet, der im Rahmen des Kohärenzverfahrens zwischen den Behörden vermittelt und Entscheidungskompetenz hat.
29
Zudem wurde die Komplexität der Verzeichnisse von Verarbeitungstätigkeiten reduziert sowie die Betroffenenrechte gestärkt und differenzierter ausgestaltet.112 Insbesondere wurde das Erfordernis der Transparenz präzisiert, das Recht auf Datenübertragbarkeit aus Art. 18 des Kommissionsentwurfs ersatzlos gestrichen113 und die Bezeichnung „Recht auf Vergessenwerden“ in Pflicht zum Löschen geändert.114 Für die Datenschutzfolgenabschätzung sieht der Parlamentsentwurf die Durchführung einer initialen vorherigen Risikoanalyse vor.115 Für die Ausnahme vom Anwendungsbereich der DSGVO im Rahmen der sogenannten Haushaltsausnahme wurde der Zusatz „ohne jede Gewinnerzielungsabsicht“ gestrichen (siehe Art. 2 Rn. 4).116 Der territoriale Anwendungsbereich des Marktortprinzips wurde in dem Parlamentsentwurf weiter als im Kommissionsentwurf gefasst, indem in Art. 3 Abs. 2 lit. a Parlamentsentwurf aufgenommen wurde, dass auch unentgeltliche Waren- oder Dienstleistungen vom Anwendungsbereich umfasst werden (siehe Art. 3 Rn. 21ff.).
c) Ratsentwurf
30
Als letztes der drei Organe der Union beschloss der Europäische Rat am 11.6.2015 seinen Entwurf der DSGVO, den Ratsentwurf.117 Der Europäische Rat setzt sich aus den Staats- und Regierungschefs der Mitgliedstaaten zusammen118 und vertritt naturgemäß die Interessen der Mitgliedstaaten.119 Entsprechend ist es konsequent, dass der Ratsentwurf die Befugnisse der Kommission noch stärker einschränkt und stattdessen mehr Öffnungsklauseln zum Erlass mitgliedstaatlicher Regelungen vorsieht.120 Der Ratsentwurf sieht delegierte Rechtsakte der Kommission nur noch für die Ausgestaltung von Zertifizierungsverfahren vor.121 Weitergehende Rechtsetzungsbefugnisse der Kommission wurden sämtlich gestrichen.122
31
Innerhalb des Rates wurde über das Durchsetzungsregime der DSGVO intensiv diskutiert. Entsprechend der Position des Parlaments sah auch der Rat den Ansatz des Kommissionsentwurfs mit einer starken Kommission kritisch.123 Lange Diskussionen im Rat zu diesem Punkt führten im Ergebnis zu einer nur marginal vom Parlamentsentwurf abweichenden Entwurfsfassung.124 Entsprechend dem Parlamentsentwurf sieht auch der Ratsentwurf zudem vor, dass Regelungen zu Befugnissen der Aufsichtsbehörden sich nicht unmittelbar aus der DSGVO ergeben, sondern nach Maßgabe nationaler Regelungen gelten sollten, damit die DSGVO in Einklang mit den stark divergierenden Regelungen des mitgliedstaatlichen Verfahrensrecht durchgesetzt werden kann.125
32
Nach dem Ratsentwurf sollten zudem durch die Einführung von Art. 1 Abs. 2a Ratsentwurf weitgehende Kompetenzen der Mitgliedstaaten zum Erlass nationaler Regelungen geschaffen werden, die „zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt“.126 So weitreichende Befugnisse der Mitgliedstaaten zum Erlass von datenschutzrechtlichen Regelungen im Bereich der öffentlichen Verwaltung wurden in den Trilogverhandlungen dann jedoch nicht in den finalen Entwurf der DSGVO übernommen.
33
Der Ratsentwurf verfolgte als übergeordnetes Ziel einen risikobasierten Ansatz, um einen adäquaten Ausgleich zwischen dem Schutzerfordernis der Betroffenen und dem administrativen Aufwand der Verantwortlichen zu erreichen.127 In diesem Kontext wurde ebenfalls das Recht auf Datenübertragbarkeit ersatzlos gestrichen und das Auskunftsrecht so beschränkt, dass es zwar unentgeltlich, dafür aber nur in „angemessenen Abständen“ wahrgenommen werden kann.128 Informationspflichten des Verantwortlichen gegenüber den Betroffenen wurden in dem Ratsentwurf erweitert und Mitteilungspflicht in Bezug auf die Berichtigung, Löschung oder Einschränkung eingeführt.129
d) Trilog und Verabschiedung der DSGVO
34
Am 24.7.2015 begann der sogenannte informelle Trilog zur Verhandlung der finalen Fassung der DSGVO. Der informelle Trilog ist anders als der formelle Trilog nicht in Art. 294 AEUV normiert und unterscheidet sich davon maßgeblich.130 Der informelle Trilog ist im Unionsrecht nicht als zwingendes Element des Gesetzgebungsverfahrens vorgesehen. Entsprechend muss er anders als der formelle Trilog auch nicht zwischen der zweiten und dritten Lesung im Parlament durchgeführt werden. Zudem gibt es im informellen Trilog keine Frist, innerhalb derer die Verhandlungen mit einem Ergebnis abgeschlossen werden müssten.131 Der informelle Trilog ist ein Verfahren, bei dem der Rat und das Parlament, unter Vermittlung der Kommission,132 über die finale Fassung eines Rechtsaktes weitgehend frei von prozeduralen Vorgaben verhandeln.133 Die drei Entwürfe der DSGVO divergierten in wichtigen Kernfragen mitunter erheblich (siehe dazu Rn. 22 bis 32).134 Am 17.12.2015 einigten sich Rat und Parlament schließlich auf die finale Entwurfsfassung der DSGVO.135 Diese wurde am 14.4.2016 gemäß Art. 294 Abs. 7 lit. a AEUV vom Parlament verabschiedet, am 4.5.2016 im Amtsblatt der Union veröffentlicht und trat gemäß Art. 99 DSGVO am 25.5.2018 in Kraft.
2. Struktur und wesentliche Inhalte der DSGVO
35
Die DSGVO gliedert sich in 11 Kapitel und 99 Artikel, denen 173 Erwägungsgründe vorangestellt sind. 51 Artikel regeln das materielle und 48 das formelle, organisatorische und kompetenzrechtliche Datenschutzrecht.136
36
Kapitel 1 (Allgemeine Bestimmungen) enthält Regelungen zur Zielbestimmung und zum Anwendungsbereich sowie Begriffsbestimmungen. Kapitel 2 (Grundsätze) regelt Grundsätze der Datenverarbeitung und Erlaubnistatbestände. Kapitel 3 (Rechte der betroffenen Person) enthält unter anderem Regelungen zu Informationspflichten, Auskunftsrechten, dem Recht auf Löschung und Vergessenwerden sowie das Recht auf Datenübertragbarkeit. Kapitel 4 (Verantwortlicher und Auftragsverarbeiter) regelt insbesondere die Voraussetzungen der Auftragsverarbeitung, das Verzeichnis von Verarbeitungstätigkeiten, den technisch-organisatorischen Datenschutz, Meldepflichten bei Datenschutzvorfällen, die Datenschutzfolgenabschätzung und den Datenschutzbeauftragten. Kapitel 5 (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen) enthält den Rechtsrahmen für internationale Datenübermittlungen. Kapitel 6 (Unabhängige Aufsichtsbehörden) regelt Aufgaben und Befugnisse der Aufsichtsbehörden. Kapitel 7 (Zusammenarbeit und Kohärenz) bildet den Rechtsrahmen für die Abstimmung der Aufsichtsbehörden in der Union und den europäischen Datenschutzausschuss. Kapitel 8 (Rechtsbehelfe, Haftung und Sanktionen) enthält Regelungen zu Rechtsbehelfen, Schadensersatz und Bußgeldern. Kapitel 9 (Vorschriften für besondere Verarbeitungssituationen) regelt den Datenschutz in Abgrenzung zur Meinungs- und Informationsfreiheit. Kapitel 10 (Delegierte Rechtsakte und Durchführungsrechtsakte) enthält Befugnisse der Kommission zum Erlass delegierter Rechtsakte. Kapitel 11 (Schlussbestimmungen) regelt die Aufhebung der DSRl, das Verhältnis der DSGVO zu anderen Regelungskomplexen und das Inkrafttreten.
37
Inhaltlich baut die DSGVO stark auf der DSRl auf,137 enthält aber auch neue Elemente, mit denen das europäische Datenschutzrecht an die Anforderungen moderner Datenverarbeitung angepasst werden soll. In der Literatur wird jedoch kritisiert, dass wichtige Aspekte einer Modernisierung des Datenschutzrechts, wie der Datenschutz im Konzern, bei der DSGVO nicht berücksichtigt wurden.138 Der sachliche Anwendungsbereich folgt aus Art. 2 Abs. 1 DSGVO und erfasst entsprechend dem Anwendungsbereich der DSRl jede – auch teilweise – automatisierte Datenverarbeitung (siehe Art. 2 Rn. 6ff.). Der räumliche Anwendungsbereich folgt aus Art. 3 DSGVO und erfasst sowohl Stellen, die Daten im Rahmen der Tätigkeit einer europäischen Niederlassung in oder außerhalb der Union verarbeiten (Abs. 1) oder solche, die zwar außerhalb der Europäischen Union agieren, allerdings Waren oder Dienstleistungen europäischen Bürgern gegenüber anbieten oder deren Verhalten beobachten (Abs. 2) (siehe Art. 3 Rn. 19ff.).
38
Aus Art. 5 DSGVO folgen grundlegende Prinzipien, wie die Verarbeitung nach dem Grundsatz von Treu und Glauben, der Grundsatz der Transparenz, Direkterhebung, Zweckbindung, Erforderlichkeit, Datenvermeidung und Datensparsamkeit. Der DSGVO liegt der Grundsatz des Verbots der Datenverarbeitung mit Erlaubnisvorbehalt zugrunde.139 Aus Art. 6 Abs. 1 UAbs. 1 lit. a bis lit. f DSGVO ergeben sich die Voraussetzungen der Rechtfertigung einer Datenverarbeitung. Dies sind die Einwilligung des Betroffenen, die Erforderlichkeit für die Erfüllung eines Vertrages oder einer gesetzlichen Verpflichtung sowie die Notwendigkeit für den Schutz lebenswichtiger Interessen und die Erforderlichkeit für eine Aufgabe im öffentlichen Interesse oder eigener berechtigter Interessen der datenverarbeitenden Stelle.
39
Die Verarbeitung personenbezogener Daten von Kindern unter 16 Jahren durch Anbieter von Diensten der Informationsgesellschaft setzt gem. Art. 8 Abs. 1 Satz 2 DSGVO die Einwilligung des gesetzlichen Vertreters voraus. Die Voraussetzungen der Verarbeitung besonderer Kategorien personenbezogener Daten folgt aus Art. 9 DSGVO und entspricht im Wesentlichen Art. 8 DSRl.140 Neu ist jedoch, dass biometrische Daten zur eindeutigen Identifizierung als besondere Kategorie personenbezogener Daten gelten (siehe Art. 9 Rn. 14). Ergänzende Pflichten der datenverarbeitenden Stelle umfassen u.a. die Dokumentation (siehe Art. 30), die Datenschutz-Folgenabschätzung (siehe Art. 35 Rn. 1ff.) und die Meldung von Datenschutzvorfällen an Aufsichtsbehörden (siehe Art. 33).141 Die Bestellung eines Datenschutzbeauftragten ist unter den Voraussetzungen gemäß Art. 37 DSGVO für Verantwortliche und Auftragsverarbeiter in allen Mitgliedstaaten nach der DSGVO verpflichtend (siehe Art. 37 Rn. 8ff.).142
40
Im Hinblick auf die Rechte der Betroffenen enthält Art. 17 DSGVO das Recht auf Löschung und auf Vergessenwerden. Bei Letzterem handelt es sich faktisch um ein erweitertes Recht auf Löschung, das insbesondere auf das Medium Internet zugeschnitten ist (siehe Art. 17 Rn. 4ff.). Es soll einem Kontrollverlust der Betroffenen über Daten, die dieser in das Internet gestellt hat, entgegenwirken143 und verpflichtet die verantwortliche Stelle, zumutbare Maßnahmen zu unternehmen, um Dritte auf ein Löschungsbegehren hinzuweisen.144 Das neue Recht auf Datenübertragbarkeit ergibt sich aus Art. 20 DSGVO und ist darauf gerichtet, bei einem Wechsel des Diensteanbieters einmal zur Verfügung gestellte Daten in einem gängigen Format sich selbst „zur Mitnahme“ bereitgestellt oder dem neuen Dienstleister zur Verfügung gestellt zu bekommen.145
41
Der Beschäftigtendatenschutz ist in der DSGVO nicht besonders geregelt. Eine Datenverarbeitung in Beschäftigungsverhältnissen ist daher unionsrechtlich grundsätzlich an den allgemeinen Voraussetzungen gem. Art. 6 Abs. 1 UAbs. 1 DSGVO zu messen. Art. 88 DSGVO enthält jedoch eine Öffnungsklausel und ermöglicht es den Mitgliedstaaten, eigene Regelungen zum Beschäftigtendatenschutz zu erlassen (siehe Art. 88 Rn. 10ff.). Der deutsche Gesetzgeber hat davon mit § 26 BDSG Gebrauch gemacht.
42
Die Datenschutzaufsicht steht gem. Art. 51 DSGVO in der Verantwortung der Mitgliedstaaten (siehe Art. 51 Rn. 6). Diese können vorsehen, dass die Aufsicht durch eine oder mehrere Aufsichtsbehörden ausgeführt wird. Die föderale Struktur der deutschen Aufsichtsbehörden kann und wird daher beibehalten werden.146 Die Befugnisse der Aufsichtsbehörden werden durch die DSGVO präzisiert und erweitert.147 Für die unionsweite und grenzüberschreitende Datenschutzaufsicht wird mit der DSGVO das Kohärenzverfahren gemäß Art. 60ff. DSGVO eingeführt.
3. Gesetzgebungskompetenz der Union
43
Durch den 2009 in Kraft getretenen Vertrag von Lissabon wurden die drei Säulen der Union, die Europäischen Gemeinschaften (EG), die Gemeinsame Außen- und Sicherheitspolitik (GASP) und die polizeiliche und justizielle Zusammenarbeit in Strafsachen (PJZS), weitgehend vereinigt. Gleichzeitig haben sich in datenschutzrechtlicher Hinsicht wichtige Änderungen ergeben. Art. 16 Abs. 2 AEUV148 regelt nun die Zuständigkeit für den Erlass von Datenschutzvorschriften umfassend und ordnet an, dass diese von Parlament und Rat im ordentlichen Gesetzgebungsverfahren gem. Art. 294 AEUV erlassen werden, was zu einer Zustimmungspflicht des Parlaments für sämtliche datenschutzrelevante Rechtsakte führt und dessen Kompetenzen erheblich vergrößert.149 Auch die DSGVO stützt sich auf die neu geschaffene europäische Kompetenz für das Datenschutzrecht. Inhaltlich erweitert der Vertrag von Lissabon die Kompetenzen der Union, indem diese nun die Verarbeitung personenbezogener Daten nicht nur für europäische Organe und Einrichtungen, sondern auch für die Mitgliedstaaten regeln kann.150 Über die kompetenzielle Neuordnung hinaus wurde mit dem Vertrag von Lissabon auch die Europäische Grundrechtecharta rechtsverbindlich, die in Art. 8 das Grundrecht auf den Schutz personenbezogener Daten enthält (zum europäischen Grundrechtsschutz s. Art. 1 Rn. 13ff.).151 Für die Entwicklung des Datenschutzrechts in seiner europäischen Dimension kommt dem Vertrag von Lissabon damit eine herausgehobene Stellung zu.
44
Die Kompetenz für den Erlass der Richtlinie folgt aus Art. 16 Abs. 2 AEUV, wonach das Europäische Parlament und der Rat die Kompetenz zur Rechtsetzung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten haben.152 Diese Kompetenz besteht gem. Art. 5 Abs. 3 EUV jedoch nur unter dem Vorbehalt der Subsidiarität.153 Eine gemeinschaftsrechtliche Regelung kann nur getroffen werden, wenn ihre Ziele durch eine Umsetzung auf mitgliedstaatlicher Ebene nicht erreicht werden können. Eine weitere Kompetenzbegrenzung folgt aus Art. 5 Abs. 4 EUV, wonach europäische Regelungen nur so weit zulässig sind, wie sie sich im Hinblick auf den Regelungszweck im Rahmen der Verhältnismäßigkeit bewegen.
45
Dass die Grundsätze der Subsidiarität und Verhältnismäßigkeit durch die Union beim Erlass der DSGVO gewahrt sind, wird in der Literatur bezweifelt.154 Der europäische Datenschutzbeauftragte155 und der Wirtschafts- und Sozialausschuss156 sowie der Ausschuss der Regionen157 begrüßten an dem Entwurf der DSGVO die stärkere Berücksichtigung der Grundrechte und den Harmonisierungsgedanken,158 kritisierten aber,159 ebenso wie Vertreter der rechtswissenschaftlichen Literatur und Lobbyvertreter,160 die Verfassungsmäßigkeit des Regelungsinstruments der Verordnung selbst, die im Konflikt mit dem Subsidiaritätsgedanken stehe. Die Diskussion um die Kompetenz der Union zum Erlass der DSGVO gipfelte in einer Subsidiaritätsrüge des Bundesrates,161 die letztlich jedoch an dem erforderlichen Quorum von einem Drittel der Parlamente der Mitgliedstaaten scheiterte.162 Der Subsidiaritätsrüge schlossen sich nur Belgien, Frankreich, Italien und Schweden an.163
4. Verfassungsrechtliche Kritik
46
Das europäische Recht genießt im Rahmen der Kompetenzübertragung an die europäischen Institutionen Anwendungsvorrang vor dem deutschen Recht.164 Dies hat zur Konsequenz, dass die DSGVO nicht an den deutschen Grundrechten zu messen ist.165 Entsprechend wurde im Vorfeld der Verabschiedung der DSGVO kritisiert, dass mit der DSGVO 30 Jahre Rechtsprechung des BVerfG zum Datenschutzrecht obsolet würden.166 Dieses Schutzdefizit wird in materiellrechtlicher Hinsicht jedoch kompensiert, indem die DSGVO auf europäischer Ebene an dem Grundrecht auf Datenschutz gem. Art. 8 GrCh zu messen ist,167 das der Gewährleistung der informationellen Selbstbestimmung in der deutschen Grundrechtsdogmatik entspricht. Dennoch sieht sich die DSGVO erheblicher verfassungsrechtlicher Kritik ausgesetzt.168 Diese ist zum einen dadurch begründet, dass es auf europäischer Ebene keine Rechtsprechung gibt, die ein der Grundrechtsrechtsprechung des BVerfG entsprechendes Niveau erreicht.169 Zudem führt die Regelung des Datenschutzes auf europäischer Ebene dazu, dass den Betroffenen der Weg zu einer Verfassungsbeschwerde vor dem BVerfG erschwert ist, während es auf europäischer Ebene keinen Rechtsbehelf gibt, der den Betroffenen nach der Erschöpfung des Rechtsweges Rechtsschutz wegen der Verletzung von Grundrechten aus der GrCh bietet.170
47
Der Primärrechtsschutz wegen der Verletzung von Rechten nach der DSGVO ändert sich hingegen mit Inkrafttreten der DSGVO nicht, da die mitgliedstaatlichen Gerichte auch für die Anwendung des Gemeinschaftsrechts zuständig sind.171 Gegen Maßnahmen der Aufsichtsbehörden bleibt es daher bei der Zuständigkeit der Verwaltungsgerichte und gegen Datenschutzverstöße von Privaten kann Rechtsschutz vor den ordentlichen Gerichten erlangt werden.172 Ein entscheidender Unterschied ergibt sich jedoch im Fall der Erschöpfung des Rechtsweges, da die Entscheidungskompetenz des BVerfG eingeschränkt sein kann. Nach der Solange-Rechtsprechung des BVerfG überprüft dieses europäische Rechtsakte nämlich nicht am Maßstab des Grundgesetzes, solange die europäischen Gemeinschaften insbesondere durch die Rechtsprechung des EuGH einen Grundrechtsschutz gewährleisten, der in seinem Wesensgehalt mit dem der Grundrechte des GG vergleichbar ist.173
48
Während in der Solange I-Entscheidung174 noch davon ausgegangen wurde, dass dieses Schutzniveau nicht erreicht ist, geht das BVerfG seit der Solange II-Entscheidung175 davon aus, dass ein entsprechendes Schutzniveau besteht. Eine Überprüfungskompetenz des BVerfG besteht in Anwendung dieser Grundsätze nur solche Rechtsakte, die aufgrund einer Öffnungsklausel in der DSGVO erlassen wurden176 und nach den Grundsätzen der Lissabon-Entscheidung für europäische Rechtsakte, die offensichtlich in den Kernbereich souveräner Staatlichkeit eingreifen,177 soweit diese strukturelle Bedeutung haben und vom EuGH unbeanstandet geblieben sind.178 Ein Verstoß gegen europäische Grundrechte kann danach nur indirekt im Wege des Vorabentscheidungsverfahrens gem. Art. 267 Abs. 3 AEUV durch eine Vorlage eines Fachgerichts vom EuGH auf einen Verstoß gegen europäische Grundrechte geprüft werden.179 Eine Pflicht zur Vorlage ergibt sich gem. Art. 267 Abs. 3 AEUV für Gerichte, deren Entscheidungen nicht mehr mit innerstaatlichen Rechtsmitteln angefochten werden können, insbesondere also für Entscheidungen des BVerwG und des BGH.180 Mit den Entscheidungen Recht auf Vergessen I181 und Recht auf Vergessen II182 relativiert das BVerfG diese Grundsätze und schafft die Möglichkeit der verfassungsrechtlichen Kontrolle deutscher Stellen am Maßstab der deutschen Grundrechte (Recht auf Vergessen I) mit der Vermutung, dass dadurch auch die Europäischen Grundrechte mitgewährleistet seien und der direkten Anwendung der Europäischen Grundrechte durch das BVerfG unter Berufung auf die Integrationsverantwortung nach Art. 23 Abs. 1 GG (Recht auf Vergessen II).183
49
Alternativ verbleibt die Möglichkeit einer Nichtigkeitsfeststellungsklage gem. Art. 263 Abs. 4 i.V.m. Art. 256 Abs. 1 AEUV,184 mit der die Nichtigkeit der Verordnung erklärt werden könnte.185 Die Klage setzt jedoch den regelmäßig nicht erbringbaren Nachweis voraus, dass der Kläger unmittelbar und individuell wegen besonderer Eigenschaften betroffen ist, die ihn aus dem Kreis aller übrigen Personen heraushebt.186
50
Als letzte Möglichkeit verbleibt nach einem Beitritt der EU zum Europarat die Möglichkeit einer Klage vor dem EGMR unter Berufung auf die EMRK. Die Verfahrensvoraussetzungen sind nicht besonders hoch, jedoch ist aufgrund der Überlastung des Gerichts mit einer langen Verfahrensdauer zu rechnen.187
5. Öffnungsklauseln
51
In der DSGVO sind je nach Zählweise bis zu 60 Öffnungsklauseln zum Erlass mitgliedstaatlichen Datenschutzrechts vorgesehen, mit denen Regelungen der DSGVO konkretisiert oder mit denen von der DSGVO abgewichen werden kann.188 Die DSGVO verbindet damit Elemente der Richtlinie, die mitgliedstaatlicher Umsetzung bedarf, und der Verordnung, die unmittelbar anwendbares Recht der Union ist, und ist insofern eine atypische bzw. hybride Form der Gesetzgebung in der Union.189 Neben der DSGVO bleibt das mitgliedstaatliche Datenschutzrecht daher eine relevante datenschutzrechtliche Rechtsquelle. Öffnungsklauseln finden sich in praktisch jedem Teil der DSGVO,190 ein Schwerpunkt liegt im Bereich der Datenverarbeitung zu journalistischen Zwecken, der Verarbeitung zu Forschungszwecken, der Verarbeitung von Gesundheitsdaten, der Geheimhaltungsregeln und dem Beschäftigtendatenschutz.191
52
Zweck der Öffnungsklauseln ist es, unterschiedlichen Ausgangspositionen der Mitgliedstaaten Rechnung zu tragen und „alle auf dem Weg der Harmonisierung mitzunehmen“.192 Die Öffnungsklauseln lassen sich in allgemeine und spezifische Öffnungsklauseln einteilen. Allgemeine Öffnungsklauseln schaffen die Möglichkeit für eine Vielzahl mitgliedstaatlicher Regelungen, wie Art. 23 DSGVO, der eine Vielzahl von Abweichungsmöglichkeiten von den Betroffenenrechten ermöglicht.193 Spezifische Öffnungsklauseln lassen mitgliedstaatliche Regelungen nur in einem sehr eingeschränkten Bereich zu, wie Art. 8 Abs. 1 DSGVO für die Abweichung von der Altersgrenze für die Einwilligungsfähigkeit der DSGVO.194 Öffnungsklauseln schaffen die Befugnis der Mitgliedstaaten zur Konkretisierung, Ergänzung oder Modifikation der Regelungen der DSGVO.195 Neben echten Öffnungsklauseln, die eine Handlungsoption (fakultative Öffnungsklauseln) oder ein Handlungsgebot (obligatorische Öffnungsklauseln) enthalten,196 finden sich auch bloße Verweise auf Regelungen der Mitgliedstaaten oder der Union ohne Ermächtigung zur Regelung durch die Mitgliedstaaten (unechte Öffnungsklauseln).197
53
Soweit die DSGVO als Rechtsakt der Union einen Sachverhalt nicht abschließend regelt und in diesem ungeregelten Bereich eine mitgliedstaatliche Regelung existiert, die nicht im Widerspruch zur DSGVO oder anderen Regelungen des Unionsrechts steht, kann diese Regelung des mitgliedstaatlichen Rechts ergänzend zur DSGVO erlassen werden oder neben der DSGVO in Kraft bleiben.198 Insofern kann es über die explizit im Wortlaut der DSGVO abgebildeten Öffnungsklauseln hinaus implizite Öffnungsklauseln geben.199 Das Vorliegen einer impliziten Regelungslücke wird etwa für die Regelung zum Scoring in § 31 BDSG (siehe § 31 Rn. 42ff.) diskutiert.200 Der Bundesgesetzgeber hat sich für den Erlass von § 31 BDSG jedenfalls nicht auf eine explizite Öffnungsklausel in der DSGVO berufen.201
54
Das Konzept der sekundärrechtlichen Rechtsetzung mittels einer Verordnung mit Öffnungsklauseln ist so im Primärrecht eigentlich nicht vorgesehen. Faktisch wird mit der DSGVO damit ein nicht vorgesehener Zwitter geschaffen, der Elemente der Verordnung und der Richtlinie vereint.202 Für den Rechtsanwender ergibt sich daraus die praktische Herausforderung, Normen unterschiedlicher Hierarchieebenen anzuwenden und mögliche Konflikte zu einem Ausgleich zu bringen. Dies kann eine schwierige Aufgabe sein und Rechtsunsicherheiten schaffen, da für jede Regelung des deutschen Rechts geprüft werden muss, ob und wie weit sie neben der DSGVO angewendet werden kann.203
55
Systematisch ist dafür zunächst von der DSGVO auszugehen.204 Die DSGVO ist im Verhältnis zum Recht der Mitgliedstaaten das höherrangige Recht mit Anwendungsvorrang.205 Klarstellend ist dies entsprechend in § 1 Abs. 5 BDSG geregelt (siehe § 1 Rn. 35). Nur wenn und soweit die DSGVO eine Öffnung zur mitgliedstaatlichen Regelung vorsieht, kommt die Anwendung des mitgliedstaatlichen Rechts in Betracht. Im nächsten Schritt ist daher zu prüfen, ob es eine Regelung im mitgliedstaatlichen Recht gibt. Für diese Regelung muss dann geprüft werden, ob sie sich entsprechend der Prüfung von Schranken-Schranken in der Grundrechtsdogmatik im Rahmen der Öffnungsklausel bewegt. Soweit die mitgliedstaatliche Regelung über die Öffnung in der DSGVO hinausgeht, muss dies im Rahmen europarechtskonformer Auslegung206 korrigiert werden. Ggf. kann die Anwendung der mitgliedstaatlichen Norm auch insgesamt ausgeschlossen sein.
III. Neues deutsches Datenschutzrecht
56
Die DSGVO hat Anwendungsvorrang vor dem deutschen Datenschutzrecht, schafft aber durch zahlreiche Öffnungsklauseln auch Regelungsbefugnisse für die Mitgliedstaaten. Diese verbleibenden Regelungsbereiche können und müssen von den Stellen der deutschen Legislative entsprechend der Kompetenzregelungen der Art. 70ff. GG mit Leben gefüllt werden. Insofern bleibt es in der föderalen deutschen Struktur bei einer zweigeteilten Zuständigkeit mit einer Bundeskompetenz, die zum Erlass des BDSG geführt hat. Neben der Bundeskompetenz besteht auch eine Länderkompetenz, die zum Erlass von Landesdatenschutzgesetzen genutzt werden kann.207
1. Bundesdatenschutzgesetz – Gesetzgebungsprozess
57
Die DSGVO wurde am 14.4.2016 vom Parlament beschlossen und ist am 25.5.2018 in Kraft getreten. Der Bundesgesetzgeber hatte daher ein sehr enges Zeitfenster, um diesen grundlegenden Umbruch im Datenschutzrecht der Union im nationalen Recht umzusetzen. Im Herbst 2016 leakte ein erster Referentenentwurf des BMI zur Neuregelung des deutschen Datenschutzrechts. Am 23.11.2016 wurde dann der erste offizielle Referentenentwurf des BMI veröffentlicht,208 der als gemeinsamer Entwurf der Bundesregierung am 1.2.2017 in den Gesetzgebungsprozess eingebracht und am 27.4.2017 vom Bundestag als Teil des DSAnpUG-EU209 und als erstes mitgliedstaatliches Datenschutzgesetz zur Umsetzung der DSGVO verabschiedet wurde.210 Der Bundesrat hat dem DSAnpUG-EU am 12.5.2017 zugestimmt. Gemäß Art. 8 Abs. 1 DSAnpUG-EU trat das BDSG zeitgleich mit der DSGVO am 25.5.2018 in Kraft. Der Prozess zur Anpassung des bereichsspezifischen Datenschutzrechts war damit jedoch noch nicht abgeschlossen. Große Bereiche des fachspezifischen deutschen Datenschutzrechts wurden mit dem (Artikel-)Gesetz zur Umsetzung der RL (EU) 2016/680 im Strafverfahren sowie zur Anpassung datenschutzrechtlicher Bestimmungen an die VO 2016/678 geregelt.211
2. Struktur des BDSG
58
Die Struktur des BDSG weicht erheblich von der Struktur des BDSG a.F. ab. Es gliedert sich in 4 Teile mit jeweils bis zu 7 Kapiteln.
59
Der erste Teil enthält gemeinsame Bestimmungen für den zweiten und dritten Teil, wie den Anwendungsbereich und Begriffsbestimmungen (erstes Kapitel), die Verarbeitung personenbezogener Daten durch öffentliche Stellen und die Videoüberwachung (zweites Kapitel), Regelungen für die oder den Bundesbeauftragte(n) für den Datenschutz und die Informationsfreiheit (viertes Kapitel), die Vertretung im Europäischen Datenschutzausschuss und die Zusammenarbeit der Aufsichtsbehörden (fünftes Kapitel) und Regelungen zu datenschutzrechtlichen Rechtsbehelfen (sechstes Kapitel).
60
Der zweite Teil enthält Regelungen zur Anpassung des deutschen Datenschutzrechts an die DSGVO im Hinblick auf Rechtsgrundlagen der Verarbeitung (erstes Kapitel), Rechte der Betroffenen (zweites Kapitel), Pflichten von Verantwortlichen und Auftragsverarbeitern (drittes Kapitel), Datenschutzaufsicht über nichtöffentliche Stellen (viertes Kapitel), Sanktionen für Datenschutzverstöße (fünftes Kapitel) und Rechtsbehelfe (sechstes Kapitel).
61
Der dritte Teil enthält Regelungen zur Anpassung des deutschen Datenschutzrechts an die Richtlinie EU 2016/680, nämlich zum Anwendungsbereich, zu Begriffsbestimmungen und Grundsätzen (erstes Kapitel), zu Rechtsgrundlagen der Verarbeitung (zweites Kapitel), Rechten der Betroffenen (drittes Kapitel), Pflichten von Verantwortlichen und Auftragsverarbeitern (viertes Kapitel), Datenübermittlungen an Drittstaaten und internationale Organisationen (fünftes Kapitel), zur Zusammenarbeit der Aufsichtsbehörden (sechstes Kapitel) und zu Haftung und Sanktionen (siebtes Kapitel).
62
Der vierte Teil des BDSG enthält nur die Regelung des § 85 BDSG für den Sonderfall, dass eine Verarbeitung weder dem zweiten, noch dem dritten Teil zugeordnet werden kann.
3. Gesetzgebungskompetenz
63
Eine ausdrückliche Regelung der legislativen Zuständigkeit findet sich für den Datenschutz nicht, sodass seine Normierung weder auf eine klare Kompetenz der Länder noch des Bundes gestützt werden kann. Will man diese ermitteln, so muss nach dem konkreten Regelungszusammenhang gefragt werden und dieser muss in die Zuständigkeitsregelungen gem. Art. 70ff. GG eingeordnet werden.212 Es gilt hierbei gem. Art. 30, 70 Abs. 1 GG der Grundsatz der Länderkompetenz. Abweichungen sind zulässig, soweit zu schaffende, datenschutzrechtliche Regelungen einen Zusammenhang zu einer Kompetenz des Bundes aufweisen.213 Zur Regelung des Datenschutzes für die Datenverarbeitung durch nichtöffentliche Stellen kann sich der Bund hierbei insbesondere auf seine Kompetenz zur konkurrierenden Gesetzgebung gem. Art. 74 Abs. 1 Nr. 1, Nr. 11 und Nr. 14 GG berufen, da eine einheitliche Regelung des Datenschutzrechts zur Wahrung der Rechts- und Wirtschaftseinheit erforderlich ist.214
64
Die Zuständigkeit des Bundes für den Erlass von Datenschutzvorschriften für Stellen der Judikative ergibt sich aus seiner Zuständigkeit für die Gerichtsverfassung und das gerichtliche Verfahren gem. Art. 74 Abs. 1 Nr. 1 GG. Für die Kompetenz zur Regelung des Datenschutzes in der öffentlichen Verwaltung gibt es darüber hinaus keine unmittelbar passende Kompetenzgrundlage. Regelungen des materiellen Datenschutzrechts dienen primär nämlich nicht der organisatorischen Anleitung der Verwaltung bei der Ausübung ihrer Tätigkeit, sondern dem Schutz der Betroffenen vor den Gefahren der Datenverarbeitung. Eine Bundeskompetenz kann sich daher nicht aus der Zuständigkeit für die Regelung des Verwaltungsverfahrens ergeben,215 sondern nur aus einer Annexkompetenz zu Art. 73 und 74 GG, wenn öffentliche Stellen personenbezogene Daten im Zusammenhang mit einer Materie verarbeiten, für die eine Bundeskompetenz besteht.216 Eine Ausnahme hiervon ergibt sich für die Bestellung eines Datenschutzbeauftragten des Bundes als besonderer Kontrollinstanz. In dieser Funktion unterscheidet sich der Bundesdatenschutzbeauftragte von den übrigen Behörden und öffentlichen Stellen des Bundes. Dennoch ist er diesen als Bestandteil der Organisationsgewalt des Bundes soweit angenähert, dass sich eine Zuständigkeit zur Regelung seiner Kompetenzen aus Art. 86 GG ergibt.217
4. Neue Datenschutzgesetze der Länder
65
Im Rahmen ihrer Zuständigkeiten haben sich auch die Länder für den Erlass eigener Datenschutzgesetze entschieden und entsprechend dem ursprünglichen deutschen Regelungsumfeld mit dem BDSG a.F. und den LDSG a.F. Gesetzgebungsverfahren zum Erlass neuer Landesdatenschutzgesetze auf den Weg gebracht. Sie gehen dabei durchaus unterschiedliche Wege. Teilweise passen die Länder das Datenschutzrecht mit dem neuen Landesdatenschutzgesetz an die DSGVO an und setzen zugleich die Rl 2016/680 um. Manche Länder teilen Anpassung und Umsetzung auf zwei Gesetze getrennt auf. Außerdem sind auf Landesebene zahlreiche Fachgesetze mit datenschutzrechtlichen Regelungen anzupassen.
66
Die Bundesländer haben Landesdatenschutzgesetze in Anpassung an die DSGVO und teilweise zur Umsetzung der Rl 680/2016 verabschiedet:
Baden-Württemberg
Landesdatenschutzgesetz (LDSG) vom 12.6.2018218
Bayern
Bayerisches Datenschutzgesetz (BayDSG) vom 15.5.2018,219 geändert durch § 6 Gesetz v. 18.5.2018220
Berlin
Gesetz zum Schutz personenbezogener Daten in der Berliner Verwaltung (Berliner Datenschutzgesetz – BlnDSG) vom 13.6.2018221
Brandenburg
Gesetz zum Schutz personenbezogener Daten im Land Brandenburg (Brandenburgisches Datenschutzgesetz – BbgDSG) vom 8.5.2018222
Bremen
Bremische Ausführungsgesetz zur EU-Datenschutz-Grundverordnung vom 11.5.2018223
Hamburg
Hamburgischen Datenschutzgesetz (HmbDSG) vom 18.5.2018224
Hessen
Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG) vom 3.5.2018225
Mecklenburg-Vorpommern
Datenschutzgesetz für das Land Mecklenburg-Vorpommern (Landesdatenschutzgesetz – DSG M-V) vom 22.5.2018226
Niedersachsen
Niedersächsische Datenschutzgesetz (NDSG) vom 16.5.2018227
Nordrhein-Westfalen
Datenschutzgesetz Nordrhein-Westfalen (DSG NRW) vom 17.5.2018228
Rheinland-Pfalz
Landesdatenschutzgesetz (LDSG) vom 8.5.2018229
Saarland
Saarländisches Datenschutzgesetz, vom 16.5.2018230
Sachsen
Sächsisches Datenschutzdurchführungsgesetz (SächsDSDG) vom 26.4.2018231
Sachsen-Anhalt
Gesetz zum Schutz personenbezogener Daten der Bürger (Datenschutzgesetz Sachsen-Anhalt – DSG LSA), in der Fassung des Gesetzes vom 21.2.2018232
Schleswig-Holstein
Schleswig-Holsteinisches Gesetz zum Schutz personenbezogener Daten (Landesdatenschutzgesetz – LDSG) vom 2.5.2018233
Thüringen
Thüringer Datenschutzgesetz (ThürDSG) vom 6.6.2018.234
1 Grundlegend aus Anlass des Aufbaus einer staatlichen Datenbank in den USA die verfassungsrechtliche Studie von Westin, Privacy and Freedom. Zur Folgediskussion in Deutschland etwa R. Kamlah, Right of Privacy; Kilian/Lenk/Steinmüller, Datenschutz – Juristische Grundfragen beim Einsatz elektronischer Datenverarbeitungsanlagen in Wirtschaft und Verwaltung; Podlech, DVR 1972/73, 149; die Geschichte des Persönlichkeitsschutzes vor den Risiken der (analogen) Datenverarbeitung lässt sich wesentlich weiter zurückverfolgen; siehe zur Entwicklung des Datenschutzrechts von 1600 bis 1977 von Lewinski, in: Arndt et al., Freiheit – Sicherheit – Öffentlichkeit, S. 196. 2 Roßnagel/Müller, CR 2004, 625, 627f. 3 Vgl. dazu auch Taeger, in: FS Kilian, S. 241. 4 Datenschutzgesetz vom 7.10.1970, Hess. GVBl. I, S. 625. 5 Gesetz über die Organisation der elektronischen Datenverarbeitung im Freistaat Bayern vom 12.10.1970, GVBl., S. 457. 6 Datalagen (1973:289) verabschiedet am 11.5.1973, in Kraft getreten am 1.6.1974. 7 http://www.justice.gov/opcl/privstat.htm. 8 Lov om personregistre, dazu Leopold, DuD 2000, 471. 9 Tinnefeld/Buchner/Petri/Hof, Einführung in das Datenschutzrecht, S. 79. 10 Steinmüller/Lutterbeck/Mallmann/Harbort/Kolb/Schneider, Grundfragen des Datenschutzes, Gutachten im Auftrag des BMI, Juli 1971, BT-Drs. 6/3826, S. 5; dazu Steinmüller, RDV 2007, 158. 11 Dazu Steinmüller, RDV 2007, 158. 12 Gesetz zum Schutz vor Missbrauch personenbezogener Daten bei der Datenverarbeitung (Bundesdatenschutzgesetz – BDSG) vom 27.1.1977, BGBl. I, S. 201; dazu Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 26ff. 13 BVerfG, 15.12.1983 – 1 BvR 209/83, 1 BvR 484/83, 1 BvR 420/83, 1 BvR 362/83, 1 BvR 269/83, 1 BvR 440/83, BVerfGE 65, 1 – Volkszählungsurteil. 14 Kühling/Sackmann, ZD 2020, 24, 25. 15 Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen über eine Digitale Agenda für Europa, KOM(2010)245 endgültig. 16 Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen über eine Strategie für einen digitalen Binnenmarkt für Europa, COM(2015)192 final. 17 Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12.7.2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation). 18 Vorschlag der Kommission vom 10.1.2017 für eine Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation), COM(2017)10 final (ePrivacy-VO-KOM-E); dazu Selmayr/Ehmann, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 103ff.; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 95 Rn. 3. 19 Dazu Kühling, CR 2020, 199. 20 Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), Brüssel v. 10.2.2021, ST_6087_2021_INIT. 21 Siehe etwa die Pressemitteilung des BfDI v. 10.2.2021 („in schwerer Schlag für den Datenschutz“). 22 BGBl. I, S. 1982. 23 Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen – Gestaltung der digitalen Zukunft Europas, 19.2.2020, COM(2020) 67 final. 24 Dazu Jüngling, MMR 2020, 440. 25 Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen – Eine europäische Datenstrategie, 19.2.2020, COM(2020) 66 final. 26 COM(2020) 66 final, S. 29. 27 Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über europäische Daten-Governance (Daten-Governance-Gesetz), 25.11.2020, COM(2020) 767 final. 28 Dazu Preuß, ZD 2015, 217, 218ff.; Ziekow, Datenschutz und evangelisches Kirchenrecht; Germann, ZevKR 2003, 446; Fachet, RDV 1996, 177; Claessen, DuD 1995, 8; Lorenz, DVBl. 2001, 428. 29 Dazu Ziegenhorn/Drossel, K&R 2016, 230. 30 Dazu Gürtler, RDV 2012, 126. 31 Boehm, JA 2009, 435; Kuner, European Data Protection Law: Corporate Compliance and Regulation; Taeger, Grenzüberschreitender Datenverkehr und Datenschutz in Europa; Taeger, EWS 1995, 69. 32 OECD, 23.9.1980, C(80)58/Final. 33 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 43; Gürtler, RDV 2012, 126, 127. 34 Burkert, in: Roßnagel, Hdb. DSR, Kap. 2.3, Rn. 31; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 42ff. 35 Die Leitlinie benannte bspw. 15 Prinzipien, die alle in die DSRl übernommen wurden, siehe auch Hoeren, ZD 2016, 459, 461; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 43; Gürtler, RDV 2012, 126, 127. 36 OECD Privacy Framework, 2013, S. 3, OECD, 11.6.2013, C(2013)79. 37 OECD Privacy Framework, 2013, S. 4f. 38 Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, S. 99. 39 UN General Assembly, Guidelines for the Regulation of Computerized Personal Data Files, 14 December 1990. 40 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 44; Gürtler, RDV 2012, 126 127f. 41 von Lewinski, in: Auernhammer, DSGVO BDSG, Einleitung Rn. 43f.; Tinnefeld/Buchner/Petri/Hof, Einführung in das Datenschutzrecht, S. 82f. 42 Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28.1.1981; siehe zur Entwicklung des Datenschutzes in Europa, Westphal, in: Bauer/Reimer, Handbuch Datenschutzrecht, S. 53, 56ff. 43 Gesetz zu dem Übereinkommen vom 28.1.1981 zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 13.3.1985, BGBl. II, S. 538. 44 https://www.coe.int/de/web/conventions/full-list/-/conventions/treaty/108/signatures?p_auth=M1NH23F8 (zuletzt abgerufen am 16.12.2020). 45 Zilkens, RDV 2007, 196, 196; Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, Einleitung Rn. 76. 46 Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, RL 95/46 EG. 47 Westphal, in: Bauer/Reimer, Handbuch Datenschutzrecht, S. 53, 56; Brühann, RDV 1996, 12, 12; Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, Einleitung Rn. 76. 48 Brühann, RDV 1996, 12, 13; von Lewinski, in: Auernhammer, DSGVO BDSG, Einleitung Rn. 8ff. 49 Selmayr/Ehmann, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 15; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 46ff.; Zilkens, RDV 2007, 196, 196. 50 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 46. 51 Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, S. 123. 52 Dazu Gola/Klug, Grundzüge des Datenschutzrechts, S. 26ff. 53 Richtlinie 2006/24/EG des Europäischen Parlaments und des Rates vom 15.3.2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste erzeugt oder verarbeitet werden, und zur Änderung der Richtlinie 2002/58/EG. 54 Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25.11.2009 zur Änderung der Richtlinie 2002/22/EG über den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und -diensten, der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation und der Verordnung (EG) Nr. 2006/2004 über die Zusammenarbeit im Verbraucherschutz. 55 BGBl. I, S. 2954. 56 Tinnefeld/Buchner/Petri/Hof, Einführung in das Datenschutzrecht, S. 81. 57 BVerfG, 5.12.1983 – 1 BvR 209/83, 1 BvR 484/83, 1 BvR 420/83, 1 BvR 362/83, 1 BvR 269/83, 1 BvR 440/83, BVerfGE 65, 1 – Volkszählungsurteil. 58 Gola/Schomerus, BDSG, Einleitung Rn. 7. 59 BGBl. I, S. 904. 60 Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, RL 95/46/EG. 61 Brühann, RDV 1996, 12, 13. 62 Dazu Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, S. 120. 63 Gola/Schomerus, BDSG, Einleitung Rn. 11. 64 Gola/Schomerus, BDSG, Einleitung Rn. 11. 65 Gola/Schomerus, BDSG, Einleitung Rn. 12. 66 BGBl. I 2001, S. 904. 67 Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts. Gutachten im Auftrag des Bundesministers des Innern, S. 13; dazu Kilian, CR 2002, 921. 68 Darstellung bei Moos, in: Taeger/Wiebe, Inside the Cloud, S. 79. 69 Dazu Grentzenberg/Schreibauer/Schuppert, K&R 2009, 368; Moos, in: Taeger/Wiebe, Inside the Cloud, S. 79. 70 BGBl. I, S. 2254. 71 Moos, in: Taeger/Wiebe, Inside the Cloud, S. 79. 72 Dazu Grentzenberg/Schreibauer/Schuppert, K&R 2009, 535, 535ff.; Hanloser, MMR 2009, 594. 73 BGBl. I, S. 2814. 74 Dazu Grenzenberg/Schreibauer/Schuppert, K&R 2009, 535, 541f.; Moos, K&R 2009, 154, 160. 75 Frey, in: Taeger/Wiebe, Inside the Cloud, S. 33, 36ff. 76 Gabel, in: Taeger/Wiebe, Inside the Cloud, S. 193, 203f. 77 Moos, in: Taeger/Wiebe, Inside the Cloud, S. 79, 82f. 78 Moos, in: Taeger/Wiebe, Inside the Cloud, S. 79, 83f. 79 Schmidt, RDV 2009, 193; Winteler, in: Taeger/Wiebe, Inside the Cloud, S. 469, 471ff. 80 Dazu Moos, in: Taeger/Wiebe, Inside the Cloud, S. 79, 85; Moos, K&R 2010, 166, 170. 81 BGBl. I, S. 2355; Inkrafttreten: 1.6.2010. 82 ABl. Nr. L 119, S. 1; Gola, RDV 2012, 60; Hornung, ZD 2012, 99, 100; Kehr, CB 2016, 421. 83 Albrecht, CR 2016, 88, 89; Kühling/Martini, EuZW 2016, 448; Schantz, NJW 2016, 1841. 84 EU-Komm., 4.11.2010, 2010/609 endgültig. 85 Dazu Wolff/Brink, in: Wolff/Brink, BeckOK DatenschutzR, Einleitung Rn. 11. 86 Dazu Reding, ZD 2012, 195. 87 Entschließung des Europäischen Parlaments vom 6.7.2011 zum Gesamtkonzept für den Datenschutz in der Europäischen Union, 2011/2025(INI). 88 EU-Komm., 25.1.2012, 2012/11 endgültig. 89 Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27.5.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, EU-Komm., 25.1.2012, 2012/10, ABl. Nr. L 119/89; dazu Bäcker/Hornung, ZD 2012, 147; Kugelmann, DuD 2012, 581; Reif, RDV 2016, 205; Schwichtenberg, DuD 2016, 605; Weichert, Die EU-Rl für den Datenschutz bei Polizei und Justiz; Bäcker, in: Hill/Kugelmann/Martini, Perspektiven der digitalen Lebenswelt, S. 63. 90 Reding, ZD 2012, 195, 195ff.; kritisch dazu Wagner, DuD 2012, 676, 676: „Die Kommission verfolgt mit ihren Vorschlägen ... nicht einmal in erster Linie das Anliegen, den Datenschutz zu modernisieren.“ 91 Härting, BB 2012, 459, 460; Wagner, DuD 2012, 676, 677; Selmayr/Ehmann, in: Ehmann/Selmayr, DS-GVO, Einführung Rn. 56; daneben enthielt der Entwurf 22 Durchführungsrechtsakte i.S.d. Art. 291 Abs. 2 AEUV. 92 Zum deutschen Verständnis siehe Remmert, in: Maunz/Dürig, GG, Art. 80 Rn. 24ff. 93 Hornung, ZD 2012, 99, 105. 94 Härting, BB 2012, 459, 466; Wybitul/Fladung, BB 2012, 509, 515; Hornung, ZD 2012, 99, 105; Roßnagel, DuD 2012, 553; Dix, DuD 2012, 318, 321; Jaspers, DuD 2012, 571; Schild/Tinnefeld, DuD 2012, 312, 314; Kahler, RDV 2013, 69; Kranig, RDV 2013, 217; Hartung, ZD 2012, 99, 106; Gießen, CR 2012, 550; Simitis, in: Simitis, BDSG, Einleitung Rn. 256ff.; a.A. Sydow/Kring, ZD 2014, 271, 273; Pötters, RDV 2015, 10, 15. 95 A.A. Selmayr/Ehmann, in: Ehmann/Selmayr, DS-GVO, Einführung Rn. 56f., die darin „ein [sehr erfolgreiches] taktisches Vorgehen von Reding“ im Rahmen der Trilogverhandlung erkennen wollen; zumindest für praxisrelevante Bereiche befürwortend Pötters, RDV 2015, 10, 15. 96 Albrecht, CR 2016, 88, 96; Buchner, DuD 2016, 155, 160; Gola, in: Gola, DS-GVO, Einleitung Rn. 45. 97 Dazu Härting, BB 2012, 459, 461. 98 von Lewinski, DuD 2012, 564, 567. 99 So auch Hornung, ZD 2012, 99, 105; Ronellenfitsch, DuD 2012, 561, 563; von Lewinski, DuD 2012, 564, 567; Schild/Tinnefeld, DuD 2012, 312, 313; von der Europarechtswidrigkeit ausgehend Kahler, RDV 2013, 69; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 78; kritisch zur Rolle der Kommission Herrmann, ZD 2012, 49, 50; Wagner, DuD 2012, 676, 677. 100 So bspw. BR-Drs. 52/12, Nr. 3; Ronellenfitsch, DuD 2012, 561, 562; Wagner, DuD 2012, 676, 677; noch weitgehender Franzen, DuD 2012, 322, 325f.; a.A. Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 76; Koós, ZD 2014, 9, 11. 101 LIBE-Bericht, 22.11.2013, A7-0402/2013, S. 4ff. 102 EU-Parl., 12.3.2014, P7_TA(2014)0212, ABl. C 378/399. 103 Albrecht, ZD 2013, 587, 590; Fechner/Riedl, in: Knyrim, Datenschutzgrundverordnung, S. 7, 14, die „nur“ 3133 Änderungsanträge zählen. 104 LIBE-Bericht, 22.11.2013, A7-0402/2013, S. 4ff. 105 LIBE-Bericht, 22.11.2013, A7-0402/001-207; der vorläufige Berichtsentwurf in der Fassung vom 16.1.2013 enthielt noch 350 Änderungsanträge; ausführlich zum Entwurf Roßnagel/Kroschwald, ZD 2014, 495. 106 EU-Parl., 12.3.2014, P7_TA(2014)0212, ABl. C 378/399. 107 Albrecht, CR 2016, 88, 89; Schantz, NJW 2016, 1841. 108 Vgl. Albrecht, ZD 2013, 587, 590; positiv dazu Koós, ZD 2014, 9, 15; ebenso Roßnagel/Kroschwald, ZD 2014, 495, 496. 109 Dazu Roßnagel/Nebel/Richter, ZD 2015, 455, 455; Koós, ZD 2014, 9, 12ff. 110 Dazu Roßnagel/Kroschwald, ZD 2014, 495, 496. 111 Für die Mitgliedstaaten bestand so in bürokratisch und exekutiv strukturstarken Staaten die Gefahr einer Abwanderung der Hauptniederlassung; ausführlich zur federführenden Aufsichtsbehörde auch Nguyen, ZD 2015, 265, 266f. 112 Vgl. auch Bayerisches Landesamt für Datenschutzaufsicht, Trilog – Synopse der DS-GVO der Fassungen: der Europäischen Kommission, des Europäischen Parlaments und des Rats der Europäischen Union und des (Arbeits-)Ergebnisses der Trilogparteien, 11.1.2016, S. 264ff.; Albrecht, ZD 2013, 587, 590; Eckhardt/Kramer, DuD 2013, 287, 291. 113 Dazu Roßnagel/Kroschwald, ZD 2014, 495, 498. 114 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 77, die dieses Recht innerhalb der Öffentlichkeit für grundsätzlich überbewertet halten; ähnlich Roßnagel/Kroschwald, ZD 2014, 495, 498. 115 Art. 32a DSGVO-ParlE.; dazu Veil, ZD 2015, 347, 350. 116 Kritisch Roßnagel/Kroschwald, ZD 2014, 495, 496; Roßnagel/Richter/Nebel, ZD 2013, 103, 104; Roßnagel, Datenschutz in einem informatisierten Alltag, S. 192ff. 117 EU-Rat, 11.6.2015, 9565/15, 2012/0011 (COD); ausführlich dazu Roßnagel/Richter/Nebel, ZD 2015, 455. 118 Ausführlich zur Zusammensetzung Kumin, in: Grabitz/Hilf/Nettesheim, EUVArt. 15 Rn. 5ff. 119 Albrecht, CR 2016, 88, 88; Schaar, ZD 2014, 313; Selmayr/Ehmann, in: Ehmann/Selmayr, DS-GVO, Einführung Rn. 48, die jeweils die „anfängliche deutsche Skepsis“ als einen Hauptgrund für den Verzug ausmachen; a.A. Svanberg, PinG 2013, 18, 18, der das Fokussieren auf zwei Rechtsakte (Rl und VO) als maßgeblich erachtet. 120 Kühling/Martini, EuZW 2016, 448; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 81; Richter, DuD 2015, 735. 121 Art. 39a Abs. 7 DSGVO-RatsE. 122 Zustimmen Roßnagel/Richter/Nebel, ZD 2015, 455, 455. 123 Dazu Nguyen, ZD 2015, 265, 265. 124 Ausführliche Gegenüberstellung bei Nguyen, ZD 2015, 265, 266ff. 125 Kritisch Nguyen, ZD 2015, 265, 269. 126 Dazu Roßnagel, DuD 2017, 290, 291; siehe auch die ErwG 8, 16, 16a und 41 DSGVO-RatsE. 127 Ausführlich dazu Veil, ZD 2015, 347, 348f. 128 So ausdrücklich Art. 15 Abs. 1 DSGVO-RatsE. 129 Art. 17b DSGVO-RatsE. 130 Die einzigen Verfahrensregelungen finden sich in einer Gemeinsamen Erklärung des Europäischen Parlaments, des Rates und der Kommission v. 30.6.2007 zu den praktischen Modalitäten des neuen Mitentscheidungsverfahrens (Art. 251 EGV), Anlage XX GO-EP 2011, ABl. C 145/02, S. 5, insb. Nr. 7ff., Nr. 16ff., Nr. 21ff. 131 Vgl. ABl. C 145/02, S. 5 Nr. 8. 132 Vgl. ABl. C 145/02, S. 5 Nr. 17, Nr. 22 „Die Kommission unterstützt“. 133 Deutelmoser, NVwZ 2015, 1577, 1578 Fn. 3; kritisch mit umfassender Darstellung zu der gängigen Praxis Melzer, VerfBlog v. 1.12.2015. 134 Ähnlich Roßnagel/Nebel/Richter, ZD 2015, 455, 460; Nguyen, ZD 2015, 265, 270; zu einer detaillierten Gegenüberstellung siehe Bayerisches Landesamt für Datenschutzaufsicht, Trilog – Synopse der DS-GVO der Fassungen: der Europäischen Kommission, des Europäischen Parlaments und des Rats der Europäischen Union und des (Arbeits-)Ergebnisses der Trilogparteien, 11.1.2016. 135 EU-Parl. und EU-Rat, 28.1.2016, 5455/16, S. 2 Nr. 2, „Gesamtkompromisstext“; zum Verfahrensablauf der Datenschutzgrundverordnung siehe auch Schmitt, PerspektivePraxis 2015, 4, 5; abstrakt Krajewski/Rösslein, in: Grabitz/Hilf/Nettesheim, AEUV, Art. 294 Rn. 13ff. 136 Roßnagel, DuD 2016, 561, 561. 137 Schneider/Härting, ZD 2012, 199, 203; Svanberg, PinG 2013, 18, 19; Roßnagel, DuD 2016, 561, 561. 138 Herrmann, ZD 2012, 49, 50; Klug, RDV 2012, 129, 137; Schultze-Melling, ZD 2012, 97. 139 Siehe dazu die Kommentierung von Art. 6 Rn. 4ff. 140 Härting, BB 2012, 459, 463. 141 Zu den ergänzenden Pflichten der datenverarbeitenden Stelle ausführlich Lang, K&R 2012, 145, 147f. 142 Dazu Lang, K&R 2012, 145, 148; kritisch dazu Hornung, ZD 2012, 99, 100; Jasper, DuD 2012, 571, 574; Wybitul/Rauer, ZD 2012, 160, 163. 143 Reding, ZD 2012, 195, 198. 144 Moos, K&R 2011, 151, 156; Lang, K&R 2012, 145, 149; Jasper, DuD 2012, 571, 573; Wybitul/Rauer, ZD 2012, 160, 161. 145 Dazu Lang, K&R 2012, 145, 149; Richter, DuD 2012, 576, 578. 146 Schaar, DuD 2011, 756; von Lewinski, DuD 2012, 564, 566. 147 Dazu Hornung, ZD 2012, 99, 104f. 148 Konsolidierte Fassung des Vertrags über die Arbeitsweise der Europäischen Union, 9.5.2008, ABl. EU C 115/47. 149 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 7; Reding, ZD 2012, 195. 150 Siehe dazu auch den 37. Tätigkeitsbericht des hessischen Datenschutzbeauftragten, http://www.datenschutz.hessen.de/download.php?download_ID=180%3Cbr%20/%3E&downloadentry_ID=308&downloadpage_ID=55. 151 Selmayr/Ehmann, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 27; Tinnefeld, ZD 2015, 22. 152 EU-Komm., 25.1.2012, 2012/11 endgültig, S. 6. 153 Dazu Hornung, ZD 2011, 51, 56. 154 Dix, DuD 2012, 318; Forst, NZA 2012, 364, 365; Ronellenfitsch, DuD 2012, 561, 562f.; Schild/Tinnefeld, DuD 2012, 312, 313; a.A. von Lewinski, DuD 2012, 564, 565. 155 Stellungnahme des EDSB zum Datenschutzreformpaket, 7.3.2012, ABl. C 192/7. 156 Stellungnahme des EWSA zum Datenschutzreformpaket, 23.5.2012, AC SOC/455. 157 Stellungnahme des AdR zum Datenschutzreformpaket, 10.10.2012, AC EDUC-V-022, ABl. C 391/127. 158 Vgl. EWSA, 23.5.2012, AC SOC/455, S. 1 Nr. 1.1; AdR, 10.10.2012, AC EDUC-V-022, S. 2 Nr. 1–3. 159 Vgl. EWSA, 23.5.2012, AC SOC/455, S. 1 Nr. 1.2ff.; AdR, 10.10.2012, AC EDUC-V-022, S. 2 Nr. 4ff. 160 Eckhardt, CR 2012, 195, 203; Roßnagel, DuD 2012, 553, 553; Ronellenfitsch, DuD 2012, 561, 562; Schild/Tinnefeld, DuD 2012, 312, 313; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 74; Schneider/Härting, ZD 2012, 199, 203; Härting/Schneider, CRi 2013, 19, 19ff.; Selmayr/Ehmann, in: Ehmann/Selmayr, DS-GVO, Einführung Rn. 60; Reding, ZD 2012, 195, 196f.; ebenso Gola, in: Gola, DS-GVO, Einleitung Rn. 20. 161 BR-Drs. 52/12 (Beschluss). 162 Dazu Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 75; Nguyen, DuD 2013, 662; Nguyen, ZEuS 2012, 278, 280f. 163 Nguyen, ZEuS 2012, 278, 299. 164 Hofmann/Johannes, ZD 2017, 221; von Lewinski, DuD 2012, 564, 568. 165 Hornung, ZD 2012, 99, 100; Masing, NJW 2012, 2305, 2010; von Lewinski, DuD 2012, 564, 567. 166 So Masing, SZ v. 9.1.2012. 167 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 36; Reding, ZD 2011, 1. 168 Lang, K&R 2012, 145, 150; Masing, SZ v. 9.1.2012. 169 Hornung, ZD 2012, 99, 100; Masing, SZ v. 9.1.2012; Schwartmann, RDV 2012, 55, 58; Wagner, DuD 2012, 303, 304. 170 Hornung, ZD 2012, 99, 100; Masing, SZ v. 9.1.2012; Schwartmann, RDV 2012, 55, 57. 171 Gola, RDV 2012, 60, 61. 172 Schwartmann, RDV 2012, 55, 56f.; von Lewinski, DuD 2012, 564, 568. 173 BVerfG, 22.10.1986 – 2 BvR 197/83, NJW 1987, 577 – Solange II. 174 BVerfG, 29.5.1974 – 2 BvL 52/7, NJW 1974, 1697 – Solange I. 175 BVerfG NJW, 22.10.1986 – 2 BvR 197/83, NJW 1987, 577 – Solange II. 176 von Lewinski, DuD 2012, 564, 568. 177 BVerfG, 30.6.2009 – 2 BvE 2/08, NJW 2009, 2267, 2271. 178 BVerfG, 6.7.2010 – 2 BvR 2661/06 NJW 2010, 3422 – Honeywell; dazu von Lewinski, DuD 2012, 564, 569. 179 Schwartmann, RDV 2012, 55 57; von Lewinski, DuD 2012, 564, 569. 180 Schwartmann, RDV 2012, 55, 57. 181 BVerfG, 6.11.2019 – 1 BvR 16/13, NJW 2020, 300. 182 BVerfG, 6.11.2019 – 1 BvR 276/17, NJW 2020, 314. 183 Zu den Entscheidungen Recht auf Vergessen I und Recht auf Vergessen II siehe Klass, ZUM 2020, 265; Kühling, NJW 2020, 275. 184 von Lewinski, DuD 2012, 564, 569. 185 Schwartmann, RDV 2012, 55, 58. 186 Schwartmann, RDV 2012, 55, 59. 187 von Lewinski, DuD 2012, 564, 569. 188 Gola, in: Gola, DS-GVO, Einleitung Rn. 45ff.; Hornung/Hofmann, ZD-Beil. 2017, 1, 17. Eine beschreibende Übersicht über die Anpassungen an die DSGVO und die Nutzung der Öffnungsklausel gibt Pohle, CRi 2018, 97. 189 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 2; Schulze Lohoff/Bange, ZD 2019, 199, 200. 190 Zur Übersicht siehe Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 14ff. 191 Gola, RDV 2012, 60, 62; Schild/Tinnefeld, DuD 2012, 312, 313. 192 Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 1. 193 Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 10f. 194 Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 10f. 195 Buchner, DuD 2016, 155, 159f.; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 10f.; Laue, ZD 2016, 463, 464; Roßnagel, DuD 2017, 277, 278. 196 Kühling, NJW 2017, 1985, 1986; Piltz, BDSG, Einleitung, Rn. 1; Roßnagel, DuD 2017, 277, 278; Taeger, ZRP 2016, 72. 197 Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 11f. 198 Piltz, BDSG, Einleitung Rn. 13; Taeger, ZRP 2016, 72, 72f. 199 Dazu von Lewinski/Pohl, ZD 2018, 17, 19; Moos/Rothkegel, ZD 2016, 561, 567f.; Schulz, zfm 2017, 91, 93; Taeger, ZRP 2016, 72, 72f. 200 von Lewinski/Pohl, ZD 2018, 17, 19; Schulz, zfm 2017, 91, 93; Taeger, ZRP 2016, 72, 72f. 201 BT-Drs. 18/11325, S. 101f. 202 Kühling/Martini, EuZW 2016, 448; Kühling, NJW 2017, 1985; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 1; Gola, in: Gola, DS-GVO, Einleitung Rn. 45; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Einführung Rn. 2. 203 Roßnagel, DuD 2017, 277; Sydow, in: Sydow, EU-Datenschutzgrundverordnung, Einleitung Rn. 34. 204 Kühling, NJW 2017, 1985, 1986. 205 EuGH, 15.7.1964 – Rs. 6/64 – Costa/E.N.E.L.; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das Nationale Recht, S. 3; Roßnagel, DuD 2017, 277; Wybitul, BB 2016, 1077, 1079. 206 Dazu Ruffert, in: Calliess/Ruffert, EUV/AEUV, Art. 1 AEUV Rn. 24. 207 Kühling, NJW 2017, 1985, 1987. 208 Referentenentwurf des BMI vom 23.11.2016 für ein Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU). 209 Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU). 210 Piltz, BDSG, Einleitung Rn. 3. 211 Siehe dazu Singelnstein, NStZ 2018, 681. 212 BT-Drs. 7/1072, S. 16; Simitis, in: Simitis, BDSG, § 1 Rn. 1; Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, Einleitung Rn. 59. 213 Simitis, in: Simitis, BDSG, § 1 Rn. 4. 214 Gola/Klug, Grundzüge des Datenschutzrechts, S. 8. 215 Simitis, in: Simitis, BDSG, § 1 Rn. 8ff. 216 Simitis, in: Simitis, BDSG, § 1 Rn. 13. 217 Vgl. Simitis, in: Simitis, BDSG, § 1 Rn. 14ff. 218 GBl. 2018, S. 173. 219 GVBl. 2018, S. 230. 220 GVBl. 2018, S. 301. 221 GVBl. 2018, S. 418. 222 GVBl. 2018, Nr. 7, S. 1. 223 GBl. 2018, S. 131. 224 HmbGVBl. 2018, S. 145. 225 GVBl. 2018, S. 82. 226 GVOBl. M-V 2018, S. 193. 227 Nds. GVBl. 2018, S. 66. 228 GVBl. 2018, S. 243. 229 GVBl. 2018, S. 93. 230 Amtsbl. I 2018, S. 254. 231 SächsGVBl. S. 198, 199. 232 GVBl. LSA 2018, S. 10. 233 GVBl. 2018, S. 162. 234 GVBl. 2018, S. 22.
Kapitel 1 Allgemeine Bestimmungen
Art. 1 Gegenstand und Ziele
(1) Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.
(2) Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.
(3) Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.
Mit der Norm korrespondieren die Erwägungsgründe 9–13.
Literatur: Bizer, Postmortaler Persönlichkeitsschutz?, NVwZ 1993, 653; Böhm/Brams, Die Rechtsprechung der Arbeitsgerichte unter der Datenschutz-Grundverordnung, NZA-RR 2020, 449, 453; Breuer, „Wasch mir den Pelz, aber mach mich nicht nass!“ Das zweite Gutachten des EuGH zum EMRK-Beitritt der Europäischen Union, EuR 2015, 330; Buchner, Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD 2016, 155; Buchner, Informationelle Selbstbestimmung im Privatrecht, Tübingen 2006; Bull, Zweifelsfragen um die informationelle Selbstbestimmung – Datenschutz als Datenkäse, NJW 2006, 1617; Büllesbach/Garstka, Meilensteine auf dem Weg zu einer datenschutzgerechten Gesellschaft, CR 2005, 720; Busse, Wechselwirkungen zwischen BDSG und UWG – Auswirkungen auf das Direktmarketing, RDV 2005, 260; Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl., München 2016; Culmsee, Postmortaler Datenschutz und postmortale Datennutzung, in: Taeger (Hrsg.), Law as a Service (LaaS) – Recht im Internet- und Cloud-Zeitalter, Edewecht 2013, S. 413; Eckhardt/Kramer/Mester, Auswirkungen der geplanten EU-DS-GVO auf den deutschen Datenschutz, DuD 2013, 623; Ehlers, Europäische Grundrechte und Grundfreiheiten, 4. Aufl., Berlin 2015; Ehmann, Prinzipien des Deutschen Datenschutzrechts – unter Berücksichtigung der Datenschutz-Richtlinie der EG vom 24-10-1995 – (1 Teil), RDV 1998, 235; Ernst, Abmahnungen auf Grund von Normen außerhalb des UWG, WRP 2004, 1333; Faber, Verrechtlichung – ja, aber immer noch kein „Grundrecht“ – Zwanzig Jahre informationelles Selbstbestimmungsrecht, RDV 2003, 278; Förster/Fast, Vererbbarkeit von Daten und digitalen Rechten, ZAP 2020, 1011; Frenz, Annäherung von europäischen Grundrechten und Grundfreiheiten, NVwZ 2011, 961; Galetzka, Datenschutz und unlauterer Wettbewerb, K&R 2015, 77; Gedert, Wettbewerbswidrigkeit datenschutzrechtlicher Verstöße, in: Hammermeister/Reich/Rose (Hrsg.), Information – Wissen – Kompetenz, Oldenburg 2004, S. 17; Gola, Neues Recht – neue Fragen: Einige aktuelle Interpretationsfragen zur DSGVO, K&R 2017, 145; Haase, Rechtsfragen des digitalen Nachlasses, in: Taeger (Hrsg.), Law as a Service (LaaS) – Recht im Internet- und Cloud-Zeitalter, Edewecht 2013, S. 379; Halfmeier, Die neue Datenschutzverbandsklage, NJW 2016, 1126; Heil, Neues Wettbewerbsrecht – Wechselwirkungen zwischen UWG und Datenschutz, RDV 2004, 205; Hoeren/Lütkemeier, Unlauterer Wettbewerb durch Datenschutzverstöße, in: Sokol (Hrsg.), Neue Instrumente im Datenschutz, Düsseldorf 1999, S. 118; Hoffmann-Riem, Der grundrechtliche Schutz der Vertraulichkeit und Integrität, JZ 2008, 1009; Holznagel/Schumacher, Auswirkungen des Grundrechts auf Vertraulichkeit und Integrität informationstechnischer Systeme auf RFID-Chips, MMR 2009, 3; Hornung, Ein neues Grundrecht, CR 2008, 299; Huppertz/Ohrmann, Wettbewerbsvorteile durch Datenschutzverletzungen?, CR 2011, 449; Jarass, Elemente einer Dogmatik der Grundfreiheiten II, EuR 2000, 705; Jarass, Charta der Grundrechte der Europäischen Union: GRCh, 3. Aufl., München 2016; Klas/Möhrke-Sobolewski, Digitaler Nachlass – Erbenschutz trotz Datenschutz, NJW 2015, 3473; Knoop, Digitaler Nachlass – Vererbbarkeit von Konten (Minderjähriger), NZFam 2016, 966; von Koen, Die EU-Grundrechtscharta: Anwendbarkeit und Auslegung, EuR 2012, 3; Köhler, Die DS-GVO – eine neue Einnahmequelle für gewerbsmäßige Abmahner?, ZD 2018, 337; Köhler/Bornkamm/Feddersen, Gesetz gegen den unlauteren Wettbewerb, 36. Aufl., München 2018; Krüger/Rauscher (Hrsg.), Münchener Kommentar zur ZPO, 5. Aufl., München 2016; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht – Erste Überlegungen zum innerstaatlichen Regelungsbedarf, Münster 2016; Kuner/Bygrave/Docksey (Hrsg.), The EU General Data Protection Regulation (GDPR), Oxford 2018; Kutscha, Das Computer-Grundrecht“ – eine Erfolgsgeschichte?, DuD 2012, 391; Laoutoumai/Hoppe, Setzt die DSGVO das UWG Schachmatt?, K&R 218, 53; Laue, Öffnungsklauseln in der DS-GVO – Öffnung wohin?, ZD 2016, 463; von Lewinski, Geschichte des Datenschutzrechts von 1600 bis 1977, in: Arndt et al. (Hrsg.), Freiheit – Sicherheit – Öffentlichkeit, Heidelberg 2008, S. 196; Luch, Das neue „IT-Grundrecht“, MMR 2011, 75; Ludwigs/Sikora, Der Vorrang des Unionsrechts unter Kontrollvorbehalt des BVerfG, EWS 2016, 121; Martini, Der digitale Nachlass und die Herausforderung postmortalen Persönlichkeitsschutzes im Internet, JZ 2012, 1145; Meyer, Cookies & Co – Datenschutz und Wettbewerbsrecht, WRP 2002, 1028; Moos, Entwicklung des Datenschutzrechts im Jahr 2016, K&R 2017, 566; Naczinsky, Die digitale Vorsorge des Erblassers, ZEV 2020, 665; Ohly/Sosnitza, Gesetz gegen den unlauteren Wettbewerb, 7. Aufl., München 2016; Piltz, Die Datenschutz Grundverordnung, K&R 2016, 557; Podszun/de Toma, Die Durchsetzung des Datenschutzes durch Verbraucherrecht, Lauterkeitsrecht und Kartellrecht, NJW 2016, 2987; Ritter/Schwichtenberg, Die Reform des UKlaG zur Eliminierung des datenschutzrechtlichen Vollzugsdefizits – neuer Weg, neue Chancen?, VuR 2016, 95; Roback, Neue Abmahnrisiken im Datenschutzrecht, GRUR-Prax 2016, 139; Roßnagel, Editorial, DuD 2016, 553; Roßnagel, Modernisierung des Datenschutzrechts – Empfehlung eines Gutachtens für den Bundesinnenminister, RDV 2002, 61; Schindel, Das Recht auf Information (freedom of information) als Kontrollrecht des Bürgers gegenüber der Staatsmacht, DuD 1989, 591; Schmitt, Datenschutzverletzungen als Wettbewerbsverstöße, WRP 2019, 27; Schmitz/Jastrow, Das Informationsfreiheitsgesetz des Bundes, NVwZ 2005, 984; Schnabel, Der Schutz personenbezogener Daten bei informationsfreiheitsrechtlichen Ansprüchen nach § 11 HmbIFG, DuD 2012, 520; Schneider, Rückgewinnung von Stromkunden – Datenschutzvorschriften als Marktverhaltensregeln, NJW 2012, 3315; Schneider/Härting, Warum wir ein neues BDSG brauchen – Kritischer Beitrag zum BDSG und dessen Defiziten, ZD 2011, 63; Schulz, Das neue IT-Grundrecht – staatliche Schutzpflichten und Infrastrukturverantwortung, DuD 2012, 395; Spiecker/Eisenbarth, Kommt das „Volkszählungsurteil“ nun durch den EuGH? – Der Europäische Datenschutz nach Inkrafttreten des Vertrags von Lissabon, JZ 2011, 169; Spindler/Schuster, Recht der elektronischen Medien, 3. Aufl., München 2015; Stögmüller, Vertraulichkeit und Integrität informationstechnischer Systeme in Unternehmen, CR 2008, 435; Streinz/Michl, Die Drittwirkung des europäischen Datenschutzgrundrechts (Art. 8 GRCh) im deutschen Privatrecht, EuZW 2011, 384; Streinz, „Recht auf Vergessenwerden“ zwischen Unionsrecht und Verfassungsrecht, DuD, 353, 354; Weichert, Datenschutz im Wettbewerbs- und Verbraucherrecht, VuR 2006, 377; Weichert, Wem gehören die privaten Daten?, in: Taeger/Wiebe (Hrsg.) Informatik – Wirtschaft – Recht, Festschrift für Wolfgang Kilian zum 65. Geburtstag, Baden-Baden 2004, S. 281; Wendel, Der EMRK-Beitritt als Unionsrechtsverstoß, NJW 2015, 921; Wolff, UWG und DS-GVO: Zwei separate Kreise?, ZD 2018, 248.
Übersicht
| Rn. | |
| I. Allgemeines | 1 |
| 1. Zweck der Vorschrift | 1 |
| 2. Entstehungsgeschichte | 2 |
| 3. Verhältnis zu anderen Vorschriften | 4 |
| II. Gegenstand und Inhalt der Verordnung (Abs. 1) | 6 |
| 1. Datenschutz – Begriff | 7 |
| 2. Schutz natürlicher Personen und freier Datenverkehr | 8 |
| 3. Zielkonflikt | 10 |
| III. Schutz der Grundrechte (Abs. 2) | 13 |
| 1. Kein Schutz juristischer Personen | 14 |
| 2. Kein Schutz Verstorbener oder Ungeborener und postmortales Persönlichkeitsrecht | 15 |
| 3. Grundrechte und Grundfreiheiten | 18 |
| a) Europäische Grundrechte und Grundfreiheiten | 19 |
| b) Recht auf Datenschutz in der europäischen Grundrechtsdogmatik | 20 |
| c) Datenschutz in der deutschen und mitgliedstaatlichen Grundrechtsdogmatik | 24 |
| d) Recht auf informationelle Selbstbestimmung | 25 |
| e) Integrität informationstechnischer Systeme | 28 |
| f) Beeinträchtigung des Rechts auf Schutz personenbezogener Daten | 31 |
| 4. DSGVO als Schutzgesetz | 34 |
| a) Deliktische und vertragliche Schutzwirkung | 35 |
| b) Arbeitnehmerschutz und Mitbestimmung | 36 |
| c) Verbraucherschutz | 38 |
| d) Wettbewerbsschutz | 40 |
| e) Informationszugangsrecht | 43 |
| IV. Freier Datenverkehr in der Union (Abs. 3) | 47 |
| 1. Normadressat | 48 |
| 2. Freier Informationsbinnenmarkt | 50 |
I. Allgemeines
1. Zweck der Vorschrift
1
Art. 1 DSGVO zieht eine Beschreibung von Gegenstand und Ziel der DSGVO als Programmsatz „vor die Klammer“. Sowohl die Gegenstands-, als auch die Zielbeschreibung sind dualistisch ausgerichtet und umfassen den Schutz natürlicher Personen, den Grundrechtsschutz und den Schutz der Grundfreiheiten einerseits sowie den Schutz des freien Verkehrs personenbezogener Daten andererseits. Diese Dualität der Gegenstands- und Zielbeschreibung ist bereits in Art. 16 Abs. 2 AEUV als Kompetenznorm für den Erlass der DSGVO angelegt. Art. 1 DSGVO ist damit zentrale Norm und Maßstab bei der Auslegung der Regelungen der DSGVO.1
2. Entstehungsgeschichte
2
Die Regelung in Art. 1 DSGVO knüpft inhaltlich an Art. 1 DSRl an,2 der Mitgliedstaaten zum Schutz der Grundrechte und Grundfreiheiten, insbesondere zum Schutz der Privatsphäre bei der Verarbeitung personenbezogener Daten verpflichtete und ihnen untersagte, den freien Datenverkehr zwischen den Mitgliedstaaten aus diesen Gründen zu beschränken. Damit schreibt die Norm bewusst Ziele und Grundsätze der DSRl fort, die auch unter der DSGVO Bestand haben.3
3
Art. 1 DSGVO gehört zu den Normen der DSGVO, die im Gesetzgebungsverfahren am wenigsten umstritten waren.4 Schon der erste Kommissionsentwurf5 enthielt die Formulierung, die letztlich verabschiedet worden ist. Der Rat hatte zwischenzeitlich eine Ergänzung und eine entsprechende Formulierung eines Art. 1 Abs. 2a DSGVO vorgeschlagen,6 um größere Flexibilität der Mitgliedstaaten zum Erlass spezifischer Datenschutzregelungen für die Verarbeitung personenbezogener Daten im öffentlichen Interesse oder zur Ausübung hoheitlicher Gewalt zu schaffen.7 Dieser Vorschlag wurde im Rahmen der Trilogverhandlungen dann jedoch in Art. 6 Abs. 2 DSGVO integriert.8 Art. 1 DSGVO umfasst das „Doppelziel des europäischen Datenschutzrechts“.9 Während am Anfang des Gesetzgebungsprozesses die Gewährleistung des freien Verkehrs personenbezogener Daten im Vordergrund stand,10 hat sich dieses Rangverhältnis jedoch im Laufe des Gesetzgebungsverfahrens relativiert, sodass in der finalen Version der Grundrechtsschutz nunmehr gleichrangig danebensteht.11
3. Verhältnis zu anderen Vorschriften
4
Aus Art. 1 DSGVO ergeben sich in Ergänzung zu Art. 2 DSGVO Teilaspekte des sachlichen Anwendungsbereichs der DSGVO, indem dieser auf den Schutz natürlicher Personen verengt wird. Aus Art. 1 DSGVO ergeben sich zudem allgemeine Auslegungsgrundsätze,12 die jedoch nicht abschließend sind und unter anderem durch die Grundsätze für die Verarbeitung personenbezogener Daten in Art. 5 DSGVO (siehe Art. 5 Rn. 8ff.) sowie die Erwägungsgründe ergänzt werden. So befassen sich insbesondere die ErwG 1 bis 13 mit dem Grundrechtsschutz, dem Datenschutzniveau in den Mitgliedstaaten und dem freien Verkehr personenbezogener Daten.
5
Der Anwendungsbereich des BDSG als Gesetz zur Regelung des Datenschutzrechts im Rahmen der Öffnungsklauseln der DSGVO ergibt sich aus § 1 BDSG (siehe § 1 BDSG Rn. 4ff.). Eine allgemeine mit Art. 1 DSGVO vergleichbare Zielbestimmung und Gegenstandsbeschreibung gibt es für das BDSG jedoch nicht.13
II. Gegenstand und Inhalt der Verordnung (Abs. 1)
6
Art. 1 Abs. 1 DSGVO fasst den Inhalt von Art. 1 Abs. 1 und Abs. 2 DSGVO im Sinne einer dualistischen Gegenstandsbestimmung zusammen, die den Schutz natürlicher Personen und den freien Verkehr personenbezogener Daten umfasst, und ist damit vorangestellte „Programmnorm“14 der DSGVO.
1. Datenschutz – Begriff
7
Ohne diesen selbst zu verwenden, umschreibt Art. 1 Abs. 1 DSGVO den Begriff „Datenschutz“ ähnlich einer Legaldefinition15 als Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Damit wird an dem tradierten, aber missverständlichen Begriff „Datenschutz“ festgehalten. Ursprünglich verstand man darunter noch, dem eigentlichen Wortsinn entsprechend, den Schutz von Daten allgemein. Als Folge einer Begriffsverschiebung werden für die ursprüngliche Bedeutung heute die Begriffe „Datensicherheit“ bzw. „Datensicherung“ verwendet.16 Unter Datenschutz versteht man heute dagegen den Schutz von Persönlichkeitsrechten.
2. Schutz natürlicher Personen und freier Datenverkehr
8
Regelungen zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sind in der DSGVO Legion. So enthält etwa Art. 6 Abs. 1 DSGVO Anforderungen an die Rechtfertigung der Verarbeitung personenbezogener Daten, Art. 7 Abs. 1 Bedingungen der Einwilligung (siehe Art. 7 Rn. 38ff.), Art. 9 Abs. 2 DSGVO Anforderungen an die Verarbeitung besonderer Kategorien personenbezogener Daten (siehe Art. 9 Rn. 17ff.) und Art. 13, 14 DSGVO begründen Informationspflichten des Verantwortlichen (siehe Art. 13 Rn. 1ff. und Art. 14 Rn. 1ff.).
9
Entgegen der Formulierung in Art. 1 Abs. 1, 2. Alt. DSGVO enthält die DSGVO jedoch keine unmittelbaren Regelungen zum freien Datenverkehr.17 Stattdessen finden sich Regelungen zur Rechtfertigung des Datenumgangs (Art. 5ff. DSGVO), zu Rechten der Betroffenen gegenüber dem Verantwortlichen (Art. 12ff. DSGVO), (Organisations-)Pflichten von Verantwortlichen und Auftragsverarbeitern (Art. 24ff. DSGVO), Drittstaatenübermittlungen (Art. 44ff. DSGVO), zur Datenschutzaufsicht (Art. 51ff. DSGVO), zu Rechtsbehelfen, Haftung und Sanktionen (Art. 77ff. DSGVO) sowie zu besonderen Verarbeitungssituationen (Art. 85ff. DSGVO). Der im Ergebnis leerlaufende Verweis auf Regelungen zum (freien) Verkehr personenbezogener Daten innerhalb der Union findet sich lediglich in Art. 1 Abs. 1 und 3 DSGVO. Indem die DSGVO das europäische Datenschutzrecht vereinheitlicht und Unterschiede in der Harmonisierung des Datenschutzrechts ausgleicht, schafft sie allerdings selbst die Voraussetzungen für einen freien Datenverkehr.18 Der Konzeption des europäischen Datenschutzrechts liegt nämlich das Verständnis zugrunde, dass unterschiedliche Schutzniveaus in den Mitgliedstaaten zu Hemmnissen für den freien Verkehr personenbezogener Daten führen.19 Diese werden durch die DSGVO abgebaut.
3. Zielkonflikt
10
Die DSGVO verfolgt, entsprechend der Tradition des europäischen Datenschutzrechts, das dualistische Ziel, einerseits natürliche Personen bei der Verarbeitung personenbezogener Daten zu schützen und andererseits den freien Verkehr personenbezogener Daten zu stärken. In der Regelung kristallisiert sich damit das Spannungsverhältnis zwischen dem Persönlichkeitsrechts- und Datenschutz einerseits und dem Binnenmarktprinzip andererseits20 als systemimmanenter Zielkonflikt. Freier Verkehr personenbezogener Daten erfordert nämlich den Abbau von Verkehrsbeschränkungen. Der Schutz personenbezogener Daten hingegen ein restriktives Vorgehen beim Verkehr mit personenbezogenen Daten und damit Beschränkungen des freien Verkehrs. Auch die DSGVO schränkt den freien Verkehr personenbezogener Daten teils erheblich ein.21 Der Betroffene soll nämlich stets wissen, wer welche Information über ihn gespeichert hat, zu welchen Zwecken diese Information verwendet wird und wer diese Information erhält. Über diese Aspekte soll er zudem möglichst umfassend selbst bestimmen können. Ohne seine Einwilligung ist der Umgang mit und der Verkehr von seinen personenbezogenen Daten nur im Rahmen restriktiv gefasster Erlaubnistatbestände zulässig. Der Verkehr personenbezogener Daten kann unter Beachtung dieser datenschutzrechtlichen Prinzipien nicht absolut frei sein.
11
Klärungsbedürftig ist daher, was der europäische Gesetzgeber unter Freiheit des Verkehrs personenbezogener Daten versteht. Einen absoluten oder einen relativen Schutz unter Vorbehalt. Fraglich ist zudem, in welchem Verhältnis dieses Ziel zum Schutz natürlicher Personen steht. Der Wortlaut der Norm ist in diesem Punkt nicht eindeutig. Der Zielkonflikt lässt sich aber durch eine historisch-teleologische Auslegung auflösen. Der europäische Gesetzgeber versteht das Ziel Freiheit des Verkehrs personenbezogener Daten danach nicht absolut. Es geht nicht per se darum, Hemmnisse für den Datenverkehr insgesamt abzubauen und einen völlig freien Informationsfluss zu ermöglichen. Zwar soll mit den Regelungen des europäischen Datenschutzrechts ein einheitlicher Informationsbinnenmarkt geschaffen werden,22 dafür soll aber einem relativen Verständnis der Freiheit des Datenverkehrs folgend, der Verkehr personenbezogener Daten innerhalb der Union in den Grenzen des europäischen Datenschutzrechts gewährleistet werden. Über die Beschränkungen des europäischen Datenschutzrechts hinaus sollen zusätzliche Behinderungen vermieden werden.
12
Die Vorgängervorschrift des Art. 1 Abs. 2 DSRl formuliert entsprechend dem Regelungsinstrument der Richtlinie klarer, dass bei der Umsetzung der Richtlinie der Datenschutz durch die Mitgliedstaaten nur so gestaltet werden darf, dass dadurch der freie Verkehr personenbezogener Daten zwischen den Mitgliedstaaten selbst nicht eingeschränkt wird. Der freie Datenverkehr sollte also in den Grenzen, der in der DSRl angelegten Schranken, ohne zusätzliche Hemmnisse möglich sein. Zweck der Regelungen der DSGVO ist ausweislich der ErwG 3, 9 und 10 DSGVO die verstärkte Harmonisierung des Datenschutzrechts und die Vermeidung divergierender Anforderungen an den Datenschutz in den Mitgliedstaaten. Dies wird als Hemmnis für die Verwirklichung des Binnenmarktes gesehen und soll durch die DSGVO beseitigt werden.
III. Schutz der Grundrechte (Abs. 2)
13
Ausweislich Art. 1 Abs. 2 DSGVO schützt die DSGVO Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere das Recht auf Schutz personenbezogener Daten. Damit wird ein Ziel der dualistischen Gegenstands- und Zielbestimmung benannt23 und die grundrechtliche Gewährleistung des Datenschutzes konkretisiert, die sich insbesondere aus Art. 8 Abs. 1 GRCh ergibt.24 Der Schutzzweck der DSGVO geht aber über den Schutz des Rechts auf Datenschutz hinaus; erfasst werden Grundrechte und Grundfreiheiten insgesamt.25
1. Kein Schutz juristischer Personen
14
Die DSGVO schützt nur natürliche Personen.26 Nicht vom Schutzbereich der DSGVO erfasst sind juristische Personen.27 Dies entspricht der deutschen Rechtstradition und der Regelung in § 1 Abs. 1 BDSG a.F. sowie der Regelung in der Vorgängervorschrift des Art. 1 Abs. 1 DSRl. Ein erweitertes Verständnis in der mitgliedstaatlichen Ausgestaltung des Datenschutzrechts ist dadurch aber nicht ausgeschlossen, soweit damit der Schutz natürlicher Personen durch die DSGVO nicht in Frage gestellt wird.28 So hat Österreich bei der Umsetzung der DSRl in seinem Datenschutzgesetz den Schutzbereich auch auf juristische Personen erstreckt (§ 4 Nr. 3 öDSG a.F.). Dieser österreichische Sonderweg wird mit dem neuen österreichischen Datenschutzgesetz zur Ausfüllung der Öffnungsklauseln der DSGVO aber nicht fortgesetzt.
2. Kein Schutz Verstorbener oder Ungeborener und postmortales Persönlichkeitsrecht
15
Aus ErwG 27 folgt, dass sich der Schutz personenbezogener Daten Verstorbener nicht aus der DSGVO ergeben soll. Ebenfalls nicht geschützt sind Ungeborene, weil sie noch keine Person im rechtlichen Sinn und kein eigenständiger Träger von Rechten an ihnen zugeordneten Daten sind.29 Von der Ausnahme der Anwendbarkeit auf Verstorbene ist nach der Ratio ebenfalls die Geltendmachung von Ansprüchen Lebender etwa der Erben erfasst, die sich auf die Daten eines Verstorbenen beziehen.30 ErwG 27 Satz 2 stellt den Mitgliedstaaten jedoch frei, dahingehende Regelungsnormen zu erlassen.31 Erwägungsgründe sind zwar selbst keine rechtsverbindlichen Regelungen, enthalten aber Vorgaben für die Auslegung der Verordnung.32 Der Begriff „natürliche Person“ erfasst folglich nur lebende Personen. Während für das BDSG a.F. die Anwendbarkeit auf Daten Verstorbener noch diskutiert wurde,33 hat sich diese Frage jedenfalls für die DSGVO erledigt. Davon unabhängig stellt sich die Frage, ob es einen postmortalen Persönlichkeitsrechtsschutz gibt und wie dieser begründet werden kann. § 4 Abs. 1 LDSG Berlin34 enthält eine Regelung, nach der Daten von Verstorbenen entsprechend personenbezogenen Daten anzusehen sind, es sei denn, die berechtigten Interessen der Verstorbenen können nicht mehr beeinträchtigt werden. Darüber hinaus sind für das deutsche Recht keine ausdrücklichen Regelungen zum Schutz von Daten über Verstorbene ersichtlich. Rechtspolitisch wird kritisiert, dies führe zu Rechtsunsicherheit.35
16
In der deutschen Verfassungsrechtsprechung wird das Recht auf informationelle Selbstbestimmung aus dem Grundrecht auf freie Entfaltung der Persönlichkeit in Art. 2 Abs. 1 GG und aus der Menschenwürde in Art. 1 Abs. 1 GG abgeleitet. Mit dem Tod erlischt die Fähigkeit zur freien Persönlichkeitsentfaltung und die Fähigkeit zur Wahrnehmung des Achtungsanspruchs aus der Menschenwürde.36 Es wird aber vertreten, das Recht wirke über den Tod hinaus (postmortales Persönlichkeitsrecht). Zur Begründung wird argumentiert, der Schutzzweck der informationellen Selbstbestimmung würde unterlaufen, wenn der Einzelne einen Kontrollverlust über seine Daten nach seinem Tod fürchten müsse. Dann wäre er einem vergleichbaren Überwachungsdruck ausgesetzt, wie bei der Verletzung der informationellen Selbstbestimmung zu Lebzeiten, die ihn zu Verhaltensveränderungen zwinge, vor denen das Recht auf informationelle Selbstbestimmung gerade schützen solle.37 In Rechtsprechung38 und Literatur39 ist im Grundsatz anerkannt, dass es postmortalen Persönlichkeitsschutz gibt. Dieser wird aus der Menschenwürde abgeleitet, ist jedoch nicht im Sinne eines umfassenden Schutzes der Daten Verstorbener zu verstehen. Statt eines umfassenden Datenschutzrechts für Tote leite sich daraus eine objektiv-rechtliche Pflicht des Staates ab, deren Daten zu schützen.40 Entsprechend ist das postmortale Persönlichkeitsrecht ein sonstiges Recht gemäß § 823 Abs. 1 BGB und Teilaspekte stehen unter strafrechtlichem Schutz gemäß § 189 StGB.
17
Auf der Ebene des einfachen Rechts stellt sich insbesondere die Frage, wie mit dem sogenannten digitalen Nachlass Verstorbener umzugehen ist. Gemäß § 1922 BGB gehen die Rechte und Verbindlichkeiten mit dem Tod auf den Erben über.41 Davon erfasst sind auch verselbstständigte vermögensrechtlich relevante Teile des allgemeinen Persönlichkeitsrechts.42 Nicht auf den Erben gehen jedoch höchstpersönliche Rechte des Verstorbenen über. Diese gehen mit dessen Tod grundsätzlich unter.43 Soweit Erben in diesem Zuge Kenntnisse über den Erblasser erhalten, ist dies datenschutzrechtlich zulässig. Insofern müsse das Datenschutzrecht „hinter dem erbrechtlichen Befund zurückstehen“.44 Davon unabhängig können Auskunftsansprüche des Erben zu vermögensrelevanten Informationen bestehen.45 Ansprüche auf Auskunft über höchstpersönliche Informationen, etwa darauf gerichtete datenschutzrechtliche Auskunftsansprüche des Erben, bestehen aber nicht.46 Der Erbe tritt also nicht in datenschutzrechtliche Rechtspositionen des Erblassers ein. Aus dem postmortalen Persönlichkeitsrecht können sich aber für Angehörige Ansprüche auf Unterlassung der Verletzung postmortaler Persönlichkeitsrechtsverletzungen ergeben.47
3. Grundrechte und Grundfreiheiten
18
Die DSGVO soll Grundrechte und Grundfreiheiten schützen, insbesondere das Recht auf den Schutz personenbezogener Daten. Das Ziel des Schutzes der Grundfreiheiten wird in der DSGVO nicht präzisiert.48 Geschützt werden diese jedoch indirekt, indem sich der Einzelne auf unionsweit einheitliche Datenschutzstandards verlassen kann.49
a) Europäische Grundrechte und Grundfreiheiten
19
Europäische Grundrechte sind im Primärrecht verankert und gewähren subjektive Rechtspositionen.50 Sie ergeben sich aus der GRCh sowie vereinzelt aus den Verträgen über die Europäische Union selbst.51 In der Rechtsprechung des EuGH werden zudem die Verfassungsüberlieferungen der Mitgliedstaaten zur Begründung herangezogen, soweit sich diese in Struktur und Ziel der Union einfügen.52 Eine Sonderrolle spielen insoweit grundrechtliche Gewährleistungen in der EMRK, auf die im Primärrecht durch Art. 6 Abs. 3 EUV verwiesen wird und die der EuGH in seiner Rechtsprechung zur Begründung grundrechtlicher Gewährleistungen heranzieht,53 die aber formal nicht zum verbindlichen (Primär-)Recht der EU gehören. Die Eingliederung der EMRK in das europäische Primärrecht erfolgt nämlich erst durch Beitritt der EU zur EMRK.54 Dieser ist nicht zuletzt wegen Vorbehalten des EuGH bisher nicht vollzogen.55 Es wird aktuell geprüft, wie sich vom EuGH adressierte Probleme lösen lassen und ein Beitritt ermöglicht werden kann.56 Europäische Grundfreiheiten werden ausweislich Art. 1 Abs. 1 DSGVO auch durch die DSGVO geschützt. In Abgrenzung zu den Grundrechten dienen sie der Realisierung des in Art. 3 EUV dargestellten Ziels eines gemeinsamen Binnenmarktes,57 richten sich primär an die Mitgliedstaaten,58 enthalten darüber hinaus aber auch subjektive Rechte.59 Den Grundrechten und Grundfreiheiten kommt entscheidende Bedeutung bei der Auslegung des europäischen und des mitgliedstaatlichen Datenschutzrechts zu,60 insbesondere in Bezug auf die unbestimmten Rechtsbegriffe der Erlaubnistatbestände. Indem Art. 1 Abs. 2 DSGVO den Schutz der Grundrechte und Grundfreiheiten zum Ziel und Gegenstand der DSGVO macht, werden diese verbindlicher Auslegungsmaßstab, was faktisch einer gesetzlichen Anordnung unmittelbarer Drittwirkung dieser Gewährleistungen entspricht.61
b) Recht auf Datenschutz in der europäischen Grundrechtsdogmatik
20
Der Schutz personenbezogener Daten ist in Art. 16 Abs. 1 AEUV und in Art. 8 GRCh ausdrücklich als Menschenrecht geregelt. Die Grundrechtscharta und damit auch das Datenschutzgrundrecht werden durch Art. 6 Abs. 1 EUV in das Unionsrecht inkorporiert und entsprechend den EU-Verträgen zum Primärrecht der Union.62 Vor Inkrafttreten der GRCh war das Datenschutzgrundrecht bereits durch die Rechtsprechung des EuGH anerkannt.63 Darin entwickelte Grundsätze gelten auch nach der primärrechtlichen Verankerung des Datenschutzgrundrechts fort.64 Zur Begründung des Grundrechts auf Datenschutz zieht der EuGH ergänzend die Gewährleistung des Rechts auf Achtung des Privat- und Familienlebens heran, das in Art. 7 GRCh und Art. 8 EMRK kodifiziert ist.
21
Das Recht auf Datenschutz gewährleistet, dass personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung des Betroffenen oder auf Grundlage einer gesetzlichen Rechtfertigung verarbeitet werden dürfen. Der Schutzbereich ist umfassend und insbesondere nicht abhängig von der Sensitivität des personenbezogenen Datums oder der betroffenen Sphäre. Geschützt werden die Sozial-, Privat- und Intimsphäre.65 Ob neben natürlichen auch juristische Personen Grundrechtsträger sein können, ist nicht abschließend geklärt.66 Der EuGH erkennt einen Schutz juristischer Personen an, soweit der Name der juristischen Personen den Bezug zu natürlichen Personen herstellt.67
22
Das Datenschutzgrundrecht ist kein absolutes Recht des Betroffenen68 und kann durch Gesetz und andere Grundrechte eingeschränkt werden. Gesetzliche Einschränkungen ergeben sich aus der DSGVO sowie den mitgliedstaatlichen Datenschutzgesetzen und anderen Regelungen des Unionsrechts und der Mitgliedstaaten zum Datenschutz. Grundrechte, die das Datenschutzrecht einschränken können, sind insbesondere die Meinungs- und Informationsfreiheit (Art. 11 GRCh), die Forschungsfreiheit (Art. 13 GRCh) und die unternehmerische Freiheit (Art. 16 GRCh).69 Einschränkungen des Datenschutzgrundrechts müssen entsprechend Art. 52 Abs. 1 GRCh den Wesensgehalt achten und verhältnismäßig sein.
23
In Art. 8 GRCh sind wichtige Grundsätze des Datenschutzrechts angelegt, wie das Verbot der Datenverarbeitung mit Erlaubnisvorbehalt, die Verarbeitung nach Treu und Glauben, der Zweckbindungsgrundsatz, das Recht auf Auskunft und die Datenschutzaufsicht, die in der DSGVO entsprechend umgesetzt wurden.
c) Datenschutz in der deutschen und mitgliedstaatlichen Grundrechtsdogmatik
24
Vergleichbar Art. 8 GRCh haben einzelne Mitgliedstaaten eine grundrechtliche Gewährleistung des Rechts auf Datenschutz in ihre Verfassungen aufgenommen.70 Andere Mitgliedstaaten, wie Deutschland, haben keine explizite verfassungsrechtliche Gewährleistung des Datenschutzes. Die mitgliedstaatlichen Gewährleistungen des Rechts auf Datenschutz haben unabhängig von entsprechenden europäischen Gewährleistungen und auch nach Inkrafttreten der GRCh Relevanz. Zum einen als Abwehrrechte gegen öffentliche Stellen des Mitgliedstaats, aber auch für die Auslegung des mitgliedstaatlichen und europäischen Datenschutzrechts. Trotz eines grundsätzlichen Anwendungsvorrangs des Rechts der Union bleiben mitgliedstaatliche Grundrechte nämlich in Kraft.71 Dies ergibt sich zum einen aus dem Grundsatz der begrenzten Einzelermächtigung gemäß Art. 5 Abs. 1 EUV und zum andern aus dem in Art. 53 GRCh angelegten Meistbegünstigungsgrundsatz. Die europäischen Grundrechte sollen den mitgliedstaatlichen Grundrechtsschutz nämlich gerade nicht ersetzen, sondern nur ergänzen.72 Nur für den eher theoretischen Fall einer echten Kollision grundrechtlicher Vorgaben der Union und der Mitgliedstaaten würden der Anwendungsvorrang des Rechts der Union greifen.73
d) Recht auf informationelle Selbstbestimmung
25
Das Recht auf informationelle Selbstbestimmung ist ein dogmatischer deutscher Sonderweg,74 der die Entwicklung des deutschen und europäischen Datenschutzrechts aber wesentlich geprägt hat.75 Entscheidend für seine Entwicklung ist das Volkszählungsurteil.76 Darin hat das BVerfG das Grundrecht erstmals als Fallgruppe des allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abgeleitet. Der Grundrechtscharakter des Rechts auf informationelle Selbstbestimmung wurde in der Folge durch das BVerfG in einer Vielzahl von Entscheidungen betont.77
26
Im Volkszählungsurteil stellte das BVerfG fest, dass es vor dem Hintergrund technischer Entwicklung zunehmend entbehrlich würde, personenbezogene Informationen manuell zusammenzutragen. Diese könnten stattdessen technisch unbegrenzt gespeichert, miteinander verknüpft und zu einem Persönlichkeitsbild zusammengefügt werden und seien so schnell abrufbar, ohne dass der Betroffene die Möglichkeit habe, die Richtigkeit der Daten und deren Verwendung zu beeinflussen. Hieraus ergäben sich neue Möglichkeiten der Einsicht- und Einflussnahme, die es zu kontrollieren gelte. Wer nämlich nicht mit hinreichender Sicherheit überschauen könne, welche personenbezogenen Informationen seiner sozialen Umwelt bekannt seien, könne in der Ausübung seiner Selbstbestimmung wesentlich gehemmt sein. Solange der Einzelne nicht in der Lage sei, darüber zu entscheiden, wer über seine personenbezogenen Daten verfüge und zu welchen Zwecken dies erfolge, laufe Gefahr, die Fähigkeit der Teilnahme am Kommunikationsprozess als Subjekt zu verlieren und zum Informationsobjekt gemacht zu werden. Dies führe insbesondere dazu, dass es kein belangloses Datum mehr gebe.78 Die freie Entfaltung der Persönlichkeit setze unter den Bedingungen moderner Informationstechnologien daher voraus, dass der Einzelne gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten geschützt werde. Dafür müsse ihm die Befugnis eingeräumt werden, selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen.79
27
Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG schützt daher das Recht zur Selbstbestimmung darüber, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden.80 Das Recht auf informationelle Selbstbestimmung erfasst sämtliche Daten mit Personenbezug und betrifft alle Formen ihrer Erhebung und Verwendung.81
e) Integrität informationstechnischer Systeme
28
Das BVerfG hat das Recht auf informationelle Selbstbestimmung nach dem Volkszählungsurteil laufend weiterentwickelt. Bisher letzter Meilenstein dieser Rechtsprechung ist die Entwicklung der Fallgruppe des Rechts auf Integrität informationstechnischer Systeme, um neue Gefährdungen der Persönlichkeit vom Grundrechtsschutz zu erfassen, die durch den wissenschaftlichen und technischen Fortschritt entstehen.82 Hier schützt das sog. „Computergrundrecht“83 als subsidiäres Freiheitsrecht vor dem Zugriff auf informationstechnische Systeme. Ein informationstechnisches System besteht aus Hard- und Software sowie aus Daten und dient der Erfassung, Speicherung, Verarbeitung, Übertragung und Anzeige von Informationen und Daten. Erfasst werden hiervon z.B. Personal Computer, Mobiltelefone, und elektronische Terminkalender sowie externe Speichermedien, die mit dem eigentlichen System verbunden sind.84
29
Neben dem Vorliegen eines informationstechnischen Systems ist für die Eröffnung des Schutzbereichs erforderlich, dass der Betroffene das System als eigenes nutzt und nach den Umständen davon ausgehen darf, dass er alleine oder mit anderen selbstbestimmt über das System verfügt85 und dem System personenbezogene Daten in einem Umfang anvertraut, die einen Einblick in wesentliche Teile der Lebensgestaltung seiner Person ermöglichen oder ein aussagekräftiges Bild über die Persönlichkeit zulassen86 und dies in dem Glauben tut, die Daten seien für unbefugte Dritte unzugänglich.87
30
Die räumliche und thematische Erweiterung des Schutzbereichs der informationellen Selbstbestimmung soll Gefahren für die Persönlichkeitsentfaltung abwehren, die darin begründet sind, dass Betroffene persönliche Daten in ein informationstechnisches System einstellen oder durch dessen Nutzung automatisch liefern, sodass das System potenziell aussagekräftige Datenbestände enthält, die die Persönlichkeit des Betroffenen berühren und so die Funktion eines „ausgelagerten Gehirns“ oder einer „ausgelagerten Psyche“ erhält.88 Hinzu tritt die zunehmende Vernetzung, die neben neuen Nutzungsmöglichkeiten auch neue Gefährdungen für die Persönlichkeitsentfaltung mit sich bringt,89 die der Einzelne nur eingeschränkt wahrnehmen und vor denen sich zumindest der durchschnittliche Nutzer nur bedingt schützen kann.90 Nicht erst die, in den klassischen Schutzbereich der informationellen Selbstbestimmung fallende, tatsächliche Erhebung, sondern schon das Eindringen in dieses System und die Verschaffung einer Zugriffsmöglichkeit auf potenziell sehr aussagekräftige Datenbestände, bedroht die freie Persönlichkeitsentfaltung und ist von dem „neuen Grundrecht“ geschützt.91
f) Beeinträchtigung des Rechts auf Schutz personenbezogener Daten
31
Gefahren für das Recht auf Schutz personenbezogener Daten aus Art. 8 Abs. 1 GRCh sowie entsprechender Gewährleistungen des mitgliedstaatlichen Grundrechtsschutzes, denen durch die DSGVO entgegengewirkt werden soll, ergeben sich insbesondere aus dem Einsatz automatisierter Datenverarbeitungseinrichtungen.92 So hat die technische Entwicklung der letzten Jahrzehnte IT-Systeme hervorgebracht, die in der Lage sind, personenbezogene Daten in praktisch unbegrenztem Umfang zu speichern und miteinander zu kombinieren, sodass sich weitreichende Rückschlüsse auf betroffene Personen ziehen lassen, die bis zur Bildung eines vollständigen Persönlichkeitsprofils reichen können. Diese Entwicklung wurde durch eine intensivierte Vernetzung verstärkt, in deren Rahmen in zunehmendem Maße auch dezentral gespeicherte Informationen miteinander kombinierbar wurden, sodass personenbezogene Daten heute global miteinander verknüpft und abgerufen werden können und weitergehende Rückschlüsse über eine größere Zahl von Betroffenen durch die datenverarbeitenden Stellen gezogen werden können.93
32
Betroffene, die mit diesen technischen Möglichkeiten der Datenverarbeitung konfrontiert sind, können nur in geringem Maß darauf Einfluss nehmen, welche Daten über sie erhoben werden und von wem, zu welchem Zweck sie verarbeitet oder miteinander verknüpft werden. Sie können daher nicht mehr überschauen, welche Informationen zu ihrer Person bekannt sind und über welches Wissen Kommunikationspartner verfügen. Dadurch, dass der Einzelne nicht weiß, ob und in welchem Umfang sein Verhalten von staatlichen oder privaten Stellen erfasst, gespeichert, weitergeleitet oder gar öffentlich gemacht wird, entsteht ein psychischer Druck, nicht durch solche Verhaltensweise aufzufallen, die Gegenstand staatlicher oder privater Datenerfassung und Nutzung sind.94 Die freie Entfaltung der Persönlichkeit erfordert daher im Hinblick auf die Möglichkeiten moderner Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten.95
33
Diese Gefahren für das Recht auf Datenschutz erfolgen nicht nur durch staatliche, sondern auch durch private Handlungen. Ein rein grundrechtlicher Schutz des Rechts auf Datenschutz, der direkt nur vor staatlichen Eingriffen schützt, würde daher zu kurz greifen. Für den europäischen Gesetzgeber ergibt sich daher eine Verpflichtung, das Recht auf Datenschutz durch sekundärrechtliche Gewährleistungen auch im Privatrecht zu schützen.96 Die DSGVO dient diesem Zweck und soll Betroffene vor diesen Gefahren der Datenverarbeitung schützen. Entsprechend der europäischen Datenschutztradition setzt die Schutzwirkung des Datenschutzrechts bereits vor dem Auftreten tatsächlicher Beeinträchtigungen des Persönlichkeitsrechts im Sinne einer Vorfeldsicherung an.97 Sind Daten nämlich rechtswidrig erfasst oder verarbeitet worden, kann es für einen effektiven Betroffenenschutz bereits zu spät sein.
4. DSGVO als Schutzgesetz
34
Die DSGVO dient dem Schutz natürlicher Personen vor den Gefahren der Datenverarbeitung und hat daher Schutzgesetzcharakter.98 Hieraus ergeben sich vielfältige Konsequenzen und Überschneidungen mit anderen Rechtsgebieten, wie dem Delikts-, Vertrags-, Arbeits-, Mitbestimmungs-, Wettbewerbs- und Verbraucherrecht.
a) Deliktische und vertragliche Schutzwirkung
35
Bei Verstößen gegen datenschutzrechtliche Normen hat der Betroffene Ansprüche gegen den Verantwortlichen und den Auftragsverarbeiter auf Ersatz des materiellen und immateriellen Schadens gemäß Art. 82 Abs. 1 DSGVO (siehe Art. 82 Rn. 26ff.). Zudem können sich weitere Ansprüche aus deliktischen oder vertraglichen Anspruchsgrundlagen in Verbindung mit der verletzten Norm der DSGVO ergeben, etwa aus § 823 Abs. 2 BGB in Verbindung mit einer Norm der DSGVO. Gegen Datenschutzverletzungen kann der Betroffene Unterlassungsansprüche gemäß §§ 1004 Abs. 1 Satz 1 BGB analog i.V.m § 823 Abs. 1 BGB (quasinegatorischer Beseitigungsanspruch) geltend machen.99 Normen mit vertraglicher und deliktischer Schutzwirkung können etwa folgende Regelungen sein: Art. 6 Abs. 1, Art. 7, Art. 8, Art. 9 Abs. 2, Art. 12, Art. 13, Art. 14, Art. 17, Art. 20 und Art. 22 DSGVO.
b) Arbeitnehmerschutz und Mitbestimmung
36
Die DSGVO ist ein arbeitnehmerschützendes Gesetz,100 zu dessen Beachtung Arbeitgeber und der Betriebsrat insbesondere gemäß § 75 Abs. 2 BetrVG verpflichtet sind und das direkte Auswirkung auf das individuelle und das kollektive Arbeitsrecht hat, sodass dem Personalrat gemäß § 68 Abs. 1 Nr. 2 BPersVG und dem Betriebsrat gemäß § 80 Abs. 1 Nr. 1 BetrVG die Kompetenz zukommt, die Rechte der Beschäftigten im Hinblick auf den Schutz ihrer informationellen Selbstbestimmung durch das Datenschutzrecht zu überwachen.101 Hiervon erfasst ist neben der Überwachung materiellrechtlicher auch die Kontrolle prozeduraler Normen. Für die Verarbeitung personenbezogener Daten von Beschäftigten ergibt sich daher eine interne doppelte Kontrolle sowohl durch den Betriebs- oder Personalrat, als auch durch den Datenschutzbeauftragten. Die jeweiligen Befugnisse sind nicht exklusiv, sondern bestehen unabhängig voneinander.102 Arbeitnehmerschützend ist insbesondere § 26 BDSG.
37
Die Kontrolle des Betriebs- und Personalrates ist auf die Überprüfung der Rechtmäßigkeit gerichtet; regelmäßig zulässige Reaktion des Betriebsrates ist ein Hinweis gegenüber dem Arbeitgeber und ein Hinwirken auf Abstellung des Verstoßes.103 Ein eigenes Abhilferecht oder Ansprüche auf Unterlassung des Betriebsrates bei der Verletzung subjektiver Rechte der Arbeitnehmer bestehen nicht. Diese müssen die Arbeitnehmer selbst durchsetzen.104 Von den Kontrollbefugnissen des Betriebs- und Personalrates zu trennen ist die Frage einer Mitbestimmung im Hinblick auf die Verarbeitung personenbezogener Daten. Ein Mitbestimmungsrecht besteht nicht automatisch für jede Verarbeitung personenbezogener Daten,105 ergibt sich in vielen Fällen jedoch gemäß § 87 Abs. 1 Nr. 6 BetrVG.
c) Verbraucherschutz
38
Die Frage nach der verbraucherschützenden Wirkung des Datenschutzrechts war lange umstritten.106 Mit dem Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts107 wurde § 2 Abs. 2 Nr. 11 UKlaG eingeführt und diese Frage durch den Bundesgesetzgeber geklärt. Einzelne Vorschriften des Datenschutzrechts sind danach verbraucherschützend,108 soweit sie Regelungen zur Zulässigkeit der Verarbeitung personenbezogener Daten von Verbrauchern i.S.d. § 13 BGB durch einen Unternehmer i.S.d. § 14 BGB zu Zwecken der Werbung, Markt- und Meinungsforschung, zum Betreiben einer Auskunftei, zur Erstellung von Persönlichkeits- und Nutzungsprofilen, zum Adress- und Datenhandel sowie zu vergleichbaren kommerziellen Zwecken enthalten. Nicht von der Neuregelung erfasst und folglich nicht verbraucherschützend ist der Datenumgang im Verhältnis von Unternehmern zu Unternehmern (B2B)109 sowie Regelungen über die Verarbeitung personenbezogener Daten zur Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit einem Verbraucher.110
39
Verbraucherschützend können daher zahlreiche Normen der DSGVO sein, wenn diese Verarbeitungen zu Werbezwecken, zur Markt- und Meinungsforschung, zum Betreiben einer Auskunftei, zur Erstellung von Persönlichkeits- und Nutzungsprofilen, zum Adress- und Datenhandel oder ähnlichen Verarbeitungszwecken sowie zu vergleichbaren kommerziellen Zwecken enthalten.111 Viele Normen der DSGVO enthalten offene Rechtsbegriffe, die auf verschiedene Verarbeitungen anwendbar sind. Es kommt daher häufig auf den konkreten Verarbeitungskontext an. Verbraucherschützend können etwa folgende Normen sein: Art. 5 Abs. 1; Art. 6 Abs. 1 und Abs. 4; Art. 7; Art. 8; Art. 9 Abs. 2, Art. 18 Abs. 2; Art. 22 DSGVO.
d) Wettbewerbsschutz
40
Die DSGVO und das Datenschutzrecht allgemein enthalten potenziell verbraucher-, marktteilnehmer- und mitbewerberschützende Regelungen, nämlich wenn die datenschutzrechtliche Norm im Sinne des § 3a UWG dazu bestimmt ist, das Marktverhalten zu regeln und der Verstoß geeignet ist, das Interesse der Verbraucher, Marktteilnehmer und Mitbewerber spürbar zu beeinträchtigen.112
41
Ob Vorschriften des Datenschutzrechts wettbewerbsschützend im Sinne des § 1 UWG sind, ist umstritten. Voraussetzung einer wettbewerbsschützenden Funktion der Normen der DSGVO ist, dass eine Regelung des Marktverhaltens bezweckt und die Anwendbarkeit des Wettbewerbsrechts nicht durch den Vorrang des Sanktionsregimes der DSGVO ausgeschlossen ist. Nach einer Ansicht enthält das Datenschutzrecht keine Marktverhaltensregeln, sodass Datenschutzverstöße nicht mit den Mitteln des Wettbewerbsrechts von Wettbewerbern angegriffen werden können.113 Die Anwendbarkeit des Wettbewerbsrechts sei gesperrt, weil die DSGVO in Kapitel VIII (Rechtsbehelfe, Haftung und Sanktionen) abschließende Regelungen zur Sanktion von Datenschutzverstößen enthalte.114 Außerdem diene die DSGVO dem Individualschutz und nicht dem Wettbewerbsschutz, was die Anwendbarkeit des Wettbewerbsrechts ausschließe.115
42
Überwiegend wird jedoch zu Recht angenommen, dass auch datenschutzrechtliche Vorschriften einen hinreichenden Marktverhaltensbezug aufweisen können.116 Für diese Ansicht spricht insbesondere der Umstand, dass personenbezogene Daten faktisch zum Wirtschaftsgut geworden sind, sodass der Schutz personenbezogener Daten untrennbar auch mit dem Schutz des Wettbewerbs verbunden ist, sofern es nicht um ausschließlich interne Vorgänge geht.117 Trotz der primären Ausrichtung auf den Grundrechtsschutz können Vorschriften der DSGVO Wettbewerbsrelevanz haben, nämlich insbesondere wenn sie das Auftreten von Wettbewerbern auf dem Markt regeln (siehe Rn. 40f.).118 Wettbewerbsschützend können etwa folgende Normen der DSGVO sein: Art. 5 Abs. 1; Art. 6 Abs. 1 und Abs. 4; Art. 7; Art. 8; Art. 9 Abs. 1;119 Art. 9 Abs. 2;120 Art. 12;121 Art. 13;122 Art. 18 Abs. 2; Art. 22 DSGVO; Art. 32 Abs. 1 lit a.123
e) Informationszugangsrecht
43
Über die Funktion des Datenschutzrechts als Abwehrrecht gegenüber dem Staat hinaus wird teilweise davon ausgegangen, dass es als Kehrseite des Datenschutzes oder als korrespondierendes Element hierzu ein Recht auf Zugang zu Informationen gebe.124 Die Annahmen, dass ein solches Recht zwangsläufig als Kehrseite aus dem Datenschutzrecht folge, sind aber auch berechtigten Zweifeln ausgesetzt.125 Für die Frage, ob ein solches Recht bestehen kann, ist vom zugrunde liegenden Regelungszweck des Datenschutzrechts auszugehen. Dieser ergibt sich aus Art. 1 Abs. 2 DSGVO (siehe Rn. 13) und ist auf den Schutz der Grundrechte und Grundfreiheiten natürlicher Personen ausgerichtet. Wesentlich geprägt wird er durch das Recht auf Datenschutz gemäß Art. 8 GRCh und in der deutschen Grundrechtstradition durch das Recht auf informationelle Selbstbestimmung, das dem Betroffenen ein Herrschaftsrecht über Daten zur eigenen Person verschafft. Hieraus folgt, dass sich ein Recht auf Informationszugang aufgrund der informationellen Selbstbestimmung nur auf Daten zur eigenen Person und nicht auf Informationen über Dritte beziehen kann.
44
Aufgrund des Rechts auf Datenschutz kann der Einzelne selbst darüber bestimmen, wer über seine personenbezogenen Daten verfügt und zu welchen Zwecken sie erhoben und verwendet werden.126 Dies deutet auf das Bestehen von Abwehrrechten und nicht auf Ansprüche zur Verschaffung von Informationen hin, auch wenn zuweilen angenommen wird, dass Informationszugang und Datenschutz das gleiche Ziel verfolgten, nämlich die Förderung der Selbstbestimmung über Informationen.127 Mit dem Recht auf Datenschutz können Informationsansprüche daher nur soweit begründet werden, wie sie für die Durchsetzung der abwehrrechtlichen Funktionen erforderlich sind. Das Recht auf Datenschutz ist nämlich durch den Gesetzgeber und den Normanwender so zur Geltung zu bringen, dass den Betroffenen ihre effektive Wahrnehmung ermöglicht wird.
45
Vor diesem Hintergrund ergibt sich die Notwendigkeit des Schutzes von Betroffenen vor der faktischen Gefahr des Einflussverlustes auf die Erhebung und Verarbeitung ihrer Daten. Nur wenn eine betroffene Person weiß, welche Stelle Daten über sie erhebt und verwendet sowie zu welchen Zwecken dies erfolgt, kann sie die subjektiven Rechtspositionen aus ihrem Grundrecht auf Datenschutz wahrnehmen. Soweit Daten nicht direkt bei ihr erhoben werden, sondern bei Dritten oder aus öffentlich zugänglichen Quellen, etwa aus dem Telefonbuch oder Social Networks, hat sie keine tatsächliche Kontrolle darüber, welche Daten über sie erhoben werden und zu welchen Zwecken sie Verwendung finden. Zudem verliert sie den faktischen Einfluss auch über solche Daten, die bei ihr direkt erhoben wurden, sobald sie bei der verantwortlichen Stelle gespeichert sind. Damit sie ihre Verfügungsbefugnis jedoch effektiv ausüben kann, ist sie auf diese Informationen angewiesen. Es ist im Hinblick auf das Recht auf Datenschutz daher erforderlich, den Betroffenen ein Recht auf Zugang zu diesen Daten bzw. auf Information gegenüber der datenverarbeitenden Stelle zu gewähren. In der DSGVO hat der Gedanke eines Rechts auf Informationszugang seine Ausprägung in dem Recht auf Auskunft gem. Art. 15 DSGVO gefunden (siehe Art. 15 Rn. 1f.).
46
Informationszugangsrechte finden sich auch in verschiedenen gesetzlichen Regelungen, ohne dass diese sich jedoch direkt auf das Recht auf Datenschutz zurückführen ließen, etwa in Art. 21 Abs. 4 der brandenburgischen LVerf (BbgVerf), indem hier ein Einsichtsrecht in Akten und amtliche Unterlagen gewährleistet wird. Die sächsische Verf (SaVerf) gewährt in Art. 34 und die LVerf von Sachsen-Anhalt (LsaVerf) in Art. 6 Abs. 2 ein Auskunftsrecht zu Umweltdaten. Zudem finden sich verschiedene Aktivitäten des Gesetzgebers, die auf die Verschaffung eines Informationszugangsrechts gerichtet sind, wie das Umweltinformationsgesetz des Bundes128 oder Akteneinsichts- und Informationszugangsgesetze in verschiedenen Bundesländern und das Stasi-Unterlagengesetz (StUG)129 sowie das Informationsfreiheitsgesetz des Bundes (IFG).130 Für diese Rechte auf Informationszugang können das Recht auf Datenschutz und dessen gesetzlichen Ausprägungen in der DSGVO und dem BDSG relevant werden, soweit personenbezogene Daten Dritter Gegenstand eines Informationsbegehrens sind.
IV. Freier Datenverkehr in der Union (Abs. 3)
47
In Art. 1 Abs. 3 DSGVO wird das zweite Ziel der dualistischen Gegenstands- und Zielbestimmung der DSGVO benannt. Die Freiheit des Verkehrs personenbezogener Daten in der Union.
1. Normadressat
48
Art. 1 Abs. 3 DSGVO knüpft sprachlich an der Vorgängervorschrift in Art. 1 Abs. 2 DSRl an, mit der Mitgliedstaaten bei der Umsetzung der DSRl untersagt wurde, den freien Verkehr personenbezogener Daten zwischen den Mitgliedstaaten aus datenschutzrechtlichen Gründen einzuschränken. In der Formulierung des Art. 1 Abs. 3 DSGVO fehlt, anders als in Art. 1 Abs. 2 DSRl, jeder Hinweis auf den Normadressaten. Fraglich ist daher, ob die Norm, entsprechend der Vorgängervorschrift, ein an die Mitgliedstaaten gerichtetes Gebot enthält, das Datenschutzniveau in anderen Mitgliedstaaten nicht in Frage zu stellen und etwa beim Erlass von mitgliedstaatlichen Gesetzen im Rahmen der Öffnungsklauseln keine Beschränkungen des Verkehrs personenbezogener Daten untereinander vorzunehmen. Gegen dieses Verständnis spricht jedoch die gewählte Regelungsform der Verordnung, die gemäß Art. 288 Abs. 2 AEUV unmittelbar anwendbar ist und auch horizontale Drittwirkung entfaltet,131 sodass die Mitgliedstaaten in der Ausübung legislativer Gewalt nicht Normadressat sind. Zudem ist die klare Benennung der Mitgliedstaaten als Adressat, anders als in Art. 1 Abs. 2 DSRl, nicht übernommen worden.
49
Dennoch kann Art. 1 Abs. 3 DSGVO nur als Verpflichtung der Mitgliedstaaten verstanden werden.132 Für die DSRl, die der Umsetzung durch die Legislative der Mitgliedstaaten bedurfte, war es logisch, die Mitgliedstaaten zu verpflichten. Die sprachliche Nähe und historische Kontinuität der Schutzziele legen es nahe, die Mitgliedstaaten als Adressat des Art. 1 Abs. 3 DSGVO anzusehen. Die Regelung in Art. 1 Abs. 3 DSGVO würde sonst auch leerlaufen. Verantwortliche als eigentliche Normadressaten der DSGVO sind nämlich an die Regelungen der DSGVO und des Datenschutzrechts im Übrigen gebunden und können den freien Verkehr personenbezogener Daten in dem zugrunde liegenden Verständnis nicht behindern. Verpflichtet sind daher die Mitgliedstaaten bei der Ausübung legislativer Gewalt im Rahmen der Öffnungsklauseln sowie bei der Anwendung der DSGVO bei der Ausübung exekutiver und judikativer Gewalt.133 In diesen Funktionen müssen sie den Grundsatz des freien Datenverkehrs als Programmsatz des Europäischen Datenschutzrechts beachten.
2. Freier Informationsbinnenmarkt
50
Das Ziel eines freien Verkehrs personenbezogener Daten soll durch Rechtsvereinheitlichung erreicht werden. Datenschutz ist geeignet, den Verkehr personenbezogener Daten auch innerhalb der Union einzuschränken, etwa indem Datenübermittlungen an datenschutzrechtliche Voraussetzungen geknüpft werden. Diese dürfen jedoch nicht vorsehen, dass der grenzüberschreitende Datenverkehr innerhalb der Union an zusätzliche Rechtfertigungsvoraussetzungen geknüpft wird. Eine Diskriminierung des Datenverkehrs zwischen Mitgliedstaaten würde also den Grundsatz des freien Datenverkehrs verletzen. Umgekehrt kann der Grundsatz des freien Datenverkehrs aber nicht für Beschränkungen datenschutzrechtlicher Gewährleistungen herangezogen werden.134 Der freie Verkehr personenbezogener Daten soll im Umkehrschluss aus Art. 1 Abs. 3 DSGVO nur innerhalb der Union gewährleistet werden. Beschränkungen des Datenverkehrs in Drittstaaten sind damit möglich und zum Schutz der Betroffenen erforderlich.135 Diesem Zweck dienen die Regelungen in Art. 44ff. DSGVO. Einheitliche Regelungen von Drittstaatenübermittlungen für alle Mitgliedstaaten der Union sind zudem erforderlich, um das einheitliche Schutzniveau nicht zu unterlaufen.
51
Der Logik des europäischen Datenschutzrechts folgend, soll es mit der DSGVO kein divergierendes Schutzniveau zwischen den Mitgliedstaaten geben. Die DSGVO stellt nämlich den grundsätzlich abschließenden legislativen Konsens zum Datenschutz in der Union dar.136 Relativiert wird dieses Ziel jedoch durch zahlreiche Öffnungsklauseln mit der Möglichkeit divergierende Regelungen zum Datenschutz zu treffen.137 Mitgliedstaatliche Regelungen dürfen jedoch nicht über die Regelungsbefugnis in den Öffnungsklauseln hinausgehen und die DSGVO darüber hinaus konkretisieren oder deren Regelungen modifizieren. Zudem kann die Möglichkeit divergierender Interpretation und Durchsetzung des Datenschutzrechts durch die Mitgliedstaaten nicht vollständig ausgeschlossen werden.138
52
Mitgliedstaaten dürfen weder durch Gesetz noch durch einen anderen Rechtsakt den Verkehr personenbezogener Daten aus Gründen des Datenschutzes verhindern, erschweren oder das Datenschutzniveau in anderen Mitgliedstaaten in Frage stellen.139 Soweit Datenverkehr aus anderen, nicht datenschutzrechtlichen Gründen beschränkt wird, steht das jedenfalls nicht dem Wortlaut des Art. 1 Abs. 3 DSGVO entgegen, müsste allerdings an den Maßstäben der EU-Verträge gemessen werden, etwa der Warenverkehrs- und Dienstleistungsfreiheit.140
1 Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 1 DSGVO Rn. 1, sprechen zutreffend von der Interpretationsdirektive. 2 Dazu Ehmann/Helfrich, DSRl, Art. 1; Schwartmann/Jacquemain, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 1 Rn. 1. 3 Dazu ErwG 9; Pötters, in: Gola, DS-GVO, Art. 1 Rn. 4. 4 So auch Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 1 DSGVO Rn. 16; Sydow, in: Sydow, EU-Datenschutzgrundverordnung, Art. 1 Rn. 5. 5 EU-Komm., 25.1.2012, 2012/11 endgültig. 6 EU-Rat., 11.6.2015, 9565/15, 2012/0011 (COD). 7 Ratsdok. 16525/12, Ziff. 20ff.; dazu Buchner, in: Kühling/Buchner, DS-GVO BDSG, Art. 1 Rn. 3. 8 Buchner, DuD 2016, 155. 9 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 1f.; Sydow, in: Sydow, EU-Datenschutzgrundverordnung, Art. 1 Rn. 24; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 1 Rn. 3. 10 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 5. 11 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 5; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 1. 12 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 1 Rn. 1. 13 Zur Zweckbestimmung des BDSG a.F. siehe Schmidt, in: Taeger/Gabel, BDSG, § 1 Rn. 3f. 14 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 1 Rn. 2. 15 Ähnlich Pötters, in: Gola, DS-GVO, Art. 1 Rn. 8, der „eine Art Legaldefinition“ jedoch in Abs. 2 verortet. 16 von Lewinski, in: Freiheit – Sicherheit – Öffentlichkeit, S. 196, 197f. 17 So auch Sydow, in: Sydow, EU-Datenschutzgrundverordnung, Art. 1 Rn. 22. 18 Buchner, in: Kühling/Buchner, DS-GVO BDSG, Art. 1 Rn. 1; Sydow, in: Sydow, EU-Datenschutzgrundverordnung, Art. 1 Rn. 22. 19 Dazu ErwG 3, 9 und 10. 20 Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 1 DSGVO Rn. 21; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 1 Rn. 2. 21 Plath, in: Plath, BDSG DSGVO, Art. 1 Rn. 6. 22 Ehmann/Helfrich, DSRl, Art. 1 Rn. 3. 23 Hijmans, in: Kuner/Bygrave/Docksey, GDPR, Art. 1 B.1.; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 1 Rn. 5. 24 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 7; Schwartmann/Jacquemain, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 1 Rn. 6. 25 Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 1 DSGVO Rn. 36. 26 ErwG 14. 27 Gola, K&R 2017, 145, 146; Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 1 DSGVO Rn. 39. 28 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 8. 29 Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 1 DSGVO Rn. 39. 30 Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht, S. 21. 31 Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht, S. 27, befürwortet ein dahingehendes Tätigwerden des Gesetzgebers ausdrücklich. 32 EuGH, 19.6.2014 – Rs. C 345/13, Rn. 31 – Karen Millen Fashions; EuGH, 24.11.2005 – Rs. C-136/04, Slg. 2005, I-10095, Rn. 32 – Deutsches Milchkontor. 33 Dazu Culmsee, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 413, 416. 34 Landesdatenschutzgesetz Berlin, in Kraft getreten am 12.6.1978. 35 Haase, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 379, 389; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht, S. 21; Martini, JZ 2012, 1145. 36 Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht, S. 21f. 37 BGH, 20.3.1968, NJW 1968, 1773, 1777f.; Culmsee, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 413, 414f.; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht, S. 23; Martini, JZ 2012, 1145, 1148; a.A. Klas/Möhrke-Sobolewski, NJW 2015, 3473, 3475. 38 Ständige Rspr. seit BVerfG, 24.2.1971, NJW 1971, 1645, 1667. 39 Bizer, NVwZ 1993, 653; Culmsee, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 413, 414; Haase, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 379, 390. 40 Culmsee, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 413, 414. 41 Förster/Fast, ZAP 2020, 1011; Klas/Möhrke-Sobolewski, NJW 2015, 3473; Knoop, NZFam 2016, 966, 967. 42 Knoop, NZFam 2016, 966, 969. 43 Haase, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 379, 380; Hoeren, NJW 2005, 2113, 2114; Klas/Möhrke-Sobolewski, NJW 2015, 3473, 3474. 44 Knoop, NZFam 2016, 966, 969. 45 Klas/Möhrke-Sobolewski, NJW 2015, 3473, 3474; Naczinsky, ZEV 2020, 665, 667. 46 Klas/Möhrke-Sobolewski, NJW 2015, 3473, 3475. 47 BGH, 20.3.1968, NJW 1968, 1773; BGH, 6.2.1990, NJW 1990, 1986; Haase, in: Taeger, LaaS – Recht im Internet- und Cloud-Zeitalter, S. 379, 390. 48 Buchner, in: Kühling/Buchner, DS-GVO BDSG, Art. 1 Rn. 17. 49 Buchner, in: Kühling/Buchner, DS-GVO BDSG, Art. 1 Rn. 17. 50 Jarass, GRCh, Einleitung Rn. 50; Ehlers, Europäische Grundrechte und Grundfreiheiten, § 14 Rn. 1; Streinz, DuD, 353, 354. 51 Die EUV und AEUV enthalten insbesondere das Diskriminierungsverbot, das allgemeine Freizügigkeitsrecht und die Bürgerrechte, dazu Jarass, GRCh, Einleitung Rn. 60f. 52 Kingreen, in: Calliess/Ruffert, EUV/AEUV, Art. 6 EUV Rn. 6; Pötters, in: Gola, DS-GVO, Art. 1 Rn. 9; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 1 Rn. 4. 53 So bspw. EuGH, 27.6.2006 – Rs. C-540/03, Slg. 2006, I-5769, Rn. 37 – Parlament/Rat. 54 Kingreen, in: Calliess/Ruffert, EUV/AEUV, Art. 6 EUV Rn. 24. 55 EuGH, Gutachten 2/13 – EMRK Beitritt II; krit. dazu Breuer, EuR 2015, 330; Wendel, NJW 2015, 921. 56 Siehe https://www.europarl.europa.eu/factsheets/de/sheet/146/der-schutz-der-grundrechte-in-dereu. 57 Schroeder, GK EuR, § 14 Rn. 1f.; Classen, in: Oppermann/Classen/Nettesheim, Europarecht, § 22 Rn. 1ff.; die einzelnen Grundfreiheiten sind die Warenverkehrsfreiheit (Art. 34ff. AEUV), die Arbeitnehmerfreizügigkeit (Art. 45ff. AEUV), die Niederlassungsfreiheit (Art. 49ff. AEUV), die Dienstleistungsfreiheit (Art. 56ff. AEUV) und die Kapitalverkehrsfreiheit (Art. 63ff. AEUV), dazu ausführlich Jarass, EuR 2000, 705. 58 Frenz, NVwZ 2011, 961, 961; Classen, in: Oppermann/Classen/Nettesheim, Europarecht, § 22 Rn. 7; Jarass, GRCh, Art. 53 Rn. 10. 59 EuGH, 5.2.1963 – Rs. 26/62, Slg. 1963, 1 – van Gend & Loos; Frenz, NVwZ 2011, 961, 961. 60 von Koen, EuR 2012, 3. 61 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 20. 62 Jarass, in: Jarass, GRCh, Art. 8 Rn. 2; Spiecker/Eisenbarth, JZ 2011, 169, 171. 63 EuGH, 20.5.2003 – verb. Rs. C-465/00, C-138/01 und C-139/01, Rn. 71ff. – ORF, wobei der Schutzbereich stark auf Ausführungen des EGMR basierte, der ein solches Grundrecht zuvor entwickelte, bspw. in EGMR, 6.9.1978 – 5029/71 – Klass; EGMR, 7.7.1989 – 10454/83 – Gaskin. 64 Spiecker/Eisenbarth, JZ 2011, 169, 171f. 65 Jarass, GRCh, Art. 8 Rn. 6. 66 Darstellung bei Jarass, GRCh, Art. 8 Rn. 7. 67 EuGH, 9.11.2010 – Rs. C-92/09, Slg. 2010, I-11063, Rn. 53 – Schecke; EuGH, 17.12.2015 – Rs. C-419/14, Rn. 79 – WebMindLicenses; kritisch dazu Jarass, GRCh, Art. 8 Rn. 7 und Rn. 15, der eine generelle Ausweitung auf juristische Personen befürwortet. 68 ErwG 4; Buchner, in: Kühling/Buchner, DS-GVO BDSG, Art. 1 Rn. 15; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 1 Rn. 7. 69 Buchner, in: Kühling/Buchner, DS-GVO BDSG, Art. 1 Rn. 15. 70 § 10 Abs. 1 finnische Verfassung, Art. 10 Abs. 1 niederländische Verfassung, Art. 35 portugiesische Verfassung, Kapitel 2 § 3 Satz 2 der schwedischen Verfassung; Art. 18 Abs. 4 der spanischen Verfassung, Art. 59 Abs. 1 ungarische Verfassung, Österreich weist Art. 1 § 1 Abs. 1 DSG als Teil der Verfassung aus. 71 Dazu Strinz/Michl, EuZW 2011, 384, 386; EuGH, 17.12.1970 – Rs. 11/70, Slg. 1970, 1125 – Internationale Handelsgesellschaft; a.A. BVerfG, 30.6.2009 – 2 BvE 2/08, BVerfGE 123, 267, der einen nur bedingten Anwendungsvorrang erkennt; ausführlich dazu Ludwigs/Sikora, EWS 2016, 121. 72 Zum Verhältnis der europäischen Grundrechte und des Grundgesetztes siehe auch BVerfG, 6.11.2019 – 1 BvR 16/13, NJW 2020, 300 (Recht auf Vergessen I), das von einer widerlegbaren Vermutung ausgeht, dass durch die Anwendung der deutschen Grundrechte die europäischen Grundrechte mitgewährleistet sind. 73 Strinz/Michl, EuZW 2011, 384, 386. 74 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 1 Rn. 5. 75 Gola, in: Gola, DS-GVO, Einl. Rn. 3. 76 BVerfGE, 15.12.1983, 65, 1; Darstellung bei Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 30ff.; Ehmann, RDV 1998, 235, 240ff.; Faber, RDV 2003, 278, 278ff. 77 BVerfG, 9.3.1988 – 1 BvL 49/86, BVerfGE 78, 77, 84; BVerfG, 14.7.1999 – 1 BvR 2226/94, BVerfGE 100, 313, 381; BVerfG, 3.3.2004 – 1 BvR 2378/98 – BVerfGE 109, 279, Rn. 296ff.; BVerfG, 27.2.2008 – 1 BvR 370/07, BVerfGE, 27.2.2008, 120, 274, Rn. 307ff.; BVerfG, 11.3.2008 – 1 BvR 2074/05, BVerfGE, 11.3.2008, 120, 378, Rn. 61. 78 BVerfG, 15.12.1983, NJW 1984, 419, 422. 79 BVerfG, 15.12.1983, NJW 1984, 419, 422. 80 BVerfG, 15.12.1983, NJW 1984, 419, 421; BVerfG, 14.9.1989, NJW 1990, 563, 563; Ehmann, RDV 1998, 235, 239. 81 Roßnagel, RDV 2002, 61, 62; Weichert, in: FS Kilian, S. 281, 291. 82 BVerfG, 27.2.2008, NJW 2008, 822, 824. 83 Krit. zur Begreiflichkeit Luch, MMR 2011, 75, 76, der berechtigt anführt, dass es sich „nicht um ein neues eigenständiges Grundrecht“ handele, sondern eine Einzelausprägung des Persönlichkeitsrechts. 84 BVerfG, 27.2.2008, NJW 2008, 822, 826f., einzige Voraussetzung ist ein umfassender Funktionsumfang mit Speichermöglichkeiten, dazu Hornung, CR 2008, 299, 302f.; Stögmüller, CR 2008, 435, 435f.; Luch, MMR 2011, 75, 75f. 85 BVerfG, 27.2.2008, NJW 2008, 822, 827. 86 BVerfG, 27.2.2008, NJW 2008, 822, 827; Kutscha, DuD 2012, 391, 391; Schulz, DuD 2012, 395, 395. 87 Holznagel/Schumacher, MMR 2009, 3, 4; Luch, MMR 2011, 75, 76. 88 Hoffmann-Riem, JZ 2008, 1009, 1012. 89 BVerfG, 27.2.2008, NJW 2008, 822, 824. 90 BVerfG, 27.2.2008, NJW 2008, 822, 825. 91 BVerfG, 27.2.2008, NJW 2008, 822, 826, Schneider/Härting, ZD 2011, 63, 68. 92 Zur technischen Entwicklung von Datenverarbeitungseinrichtungen siehe Büllesbach/Garstka, CR 2005, 720, 722ff.; Ehmann, RDV 1998, 235, 236. 93 Ehmann, RDV 1998, 235, 236. 94 Ähnlich BVerfG, 14.12.2001, NJW 2002, 2164, 2164. 95 BVerfG, 15.12.1983, NJW 1984, 419, 422. 96 Buchner, in: Kühling/Buchner, DS-GVO BDSG, Art. 1 Rn. 9; Streinz/Michl, EuZW 2011, 384, 387. 97 Bull, NJW 2006, 1617, 1623; Ehmann, RDV 1998, 235, 239; von Lewinski, in: Freiheit – Sicherheit – Öffentlichkeit, S. 196, 199. 98 So auch von Lewinski, in: Auernhammer, DSGVO BDSG, Einführung Rn. 66; Pötters, in: Gola, DS-GVO, Art. 1 Rn. 13. 99 LG Darmstadt, Urt. v. 26.5.2020 – 13 O 244/19, BeckRS 2020, 25785; AG Westerstede, ZD 2020, 315; a.A. Härting, CR-online.de Blog, https://www.cr-online.de/blog/2019/09/30/kein-unterlassungsanspruch-warum-%C2%A7-1004-bgb-auf-datenschutzverstoesse-nicht-anwendbar-ist/. 100 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 15; zur Rechtslage vor Inkrafttreten der DSGVO Weichert, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, § 1 Rn. 6. 101 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 15; zur Rechtslage vor Inkrafttreten der DSGVO Weichert, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG § 1 Rn. 6. 102 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 15. 103 Werner, in: Rolfs/Giesen/Kreikebohm/Udsching, BeckOK Arbeitsrecht, § 80 BetrVG Rn. 20f. 104 Werner, in: Rolfs/Giesen/Kreikebohm/Udsching, BeckOK Arbeitsrecht, § 80 BetrVG Rn. 20f. 105 Böhm/Brams, NZA-RR 2020, 449, 453. 106 Pötters, in: Gola, DS-GVO, Art. 1 Rn. 14. 107 BGBl. 2016, Teil I Nr. 8, v. 23.2.2016, S. 233–236; dazu Moos, K&R 2017, 566; Ritter/Schwichtenberg, VuR 2016, 95. 108 BT-Drs. 18/4631, S. 13; Halfmeier, NJW 2016, 1126, 1127; von Lewinski, in: Auernhammer, DSGVO BDSG, Einführung Rn. 67ff. 109 Halfmeier, NJW 2016, 1126, 1127. 110 Moos, K&R 2017, 566, 567. 111 Dazu ausführlich Köhler, in: Köhler/Bornkamm, UWG, § 2 UKlaG Rn. 20ff. 112 Zur Rechtslage vor der UWG-Reform 2004 siehe Busse, RDV 2005, 260; Ernst, WRP 2004, 1133; Gedert, in: Hammermeister/Reich/Rose, Information – Wissen – Kompetenz, S. 17; Meyer, WRP 2002, 1028; Weichert, VuR 2006, 377. 113 Köhler, ZD 2018, 337, 337f.; Köhler, in: Köhler/Bornkamm/Feddersen, UWG, § 3a Rn. 1.74.b.; Ohly, GRUR 2019, 686. 114 Köhler, ZD 2018, 337, 337f.; zu dieser Frage ist eine Vorlage des BGH beim EuGH anhängig, siehe BGH, ZUM 2020, 890. 115 Köhler, ZD 2018, 337, 338. 116 OLG Hamburg, 25.10.2018 – 3 U 66/17, ZD 2019, 33; OLG Naumburg, 7.11.2019 – 9 U 39/18, GRUR-RR 2020, 79; OLG Naumburg, 7.11.2019 – 9 U 6/19, ZD 2020, 154; OLG Stuttgart, 27.2.2020 – 2 U 257/19, ZD 2020, 472; LG Würzburg, 13.9.2018 – 11 O 1741/18 UWG, ZD 2019, 38; Galetzka, K&R 2015, 77, 79; Laoutoumai/Hoppe, K&R 218, 533, 536; Podszun/de Toma, NJW 2016, 2987, 2990; Schmitt, WRP 2019, 27; Schneider, NJW 2012, 3315f.; Wolff, ZD 2018, 248, 252; Ohly, in: Ohly/Sosnitza, UWG, § 3a Rn. 79. 117 Huppertz/Ohrmann, CR 2011, 449, 450; Hoeren/Lütkemeier, in: Sokol, Neue Instrumente im Datenschutz, S. 118ff. 118 Heil, RDV 2004, 205, 210; Huppertz/Ohrmann, CR 2011, 449, 451; von Jagow, in: Harte-Bavendamm/Henning-Bodewig, UWG, § 3a Rn. 33; Weichert, VuR 2006, 377, 380; OLG Köln, 17.1.2014 – 6 U 167/13, NJW 2014, 1820, 1821; OLG Karlsruhe, 9.5.2012 – 6 U 38/11, WRP 2012, 1439; OLG Karlsruhe, 9.5.2012 – 6 U 38/11, NJW 2012, 3312, 3314; § 4 Abs. 1 BDSG-alt und § 28 Abs. 4 Satz 2 BDSG-alt beinhalten Marktverhaltensregeln, a.A. OLG München, 12.1.2012 – 29 U 3926/11, WRP 2012, 756; OLG Frankfurt a.M., 30.6.2005 – 6 U 168/04, GRUR 2005, 785. 119 OLG Naumburg, 7.11.2019 – 9 U 6/19, ZD 2020, 154. 120 OLG Naumburg, 7.11.2019 – 9 U 39/18, GRUR-RR 2020, 79. 121 LG Würzburg, 13.9.2018 – 11 O 1741/18, ZD 2019, 38. 122 OLG Stuttgart, 27.2.2020 – 2 U 257/19, ZD 2020, 472; LG Würzburg, 13.9.2018 – 11 O 1741/18, ZD 2019, 38. 123 LG Würzburg, 13.9.2018 – 11 O 1741/18, ZD 2019, 38. 124 Bull, NJW 2006, 1617, 1617; Schindel, DuD 1989, 591, 594; Simitis, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, § 1 Rn. 42f.; zum Verhältnis von Datenschutz und Informationsfreiheit siehe auch Schnabel, DuD 2012, 520. 125 Gola/Schomerus, BDSG, § 1 Rn. 18. 126 BVerfG, 15.12.1983 – 1 BvR 209/83 u.a., NJW 1984, 419, 421 – Volkszählungsurteil; BVerfG, 14.9.1989 – 2 BvR 1062/87, NJW 1990, 563, 563; Ehmann, RDV 1998, 235, 239; Gola/Schomerus, BDSG, § 1 Rn. 7. 127 Weichert, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Einleitung BDSG Rn. 53; hingegen von einem Konflikt beider Interessen ausgehend Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 80ff. 128 Umweltinformationsgesetz vom 22.12.2004, BGBl. I, S. 3704. 129 Gesetz über die Unterlagen des Staatssicherheitsdienstes der ehemaligen Deutschen Demokratischen Republik (Stasi-Unterlagen-Gesetz) vom 20.12.1991, BGBl. I, S. 2272. 130 Informationsfreiheitsgesetz vom 5.9.2005, BGBl. I, S. 2722; hierzu Bull, NJW 2006, 1617, 1617; Schmitz/Jastrow, NVwZ 2005, 984. 131 EuGH, 17.9.2002 – Rs. C-253/00, Slg. 2002, I-7289, Rn. 30ff. – Muñoz/Frumar. 132 Im Ergebnis ebenfalls Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 11. 133 Eckhardt/Kramer/Mester, DuD 2013, 623, 624. 134 Schantz, in: Wolff/Brink, BeckOK DatenschutzR, Art. 1 Rn. 3; a.A. Plath, in: Plath, BDSG DSGVO, Art. 1 Rn. 6, der offenbar vom Erfordernis eines Ausgleichs im Wege der praktischen Konkordanz ausgeht. 135 Hornung/Spiecker gen. Döhmann, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 1 DSGVO Rn. 45f.; Schantz, in: Wolff/Brink, BeckOK DatenschutzR, Art. 1 Rn. 4. 136 Schantz, in: Wolff/Brink, BeckOK DatenschutzR, Art. 1 Rn. 8. 137 Piltz, K&R 2016, 557; Buchner, DuD 2016, 155, 159; Laue, ZD 2016, 463, 463f.; Rauer/Ettig, in: Wybitul, DSGVO, Art. 1 Rn. 12. 138 Roßnagel, DuD 2016, 553. 139 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 11. 140 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 1 Rn. 13.
Art. 2 Sachlicher Anwendungsbereich
(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten
1 a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,
2 b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen,
3 c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten,
4 d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
(3) Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst.
(4) Die vorliegende Verordnung lässt die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der Artikel 12 bis 15 dieser Richtlinie zur Verantwortlichkeit der Vermittler unberührt.
Mit der Norm korrespondieren die Erwägungsgründe 14–21, 27.
Literatur: Albrecht, Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung CR, 2016, 88; Bergt, Die Bestimmbarkeit als Grundproblem des Datenschutzrechts – Überblick über den Theorienstreit und Lösungsvorschlag, ZD 2015, 365; Bischof, Drohnen im rechtlichen Praxistest, DuD 2017, 142; Boehme-Neßler, Das Ende der Anonymität – Wie Big Data das Datenschutzrecht verändert, DuD 2016, 419; Born, Gen-Milch und Goodwill – Äußerungsrechtlicher Schutz durch das Unternehmenspersönlichkeitsrecht, AfP 2005, 110; Brink/Eckhardt, Wann ist ein Datum ein personenbezogenes Datum? Anwendungsbereich des Datenschutzrechts, ZD 2015, 205; Buchner, Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD 2016, 155; Calliess/Ruffert (Hrsg.), EUV/AEUV, 5. Aufl., München 2016; Dieterle, Sanktionierung von Neugierabfragen im Öffentlichen Dienst, ZD 2020, 135; Dienstbühl, Anforderungen an den Einsatz von „Wildkameras“ durch Privatpersonen, CR 2019, 359; Eckhardt/Kramer/Mester, Auswirkungen der geplanten EU-DS-GVO auf den deutschen Datenschutz, DuD 2013, 623; Ehmann, Personenaufnahmen nach der DSGVO – Mehr Klarheit, als viele befürchtet haben, ZD 2020, 65; Ernst, Zur Un-Zulässigkeit von Dashcams, CR 2015, 620; Fuchs, Verwendung privater Kameras im öffentlichen Raum – Datenschutz bei Dash-Cams, Helm-, Wildkameras & Co., ZD 2015, 212; Giesen, Dashcam-Aufnahmen im Zivilprozess, NZV 2020, 70; Gola, Neues Recht – neue Fragen: Einige aktuelle Interpretationsfragen zur DSGVO, K&R 2017, 145; Gola/Lepperhoff, Reichweite des Haushalts- und Familienprivilegs bei der Datenverarbeitung – Aufnahme und Umfang der Ausnahmeregelung in der DS-GVO, ZD 2016, 9; Golland, Die „private“ Datennutzung im Internet, ZD 2020, 397; Gostomzyk, Äußerungsrechtliche Grenzen des Unternehmenspersönlichkeitsrechts – Die Gen-Milch-Entscheidung des BGH, NJW 2008, 2082; Grabitz/Hilf/Nettesheim (Begr./Hrsg.), Das Recht der Europäischen Union: EUV/AEUV, Loseblatt 5/2018, München; Grzeszick, Nationale Parlamente und EU-Datenschutzgrundverordnung, NVwZ 2018, 1505, 1508; Grzeszick/Schwartmann/Mühlenbeck, Nationale Parlamente und DS-GVO: Die unzutreffende Sicht des EuGH, NVwZ 2020, 1491; Härting, Anonymität und Pseudonymität im Datenschutzrecht, NJW 2013, 2065; Hofmann/Johannes, DS-GVO: Anleitung zur autonomen Auslegung des Personenbezugs – Begriffserklärung der entscheidenden Frage des sachlichen Anwendungsbereichs, ZD 2017, 221; Hornung/Schindler/Schneider, Die Europäisierung des strafverfahrensrechtlichen Datenschutzes, ZIS 2018, 566; Kugelmann, Datenschutz bei Polizei und Justiz – Der Richtlinienvorschlag der Kommission, DuD 2012, 581; Kühling/Klar, Unsicherheitsfaktor Datenschutzrecht – Das Beispiel des Personenbezugs und der Anonymität, NJW 2013, 3611; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht – Erste Überlegungen zum innerstaatlichen Regelungsbedarf, Münster 2016; Kühling/Schildbach, Corona-Apps – Daten- und Grundrechtsschutz in Krisenzeiten, NJW 2020, 1545; Kuner/Bygrave/Docksey (Hrsg.), The EU General Data Protection Regulation (GDPR), Oxford 2018; Laue/Nink/Kremer, Das neue Datenschutzrecht in der betrieblichen Praxis, Baden-Baden 2016; Martens, Anwendungsbereich des Entwurfs der Datenschutz-Grundverordnung im öffentlichen Bereich, PinG 2015, 213; Piltz, Die Datenschutz Grundverordnung, K&R 2016, 557; Rabe, Zur Begrenzung des sachlichen Anwendungsbereichs der DSGVO – Keine Anwendung des Datenschutzrechts auf die Verarbeitung „personenbezogener Daten juristischer Personen“, K&R 2019, 464; Reif, Und noch etwas Vorratsspeicherung ... – EU-Richtlinie über die Verwendung von Fluggastdaten beschlossen, RDV 2016, 205; Richter, Macht die Anonymisierung attraktiv!, PinG 2020, 181; Roßnagel/Kroschwald, Was wird aus der Datenschutzgrundverordnung?, ZD 2014, 495; Roßnagel/Richter/Nebel, Besserer Internetdatenschutz für Europa – Vorschläge zur Spezifizierung der DS-GVO, ZD 2013, 103; Saeltzer, Sind diese Daten personenbezogen oder nicht?, DuD 2004, 218; Schantz, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Schröder, Anwendbarkeit der DS-GVO und des BDSG auf den Deutschen Bundestag, ZRP 2018, 129; Seidel, Dürfen Ordnungsbehörden keine Cloudlösungen mit Drittlandsbezug nutzen?, ZD 2020, 455.
Übersicht
| Rn. | |
| I. Allgemeines | 1 |
| 1. Zweck der Vorschrift | 1 |
| 2. Entstehungsgeschichte | 2 |
| 3. Verhältnis zu anderen Vorschriften | 5 |
| II. Automatisierte und dateimäßige Verarbeitung (Abs. 1) | 6 |
| 1. Personenbezogene Daten | 7 |
| 2. Ganz oder teilweise automatisierte Verarbeitung | 8 |
| 3. Nichtautomatisierte Verarbeitung bei Speicherung in einem Dateisystem | 10 |
| III. Ausnahmen vom Anwendungsbereich (Abs. 2 und Abs. 3) | 13 |
| 1. Fehlender Anwendungsbereich des Unionsrechts (Abs. 2 lit. a) | 14 |
| 2. Anwendungsbereich von Titel V Kap. 2 EUV (Abs. 2 lit. b) | 15 |
| 3. Persönlich familiäre Tätigkeiten (Abs. 2 lit. c) | 16 |
| a) Definition persönlich/familiärer Tätigkeiten | 17 |
| b) Einschränkung der Haushaltsausnahme für Internet und soziale Medien | 20 |
| c) Geografische Einschränkung der Haushaltsausnahme | 25 |
| 4. Strafrecht und Gefahrenabwehr (Abs. 2 lit. d) | 27 |
| 5. Datenverarbeitung durch Einrichtungen und Organe der Union (Abs. 3). | 29 |
| IV. Richtlinie 2000/31/EG (Abs. 4) | 30 |
I. Allgemeines
1. Zweck der Vorschrift
1
Art. 2 DSGVO bestimmt den sachlichen Anwendungsbereich der DSGVO durch Anknüpfung an Form und Zweck der Datenverarbeitung1 sowie das Verhältnis der DSGVO zu anderen Vorschriften. In Art. 2 Abs. 1 DSGVO findet sich dafür eine positive Bestimmung des Anwendungsbereichs für die automatisierte oder dateimäßige Verarbeitung personenbezogener Daten. Art. 2 Abs. 2 und Abs. 3 DSGVO schränken den sachlichen Anwendungsbereich durch Ausnahmeregelungen ein. Art. 2 Abs. 4 DSGVO normiert das Verhältnis der DSGVO zur eCommerce-Richtlinie.
2. Entstehungsgeschichte
2
Art. 2 DSGVO knüpft sprachlich und inhaltlich an der Vorgängerregelung in Art. 3 DSRl an. Art. 2 Abs. 1 DSGVO entspricht der Formulierung von Art. 3 Abs. 1 DSRl fast wortgleich; lediglich die Formulierung „Verarbeitung in einer Datei“ wird zu „Verarbeitung in einem Dateisystem“, ohne dass dies zu einer inhaltlichen Änderung führen würde.2 Die Ausnahmeregelungen in Art. 2 Abs. 2 DSGVO sind inhaltsgleich von Art. 3 Abs. 1 DSRl übernommen. Für Art. 2 Abs. 3 DSGVO und die darin geregelte Ausnahme der Anwendbarkeit für Organe und Einrichtungen der EU gibt es keine direkte Entsprechung in der DSRl; inhaltlich ergibt sich die Ausnahme aber auch für die DSRl daraus, dass in Art. 34 DSRl die Mitgliedstaaten und nicht die Organe und Einrichtungen der EU adressiert werden.3
3
Im Gesetzgebungsprozess war insbesondere umstritten, ob die DSGVO für die Tätigkeit der Organe und Einrichtungen der EU gelten soll. Obwohl Art. 16 Abs. 2, 1. Alt. AEUV eine Kompetenz der EU hierfür ausdrücklich vorsieht, enthielt der erste Kommissionsentwurf4 in Art. 2 Abs. 2 lit. b eine Formulierung, nach der die Datenverarbeitung durch Organe und Einrichtungen der EU nicht erfasst sein sollte. In dem Entwurf des Parlaments5 wurde diese Formulierung gestrichen und in Art. 89a eine Formulierung zum Anwendungsvorrang der DSGVO mit einer Ausnahme für speziellere Regelungen aufgenommen. In den Trilogverhandlungen einigten sich Parlament und Rat dann auf die Kompromissformulierung des aktuellen Art. 2 Abs. 3 DSGVO, wonach die einschlägigen Rechtsnormen für die Datenverarbeitung durch Organe und Einrichtungen der EU an die DSGVO angepasst werden sollen.
4
Zur Ausnahme des Anwendungsbereichs für persönliche/familiäre Zwecke in Art. 2 Abs. 2 lit. c DSGVO war zwischen Kommission und Parlament umstritten, ob entsprechend dem ersten Kommissionsentwurf6 die Ausnahme des Anwendungsbereichs auf private Tätigkeiten „ohne Gewinnerzielungsabsicht“ beschränkt sein sollte und ob die Ausnahme entsprechend dem Entwurf des Parlaments7 auch für die Veröffentlichung personenbezogener Daten an eine begrenzte Anzahl von Personen gelten sollte.8 Beide Vorschläge wurden nicht umgesetzt. In ErwG 18 wurde jedoch die Formulierung aufgenommen, dass die DSGVO nicht für persönliche oder familiäre Tätigkeiten ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit gilt.
3. Verhältnis zu anderen Vorschriften
5
Während sich die sachliche Anwendbarkeit der DSGVO aus Art. 2 Abs. 1 bis 3 DSGVO ergibt, folgt der räumliche Anwendungsbereich aus Art. 3 DSGVO und der zeitliche Anwendungsbereich aus Art. 99 DSGVO. Die Anwendbarkeit mitgliedstaatlicher Datenschutzgesetze im Rahmen der Öffnungsklauseln der DSGVO ergibt sich aus diesen Gesetzen, etwa aus § 1 BDSG. Art. 2 Abs. 3 und Abs. 4 DSGVO stehen in engem Zusammenhang mit den Schlussvorschriften der DSGVO. So konkretisiert Art. 2 Abs. 3 DSGVO die Regelung in Art. 98 DSGVO. Art. 2 Abs. 4 DSGVO regelt das Verhältnis der DSGVO zur eCommerce-Richtlinie, während Art. 95 DSGVO das Verhältnis zur ePrivacy-Richtlinie und Art. 96 DSGVO das Verhältnis zu vor dem 24.5.2016 geschlossenen Übereinkünften zur Übermittlung personenbezogener Daten in Drittstaaten und an internationale Organisationen regelt. Erläuterungen und Auslegungshilfen zu Art. 2 DSGVO ergeben sich aus den ErwG 13–21 und 27.
II. Automatisierte und dateimäßige Verarbeitung (Abs. 1)
6
Aus Art. 2 Abs. 1 DSGVO ergibt sich die positive Bestimmung des Anwendungsbereichs der DSGVO, der vorbehaltlich der Ausnahmen in Art. 2 Abs. 2 DSGVO für die automatisierte Verarbeitung personenbezogener Daten und die nichtautomatisierte Verarbeitung personenbezogener Daten in Dateisystemen eröffnet ist. Damit werden technische Umstände beschrieben, die zur Anwendbarkeit der DSGVO führen.9 Entsprechend der DSRl, aber abweichend von der deutschen Konzeption der Anwendbarkeit des Datenschutzrechts, kommt es nicht auf die Tätigkeit des Verantwortlichen an (öffentlich-rechtlich oder privatrechtlich).
1. Personenbezogene Daten
7
Zentrale Anwendungsvoraussetzung der DSGVO, wie auch deren Vorgängerregelungen in Art. 3 Abs. 1 DSRl ist die Verarbeitung personenbezogener Daten. Die Feststellung, dass Daten Gegenstand eines Verarbeitungsvorgangs sind, ist regelmäßig nicht mit Problemen verbunden. Zur „Gretchen-“10 bzw. „Kardinalfrage“11 wird jedoch die Feststellung des Bestehens eines Personenbezugs der verarbeiteten Daten. Personenbezogen sind Daten gemäß der Legaldefinition in Art. 4 Nr. 1 DSGVO (siehe Art. 4 Rn. 2ff.), wenn darin Informationen enthalten sind, die sich auf eine identifizierte oder identifizierbare Person beziehen. Diese zentrale Frage des Datenschutzrechts ist Gegenstand intensiver Diskussionen, die sich im Kern darum drehen, wer die Kenntnis haben muss, um eine Information einer natürlichen Person zuzuordnen.12 Nach der relativen Theorie des Personenbezugs muss dies der Verantwortliche selbst sein, nach der absoluten Theorie reicht auch die Kenntnis eines Dritten.13 Zudem ist umstritten, mit welchem Grad an Wahrscheinlichkeit eine Identifizierung möglich sein muss (siehe Art. 4 Rn. 8ff.). Aus Erwägungsgrund 14 Satz 2 folgt, dass personenbezogene Daten einer juristischen Person nicht in den Anwendungsbereich der DSGVO fallen sollen (siehe Art. 4 Rn. 16).14
2. Ganz oder teilweise automatisierte Verarbeitung
8
Der Begriff der Verarbeitung ist in Art. 4 Nr. 2 DSGVO legaldefiniert und umfasst mit Hilfe automatisierter Verfahren ausgeführten Umgang mit personenbezogenen Daten (siehe Art. 4 Rn. 60ff.). Damit knüpft die DSGVO am Begriffsverständnis der DSRl und nicht an den Ansatz des deutschen Datenschutzrechts mit einem schematischen Phasenmodell der Verarbeitungsschritte (Erhebung, Speicherung, Verarbeitung, Nutzung, Löschung) an. Der Anwendungsbereich der DSGVO wird damit hinsichtlich der technischen Umstände maximal weit und technologieneutral bestimmt,15 indem letztlich jeder Umgang mit personenbezogenen Daten erfasst wird.
9
Wann eine Verarbeitung automatisiert erfolgt, ist in der DSGVO nicht legaldefiniert und technikneutral zu verstehen.16 Automatisiert ist eine Verarbeitung mit Funktionsabläufen, die nach vorgegebenen Parametern ohne Mitwirkung eines Menschen arbeitet. Vom Anwendungsbereich der DSGVO sind neben ganz automatisierten Verarbeitungen auch teilweise automatisierte Verarbeitungen erfasst. Es ist daher unerheblich für die Eröffnung des sachlichen Anwendungsbereichs der DSGVO, ob einzelne Schritte einer im Übrigen automatisierten Verarbeitungsreihe durch Menschen vollzogen werden, etwa die vorgelagerte manuelle Erhebung personenbezogener Daten,17 Auswertungen oder Zwischenschritte eines Geschäftsprozesses. In den Anwendungsbereich der DSGVO fallen damit alle ganz oder teilweise rechnergestützten Verarbeitungen personenbezogener Daten.18 Ob die personenbezogenen Daten dabei strukturiert gespeichert sind, ist unerheblich.19
3. Nichtautomatisierte Verarbeitung bei Speicherung in einem Dateisystem
10
Die DSGVO findet auch auf die nichtautomatisierte Verarbeitung personenbezogener Daten in einem Dateisystem Anwendung. Nichtautomatisiert ist eine rein manuelle Verarbeitung.20 Der Begriff Dateisystem ist in Art. 4 Nr. 6 DSGVO legaldefiniert (siehe Art. 4 Rn. 160ff.) und umfasst strukturierte Datensammlungen, in denen Informationen nach bestimmten Kriterien zugänglich sind. Damit wird der Anwendungsbereich auf nicht digitale Inhalte erstreckt, wie Akten, Aktensammlungen und dazugehörige Deckblätter, die dieses Kriterium erfüllen.21 Die Intention für die Erstreckung des Anwendungsbereichs über klassische rechnergestützte Verarbeitungen hinaus ist es, die technologieneutrale Anwendbarkeit des Datenschutzrechts sicherzustellen, die Gefahr von Umgehungen des Datenschutzrechts zu vermeiden und einen umfassenden Schutz der Betroffenen zu gewährleisten.22
11
Damit nichtautomatisierte, dateibezogene Verarbeitungen in den Anwendungsbereich der DSGVO fallen, muss ihr Inhalt nach Kriterien strukturiert sein, die den Zugriff erleichtern. In der Legaldefinition eines Dateisystems in Art. 4 Nr. 6 DSGVO wird dafür der Plural verwendet („Kriterien“). Dennoch wird teilweise angenommen, dem Sinn und Zweck der Norm folgend sei es auch hinreichend, wenn die Strukturierung nur anhand eines Kriteriums erfolge.23 Aufgrund des insofern klaren Wortlauts ist aber die Gegenauffassung überzeugend, nach der mindestens zwei Kriterien zur Strukturierung genutzt werden müssen, damit ein Dateisystem vorliegt.24 Da praktisch jede aktenmäßige Informationssammlung nach bestimmten Kriterien strukturiert ist, etwa durch eine chronologische oder alphabetische Abheftung, nach dem Sinn der Norm aber gewisse nicht digitale Akten vom Anwendungsbereich der DSGVO ausgeschlossen sein sollen, wird vertreten, das Tatbestandsmerkmal der Strukturierung sei teleologisch einschränkend auszulegen. Um den Anwendungsbereich der DSGVO für nichtautomatisierte Verarbeitungen zu eröffnen, müsste sich daher aus der Struktur unmittelbar die Zugriffsmöglichkeit auf personenbezogene Informationen ergeben.25 Dass es dieser teleologischen Reduktion bedarf, ist jedoch nicht zwingend. Zum einen ist der Anwendungsbereich der DSGVO bewusst weit gefasst und zum anderen ergibt sich ein Ausschluss dateibezogener Verarbeitungen, soweit diese nur nach einem Kriterium strukturiert sind.
12
Für den Beschäftigtendatenschutz hat der deutsche Gesetzgeber mit § 26 Abs. 7 BDSG entsprechend der ursprünglichen deutschen Rechtslage den Anwendungsbereich auch auf Verarbeitungen außerhalb von Dateisystemen erstreckt (siehe § 26 BDSG Rn. 101). Zum erweiterten Anwendungsbereich für deutsche öffentliche Stellen siehe § 1 BDSG Rn. 8f.
III. Ausnahmen vom Anwendungsbereich (Abs. 2 und Abs. 3)
13
Art. 2 Abs. 2 und Abs. 3 DSGVO normieren Ausnahmen von der sachlichen Anwendbarkeit der DSGVO für Bereiche, die spezialgesetzlich geregelt sind, für die der Gesetzgeber keinen Regelungsbedarf gesehen hat oder die nicht in die Regelungskompetenzen der Union fallen.26 Über die Fälle der Art. 2 Abs. 2 und Abs. 3 DSGVO hinaus gibt es nicht ausdrücklich normierte, aber sich aus dem Schutzzweck der DSGVO ergebende Ausnahmen von der Anwendbarkeit. So fällt etwa die Verarbeitung personenbezogener Daten durch die betroffene Person selbst nicht in den Anwendungsbereich der DSGVO.27 Soweit eine Ausnahme des Anwendungsbereichs nach Art. 2 Abs. 2 DSGVO besteht, schließt dies den Erlass datenschutzrechtlicher Regelungen durch die Mitgliedstaaten für diese Bereiche nicht aus.28
1. Fehlender Anwendungsbereich des Unionsrechts (Abs. 2 lit. a)
14
Art. 2 Abs. 2 lit. a DSGVO schließt die Anwendbarkeit der DSGVO für Tätigkeiten aus, die nicht in den Anwendungsbereich des Unionsrechts fallen. Diese Rechtsfolge ergibt sich auch schon aus dem vorrangig anwendbaren Art. 16 Abs. 2 AEUV. Die Regelung ist also rein deklaratorisch.29 Kompetenzen der Union ergeben sich aus dem Primärrecht, namentlich Art. 3 bis Art. 6 AEUV und werden weit ausgelegt,30 ohne dass sie jedoch aus eigener Kompetenz der Union erweitert werden könnten (Prinzip der begrenzten Einzelermächtigung).31 Nicht in den Anwendungsbereich der DSGVO fallen insbesondere Tätigkeiten der Streitkräfte und Nachrichtendienste der Mitgliedstaaten.32 Für die Tätigkeit mitgliedstaatlicher Parlamente im Rahmen parlamentarischer Tätigkeiten wurde ursprünglich herrschend angenommen, diese unterfalle nicht der Anwendung des Unionsrechts und sei daher vom Anwendungsbereich der DSGVO nicht erfasst.33 Der EuGH hat hierzu entschieden, dass auch nationale Parlamente (im relevanten Fall der Petitionsausschuss des hessischen Landtags) verantwortliche Stellen im Anwendungsbereich der DSGVO sind.34
2. Anwendungsbereich von Titel V Kap. 2 EUV (Abs. 2 lit. b)
15
Nach Art. 2 Abs. 2 lit. b DSGVO findet die DSGVO keine Anwendung auf Datenverarbeitungen der Mitgliedstaaten im Rahmen der gemeinsamen Außen- und Sicherheitspolitik sowie des gemeinsamen auswärtigen Handelns der Union gemäß Titel V Kapitel 2 EUV. Die Regelung in Art. 2 Abs. 2 lit. b DSGVO ist deklaratorisch und stellt klar, dass die DSGVO hier keine Anwendung findet.35 Die Kompetenz zum Erlass entsprechender Regelungen zum Schutz personenbezogener Daten ergibt sich anders als die Kompetenz zum Erlass der DSGVO nicht aus Art. 16 Abs. 2 AEUV, sondern aus Art. 39 EUV. Sie begründet eine Zuständigkeit des Rates in der Form des Beschlusses ohne Beteiligung des Parlaments.36 Für den Bereich der gemeinsamen Außen- und Sicherheitspolitik sowie des gemeinsamen auswärtigen Handelns der Union gibt es kein allgemeines, der DSGVO vergleichbares Regelungswerk zum Datenschutz, sondern nur einzelfallbezogenen Regelungen.37
3. Persönlich familiäre Tätigkeiten (Abs. 2 lit. c)
16
Art. 2 Abs. 2 lit. c DSGVO enthält die sogenannte Household Exemption oder Haushaltsausnahme, also eine Einschränkung der Anwendbarkeit der Verarbeitung personenbezogener Daten durch natürliche Personen für ausschließlich persönliche/familiäre Tätigkeiten. Diese Ausnahme der Anwendbarkeit war schon in Art. 3 Abs. 2 DSRl enthalten und wird durch Art. 2 Abs. 2 lit. c DSGVO fast wortgleich fortgeschrieben. Entsprechend der Regelungsintention beim Erlass der DSRl soll auch die DSGVO nicht anwendbar sein, wenn personenbezogene Daten im privaten Rahmen zur Ausprägung des allgemeinen Persönlichkeitsrechts verarbeitet werden.38 Das Festhalten des europäischen Gesetzgebers an der Haushaltsausnahme wird teilweise kritisch gesehen, da Gefährdungen der Persönlichkeitsrechte der Betroffenen aufgrund gestiegener technischer Verarbeitungsmöglichkeiten von Privatpersonen auch bei der Verarbeitung durch diese drohten.39 Zutreffend an dieser Kritik ist, dass es auch – und besonders im persönlich/familiären Rahmen – zu erheblichen Persönlichkeitsrechtsverletzungen kommen kann.40 Der europäische Gesetzgeber hat hierfür aber gerade festgelegt, dass solche Verletzungen nicht im Rahmen des Datenschutzrechts, sondern nach allgemeinen zivil- und ggf. strafrechtlichen Maßstäben bewertet und sanktioniert werden sollen.
a) Definition persönlich/familiärer Tätigkeiten
17
Die DSGVO enthält keine Definition der Begriffe „persönlich“ und „familiär“. Diese müssen daher autonom nach der Verkehrsauffassung bestimmt werden.41 Dabei ist die objektiv erkennbare Zweckbestimmung einer Verarbeitungstätigkeit heranzuziehen. Persönliche Tätigkeiten dienen allgemein der Selbstentfaltung in Freizeit und privatem Bereich.42 Familiäre Tätigkeiten dienen dem sozialen Umgang im Kreis der Familie.43 Indiz für eine persönlich/familiäre Zweckbestimmung sind die erkennbare persönlich/familiäre Motivation, der soziale Kontext44 sowie das Fehlen eines gewerblichen45 oder öffentlich/politischen Hintergrundes. Eine familienrechtliche Auslegung der Begriffe persönlich und familiär ist nicht geboten,46 was beim Vergleich anderer Sprachfassungen deutlich wird.47 Die Größe einer Datensammlung ist für die Qualifikation nicht entscheidend, eine große Datensammlung kann jedoch ein Indiz sein, das gegen persönliche/familiäre Zwecke spricht.48 Der Grundsatz der Bestimmung nach dem objektiv erkennbaren Zweck einer Tätigkeit wird nach der Rechtsprechung des EuGH für Veröffentlichungen im Internet sowie für Videoaufnahmen in öffentlich zugänglichen Bereichen durchbrochen. Die Haushaltsausnahme ist nur für natürliche Personen eröffnet.49 Erfasst werden aber auch Personenmehrheiten, die zu persönlich/familiären Zwecken handeln.50 Auch wenn juristischen Personen ein Unternehmenspersönlichkeitsrecht zugesprochen wird,51 können sie nämlich nicht persönlich/familiär handeln.52 Auch Vereine oder Stiftungen sowie für diese handelnde Personen sind von der Haushaltsausnahme nicht erfasst.53 Die Anwendbarkeit der DSGVO wird nur ausgeschlossen, soweit ausschließlich persönliche/familiäre Zwecke verfolgt werden. Bei einer Mischnutzung, die auch beruflichen oder wirtschaftlichen Zwecken dient sowie bei der Nutzung zu ausschließlich nicht persönliche/familiären Zwecken bleibt die DSGVO anwendbar.54 Dies gilt auch für vereinzelt oder nur gelegentlich anderweitige Verarbeitungen.55 Nicht von der Haushaltsausnahme erfasst ist auch die Handlung im beruflichen/dienstlichen Kontext unter Überschreitung damit einhergehender Kompetenzen zu privaten Zwecken, etwa wenn ein Polizeibeamter eine KFZ-Halterabfrage durchführt, um die Kontaktdaten der Halterin zur privaten Verwendung zu bekommen.56
18
Die Ausnahme des Anwendungsbereichs gemäß Art. 2 Abs. 2 lit. c DSGVO ist nicht räumlich im Sinne des Schutzes der Wohnung oder des eigenen Grundstücks zu bestimmen,57 sondern nach dem sozialen Zweck und dem Kontext der konkreten Tätigkeit.58 ErwG 18 nennt beispielhaft das Führen von Schriftverkehr, Anschriftenverzeichnissen, die Nutzung sozialer Netzwerke und Online-Tätigkeiten und grenzt diese von Tätigkeiten mit Bezug zu beruflichen, geschäftlichen und wirtschaftlichen Tätigkeiten ab. Für Verarbeitungen im Zusammenhang mit sozialen Netzwerken ergibt sich aus ErwG 18 klarstellend, dass die DSGVO für deren Betreiber anwendbar bleibt.
19
Typischerweise dient eine Datenverarbeitung über die Beispiele in ErwG 18 hinaus familiären/persönlichen Zwecken, wenn sie im Rahmen einer nicht wirtschaftlichen Tätigkeit einer natürlichen Person vorgenommen wird. Dies sind z.B. Freizeit, Sport, privater Konsum, Liebhabereien, Privatreisen, Unterhaltung oder private Kommunikation. Soweit Familienforschung (Genealogie) betrieben wird, fällt dies jedenfalls nicht in den Anwendungsbereich der DSGVO, wenn in nicht gewerbsmäßigem Umfang über die eigene Familie geforscht wird.59 Gewerbliche Familienforschung, etwa durch Erbensucher, fällt aber natürlich in den Anwendungsbereich der DSGVO.60 Im Rahmen persönlicher/familiärer Zwecke verarbeitete Daten können etwa Anschriften, Webadressen, Telefonnummern, E-Mail-Adressen oder Geburtstage sein. Die Verwaltung eigenen Vermögens ist eine private Tätigkeit, solange sie aufgrund ihres Umfangs nicht als gewerblich zu qualifizieren ist.61 Das Anfertigen von Fotos, Videos oder Zeichnungen kann ebenfalls von der Haushaltsausnahme erfasst sein und somit aus dem Anwendungsbereich der DSGVO herausfallen.62 Im Widerspruch zur Bestimmung des Anwendungsbereichs der Haushaltsausnahme nach dem Zweck der Tätigkeit stehen Ansätze zur einschränkenden Anwendung der Haushaltsausnahme für Aktivitäten im Internet und in sozialen Medien (dazu Rn. 20ff.) und zur Foto- und Videoaufzeichnung außerhalb des eigenen Grundstücks (dazu Rn. 25f.). Diese Ansätze gehen auf EuGH-Rechtsprechung zurück und müssen – trotz begründeter inhaltlicher Kritik – wegen sonst damit verbundenen rechtlichen Herausforderungen in der Praxis berücksichtigt werden.
b) Einschränkung der Haushaltsausnahme für Internet und soziale Medien
20
Der EuGH schränkt die Haushaltsausnahme ein, wenn und soweit der persönlich/familiäre Bereich überschritten wird und personenbezogene Daten grundsätzlich unbeschränkt auf einer Webseite, in Printmedien oder sozialen Netzwerken veröffentlicht werden. Konkret entschieden hat der EuGH im Fall Lindqvist, dass die Haushaltsausnahmen keine Anwendung findet, wenn eine Katechetin personenbezogene Daten auf ihrer Webseite veröffentlicht, die mit der Webseite ihrer Kirchengemeinde verbundenen ist.63 Im Fall Satamedia hat der EuGH entschieden, dass die Veröffentlichung von Steuer- und Einkommensinformationen konkret benannter Personen aus öffentlich zugänglichen Quellen durch eine juristische Person in regionalen Printmedien nicht der Haushaltsausnahme unterfällt.64 Mit dem Urteil Buivids hat der EuGH entschieden, dass die Anwendbarkeit des Datenschutzrechts nicht durch die Haushaltsausnahme ausgeschlossen ist, wenn Handyvideos von polizeilichen Vernehmungen auf Online-Videoportalen (konkret: www.youtube.com) veröffentlicht werden.65 Gelegentlich wird auch das EuGH-Urteil im Fall Zeugen Jehovas dieser Rechtsprechung zugeordnet, auch wenn es hier nicht um einen Online-Kontext geht, sondern um die Anwendbarkeit des Datenschutzrechts und die Unanwendbarkeit der Haushaltsausnahme für Tätigkeiten einer Religionsgemeinschaft, konkret „Verkündungstätigkeiten von Tür zu Tür“.66
21
Die Rechtsprechung des EuGH bezieht sich auf die Wortgleiche Regelung der Haushaltsausnahme in der DSRl. Eine Fortsetzung dieser Rechtsprechung ist weder nach dem Wortlaut von Art. 2 Abs. 2 lit. c DSGVO zwingend, noch aus Gründen des Betroffenenschutzes erforderlich. Gegen unberechtigte Veröffentlichungen personenbezogener Daten durch Private sind Betroffene nämlich angemessen nach den Maßstäben des allgemeinen Zivil- und Strafrechts geschützt.67 Teilweise wurde daher bezweifelt, ob der EuGH mit Inkrafttreten der DSGVO noch an seiner Rechtsprechung festhalten würde.68 Spätestens mit dem EuGH-Urteil Buivids69 ist jedoch davon auszugehen, dass die Kriterien des EuGH zur Einschränkung der Haushaltsausnahme auch künftig angewendet werden. Diese Rechtsprechung des EuGH ist damit für die Rechtspraxis genauso verbindlich wie problematisch. Damit wird nämlich das gesamte Anforderungsregime der DSGVO für Private anwendbar. Vor dem Tweet von Fotos einer privaten Feier müsste danach wohl eine Information gemäß Art. 13 DSGVO erfolgen und für die Nutzung von Instagram – auch im privaten Kontext – müsste sich der Nutzer wohl Gedanken über den Abschluss einer Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 DSGVO oder die gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO und die Kontrolle der technisch-organisatorischen Maßnahmen machen.
22
Vor dem Hintergrund dieser Rechtsprechung des EuGH stellt sich die Frage, welche Sachverhalte öffentlicher medialer Kommunikation durch Private nicht mehr von der Haushaltsausnahme erfasst sind, sodass auf sie das Datenschutzrecht insgesamt Anwendung findet. Für den Betrieb von Webseiten und damit ggf. verbundene Veröffentlichungen personenbezogener Daten besteht wegen der klaren Entscheidung in dem EuGH-Urteil Lindqvist70 wenig Anlass zur Diskussion. Hier findet das Datenschutzrecht Anwendung. Relevant ist aber die Anwendung der Haushaltsausnahme auf andere Formen der Kommunikation im Internet, konkret in sozialen Medien wie Facebook, Instagram, Twitter oder YouTube. Dazu wird vertreten, die Veröffentlichung von personenbezogenen Daten in sozialen Netzwerken sei von der Haushaltsausnahme erfasst, wenn sie sozial beherrschbar sei, weil der Empfängerkreis definiert und begrenzt sei, etwa weil sich diese nur an „Freunde“ aus dem engeren sozialen Umfeld richte.71 Gegen diese Ansicht sprechen damit einhergehende Abgrenzungsschwierigkeiten, also konkret die Frage, wann ein Empfängerkreis nicht mehr definiert und begrenzt ist.
23
Andere wollen daher die Grundsätze des EuGH-Urteils Lindqvist72 revidieren und Veröffentlichungen in sozialen Medien grundsätzlich der Haushaltsausnahme unterstellen und damit vom Anwendungsbereich des Datenschutzrechts ausnehmen.73 Für diese Ansicht spricht die erkennbare Intention des europäischen Gesetzgebers, der die Haushaltsausnahme in Kenntnis der technischen Ausgestaltung des Internets und sozialer Netzwerke ausdrücklich auf Online-Tätigkeiten und Tätigkeiten in sozialen Netzwerken erstreckt hat.74 Deutlich wird das aus dem Vergleich mit dem Entwurf des Parlaments in dem noch eine vermittelnde Position angelegt war, indem die Haushaltsausnahme gelten sollte, wenn der Kreis der Empfänger voraussichtlich begrenzt ist. Diese Fassung wurde aber gerade nicht verabschiedet.75 Dieser Ansatz vermeidet auch problematische rechtliche Konsequenzen, die sich daraus ergeben, dass in der Konsequenz der Einschränkung der Haushaltsausnahme Anforderungen des Datenschutzrechts und der Datenschutz-Organisationspflichten systemwidrig in den persönlich/familiären Bereich erstreckt werden. Der Ansatz überzeugt also inhaltlich, kann vor dem Hintergrund des insoweit eindeutigen EuGH-Urteils Buivids,76 praktisch jedoch keinen Bestand haben. Danach sind Veröffentlichungen auf YouTube nämlich gerade nicht von der der Haushaltsausnahme erfasst und fallen in den Anwendungsbereich der DSGVO. Das ist insofern konsequent, als Veröffentlichungen auf YouTube und in anderen sozialen Netzwerken ähnlich wie Veröffentlichung auf einer Webseite im Fall Lindqvist77 unbeschränkt öffentlich zugänglich sein können.
24
Zweckmäßig und vor dem Hintergrund der praktischen Probleme der Erstreckung des Anwendungsbereichs der DSGVO in den Bereich privater Datenverarbeitung geboten ist daher eine klare und den Anwendungsbereich der Haushaltsausnahme möglichst erhaltende Anwendung von Art. 2 Abs. 2 lit c DSGVO für soziale Medien unter gleichzeitiger Berücksichtigung der EuGH-Urteile Lindqvist78 und Buivids.79 Für Veröffentlichungen in sozialen Netzwerken kann daher mit der Art.-29-Datenschutzgruppe zunächst festgehalten werden, dass die DSGVO natürlich auf Betreiber von sozialen Medien Anwendung findet und auf Nutzer, wenn diese soziale Medien zu gewerblichen Zwecken nutzen.80 Insofern ist einzig der objektiv erkennbare Zweck der Nutzung ausschlaggebend. Für die Nutzung zu privaten Zwecken gilt die Haushaltsausnahme, soweit objektiv erkennbar ein privater Zweck verfolgt wird, z.B. der Post eines Fotos von einer privaten Feier. Eine Rückausnahme ist nur dann zu machen, wenn der Empfängerkreis völlig unbegrenzt ist und über den Nutzerkreis des sozialen Netzwerks hinaus frei im Internet abrufbar ist.
c) Geografische Einschränkung der Haushaltsausnahme
25
Für die Verwendung von Videokameras durch Private zu nicht erwerbswirtschaftlichen Zwecken außerhalb der eigenen Wohnung bzw. des eigenen Grundstücks wird diskutiert, ob und wann hierbei die Haushaltsausnahme greift und die Anwendbarkeit des Datenschutzrechts ausschließt. Anwendungsfälle, in denen dieser Streit relevant wird, sind die Videoüberwachung über die Grenzen des eigenen Grundstücks hinaus in den öffentlichen Verkehrsraum, die Verwendung von Dashcams,81 also Kameras, die in Autos verbaut sind, um den Straßenverkehr aufzunehmen, die Verwendung von Kameradrohnen oder der Einsatz von Wildkameras.82 Der EuGH-Rechtsprechung zur Videoüberwachung folgend, die von einem privaten Grundstück aus auch den öffentlichen Verkehrsraum erfasste und für die der EuGH den Anwendungsbereich des europäischen Datenschutzrechts für eröffnet ansieht,83 wird vertreten, die Haushaltsausnahme sei nicht mehr einschlägig, sobald der öffentliche Raum betroffen sei,84 also faktisch die Grenzen des eigenen Grundstücks überschritten werde.85 Dies führt für private Videoüberwachung, den Einsatz von Kameradrohnen, Dashcams und Wildkameras zur Anwendbarkeit der DSGVO, wenn diese außerhalb der eigenen Wohnung bzw. des eigenen Grundstücks erfolgt und läuft auf eine nicht in Art. 2 Abs. 2 lit. c DSGVO vorgesehene geografische Bestimmung des persönlichen/familiären Bereichs hinaus. In der Konsequenz kann das nur bedeuten, dass auch private Foto- und Filmaufnahmen in der Öffentlichkeit, einschließlich des „privaten Schnappschusses“ von der Haushaltsausnahme ausgenommen werden. Für die Praxis ist diese EuGH-Rechtsprechung ähnlich wie die Rechtsprechung zur Einschränkung der Haushaltsausnahme im Internet und in sozialen Medien verbindlich und problematisch zugleich.
26
Dass Privatpersonen als Verantwortliche etwa die umfassenden Pflichten aus Art. 12ff. DSGVO erfüllen müssten, erscheint bizarr. Der Ansatz einer geografischen Bestimmung des persönlichen/familiären Raums im Sinn des Art. 2 Abs. 2 lit. c DSGVO überzeugt daher nicht. Die Reichweite der Houshold Exemption sollte nicht geografisch bestimmt werden,86 sondern danach, ob sich für einen objektiven verständigen Dritten anhand des subjektiven Handlungszwecks die Datenverarbeitung als ausschließlich zu persönlichen/familiären Zwecken darstellt.87 Der Betroffenheit des öffentlichen Raums kann dabei Indizwirkung zukommen, die gegen den persönlichen/familiären Zweck spricht, sie kann aber nicht zu einem pauschalen Ausschluss der Haushaltsausnahme und damit der zwingenden Anwendbarkeit der DSGVO führen.88 Dieses Verständnis ergibt sich bei näherer Betrachtung schon aus der Entstehungsgeschichte der Haushaltsausnahme, welche insb. auf Art. 7 und Art. 8 GRCh sowie Art. 8 EMRK zurückgeht.89 Innerhalb von Art. 7 GRCh sowie Art. 8 EMRK ist anerkannt, dass sich die „Privatsphäre“, da wo vernünftigerweise der Schutz der Privatheit erwartet werden kann,90 auch in den öffentlichen Raum erstrecken kann.91 Selbst wenn der persönliche/familiäre Bereich geografisch zu bestimmen wäre, endet er jedenfalls nicht an der Grundstücksgrenze.92 Das Verlassen des eigenen Grundstücks mit einem Gerät zur Erhebung personenbezogener Daten allgemein und Kameras im speziellen oder die Erhebung personenbezogener Daten außerhalb der Grenzen des eigenen Grundstücks kann daher allenfalls Indizwirkung haben, die gegen das Vorliegen der Haushaltsausnahme und für die Anwendbarkeit der DSGVO spricht.
4. Strafrecht und Gefahrenabwehr (Abs. 2 lit. d)
27
Die Verarbeitung personenbezogener Daten zum Zweck der Prävention und Aufklärung von Straftaten, zur Strafvollstreckung sowie zur Gefahrenabwehr (repressive und präventive Tätigkeiten) durch dafür zuständige Behörden fallen nicht in den Anwendungsbereich der DSGVO. Hierfür gelten insbesondere die parallel zur DSGVO verabschiedete Richtlinie 2016/68093 sowie die Richtlinie 2016/68194 bzw. deren Umsetzung im Recht der Mitgliedstaaten. Von der Ausnahme in Art. 2 Abs. 2 lit. d DSGVO werden auch Ordnungswidrigkeiten erfasst. Die Ansicht, nach der „reine Ordnungswidrigkeiten“ nicht erfasst würden,95 überzeugt nicht. Zum einen sind die Grenzen zwischen Straftaten und Ordnungswidrigkeiten insbesondere im bereichsspezifischen besonderen Strafrecht oft fließend und regelmäßig im Ermittlungsverfahren nicht zuverlässig zu ziehen. Zudem ist der Begriff Straftat ein unionsautonom und nicht nach Definition im mitgliedstaatlichen Recht auszulegender Rechtsbegriff.96 Der Rückgriff auf die Differenzierung zwischen Straftaten und Ordnungswidrigkeiten im deutschen Recht oder dem Recht anderer Mitgliedstaaten läuft daher dem mit der DSGVO verfolgten Zweck der Vereinheitlichung des Datenschutzrechts diametral entgegen und entspricht nicht der Regelungsintention des europäischen Gesetzgebers. Art. 2 Abs. 2 lit. d DSGVO schließt auch die Datenverarbeitung zur Strafvollstreckung und zur Gefahrenabwehr vom Anwendungsbereich der DSGVO aus. Beide Begriffe sind unionsrechtlich autonom auszulegen.97 Der Begriff der Strafverfolgung erfasst sowohl die Strafvollstreckung im engeren Sinne (§§ 449ff. StPO) als auch den Strafvollzug in einem weiteren Verständnis.98 Der Begriff der Gefahrenabwehr umfasst – vergleichbar dem Begriff der öffentlichen Sicherheit im deutschen Recht – den Schutz vor Straftaten und den Schutz von bedeutenden Rechtsgütern.99
28
Zuständige Behörde im Sinn der Norm ist gemäß Art. 3 Abs. 7 Richtlinie 2016/680 die Stelle, der die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten, die Strafvollstreckung und die Abwehr von Gefahren für die öffentliche Sicherheit übertragen ist. Dies sind insbesondere die Polizeibehörden des Bundes und der Länder sowie Strafverfolgungs- und -vollstreckungsbehörden. Soweit Behörden andere Zwecke als Prävention, Strafermittlung, Strafvollstreckung oder Gefahrenabwehr verfolgen, richtet sich die Zulässigkeit damit verbundener Verarbeitung personenbezogener Daten nach der DSGVO.100 Ebenfalls nicht von der Ausnahme erfasst werden Tätigkeiten von Behörden zu Zwecken gemäß Art. 2 Abs. 2 lit. d DSGVO unter offenkundiger Verletzung von Zuständigkeitsregelungen.101 Das ist etwa der Fall, wenn ein Polizeibeamter unter offensichtlicher Überschreitung seiner Kompetenzen eine KFZ-Halterabfrage durchführt, um die Kontaktdaten der Halterin aus privaten Motiven zu erhalten.102 Die Verarbeitung personenbezogener Daten durch Gerichte und Justizbehörden im Rahmen ihrer judikativen Funktionen fällt in den Anwendungsbereich der DSGVO und wird nicht von der Ausnahme gemäß Art. 2 Abs. 2 lit. d DSGVO erfasst.103 Gemäß Art. 55 Abs. 3 DSGVO ist die Kontrolle der Datenverarbeitung durch Gerichte und Justizbehörden im Bereich justizielle Tätigkeit von der Zuständigkeit der Aufsichtsbehörden ausgenommen (siehe Art. 55 Rn. 10ff.). Die Mitgliedstaaten können jedoch speziellere Regelungen zur Datenverarbeitung durch die Justiz erlassen, die soweit die Anwendung der DSGVO ausschließen (zur Datenschutzaufsicht über Justizbehörden siehe Art. 55 Rn. 10).104
5. Datenverarbeitung durch Einrichtungen und Organe der Union (Abs. 3)
29
Die Verarbeitung personenbezogener Daten durch Organe, Einrichtungen, Ämter und Agenturen der Union fällt gemäß Art. 2 Abs. 3 DSGVO nicht in den Anwendungsbereich der DSGVO. Für diese Datenverarbeitungen galt ursprünglich die Verordnung 45/2001.105 Die Verordnung 45/2001 und andere Rechtsakte der Union über die Verarbeitung personenbezogener Daten sollen nach der rechtlich nicht zwingenden Regelung106 in Art. 2 Abs. 3 Satz 2 DSGVO an die DSGVO angepasst und in deren Lichte ausgelegt werden.107 Zu diesem Zweck wurde inzwischen die Verordnung 2018/1725108 verabschiedet.
IV. Richtlinie 2000/31/EG (Abs. 4)
30
Gemäß Art. 2 Abs. 4 DSGVO bleibt die Anwendung der eCommerce-Richtlinie insgesamt durch die DSGVO unberührt. Die Regelung in Art. 2 Abs. 4 DSGVO ist rein deklaratorisch und keine Ausnahme vom Anwendungsbereich der DSGVO.109 Die eCommerce-Richtlinie soll den freien Verkehr von Diensten der Informationsgesellschaften innerhalb der Union sicherstellen und stellt dafür Anbieter entsprechender Dienste für bestimmte Tätigkeiten von der Haftung frei.110 Dies gilt insbesondere für die Verantwortlichkeit von Vermittlern gemäß Art. 12 (reine Durchleitung), Art. 13 (Caching), Art. 14 (Hosting) und Art. 15 (Freiheit von allgemeinen Überwachungspflichten). In Deutschland sind diese Regelungen durch die §§ 7 bis 10 TMG umgesetzt. Soweit die eCommerce-Richtlinie nicht anwendbar ist, etwa für Dienste der Informationsgesellschaft gemäß Art. 5 eCommerce-Richtlinie, bleibt die DSGVO anwendbar. Spiegelbildlich zu Art. 2 Abs. 4 DSGVO nimmt Art. 1 Abs. 5 lit. b eCommerce-Richtlinie datenschutzrechtliche Fragen von Diensten der Informationsgesellschaft vom Anwendungsbereich der eCommerce-Richtlinie aus. Die eCommerce-Richtlinie und die DSGVO sind damit nebeneinander anwendbar. Rechtspolitisch wird diese Entscheidung des europäischen Gesetzgebers kritisiert, beide Regelungswerke nebeneinander bestehen zu lassen, da sich hieraus Wertungswidersprüche ergeben können.111
1 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 1. 2 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 4; Kranenborg, in: Kuner/Bygrave/Docksey, GDPR, Art. 2 B.; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 3. 3 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 5. 4 EU-Komm., 25.1.2012, 2012/11 endgültig, S. 46. 5 EU-Parl., 22.11.2013, 2012/11 – C7-0025/2012 – 2012/11 endgültig, ABl. Nr. C 378, S. 399. 6 EU-Komm., 25.1.2012, 2012/11 endgültig, S. 46. 7 EU-Parl., 22.11.2013, 2012/11 – C7-0025/2012 – 2012/11 endgültig, ABl. Nr. C 378, S. 399. 8 Dazu Gola/Lepperhoff, ZD 2016, 9, 10f. 9 Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 20. 10 Saeltzer, DuD 2004, 218. 11 Kühling/Schildbach, NJW 2020, 1545, 1546. 12 Dazu Barlag, in: Roßnagel, Europäische Datenschutz-Grundverordnung, S. 110f.; Bergt, ZD 2015, 365; Boehme-Neßler, DuD 2016, 419, 420; Brink/Eckhardt, ZD 2015, 205; Buchner, DuD 2016, 155, 156; Eckhardt/Kramer/Mester, DuD 2013, 623, 627f.; Härting, NJW 2013, 2065; Kühling/Klar, NJW 2013, 3611; Schantz, NJW 2016, 1841, 1842f. 13 Dazu umfassend Bergt, ZD 2015, 365; Brink/Eckhardt, ZD 2015, 205; zur Vermeidung der Anwendbarkeit des Datenschutzrechts durch Anonymisierung Richter, PinG 2020, 181. 14 Dazu Rabe, K&R 2019, 464. 15 Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 23f.; Laue/Nink/Kremer, Das neue Datenschutzrecht in der betrieblichen Praxis, S. 31. 16 Martens, PinG 2015, 213, 214. 17 Gola, in: Gola, DS-GVO, Art. 2 Rn. 5; Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 6. 18 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 5; Zerdick, in: Ehmann/Selmayr, DSGVO, Art. 2 Rn. 3. 19 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 16. 20 ErwG 15; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 17; Martens, PinG 2015, 213, 214; Plath, in: Plath, BDSG DSGVO, Art. 2 Rn. 6. 21 ErwG 15; Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 8. 22 ErwG 15; Gola, in: Gola, DS-GVO, Art. 2 Rn. 1. 23 Martens, PinG 2015, 213, 215. 24 Piltz, K&R 2016, 557. 25 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 7; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 7. 26 Gola, in: Gola, DS-GVO, Art. 2 Rn. 2. 27 Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 2 Rn. 18. 28 Gola, in: Gola, DS-GVO, Art. 2 Rn. 3. 29 Albrecht, CR 2016, 88, 90; Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 2; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 21; Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 8. 30 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 16. 31 Dazu Bast, in: Grabitz/Hilf/Nettesheim, Das Recht der Europäischen Union, Art. 5 AEUV Rn. 13ff. 32 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 19; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 8. 33 Grzeszick, NVwZ 2018, 1505, 1508; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 17; Schröder, ZRP 2018, 129, 130. 34 EuGH, 9.7.2020 – C 272/19, ZD 2020, 577, 578; a.A. Grzeszick/Schwartmann/Mühlenbeck, NVwZ 2020, 1491. 35 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 10. 36 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 9; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 9. 37 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 10; Kühling/Raab, in: Kühling/Buchner, DSGVO, Art. 2 Rn. 22. 38 Albrecht, CR 2016, 88, 90; Ehmann/Helfrich, DSRl, Art. 3 Rn. 23; Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 10. 39 Roßnagel/Kroschwald, ZD 2014, 495, 496; Roßnagel/Richter/Nebel, ZD 2013, 103, 104; Gola/Lepperhoff, ZD 2016, 9, 11. 40 So auch Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 12. 41 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 18; Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 37. 42 Vgl. Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 2 Rn. 24. 43 Vgl. Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 2 Rn. 25. 44 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 11; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 21. 45 Vgl. Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 2 Rn. 26; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DSGVO/BDSG, Art. 2 Rn. 41; Weichert, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 2 Rn. 16. 46 Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 35; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 23; Weichert, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 2 Rn. 23. 47 Englische Sprachfassung: „personal or household activity“; französische Sprachfassung: „activité strictement personelle ou domestique“; italienische Sprachfassung: „attivitá a carattere esclusivamente personale o domestico“; niederländische Sprachfassung: „persoonlijke of huishoudelijke activiteit“; spanische Sprachfassung: „actividades exclusivamente personales o domésticas“; schwedische Sprachfassung: „rent privat natur eller som har samband med hans eller hennes hushll“; die dänische Sprachfassung enthält hingegen ähnlich der deutschen Sprachfassung einen Bezug zum Begriff Familie: „personlige eller familiemæssige aktiviteter“. 48 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 26. 49 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 12; Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 14. 50 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 13; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 23. 51 BGH, 11.3.2008, NJW 2008, 2110; OLG Hamburg, 16.12.2008 – 7 U 48/08, AfP 2009, 151; vgl. hierzu auch Born, AfP 2005, 110; Gostomzyk, NJW 2008, 2082. 52 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 15; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 23; Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 2 Rn. 35; a.A. Derfler, RDV 2020, 128, 132. 53 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 15; Gola/Lepperhoff, ZD 2016, 9, 10; Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 34. 54 Ehmann, ZD 2020, 65, 66; Rauer/Ettig, in: Wybitul, DSGVO, Art. 2 Rn. 12; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 2 Rn. 42; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 11. 55 A.A., nach der es auf den Schwerpunkt der Verarbeitung ankommen soll: Gola/Lepperhoff, ZD 2016, 9, 10. 56 Dieterle, ZD 2020, 135, 136. 57 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 21. 58 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 11; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 21. 59 Gola/Lepperhoff, ZD 2016, 9, 10; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 26. 60 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 26. 61 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 19; Gola/Lepperhoff, ZD 2016, 9, 10; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 24. 62 Gola, in: Gola, DS-GVO, Art. 2 Rn. 15. 63 EuGH, 6.11.2003 – Rs. C-101/01, Slg. 2003, I-12971, Rn. 47f. – Lindqvist. 64 EuGH, 16.12.2008 – Rs. C-73/07, EuZW 2009, 108, Rn. 43f. – Satamedia. 65 EuGH, 14.2.2019 – Rs. C-345/17, Rn. 43f. – Buivids. 66 EuGH 10.7.2018 – Rs. C-25/17, Rn. 42f. – Zeugen Jehovas. 67 So auch Art.-29-Datenschutzgruppe, WP 163 Opinion 5/2009 on online social networking, S. 6f.; Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 21. 68 Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 44. 69 EuGH, 14.2.2019 – Rs. C-345/17 – Buivids. 70 EuGH, 6.11.2003 – Rs. C-101/01, Slg. 2003, I-12971 – Lindqvist. 71 Gola, in: Gola, DS-GVO, Art. 2 Rn. 25; Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 2 Rn. 29; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 2 Rn. 40. 72 EuGH, 6.11.2003 – Rs. C-101/01, Slg. 2003, I-12971 – Lindqvist. 73 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 21. 74 ErwG 18. 75 ErwG 15 Entwurf des Parlaments; dazu Schantz, NJW 2016, 1841, 1843. 76 EuGH, 14.2.2019 – Rs. C-345/17 – Buivids. 77 EuGH, 6.11.2003 – Rs. C-101/01, Slg. 2003, I-12971 – Lindqvist. 78 EuGH, 6.11.2003 – Rs. C-101/01, Slg. 2003, I-12971 – Lindqvist. 79 EuGH, 14.2.2019 – Rs. C-345/17 – Buivids. 80 Art.-29-Datenschutzgruppe, WP 163 Opinion 5/2009 on online social networking, S. 6f.; Golland, ZD 2020, 397, 397f. 81 Dazu Giesen, NZV 2020, 70, 71. 82 Zu datenschutzrechtlichen Anforderungen an den Einsatz von Wildkameras siehe Dienstbühl, CR 2019, 359. 83 EuGH, 11.12.2014 – Rs. C-212/13, Rn. 33 – Rynes. 84 Dazu Gola/Schomerus, BDSG, § 6b Rn. 8ff. 85 Ernst, CR 2015, 620, 622; Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 19; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 27; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 11; kritisch dazu Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 51f.; zur Anwendbarkeit des Datenschutzrechts für den Einsatz von Dashcams siehe VG Ansbach, 12.8.2014 – AN 4 K 13.01634; AG München, 13.8.2014 – 354 C 5551/14, RDV 2014, 345; AG Nienburg, 20.1.2015 – 4 Ds 155/14, 4 Ds 520 Js 39473/14. 86 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 21 und 32. 87 Siehe dazu auch Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 17: „wenn der gewählte Rahmen [...] die entspr. Zweckverfolgung erkennen lässt“; Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 24: „entscheidet die Verkehrsanschauung“; zustimmend Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 37f.; Bischof, DuD 2017, 142, 144, die bspw. evident sportliche Zwecke ausklammert; Fuchs, ZD 2015, 212, 215. 88 Zustimmend Fuchs, ZD 2015, 212, 217; AG München, 6.6.2013 – 343 C 4445/13, ZD 2014, 39 m. Anm. Schröder, dass zur Bestimmung auf die „soziale Adäquanz“ abstellt. 89 Kühling/Raab, in: Kühling/Buchner, DS-GVO BDSG, Art. 2 Rn. 10; Gola/Lepperhoff, ZD 2016, 9, 11; zur Abhängigkeit des Art. 7 GRCh von Art. 8 EMRK Kingreen, in: Calliess/Ruffert, EUGRCharta, Art. 7 Rn. 2. 90 Zur EMRK EGMR, 26.7.2007 – Nr. 64209/01, Rn. 37ff. 91 EGMR, 28.1.2003 – Nr. 44647/98, Rn. 59ff.; EGMR, 24.6.2004 – Nr. 59320/00, Rn. 50ff. 92 EGMR, 28.1.2003 – Nr. 44647/98, Rn. 59ff.; EGMR, 24.6.2004 – Nr. 59320/00, Rn. 50ff.; EGMR, 2.9.2010 – Nr. 35623/05, Rn. 44; EuGH, 14.2.2008 – Rs. C-450/06, Slg. 2008, I-581, Rn. 48 – Varec; EuG, 8.11.2007 – Rs. T-194/04, Slg. 2007, II-4523, Rn. 114f. – Lager; Frenz, Handbuch Europarecht, Rn. 1203; für den Einsatz von Dashcams zustimmend Piltz, BDSG, § 1 Rn. 12. 93 Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates; dazu: Weinhold, in: Roßnagel, Europäische Datenschutzgrundverordnung, S. 118ff.; zum Richtlinienentwurf: Kugelmann, DuD 2012, 581; Seidel, ZD 2020, 455. 94 Richtlinie über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität; dazu: Reif, RDV 2016, 205. 95 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 12. 96 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 25f.; Grafenstein, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 2 Rn. 56; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 12; zur Methodik der Auslegung des europäischen Datenschutzrechts allgemein siehe Hofmann/Johannes, ZD 2017, 221. 97 Kranenborg, in: Kuner/Bygrave/Docksey, GDPR, Art. 2 C. 6. 98 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 27; Hornung/Schindler/Schneider, ZIS 2018, 566, 572f. 99 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 28. 100 ErwG 19; Gola, in: Gola, DS-GVO, Art. 2 Rn. 23. 101 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 2 Rn. 15. 102 Dieterle, ZD 2020, 135, 136. 103 ErwG 20; Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 2 Rn. 23; Roßnagel, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 2 Rn. 19; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 2 Rn. 48. 104 ErwG 20; Kühling/Martini u.a., Die Datenschutzgrundverordnung und das nationale Recht, S. 20. Schwichtenberg, DuD 2016, 605; Bäcker, in: Perspektiven der digitalen Lebenswelt, 2017, S. 63. 105 Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr. 106 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 2 Rn. 36. 107 ErwG 17. 108 Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG. 109 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 17. 110 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 2 Rn. 17. 111 Bäcker, in: Wolff/Brink, BeckOK DatenschutzR, Art. 2 Rn. 34
Art. 3 Räumlicher Anwendungsbereich
(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.
(2) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht
1 a) betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;
2 b) das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.
(3) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt.
Mit der Norm korrespondieren die Erwägungsgründe 22–25.
Literatur: Albrecht, Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Brauneck, Marktortprinzip der DSGVO: Weltgeltung für EU-Datenschutz?, EuZW 2019, 494; Grabitz/Hilf/Nettesheim (Begr./Hrsg.), Das Recht der Europäischen Union: EUV/AEUV, Loseblatt 5/2018, München; Hoffmann, Anforderungen aus DS-GVO und NIS-RL an das Cloud Computing, ZD-Aktuell 2017, 05488; Klar, Die extraterritoriale Wirkung des neuen europäischen Datenschutzrechts, DuD 2017, 533; Kuner/Bygrave/Docksey (Hrsg.), The EU General Data Protection Regulation (GDPR), Oxford 2018; Laue, Öffnungsklauseln in der DS-GVO – Öffnung wohin?, ZD 2016, 463; Piltz, Die Datenschutz-Grundverordnung, K&R 2016, 557; Schantz, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841;Uecker, Extraterritorialer Anwendungsbereich der DS-GVO, ZD 2019, 67; Voigt, Anforderungen an Drittlandtransfers, CR 2020, 315; Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, Edewecht 2020.
Übersicht
| Rn. | |
| I. Allgemeines | 1 |
| 1. Zweck der Vorschrift | 1 |
| 2. Entstehungsgeschichte | 3 |
| 3. Verhältnis zu anderen Vorschriften | 6 |
| II. Verarbeitung durch Niederlassung in der Union (Abs. 1) | 7 |
| 1. Niederlassung | 8 |
| 2. Zuordnung von Verarbeitungen zu einer Niederlassung | 12 |
| 3. Beauftragung von Auftragsverarbeitern in der Union | 13 |
| III. Verarbeitung ohne Niederlassung in der Union (Abs. 2) | 16 |
| 1. Völkerrechtliches Verbot exterritorialer Wirkung | 17 |
| 2. Keine Niederlassung in der Union | 18 |
| 3. Angebot von Waren oder Dienstleistungen in der Union (Abs. 2 lit. a) | 19 |
| 4. Beobachtung von Personen in der Union (Abs. 2 lit. b) | 25 |
| 5. Kritik am Marktortprinzip | 30 |
| 6. Beauftragung von Auftragsverarbeitern in Drittstaaten | 32 |
| IV. Völkerrechtliche Vorgaben (Abs. 3). | 34 |
| V. Geltung der DSGVO im EWR | 35 |
| VI. Kollisionsrecht | 36 |
| 1. Kollision mit drittstaatlichem Datenschutzrecht | 37 |
| 2. Kollision mitgliedstaatlicher Datenschutzgesetze | 39 |
I. Allgemeines
1. Zweck der Vorschrift
1
Art. 3 DSGVO bestimmt den räumlichen Anwendungsbereich der DSGVO und damit des europäischen Datenschutzrechts. Als Anknüpfungspunkte, die zur Anwendbarkeit des europäischen Datenschutzrechts führen, ergeben sich aus Art. 3 DSGVO die Niederlassung des Verantwortlichen (Art. 3 Abs. 1 DSGVO), die Niederlassung des Auftragsverarbeiters (Art. 3 Abs. 1 DSGVO) und der Marktort (Art. 3 Abs. 2 DSGVO). In Art. 3 Abs. 3 DSGVO ist der Spezialfall der Anwendbarkeit der DSGVO an Orten außerhalb der Union geregelt, die völkerrechtlich dem Recht eines Mitgliedstaates und deshalb dem Recht der Union unterliegen und an denen die DSGVO entsprechend anwendbar ist.
2
Der Anwendungsbereich der DSGVO ist weit gefasst und bezweckt die Anwendung des europäischen Datenschutzrechts für alle Sachverhalte mit Unionsbezug, um Betroffene davor zu schützen, dass der Schutz ihrer Grundrechte durch die Verarbeitung ihrer personenbezogenen Daten von Verantwortlichen oder Auftragsverarbeitern in Drittstaaten unterlaufen wird.1 Dafür wird in Art. 3 Abs. 2 DSGVO das Marktortprinzip für die Begründung der Anwendung der DSGVO auf nicht in der Union niedergelassene Stellen eingeführt. Im Vergleich zur DSRl wird der Anwendungsbereich des europäischen Datenschutzrechts mit Art. 3 DSGVO erheblich ausgeweitet. Die weite Definition des Anwendungsbereichs des europäischen Datenschutzrechts für Verantwortliche in Drittstaaten führt zur parallelen Anwendung des europäischen Datenschutzrechts neben ihrem lokalen Datenschutzrecht2 und schafft damit Anwendungskonflikte. Die Entwicklung kollisionsrechtlicher Lösungen dafür hat gerade erst begonnen.
2. Entstehungsgeschichte
3
Art. 3 DSGVO ist im Gesetzgebungsprozess in Wortlaut und Regelungsgehalt im Wesentlichen unverändert geblieben. Die aktuelle Fassung entspricht dem Kommissionsentwurf mit geringfügigen Änderungen. So wurde die Klarstellung in Art. 3 Abs. 1 DSGVO, dass die Anwendbarkeit der DSGVO unabhängig davon gilt, ob die Verarbeitung in der Union erfolgt, auf Wunsch des Parlaments aus den Erwägungsgründen in den Verordnungstext aufgenommen.3 Ebenfalls auf Wunsch des Parlaments wurde die Anwendbarkeit des Art. 3 Abs. 2 DSGVO auf Auftragsverarbeiter erweitert4 und die Geltung des Marktortprinzips in Art. 3 Abs. 2 lit. a DSGVO von einer Entgeltzahlung des Betroffenen entkoppelt.5 Zur Formulierung von Art. 3 Abs. 2 lit. b DSGVO hatte das Parlament vorgeschlagen, die Beobachtung jeden Verhaltens zu erfassen, in der finalen Fassung findet sich nun jedoch die Formulierung des Rates, nach der es sich um ein Verhalten in der Union handeln muss.6
4
Art. 3 DSGVO tritt an Stelle von Art. 4 DSRl und begründet die territoriale Anwendbarkeit der DSGVO für die Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter durch eine Niederlassung in der Union (Art. 3 Abs. 1 DSGVO) sowie durch eine Niederlassung außerhalb der Union, soweit sich die Verarbeitung auf Betroffene in der Union bezieht (Art. 3 Abs. 2 DSGVO). Art. 3 DSGVO erweitert, im Vergleich zur DSRl, durch die Einführung des Marktortprinzips in Art. 3 Abs. 2 DSGVO den territorialen Anwendungsbereich des europäischen Datenschutzrechts erheblich. Zudem wird neben dem Sitz des Verantwortlichen das Kriterium des Sitzes des Auftragsverarbeiters zur Bestimmung der territorialen Anwendbarkeit der DSGVO eingeführt. Abweichend vom Konzept der Bestimmung des territorialen Anwendungsbereichs des europäischen Datenschutzrechts gemäß Art. 4 Abs. 1 lit. c DSRl wird mit Art. 3 DSGVO das Kriterium der Verwendung von Mitteln innerhalb der Union aufgegeben.
5
Die DSGVO enthält selbst unmittelbar geltendes Recht, das an Stelle der mitgliedstaatlichen Datenschutzgesetze tritt. Es ist daher konsequent, dass die DSGVO anders als die DSRl als umsetzungsbedürftiger Rechtssatz keine Art. 4 DSRl vergleichbaren Kollisionsnormen für mitgliedstaatliche Datenschutzgesetze enthält, sondern nur positiv regelt, wann die DSGVO Anwendung findet.7 Da es aber faktisch mitgliedstaatliches Datenschutzrecht im Rahmen der Öffnungsklauseln gibt, fehlt nunmehr ein Regime zur Auflösung dieser Anwendungskonflikte (dazu Rn. 39).
3. Verhältnis zu anderen Vorschriften
6
In Art. 3 DSGVO wird der territoriale Anwendungsbereich der DSGVO normiert. Der sachliche Anwendungsbereich folgt aus Art. 2 DSGVO und der zeitliche Anwendungsbereich aus Art. 99 DSGVO. Soweit im Rahmen der Öffnungsklauseln mitgliedstaatliche Regelungen zum Datenschutz geschaffen wurden, können die Mitgliedstaaten unter Beachtung der Vorgaben des Völkerrechts deren territoriale Anwendung bestimmen. In diesem Sinne regelt § 1 Abs. 4 BDSG die territoriale Anwendbarkeit des Bundesdatenschutzgesetzes (dazu § 1 BDSG Rn. 25). Erläuterungen und Auslegungshilfen zu Art. 3 DSGVO ergeben sich aus den ErwG 22 bis 25.
II. Verarbeitung durch Niederlassung in der Union (Abs. 1)
7
Für die räumliche Anwendbarkeit der DSGVO knüpft Art. 3 Abs. 1 DSGVO an die Verarbeitung personenbezogener Daten (siehe Art. 4 Rn. 2ff.) im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen (siehe Art. 4 Rn. 170ff.) oder Auftragsverarbeiters (siehe Art. 4 Rn. 238ff.) in der Union an. Das Gebiet der Union ergibt sich aus Art. 52 EUV und Art. 355 AEUV. Eine Anknüpfung an den Ort der Datenverarbeitung oder die Belegenheit der Mittel in der Union ist ausdrücklich nicht erforderlich (zur entgegenstehenden Konzeption im deutschen Datenschutzrecht siehe § 1 BDSG Rn. 30ff.). Hintergrund dieser Entkoppelung der territorialen Anwendbarkeit von der Belegenheit zur Verarbeitung eingesetzter Hardware ist es, technischen Rahmenbedingungen der zunehmend globalen und vernetzten Verarbeitung personenbezogener Daten, etwa in der Cloud, Rechnung zu tragen.8 In diesen IT-Infrastrukturen kann die Belegenheit der Hardware nämlich praktisch unbeschränkt global gewählt und geändert werden. Teilweise ist dies für den Verantwortlichen nicht mehr nachvollziehbar. Die Belegenheit der Hardware wird damit zunehmend ungeeignet als Anknüpfungspunkt zur Bestimmung der territorialen Anwendbarkeit des Datenschutzrechts.
1. Niederlassung
8
Zur Bestimmung der territorialen Anwendbarkeit der DSGVO gemäß Art. 3 Abs. 1 DSGVO gilt ein modifiziertes Sitzprinzip beziehungsweise ein Sitz- und Niederlassungsprinzip. Abzustellen ist nach dem Wortlaut der Norm auf die Belegenheit der Niederlassung, in deren Kontext personenbezogene Daten verarbeitet werden. Befindet sich diese in der Union, findet die DSGVO Anwendung. Ob der Verantwortliche oder Auftragsverarbeiter zusätzlich zu der Niederlassung, in deren Kontext die Verarbeitung erfolgt, weitere Niederlassungen oder seinen Hauptsitz in einem Drittstaat außerhalb der Union hat, ist für die Bestimmung der territorialen Anwendbarkeit der DSGVO nicht relevant.9 Insbesondere ist für die Bestimmung der territorialen Anwendbarkeit nicht auf den offiziellen Sitz des Verantwortlichen, etwa gemäß dem Handelsregister abzustellen.10 Auch wenn Verarbeitungen durch Verantwortliche oder deren Niederlassungen in der Union technisch von Dienstleistern in Drittstaaten ausgeführt werden oder durch den Verantwortlichen oder die Niederlassung selbst auf Hardwarekomponenten außerhalb der Union ausgeführt werden, bleibt die DSGVO anwendbar. Eine Flucht aus der Anwendbarkeit der DSGVO durch IT-Outsourcing ist für Verantwortliche beziehungsweise deren Niederlassungen in der Union nicht möglich.
9
Die Verarbeitung personenbezogener Daten im Zusammenhang mit Tätigkeiten am eingetragenen Sitz fallen natürlich auch weiter in den territorialen Anwendungsbereich der DSGVO. Die DSGVO benennt diese nicht ausdrücklich. Dogmatisch lässt sich dies aus einer teleologischen Erweiterung des Begriffs der Niederlassung begründen. Wenn schon die Verarbeitung im Zusammenhang mit der Tätigkeit einer Niederlassung erfolgt, muss dies erst recht für Verarbeitungen im Zusammenhang mit Tätigkeiten des Sitzes gelten. Alternativ wird vorgeschlagen, den Begriff des Sitzes als Unterfall der Niederlassung im Sinne der Norm zu qualifizieren und daraus die Anwendbarkeit der DSGVO für Verarbeitungen im Zusammenhang mit Tätigkeiten am eingetragenen Sitz zu begründen.11 Unabhängig von der dogmatischen Begründung findet die DSGVO aber im gleichen Maße auf Verarbeitungen am eingetragenen Sitz, wie an einer Niederlassung, Anwendung.
10
Der Begriff der Niederlassung ist anders als der Begriff der Hauptniederlassung (siehe Art. 4 Rn. 421ff.) im Text der DSGVO nicht legaldefiniert, wird aber in ErwG 22 angesprochen. Eine Niederlassung setzt danach die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus.12 Die DSGVO knüpft damit an das Begriffsverständnis von ErwG 19 DSRl an. Ob eine Niederlassung rechtlich selbstständig ist, eigene Rechtspersönlichkeit hat oder in die Organisation des Verantwortlichen eingebunden ist, spielt keine Rolle.13 Die Einrichtung muss aber aktiv – wenn auch geringfügig – in die Tätigkeiten zur Verarbeitung personenbezogener Daten des Verantwortlichen einbezogen sein.14 Der Begriff der Niederlassung ist unionsautonom auszulegen und nicht inhaltsgleich mit dem Begriff der Niederlassung im Sinne der Niederlassungsfreiheit des Art. 49 AEUV oder der gewerberechtlichen Niederlassung im Sinne des § 4 Abs. 3 GewO.15 Der Begriff ist nicht formalistisch zu verstehen, sondern entsprechend der Interpretation des EuGH flexibel auszulegen.16 Eine Niederlassung kann danach bereits vorliegen, wenn ein Vertreter des Verantwortlichen sich in der Union befindet und in die Verarbeitung einbezogen ist.17 Eine Niederlassung kann daher etwa eine Tochtergesellschaft, ein Marketing- oder Vertriebsbüro, eine Gesellschaft mit einem Vertreter und einem Bankkonto18 oder eine Zweigniederlassung oder Tochtergesellschaft zur Förderung des Vertriebs von Werbeflächen eines Suchmaschinenbetreibers19 sein. Auf die Rechtsform kommt es dabei nicht an.20
11
Nicht hinreichend für die Begründung einer Niederlassung ist das Vorliegen von Hardwarekomponenten wie Servern oder Rechnern ohne Personal, Organisation oder bauliche Substanz21 oder rein technische oder rechtliche Stützpunkte ohne menschliche Aktivität, wie Briefkastenfirmen.22 Nicht hinreichend ist ebenfalls die bloße Abrufbarkeit einer Webseite aus dem Inland23 oder die Bestellung eines Inlandsvertreters gemäß Art. 27 DSGVO.24 Mit der Beauftragung eines Auftragsverarbeiters in der Union entsteht ebenfalls keine Niederlassung.25 Auch Einrichtungen, die nur eingeschränkt beständig sind, wie Messestände oder mobile Geschäftsstätten begründen keine Niederlassung.26 Ebenfalls keine Niederlassung begründet der Einsatz von Personal ohne Beständigkeit, wie die Entsendung von Geschäftsreisenden oder Messevertretern.27
2. Zuordnung von Verarbeitungen zu einer Niederlassung
12
Die Verarbeitung personenbezogener Daten muss „im Rahmen der Tätigkeiten einer Niederlassung“ erfolgen.28 Diese Zuordnung der konkreten Verarbeitung zu einer Niederlassung ist einzelfallspezifisch vorzunehmen, wobei die Voraussetzungen weit zu verstehen sind, um durch die daraus folgende Anknüpfung zum Recht der Jurisdiktion, in der die Niederlassung belegen ist (einschließlich des Rechts der Union), einen umfassenden Schutz der Grundrechte und Grundfreiheiten der Betroffenen zu gewährleisten.29 Entscheidend für die Zuordnung einer Tätigkeit zu einer Niederlassung sind Maß und Umfang der Beteiligung der Niederlassung an der Aktivität zur Verarbeitung personenbezogener Daten.30 Neben der Zuordnung der Verarbeitung zur Tätigkeit der Niederlassung muss eine Zuordnung zu dem Verantwortlichen möglich sein,31 sonst handelt es sich nämlich im Zweifel um eine Verarbeitung der Niederlassung, für die sie selbst datenschutzrechtlich verantwortlich ist. Wo die Verarbeitung tatsächlich geografisch erfolgt oder wo personenbezogene Daten tatsächlich physisch liegen, ist unerheblich.
3. Beauftragung von Auftragsverarbeitern in der Union
13
Der Wortlaut des Art. 3 Abs. 1 DSGVO wird teilweise so verstanden, dass die Beauftragung eines Auftragsverarbeiters in der Union durch einen Verantwortlichen außerhalb der Union zur Anwendbarkeit der DSGVO führe, auch wenn die Voraussetzungen des Art. 3 Abs. 2 DSGVO nicht erfüllt sind, also außer der Beauftragung eines Auftragsverarbeiters in der Union keine weitere territoriale Anknüpfung zum Recht der Union und der Mitgliedstaaten besteht.32 Für die Begründung der Anwendbarkeit der DSGVO käme es dann nicht mehr auf eine Verbindung des datenschutzrechtlich Verantwortlichen selbst zum Gebiet der Union oder der Mitgliedstaaten an. Dieses Ergebnis muss aus der Perspektive des Verantwortlichen außerhalb der Union überraschen, der personenbezogene Daten von Personen ohne inhaltlichen Bezug zur Union verarbeitet. Warum soll etwa ein Verantwortlicher in den USA, der im Zweifel zufällig Dienste eines Auftragsverarbeiters oder eines Unterauftragsverarbeiters in der Union nutzt, für die Verarbeitung dieser personenbezogenen Daten europäisches Datenschutzrecht beachten müssen? Richtigerweise ist der Wortlaut des Art. 3 Abs. 1 DSGVO daher so zu verstehen, dass die Anwendbarkeit der DSGVO auf Verantwortliche und Auftragsverarbeiter separat bestimmt werden und Vorschriften der DSGVO auf den Auftragsverarbeiter in der Union Anwendung findet, soweit dieser Adressat datenschutzrechtlicher Pflichten ist.33 Die Beauftragung eines Auftragsverarbeiters in der Union führt jedoch nicht zur Anwendbarkeit der DSGVO auf den Verantwortlichen außerhalb der Union, der personenbezogene Daten ohne inhaltlichen Bezug zur Union durch diesen Auftragsverarbeiter verarbeiten lässt.34
14
Für diese Ansicht sprechen die Entstehungsgeschichte des Art. 3 Abs. 1 DSGVO und die Regelungsintention des europäischen Gesetzgebers.35 Nach Art. 4 Abs. 1 DSRl war die Anwendbarkeit des Datenschutzrechts primär nach dem Sitz des Verantwortlichen zu bestimmen. Verantwortliche außerhalb der Union mussten europäisches Datenschutzrecht nur beachten, soweit sie dies im Rahmen einer Niederlassung in der Union taten. Mit der Regelung in Art. 3 Abs. 1 DSGVO sollten die Anforderungen zur Anwendbarkeit des europäischen Datenschutzrechts aus der Google/Spain-Entscheidung des EuGH36 umgesetzt werden und auch Verarbeitungen mit Verbindung zu einer Niederlassung in der Union vom Anwendungsbereich des europäischen Datenschutzrechts erfasst werden. Eine darüber hinausgehende Begründung exterritorialer Anwendbarkeit der DSGVO war aber gerade nicht bezweckt.37 Eine exterritoriale Anwendbarkeit der DSGVO würde zudem im Konflikt mit dem völkerrechtlichen Verbot exterritorialer Herrschaftsausübung stehen,38 indem ein Sachverhalt geregelt würde, der keine inhaltliche Verbindung zum Territorium der Union hat. Art. 3 Abs. 1 DSGVO ist daher so auszulegen, dass eine Verletzung des Territorialitätsgrundsatzes vermieden wird, indem nur die Pflichten des Auftragsverarbeiters in der Union in den Anwendungsbereich der DSGVO fallen. Diese Auslegung entspricht zudem dem kollisionsrechtlichen Grundsatz der Vermeidung von Anwendungskonflikten.39 Würde die Anwendbarkeit der DSGVO auf diese Fälle erstreckt, wären Anwendungskonflikte mit dem lokalen und sachnäheren Datenschutzrecht des Orts der Niederlassung des Verantwortlichen vorprogrammiert.
15
Gegen die exterritoriale Anwendbarkeit spricht auch die fehlende Pflicht zur Bestimmung eines Inlandsvertreters gemäß Art. 27 Abs. 1 DSGVO, die in diesem Fall für den Verantwortlichen gerade nicht besteht. Nur in den Fällen des Art. 3 Abs. 2 DSGVO muss der Verantwortliche in einem Drittland diesen nämlich bestellen.40 Der Inlandsvertreter ist gemäß Art. 27 Abs. 4 DSGVO Anlaufstelle für die Aufsichtsbehörden in Fragen der Durchsetzung der DSGVO gegen Verantwortliche in Drittstaaten. Die fehlende Pflicht zur Bestellung des Inlandsvertreters ist ein klares Indiz, das gegen den inhaltlichen Geltungsanspruch des Datenschutzrechts spricht. Für die hier vertretene Auslegung spricht zudem die Reichweite des europäischen Grundrechtsschutzes, der gemäß Art. 1 Abs. 2 DSGVO zentrale Zweckbestimmung der DSGVO ist (siehe Art. 2 Rn. 13ff.). Der Grundrechtsschutz ergibt sich im Wesentlichen aus der GRCh. Betroffene außerhalb der Union können sich auf europäische Grundrechte jedoch nicht berufen, wenn der Sachverhalt keine direkte Verbindung zum Territorium der Union hat.41 In dem Beispiel der Verarbeitung personenbezogener Daten von Personen ohne inhaltlichen Bezug zur Union könnten diese sich nicht auf den europäischen Grundrechtsschutz berufen. In diesem Beispiel und ähnlich gelagerten Fällen spricht die Zweckbestimmung der DSGVO gegen ihre exterritoriale Anwendung.
III. Verarbeitung ohne Niederlassung in der Union (Abs. 2)
16
Die DSGVO findet für die Verarbeitung personenbezogener Daten unter den Voraussetzungen gemäß Art. 3 Abs. 2 DSGVO auch auf Verantwortliche und Auftragsverarbeiter Anwendung, die keine Niederlassung in der Union haben (sog. Marktortprinzip). Die Anknüpfung an den Marktort zur kollisionsrechtlichen Bestimmung des anwendbaren Datenschutzrechts ist ein Novum des europäischen Datenschutzrechts, das zu einer erheblichen Ausweitung des Anwendungsbereichs des europäischen Datenschutzrechts führt. Die DSRl sah statt der Anknüpfung an den Marktort ein strenges Territorialitätsprinzip vor.42 Verantwortliche außerhalb der Union, die keine Niederlassung in der Union hatten, fielen nur bei der Nutzung von automatisierten oder nicht automatisierten Mitteln in der Union in den Anwendungsbereich des europäischen Datenschutzrechts (vgl. Art. 4 Abs. 1 lit. c DSRl).43 Mit dem Marktortprinzip wird sichergestellt, dass Unternehmen, die keine Niederlassung in der Union haben und dennoch am europäischen Binnenmarkt teilnehmen, an die Anforderungen des europäischen Datenschutzrechts gebunden sind.44
1. Völkerrechtliches Verbot exterritorialer Wirkung
17
Aufgrund des völkerrechtlichen Verbots der exterritorialen Wirkung staatlichen Handelns45 muss die Erstreckung des Anwendungsbereichs der DSGVO für Verantwortliche außerhalb der Union auf Fälle eingeschränkt werden, die eine unmittelbare Verbindung zum Territorium der Union haben. Diese Voraussetzung ist erfüllt, wenn Personen betroffen sind, die sich in der Union befinden.46 Hinreichend ist der jedenfalls vorübergehende Aufenthalt in der Union, ohne dass es auf den Wohnsitz ankommt.47 Der Schutz der DSGVO erstreckt sich also auf Unionsbürger, Nichtunionsbürger und Staatenlose gleichermaßen.48 Die Anforderung des Verbots exterritorialer Wirkung wird in Art. 3 Abs. 2 lit. a und b DSGVO umgesetzt. Die DSGVO gilt danach, wenn der Verantwortliche personenbezogene Daten verarbeitet, um Waren oder Dienstleistungen an Betroffene in der Union anzubieten (Art. 3 Abs. 2 lit. a DSGVO) oder wenn er das Verhalten von Betroffenen in der Union beobachtet (Art. 3 Abs. 2 lit. b DSGVO).
2. Keine Niederlassung in der Union
18
Art. 3 Abs. 2 DSGVO findet nur Anwendung, soweit der Verantwortliche oder Auftragsverarbeiter keine Niederlassung in der Union hat. Erfolgt die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union, ergibt sich die Anwendbarkeit der DSGVO aus Art. 3 Abs. 1 DSGVO. Hat der Verantwortliche eine Niederlassung in der Union, erfolgt die Verarbeitung personenbezogener Daten von Personen in der Union allerdings nicht im Rahmen der Tätigkeit dieser Niederlassung, sondern im Zusammenhang mit der Tätigkeit einer Niederlassung oder dem eingetragenen Sitz außerhalb der Union, findet die DSGVO weder nach dem Wortlaut von Art. 3 Abs. 1 DSGVO, noch nach Art. 3 Abs. 2 DSGVO Anwendung, auch wenn die übrigen Voraussetzungen gemäß Art. 3 Abs. 2 lit. a und b DSGVO erfüllt wären. Diese Schutzlücke ist durch den Gesetzgeber offensichtlich nicht gewollt und durch Auslegung der Norm zu schließen. Die territoriale Anwendbarkeit der DSGVO ist durch den Gesetzgeber bewusst weit gefasst, um Schutzlücken zu vermeiden. Der Begriff „nicht in der Union niedergelassen“ ist daher teleologisch erweitert zu verstehen, sodass alle Verantwortlichen und Auftragsverarbeiter in Drittstaaten erfasst werden, die im Rahmen der Tätigkeiten in diesem Drittstaat personenbezogenen Daten von Betroffenen in der Union verarbeiten.49 Auch eine Betrachtung des im Wortlaut ähnlichen Art. 4 Abs. 1 lit. c DSRl spricht für diese Auslegung, indem „nicht in dem Gebiet der Gemeinschaft niedergelassen“ so verstanden wurde, dass eine bestehende aber irrelevante Niederlassung die Anwendbarkeit nicht ausschließen kann.50
3. Angebot von Waren oder Dienstleistungen in der Union (Abs. 2 lit. a)
19
Soweit ein Verantwortlicher oder ein Auftragsverarbeiter Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbietet und in diesem Zusammenhang personenbezogene Daten verarbeitet, findet die DSGVO Anwendung.
20
Eine Legaldefinition der Begriffe Ware und Dienstleistung ergibt sich aus der DSGVO nicht. Zur Bestimmung des Begriffs der Waren im Sinn des Art. 3 Abs. 2 lit. a DSGVO kann zunächst auf den Warenbegriff nach dem Verständnis der Warenverkehrsfreiheit gemäß Art. 28ff. AEUV zurückgegriffen werden.51 Waren sind danach bewegliche, körperliche Gegenstände sowie Gas und elektrischer Strom, soweit diese ein geldwertes und handelbares Erzeugnis sind, das Gegenstand von Handelsgeschäften sein kann.52 Waren im Sinn dieser Definition fallen auch unter den Begriff im Sinne des Art. 3 Abs. 2 lit. a DSGVO. Nach dem Zweck des Art. 3 DSGVO, einen umfassenden Betroffenenschutz zu gewährleisten, ist der datenschutzrechtliche Warenbegriff aber weiter zu verstehen, als der Warenbegriff gemäß Art. 28ff. AEUV.53 Um Schutzlücken zu vermeiden, müssen etwa auch nicht-körperliche Erzeugnisse vom Warenbegriff im Sinne des Art. 3 Abs. 2 lit. a DSGVO umfasst werden, wie Software, die per Download vertrieben wird oder Münzen, die nicht vom Warenbegriff des Art. 28ff. AEUV erfasst sind.54
21
Nach Art. 57 AEUV sind Dienstleistungen Leistungen, die in der Regel gegen Entgelt erbracht werden. Beispielhaft listet Art. 57 AEUV gewerbliche, kaufmännische, handwerkliche und freiberufliche Tätigkeiten auf. Anders als der Begriff in Art. 57 AEUV ist der Dienstleistungsbegriff gemäß Art. 3 Abs. 2 lit. a DSGVO nicht auf entgeltliche Leistungen beschränkt55 und damit weiter, als die Definition in Art. 57 AEUV. Die in Art. 57 AEUV genannten Tätigkeiten sind aber als Teilmenge auch im Dienstleistungsbegriff der DSGVO enthalten. Darüber hinaus sind weitere Leistungen erfasst, die nicht mit einem Entgelt vergütet werden, wie kostenlose E-Mailing-Dienste, Soziale Netzwerke, Suchmaschinen, Cloud-basierte Softwarelösungen oder Gewinnspiele. Für Anbieter dieser Dienstleistungen, erweitert sich der datenschutzrechtliche Pflichtenrahmen im Vergleich zur DSRl erheblich. Sie fallen in den Anwendungsbereich der DSGVO und müssen sämtliche datenschutzrechtlichen Pflichten erfüllen, etwa die Verzeichnisse von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO führen oder unter den Voraussetzungen gemäß Art. 37 DSGVO einen Datenschutzbeauftragten bestellen (siehe Art. 37 Rn. 1ff.).56
22
An die Rechtsprechung des EuGH zur Anwendbarkeit von Art. 15 Abs. 1 lit. c Brüssel I-VO anknüpfend,57 ist für die Frage, ob ein Angebot an Personen in der Union vorliegt, zu prüfen, ob der Dienstleister erkennbar offensichtlich beabsichtigt, Waren oder Dienstleistungen Personen in der Union anzubieten. Der Vertrieb von Waren und Dienstleistungen über das Internet ist ein Hauptanwendungsfall von Art. 3 Abs. 2 lit. a, darauf aber nicht beschränkt. Im Fall des Vertriebs über eine Webseite ist die bloße Zugänglichkeit der Webseite des Dienstleisters zur Begründung der Anwendbarkeit der DSGVO allein nicht hinreichend.58 Hinzutreten müssen weitere Anhaltspunkte, wie die Verwendung der lokalen Sprache oder Währung eines Mitgliedstaates oder die gezielte Ansprache von Nutzern in der Union,59 die Verwendung einer Top-Level-Domain der Union (.eu) oder eines Mitgliedstaates (z.B. .de, .fr, .dk),60 die Verwendung lokaler Vorwahlnummern,61 die ausdrückliche Benennung von einem oder mehreren Mitgliedstaaten im Zusammenhang mit der angebotenen Ware oder Dienstleistung,62 die gezielte Förderung des Zugriffs auf die Webseite aus der Union etwa durch regionale AdWords-Kampagnen,63 Anfahrtsbeschreibungen zum Ort der Leistungserbringung aus einem oder mehreren Mitgliedstaaten64 und die Veröffentlichung von Kundenbewertungen mit der Herkunftsangabe aus einem Mitgliedstaat.65 Gegenteilige Indizwirkung soll hingegen einer erhöhten Versandpauschale oder deutlich verlängerten Lieferzeiten für Bestellungen aus der Union zukommen.66 Diese Kriterien zur Bewertung der Ausrichtung eines Angebots können aber nicht formalistisch angewendet werden. Erforderlich ist vielmehr eine wertende und gewichtende Interpretation. Wird etwa eine europäische Sprache verwendet, die auch Sprache am Sitz des Verantwortlichen ist, so ist dies allein kein hinreichendes Indiz für die Ausrichtung des Angebots auf die Union.67 Die Verwendung einer europäischen Sprache, die nicht Sprache am Sitz des Verantwortlichen ist, wäre hingegen ein starkes Indiz für ein Angebot an Personen in der Union. Allgemein gegen die Ausrichtung auf den europäischen Markt soll die Verwendung einer nicht-europäischen Sprache sprechen.68 Richtigerweise wird man dies aber ebenfalls nur als starkes Indiz berücksichtigen können.
23
Für das Anbieten von Waren oder Dienstleistungen kommt es nicht darauf an, ob dafür ein Vertrag geschlossen wird.69 Damit wird dem Umstand Rechnung getragen, dass zahlreiche (Online-)Geschäftsmodelle nicht auf ihrer Entgeltlichkeit beruhen, sondern der „Bezahlung“ mit Nutzerdaten und deren wirtschaftlichen Verwertung durch den Anbieter, etwa zur gezielten Vermarktung von Werbeflächen. Dass Daten als Entgeltsurrogat zur Verfügung gestellt werden, ist aber nicht im Sinne eines Umkehrschlusses dieser Ratio erforderlich.70 Internetsachverhalte, insbesondere das Anbieten von Waren oder Dienstleistungen im Netz bilden den klassischen Anwendungsfall, Art. 3 Abs. 2 lit. a DSGVO ist darauf aber nicht beschränkt. Erfasst werden aus der analogen Welt etwa Datenverarbeitungen im Zusammenhang mit telefonischen Angeboten oder papiergebundenen Angeboten.71
24
Ein Disclaimer, dass Waren nicht an Empfänger in der Union versendet werden, verbunden mit einer entsprechenden Umsetzung des Disclaimers, kann die Anwendbarkeit der DSGVO gemäß Art. 3 Abs. 2 lit. a DSGVO für Verantwortliche in Drittstaaten ausschließen.72
4. Beobachtung von Personen in der Union (Abs. 2 lit. b)
25
Die Beobachtung des Verhaltens natürlicher Personen in der Union durch Verantwortliche oder Auftragsverarbeiter, insbesondere in Form des Profilings (siehe Art. 22 Rn. 15ff.) fallen in den Anwendungsbereich der DSGVO. Der Begriff der Verhaltensbeobachtung ist in der DSGVO nicht legaldefiniert. Einem allgemeinen Begriffsverständnis folgend, fallen unter den Begriff des Verhaltens sämtliche menschliche Aktivitäten, unabhängig davon, ob diese bewusst oder unbewusst erfolgen. Beobachten ist das zielgerichtete Sammeln von Erkenntnissen. Nach einer Ansicht setze der Begriff des Beobachtens eine gewisse Dauer und Intensität voraus.73 Diese Ansicht überzeugt für die Anknüpfung des territorialen Anwendungsbereichs der DSGVO aber nicht. Auch kurzfristige Maßnahmen können nämlich zu erheblichen Beeinträchtigungen der Grundrechte führen und müssen im Hinblick auf das Ziel des umfassenden Grundrechtsschutzes vom Anwendungsbereich der DSGVO erfasst werden. Das beobachtete Verhalten muss in der Union erfolgen, um den Anwendungsbereich der DSGVO gemäß Art. 3 Abs. 2 lit. b DSGVO zu eröffnen. Die Betroffenen müssen sich also physisch in der Union befinden. Art. 3 Abs. 2 lit. b DSGVO knüpft nicht an die Unionsbürgerschaft im Sinne von Art. 9 EUV, die Staatsbürgerschaft eines Mitgliedstaats oder den gewöhnlichen Aufenthalt in der Union an. Erfasst und geschützt werden neben Unionsbürgern damit alle Personen, die sich im Zeitpunkt der Beobachtung in der Union aufhalten. Dieser Aufenthalt kann auch nur von kurzer Dauer sein.74
26
Anders als für Art. 3 Abs. 2 lit. a DSGVO ist es jedenfalls nach dem Wortlaut nicht erheblich, ob die Beobachtung von Personen in der Union im Sinne einer Ausrichtung auf den Marktort bezweckt ist.75 Damit würden auch Sachverhalte erfasst, die praktisch keinen inhaltlichen Bezug zur Union haben. In Online-Sachverhalten etwa, würde die bloße Aufrufbarkeit einer Webseite zur Anwendbarkeit der DSGVO führen. Dies würde praktisch zu einer Weltgeltung der DSGVO führen. Dieses Verständnis des Art. 3 Abs. 2 lit. a DSGVO würde im Widerspruch zur Rechtsprechung des EuGH zur exterritorialen Anwendbarkeit des europäischen Datenschutzrechts76 sowie im Konflikt zum völkerrechtlichen Verbot exterritorialer Herrschaftsausübung stehen.77 Dass eine so weit gehende Regelung vom europäischen Gesetzgeber nicht beabsichtigt war, ergibt sich zudem aus der wesentlich höherschwelligen Verpflichtung zur Bestellung eines Inlandsvertreters gemäß Art. 27 Abs. 1 DSGVO. Diese besteht nicht, wenn die Verarbeitung nur gelegentlich erfolgt, keine besonderen Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen betroffen sind und keine Gefahr für die Rechte und Freiheiten der Betroffenen besteht. Art. 3 Abs. 2 lit. b DSGVO ist daher einschränkend auszulegen, indem Sachverhalte ohne inhaltlichen Bezug zur Union nicht erfasst werden. Gegen die exterritoriale Anwendbarkeit der DSGVO spricht zudem Art. 1 Abs. 2 DSGVO, der den Grundrechtsschutz als zentrale Zweckbestimmung der DSGVO benennt (siehe Art. 1 Rn. 13ff.). Der Grundrechtsschutz ergibt sich im Wesentlichen aus der GRCh. Betroffene außerhalb der Union können sich auf europäische Grundrechte nicht berufen, wenn der Sachverhalt keine direkte Verbindung zum Territorium der Union hat.78
27
Art. 3 Abs. 2 lit. b DSGVO zielt im Besonderen auf Internetaktivitäten ab, insbesondere, soweit diese geeignet sind, natürliche Personen zu profilieren und anhand des Profils Vorlieben, Verhaltensweisen oder Gepflogenheiten der betroffenen Person zu analysieren oder vorherzusagen.79 Hiervon wird das Webtracking erfasst,80 etwa mittels Cookies,81 Browser Fingerprints, Social-Media-Plug-Ins82 oder anderer Methoden. Der Zweck der Verhaltensbeobachtung ist nicht erheblich.83 Erfasst werden etwa die Verhaltensbeobachtung zu Zwecken der Marktforschung,84 zum Scoring,85 zur wissenschaftlichen Forschung86 oder zur technischen Systemanalyse. Für Online-Sachverhalte ist neben der Feststellung der territorialen Anwendbarkeit der DSGVO die Abgrenzung des sachlichen Anwendungsbereichs im Verhältnis zur ePrivacy-Richtlinie bzw. deren Umsetzung im mitgliedstaatlichen Recht zu beachten und deren Anwendungsvorrang.
28
Auch, wenn in ErwG 24 für Art. 3 Abs. 2 lit. b DSGVO ein enger Bezug zu Online-Sachverhalten hergestellt wird, ist die Norm darauf nicht beschränkt.87 Der Wortlaut der Norm umfasst auch Offline-Sachverhalte. Zudem spricht der bezweckte umfassende Grundrechtsschutz gegen eine einschränkende Auslegung. In den Anwendungsbereich der DSGVO fällt damit auch die Beobachtung von Personen in der Union außerhalb des Internets, auch wenn die Anwendungsfälle in der Praxis begrenzt sein dürften. Denkbar wäre die Anwendung der DSGVO etwa auf den Einsatz von Aufklärungsdrohnen oder Satelliten.
29
In den Anwendungsbereich der DSGVO können unter den Voraussetzungen von Art. 3 Abs. 2 lit. b DSGVO auch Tätigkeiten der Behörden von Drittstaaten fallen,88 etwa wenn diese eine Webseite mit Informationen und Kontaktmöglichkeiten für Personen in der Union enthalten und das Verhalten der Nutzer auf der Webseite analysieren,89 oder wenn auf andere Weise Informationen zur Beobachtung von Betroffenen in der Union gesammelt werden.
5. Kritik am Marktortprinzip
30
An der Konzeption des Marktortprinzips wird kritisiert, dass es trotz seiner herausragenden Bedeutung für Verantwortliche außerhalb der Union inhaltlich nicht hinreichend präzise gefasst sei.90 So enthalte Art. 3 Abs. 2 DSGVO neue Begrifflichkeiten, die nicht näher definiert oder in den Gesetzgebungsmaterialien erläutert würden.91 Zudem führe das Marktortprinzip zu Anwendungskonflikten für international tätige Verantwortliche, die im Zweifel eine Vielzahl von Datenschutzrechten beachten müssten und so hohe Kosten für Rechtsinformationen zu tragen hätten.92 Schließlich gehe die exterritoriale Erstreckung des Datenschutzrechts mit einem Vollstreckungsdefizit gegenüber Verantwortlichen in Drittländern einher.93 Diese Kritikpunkte sind inhaltlich nicht von der Hand zu weisen, beruhen aber auf einer bewussten Entscheidung des europäischen Gesetzgebers zum umfassenden Schutz der Grundrechte der Bürger der Union94 und sind somit für die Rechtsanwendung hinzunehmen.
31
Die Umsetzung des Marktortprinzips in Art. 3 Abs. 2 DSGVO ist im Detail unscharf und klärungsbedürftig. Das Marktortprinzip als solches ist aber ein geeigneter Kompromiss zwischen den möglichen Anknüpfungspunkten Sitz des Verantwortlichen einerseits und Herkunft oder Wohnort des Betroffenen andererseits.95 Die exklusive Anknüpfung am Sitz des Verantwortlichen birgt nämlich die Gefahr des Forum Shoppings, die Anknüpfung an der Herkunft des Betroffenen hingegen die Gefahr der ungerechtfertigten Erfassung von Auslandssachverhalten und der Schaffung von Anwendungskonflikten etwa für Online-Sachverhalte aufgrund der Ubiquität des Internets.96
6. Beauftragung von Auftragsverarbeitern in Drittstaaten
32
Spiegelbildlich zur Frage der Anwendbarkeit der DSGVO für Verantwortliche in Drittstaaten, die Auftragsverarbeiter in der Union beauftragen (siehe Rn. 13ff.), stellt sich die Frage, ob die Beauftragung eines Auftragsverarbeiters im Drittland durch einen Verantwortlichen im Anwendungsbereich der DSGVO für den Auftragsverarbeiter zur Anwendbarkeit der DSGVO führen kann. Dabei gilt, dass die Anwendbarkeit der DSGVO auf den Verantwortlichen nicht automatisch zur Anwendbarkeit der DSGVO für den Auftragsverarbeiter führt. Die reflexartige Erstreckung der Anwendung der DSGVO auf Auftragsverarbeiter in diesem Fall würde den Anwendungsbereich der DSGVO in völkerrechtlich kritischer Weise auf Drittsaaten erstrecken,97 wenn kein hinreichend erkennbarer Zusammenhang zum Wirkungskreis der Union besteht. Die Frage der Anwendbarkeit der DSGVO ist daher für Verantwortlichen und Auftragsverarbeiter jeweils separat zu bestimmen.98 Die Kriterien gemäß Art. 3 Abs. 2 lit. a und b passen dabei nur bedingt für die Tätigkeit von Auftragsverarbeitern in Drittstaaten. Bietet ein Auftragsverarbeiter seine Dienstleistungen nämlich Personen in der Union an (Art. 3 Abs. 2 lit. a) und verarbeitet er dabei personenbezogene Daten, erfolgt diese Verarbeitung nämlich gerade nicht im Auftrag, sondern zu eigenen Zwecken. Für Auftragsverarbeiter läuft die Regelung in Art. 3 Abs. 2 lit. a damit praktisch leer. Der Auftragsverarbeiter ist insoweit nämlich selbst Verantwortlicher.99 Das gilt in ähnlicher Weise auch für das Kriterium der Beobachtung von Personen in der Union, das in Einzelfällen durch den Auftragsverarbeiter im Auftrag erfüllbar sein mag,100 das Gros praxisrelevanter Fälle jedoch nicht löst.
33
Geboten ist daher eine Beschränkung der Anwendbarkeit der DSGVO für Auftragsverarbeiter in Drittsaaten, die in Übereinstimmung mit dem völkerrechtlichen Territorialitätsgrundsatz steht und die Anwendbarkeit der DSGVO für Auftragsverarbeiter in Drittsaaten vorhersehbar macht. Für die Anwendbarkeit der DSGVO auf Auftragsverarbeiter in Drittstaaten ist daher erforderlich, dass die Verarbeitung „zielgerichtet“ in einem inneren Zusammenhang zur Union steht.101 Dann sind den Auftragsverarbeiter adressierende Regelungen der DSGVO auch für Auftragsverarbeiter in Drittstaaten anwendbar. Dieses Abgrenzungskriterium bedarf weiterer Schärfung durch Rechtsprechung und Literatur, ermöglicht aber heute schon eine angemessene Bestimmung des Anwendungsbereichs der DSGVO für Auftragsverarbeiter in Drittstaaten. Danach findet die DSGVO keine Anwendung auf einen globalen Hosting-Dienst-Anbieter, dessen Dienst (zufällig) auch von Verantwortlichen in der Union genutzt wird. Für den Anbieter eines für den europäischen Markt optimierten Trackingtools findet die DSGVO hingegen Anwendung.
IV. Völkerrechtliche Vorgaben (Abs. 3)
34
Die DSGVO gilt auch außerhalb der Union, soweit der Ort der Niederlassung des Verantwortlichen aufgrund des Völkerrechts dem Recht eines Mitgliedstaates unterliegt. Ob die Datenverarbeitung auch an diesem Ort erfolgt, ist wie für Art. 3 Abs. 1 und Abs. 2 DSGVO nicht relevant.102 Damit ist insbesondere die Datenverarbeitung durch Auslandsvertretungen vom Anwendungsbereich der DSGVO erfasst.103 Dies sind insbesondere diplomatische und konsularische Vertretungen der Mitgliedstaaten in Staaten außerhalb der Union.104 Extraterritoriale Anwendbarkeit der DSGVO kann sich darüber hinaus auch für Schiffe oder Flugzeuge ergeben.105
V. Geltung der DSGVO im EWR
35
Die DSGVO ist ein Rechtsakt mit Bedeutung für den EWR. Gemäß Art. 7 lit. a des EWR-Abkommens sind alle EWR-Staaten verpflichtet, die DSGVO innerstaatlich zu übernehmen. Neben den Mitgliedstaaten der Union gilt daher auch für die EFTA-Staaten Island, Liechtenstein und Norwegen eine Inkorporationspflicht. Um die Anwendbarkeit der DSGVO auf die EFTA-Staaten zu erstrecken, muss diese in das EWR-Abkommen aufgenommen werden.106 Dies erfolgt gemäß Art. 102 Abs. 1 EWR-Abkommen, indem die Union den gemeinsamen EWR-Ausschuss informiert und dieser den Rechtsakt prüft und im Anschluss durch Beschluss in das EWR-Abkommen inkorporiert. Der Prozess zur Inkorporation von Unionsrecht umfasst fünf Phasen.107 Die DSGVO wurde in der ersten Phase als EFTA-relevant eingestuft und wird aktuell in der zweiten Phase von den EFTA-Staaten geprüft. Innerhalb dieser Prüfung geben die drei Mitgliedstaaten Stellungnahmen zu erforderlichen Anpassungen und der verfassungsrechtlichen Relevanz ab. Die Stellungnahmen werden dem Gemischten Ausschuss vorgelegt, der einen Entwurf zur Umsetzung verfasst und diesen dem Europäischen Parlament übergibt (dritte Phase). In der vierten Phase erfolgt eine erneute Prüfung und sofern keine Einwände erhoben werden, kann dann in der fünften Phase der finale Beschluss zur Inkorporation durch den Gemeinsamen-EWR-Ausschuss gefasst werden.
VI. Kollisionsrecht
36
Der weit gefasste Anwendungsbereich des europäischen Datenschutzrechts und die Erfassung von Verantwortlichen außerhalb der Union im Rahmen des Marktortprinzips gemäß Art. 3 Abs. 2 DSGVO bedeutet für diese eine parallele Anwendung des europäischen Datenschutzrechts, des lokalen Datenschutzrechts108 und ggf. weiterer Datenschutzregime. Daneben stellt sich die Frage, wie mit Kollisionen zwischen den mitgliedstaatlichen Datenschutzrechten im Rahmen der Öffnungsklauseln umgegangen wird.
1. Kollision mit drittstaatlichem Datenschutzrecht
37
Die Ausweitung des Anwendungsbereichs des europäischen Datenschutzrechts durch das Marktortprinzip geht mit der Begründung paralleler Regelungsregime einher. Diese kristallisieren sich etwa in der Frage, ob US-Cloud-Anbieter im Anwendungsbereich des europäischen Datenschutzrechts personenbezogene Daten von Verantwortlichen in der Union herausgeben müssen, weil sie dazu aufgrund des US-Sicherheitsrechts verpflichtet sind.109 Für diese kollisionsrechtliche Frage gibt es eine dogmatische Lösung, nämlich die Anwendung des Rechts nach den Regelungen des eigenen Kollisionsrechts. Der europäische Rechtsanwender würde entsprechend der Regelung in Art. 3 Abs. 1 oder Abs. 2 DSGVO die DSGVO anwenden, der US-amerikanische Rechtsanwender die Regelungen des US-Sicherheitsrechts. In der Praxis führt dies für Verantwortliche und Auftragsverarbeiter zu erheblichen praktischen Problemen, für die es in der DSGVO keine Lösung gibt. Insbesondere können die Parteien diesen Konflikt nicht durch Rechtswahl lösen. Gemäß Art. 3 Abs. 1 Satz 1 Rom-I-VO ist eine Rechtswahl nämlich auf das für einen schuldrechtlichen Vertrag anwendbare Recht beschränkt. Die Parteien können aber nicht von den Voraussetzungen gemäß Art. 3 DSGVO abweichende Regelungen zum anwendbaren Datenschutzrecht treffen.110 Art. 3 DSGVO ist nämlich eine Eingriffsnorm im Sinne des Art. 9 Abs. 1 Rom-I-VO, die gemäß Art. 9 Abs. 2 Rom-I-VO nicht zur Disposition der Vertragsparteien steht.
38
Dieses Dilemma lässt sich für den Normadressaten im Zweifel nicht angemessen lösen, da zwei Rechtsordnungen für sich Geltung beanspruchen und die Frage der anzuwendenden Regelung von dem angerufenen Gericht oder der angerufenen Stelle abhängt. Für Verantwortliche und Auftragsverarbeiter läuft dies häufig auf die Entscheidung zwischen zwei nicht gewollten Alternativen hinaus. Sie können den Anwendungskonflikt vermeiden und damit den Anforderungen beider Rechtsordnungen entsprechen, indem sie den Dienstleister nicht beauftragen oder einen Prozess nicht in einen Staat außerhalb der Union auslagern. Alternativ kann man den Konflikt mit einer Rechtsordnung zulasten des Konflikts mit der anderen Rechtsordnung lösen. Soweit dies als pragmatisches Vorgehen bezeichnet wird,111 ist es im Ergebnis nur eine Umschreibung für einen Rechtsbruch, der aufgrund höher bewerteter Geschäftsinteressen im Rahmen einer wirtschaftlichen Risikobewertung in Kauf genommen wird.
2. Kollision mitgliedstaatlicher Datenschutzgesetze
39
Die DSGVO enthält keine Art. 4 DSRl vergleichbaren Kollisionsregelungen für Anwendungskonflikte zwischen mitgliedstaatlichen Datenschutzgesetzen, die im Rahmen der Öffnungsklauseln erlassen wurden.112 Territoriale Anwendungskonflikte zwischen mitgliedstaatlichen Datenschutzgesetzen sind aber nicht ausgeschlossen, sodass sich die Frage nach deren Auflösung stellt. Dafür sollte zunächst geklärt werden, ob mitgliedstaatliche Regelungen vom Rahmen der Öffnungsklauseln erfasst sind. Soweit dies nicht der Fall ist, besteht ein Anwendungskonflikt mit der DSGVO, der stets zur Anwendbarkeit der DSGVO führt. Soweit die mitgliedstaatliche Regelung sich im Rahmen der Öffnungsklausel befindet, muss im nächsten Schritt nach dem mitgliedstaatlichen Datenschutzrecht die territoriale Anwendbarkeit geklärt werden (zur deutschen Regelung siehe § 1 BDSG Rn. 25ff.).113 Für eine direkte oder analoge Anwendung des Art. 3 DSGVO besteht – jedenfalls aus der Perspektive des deutschen Rechts – keine Notwendigkeit.114 Ebenfalls bedarf es keiner fortgesetzten Anwendung der Regelungen gemäß Art. 4 DSRl.115
1 ErwG 23; Albrecht, CR 2016, 88, 90; Piltz, K&R 2016, 557, 558. 2 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 4. 3 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 3; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 30. 4 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 31; Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 131. 5 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 3; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 32. 6 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 33. 7 Piltz, in: Gola, DS-GVO, Art. 3 Rn. 4. 8 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 4. 9 EuGH, 13.5.2014 – Rs. C-131/12, Rn. 49 – Google/Spain; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 9. 10 Dazu EuGH, 1.10.2015 – Rs. C-230/14, Rn. 29 – Weltimmo; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 9; Piltz, K&R 2016, 557, 558. 11 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 3. 12 ErwG 22. 13 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 7; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 10. 14 EuGH, 1.10.2015 – Rs. C-230/14 – Weltimmo; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 8. 15 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 42. 16 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 44. 17 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 7; Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 19f. 18 EuGH, 1.10.2015 – Rs. C-230/14, Rn. 33 – Weltimmo. 19 EuGH, 24.9.2019 – Rs. C-507/17, Rn. 49 – Google vs CNIL. 20 Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 20; Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 22f.; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 19. 21 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 8; a.A. Bergmann/Möhrle/Herb, Datenschutzrecht, Art. 3 Rn. 10. 22 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 7; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 46. 23 EuGH, 28.7.2016 – Rs. C-191/15, Rn. 76 – Verein für Konsumenteninformation; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 12. 24 Piltz, in: Gola, DS-GVO, Art. 3 Rn. 13. 25 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 38. 26 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 45. 27 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 45. 28 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 8; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 17. 29 EuGH, 13.5.2014 – Rs. C-131/12 – Google/Spain; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 15. 30 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 55. 31 Piltz, in: Gola, DS-GVO, Art. 3 Rn. 19. 32 So Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 12; wohl auch Hoffmann, ZD-Aktuell 2017, 05488; zur Beauftragung von Auftragsverarbeitern in Drittstaaten durch Verantwortliche im Anwendungsbereich der DSGVO siehe Rn. 32f. 33 Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 34. 34 Freund, in: Schuster/Grützmacher, Kommentar zum IT-Recht, Art. 28 DSGVO Rn. 53f.; Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 33; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 38; im Ergebnis ebenfalls: Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 12. 35 Diese Ähnlichkeit für die Auslegung auch heraushebend Rauer/Ettig, in: Wybitul, DSGVO, Art. 3 Rn. 1; zwar stellt Art. 4 Abs. 1 lit. a DSRl vielmehr eine Kollisionsnorm zwischen den Mitgliedstaaten selbst dar, dieses ist jedoch ausschließlich dem Regelungsmittel als Richtlinie geschuldet und ist vom Regelungsziel ähnlich. 36 EuGH, 13.5.2014 – Rs. C-131/12, Rn. 32ff. – Google/Spain. 37 EuGH, 13.5.2014 – Rs. C-131/12, Rn. 32ff. – Google/Spain. 38 StIGH, 10 7.9.1927 – P.C.I.J., Series A – No. 10 – Rn. 45 – S.S. Lotus; ausführlich dazu Ipsen, Völkerrecht, § 5 Rn. 59ff. 39 Dazu Funken, Das Anerkennungsprinzip im internationalen Privatrecht, S. 269f. 40 Dies außer Acht lassend Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 12; ebenso wohl auch Bergmann/Möhrle/Herb, Datenschutzrecht, Art. 3 DSGVO Rn. 12. 41 EGMR, 10.5.2001 – Nr. 25781/94, Rn. 75ff., 135ff. – Zypern v. Türkei; EGMR, 8.4.2004 – Nr. 71503/01, Rn. 138f. – Assanidze v. Georgia; Jarass, in: Jarass, GRCh, Art. 51 Rn. 39. 42 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 15. 43 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 15. 44 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 12; Klar, DuD 2017, 533. 45 StIGH, 107.9.1927 – P.C.I.J., Series A – No. 10 – Rn. 45 – S.S. Lotus; ausführlich dazu Ipsen, Völkerrecht, § 5 Rn. 59ff., Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 172f. 46 Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 25f.; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 14. 47 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 16. 48 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 16. 49 Dazu ohne inhaltliche Festlegung: Piltz, in: Gola, DS-GVO, Art. 3 Rn. 35; Piltz, K&R 2016, 557, 559; Hoffmann, ZD-Aktuell 2017, 05488. 50 Art.-29-Datenschutzgruppe, Stellungnahme 8/2010 zum anwendbaren Recht, WP 179, S. 24, die auch nach der Google/Spain-Entscheidung sich zu Recht nur bestätigt sahen, Art.-29-Datenschutzgruppe, Update of Opinion 8/2010, WP 179 update, S. 6f. 51 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 76f. 52 Herrmann, in: Grabitz/Hilf/Nettesheim, Das Recht der Europäischen Union, Art. 28 AEUV Rn. 40; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 76f. 53 Herrmann, in: Grabitz/Hilf/Nettesheim, Das Recht der Europäischen Union, Art. 28 AEUV Rn. 41; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 79; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 17. 54 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 79. 55 ErwG 23; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 6; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 17. 56 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 88. 57 Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 18. 58 ErwG 23; Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 16; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 28. 59 ErwG 23; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 83; Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6; Uecker, ZD 2019, 67, 69. 60 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 84; Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 18. 61 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 14; Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 18. 62 Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6. 63 Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6. 64 Svantesson, in: Kuner/Bygrave/Docksey, GDPR, Art. 3 C. 6. 65 Brauneck, in: EuZW 2019, 494, 497; Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 32. 66 Schlender, in: Gierschmann/Schlender/Stentzel/Veil, DSGVO, Art. 3 Rn. 23. 67 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 16; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 87; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 30. 68 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 16. 69 Piltz, in: Gola, DS-GVO, Art. 3 Rn. 27; Piltz, K&R 2016, 557, 559. 70 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 17. 71 Piltz, in: Gola, DS-GVO, Art. 3 Rn. 29; Schwartmann/Jaspers/Thüsing/Kugelmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 3 Rn. 32. 72 Ennöckel, in: Sydow, EU-Datenschutzgrundverordnung, Art. 3 Rn. 13; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 82. 73 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 94f. 74 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 64. 75 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 23. 76 EuGH, 7.12.2010 – Rs. C-585/08, C-144/09, C-324/09 – Pammer/Hotel Alpenhof. 77 StIGH, 107.9.1927 – P.C.I.J., Series A – No. 10 – Rn. 45 – S.S. Lotus; ausführlich dazu Ipsen, Völkerrecht, § 5 Rn. 59ff. 78 EGMR, 10.5.2001 – Nr. 25781/94, Rn. 75ff., 135ff. – Zypern v. Türkei; EGMR, 8.4.2004 – Nr. 71503/01, Rn. 138f. – Assanidze v. Georgia; Jarass, in: Jarass, GRCh, Art. 51 Rn. 39. 79 ErwG 24. 80 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 98; Zerdick, in: Ehmann/Selmayr, DS-GVO, Art. 3 Rn. 19. 81 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 98; Piltz, K&R 2016, 557, 559; Schantz, NJW 2016, 1841, 1842. 82 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 98; Schantz, NJW 2016, 1841, 1842. 83 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 84 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 85 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 86 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 20. 87 Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 58; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 31; a.A. Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 92. 88 Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 2; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 25; Schlender, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 3 Rn. 24. 89 Ratsdokument, 27.3.2013, 8004/13, S. 50, Fn. 59; Piltz, in: Gola, DS-GVO Art. 3 Rn. 25. 90 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 11. 91 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 11. 92 Klar, DuD 2017, 533, 534; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 11. 93 Piltz, in: Gola, DS-GVO, Art. 3 Rn. 26; Schlender, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 3 Rn. 29; Hanloser, in: Wolff/Brink, BeckOK DatenschutzR, Art. 3 Rn. 46. 94 Siehe dazu Ratsdokument, 4.12.2012, 16529/12, Fn. 47. 95 Klar, DuD 2017, 533, 535; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 18. 96 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 18. 97 Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 223f. 98 Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 32. 99 Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 54; Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 117f. 100 Dazu Voigt, Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, S. 121f. 101 Vgl. EDPB Leitlinien 3/2018, S. 24f. 102 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 103. 103 ErwG 25; Schlender, in: Gierschmann/Schlender/Stenzel/Veil, DSGVO, Art. 3 Rn. 25. 104 Ernst, in: Paal/Pauly, DS-GVO BDSG, Art. 3 Rn. 21. 105 Hornung, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 3 Rn. 66. 106 Zum Verfahren der Inkorporation siehe auch Piltz, BDSG, § 1 Rn. 56ff.; Voigt, CR 2020, 315, 316. 107 Zur Kurzdarstellung des Verfahrenshergangs siehe Note by Subcommittee V, 23.5.2013, Ref. 1113623, S. 2; im Detail geregelt in der Verordnung (EG) Nr. 2894/94 des Rates über die Modalitäten der Durchführung des EWR-Abkommens, ABl. L 305, 30.11.1994, S. 6. 108 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 3. 109 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 26. 110 EuGH, 28.7.2016 – Rs. C-191/15, Rn. 45ff.; Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 105; Laue, ZD 2016, 463, 466f.; Piltz, in: Gola, DS-GVO, Art. 3 Rn. 38 und 42; Piltz, K&R 2012, 640, 641. 111 von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 26. 112 Dazu Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 107; Laue, ZD 2016, 463, 464; von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 27ff.; Piltz, in: Gola, DS-GVO Art. 3 Rn. 37; Piltz, K&R 2016, 557, 559. 113 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 108. 114 Klar, in: Kühling/Buchner, DS-GVO BDSG, Art. 3 Rn. 108; Laue, ZD 2016, 463, 464. 115 So aber von Lewinski, in: Auernhammer, DSGVO BDSG, Art. 3 Rn. 28.
Art. 4 Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
3. „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
5. „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;
6. „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
9. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, denen personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
10. „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;
11. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
12. „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;
13. „genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden;
14. „biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;
15. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
16. „Hauptniederlassung“
1 a) im Falle eines Verantwortlichen mit Niederlassungen in mehr als einem Mitgliedstaat den Ort seiner Hauptverwaltung in der Union, es sei denn, die Entscheidungen hinsichtlich der Zwecke und Mittel der Verarbeitung personenbezogener Daten werden in einer anderen Niederlassung des Verantwortlichen in der Union getroffen und diese Niederlassung ist befugt, diese Entscheidungen umsetzen zu lassen; in diesem Fall gilt die Niederlassung, die derartige Entscheidungen trifft, als Hauptniederlassung;
2 b) im Falle eines Auftragsverarbeiters mit Niederlassungen in mehr als einem Mitgliedstaat den Ort seiner Hauptverwaltung in der Union oder, sofern der Auftragsverarbeiter keine Hauptverwaltung in der Union hat, die Niederlassung des Auftragsverarbeiters in der Union, in der die Verarbeitungstätigkeiten im Rahmen der Tätigkeiten einer Niederlassung eines Auftragsverarbeiters hauptsächlich stattfinden, soweit der Auftragsverarbeiter spezifischen Pflichten aus dieser Verordnung unterliegt;
17. „Vertreter“ eine in der Union niedergelassene natürliche oder juristische Person, die von dem Verantwortlichen oder Auftragsverarbeiter schriftlich gemäß Artikel 27 bestellt wurde und den Verantwortlichen oder Auftragsverarbeiter in Bezug auf die ihnen jeweils nach dieser Verordnung obliegenden Pflichten vertritt;
18. „Unternehmen“ eine natürliche oder juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen;
19. „Unternehmensgruppe“ eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht;
20. „verbindliche interne Datenschutzvorschriften“ Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein im Hoheitsgebiet eines Mitgliedstaats niedergelassener Verantwortlicher oder Auftragsverarbeiter verpflichtet im Hinblick auf Datenübermittlungen oder eine Kategorie von Datenübermittlungen personenbezogener Daten an einen Verantwortlichen oder Auftragsverarbeiter derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem oder mehreren Drittländern;
21. „Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige staatliche Stelle;
22. „betroffene Aufsichtsbehörde“ eine Aufsichtsbehörde, die von der Verarbeitung personenbezogener Daten betroffen ist, weil
1 a) der Verantwortliche oder der Auftragsverarbeiter im Hoheitsgebiet des Mitgliedstaats dieser Aufsichtsbehörde niedergelassen ist,
2 b) diese Verarbeitung erhebliche Auswirkungen auf betroffene Personen mit Wohnsitz im Mitgliedstaat dieser Aufsichtsbehörde hat oder haben kann oder
3 c) eine Beschwerde bei dieser Aufsichtsbehörde eingereicht wurde;
23. „grenzüberschreitende Verarbeitung“ entweder
1 a) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten von Niederlassungen eines Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat erfolgt, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat niedergelassen ist, oder
2 b)eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten einer einzelnen Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann;
24. „maßgeblicher und begründeter Einspruch“ einen Einspruch im Hinblick darauf, ob ein Verstoß gegen diese Verordnung vorliegt oder nicht oder ob die beabsichtigte Maßnahme gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit dieser Verordnung steht, wobei aus diesem Einspruch die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen und gegebenenfalls den freien Verkehr personenbezogener Daten in der Union ausgehen;
25. „Dienst der Informationsgesellschaft“ eine Dienstleistung im Sinne des Artikels 1 Nummer 1 Buchstabe b der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates;1
26. „internationale Organisation“ eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde.
Mit der Norm korrespondieren die Erwägungsgründe 15, 24, 26, 28–31, 34–37.
Literatur: Albrecht, Biometrische Verfahren im Spannungsfeld von Authentizität im elektronischen Rechtsverkehr und Persönlichkeitsschutz, Baden-Baden 2003; Arning/Moos, Big Data bei verhaltensbezogener Online-Werbung – Programmatic Buying und Real Time Advertising, ZD 2014, 242; Baumgartner/Hansch, Onlinewerbung und Real-Time-Bidding, ZD 2020, 435; Bechtolf/Vogt, Blockchain und Datenschutz – Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 – Innovationen aus den rechtswissenschaftlichen Laboren, Edewecht 2017, S. 873; Bergt, Die Bestimmbarkeit als Grundproblem des Datenschutzrechts – Überblick über den Theorienstreit und Lösungsvorschlag, ZD 2015, 365; Bierekoven, Anmerkung zu BGH, 16.5.2017 – VI ZR 135/13, NJW 2017, 2416; Bierekoven, Auftragsverarbeitung, Joint Controllership und kleines Konzernprivileg, ITRB 2017, 282; Biltzinger, Biometrie und Datenschutz, DuD 2005, 726; Böhm/Halim, Cookies zwischen ePrivacy und DS-GVO – was gilt?, MMR 2020, 651; Breyer, Personenbezug von IP-Adressen – Internetnutzung und Datenschutz, ZD 2014, 400; Brink/Eckhardt, Wann ist ein Datum ein personenbezogenes Datum? – Anwendungsbereich des Datenschutzrechts, ZD 2015, 205; Buchner, Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD 2016, 155; Callies/Ruffert, EUV/AEUV, 5. Aufl., München 2016; Casper, Klarnamenpflicht versus Recht auf pseudonyme Nutzung, ZRP 2015, 233; Creifelds, Rechtswörterbuch, 22. Aufl., München 2017; Dieterich, Canvas Fingerprinting – Rechtliche Anforderungen an neue Methoden der Nutzerprofilerstellung, ZD 2015, 199; Dotzler, Datenschutzrechtliche Aspekte und der Einsatz biometrischer Systeme in Unternehmen, Köln 2010; Dovas, Joint Controllership – Möglichkeiten oder Risiko der Datennutzung, ZD 2016, 512; Dregelies, Wohin laufen meine Daten?, VuR 2017, 256; Dreier/Schulze, Urheberrechtsgesetze, 5. Aufl., München 2015; Düwell/Brink, Beschäftigtendatenschutz nach der Umsetzung der Datenschutz-Grundverordnung: Viele Änderungen und wenig Neues, NZA 2017, 1081; Eckhardt, Anwendungsbereich des Datenschutzrechts – Geklärt durch den EuGH?, CR 2016, 786; Eckhardt, DS-GVO: Anforderungen an die Auftragsverarbeitung als Instrument zur Einbindung Externer, CCZ 2017, 111; Eckhardt/Kramer, DSGVO – Diskussionspunkte aus der Praxis, DuD 2013, 287; Ehmann/Kranig, Fünf nach zwölf im Datenschutz, ZD 2018, 199; Ehrig/Glatzner, Kreditscoring nach der Datenschutz-Grundverordnung, PinG 2016, 211; Ernst, Social Plugins: Der „Like-Button“ als datenschutzrechtliches Problem, NJOZ 2010, 1917; Eschholz, Big Data-Scoring unter dem Einfluss der Datenschutz-Grundverordnung, DuD 2017, 180; Ettig/Herbrich, Wird’s besser, wird’s schlimmer? – Online-Marketing zwei Jahre nach Wirksamwerden der DSGVO, K&R 2020, 719; Faust/Spittka/Wybitul, Milliardenbußgelder nach der DS-GVO? – Ein Überblick über die neuen Sanktionen bei Verstößen gegen den Datenschutz, ZD 2016, 120; Föhlisch/Pilous, Der Facebook Like-Button – datenschutzkonform nutzbar?, MMR 2015, 631; Forgó/Kollek/Arning/Krügel/Petersen, Ethical and Legal Requirements for Transnational Genetic Research, München/Oxford/Portland 2010; Franzen/Gallner/Oetker (Hrsg.), Kommentar zum europäischen Arbeitsrecht, 3. Aufl., München 2020; Gola, Der „neue“ Beschäftigtendatenschutz nach § 26 BDSG n.F., BB 2017, 1462; Gounalakis/Mand, Die neue EG-Datenschutzrichtlinie – Grundlagen einer Umsetzung in nationales Recht (I), CR 1997, 431; Grabitz/Hilf/Nettesheim, Das Recht der Europäischen Union, 71. EL, München 2020; Hansen/Struwe, Speicherung von IP-Adressen zur Abwehr von Cyberattacken zulässig, GRUR-Praxi 2016, 503; Härting, Anonymität und Pseudonymität im Datenschutzrecht, NJW 2013, 2065; Härting, Auftragsverarbeitung nach der DSGVO, ITRB 2016, 137; Härting, Big Data und Profiling nach der DSGVO, ITRB 2016, 9; Herbst, Was sind personenbezogene Daten?, NVwZ 2016, 902; Heyer, Datenschutzverantwortlichkeiten bei Insolvenzbekanntmachungen, in: Specht-Riemenschneider/Buchner/Heinze/Thomsen (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt/M. 2020, S. 179; Hoeren, Richtlinienkonforme Auslegung von § 15 Abs. 1 TMG, WUB 2017, 606; Hofmann, Anforderungen aus DS-GVO und NIS-RL an das Cloud Computing, ZD-Aktuell 2017, 05488; Hofmann/Johannes, Anleitung zur autonomen Auslegung des Personenbezugs, ZD 2017, 221; Hornung/Wagner, Anonymisierung als datenschutzrelevante Verarbeitung?, ZD 2020, 223; Hullen, Anonymisierung und Pseudonymisierung in der Datenschutz-Grundverordnung, PinG 2015, 210; Immenga/Mestmäcker, Wettbewerbsrecht, 5. Aufl., München 2012; Jandt, Weiterhin keine Rechtsklarheit für Cookies auf Webseiten, ZD 2020, 551; Janicki, Unzulänglichkeiten im Konzept der datenschutzrechtlichen Verantwortlichkeit, in: Specht-Riemenschneider/Buchner/Heinze/Thomsen (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt/M. 2020, S. 197; Johannes, Pokémon, Augmented Reality und die Verschleierung von Positionsdaten, ZD-Aktuell 2016, 05321; Karg, Anonymität, Pseudonyme und Personenbezug revisited?, DuD 2015, 520; Karg, Die Rechtsfigur des personenbezogenen Datums – Ein Anachronismus des Datenschutzes, ZD 2012, 255; Kartheuser/Gilsdorf, EuGH: Dynamische IP-Adressen können personenbezogene Daten sein, MMR-Aktuell 2016, 382533; Keppeler, „Objektive Theorie“ des Personenbezugs und „berechtigtes Interesse“ als Untergang der Rechtssicherheit?, CR 2016, 360; Keppeler/Berning, Die Bußgeldrisiken nach Art. 83 der Datenschutz-Grundverordnung – auch ein Risiko für den Jahresabschluss?!, DStR 2018, 91; Kipker/Kubis, Dynamische IP-Adresse als personenbezogenes Datum für Online-Mediendienstanbieter, MMR 2017, 605; Klas/Möhrke-Sobelewski, Digitaler Nachlass – Erbenschutz trotz Datenschutz, NJW 2015, 3473; Knopp, Pseudonym – Grauzone zwischen Anonymisierung und Personenbezug, DuD 2015, 527; Kollmar/Schirmbacher, Kommentar zu BGH, Urteil vom 28.5.2020, I ZR 7/16, WRP 2020, 1015; Kremer, Künstliche Intelligenz als (gemeinsam) Verantwortlicher oder Auftragsverarbeiter unter der DSGVO?, in: Specht-Riemenschneider/Buchner/Heinze/Thomsen (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt/M. 2020, S. 251; Kring/Marosi, Ein Elefant im Porzellanladen – Der EuGH zu Personenbezug und berechtigtem Interesse, K&R 2016, 773; Krohm, Abschied vom Schriftformgebot der Einwilligung – Lösungsvorschläge und künftige Anforderungen, ZD 2016, 368; Kroschwald, Verschlüsseltes Cloud Computing – Auswirkungen der Kryptografie auf den Personenbezug in der Cloud, ZD 2014, 75; Krügel, Das personenbezogene Datum nach der DS-GVO, ZD 2017, 455; Kühling/Klar, Anmerkung zu EuGH, 19.10.2016 – Rs. C-582/14 – Breyer, ZD 2017, 24; Lachenmann, Künstliche Intelligenz im Gesundheitswesen, in: Specht-Riemenschneider/Buchner/Heinze/Thomsen (Hrsg.), IT-Recht in Wissenschaft und Praxis, Festschrift für Jürgen Taeger, Frankfurt/M. 2020, S. 271; Lauber-Rönsberg/Hartlaub, Personenbildnisse im Spannungsfeld zwischen Äußerungs- und Datenschutzrecht, NJW 2017, 1057; Leeb, Kommentar zu LG Berlin, 17.12.2015 – 20 O 172/15, K&R 2016, 139; v. Lewinski, Datenschutzaufsicht in Europa als Netzwerk, NVwZ 2017, 1483; Lissner, Auftragsdatenverarbeitung nach der DSGVO – Was kommt, was bleibt?, in: Taeger (Hrsg.), Smart World – Smart Law? Weltweite Netze mit regionaler Regulierung, Edewecht 2016, S. 401; Mantz/Spittka, Anmerkung zu EuGH, 19.10.2016 – Rs. C-582/14 – Breyer, NJW 2016, 3579; Marnau, Anonymisierung, Pseudonymisierung und Transparenz für Big Data, DuD 2016, 428; Martini/Weinzierl, Die Blockchain-Technologie und das Recht auf Vergessenwerden, NVwZ 2017, 1251; Matejek/Mäusezahl, Gewöhnliche vs. sensible personenbezogene Daten, ZD 2019, 551; Moos, Datenschutz- und Datennutzungsverträge, 2. Aufl., Köln 2018; Moos, Datenschutz und Datennutzung, 3. Aufl., Köln 2021; Moos/Arning/Schefzig, Daten als Geschäftsmodell, K&R Beihefter 3/2015; Moos/Rothkegel, Anmerkung zu EuGH, 19.10.2016 – Rs. C-582/14 – Breyer, MMR 2016, 842; Moos/Rothkegel, Anmerkung zu EuGH, 1.10.2019 – C-673/17 – Planet49, MMR 2019, 736; Moos/Schefzig/Arning (Hrsg.), Praxishandbuch DSGVO, 2. Aufl., Frankfurt am Main, 2021; Müller, IT-Sicherheit mit System, 6. Aufl., Wiesbaden 2018; Müthlein, ADV 5.0 – Neugestaltung der Auftragsdatenverarbeitung in Deutschland, RDV 2016, 74; Paschke/Halder, Fortgeltung der Privilegierung für Journalisten nach dem KUG, jurisPR-ITR 15/2018 Anm. 3; Petermann/Sauter, Biometrische Identifikationssysteme, TAB Arbeitsbericht Nr. 76; Piltz, Die Datenschutz-Grundverordnung – Teil 1: Anwendungsbereich, Definitionen und Grundlagen der Datenverarbeitung, K&R 2016, 557; Remmertz, Aktuelle Entwicklungen im Social Media-Recht, MMR 2018, 507; Remmertz, DSGVO ante portas: Aktuelle Brennpunkte im Online-Marketing, GRUR-Prax 2018, 254; Reuter, Umgang mit sensiblen Daten bei allgemeiner Videoüberwachung, ZD 2018, 564; Roßnagel, Datenschutzaufsicht nach der EU-Datenschutz-Grundverordnung, Wiesbaden 2017; Roßnagel/Kroschwald, Was wird aus der Datenschutzgrundverordnung?, ZD 2014, 495; Roßnagel/Nebel/Richter, Was bleibt vom Europäischen Datenschutzrecht? Überlegungen zum Ratsentwurf der DS-GVO, ZD 2015, 455; Roßnagel/Scholz, Datenschutz durch Anonymität und Pseudonymität – Rechtsfolgen der Verwendung anonymer und pseudonymer Daten, MMR 2000, 721; Rothkegel/Strassemeyer, Joint Control in European Data Protection Law – How to make Sense of the CJEU’s Holy Trinity, CRi 2019, 161; Säcker/Rixecker/Oetker/Limperg (Hrsg.), Münchener Kommentar zum Bürgerlichen Gesetzbuch, 8. Aufl., München 2020; Sander/Schumacher/Kühne, Weitergabe von Arbeitnehmerdaten in Unternehmenstransaktionen, ZD 2017, 105; Schaar, Die informierte Einwilligung als Voraussetzung für die (Nach-)nutzung von Forschungsdaten, RatSWD Working Paper 264; Schantz, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Schefzig, Big Data = Personal Data? Der Personenbezug von Daten bei Big Data-Analysen, K&R 2014, 772; Schefzig, „State of the Art“ – Datenschutzorganisation, in: Taeger (Hrsg.), Recht 4.0 – Innovationen aus den rechtswissenschaftlichen Laboren, Edewecht 2017, S. 43; Schleipfer, Datenschutzkonformes Webtracking nach Wegfall des TMG, ZD 2017, 460; Schmidt/Freund, Perspektiven der Auftragsverarbeitung, ZD 2017, 14; Schreiber, Speichern von dynamischen IP-Adressen zur Abwehr von Cyberangriffen, GRUR-Prax 2017, 333; Schumacher, OTT-Dienste und Telekommunikationsrecht, K&R 2015, 771; Schwartmann/Weiß, Whitepaper zur Pseudonymisierung der Fokusgruppe Datenschutz, Version 1.0 2017; Solmecke/Köbrich/Schmitt, Der digitale Nachlass – haben Erben einen Auskunftsanspruch? Überblick über den rechtssicheren Umgang mit den Daten von Verstorbenen, MMR 2015, 291; Specht, Reformbedarf des Kunsturheberrechts im digitalen Zeitalter, MMR 2017, 577; Spindler, Big Data und Forschung mit Gesundheitsdaten in der gesetzlichen Krankenversicherung, MedR 2016, 691; Stiemerling/Hartung, Datenschutz und Verschlüsselung, CR 2012, 60; Stürmer, Löschen durch Anonymisieren?, ZD 2020, 626; Sundermann, Fotografien von Menschenansammlungen nach der DSGVO, K&R 2018, 438; Taeger, Verbot des Profiling nach Art. 22 DS-GVO und die Regulierung des Scoring ab Mai 2018, RDV 2017, 3; Taeger/Schwede, Die gemeinsam mit anderen Erklärungen erteilte Einwilligung, ZD 2020, 124; Thüsing, Beschäftigtendatenschutz und Compliance, 2. Aufl., Bonn 2014; Veddel/Heintschell von Heinegg (Hrsg.), Europäisches Unionsrecht, 2. Aufl., Zürich 2018; Voigt, Internationale Anwendbarkeit des deutschen Datenschutzrechts, ZD 2014, 15; Voigt/Alich, Facebook-Like-Button und Co. – Datenschutzrechtliche Verantwortlichkeit der Webseitenbetreiber, NJW 2011, 3541; Voigt/Skistims, Kommentar zu EuGH, 19.10.2016 – Rs. C-582/14 – Breyer, BB 2016, 2830; Wandtke/Bullinger, Praxiskommentar zum Urheberrecht, 5. Aufl., München 2019; Weber/Voigt, Internationale Auftragsdatenverarbeitung – Praxisempfehlungen für die Auslagerung von IT-Systemen in Drittstaaten mittels Standardvertragsklauseln, ZD 2011, 74; Weichert, Car-to-Car-Communication zwischen Datenbegehrlichkeit und digitaler Selbstbestimmung, SVR 2016, 361; Weinhold, EuGH: Dynamische IP-Adresse ist personenbezogenes Datum – Folgen der Entscheidung für die Rechtsanwendung, ZD-Aktuell 2016, 05366; Wójtowicz/Cebulla, Anonymisierung nach der DSGVO, PinG 2017, 186; Wybitul, EU-Datenschutz-Grundverordnung im Unternehmen, Praxisleitfaden, Frankfurt/M. 2016; Wybitul, Der neue Beschäftigtendatenschutz nach § 26 BDSG-neu – was Arbeitgeber und Beschäftigte über den geplanten Datenschutz am Arbeitsplatz wissen sollten, ZD-Aktuell 2017, 05483; Zeidler/Brüggemann, Die Zukunft personalisierter Werbung im Internet, CR 2014, 248; Ziebarth/Elsaß, Neue Maßstäbe für die Rechtmäßigkeit der Nutzung von Personenbildnissen in der Unternehmenskommunikation?, ZUM 2018, 578; Ziegenhorn, Anmerkung zu EuGH, 19.10.2016 – Rs. C-582/14 – Breyer, NVwZ 2017, 213.
Übersicht
| Rn. | |
| I. Allgemeines | 1 |
| II. Personenbezogene Daten (Nr. 1) | 2 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 2 |
| 2. Informationen | 5 |
| 3. Personenbezug | 8 |
| a) Personenbezogene Daten/Sachdaten | 10 |
| b) Natürliche/Betroffene Person | 15 |
| aa) Juristische Personen | 16 |
| bb) Verstorbene/Ungeborene | 18 |
| c) Identifizierte bzw. identifizierbare Person | 22 |
| aa) Identifizierte Person | 24 |
| bb) Identifizierbare Person | 30 |
| d) Foto- und Videoaufnahmen/Abgrenzung zum KUG | 40 |
| e) Anonyme Daten | 47 |
| f) Pseudonyme Daten | 55 |
| III. Verarbeitung (Nr. 2) | 56 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 56 |
| 2. Allgemeine Definition der Verarbeitung | 60 |
| a) Ausgeführte(r) Vorgang/Vorgangsreihe | 62 |
| b) Mit oder ohne Hilfe automatisierter Verfahren | 63 |
| c) Im Zusammenhang mit personenbezogenen Daten | 66 |
| d) Verarbeitungswille | 67 |
| 3. Beispiele für Verarbeitungsformen | 68 |
| a) Das Erheben personenbezogener Daten (1. Alt.) | 70 |
| b) Das Erfassen personenbezogener Daten (2. Alt.) | 73 |
| c) Die Organisation personenbezogener Daten (3. Alt.) | 74 |
| d) Das Ordnen personenbezogener Daten (4. Alt.) | 75 |
| e) Die Speicherung personenbezogener Daten (5. Alt.) | 76 |
| f) Die Anpassung personenbezogener Daten (6. Alt.) | 77 |
| g) Die Veränderung personenbezogener Daten (7. Alt.) | 78 |
| h) Das Auslesen personenbezogener Daten (8. Alt.) | 79 |
| i) Das Abfragen personenbezogener Daten (9. Alt.) | 80 |
| j) Die Verwendung personenbezogener Daten (10. Alt.) | 81 |
| k) Die Offenlegung personenbezogener Daten (11. Alt.) | 83 |
| aa) Übermittlung | 88 |
| bb) Verbreitung | 92 |
| cc) Andere Form der Bereitstellung | 93 |
| l) Der Abgleich personenbezogener Daten (12. Alt.) | 95 |
| m) Die Verknüpfung personenbezogener Daten (13. Alt.) | 96 |
| n) Die Einschränkung der Verarbeitung (14. Alt.) | 97 |
| o) Das Löschen personenbezogener Daten (15. Alt.) | 98 |
| p) Die Vernichtung personenbezogener Daten (16. Alt.) | 105 |
| IV. Einschränkung der Verarbeitung (Nr. 3) | 106 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 106 |
| 2. Begriff der Einschränkung der Verarbeitung | 109 |
| a) Inhalt | 109 |
| b) Rechtsfolgen | 112 |
| c) Mittel zur Umsetzung der Einschränkung der Verarbeitung | 113 |
| V. Profiling (Nr. 4) | 114 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 114 |
| a) Profiling | 114 |
| b) Automatisierte Entscheidungen im Einzelfall einschließlich Profiling | 116 |
| 2. Begriff des Profiling | 118 |
| a) Automatisierte Datenverarbeitung | 119 |
| b) Verarbeitung in Bezug auf personenbezogene Daten | 120 |
| c) Zweck der Datenverarbeitung: Bewertung bestimmter persönlicher Aspekte | 121 |
| VI. Pseudonymisierung (Nr. 5) | 124 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 124 |
| 2. Rechtliche Wirkung und Anreize | 128 |
| 3. Voraussetzung einer wirksamen Pseudonymisierung | 133 |
| a) Zuordnung von Daten ohne Hinzuziehung zusätzlicher Informationen nicht möglich | 135 |
| b) Getrennte Aufbewahrung der zusätzlichen Informationen | 136 |
| c) Gewährleistung der Nichtzuordnung durch technische und organisatorische Maßnahmen | 140 |
| 4. Abgrenzung zur Anonymisierung | 143 |
| 5. Varianten der Pseudonymisierung | 144 |
| a) Beim Verantwortlichen selbst | 145 |
| b) Durch einen Dritten | 146 |
| c) Direkte Erhebung des Pseudonyms | 149 |
| 6. Pseudonymisierungsverfahren | 152 |
| VII. Dateisystem (Nr. 6) | 157 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 157 |
| 2. Merkmale eines Dateisystems | 160 |
| a) Sammlung personenbezogener Daten | 161 |
| b) Struktur | 162 |
| c) Zugänglichkeit nach bestimmten Kriterien | 164 |
| d) Unstrukturierte Erhebung als Vorstufe ausreichend | 168 |
| 3. Ausnahme: § 26 Abs. 7 BDSG | 169 |
| VIII. Verantwortlicher (Nr. 7) | 170 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 172 |
| 2. Mögliche Adressaten | 176 |
| 3. Bestimmung des Verantwortlichen | 180 |
| a) Entscheidungsbefugnis über Zwecke und Mittel der Datenverarbeitung | 181 |
| b) Gegenständlicher Anknüpfungspunkt zur Bestimmung der Verantwortlichkeit | 185 |
| 4. Gemeinsame Verantwortlichkeit/Anderweitige Zusammenarbeit | 188 |
| a) Voraussetzungen einer gemeinsamen Verantwortlichkeit | 191 |
| aa) Grundsätzliches | 191 |
| bb) Bisherige EuGH-Rechtsprechung | 197 |
| cc) Zusammenfassung/Ableitung | 209 |
| b) Übertragbarkeit auf andere Konstellationen/Abgrenzung zur bloßen Zusammenarbeit | 217 |
| c) Rechtsfolgen gemeinsamer Verantwortlichkeit | 222 |
| 5. Delegation datenschutzrechtlicher Verantwortlichkeiten | 223 |
| a) Zwischen rechtlichen Einheiten: Zuweisung des Status als Verantwortlicher | 224 |
| aa) Grundregel: Verantwortung innerhalb des eigenen Einflussbereichs | 226 |
| bb) Zuweisung des Status als Verantwortlicher an eine andere Stelle | 227 |
| cc) Übertragung bestimmter Verantwortlichen-Pflichten auf andere Stellen | 233 |
| b) Innerhalb einer rechtlichen Einheit: Aufbau einer Datenschutz-Organisation | 235 |
| IX. Auftragsverarbeiter (Nr. 8) | 238 |
| 1. Allgemeines/Gesetzessystematischer Zusammenhang | 238 |
| a) Rechtlicher Hintergrund | 238 |
| b) Datenschutzrechtliche Klassifizierung der Auftragsverarbeitung | 239 |
| c) (Gesetzliche) Pflichten und Haftung des Auftragsverarbeiters | 241 |
| 2. Merkmale eines Auftragsverarbeiters bzw. einer Auftragsverarbeitung | 243 |
| a) Person des Auftragsverarbeiters | 246 |
| b) Möglicher Gegenstand einer Auftragsverarbeitung | 248 |
| c) Bestimmung der Zwecke und Mittel der Datenverarbeitung durch den Auftraggeber | 251 |
| d) Weisungsgebundenheit | 254 |
| 3. Notwendigkeit einer (aktiven) Verarbeitung | 257 |
| 4. Auftragsverarbeiter in Drittstaaten | 261 |
| X. Empfänger (Nr. 9) | 262 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 262 |
| 2. Begriff des Empfängers | 264 |
| a) Offenlegung personenbezogener Daten | 265 |
| b) Mögliche Adressaten | 267 |
| aa) Allgemeine Merkmale | 267 |
| bb) Personen oder Stellen innerhalb (der Organisation) des Verantwortlichen | 270 |
| cc) Gemeinsam Verantwortliche | 274 |
| dd) Ausnahme für bestimmte Behörden | 275 |
| XI. Dritter (Nr. 10) | 276 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 276 |
| 2. Begriff des Dritten | 279 |
| a) Auftragsverarbeiter innerhalb/außerhalb der EU bzw. des EWR | 280 |
| b) Personen, die dem Verantwortlichen/Auftragsverarbeiter zuzurechnen sind | 281 |
| aa) Unselbstständige Filialen, Zweigstellen und Betriebe | 283 |
| bb) Mitarbeitervertretungen und betriebliche Datenschutzbeauftragte | 284 |
| cc) Unternehmen innerhalb einer Unternehmensgruppe. | 286 |
| dd) Gemeinsam Verantwortliche | 287 |
| c) Ausnahme: Personen unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters | 288 |
| XII. Einwilligung (Nr. 11) | 291 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 291 |
| a) Funktion der Einwilligung | 291 |
| b) Einwilligung nach Art. 2 lit. h DSRl | 292 |
| c) Weitere Anforderungen an die Einwilligung in anderen Vorschriften der DSGVO | 293 |
| d) Entwicklung der Definition im Rahmen des Gesetzgebungsprozesses | 294 |
| 2. Begriff der Einwilligung | 297 |
| a) Anforderungen an den Inhalt der Einwilligung | 302 |
| aa) Freiwilligkeit der Einwilligung | 302 |
| bb) Bestimmtheit der Einwilligung | 325 |
| cc) Informiertheit der Einwilligung | 335 |
| b) Formale Anforderungen der Einwilligung | 348 |
| aa) Erteilung durch die betroffene Person | 348 |
| bb) Unmissverständliche Erteilung der Einwilligung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung/Form der Einwilligung | 349 |
| cc) Einwilligungsfähigkeit | 359 |
| c) Zeitpunkt und Wirksamkeitsdauer der Einwilligung | 360 |
| XIII. Verletzung des Schutzes personenbezogener Daten (Nr. 12) | 365 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 365 |
| 2. Merkmale einer Verletzung des Schutzes personenbezogener Daten | 366 |
| a) Verletzung der Sicherheit | 368 |
| b) Mögliche Verletzungserfolge | 373 |
| aa) Integritätsschutz (Vernichtung, Verlust, Veränderung) | 374 |
| bb) Unbefugte Kenntnisnahme (Offenlegung, Zugang) | 377 |
| XIV. Genetische Daten (Nr. 13) | 380 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 380 |
| 2. Begriff der genetischen Daten | 384 |
| XV. Biometrische Daten (Nr. 14) | 390 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 390 |
| 2. Begriff der biometrischen Daten | 391 |
| a) Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen der betroffenen Person | 394 |
| b) Ermöglichung bzw. Bestätigung der eindeutigen Identifizierung der betroffenen Person | 395 |
| c) Rohdaten und Templates | 398 |
| XVI. Gesundheitsdaten (Nr. 15) | 399 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 399 |
| 2. Begriff der Gesundheitsdaten | 404 |
| a) Allgemeine Voraussetzungen | 404 |
| b) Beispiele für Gesundheitsdaten | 405 |
| c) Nummern, Symbole und Kennzeichen | 410 |
| d) Zweck der Verarbeitung von Gesundheitsdaten, Tatsachen, Prognosen, Wahrscheinlichkeiten und Vermutungen | 411 |
| e) Mittelbare Gesundheitsinformationen | 412 |
| f) Mischdatensätze | 417 |
| XVII. Hauptniederlassung (Nr. 16) | 418 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 418 |
| 2. Begriff der Niederlassung | 421 |
| 3. Bestimmung der Hauptniederlassung im Falle eines Verantwortlichen | 423 |
| a) Bestimmungsregeln/zu berücksichtigende Faktoren | 423 |
| b) Designation durch Verantwortlichen/Grenzfälle | 426 |
| c) Einzelnes Verarbeitungsverfahren als Anknüpfungspunkt | 428 |
| d) Bestimmung der Zwecke und Mittel durch außerhalb der EU ansässige Stelle | 430 |
| 4. Bestimmung der Hauptniederlassung im Falle eines Auftragsverarbeiters | 431 |
| 5. Organisatorische Gestaltungsmöglichkeiten | 432 |
| XVIII. Vertreter (Nr. 17) | 434 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 434 |
| 2. Merkmale des Vertreters | 437 |
| XIX. Unternehmen (Nr. 18) | 440 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 440 |
| 2. Merkmale der Definition | 442 |
| 3. Erweiterter Unternehmensbegriff bei der Bußgeldbemessung | 445 |
| XX. Unternehmensgruppe (Nr. 19) | 448 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 448 |
| 2. Merkmale einer Unternehmensgruppe | 454 |
| 3. Abgrenzung zur Gruppe von Unternehmen | 456 |
| XXI. Verbindliche interne Datenschutzvorschriften (Nr. 20) | 457 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 457 |
| 2. Verbindliche interne Datenschutzvorschriften und internationale Datentransfers | 460 |
| XXII. Aufsichtsbehörde (Nr. 21) | 463 |
| XXIII. Betroffene Aufsichtsbehörde (Nr. 22) | 466 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 466 |
| 2. Merkmale einer betroffenen Aufsichtsbehörde | 470 |
| a) Niederlassung im Mitgliedstaat (Art. 4 Nr. 22 lit. a) | 471 |
| b) Erhebliche Auswirkungen auf Einwohner im Mitgliedstaat (Art. 4 Nr. 22 lit. b) | 475 |
| c) Einreichung einer Beschwerde durch Betroffenen (Art. 4 Nr. 22 lit. c) | 477 |
| XXIV. Grenzüberschreitende Verarbeitung (Nr. 23) | 480 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 480 |
| 2. Merkmale einer grenzüberschreitenden Verarbeitung | 481 |
| a) Niederlassungsprinzip (Art. 4 Nr. 23 lit. a) | 482 |
| b) Marktortprinzip (Art. 4 Nr. 23 lit. b) | 486 |
| XXV. Maßgeblicher und begründeter Einspruch (Nr. 24) | 488 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 488 |
| 2. Merkmale eines maßgeblichen und begründeten Einspruchs | 491 |
| XXVI. Dienst der Informationsgesellschaft (Nr. 25) | 495 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 495 |
| 2. Merkmale des Dienstes der Informationsgesellschaft | 496 |
| a) Dienstleistung | 498 |
| b) In der Regel gegen Entgelt erbracht | 499 |
| c) Im Fernabsatz erbracht | 500 |
| d) Elektronisch erbracht | 501 |
| e) Auf individuellen Abruf eines Empfängers erbracht | 503 |
| XXVII. Internationale Organisation (Nr. 26) | 504 |
| 1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang | 504 |
| 2. Merkmale einer internationalen Organisation | 507 |
I. Allgemeines
1
Art. 4 DSGVO enthält Legaldefinitionen für insgesamt 26 verschiedene, in der DSGVO verwendete Begriffe. Dies stellt eine erhebliche Erweiterung gegenüber der EG-DSRl dar, die in Art. 2 EG-DSRl nur acht Legaldefinitionen enthielt. Diese acht Begriffe werden – teilweise in leicht geänderter Form – auch in der DSGVO definiert. Darüber hinaus definiert die DSGVO noch 18 weitere Begriffe.
II. Personenbezogene Daten (Nr. 1)
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang
2
Gleich die erste Definition des Art. 4 DSGVO von „personenbezogenen Daten“ dürfte als eine der wichtigsten Definitionen in der DSGVO gelten. Personenbezogene Daten sind gemäß Art. 2 Abs. 1 DSGVO nämlich Anknüpfungspunkt für die sachliche Anwendbarkeit der DSGVO.2 Nach Art. 4 Nr. 1 DSGVO sind personenbezogenen Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, die in der DSGVO als „betroffene Person“ bezeichnet wird.
3
Neben dem allgemeinen Kanon der personenbezogenen Daten gibt es unter der DSGVO auch die besonders sensiblen und dementsprechend stärker geschützten Unterkategorien der sog. besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, der personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO und der gegebenenfalls mitgliedstaatsrechtlich besonders geschützten personenbezogenen Beschäftigtendaten im Beschäftigungskontext nach Art. 88 DSGVO.
4
Die Definition der personenbezogenen Daten in Art. 4 Nr. 1 DSGVO unterscheidet sich nur von der Wortwahl und Struktur von den kürzeren, weniger präzisierten Definitionen nach § 3 Abs. 1 BDSG a.F. und Art. 2 lit. a DSRl, inhaltlich stimmen sie jedoch überein.3 Die Arbeitspapiere der Art.-29-Datenschutzgruppe und EuGH-Entscheidungen mit Bezug zur Auslegung des Begriffs der personenbezogenen Daten noch nach der DSRl sind dementsprechend auch unter der DSGVO heranzuziehen.4
2. Informationen
5
Die DSGVO geht in Art. 4 Nr. 1 für die personenbezogene Daten zugrunde liegenden Informationen von einem sehr weiten, weil unbeschränkten Verständnis des Informationsbegriffs aus („alle Informationen“).5 Dies war bereits unter § 3 Abs. 1 BDSG a.F. der Fall, wenn auch dort noch von Einzelangaben statt Informationen die Rede war, was inhaltlich jedoch zu keiner Änderung führen dürfte.
6
Unter den Informationsbegriff des Art. 4 Nr. 1 DSGVO fallen sowohl Tatsachen (sog. „objektive“ Informationen; z.B. „X hat diese Saison bereits 20 Tore geschossen“), egal, ob wahr oder bewiesen, als auch Meinungen und Beurteilungen (sog. „subjektive“ Informationen; z.B. Werturteile wie „X ist ein guter Stürmer und ist sein hohes Gehalt wert“ oder Wahrscheinlichkeitswerte).6 Es kommt im Prüfungspunkt der Information auch nicht auf den Aussagegehalt und die persönlichkeitsrechtliche Implikation der Information an, sondern es sind auch vermeintlich belanglose Informationen geschützt.7
7
Der Informationsbegriff ist dabei formneutral (z.B. akustisch, alphabetisch, fotografisch,8 grafisch, numerisch etc.) und unabhängig von der Speicherart (z.B. auf einem Videoband, schriftlich auf Papier, binär auf einer Festplatte, im menschlichen Gewebe9 etc.).10 Die Form der Verarbeitung und die Speicherart spielen lediglich eine Rolle beim sachlichen Anwendungsbereich der DSGVO nach Art. 2 Abs. 1 DSGVO (siehe dazu unten Rn. 56ff.).11
3. Personenbezug
8
Wäre jede Information, ganz gleich welchen Inhalts, von der DSGVO geschützt, würde dies zu einer maximal extensiven Anwendbarkeit der DSGVO und damit zu einem weder zu rechtfertigenden noch zu verkraftenden Aufwand für Datenverarbeiter führen. Von der Definition des Art. 4 Nr. 1 DSGVO sind dementsprechend nur Daten umfasst, die einen Personenbezug im Hinblick auf natürliche Personen aufweisen.
9
Der Personenbezug nach Art. 4 Nr. 1 DSGVO liegt vor, wenn die Information sich auf eine Person und nicht ausschließlich auf Sachen bezieht, die in Bezug genommene Person eine natürliche Person ist und die Person durch den Bezug identifiziert oder identifizierbar ist.12
a) Personenbezogene Daten/Sachdaten
10
Eine Information muss zuvorderst eine Verbindung zu einer natürlichen Person aufweisen. Weist eine Information hingegen ausschließlich Bezüge zu Gegenständen auf (sog. Sachdaten; z.B. „Der hier ausgestellte Computer hat einen Prozessor mit einer Taktfrequenz von 3,4 Gigahertz“), besteht kein Personenbezug nach Art. 4 Nr. 1 DSGVO. In diesem Prüfungspunkt geht es noch nicht darum, ob die konkrete Person hinter der Information wirklich identifizierbar ist (insbesondere durch die jeweils verarbeitende Stelle, vgl. nachfolgend Rn. 33ff.), sondern ob die Information je nach Kontext überhaupt mit natürlichen Personen in Verbindung gebracht werden kann.
11
Nach der Art.-29-Datenschutzgruppe beziehen sich Daten auf Personen, wenn sie die Identität, die Merkmale oder das Verhalten dieser Person betreffen oder wenn sie verwendet werden, um die Art festzulegen oder zu beeinflussen, in der die Person behandelt oder beurteilt wird.13 Sie unterscheidet personenbezogene Daten insofern in solche mit Inhalts- („über“), Zweck- („um“) und Ergebniselementen („auswirken“), wobei mehrere Elemente vorhanden sein können, aber nicht müssen.14
12
Zu beachten ist dabei, dass reine Sachdaten in der Praxis äußerst selten sind. So lassen sich viele Angaben, die sich zwar vordergründig auf Sachen beziehen, je nach Kontext, entsprechender Zuordnung zu einer Person oder durch entsprechendes Zusatzwissen zumindest mittelbar auch auf eine Person beziehen. Die Funktion einer IP-Adresse15 ist beispielsweise, Computer untereinander adressierbar und damit erreichbar zu machen. Eine IP-Adresse ist somit zwar in erster Linie eine Information über eine Sache, nämlich den Computer. Da IP-Adressen in der Regel jedoch von Internetzugangsanbietern an ihre jeweiligen Kunden vergeben werden, können IP-Adressen damit auch durch die Zuweisung an bestimmte Vertragspartner eine Verbindung zu natürlichen Personen aufweisen (zur Identifizierbarkeit des Nutzers anhand der IP-Adresse sogleich unten Rn. 34).16 Weitere Beispiele von sich zwar in der Hauptfunktion auf Sachen beziehende Informationen, die aber potenziell auch einen Personenbezug aufweisen können, sind Cookies,17 Geodaten,18 KfZ-Scheckhefte und Kreditkartennummern.
13
Eine Personenbezogenheit von Daten kann sich auch erst im Zuge deren Verarbeitung ergeben. So können eigentlich (inhaltsleere) sachbezogene Daten so zusammengeführt und kombiniert werden, um einen Personenbezug erst herzustellen.19 Aufgrund dieses Zweckelements handelt es sich um Daten mit Personenbezug.20 Daten mit Ergebniselement haben den Personenbezug weder als Inhalt noch als Zweck, ihre Verarbeitung kann aber Auswirkungen auf die Person haben (z.B. die bei einer Standortüberwachung von Taxis zur Verbesserung der Servicequalität erhobenen Daten, die als ungeplanter Nebeneffekt auch zur Kontrolle der Taxifahrer verwendet werden können).21
14
Auch im Rahmen des Internet of Things-Trends produzieren die miteinander vernetzten Haushaltsgeräte häufig Daten, die grundsätzlich auch einer bestimmten Person, etwa dem jeweiligen Nutzer oder Inhaber des jeweiligen Endgeräts, zugeordnet werden können; Entsprechendes gilt etwa für Telemetriedaten von Fahrzeugen.22
b) Natürliche/Betroffene Person
15
In der Definition der personenbezogenen Daten in Art. 4 Nr. 1 DSGVO ist ausdrücklich festgelegt, dass sich die Information auf eine natürliche Person (also einen Menschen)23 beziehen muss. Die natürliche Person, auf welche sich die Informationen beziehen, wird in Art. 4 Nr. 1 DSGVO beiläufig auch als „betroffene Person“ definiert, was ebenfalls einer der meist gebrauchten Termini in der DSGVO ist, insbesondere im Zusammenhang mit den Betroffenenrechten. Ausweislich ErwG 14 Satz 1 ist das Recht auf den Schutz personenbezogener Daten ein allgemeines Recht, welches unabhängig von der Staatsangehörigkeit und dem Aufenthaltsort der natürlichen Person ist.24
aa) Juristische Personen
16
Daten, die sich ausschließlich auf juristische Personen beziehen, sind nicht nur im Umkehrschluss zu der Begrenzung auf natürliche Personen in Art. 4 Nr. 1 DSGVO, sondern auch explizit nach ErwG 14 Satz 2 keine personenbezogenen Daten. Nach letzterem ErwG sind insbesondere als juristische Person gegründete Unternehmen, einschließlich Name, Rechtsform und Kontaktdaten der juristischen Person, nicht geschützt. Der Begriff der juristischen Person umfasst insofern nicht nur Kapitalgesellschaften, sondern auch Personengesellschaften und Vereine.25 Der Ausschluss von juristischen Personen als Bezugspunkt ist insofern nicht selbstverständlich, als einige Mitgliedstaaten wie Italien, Luxemburg und Österreich nach alter Rechtslage den Anwendungsbereich ihres nationalen Datenschutzrechts zum Teil auch auf juristische Personen ausgeweitet hatten.26 Auch der deutsche Gesetzgeber schützt im Sozialrecht Betriebsgeheimnisse durch das Sozialgeheimnis des § 35 Abs. 4 SGB I i.V.m. § 67 SGB X.27 Im Rahmen des Fernmeldegeheimnisses sind gemäß § 91 Abs. 1 Satz 2 TKG auch Einzelangaben über juristische Personen und Personengesellschaften geschützt, soweit sie mit der Fähigkeit ausgestattet sind, Rechte zu erwerben oder Verbindlichkeiten einzugehen.28 Auch die ePrivacy-Richtlinie (2002/58/EG) sieht in Art. 1 Abs. 2, Art. 12 und 13 die Anwendung einiger Bestimmungen für Teilnehmerverzeichnisse und unerbetene Nachrichten auch auf juristische Personen vor.29
17
Die Ausnahme der Informationen mit Bezug zu juristischen Personen greift im Rahmen des Art. 4 Nr. 1 DSGVO allerdings nur, wenn die Informationen tatsächlich keinerlei Bezug zu natürlichen Personen aufweisen. Es ist nämlich sehr gut möglich, dass eine Information über eine juristische Person durch etwaige Rückschlussmöglichkeiten auf eine dahinterstehende natürliche Person „durchschlägt“. Beispielsweise können aus der finanziellen Situation einer Ein-Mann-GmbH auch Rückschlüsse auf den einzigen Gesellschafter gezogen werden.30 Dies droht generell, wenn der Name der juristischen Person den Namen einer natürlichen Person enthält bzw. sich dieser davon ableiten lässt.31 Auch bei Informationen über E-Mail-Adressen, die ihren Inhaber zwar nicht namentlich ausweisen, jedoch regelmäßig vom gleichen Mitarbeiter verwaltet werden, oder Aussagen über Kleinbetriebe, die in Zusammenhang mit dem Verhalten ihres jeweiligen Eigentümers stehen, ist ein entsprechendes Durchschlagen auf die dahinterstehende natürliche Person möglich.32
bb) Verstorbene/Ungeborene
18
Ebenfalls nicht in den Schutzbereich der DSGVO fallen Daten, die sich ausschließlich auf Verstorbene beziehen.33 Hier besteht allerdings ebenfalls das Problem, dass ein Datum über einen Verstorbenen auf eine andere natürliche Person durchschlägt, z.B. auf Angehörige bezüglich Erbkrankheiten.34
19
In ErwG 27 Satz 2 findet sich eine Öffnungsklausel für die Mitgliedstaaten, um den datenschutzrechtlichen Anwendungsbereich auf mitgliedstaatlicher Ebene auch auf personenbezogene Daten Verstorbener auszuweiten, was der deutsche Gesetzgeber bisher nicht getan hat.35 Allerdings bestehen in Deutschland spezielle Gesetze zum Schutz von Informationen über Verstorbene, z.B. im Arzt-, Kunsturheber-, postmortalen Persönlichkeits-,36 Sozial-, Statistik-, Steuer- und Strafrecht.37
20
Hiermit im Zusammenhang stehen verschiedene, bislang weitestgehend ungeklärte Fragestellungen zum sog. digitalen Nachlass von Betroffenen.38 Das LG Berlin hat Facebook zugunsten der Eltern einer minderjährigen verstorbenen Tochter etwa dazu verpflichtet, den Eltern als Erben der Tochter Zugang zu dem Benutzerkonto und den Kommunikationsinhalten zur Verfügung zu stellen, weil die Gesamtrechtsnachfolge des § 1922 BGB auch beim Facebook-Nutzungsvertrag greife.39 Eine Ausübung der allgemeinen Betroffenenrechte (Art. 15–22 DSGVO) durch Erben dürfte hingegen ohne eine mitgliedstaatliche Erweiterung nicht möglich sein.40
21
Ob Informationen über ungeborenes Leben (sog. nasciturus) personenbezogene Daten sind oder nicht, lässt sich der DSGVO nicht entnehmen und ist dementsprechend in der Literatur umstritten. Zum Teil wird darauf abgestellt, dass im deutschen Recht ein noch werdendes, also nicht geborenes Kind schon erben, Schenkungen annehmen oder gar Schadensersatzansprüche geltend machen kann. Um Wertungswidersprüche zu vermeiden, sei daher eine Vorverlagerung des Rechts auf informationelle Selbstbestimmung angezeigt.41 Ferner könne man aus ErwG 27 Satz 1 (durch den Verstorbene vom Anwendungsbereich der DSGVO ausgenommen werden) den Umkehrschluss ziehen, dass der Verordnungsgeber die Geltung der DSGVO in diesem Zuge auch explizit für ungeborenes Leben ausgeschlossen hätte, wenn er dies beabsichtigt hätte.42 Demgegenüber wird angeführt, dass die DSGVO mit ihren Betroffenenrechten (Art. 15–22 DSGVO) von einer lebenden betroffenen Person ausgeht, die spezielle Rechte selbst ausüben kann, und dementsprechend Daten über ungeborene Kinder keine personenbezogene Daten darstellen.43 Ungeachtet dessen gilt jedoch auch hier wiederum die Einschränkung, dass die Informationen über ungeborene Kinder auch auf lebende Personen, insbesondere in der Regel auf die Mutter des ungeborenen Kindes,44 durchschlagen können.45
c) Identifizierte bzw. identifizierbare Person
22
Für die Qualifizierung als personenbezogene Daten nach Art. 4 Nr. 1 DSGVO müssen die Informationen nicht nur einen generellen Bezug zu einer natürlichen Person aufweisen, sondern sie müssen gerade eine spezifische natürliche Person identifizieren oder zumindest identifizierbar machen.
23
Die unterschiedliche Syntax von identifiziert/identifizierbar in Art. 4 Nr. 1 DSGVO und bestimmt/bestimmbar in § 3 Abs. 1 BDSG a.F. bzw. Art. 2 lit. a DSRl führt zu keiner inhaltlichen Änderung, denn die englische Fassung in der DSRl und der DSGVO sprechen einheitlich von „identified“/„identifiable“.46
aa) Identifizierte Person
24
Ein Datum identifiziert eine natürliche Person, wenn die Identität dieser unmittelbar aus der Information selbst hervorgeht.47 Eine natürliche Person ist dementsprechend identifiziert, wenn sie sich in einer Personengruppe von allen anderen Mitgliedern der Gruppe unterscheidet48 und sie deshalb aus der Gruppe ausgesondert werden kann („singling out“49).50 Die klassische Zuordnungsmethode ist insofern ein aussagekräftiger Name einer Person, der die Wiedererkennung der Person ermöglicht, wobei nicht stets der Name zur Identifikation benötigt wird.
25
Die Identifizierbarkeit hängt von den jeweiligen Umständen ab und ist daher kontextsensitiv zu bewerten.51 Während eine Person regelmäßig nicht durch einen Allerwelts-Nachnamen bezogen auf die gesamte Landesbevölkerung identifiziert werden kann, reicht der Nachname häufig innerhalb einer Schulklasse aus.52 Auch die Information „der Mann im schwarzen Anzug“ kann bezogen auf eine Gruppe von Passanten an einer Fußgängerampel ausreichen.53
26
Unklar ist, ob individuell, dauerhaft und in Bezug auf eine bestimmte natürliche Person vergebene Kennungen wie die Sozialversicherungsnummer und die Steueridentifikationsnummer bereits von sich aus eine Identifizierung ermöglichen oder hierzu entsprechendes Referenzwissen erforderlich ist.54 In Rekurs auf das oben genannte Beispiel einer Menschenmenge wäre insoweit erforderlich, dass eine bestimmte Person auf Grundlage der bloßen Kenntnis einer solchen Kennziffer aus einer Gruppe ausgesondert werden können müsste. Hierzu wird es maßgeblich auf den jeweiligen organisatorischen Zusammenhang ankommen.55 In aller Regel wird sich eine Zuordnung jedoch nur anhand entsprechenden Referenzwissens über den Träger der Kennung herstellen lassen; folglich ist zu prüfen, ob die jeweilige datenverarbeitende Stelle über das nötige Zusatzwissen verfügt oder ihr entsprechende Mittel vernünftigerweise zur Verfügung stehen, dieses Zusatzwissen zu erhalten (dazu unten Rn. 33).56
27
Online-Kennungen (z.B. IP- und MAC-Adressen, Smartphone-IDs, Cookie-IDs oder andere ähnliche Technologien wie Device-Fingerprinting) identifizieren für sich allein genommen regelmäßig keine Person, da sich aus ihnen unmittelbar weder die Identität der natürlichen Person, der der Computer gehört, von dem aus eine Website aufgerufen wurde, noch die Identität einer anderen Person, die diesen Computer benutzen könnte, ergibt.57 Insofern ermöglichen solche Kennungen isoliert allenfalls ein individuelles Ansprechen der jeweils sich hinter der Kennung befindlichen bzw. agierenden natürlichen Person. Eine solche Individualisierung erfolgt jedoch nicht in Ansehung dieser Personen und führt daher nicht zu deren Identifizierung. So statuiert der EuGH, dass IP-Adressen isoliert betrachtet gerade kein personenbezogenes Datum darstellen (obwohl sie eine solche individuelle Ansprache ermöglichen).58 Daraus folgt, dass der Gerichtshof es für eine Identifizierung als nicht ausreichend zu erachten scheint, eine Person auf sonstige Weise individualisieren zu können, um ein Datum als personenbezogen zu klassifizieren. Eine Identifizierbarkeit ist je nach Sachverhalt aber denkbar (dazu unten Rn. 30).
28
Auch selbst gewählte Pseudonyme,59 insbesondere im Online-Bereich (z.B. E-Mail-Adressen oder Twitter-Handles), identifizieren in diesem Sinne alleine ohne weitere Informationen weder die Person, der das Pseudonym gehört, vom dem die Nachrichten verschickt bzw. veröffentlicht wurden, noch die Identität einer anderen Person, die dieses Pseudonym benutzen könnte.60 Das Gleiche gilt für gänzlich andere Kennungen, wie z.B. Kreditkartennummern. Auch hier ist jeweils im Einzelfall zu prüfen, ob dem Verantwortlichen selbst weitere Informationen zur Identifizierung oder „rechtliche Mittel“ (siehe dazu unten Rn. 37) zur Verfügung stehen, entsprechendes, zur Identifizierung erforderliches Zusatzwissen von einem Dritten zu erhalten.61
29
Neben einer einzelnen Information hilft auch eine Kombination verschiedener Informationen zur Identifizierung der Person, wie z.B. die Hinzuziehung von Geburtsdatum, Namen der Eltern, Adresse oder Fotografie des Gesichts zusätzlich zum Namen (vgl. bezüglich der Nutzung von Fotos insoweit die Abgrenzung zum Kunsturhebergesetz (KUG, unten Rn. 40ff.).62
bb) Identifizierbare Person
30
Der sachliche Anwendungsbereich der DSGVO ist jedoch bereits eröffnet, sofern sich ein Datum auf eine identifizierbare Person bezieht. Eine Information macht eine natürliche Person identifizierbar, wenn durch sie allein die Identifizierung (also die Wiedererkennung) zwar selbst nicht unmittelbar möglich ist, eine entsprechende Identifizierung aber mittels Verknüpfung mit weiteren Informationen hergestellt werden kann. Als identifizierbar wird nach Art. 4 Nr. 1 DSGVO eine natürliche Person angesehen, die direkt oder indirekt, insbesondere63 mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen,64 psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Die Kenntnis des Namens der natürlichen Person ist dementsprechend für eine Identifizierbarkeit nicht unbedingt erforderlich.65
(1) Wahrscheinlichkeit der Identifizierung
31
Um festzustellen, ob eine natürliche Person identifizierbar ist, sind alle Mittel zu berücksichtigen, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich66 genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren (ErwG 26 Satz 3). Die rein hypothetische Möglichkeit zur Identifizierung der Person reicht somit nicht aus, um die Person als identifizierbar anzusehen.67 Es ist allerdings auch nicht notwendig, dass der Verantwortliche tatsächlich Bestrebungen einleitet oder über entsprechende Mittel bereits verfügt, um eine Identifizierung herbeizuführen, sondern es reicht die festgestellte Wahrscheinlichkeit, dass er diese einleitet bzw. entsprechende Mittel erwerben wird.68 Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sind im Rahmen einer Risikoanalyse bzw. -prognose nach ErwG 26 Satz 4 alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, heranzuziehen, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklung zu berücksichtigen sind. Nach der Breyer-Entscheidung des EuGH ist dabei ein faktisches Risiko der Herstellung eines Personenbezugs erforderlich.69 Zur Bestimmung, ob ein solches Risiko gegeben ist, dürften als objektive Faktoren (neben den in ErwG 26 Satz 4 ausdrücklich genannten) zu berücksichtigen sein, ob der Zweck der Verarbeitung eine Identifizierung erfordert, ob die Identifizierung zu einer Nutzungssteigerung führt (je nach Verarbeitungszweck) und ob der Identifizierung vertragliche und/oder organisatorische Hemmnisse entgegenstehen (z.B. Vertragsstrafen). Abschließend dürfte in einer Abwägung zu entscheiden sein, ob der Aufwand für den erwarteten Kenntnisgewinn der Identifizierung unverhältnismäßig ist. Hat ein Unternehmen beispielsweise in zwei unterschiedlichen Datenbanken Informationen über Personen gespeichert (die isoliert betrachtet jedoch keine eindeutige Zuordnung zu einer Person ermöglichen), deren Zusammenführung dabei zu einer Identifizierung führen würde und unter Berücksichtigung der typischerweise am Markt verfügbaren Datenanalysetools mit einem vertretbaren Aufwand an Zeit und Kosten auch möglich wäre, wäre die Identifizierbarkeit auch der (noch) nicht zusammengeführten Datenbanken zu bejahen.70 Vice versa kann durchaus zu beachten sein, dass ein Verantwortlicher erhebliche Anstrengungen unternehmen und Aufwände auf sich nehmen kann, um einen Datenbestand anhand eines entwickelten Anonymisierungskonzepts nicht personenbeziehbar zu halten, da dies zur Erreichung der jeweils verfolgten Zwecke nicht erforderlich ist. In solchen Fällen würde eine Re-Identifizierung dieses Unterfangen geradezu konterkarieren und gefährden. Demnach erscheint die Gefahr einer Re-Identifizierung jedenfalls durch den Verantwortlichen in derartigen Konstellationen als de facto ausgeschlossen. Gesetzlich verbotene Mittel zur Herstellung der Identifizierbarkeit sind jedenfalls nach dem EuGH bei der Betrachtung ausdrücklich nicht einzubeziehen.71
(2) Relevanter Beurteilungszeitpunkt
32
Entscheidender Zeitpunkt für die Frage der wahrscheinlich vom Verantwortlichen verwendeten Mittel zur Identifizierung ist der Zeitpunkt der Verarbeitung, nicht erst der eigentlichen Identifizierung.72 Zu beachten ist, dass die Einschätzung der Individualisierbarkeit sich bei jeder Verarbeitung aufgrund des zeitlichen Moments z.B. durch neu erlangte Zusatzinformationen, neue technologische Analysemöglichkeiten oder ein neues Geschäftsmodell verändern kann.73 Insofern sieht auch ErwG 26 Satz 4 im Vergleich zur DSRl vor, dass auch die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.74
(3) Berücksichtigung von Zusatzwissen Dritter
33
Darüber hinaus stellt sich die Frage, ob das Wissen und die Mittel Dritter und nicht nur des Verantwortlichen bei der Identifizierbarkeit ebenfalls Berücksichtigung finden müssen. Diese altbekannte Streitfrage klärt die DSGVO leider nicht. Der Streit zwischen dem absoluten und relativen Verständnis des Personenbezugs lebt daher fort.75 Das absolute Verständnis geht davon aus, dass im Sinne einer objektiven Betrachtungsweise jegliche potenzielle Kenntnisnahmemöglichkeit eines Dritten, inkl. eines rechtswidrigen Zugriffs auf den Datenbestand bzw. sogar das „gesamte Weltwissen“,76 zu einer Identifizierbarkeit führt,77 wovon unter der alten Rechtslage insbesondere die deutschen Datenschutzaufsichtsbehörden78 ausgingen.
34
Nach dem relativen Verständnis ist hingegen im Sinne einer subjektiven Betrachtungsweise nur auf die Kenntnisnahmemöglichkeiten des jeweiligen Verantwortlichen abzustellen.79 Spätestens mit der Breyer-Entscheidung des EuGH scheint sich hingegen auch in der Literatur als herrschende Ansicht eine vermittelnde Ansicht herausgebildet zu haben, die entweder als absoluter Ansatz mit relativierenden Elementen80 oder als relativer Ansatz mit Einschränkungen/objektivierenden Elementen81 bezeichnet wird. Der EuGH hatte im Breyer-Urteil darüber zu entscheiden, ob und wann dynamische IP-Adressen für Webseitenanbieter personenbezogene Daten darstellen. Er stellte dabei nur auf das Wissen ab, über das der Webseitenanbieter verfügt, bezog in diese Betrachtung aber alle vernünftigerweise vom Webseitenanbieter verwendeten rechtlichen Mittel ein, die es dem Webseitenanbieter erlauben, die betreffende Person anhand der Zusatzinformationen Dritter, bestimmen zu lassen.82 Konkret stellt der EuGH auf den Internetzugangsanbieter83 ab, der dem Webseitenanbieter helfen könne, die dynamische IP-Adresse der betroffenen Person zuzuordnen.84 Der BGH hat in Umsetzung des EuGH-Urteils festgestellt, dass dem Beklagten Auskunftsrechte gegenüber Internetzugangsanbietern nach § 100j Abs. 2 und Abs. 1 StPO sowie § 113 TKG zustehen können, durch die der Webseitenbetreiber das für die Identifizierung erforderliche Zusatzwissen über den jeweiligen Anschlussinhaber vom Internetzugangsanbieter erlangen könne, und es sich deshalb bei dynamischen IP-Adressen um personenbezogene Daten handele.
35
Der relative Ansatz ist mit Einschränkungen auch unter der DSGVO vorzugswürdig insofern, als sich der Verantwortliche etwaiges Zusatzwissen Dritter zurechnen lassen muss, über welches er gegenwärtig zwar nicht verfügt, ihm jedoch Mittel zustehen, um sich dieses Zusatzwissen zu verschaffen, und es darüber hinaus noch wahrscheinlich ist, dass er diese Mittel nutzen würde (vgl. insoweit zur Möglichkeit eines Abschneidens dieser Mittel Rn. 51). Für ein solches Verständnis spricht zum einen, dass die DSGVO in ErwG 26 Satz 3 nicht nur auf Mittel abstellt, die nur der Verantwortliche, sondern auch eine andere Person – nach allgemeinem Ermessen wahrscheinlich – verwendet, um eine Person zu identifizieren. Zum anderen wird in ErwG 30 darauf hingewiesen, dass Online-Kennungen, wie z.B. IP-Adressen, mit entsprechendem Zusatzwissen eine Identifizierung erlauben können. Die teleologische Auslegung streitet auch weiterhin unter der DSGVO für die relative Ansicht, insbesondere der Verlust der Identifizierbarkeit als Abgrenzungsmerkmal bei Zugrundelegung des absoluten Ansatzes bei der Bestimmung des sachlichen Anwendungsbereichs der DSGVO und die damit einhergehende schwindende Möglichkeit, personenbezogene Daten zu anonymisieren, weil Verantwortliche nie rechtssicher feststellen könnten, ob eine Individualisierbarkeit der verarbeiteten Informationen nicht doch theoretisch möglich wäre (obwohl es für den Verantwortlichen unmöglich ist).85
36
Es ist auch nicht ersichtlich, warum die DSGVO auf Datenverarbeitungen Anwendung finden sollte, die kein reales Gefahrenpotenzial für das Recht auf informationelle Selbstbestimmung von natürlichen Personen haben.86
37
Der EuGH hat im Breyer-Urteil festgestellt, dass neben faktischen (inkl. technischen Mitteln, also z.B. Zugriff auf Server eines Vertragspartners, Datenanalysetools, Weisungsrechte gegenüber einer Tochtergesellschaft) auch rechtliche Mittel im Hinblick auf das Zusatzwissen von Dritten berücksichtigt werden müssen.87 Unklar ist jedoch, ob die Tatbestandsvoraussetzungen von etwaigen Auskunftsansprüchen tatsächlich vorliegen müssen oder nicht.88 Diese dürften beispielsweise dann nicht vorliegen, wenn Informationen zu Zwecken erhoben werden, die eine Einschaltung der Staatsanwaltschaft oder entsprechender Aufsichtsbehörden nicht nach sich ziehen können (etwa reine Nutzungsanalysezwecke). Die Argumentation des EuGH legt dabei zunächst nahe, dass bereits die abstrakte Möglichkeit von Auskunftsverlangen ausreiche, wenn er darauf abstellt, dass solche rechtlichen Mittel nach deutschem Recht bestehen.89 Demgegenüber klingt in der das EuGH-Urteil umsetzenden Entscheidung des BGH an, dass jedenfalls auf den konkreten Kontext abzustellen sei. So statuiert der BGH, dass der Beklagte im Falle einer bereits eingetretenen Schädigung Strafanzeige erstatten oder im Falle der drohenden Schädigung die zur Gefahrenabwehr zuständigen Behörden einschalten kann.90
38
Zwar scheint der BGH dabei keine tatsächliche Prüfung einer solchen Schadenslage zur Bejahung eines Personenbezugs für erforderlich zu halten.91 Gleichwohl statuiert er weiter, dass „[...] die für die Verfolgung von Straftaten oder Ordnungswidrigkeiten zuständigen Behörden zu diesem Zweck von Internetzugangsanbietern bei Vorliegen bestimmter Voraussetzungen Auskunft verlangen [können]“.92 Demgemäß spricht dies dafür, dass der konkrete, vom jeweiligen Verantwortlichen verfolgte Verarbeitungs- und Speicherzweck bei der Bewertung, ob ihm entsprechende rechtliche Mittel zur Verfügung stehen, jedenfalls zu berücksichtigen ist. Richtigerweise wird daher auf den konkreten Einzelfall abzustellen sein, mithin, ob eine Nutzung der rechtlichen Mittel nach allgemeinem Ermessen wahrscheinlich ist, z.B. Speicherung der IP-Adressen zur Ahndung von Urheberrechtsverletzungen93 oder Abwehr von Cyber-Angriffen.94
(4) Identifizierbarkeit bei Personengruppen
39
Interessant ist die Frage der Identifizierbarkeit bei Personengruppen, wenn mehrere natürliche Personen als Bezugspunkt der Information in Frage kommen. Eine dynamische IP-Adresse ändert sich beispielsweise beim Einsatz eines Routers grundsätzlich nicht beim Ein-/Ausschalten des Computers oder beim Abmelden der Nutzer, sondern nur alle 24 Stunden oder wenn der Router neu gestartet wird. Theoretisch können somit mehrere Nutzer mit der gleichen dynamischen IP-Adresse im Internet surfen oder z.B. illegal Musik herunterladen, was insbesondere auch bei offenen WLAN, Anonymisierungsdiensten und Internetcafés95 relevant wird. Sofern nicht durch das Hinzuziehen weiterer Informationen (z.B. Verhaltensmuster oder Zeitstempel) klar eine Person als Nutzer zuordenbar ist, ist eine Identifizierbarkeit hier zu verneinen.96
d) Foto- und Videoaufnahmen/Abgrenzung zum KUG
40
Umstritten ist, unter welches Regelungsregime die Nutzung von Foto- und Videoaufnahmen fällt, auf denen natürliche Personen abgebildet sind. Insofern besteht die Besonderheit, dass (jedenfalls) die Verbreitung und öffentliche Zurschaustellung von Foto- und Videoaufnahmen als sog. Bildnisse auch durch die §§ 22ff. KUG geregelt wird. Fraglich ist daher, ob die Vorschriften des KUG als speziellere Vorschriften für einerseits die Verbreitung und öffentliche Zurschaustellung sowie andererseits auch die Erstellung und Speicherung von Bildnissen Anwendung finden und somit die DSGVO verdrängen.97
41
Dies ist insoweit relevant, da etwa eine Einwilligungserklärung nach § 22 KUG erheblich geringeren Anforderungen unterliegt, als etwa eine Einwilligung nach Maßgabe der DSGVO. So werden entsprechende (konkludente) Einwilligungen oftmals durch den Abschluss von Nutzungsverträgen erteilt.98 Bei einer Anwendbarkeit der DSGVO auch auf solche Sachverhalte wäre insoweit fraglich, ob diese Einwilligungen bzw. Nutzungsverträge den Anforderungen von Art. 4 Nr. 11 und Art. 7 DSGVO entsprechen müssen oder andere Erlaubnistatbestände der DSGVO greifen können. Darüber hinaus wäre zu eruieren, ob die Informationspflichten nach Art. 13, 14 DSGVO gegenüber dem Abgebildeten zu erfüllen sind. In der Praxis kann dies je nach Umständen des Einzelfalls jedoch nahezu unmöglich sein, etwa im Falle von Veranstaltungsfotos.99
42
Teilweise wird in einem pragmatischen Ansatz angeführt, dass die Vorlage der Voraussetzungen einer rechtmäßigen Verwendung nach §§ 22, 23 KUG indiziere, dass auch die Vorgaben der DSGVO erfüllt seien.100 Zutreffend erscheint jedenfalls, davon ausgehen zu können, dass soweit die Verbreitung bzw. öffentliche Zurschaustellung des Bildnisses auf einem Ausnahmetatbestand des § 23 KUG beruht, in aller Regel auch die Voraussetzungen einer rechtmäßigen Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO vorliegen sollten.101 Ein derart angenommener Gleichlauf der Regime stößt jedoch schnell an seine Grenzen: So ist etwa zu beachten, dass eine Einwilligung nach § 22 KUG nach der Rechtsprechung des BGH nur aufgrund eines wichtigen bzw. plausiblen Grundes widerrufen werden kann,102 während nach Art. 7 Abs. 3 DSGVO grundsätzlich jederzeit ein freier Widerruf möglich bleibt.103 Ungelöst bliebe ferner das Problem der fehlenden Belehrung der Betroffenen nach Art. 13, 14 DSGVO. Die Frage nach dem Anwendungsvorrang zwischen DSGVO und KUG kann somit nicht dahinstehen.
43
Zu beachten ist dabei, dass die Regelungen der §§ 22ff. KUG lediglich die Verbreitung bzw. öffentliche Zurschaustellung von Bildnissen regeln, nicht jedoch deren Erstellung und Speicherung. Demgemäß besteht weitgehend Konsens, dass das KUG die Vorschriften der DSGVO (wenn überhaupt) auch nur insoweit verdrängen könne; die Erstellung und Speicherung von Bildnissen unterfiele daher ausschließlich der DSGVO.104
44
Eine Ansicht geht dabei von einem umfassenden Anwendungsvorrang der DSGVO aus. Diesbezüglich wird angeführt, dass die DSGVO als Verordnung gemäß Art. 288 AEUV Anwendungsvorrang genießt und der DSGVO eine dem § 1 Abs. 3 BDSG a.F. vergleichbare Öffnungsklausel fehle.105 Danach solle Maßstab der Datenverarbeitung weiterhin der Katalog an Rechtsgründen nach Art. 6 Abs. 1 DSGVO bleiben.106 In Konsequenz wären auch grundsätzlich die Informationspflichten nach Art. 13, 14 DSGVO zu erfüllen.107
45
Eine ausschließliche Anwendbarkeit des KUG für die Verbreitung bzw. öffentliche Zurschaustellung von Foto- und Videoaufnahmen wird von einer anderen Ansicht mit Verweis auf die Regelung von Art. 85 DSGVO vertreten, wonach die Mitgliedstaaten das Recht auf den Schutz personenbezogener Daten nach der DSGVO und das Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang bringen sollen.108 Innerhalb der für die Anwendung des KUG plädierenden Ansicht ist jedoch weiter umstritten, ob die Anwendbarkeit des KUG einer Beschränkung auf bestimmte Nutzungszwecke unterliegt. Rechtlicher Hintergrund ist dabei die Frage, ob die Öffnungsklausel zugunsten der Meinungs- und Informationsfreiheit (und damit die §§ 22 KUG ff.) dem Anwendungsbereich von Art. 85 Abs. 1 oder Abs. 2 DSGVO zuzuordnen ist. Sofern Art. 85 Abs. 2 DSGVO einschlägig wäre, hätte dies zur Folge, dass das KUG lediglich für die Verarbeitung von Bildnissen zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken Anwendung finden würde.109 Dies vertritt für den journalistischen Bereich etwa das OLG Köln.110 Im Umkehrschluss würde dies jedoch bedeuten, dass die Veröffentlichung von Foto- und Videoaufnahmen für andere als die in Art. 85 Abs. 2 DSGVO ausdrücklich genannten Zwecke, etwa die Öffentlichkeitsarbeit von Unternehmen oder Werbung, nicht dem KUG unterfiele, sondern hierfür die Regelungen der DSGVO Anwendung fänden.111 Demgegenüber unterfiele auch die Bildnutzung zu anderen Zwecken grundsätzlich dem KUG, sofern die Öffnungsklausel Art. 85 Abs. 1 DSGVO zuzuordnen wäre. Insofern enthält Art. 85 Abs. 1 DSGVO genauso wie ErwG 153 keine abschließende Aufzählung der privilegierten Zwecke und geht daher über die Regelung des Art. 85 Abs. 2 DSGVO hinaus.112
46
Ungeachtet dieses Streitstands erscheint ferner denkbar, darauf abzustellen, ob schwerpunktmäßig das Recht am eigenen Bild (dann KUG), wie etwa bei Veranstaltungsfotos oder deren Nutzung in Werbematerialien, oder aber das Recht auf informationelle Selbstbestimmung der abgebildeten Personen (dann DSGVO) betroffen ist, etwa bei der Vorstellung von Personen im Internet oder Intranet mitsamt Namen und Kontaktdaten, bei dem die Mitteilung des in dem jeweiligen Bildnis verkörperten Informationsgehalts im Vordergrund steht.113 Dieser Sichtweise folgend wäre bei einer schwerpunktmäßigen Betroffenheit des Rechts am eigenen Bild konsequenterweise jedoch auch davon auszugehen, dass die DSGVO umfassend keine Anwendung fände, demnach auch nicht für die Erstellung und Speicherung eines Bildnisses. Aufgrund des eindeutigen Anwendungsbereichs der §§ 22ff. KUG unterläge diese somit einer Abwägung der beiderseits betroffenen Grundrechte, etwa im Rahmen einer Prüfung nach § 823 Abs. 1 BGB,114 wobei hierbei die Wertungen des §§ 22ff. KUG zu berücksichtigen wären.115
e) Anonyme Daten
47
Anonyme Daten sind der Konterpart zu personenbezogenen Daten, also Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die (nachträglich) in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Sie sind dementsprechend gemäß ErwG 26 Satz 5 und 6 nicht vom Anwendungsbereich der DSGVO umfasst; demgemäß unterliegt die Verarbeitung von anonymen Daten keinen datenschutzrechtlichen Limitierungen.116 Die DSGVO hat der Anonymisierung – im Gegensatz zur Pseudonymisierung – keine eigene Definition in Art. 4 DSGVO gewidmet, sondern behandelt anonyme Daten lediglich in ErwG 26 Satz 5.117 Interessanterweise legaldefinieren einige Landesdatenschutzgesetze die Anonymisierung als das Verändern personenbezogener Daten dergestalt, dass Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.118 Diese Begriffsbestimmung greift dabei offenbar den Wortlaut relevanter Erwägungsgründe sowie einschlägiger EuGH-Rechtsprechung auf; hierzu nachfolgend.
48
Es gibt in der DSGVO keine spezifischen Vorgaben, wann die Schwelle zur Anonymität erreicht ist, weshalb für jeden Einzelfall auf die oben dargestellten allgemeinen Erwägungen zur Bestimmung des Personenbezugs von Informationen abzustellen ist.119 Von einer Anonymisierung aufgrund fehlenden Bezugs zu einer identifizierten oder identifizierbaren natürlichen Person kann daher gesprochen werden, wenn alle Mittel berücksichtigt werden, die nach allgemeinem Ermessen wahrscheinlich eingesetzt werden können, um die betreffende Person zu identifizieren, und sich dennoch kein Personenbezug herstellen lässt.120 Die Zielstellung einer solchen Analyse stellt sich somit als Negativ zur Prüfung, ob ein Datum personenbeziehbar ist, dar (vgl. oben Rn. 30ff.). Ersteres dürfte entsprechend der EuGH-Rechtsprechung der Fall sein, wenn die Identifizierung der betreffenden Person gesetzlich verboten oder praktisch nicht durchführbar wäre, z.B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erfordern würde, sodass das Risiko einer Identifizierung de facto vernachlässigbar erscheint.121 Berücksichtigungswerte Mittel dürften neben technischen Mitteln insbesondere auch verfügbare Datenbestände (z.B. öffentlich verfügbare Daten, Rohdaten, im Rahmen von M&A-Transaktionen neu erworbene Datensätze) sein.122 Keinesfalls kann z.B. von einer Anonymisierung ausgegangen werden, wenn beim Verantwortlichen eine Kopie des Originaldatenbestandes mit Personenbezug nach der Anonymisierung erhalten bleibt und eine entsprechende Rückverfolgung möglich ist.123 Wegen der sich kontinuierlich ändernden zur Verfügung stehenden Mittel (insbesondere im Hinblick auf die technologische Entwicklung) handelt es sich auch bei der Frage der Anonymität von Daten um eine kontinuierliche Prüfung des Verantwortlichen.124 Insofern kann eine Situation eintreten, in der ein ursprünglich wirksam anonymisierter Datensatz (etwa durch Einfließen neuer Informationen oder Zugang zu neuen Verarbeitungs-Technologien) für eine datenverarbeitende Stelle im Laufe der Zeit (re-)identifizierbar wird und daher ab diesem Zeitpunkt wieder als personenbezogen zu behandeln ist.
49
In der DSGVO sind auch keine Anonymisierungsverfahren geregelt. Die Art.-29-Datenschutzgruppe hat sich allerdings ausführlich mit Anonymisierungstechniken auseinandergesetzt.125 Sie prüfte im Rahmen der DSRl die Robustheit von Anonymisierungstechniken danach, ob es nach Anwendung der Technik weiterhin möglich ist, eine Person herauszugreifen oder eine Person betreffende Datensätze zu verknüpfen, und ob Informationen über eine Person weiterhin durch Interferenz hergeleitet werden können.126 Nach der Art.-29-Datenschutzgruppe können Anonymisierungsverfahren dabei in zwei Kategorien eingeteilt werden: Randomisierung und Generalisierung. Wichtig ist, dass für eine wirksame Anonymisierung häufig nicht nur ein Anonymisierungsverfahren nötig ist, sondern eine Kombination von mehreren. Eine Dokumentation der gewählten Anonymisierungsverfahren und der oben dargestellten Anonymisierungsschwelle ist im Hinblick auf die gestiegenen Nachweis- und Dokumentationspflichten gemäß der Rechenschaftspflicht in Art. 5 Abs. 2 DSGVO verpflichtend.127
50
Unter die Kategorie der Randomisierung fallen Anonymisierungstechniken, welche die Daten in einer Weise verfälschen, dass die direkte Verbindung zwischen Daten und betroffener Person entfernt wird.128 Hierzu gehören die stochastische Überlagerung (Veränderung von Merkmalen mithilfe von Zufallsgrößen, z.B. statt der zentimetergenauen Angabe der Körpergröße einer Person die Veränderung auf eine +/– 10 cm genaue Angabe),129 die Vertauschung (Verschiebung von Merkmalswerte innerhalb eines Datensatzes)130 und die Ansätze der Differential Privacy (Erstellung einer anonymisierten Ansicht eines Datensatzes für Dritte bei gleichzeitigem Vorhalten des Originaldatensatzes).131 Dabei sind unter Umständen weitere Techniken, insbesondere die Entfernung von offensichtlichen Identifikationsmerkmalen, erforderlich, um zu gewährleisten, dass die Datensätze nicht die Identifizierung einer einzelnen Person erlauben.
51
Die Möglichkeit, einzelne Identifizierungsmerkmale gänzlich zu entfernen,132 kommt einer extremen Form der Randomisierung gleich (vollständige Überlagerung des Merkmals).133 Hierbei ist darauf zu achten, dass nicht nur die offensichtlich identifizierenden Informationen aus dem Datenbestand gelöscht werden, sondern zumindest die identifizierenden Informationen bis zur Schwelle der nicht mehr vorliegenden Wahrscheinlichkeit der Identifizierung. Beispielsweise reicht es für eine Anonymisierung regelmäßig nicht aus, bei Videoaufnahmen nur das Gesicht einer Person mit einem schwarzen Balken zu versehen bzw. zu verpixeln, weil auch andere Merkmale der gefilmten Person, wie z.B. Figur, Frisur, Kleidung oder Gangart, die Identifizierung ermöglichen können.134 Durch eine Einweg-Verschlüsselung oder Verhashung entstehen gewöhnlich ebenfalls anonymisierte Daten,135 es sei denn, der jeweils anderen Stelle stehen Mittel zur Verfügung, um den Personenbezug mit verhältnismäßigem Aufwand wiederherzustellen.136
52
Die Kategorie der Generalisierung enthält Anonymisierungstechniken, die Merkmale betroffener Personen durch die Veränderung der entsprechenden Größenskala oder -ordnung generalisieren, also durch einen weniger spezifischen Wert ersetzen.137 So wird beispielsweise aus einer Stadt eine Region oder einer Woche ein Monat.138 Zu den Generalisierungstechniken zählen die Aggregation und k-Anonymität (Verhindern des Singling-Out einer Person durch Zusammenfassen mit mindestens k anderen Personen), die die k-Anonymität erweiternde L-Diversität (Sicherstellung, dass in jeder Äquivalenzklasse verschiedene Merkmalswerte auftauchen) und t-Closeness (Bildung von Äquivalenzklassen, die der ursprünglichen Verteilung der Merkmalswerte ähneln).
53
Je nach avisiertem Einsatzzweck der zu anonymisierenden Daten ist dabei zu evaluieren, bis zu welchem Punkt eine „De-Identifizierung“ möglich ist, ohne den Aussagegehalt der Daten so zu verwässern, dass der Verarbeitungszweck nicht mehr erreicht werden kann oder jedenfalls erhebliche Erkenntnisabstriche zu befürchten sind. Sofern der weitestmögliche Grad festgelegt ist, ist zu prüfen, ob die Daten nach obiger Maßgabe bereits als anonym klassifiziert werden können oder noch von einem Personenbezug ausgegangen werden muss. Entscheidend ist demnach auch hier das faktische Identifizierungsrisiko, mithin ob die jeweils datenverarbeitende Stelle mit verhältnismäßigem Aufwand einen Personenbezug herstellen könnte. Dies ist insbesondere im Bereich der Forschung problematisch, weil eine vollständige De-Identifizierung die Daten für die Forschung häufig praktisch wertlos machen würde.139 Aus zuvor genannten Gründen ist solch eine absolute Anonymisierung datenschutzrechtlich im Regelfall auch nicht erforderlich;140 vielmehr muss das Risiko einer Identifizierung (nur) de facto vernachlässigbar erscheinen (vgl. oben Rn. 48).
54
Die Anonymisierung lässt sich dadurch von der Pseudonymisierung abgrenzen, dass bei erfolgter Anonymisierung für den Verantwortlichen die natürliche Person, auf die sich die Daten beziehen, nicht mehr identifizierbar ist, während bei der Pseudonymisierung weiterhin eine gesondert aufbewahrte Zuordnungsmöglichkeit besteht, um dem Pseudonym die passende natürliche Person zuzuordnen.141 Auch hier kommt es wiederum gemäß des eingeschränkten relativen Ansatzes auf die Perspektive des jeweiligen Datenverarbeiters an. Möglich ist es etwa auch, Informationen durch Dritte (etwa sog. Anonymisierungsdienste) „verschleiern“ zu lassen. Da ausschließlich der jeweilige Dritte über das entsprechende Zusatzwissen verfügt, um eine entsprechende Zuordnung durchzuführen, stellt die Information für andere datenverarbeitende Stellen daher zunächst ein anonymes Datum dar. Hierbei gilt es jedoch sicherzustellen, die Weitergabe dieses Zusatzwissens an den Verantwortlichen vertraglich zu untersagen und ggf. mit einer abschreckenden Vertragsstrafe zu versehen. Ferner sollten korrespondierende, etwaige vertragliche Herausgabeansprüche des Verantwortlichen entsprechend ausgeschlossen werden.142 Durch ein solches Vorgehen lässt sich die Wahrscheinlichkeit des Zugriffs auf die Zuordnungsmöglichkeit so verringern, dass es sich aus Sicht des Verantwortlichen (vorausgesetzt, weitere notwendige technische und organisatorische Absicherungen wurden getroffen) um anonyme Daten handelt.143 Für eine Anonymisierung dürfte es hingegen nicht ausreichen, wenn in einem Unternehmen nur eine einzelne Abteilung (oder der Datenschutzbeauftragte)144 bzw. in einem Konzern nur eine Konzerntochter die Zuordnungsmöglichkeit hat; denn dies dürfte die Wahrscheinlichkeit der Zuhilfenahme für das gesamte Unternehmen bzw. ein anderes Konzernunternehmen ohne weitere Absicherungen regelmäßig nicht ausreichend abbedingen.145
f) Pseudonyme Daten
55
Im Gegensatz zu anonymen Daten bleibt die natürliche Person bei pseudonymen Daten für den Verantwortlichen re-identifizierbar, weil die Auflösung des Pseudonyms durch ihn durch Heranziehung zusätzlicher (separat aufbewahrter) für ihn jedoch zugänglicher Informationen nach allgemeinem Ermessen wahrscheinlich ist. Pseudonyme Daten sind deshalb (zumindest für den Verantwortlichen) als personenbezogene Daten einzustufen, ErwG 26 Satz 2. Die DSGVO findet auf pseudonyme Daten demnach weiterhin Anwendung (ausführlich dazu unten Rn. 124).
III. Verarbeitung (Nr. 2)
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang
56
Wie schon die EG-DSRl, enthält auch die DSGVO eine Definition des Begriffs der „Verarbeitung“. Hierbei handelt es sich – im Gegensatz zu der im BDSG a.F. verwendeten Terminologie – um den Sammelbegriff, unter dem jegliche Formen des Umgangs mit personenbezogenen Daten zusammengefasst werden. Insoweit entspricht der Begriff der Verarbeitung gem. Art. 4 Nr. 2 DSGVO dem auf Basis des BDSG a.F. verwendeten, dort aber nicht legaldefinierten Begriff des „Umgangs“ mit personenbezogenen Daten. Die Verarbeitung i.S.d. § 3 Abs. 4 Satz 1 BDSG a.F. umfasste (nur) das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten. Die Erhebung personenbezogener Daten i.S.d. § 3 Abs. 3 BDSG a.F. und das Nutzen personenbezogener Daten gem. § 3 Abs. 5 BDSG a.F. fielen hingegen nicht unter den Begriff der Verarbeitung i.S.d. § 3 Abs. 4 BDSG. Der Begriff der Verarbeitung nach Art. 4 Nr. 2 DSGVO umfasst auch diese Verarbeitungsformen.
57
Demgegenüber ist die „eigentliche“ Definition der Verarbeitung in Art. 4 Nr. 2 DSGVO fast wortgleich mit der in Art. 2 lit. b DSRl enthaltenen Definition der Verarbeitung. Beide bestehen aus zwei Teilen: der „eigentlichen“ Definition sowie aus Beispielen für Verarbeitungsformen. Nach Art. 2 lit. b DSRl bezeichnete der Begriff „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Die in Art. 4 Nr. 2 DSGVO enthaltene Definition unterscheidet sich hiervon nur insoweit, als der Verordnungsgeber das Wort „solche“ vor dem Wort „Vorgangsreihe“ eingefügt hat. Inhaltliche Änderungen der Definition sind hiermit aber nicht verbunden. Unterschiede bestehen zwischen den beiden Begriffsdefinitionen hingegen bei den im Anschluss an diese „eigentliche“ Definition genannten Beispielen für eine Verarbeitung. Auch hierdurch ergeben sich inhaltlich keine Änderungen beim Begriff der „Verarbeitung“, da es sich bei den in der jeweiligen Definition genannten Verarbeitungsformen lediglich um eine nicht abschließende Aufzählung von Beispielen für eine Verarbeitung personenbezogener Daten handelt. Die Beispiele wurden vielmehr vor allem an die im Rahmen der DSGVO verwendete Terminologie angepasst. So nennt Art. 4 Nr. 2 DSGVO nunmehr z.B. die Offenlegung als Verarbeitungsform, also eine Verarbeitungsform, auf die z.B. im Rahmen der Begriffsdefinition des Empfängers in Art. 4 Nr. 9 DSGVO Bezug genommen wird (siehe unten Rn. 265f.).
58
Der Begriff der „Verarbeitung“ bzw. einzelne Datenverarbeitungsformen werden in der DSGVO durchgehend verwendet. Insbesondere dient er gem. Art. 2 DSGVO auch dazu, den sachlichen Anwendungsbereich der DSGVO festzulegen. So setzt die Anwendbarkeit der DSGVO die Verarbeitung personenbezogener Daten voraus. Erfolgt mit anderen Worten keine Verarbeitung, findet auch die DSGVO keine Anwendung (siehe ausführlich zum sachlichen Anwendungsbereich der DSGVO Art. 2 Rn. 6ff.). Ebenso spielt der Begriff im Rahmen der räumlichen Anwendbarkeit der DSGVO gem. Art. 3 DSGVO eine gewichtige Rolle, z.B. indem Art. 3 Abs. 1 DSGVO im Rahmen des Niederlassungsprinzips verlangt, dass die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der EU erfolgt (siehe ausführlich zum räumlichen Anwendungsbereich der DSGVO Art. 3 Rn. 7ff.).
59
Im Laufe des Gesetzgebungsverfahrens erfuhr die Definition der Verarbeitung keine wesentlichen Änderungen. So wurde – von rein sprachlichen Anpassungen abgesehen – lediglich in der Fassung des Rates der Europäischen Union das Wort „solche“ vor dem Wort „Vorgangsreihe“ ergänzt, welches – wie oben unter Rn. 57 beschrieben – den einzigen Unterschied zur „eigentlichen“ Definition der Verarbeitung gem. Art. 2 lit. b DSRl ausmacht. Außerdem wurde als Beispiel für einen Datenverarbeitungsvorgang noch die Einschränkung ergänzt.146 In der amtlichen Fassung wurde als Ergebnis der Trilog-Verhandlungen zudem im Rahmen der Beispiele für eine Datenverarbeitung noch das Wort „Weitergabe“ durch „Offenlegung“ ersetzt, sodass nun eine „Offenlegung“ durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung erfolgen kann und keine „Weitergabe“. Diese Änderung trägt dem Umstand Rechnung, dass das Wort „Weitergabe“ eine aktive Komponente seitens eines „Datenversenders“ enthält, wohingegen das Wort „Offenlegung“ offener ist und auch auf semantischer Ebene besser die Möglichkeit berücksichtigt, dass Daten auch zum Abruf bereitgehalten werden können und der Datentransfer an sich durch den Datenempfänger (aktiv) initiiert wird.
2. Allgemeine Definition der Verarbeitung
60
Art. 4 Nr. 2 DSGVO definiert die Verarbeitung als jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
61
Die „eigentliche“ Definition der Verarbeitung enthält also insgesamt drei Voraussetzungen:
1. Es muss ein Vorgang oder eine Vorgangsreihe ausgeführt werden.
2. Dies muss mit oder ohne Hilfe automatisierter Verfahren erfolgen.
3. Dies muss im Zusammenhang mit personenbezogenen Daten erfolgen.
Ein subjektiver Verarbeitungswille der verarbeitenden Stelle wird vom Wortlaut der Norm hingegen nicht vorausgesetzt.
a) Ausgeführte(r) Vorgang/Vorgangsreihe
62
Ein ausgeführter Vorgang bzw. eine ausgeführte Vorgangsreihe setzt eine Handlung voraus, die zur Folge hat, dass etwas mit den Daten geschieht bzw. ein Umgang mit ihnen erfolgt.147 In der Regel geht damit die Veränderung des Zustands der Daten einher, so z.B., dass Daten, die vorher nicht bei einer Stelle vorlagen, dort nun vorliegen oder Daten, die bisher nicht gespeichert waren, nunmehr gespeichert sind.148 Unerheblich ist es in diesem Zusammenhang, ob nur ein einzelner Vorgang stattfindet oder eine Reihe aufeinanderfolgender Vorgänge (z.B. zunächst eine Erhebung, danach eine Speicherung und danach eine Offenlegung).149 Dies hat der Verordnungsgeber in der Definition gem. Art. 4 Nr. 2 DSGVO dadurch klargestellt, dass eine Verarbeitung nicht nur durch einen Vorgang, sondern auch durch eine Vorgangsreihe erfolgen kann. Sofern ein Gebäudeeigentümer Akten in seinem Gebäude bloß lagert, ohne diese dort selbst eingelagert zu haben und er mit diesen Akten nicht weiter „umgeht“, er diese also z.B. nicht sichtet, umlagert oder sortiert, stellt dies nach Auffassung des OVG Hamburg keine Handlung und damit auch keinen Vorgang und im Ergebnis keine Datenverarbeitung dar.150
b) Mit oder ohne Hilfe automatisierter Verfahren
63
Die zweite Voraussetzung einer Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO besteht darin, dass der Vorgang bzw. die Vorgangsreihe mit oder ohne Hilfe automatisierter Verfahren erfolgt. Ein automatisierter Vorgang liegt vor, wenn er mit Hilfe von Datenverarbeitungsanlagen, wie z.B. Computern, Servern, Smartphones, Tablets oder auch Wearables erfolgt.151 Demgegenüber liegt ein nichtautomatisierter Vorgang vor, wenn er ohne die Hilfe von Datenverarbeitungsanlagen, also i.d.R. manuell erfolgt.152 Der Sinn und Zweck dieser Voraussetzung erschließt sich vor diesem Hintergrund nicht unmittelbar, da es mit anderen Worten unerheblich ist, ob die Daten mit Hilfe einer Datenverarbeitungsanlage verarbeitet werden oder nicht. Daher kann diese Voraussetzung nur eine klarstellende Funktion haben.153
64
Sofern der Vorgang automatisiert erfolgt, ist es nach hier vertretener Ansicht nicht zwingend erforderlich – wenngleich in der Praxis die Regel –, dass diese Handlung durch einen Menschen initiiert wurde.154 Für ein solches Erfordernis bietet der Wortlaut der Definition keinen Anhaltspunkt. Insbesondere folgt eine solche Anforderung nach hier vertretener Meinung nicht aus dem in Art. 4 Nr. 2 DSGVO verwendeten Begriff „ausführen“, da auch eine Maschine einen Vorgang ausführen kann.155 Auch die systematische Auslegung der DSGVO, insbesondere die Definition des Verantwortlichen in Art. 4 Nr. 7 DSGVO, erfordert es nach hier vertretener Ansicht nicht, dass ein Mensch den jeweiligen Vorgang initiiert. So ist es zwar zutreffend, dass ein Verantwortlicher (nur) derjenige ist, der über die Zwecke und Mittel der Datenverarbeitung entscheidet. Hieraus lässt sich jedoch nicht ableiten, dass ein Vorgang i.S.d. Art. 4 Nr. 2 DSGVO nicht autonom durch eine Maschine initiiert werden kann bzw. eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO nur dann vorliegt, wenn ein Mensch den jeweiligen Vorgang initiiert hat.156 So kann die Definition des Verantwortlichen nicht die Definition der Verarbeitung beschränken. Vielmehr muss auf Basis des feststehenden Sachverhalts (also des stattfindenden Vorgangs) untersucht werden, wer für die jeweilige Datenverarbeitung verantwortlich ist. Die Definition der Verarbeitung ist mit anderen Worten die Basis, die nicht durch die Definition des Verantwortlichen eingeschränkt werden kann.
65
Soweit der Vorgang nicht automatisiert erfolgt, ist aber darauf zu achten, dass der Anwendungsbereich der DSGVO bei der nichtautomatisierten Verarbeitung gem. Art. 2 Abs. 1 DSGVO nur dann eröffnet ist, wenn personenbezogene Daten verarbeitet werden, die in einem Dateisystem i.S.d. Art. 4 Nr. 6 DSGVO gespeichert sind oder gespeichert werden sollen (siehe hierzu ausführlich Art. 2 Rn. 10ff.).
c) Im Zusammenhang mit personenbezogenen Daten
66
Schließlich muss der (nicht) automatisierte Vorgang bzw. die (nicht) automatisierte Vorgangsreihe noch im Zusammenhang mit personenbezogenen Daten erfolgen. Dies ist der Fall, wenn die (nicht) automatisierte Handlung personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO (siehe hierzu ausführlich Rn. 2ff.) betrifft. Die englischsprachige Fassung von Art. 4 Nr. 2 DSGVO spricht insoweit auch präziser von „any operation or set of operations which is performed on personal data or on sets of personal data“.157
d) Verarbeitungswille
67
Das Vorliegen einer Verarbeitung ist objektiv zu bestimmen. Der subjektive Verarbeitungswille der verarbeitenden Stelle ist bei der Bestimmung, ob eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO vorliegt, daher grundsätzlich unbeachtlich (siehe auch oben Rn. 64).158 Allerdings kann der (fehlende) Verarbeitungswille unter Umständen bei der Bestimmung des „Verantwortlichen“ gem. Art. 4 Nr. 7 DSGVO eine Rolle spielen.
3. Beispiele für Verarbeitungsformen
68
Im Anschluss an diese „eigentliche“ Definition der Verarbeitung listet der Verordnungsgeber in Art. 4 Nr. 2 DSGVO insgesamt 16 Beispiele für Verarbeitungsformen auf. Diese Liste mit Verarbeitungsformen ist aber nicht abschließend, wie aus dem Wortlaut von Art. 4 Nr. 2 DSGVO eindeutig hervorgeht („wie das Erheben, das Erfassen, die...“). Somit können also auch andere in Art. 4 Nr. 2 DSGVO nicht ausdrücklich genannte Verarbeitungsformen eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO darstellen, sofern sie die Voraussetzungen der gerade erläuterten „eigentlichen“ Definition der Verarbeitung erfüllen.
69
Die in Art. 4 Nr. 2 DSGVO genannte Liste mit Beispielen beinhaltet 1. das Erheben, 2. das Erfassen, 3. die Organisation, 4. das Ordnen, 5. die Speicherung, 6. die Anpassung, 7. die Veränderung, 8. das Auslesen, 9. das Abfragen, 10. die Verwendung, 11. die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, 12. den Abgleich, 13. die Verknüpfung, 14. die Einschränkung, 15. das Löschen und 16. die Vernichtung.
a) Das Erheben personenbezogener Daten (1. Alt.)
70
Das Erheben personenbezogener Daten bezeichnet – in Anlehnung an § 3 Abs. 4 BDSG a.F. – das Beschaffen von Daten über die betroffene Person. Erhoben werden können die Daten entweder direkt von der betroffenen Person oder von einem Dritten i.S.d. Art. 4 Nr. 10 DSGVO.159
71
Unerheblich ist dabei, ob die Daten dem Verantwortlichen zuvor bereits bekannt waren bzw. ob er schon zuvor über diese Daten verfügte oder nicht.160 Es spielt ebenfalls keine Rolle, ob der Verantwortliche die Daten zur Kenntnis nimmt/genommen hat oder nicht. Es reicht aus, dass der Verantwortliche über die Daten verfügt und die Möglichkeit hat, diese zur Kenntnis zu nehmen.161
72
Erforderlich ist hingegen ein aktives Tun des Verantwortlichen, also ein vom Willen des Verantwortlichen getragener Vorgang, die Daten zu erhalten. Dies ergibt sich aus der Bedeutung des Wortes „beschaffen“.162 Werden die Daten dem Verantwortlichen „aufgezwängt“ oder ihm ohne seinen Willen zugesendet, liegt kein Erheben i.S.d. Art. 4 Nr. 2 DSGVO vor.163 Sofern z.B. auf einer Webseite nur Kontaktdaten, wie die E-Mail-Adresse, angegeben werden und eine Person daraufhin ohne Aufforderung personenbezogene Daten an den Betreiber dieser Webseite sendet, liegt kein Erheben i.S.d. Art. 4 Nr. 2 DSGVO vor.164 Allerdings muss der Verantwortliche die ihm ohne seinen Willen zugesendeten Daten dann auch löschen. Verarbeitet der Verantwortliche diese Daten hingegen weiter, kann dies als Erheben gewertet werden.165
b) Das Erfassen personenbezogener Daten (2. Alt.)
73
Ein Erfassen personenbezogener Daten liegt vor, wenn diese auf einem Datenträger fixiert, z.B. aufgeschrieben, aufgenommen oder auf andere Weise verkörpert werden.166 Das Erfassen unterscheidet sich damit von der Speicherung insoweit, als dass sich der Begriff „Erfassen“ auf den Vorgang der Fixierung bezieht, wohingegen sich die Speicherung auf die ggf. anschließende Aufbewahrung bezieht (siehe unten Rn. 76).167
c) Die Organisation personenbezogener Daten (3. Alt.)
74
Die Organisation von Daten beschreibt die Strukturierung von gespeicherten Daten.168 Hierbei ist es unerheblich, auf welche Art und Weise die Organisation erfolgt. In der Regel erfolgt diese – ebenso wie das Ordnen personenbezogener Daten, mit dem sich die Organisation von Daten überschneidet – zu dem Zweck, Daten schneller aufzufinden.169 Zudem ist die Organisation der Daten (eine) Voraussetzung dafür, dass aus unstrukturierten Daten ein Dateisystem i.S.d. Art. 4 Nr. 6 DSGVO wird (siehe hierzu unten Rn. 157ff.).170 Erfolgt die Verarbeitung nichtautomatisiert, ist dies nach Art. 2 Abs. 1 DSGVO Voraussetzung dafür, dass die DSGVO sachlich anwendbar ist.
d) Das Ordnen personenbezogener Daten (4. Alt.)
75
Das Ordnen von personenbezogenen Daten erfordert, dass diese nach bestimmten Gesichtspunkten, Überlegungen, Vorstellungen oder Ähnlichem, wie z.B. der Chronologie oder dem Alphabet, systematisiert werden.171 Mithin erfordert das Ordnen von Daten eine feinere Strukturierung als der Oberbegriff des Organisierens, wovon das Ordnen ein Unterfall ist.172
e) Die Speicherung personenbezogener Daten (5. Alt.)
76
Die Speicherung umfasst die Aufbewahrung personenbezogener Daten in verkörperter Form auf einem Datenträger (wie z.B. einer Festplatte, einem Server, USB-Stick etc.) mit dem Ziel, die Daten zu einem späteren Zeitpunkt weiterverarbeiten zu können.173 Unerheblich ist dabei, ob sich der Datenträger im Eigentum, Besitz oder unter der Verfügungsgewalt des Verantwortlichen befindet. Entscheidend ist, dass er auf die gespeicherten Daten zugreifen kann, sodass auch auf Cloud-Servern verkörperte Daten „gespeichert“ sind.174 Ein Gebäudeeigentümer, der Akten bloß in seinem Gebäude lagert, ohne sie zuvor dort selbst eingelagert zu haben, und der mit ihnen nicht anderweitig „umgeht“, sie also z.B. auch nicht sichtet, umlagert oder sortiert, speichert nach Auffassung des OVG Hamburg keine personenbezogenen Daten.175
f) Die Anpassung personenbezogener Daten (6. Alt.)
77
Die Anpassung personenbezogener Daten ist ein Unterfall der Veränderung (siehe unten Rn. 78) und bezeichnet die Umgestaltung des Inhalts der in einem personenbezogenen Datum enthaltenen Information in einer Art und Weise, dass er im Hinblick auf ein anderes personenbezogenes Datum hin adaptiert wird, z.B. im Hinblick auf den neuen Familienstand der betroffenen Person oder eine neue Bankverbindung.176 Gegebenenfalls kann die Adaptierung auch im Hinblick auf einen anderen Verarbeitungszweck oder einen anderen Verarbeitungsvorgang hin erfolgen.177
g) Die Veränderung personenbezogener Daten (7. Alt.)
78
Die Veränderung bezieht sich auf den Inhalt der in einem personenbezogenen Datum enthaltenen Information. Eine Veränderung i.S.d. Art. 4 Nr. 2 DSGVO liegt vor, wenn dieser Informationsinhalt umgestaltet wird.178 Der Informationsgehalt muss sich also ändern. Eine reine Reduktion des Informationsgehalts stellt grundsätzlich keine Veränderung i.S.d. Art. 4 Nr. 2 DSGVO dar, weil sich hierdurch i.d.R. der Informationsgehalt des personenbezogenen Datums nicht ändert.179 Aus diesem Grunde stellen die Löschung und die Anonymisierung i.d.R. keine Veränderung dar.180 Beim Hinzuspeichern von Daten kommt es darauf an, ob die bereits vorhandenen Daten durch die hinzugespeicherten Daten einen anderen Inhalt bekommen.181
h) Das Auslesen personenbezogener Daten (8. Alt.)
79
Das Auslesen umfasst die Wiederherstellung gespeicherter personenbezogener Daten zu Zwecken der weiteren Verarbeitung oder um diese zur Kenntnis zu nehmen.182
i) Das Abfragen personenbezogener Daten (9. Alt.)
80
Das Abfragen von personenbezogenen Daten bedeutet, einen Datenträger gezielt anhand bestimmter Kriterien, wie z.B. bestimmten (Such-)Begriffen, zu durchsuchen.183 Hierbei ist es unerheblich, ob der durchsuchte Datenträger unter der Verfügungsgewalt des Verantwortlichen steht oder ob es sich hierbei um eine externe Datenbank handelt.184 Für eine solche Einschränkung findet sich weder im Wortlaut noch in der Systematik der Vorschrift bzw. der DSGVO ein Hinweis.
j) Die Verwendung personenbezogener Daten (10. Alt.)
81
Die Verwendung personenbezogener Daten erfasst jeden Umgang mit personenbezogenen Daten – mit Ausnahme der Erhebung –185 und stellt somit einen Auffangtatbestand für Verarbeitungsformen dar, die nicht ausdrücklich in Art. 4 Nr. 2 DSGVO genannt werden.186 Wenn man insoweit nicht von einem redaktionellen Fehler ausgeht, verdeutlicht sich der Auffangcharakter dieses Begriffs insbesondere auch in ErwG 50 zur Zweckänderung, in dem der Begriff als Sammelbegriff für (sämtliche) Verarbeitungsformen verwendet wird.187
82
In Abhängigkeit vom jeweiligen Zusammenhang kann auch die Anonymisierung als Verwendung zu qualifizieren sein,188 vorausgesetzt, dass dabei mit personenbezogenen Daten umgegangen wird.
k) Die Offenlegung personenbezogener Daten (11. Alt.)
83
Die Offenlegung bezeichnet ganz grundlegend den Vorgang, anderen personenbezogene Daten zugänglich zu machen, sodass diese die Möglichkeit haben, die Daten zur Kenntnis zu nehmen.189
84
Eine Offenlegung liegt allerdings nur dann vor, wenn der Adressat, dem personenbezogene Daten zugänglich gemacht werden, ein Empfänger i.S.d. Art. 4 Nr. 9 DSGVO ist (siehe zum Begriff des Empfängers unten Rn. 262ff.). Die Empfängereigenschaft ist insoweit dann aber auch ausreichend. Nicht erforderlich ist es – im Gegensatz zur Übermittlung nach § 3 Abs. 4 Nr. 3 BDSG a.F. –, dass der Adressat Dritter i.S.d. Art. 4 Nr. 10 DSGVO ist.190 Dies ergibt sich aus der systematischen Auslegung von Art. 4 Nr. 2 DSGVO, insbesondere im Zusammenspiel mit der Definition des Empfängers in Art. 4 Nr. 9 DSGVO (siehe ausführlich unten Rn. 269).
85
Nach Art. 4 Nr. 9 DSGVO ist ein Empfänger eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Die prägenden Merkmale des Empfängers bestehen also darin, dass ihm gegenüber Daten offengelegt werden und es sich bei ihm nicht um einen Dritten i.S.d. Art. 4 Nr. 10 DSGVO handeln muss. Es wäre daher systematisch sinnwidrig, wenn eine Offenlegung, z.B. in Form der Übermittlung, auch gegenüber „Nicht-Empfängern“ erfolgen könnte191 oder gegenüber einem Dritten i.S.d. Art. 4 Nr. 10 DSGVO erfolgen müsste.
86
Nach hier vertretener Ansicht (siehe ausführlich unten Rn. 270ff.) sind Mitarbeiter des Verantwortlichen und andere ihm zurechenbare Personen und Stellen grundsätzlich keine Empfänger, weshalb der Verantwortliche ihnen auch nicht Daten i.S.d. Art. 4 Nr. 2 DSGVO offenlegt, wenn er ihnen Daten mitteilt.192 Mitteilungen eines Betriebes an seinen Betriebsrat stellen nach Auffassung des BAG allerdings eine Offenlegung (durch Übermittlung) dar, weil es sich beim Betriebsrat nach Ansicht des BAG insoweit um einen Empfänger i.S.d. Art. 4 Nr. 9 DSGVO handelt.193
87
Als weitere Voraussetzung einer Offenlegung verlangt Art. 4 Nr. 2 DSGVO, dass diese durch eine Übermittlung, eine Verbreitung oder eine andere Form der Bereitstellung erfolgt.194
aa) Übermittlung
88
Eine Übermittlung liegt vor, wenn personenbezogene Daten gezielt einem oder mehreren individuell bestimmten Adressaten mitgeteilt werden.195
89
Die Art und Weise der Übermittlung spielt insoweit keine Rolle, sodass die Übermittlung z.B. schriftlich, elektronisch, mündlich oder auch durch Übergabe eines Datenträgers erfolgen kann.196
90
Werden Daten, z.B. im Internet, zum Abruf oder zur Einsicht bereitgehalten, liegt noch keine Übermittlung vor, da es zu diesem Zeitpunkt (noch) an einer Mitteilung gegenüber einem individuell bestimmten Adressaten fehlt. Dies ist erst dann der Fall, wenn ein Nutzer diese Daten abruft oder einsieht (siehe auch unten Rn. 93).197 In diesem Zusammenhang ist davon auszugehen, dass die Grundsätze des Lindqvist-Urteils des EuGH unter der DSGVO fortgelten, auch wenn diese Entscheidung zur DSRl ergangen ist.198 Demnach liegt keine Übermittlung personenbezogener Daten in ein Drittland vor, wenn ein Verantwortlicher in der EU bzw. dem EWR personenbezogene Daten auf eine Webseite einstellt, die bei ihm oder einem Host-Provider in der EU/dem EWR gehostet wird und diese Webseite – und damit auch die auf ihr eingestellten personenbezogenen Daten – weltweit abgerufen werden können, also auch aus Drittstaaten außerhalb der EU/des EWR.199 Wie soeben erläutert, liegt zu diesem Zeitpunkt aber ohnehin noch keine Übermittlung vor. Allerdings müssen diese Grundsätze auch auf den Fall übertragen werden, dass ein Nutzer die Daten von der Webseite abruft bzw. diese einsieht – also eigentlich eine Übermittlung vorliegt –, da andernfalls die Erwägungen des EuGH praktisch gegenstandslos wären. Diese Grundsätze gelten aber nur für Übermittlungen in ein Drittland, also auf der sogenannten zweiten Stufe.
91
Große Bedeutung in der Praxis besitzt auch die Frage, inwieweit (rechtfertigungsbedürftige) Übermittlungen im Rahmen von Unternehmenstransaktionen vorliegen.200 Erfolgt die Transaktion im Rahmen eines Share Deals, findet keine Übermittlung statt, sofern die personenbezogenen Daten, die sich „im Besitz“ des von der Übernahme betroffenen Unternehmens befinden, nicht einer anderen Stelle (wie dem Erwerber) zugänglich gemacht werden – in diesem Fall ändern sich lediglich die „Eigentumsverhältnisse“ an dem Unternehmen.201 Gehen personenbezogene Daten im Rahmen eines Asset Deals an den Erwerber über, liegt hingegen eine Übermittlung vor.202 Datenweitergaben bei Umwandlungen von Unternehmen nach dem UmwG, wie z.B. einer Verschmelzung, einer Auf- bzw. Abspaltung oder einer Ausgliederung, stellen i.d.R. keine Übermittlungen dar, weil die Verfügungsbefugnis der hiervon betroffenen Daten im Rahmen der Gesamtrechtsnachfolge automatisch auf den neuen Rechtsträger übergeht.203 Diese Ausführungen gelten entsprechend auch für die Offenlegung ganz allgemein, da (auch) diese stets die Zugänglichmachung der Daten gegenüber anderen Stellen erfordert (siehe oben Rn. 83).204
bb) Verbreitung
92
Eine Verbreitung liegt – in Abgrenzung zur Übermittlung – vor, wenn personenbezogene Daten ungezielt einem unbestimmten Adressatenkreis mitgeteilt werden, der Adressat also gerade nicht individuell bestimmt ist, z.B. im Fall der Übertragung der Daten im TV, im Rundfunk oder durch Zeitungen/Zeitschriften.205
cc) Andere Form der Bereitstellung
93
Eine andere Form der Bereitstellung liegt vor, wenn Daten auf andere Art und Weise einer anderen Stelle zugänglich gemacht werden als durch eine Übermittlung oder eine Verbreitung, sodass diese Form der Offenlegung einen Auffangcharakter besitzt.206 So handelt es sich nach hier vertretener Ansicht z.B. um eine andere Form der Bereitstellung, wenn personenbezogene Daten, z.B. im Internet, zur Einsicht oder zum Abruf bereitgehalten werden, da zu diesem Zeitpunkt noch keine Mitteilung an einen individuell bestimmten Adressaten oder einen unbestimmten Adressatenkreis erfolgt (ist). Mithin liegt weder eine Übermittlung noch eine Verbreitung vor. Da die Daten aber anderen Stellen zugänglich sind, liegt eine andere Form der Bereitstellung vor. Erst wenn ein Nutzer Einsicht in diese Daten nimmt bzw. diese abruft, findet eine Übermittlung statt.207
94
Zu beachten ist, dass eine andere Form der Bereitstellung – ebenso wie die Übermittlung und die Verbreitung – erfordert, dass der Vorgang durch eine Aktivität der verarbeitenden Stelle erfolgt, sodass keine andere Form der Bereitstellung vorliegt, wenn ein Angreifer unbefugt in die Systeme der Stelle eindringt und Zugang zu dort gespeicherten Daten erlangt.208
l) Der Abgleich personenbezogener Daten (12. Alt.)
95
Unter Abgleich wird der Vergleich personenbezogener Daten einschließlich der Prüfung verstanden, ob diese Daten in zwei verschiedenen Systemen vorhanden und/oder inwieweit die verglichenen Daten identisch bzw. konsistent sind respektive welche Unterschiede sie aufweisen.209
m) Die Verknüpfung personenbezogener Daten (13. Alt.)
96
Als Verknüpfung wird die Zusammenführung von personenbezogenen Daten bezeichnet.210 Dies kann z.B. erfolgen, indem ein Datensatz zu einem anderen Datensatz hinzugespeichert wird. So kann z.B. das Nutzungsprofil einer betroffenen Person, das über einen Cookie A erstellt wurde, mit einem Nutzungsprofil dieser Person, das über einen Cookie B erstellt wurde, im Rahmen des sogenannten Cookie Matching zusammengeführt, also verknüpft werden, um gegenüber dieser Person (noch) passgenauere Werbung ausspielen zu können, die noch besser auf ihre Vorlieben hin abgestimmt ist, als dies mit nur einem Nutzungsprofil möglich wäre.211 Ausreichend ist es aber auch, wenn in einen Datensatz ein Verweis auf einen anderen Datensatz mit aufgenommen wird.212
n) Die Einschränkung der Verarbeitung (14. Alt.)
97
Die Einschränkung der Verarbeitung wird in Art. 4 Nr. 3 DSGVO gesondert definiert. Demnach bedeutet die Einschränkung der Verarbeitung die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Insoweit kann für die Einzelheiten dieses Begriffs auf die Kommentierung zu Art. 4 Nr. 3 DSGVO verwiesen werden (siehe unten Rn. 106ff.).
o) Das Löschen personenbezogener Daten (15. Alt.)
98
Das Löschen personenbezogener Daten bedeutet (ganz allgemein) das Unkenntlichmachen dieser Daten.213 Durch das Löschen muss es unmöglich gemacht werden, dass die in den zu löschenden Daten enthaltenen personenbezogenen Informationen (weiterhin) mit verhältnismäßigem Aufwand zur Kenntnis genommen oder sonst wie in irgendeiner sinnvollen Art und Weise verarbeitet werden können.214
99
Die Löschung beschreibt somit das Ziel des Vorgangs. Auf welche Art und Weise dieses Ziel erreicht wird, gibt Art. 4 Nr. 2 DSGVO nicht vor. So kann eine Löschung z.B. durch die Vernichtung des Datenträgers, das Überschreiben der Daten, die nichtreversible Entfernung der Daten vom Datenträger, aber nach hier vertretener Ansicht auch durch die Anonymisierung der Daten erfolgen.215
100
Unklar ist allerdings, ob die Daten nichtreversibel anonymisiert werden müssen, damit sie als gelöscht qualifiziert werden können, oder ob dafür auch eine faktische Anonymisierung reicht, bei der die Re-Identifizierung also nur praktisch nicht durchführbar ist, z.B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erfordern würde216 (siehe ausführlich zur Anonymisierung von Daten oben Rn. 47ff.). Welcher Auffassung der Europäische Datenschutzausschuss zuneigt, lässt sich nach hier vertretener Lesart aus seinen (bisherigen) Ausführungen nicht sicher entnehmen.217
101
Nach hier vertretener Auffassung ist das Erfordernis einer nichtreversiblen Anonymisierung zu strikt. Vielmehr reicht insoweit eine faktische Anonymisierung aus. So vermag auch bereits eine solche faktische Anonymisierung den Personenbezug von Daten zu beseitigen, woraufhin die DSGVO auf die Verarbeitung solcher Daten keine Anwendung mehr findet (siehe hierzu ausführlich oben Rn. 47ff.). Vor dem Hintergrund des Schutzwecks der DSGVO ist kein sachlicher Grund erkennbar, dass Daten in diesem Fall dann nicht auch als gelöscht anzusehen sein sollen.218
102
Mithin erfolgt die Löschung im vorliegenden Zusammenhang also durch die faktische Anonymisierung der Daten. Deshalb „entfällt“ die Löschung nach hier vertretener Ansicht auch nicht nachträglich, sollten anonymisierte Daten zu einem späteren Zeitpunkt infolge der dann verfügbaren Mittel wieder de-anonymisiert werden können.219 Voraussetzung dafür ist aber, dass die personenbezogenen Daten (zuvor) erfolgreich in dem soeben dargestellten Sinne (faktisch) anonymisiert wurden. Bei der Beurteilung, ob Daten als faktisch anonym anzusehen sind, kann es vor dem Hintergrund von Erwägungsgrund 26 Sätze 3 und 4 nach hiesigem Verständnis erforderlich sein, auch die technologischen Entwicklungen mit zu berücksichtigen.220
103
Sobald der jeweilige Verantwortliche die betroffene Person allerdings wieder identifizieren kann – ggf. anhand ihm zurechenbaren Wissens/zurechenbarer Mittel –, die betroffene Person also wieder identifizierbar ist (siehe hierzu oben Rn. 30ff.), sind diese vormals anonymisierten Daten (zumindest für den Verantwortlichen) wieder als personenbezogen i.S.d. Art. 4 Nr. 1 DSGVO zu qualifizieren, woraufhin er bei deren Verarbeitung – sofern auch die weiteren Anwendbarkeitsvoraussetzungen vorliegen – die Anforderungen der DSGVO beachten muss.221
104
Die Definition des Löschens personenbezogener Daten hat insbesondere für Art. 17 DSGVO große Bedeutung, in dem das Recht der betroffenen Person auf Löschung ihrer Daten geregelt ist. Siehe zu den Einzelheiten, insbesondere den Anforderungen an das Löschen, die Kommentierung zu Art. 17 (siehe Art. 17 Rn. 72). Soweit die Löschung zu Zwecken der Erfüllung der Löschpflicht gem. Art. 17 DSGVO erfolgt, kann diese nach hier vertretener Ansicht i.d.R. auf Art. 6 Abs. 1 lit. c i.V.m. Art. 17 DSGVO gestützt werden.222
p) Die Vernichtung personenbezogener Daten (16. Alt.)
105
Die Vernichtung personenbezogener Daten ist eine (Unter-)Form des Löschens und bezeichnet die physische Zerstörung des Datenträgers.223 Soweit teilweise vertreten wird, dass die Vernichtung neben dem Löschen stünde und das Löschen daher die Vernichtung nicht umfasse, sondern der Datenträger bei der Löschung physisch erhalten und funktionsfähig bleiben müsse,224 vermag dies nicht zu überzeugen. So würde dies nach hier vertretener Ansicht die Möglichkeiten des Verantwortlichen zur Löschung personenbezogener Daten gem. Art. 17 DSGVO unzulässig beschränken, der vom Verantwortlichen die Löschung und eben nicht (alternativ) die Vernichtung personenbezogener Daten verlangt. Mithin müsste der Verantwortliche nach dieser Ansicht bei jeder Löschung von Daten nach Art. 17 DSGVO den Datenträger erhalten. Dies entspricht aber nicht dem Sinn und Zweck des Art. 17 DSGVO (siehe hierzu Art. 17 Rn. 19).
IV. Einschränkung der Verarbeitung (Nr. 3)
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang
106
Die „Einschränkung der Verarbeitung“ bedeutet gem. Art. 4 Nr. 3 DSGVO die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Der Begriff ist mit dem bisher in der EG-DSRl und im BDSG a.F. verwendeten Begriff des „Sperrens“ vergleichbar.225 Eine Definition dieses Begriffs enthielt die EG-DSRl – anders als das BDSG a.F. – jedoch nicht. Nach § 3 Abs. 4 Nr. 4 BDSG a.F. sollte „Sperren“ das Kennzeichnen gespeicherter personenbezogener Daten bedeuten, um ihre weitere Verarbeitung oder Nutzung einzuschränken.
107
Eine eigenständige Definition des Begriffs „Einschränkung der Verarbeitung“ ist in der DSGVO erst seit der Fassung des Rates der Europäischen Union226 enthalten. Das Konzept der Einschränkung der Verarbeitung war aber – ohne eine entsprechende Begriffsdefinition – auch bereits im Vorschlag der Europäischen Kommission enthalten.227
108
In der DSGVO wird der Begriff der „Einschränkung der Verarbeitung“ vor allem in Art. 18 DSGVO verwendet. So handelt es sich bei diesem Begriff zugleich um ein Betroffenenrecht, welches die betroffene Person gegenüber dem Verantwortlichen geltend machen kann. Die Voraussetzungen, Rechtsfolgen und Ausnahmen dieses Rechts sind in Art. 18 DSGVO geregelt, der durch ErwG 67 konkretisiert wird. Im Zusammenhang mit diesem Recht bestehende Mitteilungspflichten sind in Art. 19 DSGVO geregelt, welcher den Begriff der „Einschränkung der Verarbeitung“ ebenfalls verwendet. Art. 4 Nr. 2 DSGVO stellt klar, dass die Einschränkung der Verarbeitung auch eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO darstellt (siehe oben Rn. 97). Des Weiteren verlangen Art. 13 Abs. 2 lit. b bzw. Art. 14 Abs. 2 lit. c DSGVO sowie – im Rahmen eines Auskunftsersuchens – Art. 15 Abs. 1 lit. e DSGVO unter den dort genannten Voraussetzungen, dass die betroffene Person über das Bestehen des Rechts auf Einschränkung der Verarbeitung i.S.d. Art. 18 DSGVO informiert werden muss. Zudem gibt Art. 58 Abs. 2 lit. g DSGVO den Aufsichtsbehörden die Befugnis, die Einschränkung der Verarbeitung anzuordnen.228 Auch im BDSG wird der Begriff an verschiedenen Stellen verwendet, so insbesondere in § 35 BDSG, der Ausnahmen vom Recht auf Löschung gem. Art. 17 DSGVO regelt und anstelle der Löschung der Daten deren eingeschränkte Verarbeitung verlangt.
2. Begriff der Einschränkung der Verarbeitung
a) Inhalt
109
Die Bedeutung des Begriffs „Einschränkung der Verarbeitung“ gem. Art. 4 Nr. 3 DSGVO erschließt sich nur im Zusammenspiel mit Art. 18 DSGVO. So enthält die Definition des Begriffs „Einschränkung der Datenverarbeitung“ eine Tautologie, indem die Markierung der Daten gerade zu dem Ziel der „Einschränkung der Datenverarbeitung“ erfolgen muss, ohne diesen Begriff jedoch inhaltlich weiter zu definieren. Auch wenn eine solche Tautologie in der englischsprachigen Fassung der DSGVO nicht enthalten ist,229 geht auch aus der dort verwendeten Definition der Inhalt der Einschränkung der Datenverarbeitung nicht hervor.
110
Dieser ergibt sich vielmehr aus Art. 18 DSGVO (siehe hierzu ausführlich Art. 18 Rn. 9ff.). So besteht das Recht der betroffenen Person auf Einschränkung der Verarbeitung der sie betreffenden Daten gem. Art. 18 DSGVO z.B. für die Dauer der entsprechenden Prüfung, wenn die betroffene Person die Richtigkeit der Daten bestreitet oder wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind, die betroffene Person sie jedoch noch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt (siehe zu den inhaltlichen Voraussetzungen des Rechts auf eingeschränkte Verarbeitung Art. 18 Rn. 10–23).
111
Die Einschränkung der Verarbeitung tritt damit oftmals an die Stelle der Löschung. So überwiegen in diesen Fällen die Gründe für eine weitere Speicherung und „eingeschränkte“ Verarbeitung der Daten die durch eine Löschung der Daten geschützten Interessen der betroffenen Personen.230
b) Rechtsfolgen
112
Sind Daten eingeschränkt i.S.d. Art. 18 DSGVO zu verarbeiten, dürfen sie gem. Art. 18 Abs. 2 DSGVO nur noch gespeichert und zu den in Art. 18 Abs. 2 DSGVO genannten engen Zwecken verarbeitet werden, wie z.B. zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (siehe zum Umfang der nach Art. 18 Abs. 2 DSGVO erlaubten Verarbeitung ausführlich Art. 18 Rn. 28–34). Alle darüber hinausgehenden Datenverarbeitungen bedürfen der Einwilligung der betroffenen Person.
c) Mittel zur Umsetzung der Einschränkung der Verarbeitung
113
Die DSGVO gibt keine verpflichtenden Vorgaben, mit welchen technischen und organisatorischen Mitteln der Verantwortliche die eingeschränkte Verarbeitung der Daten zu realisieren hat, sondern überlässt die Wahl der Mittel dem Verantwortlichen. Allerdings führt der Verordnungsgeber in ErwG 67 verschiedene Beispiele hierfür auf. So können z.B. Daten, die nur noch eingeschränkt verarbeitet werden dürfen, für diese Dauer von den übrigen Daten separiert und in einem anderen Verarbeitungssystem gespeichert, für Nutzer gesperrt oder – soweit sie auf einer Webseite eingestellt wurden – von dieser vorübergehend entfernt werden. Auch wenn die Wahl der Mittel grundsätzlich dem Verantwortlichen übertragen wird, verlangt ErwG 67 für den Fall, dass Daten automatisiert, also rechnergestützt, verarbeitet werden, dass die Einschränkung grundsätzlich (auch) durch technische Mittel erfolgt, und zwar so, dass die personenbezogenen Daten in keiner Weise weiterverarbeitet werden und nicht verändert werden können. Außerdem sollte nach ErwG 67 in dem automatisierten Datenverarbeitungssystem unmissverständlich darauf hingewiesen werden, dass die Verarbeitung der personenbezogenen Daten eingeschränkt wurde (siehe zu den Anforderungen an die Umsetzung des Rechts auf Einschränkung der Verarbeitung ausführlich Art. 18 Rn. 27).
V. Profiling (Nr. 4)
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang
a) Profiling
114
Der Begriff „Profiling“ umfasst gem. Art. 4 Nr. 4 DSGVO jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen. Bei dieser Begriffsdefinition, die erst durch einen Änderungsantrag des EU-Parlaments mit in die DSGVO aufgenommen wurde,231 handelt es sich um eine Neuerung. So enthielt die DSRl keine Definition des Begriffs „Profiling“.232 Die Art.-29-Datenschutzgruppe nimmt zu diesem Begriff in ihren Leitlinien zu automatisierten Einzelfallentscheidungen und Profiling Stellung.233
115
In der DSGVO wird der Begriff im Rahmen des Widerspruchsrechts in Art. 21 Abs. 1 und 2 DSGVO sowie im dazugehörigen ErwG 70 verwendet. Allerdings besitzt die Verwendung des Begriffs in den genannten Vorschriften keine besondere Relevanz, weil durch die Nennung des Begriffs in der jeweiligen Vorschrift nur klargestellt wird, dass sie unter den dort genannten Voraussetzungen auch das Profiling erfassen. Hierfür wäre eine ausdrückliche Nennung des Begriffs aber rechtlich nicht zwingend erforderlich gewesen, weil diese Vorschriften das Profiling auch ohne die ausdrückliche Nennung des Begriffs (schon) erfasst hätten. Lediglich in ErwG 60 könnte die Verwendung des Begriffs eine rechtliche Bedeutung haben, als hieraus folgen könnte, dass betroffene Personen auch über Profiling zu informieren sind, obwohl Art. 13 und 14 DSGVO dies nicht ausdrücklich vorschreiben (siehe Art. 13 Rn. 27 und Art. 14 Rn. 9).234 In ErwG 72 wird sodann noch klargestellt, dass Profiling den Vorschriften dieser Verordnung für die Verarbeitung personenbezogener Daten unterliegt und der Europäische Datenschutzausschuss Leitlinien hierfür herausgeben kann.
b) Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
116
Häufiger wird der Begriff im Rahmen der Regelungen zu automatisierten Einzelfallentscheidungen verwendet, so in den ErwG 63, 71 und 91 sowie in Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g,235 Art. 15 Abs. 1 lit. h,236 Art. 22,237 Art. 35 Abs. 3 lit. a,238 Art. 47 Abs. 2 lit. e239 und Art. 70 Abs. 1 lit. f240 DSGVO. Der Verordnungsgeber verwendet in diesen Vorschriften die Formulierung „automatisierte Entscheidung im Einzelfall einschließlich Profiling“, teilweise auch in leicht abgewandelter Form. Allerdings ist zu beachten, dass sich der Begriff des Profiling vom Begriff der automatisierten Einzelfallentscheidung unterscheidet.241 So ist eine automatisierte Entscheidung im Einzelfall gem. Art. 22 Abs. 1 DSGVO eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Mithin setzt eine solche Entscheidung also nicht zwingend ein Profiling voraus, sondern kann auch auf Basis einer anders gearteten („normalen“) Datenverarbeitung ergehen. Und auch wenn die datenverarbeitende Stelle Profiling einsetzt, müssen gem. Art. 22 Abs. 1 DSGVO noch weitere Voraussetzungen erfüllt sein, damit eine automatisierte Einzelfallentscheidung vorliegt. So muss z.B. noch eine Entscheidung getroffen werden und diese muss der betroffenen Person gegenüber auch rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.
117
Damit ist also nicht jedes Profiling automatisch eine automatisierte Einzelfallentscheidung i.S.d. Art. 22 DSGVO. Dies ist nur der Fall, wenn die in Art. 22 Abs. 1 DSGVO genannten Bedingungen erfüllt sind. Wenn der Verordnungsgeber also die Formulierung „automatisierte Entscheidung im Einzelfall einschließlich Profiling“ verwendet, soll dadurch nur klargestellt werden, dass auch Profiling unter den in Art. 22 DSGVO genannten Voraussetzungen eine automatisierte Einzelfallentscheidung sein kann. Mithin handelt es sich bei Art. 22 DSGVO nicht um eine Vorschrift, die das Profiling generell regelt (siehe Art. 22 Rn. 40ff.).242 Die Zulässigkeit des Profiling richtet sich – auch ausweislich des ErwG 72 – nach den allgemeinen Regeln der DSGVO.243
2. Begriff des Profiling
118
Die Definition des Profiling in Art. 4 Nr. 4 DSGVO beinhaltet drei Voraussetzungen: 1. Die Datenverarbeitung muss automatisiert erfolgen, 2. die Verarbeitung muss sich auf personenbezogene Daten beziehen, 3. die Verarbeitung muss erfolgen, um bestimmte persönliche Aspekte zu bewerten, die sich auf die betroffene Person beziehen.244
a) Automatisierte Datenverarbeitung
119
Automatisiert erfolgt die Datenverarbeitung, wenn die Daten durch automatisierte Mittel, also rechnergestützt verarbeitet werden (siehe Art. 2 Rn. 9).245 Allerdings bedeutet dies nicht, dass jede menschliche, also manuelle Tätigkeit im Rahmen des Profiling gleich dazu führen würde, dass die Tätigkeit kein Profiling i.S.d. Art. 4 Nr. 4 DSGVO mehr darstellen kann.246
b) Verarbeitung in Bezug auf personenbezogene Daten
120
Dass sich die Datenverarbeitung auf personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO beziehen muss, ist evident, da sonst der sachliche Anwendungsbereich der DSGVO gem. Art. 2 Abs. 1 DSGVO schon gar nicht eröffnet wäre. Für den Begriff des personenbezogenen Datums kann auf die Kommentierung zu Art. 4 Nr. 1 DSGVO oben unter Rn. 2ff. verwiesen werden.
c) Zweck der Datenverarbeitung: Bewertung bestimmter persönlicher Aspekte
121
Entscheidend für die Qualifikation eines Datenverarbeitungsvorgangs als „Profiling“ ist ganz regelmäßig der Zweck, der mit der jeweiligen Datenverarbeitung verfolgt wird. Damit ein Profiling i.S.d. Art. 4 Nr. 4 DSGVO vorliegt, muss der Zweck der Datenverarbeitung in der Bewertung bestimmter persönlicher Aspekte bestehen, die sich auf eine natürliche Person beziehen. Solche persönlichen Aspekte können nach Art. 4 Nr. 4 DSGVO z.B. die Arbeitsleistung, die wirtschaftliche Lage, die Gesundheit, persönliche Vorlieben, Interessen, die Zuverlässigkeit, das Verhalten, der Aufenthaltsort oder Ortswechsel dieser natürlichen Person sein, die im Rahmen des Profilings analysiert oder vorhergesagt werden. Diese Auflistung ist aber nicht abschließend. So können auch andere persönliche Aspekte, wie z.B. die DNA, die (ethnische) Herkunft oder die Körpersprache, im Rahmen eines Profilings bewertet werden. Oftmals werden für eine solche Bewertung Daten aus verschiedenen Quellen zusammengeführt und ausgewertet,247 so z.B. oftmals beim Scoring, bei bestimmten Online Behavioral Advertising-Diensten oder im Rahmen von Big Data.
122
Die Bewertung bestimmter persönlicher Aspekte erfordert eine Einschätzung bzw. Beurteilung/Wertung der Persönlichkeit der betroffenen Person.248 Deshalb stellt die reine Segmentierung von Listen anhand bestimmter Kriterien zu statistischen Zwecken oder um einen aggregierten Überblick zu erhalten, kein Profiling i.S.d. Art. 4 Nr. 4 DSGVO dar, so z.B. die Analyse von Käufer- oder Nutzergruppen anhand bestimmter Kriterien wie Alter, Geschlecht etc.249 Demgegenüber wird z.B. regelmäßig im Rahmen des Kredit-Scorings, des Online Behavioral Advertisings, des Direktmarketings oder teilweise auch im Rahmen von Bewerbermanagement-Tools die Persönlichkeit der betroffenen Person bewertet.
123
Keine Rolle bei der Qualifikation eines Datenverarbeitungsvorgangs als Profiling i.S.d. Art. 4 Nr. 4 DSGVO spielt der Umstand, durch welche Technologie das Profiling erfolgt. So ist die DSGVO gem. ErwG 15 technologieneutral. Für das Vorliegen von Profiling i.S.d. Art. 4 Nr. 4 DSGVO ist es zudem irrelevant, ob die Bewertung der Person im Rahmen des Profiling richtig oder falsch bzw. vollständig oder unvollständig ist. Allerdings sind diese Umstände im Rahmen der Zulässigkeit der Datenverarbeitung zu berücksichtigen, insbesondere vor dem Hintergrund des Grundsatzes der Richtigkeit gem. Art. 5 Abs. 1 lit. d DSGVO.250
VI. Pseudonymisierung (Nr. 5)
1. Rechtlicher Hintergrund/Gesetzessystematischer Zusammenhang
124
Die Pseudonymisierung spielt als Schutzmechanismus für personenbezogene Daten unter der DSGVO eine prominentere Rolle als noch unter der alten Rechtslage. In Art. 4 Nr. 5 DSGVO ist die Pseudonymisierung definiert als „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“.
125
Die Pseudonymisierung ist mithin ein Werkzeug, durch das die Identität einer betroffenen Person verschleiert bzw. die Identifizierung erschwert werden kann, indem die direkt identifizierenden Merkmale von den anderen Informationen getrennt und durch ein Ersatzkennzeichen, das Pseudonym,251 ersetzt werden. Im Gegensatz zur Anonymisierung (zur Abgrenzung siehe bereits oben Rn. 54) behält sich der Verantwortliche jedoch eine separate Zuordnungsmöglichkeit bei (z.B. eine Zuordnungstabelle oder einen Schlüssel). Beispiele für Pseudonyme können Nutzerkennungen, E-Mail-Adressen, öffentliche bzw. private Schlüssel (z.B. in Blockchains) und Künstler- oder Decknamen sein,252 wobei stets gesondert geprüft werden muss, ob tatsächlich eine wirksame Pseudonymisierung i.S.v. Art. 4 Nr. 5 DSGVO vorliegt (dazu unten Rn. 124ff.). Die Pseudonymisierung ist ein wichtiger Bestandteil vieler neuer Technologien, wie z.B. Datenanalyse im Rahmen von Augmented Reality,253 Big Data,254 Car-to-Car-Communication,255 HealthTech,256 InsurTech257 und Blockchains.258
126
Pseudonyme Daten werden selbst nicht ausdrücklich definiert, aus der Definition der Pseudonymisierung in Art. 4 Nr. 5 DSGVO lässt sich jedoch schließen, dass pseudonyme Daten personenbezogene Daten sind, die „ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“.
127
Neben der Definition in Art. 4 Nr. 5 DSGVO und den begleitenden Erwägungen in ErwG 26 Satz 2, 28, 29, 78 Satz 3 hält die DSGVO keine Erläuterungen vor, wie genau eine Pseudonymisierung erreicht werden kann. Hierfür sind wiederum die noch zur DSRl getätigten Ausführungen der Art.-29-Datenschutzgruppe hilfreich.259 Die DSRl sah keine Definition der Pseudonymisierung vor; auf deutscher Gesetzesebene existierte eine entsprechende Begriffsbestimmung in § 46 Nr. 5 BDSG, die jedoch lediglich für die für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten zuständigen öffentlichen Stellen Anwendung findet und – mit marginalen Abweichungen – den Wortlaut von Art. 4 Nr. 4 DSGVO wiedergibt.
2. Rechtliche Wirkung und Anreize
128
Nach ErwG 26 Satz 2 sind einer Pseudonymisierung unterzogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden können, als Informationen über eine identifizierbare natürliche Person, also als personenbezogene Daten (siehe dazu oben Rn. 55), zu betrachten. Rechtlich gesehen bewirkt eine Pseudonymisierung unter der DSGVO somit keine umfassende Privilegierung für den Verantwortlichen in dem Sinne, dass – wie bei der Anonymisierung – das Verbotsprinzip auf die Verarbeitung der pseudonymen Daten keine Anwendung mehr findet. Insofern bedarf es zur Verarbeitung pseudonymer Daten weiterhin eines entsprechenden gesetzlichen Erlaubnistatbestands. Für andere Stellen, die die Zuordnungsregel nicht kennen, kann es sich bei einer Pseudonymisierung unterzogener Daten allerdings auch – dem (eingeschränkten) relativen Verständnis des Personenbezugs folgend (siehe dazu oben Rn. 34) – um anonyme Daten handeln, sofern kein anderweitiges wahrscheinlich von den Empfängern oder Dritten verwendetes Zusatzwissen verfügbar ist.260
129
Allerdings erkennt der europäische Gesetzgeber in ErwG 28 Satz 1 ausdrücklich an, dass ein Anreiz bestehen muss, personenbezogene Daten zu pseudonymisieren, dass pseudonymisierte Daten die Risiken für die betroffenen Personen senken und die Verantwortlichen und die Auftragsverarbeiter bei der Einhaltung ihrer Datenschutzpflichten unterstützen können. Es ist beispielsweise möglich, durch den unternehmensinternen Einsatz von Pseudonymisierungen die Missbrauchsgefahr von personenbezogenen Daten zu begrenzen, indem Mitarbeitern lediglich Zugriff auf pseudonymisierte Datensätze, jedoch nicht auf die entsprechende Zuordnungsregel gewährt wird. So wird der Anreiz einer unberechtigten Datennutzung minimiert, da die Daten in der Regel weder für den Mitarbeiter noch für einen interessierten Dritten von Wert sein werden, da sie nicht über die nötige Zuordnungsregel verfügen, um die Daten in einem anderen Kontext fruchtbar zu machen.261 Wirtschaftlich gesehen bewahren pseudonymisierte Daten dem Verantwortlichen im Gegensatz zu anonymisierten Daten die Möglichkeit, Daten zusammenzuführen262 oder zu erweitern,263 da die jeweiligen Datensätze einer bestimmten Person – wenn auch unter einem Pseudonym – zugeordnet werden können. Die Pseudonymisierung gewährt somit nicht nur bessere Vertraulichkeit, sondern erhält auch ein gewisses Maß an Nutzbarkeit.264 Andererseits stellt die Zuordnung eines Pseudonyms für viele unterschiedliche Sachverhalte eine Gefahr dar, weil dadurch ein klares Profil der natürlichen Person geschaffen wird und der zu betreibende Aufwand für eine De-Anonymisierung sinkt.265 Es kann daher sinnvoll sein, für jedes Ereignis ein neues Pseudonym (dann auch „Transaktionspseudonym“ genannt)266 zu verwenden.267
130
Nicht ausdrücklich gesetzlich vorgesehen, aber dennoch wohl praktisch als Anreiz existierend, ist der Faktor, dass es eine Interessenabwägung im Rahmen von Art. 6 Abs. 1 lit. f DSGVO zugunsten des Verantwortlichen beeinflussen kann, wenn dieser die jeweils betroffenen Daten lediglich in pseudonymisierter Form verarbeitet.268 Generell dürfte eine Pseudonymisierung bei allen Pflichten in der DSGVO, die eine risikobasierte Prüfung vorsehen, sich positiv für denjenigen, der eine Pseudonymisierung vorgenommen hat, auswirken.269 Spiegelbildlich ist jedoch zu beachten, dass eine Aufhebung der Pseudonymisierung und damit womöglich eine einhergehende Re-Identifizierung eine besonders erhebliche Beeinträchtigung der Rechte der betroffenen Person darstellt, insbesondere wenn dieser die Aufhebung nicht erwarten durfte (vgl. auch die explizite Nennung der Aufhebung der Pseudonymisierung als möglicher Schaden in ErwG 75 und 85 Satz 1).270 Unter der DSGVO besteht hingegen keine generelle Pflicht des Verantwortlichen zur bzw. ein Recht der betroffenen Personen auf Pseudonymisierung (vgl. für Telemedien § 13 Abs. 6 TMG271).272 Dem steht auch schon die ausdrückliche Erwähnung in ErwG 28 Satz 2 entgegen, dass neben der Pseudonymisierung noch andere Möglichkeiten der grundrechtsschonenden Datenverarbeitung existieren. Im Einzelfall kann dem Verantwortlichen aber im Sinne des Grundsatzes der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO und im Rahmen der Interessenabwägung der Einsatz der Pseudonymisierung angeraten sein, um z.B. bei einer Datenanalyse die nicht relevanten identifizierenden Merkmale zu schützen.273 Einige mitgliedstaatliche Vorschriften auferlegen ausdrücklich Pseudonymisierungspflichten, meist bereichsspezifisch (z.B. bei der Verarbeitung von besonderen Kategorien personenbezogener Daten zu Forschungszwecken und statistischen Zwecken, siehe dazu § 27 BDSG Rn. 16ff.).274
131
Die DSGVO gesteht der Pseudonymisierung eine Vielzahl von Erleichterungen bzw. positiven Anerkenntnissen zu. Die Pseudonymisierung ist wie auch die Verschlüsselung (zur Einstufung der Verschlüsselung als Pseudonymisierung siehe unten Rn. 143) etwa gemäß Art. 6 Abs. 4 lit. e DSGVO als begünstigender Faktor bei einer zweckändernden Verarbeitung zu berücksichtigen.275 Bei Verletzungen des Schutzes personenbezogener Daten kann bei vorher erfolgter Verschlüsselung der relevanten Daten die Benachrichtigungspflicht gegenüber betroffenen Personen gemäß Art. 34 Abs. 3 lit. a DSGVO entfallen. Die Pseudonymisierung ist ausdrücklich sowohl eine Maßnahme zur Gewährleistung des Datenschutzes durch Technikgestaltung bzw. des Datenschutzes durch datenschutzfreundliche Voreinstellungen nach Art. 25 Abs. 1 DSGVO276 als auch der Sicherheit der Verarbeitung nach Art. 32 Abs. 1 lit. a DSGVO.277 Die Frage, ob Daten pseudonymisiert wurden oder nicht, ist dementsprechend zumindest mittelbar ein Faktor bei der Bußgeldbemessung nach Art. 83 Abs. 2 lit. d DSGVO. Auch für die Verarbeitung von besonderen Kategorien personenbezogener Daten nach § 22 Abs. 1, 2 BDSG sind ausdrücklich die Pseudonymisierung oder Verschlüsselung in Betracht zu ziehen. Der Einsatz von Pseudonymisierung kann auch dazu führen, dass Pflichten zur Erfüllung der Betroffenenrechten, über Art. 11 DSGVO eingeschränkt werden.278 Sofern Mitgliedstaaten eine Privilegierung der Verarbeitung von personenbezogenen Daten zu im öffentlichen Interesse liegenden Archiv-, Forschungs- oder statistischen Zwecken vorsehen, kann gemäß Art. 89 Abs. 1 Satz 2 DSGVO eine Pseudonymisierung als Bedingung gefordert werden.
132
Im Nachgang an das Schrems II-Urteil des EuGH279 hat der EDSA die Relevanz der Pseudonymisierung von personenbezogenen Daten auch auf Drittlandtransfers erweitert. So geht der EDSA davon aus, dass die Pseudonymisierung von Daten als zusätzliche Sicherheitsmaßnahme (in der Regel also zusätzlich zum Abschluss von EU-Standardvertragsklauseln, vgl. hierzu Art. 46 Rn. 8ff.) in aller Regel ausreichend ist, um beim Datenimporteur im Drittland ein angemessenes Datenschutzniveau für den betroffenen Datentransfer zu etablieren, auch wenn das jeweilige Empfängerland grundsätzlich als unsicher zu klassifizieren wäre.280 Der EDSA setzt dabei jedoch insbesondere voraus, dass der Datenimporteur keine Kenntnis über die jeweils verwendete Zuordnungsregel erhält.
3. Voraussetzung einer wirksamen Pseudonymisierung
133
In Art. 4 Nr. 5 DSGVO hat der europäische Gesetzgeber klare Voraussetzungen für eine wirksame Pseudonymisierung vorgesehen. Grundlegend versteht die DSGVO die Pseudonymisierung nicht nur als technische Maßnahme, sondern sie muss auch durch korrespondierende organisatorische Maßnahmen abgesichert werden.281
134
Im Detail verlangt der Gesetzestext, dass kumulativ282 (a) die Daten nicht ohne zusätzliche Informationen hinzuzuziehen einer natürlichen Person zugeordnet werden können, (b) die zusätzlichen Informationen getrennt aufbewahrt werden und (c) dass durch technische und organisatorische Maßnahmen sichergestellt wird, dass die Daten nicht entsprechend zurückzugeordnet werden.
Бесплатный фрагмент закончился.
