Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 335

94

Die Vorschrift in Buchstabe e, die ihren Ursprung in Art. 7 lit. e DSRl hat, ist für sich allein kein die Datenverarbeitung hoheitlicher Stellen oder hoheitliche Aufgaben wahrnehmender Stellen des Privatrechts legitimierender Erlaubnistatbestand.157 Er stellt vielmehr klar, dass die im öffentlichen Interesse erfolgenden hoheitlichen Aufgaben nur dann eine Verarbeitung personenbezogener Daten rechtfertigen, wenn dem Verantwortlichen durch Rechtsvorschrift eine öffentliche Aufgabe der Ordnungs-, Lenkungs- und Leistungsverwaltung übertragen wurde, zu deren Erfüllung die Verarbeitung personenbezogener Daten erforderlich ist,158 oder wenn nach der zweiten Alternative die Verarbeitung im öffentlichen Interesse erforderlich ist. Erforderlich bedeutet in diesem Kontext des Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO bei einem Eingriff in das Grundrecht auf Datenschutz (Art. 8 GRCh) bzw. das Informationelle Selbstbestimmungsrecht (Art. 2 Abs. 1 i.V.m. Art. 2 Abs. 1 GG), dass vor der Verarbeitung eine Überprüfung der Einhaltung des Erforderlichkeitsgrundsatzes vorzunehmen und dabei das Verhältnismäßigkeitsprinzip streng zu wahren ist (dazu ausführlich § 3 BDSG Rn. 28ff.).159 Gibt es andere oder weniger eingreifende Möglichkeiten zur Erfüllung der Aufgabe als durch Verarbeitung personenbezogener Daten, etwa durch Anonymisierung der Daten, ist diese Option zu wählen.160 Die Datenverarbeitung ist auf das unbedingt Notwendige zu beschränken.

95

Zunächst wird die öffentliche Hand zu prüfen haben, ob bei der von ihr geplanten und durchzuführenden Verarbeitung personenbezogener Daten die DSGVO anzuwenden ist.161 Ist das der Fall, ist in der DSGVO nach einer Erlaubnis zu suchen. Kommt Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO in Betracht, muss ergänzend eine Verbindung zu einer Rechtsvorschrift aus dem Fachrecht der Union oder – was die Regel sein dürfte – des Mitgliedstaates hergestellt werden, mit der Aufgaben und Befugnisse zugewiesen werden, auf die Buchstabe e Bezug nimmt: Die Aufgabe, zu deren Erfüllung die Verarbeitung erfolgt, muss entweder im öffentlichen Interesse162 oder zur Wahrnehmung einer Aufgabe in Ausübung einer dem Verantwortlichen übertragenen öffentlichen Gewalt erforderlich sein. Selbstredend darf dann eine Datenverarbeitung auch nur zu dem Zweck vorgenommen werden, der mit der gesetzlichen Aufgabenbeschreibung zugewiesen wurde. Außerdem sind die weiteren sich aus Absatz 3 ergebenden Anforderungen zu beachten.

96

Damit wird die Verarbeitungserlaubnis in das Fachrecht vornehmlich der Mitgliedstaaten verlagert, das datenschutzrechtliche Erlaubnistatbestände aufgrund der Öffnungsklausel des Art. 6 Abs. 1 UAbs. 1 lit. e i.V.m. den Absätzen 3 und 4 DSGVO vorsehen darf. Den Mitgliedstaaten eröffnet sich damit die Möglichkeit, in den von der Norm vorgegebenen Bereichen der Aufgabenerfüllung im öffentlichen Interesse und bei der Ausübung öffentlicher Gewalt fachspezifische Datenschutzvorschriften beizubehalten oder neu zu schaffen. Es ist aber nicht mehr, wie noch unter dem BDSG a.F., erforderlich, dass die „bereichsspezifische Erlaubnisnorm“ auch eine Regelung enthält, aus der erkennbar wird, dass der parlamentarische Gesetzgeber eine Abwägung des öffentlichen Interesses mit dem Recht auf informationelle Selbstbestimmung mit dem Ergebnis vorgenommen haben muss, dass das informationelle Selbstbestimmungsrecht zurückzutreten hat und die hoheitliche Datenverarbeitung zulässig ist.163 Es genügt nun, wenn im Fachrecht eine öffentliche Aufgabe zugewiesen wird, zu deren Erfüllung im öffentlichen Interesse oder in Wahrnehmung einer Aufgabe in Ausübung öffentlicher Gewalt die Datenverarbeitung erforderlich ist, und die Anforderungen der Art. 6 Abs. 3 und 4 i.V.m. Abs. 1 UAbs. 1 lit. e DSGVO beachtet werden.164 Gleichwohl bleibt zu berücksichtigen, dass Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO wie der § 3 BDSG in Verbindung allein mit einer Aufgabenzuweisung einer Tätigkeit, bei der die Verarbeitung personenbezogener Daten erforderlich ist, einen Eingriff in die Grundrechte der betroffenen Person nur legitimieren kann, wenn die Verarbeitung eine geringe Eingriffsintensität aufweist.165

97

§ 3 BDSG greift dies als mitgliedstaatliche Datenschutzvorschrift auf und erklärt jede Datenverarbeitung durch eine öffentliche Stelle für zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist. Wenn in § 3 BSDG der Wortlaut von Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO wiederholt wird, dann dient dies der Kohärenz und Verständlichkeit der Regelung, sodass die Wiederholung entsprechend ErwG 8 zulässig ist (vgl. § 3 BDSG Rn. 5). Soweit es fachspezifische Datenschutzregelungen gibt, die aufgrund einer Öffnungsklausel der DSGVO verabschiedet wurden und auch öffentlichen Stellen eine Verarbeitung personenbezogener Daten erlauben oder als fachspezifische Regelung außerhalb des Anwendungsbereiches der DSGVO über eine Aufgabenzuweisung hinaus datenschutzrechtliche Erlaubnistatbestände ausdrücklich enthalten, gehen sie dem § 3 BDSG vor (vgl. auch § 3 BDSG Rn. 13).

98

Damit ist der als „Generalklausel“166 bezeichnete § 3 BDSG tatsächlich aber für sich allein ebenfalls kein Erlaubnistatbestand, sondern muss mit einer mitgliedstaatlichen Norm verknüpft sein, die dem Verantwortlichen eine Aufgabe überträgt, zu deren Wahrnehmung die Verarbeitung personenbezogener Daten erforderlich ist.