DS-GVO/BDSG

DS-GVO/BDSG

DS-GVO/BDSG

Datenschutz-Grundverordnung

Bundesdatenschutzgesetz

Herausgegeben von
Prof. Dr. Rolf Schwartmann Andreas Jaspers Prof. Dr. Gregor Thüsing Prof. Dr. Dieter Kugelmann
Bearbeitet von
Michael AtzertAntonia BuchmannLucia BurkhardtMiriam ClausLars DietzeLevent Ferik, LL.M.Prof. Dr. Lorenz FrankProf. Dr. Dieter Frey, LL.M. (Brügge)Prof. Klaus GennenMaximilan HermannFelix Hilgert, LL.M.Rolf HünermannProf. Dr. Thomas Jacquemain, LL.M.Andreas JaspersProf. Dr. Tobias O. KeberDr. Lutz Martin KeppelerDr. David Klein, LL.M. (Washington)Sascha KremerProf. Dr. Dieter KugelmannSabine Leutheusser-Schnarrenberger	Prof. Dr. Mario MartiniRobin L. MühlenbeckThomas MüthleinProf. Dr. Heinz-Joachim PabstFritz Ulli Pieper, LL.M.Yvette Reif, LL.M.Dr. Philipp RichterSteve RitterSebastian RombeySandra RömerMaria Christina RostDr. Matthias RudolphDr. Maximilian SchmidtAdrian SchneiderProf. Dr. Rolf SchwartmannProf. Dr. Margrit SeckelmannProf. Dr. Gregor Thüsing, LL.M. (Harvard)Dr. Johannes TrautSteffen WeißTim Wybitul
2., neu bearbeitete Auflage
C.F.Müller GmbH www.cfmueller.de

Impressum

Impressum

Bibliografische Informationen der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über <http://dnb.d-nb.de> abrufbar.

ISBN 978-3-8114-8851-9

E-Mail: kundenservice@cfmueller.de

Telefon: +49 89 2183 7923

Telefax: +49 89 2183 7620

www.cfmueller.de

© 2020 C.F. Müller GmbH, Waldhofer Straße 100, 69123 Heidelberg

Hinweis des Verlages zum Urheberrecht und Digitalen Rechtemanagement (DRM) Der Verlag räumt Ihnen mit dem Kauf des ebooks das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen. Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und Einspeicherung und Verarbeitung in elektronischen Systemen. Der Verlag schützt seine ebooks vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Bei Kauf im Webshop des Verlages werden die ebooks mit einem nicht sichtbaren digitalen Wasserzeichen individuell pro Nutzer signiert. Bei Kauf in anderen ebook-Webshops erfolgt die Signatur durch die Shopbetreiber. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.

Vorwort zur 2. Auflage

Vorwort zur 2. Auflage

Die zweite Auflage des Heidelberger Kommentars zur Datenschutz-Grundverordnung und zum Bundesdatenschutzgesetz legen wir gut zwei Jahre nach dem Erscheinen der Erstauflage im Mai 2018 und damit zugleich nach zwei Jahren Wirksamkeit der DS-GVO vor. In dieser Zeit haben sich Rechtsprechung, Aufsichtspraxis und Schrifttum zum Datenschutzrecht rasant entwickelt. Einige der Fragen, die sich vor zwei Jahren gestellt haben und am „grünen Tisch“ beantwortet werden mussten, sind mittlerweile gerichtlich entschieden oder durch Aufsichtspraxis unterlegt. Die Entscheidungen des Europäischen Gerichtshofs insbesondere zur gemeinsamen Verantwortlichkeit und zur Form der Einwilligung für Online-Geschäfte sind einerseits Marksteine, andererseits fällt die Umsetzung in der Praxis der Wirtschaft schwer. Aufsichtsbehörden sind bislang in Einzelfällen dazu übergegangen, äußerst empfindliche Bußgelder zu verhängen, deren rechtliche Belastbarkeit teils noch aktuell überprüft wird. Die Ergebnisse dürften Einfluss auf die rechtliche Bewertung der Bußgeldberechnungsmodelle der Datenschutzkonferenz haben. Die Instanzgerichte entscheiden noch sehr unterschiedlich und Betroffene und Verantwortliche warten ebenso auf Klärung wie die Aufsichtsbehörden. Aktuell wird das europäische Datenschutzrecht evaluiert und es erhält weitere Impulse. Das Abschlussgutachten der Datenethikkommission von 2019 hat einen Fokus auf die Kontrolle algorithmischer Systeme beim Einsatz „künstlicher Intelligenz“ gelegt und Empfehlungen zu deren Einsatz in der Wirtschaft gegeben. Zugleich hat sie sich für neue Modelle des Einwilligungsmanagements bis hin zu Datentreuhandmodellen ausgesprochen. Zusammenschlüsse aus Angehörigen von Wirtschaft und Aufsicht ergreifen Initiativen, etwa bei der Entwicklung eines Codes of Conduct zur Pseudonymisierung. Die Neuauflage fällt zeitlich in die „Corona-Krise“, unter der die Wirtschaft in Europa erheblich leidet und die zugleich mit exponentiell wachsender Verarbeitung insbesondere digitaler Daten einhergeht, denkt man an den Einsatz von Videokonferenzsystemen oder Apps und anderer technischer Mittel zur Bekämpfung der Pandemie.

Was muss der Heidelberger Kommentar zur DS-GVO und zum BDSG im Juli 2020 leisten? Er hat zunächst die Aufgabe, klare Einordnungen des komplexen Rechtsstandes zwischen europäischem und nationalem Recht vorzunehmen. Zugleich soll er in der von vielen – auch rechtlichen – Unsicherheiten geprägten Zeit Impulse für einen sicheren und angemessenen Umgang mit den datenschutzrechtlichen Pflichten geben. In Zeiten schnell steigender Datenverarbeitungen muss ein Weg gefunden werden, der den Betroffenen einen effektiven Schutz ihrer Rechtspositionen gewährt und Verantwortlichen datenschutzkonform Spielraum für ihre datenbasierten und zunehmend datengetriebenen Geschäftsmodelle lässt. Der Kommentar soll insbesondere Rechtsprechung, Datenschutzaufsicht, Betroffenen und Verantwortlichen in der Wirtschaft Lösungen anbieten, die Datenschutz und unternehmerische Freiheiten in ein angemessenes und zugleich in der unternehmerischen Praxis abbildbares Verhältnis setzen.

Die Kommentierung befindet sich auf dem Stand von Juli 2020 und war wegen der dynamischen Entwicklungen im Datenschutzrecht an vielen Stellen grundlegend zu überarbeiten und zu ergänzen. Die Kommentierungen wurden auch unter Hinzunahme neuer Mitwirkender sowohl bei der DS-GVO als auch beim BDSG teilweise deutlich ausgebaut. Der Umfang des Kommentars ist um rund 400 Seiten und damit etwa um ein Viertel angewachsen. Neben den zahlreichen Neuerungen war es uns wichtig, im gebotenen Umfang auf die rechtlichen Anforderungen der Corona-Pandemie und deren Zusammenspiel mit dem Pandemie- und Infektionsrecht eingehen zu können.

In formaler Hinsicht hat der Verlag dem Wunsch der Herausgeber Rechnung getragen, die Kommentierung des BDSG optisch hervorzuheben, um die unterschiedlichen Rechtsquellen besser unterscheidbar zu machen. Da sich das BDSG in die von den Öffnungsklauseln der DS-GVO geöffneten Spielräume innerstaatlichen Rechts setzt, haben wir den bewährten Ansatz der „eingeschobenen“ Kommentierung des BDSG beibehalten. So kann das Zusammenspiel des europäischen und nationalen Rechts angemessen aufgegriffen und kohärent dargestellt werden.

Die Herausgeber danken allen Autorinnen und Autoren herzlich für den engagierten und disziplinierten Einsatz bei der Erstellung der Neuauflage und dem C.F. Müller Verlag für das Lektorat. Besonderer Dank gilt Frau Lucia Burkhardt sowie die Herren Robin Mühlenbeck und David Merten von der Kölner Forschungsstelle für Medienrecht für die umsichtige und sorgfältige Unterstützung bei der Umsetzung der komplexen redaktionellen Details der kombinierten Kommentierung von DS-GVO und BDSG.

Köln, Bonn und Mainz im Juli 2020

Rolf Schwartmann Andreas Jaspers Gregor Thüsing Dieter Kugelmann

Vorwort zur 1. Auflage

Vorwort zur 1. Auflage

Die EU-Datenschutz-Grundverordnung (DS-GVO) schafft mit Wirkung zum 25.5.2018 ein in weiten Teilen einheitliches und in allen Mitgliedstaaten der Europäischen Union unmittelbar anwendbares Datenschutzrecht. Es enthält substantielle Änderungen, namentlich etwa mit Blick auf umfangreiche Betroffenenrechte, eine völlige Neuausrichtung der Datenschutzaufsicht und die deutlich erweiterte Möglichkeit, hohe Bußgelder von bis zu 4 Prozent des Vorjahresumsatzes der Unternehmen zu verhängen. Neben den harmonisierten Regelungen werden bestimmte Bereiche, wie zum Beispiel der Beschäftigtendatenschutz, die Zulässigkeit der Datenverarbeitung der öffentlichen Stellen und eine Reihe weiterer Bereiche in unterschiedlichem Ausmaß den Gesetzgebern der Mitgliedstaaten zur Regelung überlassen.

Mit diesem Werk legen wir eine Kommentierung sowohl des europäischen als auch des deutschen bundesrechtlichen Datenschutzrechts im BDSG von 2017 vor, sofern es die Datenschutz-Grundverordnung betrifft. Die Einschränkung bezieht sich auf die Teile 3 und 4 des BDSG (2017), die keine Relevanz für private Stellen besitzen, weil sie Datenverarbeitungen zwischen Behörden betreffen. Der Teil 3 des BDSG betrifft nicht die DS-GVO, sondern setzt die Richtlinie (EU) 2016/680 zum Datenschutz für Justiz und Polizeibehörden um. Die Kommentierung der im Kontext der DS-GVO nicht einschlägigen Normen nur im Sinne der Vollständigkeit erschien uns als nicht notwendig.

Der Fokus dieses Heidelberger Kommentars liegt ganz in der Tradition dieser Reihe auf den Anforderungen der unternehmerischen und behördlichen Praxis.

Das Werk enthält dem Grunde nach gleichrangige Kommentierungen von DS-GVO und BDSG, wobei die Ausführungen zum BDSG in diejenigen zur DS-GVO integriert sind. Auf diese Weise kann den der DS-GVO nur „zugeordneten“ und die Lücken der DS-GVO füllenden Normen im nationalen Recht systematisch und im Wege der Darstellung Rechnung getragen werden.

Weil der Anwendungsbereich des BDSG im Rahmen der Öffnungsklauseln im Verhältnis zur DS-GVO zumindest grundsätzlich gering ist, nimmt die Kommentierung der Grundverordnung naturgemäß den weitaus größeren Teil ein. Wo es uns angebracht erschien, insbesondere beim europarechtlich nicht geregelten Beschäftigtendatenschutz, aber auch in wichtigen Praxisbereichen wie der Videoüberwachung sind das BDSG und sein Verhältnis zur DS-GVO eingehend kommentiert. An anderen Stellen war es ausreichend, die Normen des BDSG, immer unter Berücksichtigung ihrer Bedeutung, weniger eingehend zu bearbeiten.

Die Kommentierungen folgen grundsätzlich jeweils demselben Aufbau. Nach einer normspezifischen Literaturübersicht erfolgt zunächst jeweils eine Einordnung der Normen mit Blick auf ihre Hintergründe und die zugehörigen Erwägungsgründe. An die eigentliche Kommentierung der Vorschriften schließen sich, soweit geboten, Praxishinweise an. Hier wird zwischen der Relevanz für öffentliche Stellen, für nichtöffentliche Stellen sowie für betroffene Personen und Aufsichtsbehörden differenziert.

Auf diese Weise können die Interessen unterschiedlicher Herkunft unmittelbar und gezielt adressiert werden.

Wo die Normen der DS-GVO – insbesondere in deren Art. 6 – in ihren Untergliederungen unterschiedliche Bereiche regeln und zudem durch Vorschriften des BDSG ergänzt werden, sind hier einzelne Absätze innerhalb der Vorschrift unterschiedlichen Bearbeitern zugewiesen.

Die Mitwirkenden am Kommentar sind im Wesentlichen Praktiker, insbesondere im Datenschutz spezialisierte Rechtsanwälte und Vertreter der Datenschutzaufsicht sowie praxisorientierte Wissenschaftler. Eine Besonderheit des Kommentars liegt darin, dass er sowohl mit Blick auf die Herausgeberschaft als auch bei der Auswahl der Autorinnen und Autoren die beiden Pole der Wirtschaft und Aufsicht miteinander vereint. Wir haben die Verantwortlichkeiten der Herausgeber im Wesentlichen so zugewiesen, dass Rolf Schwartmann die Kapitel zur Zulässigkeit der Datenverarbeitung, den Betroffenenrechten, den Beschränkungen sowie die Vorschriften zu Verhaltensregeln und Zertifizierungen und zu den Rechtsbehelfen und Sanktionen betreut. Andreas Jaspers hat sich der Vorschriften zum organisatorischen Datenschutz sowie zum Verantwortlichen und zur Auftragsverarbeitung sowie zum Datenschutzbeauftragten angenommen. Die Vorschriften des Beschäftigtendatenschutzes und des kirchlichen Datenschutzes unterstehen der Herausgeberschaft von Gregor Thüsing. Die Normen über die Aufsicht wurden unter der Verantwortung von Dieter Kugelmann kommentiert.

Der Zeitpunkt des Erscheinens der Kommentierung ist mit Bedacht gewählt. Er fällt im Wesentlichen mit der Anwendbarkeit der bereits seit 25.5.2016 geltenden DS-GVO am 25.5.2018 zusammen. Alle an der Kommentierung Beteiligten waren in den zurückliegenden beiden Jahren – sei es in der unternehmerischen und anwaltlichen Praxis oder in der Aufsicht – intensiv mit der Vorbereitung der Umstellung des Datenschutzrechts nach DS-GVO und seit Sommer 2017 auch nach dem neuen BDSG befasst. In dieser Zeit konnten zahlreiche Konstellationen und deren mögliche Lösung im Hinblick auf das neue Datenschutzrecht durchdacht und erörtert werden. Zugleich konnten die umfangreich erschienene Literatur und die auf deutscher und europäischer Ebene entwickelten Arbeitshilfen bis in den März 2018 hinein berücksichtigt werden.

Die Herausgeber danken allen Autorinnen und Autoren, die an dem Werk mitgewirkt haben. Frau stud. iur. Luisa Kleinen und Herrn stud. iur. David Merten danken wir für die wertvolle Unterstützung bei der Endredaktion. Für die konstruktive Betreuung des Werkes bedanken wir uns beim Verlag.

Köln, Bonn und Mainz im März 2018

Rolf Schwartmann Andreas Jaspers Gregor Thüsing Dieter Kugelmann

Nutzungshinweis zur Zuordnung DS-GVO und BDSG

Nutzungshinweis zur Zuordnung
DS-GVO und BDSG

Die Datenschutz-Grundverordnung ist ein europäischer Rechtsakt, den Art. 288 AEUV nicht nennt. Formal betrachtet, handelt es sich dabei zwar um eine Verordnung (Regulation), wie es sich aus Art. 99 Abs. 1 DS-GVO klar ergibt. Bei der amtlichen Kurzbezeichnung formuliert der europäische Rechtsgeber aber einerseits unschärfer und andererseits präziser. Hier wird nämlich die Bezeichnung Datenschutz-Grundverordnung, DS-GVO (General Data Protection Regulation, GDPR), eingeführt. Inhaltlich enthält die Verordnung in der Tat zahlreiche Öffnungsklauseln, die unter den dort genannten Voraussetzungen Sonderwege eröffnen. Das führt im Ergebnis dazu, dass der Kundendatenschutz faktisch weitgehend harmonisiert ist, der Beschäftigtendatenschutz hingegen über die umfassende Öffnungsklausel des Art. 88 DS-GVO in den Mitgliedstaaten vom Grundsatz her speziell geregelt werden muss. Gerade im Beschäftigtendatenschutz wird deutlich, dass die Mitgliedstaaten jedenfalls teilweise auch nicht auf die Nutzung der Öffnungsklauseln verzichten können. Für die Konsistenz und Einheitlichkeit des Rechts ist das ein Problem, gleichwohl ist es den Notwendigkeiten einer Harmonisierung in einem Bereich geschuldet, die sich bei der Komplexität des Regelungsgegenstandes nicht starr vollziehen lässt.

Wir haben uns in dieser Kommentierung wegen des besonderen Zusammenspiels von DS-GVO und dem die Öffnungsklauseln ausfüllenden mitgliedstaatlichen Recht in der Systematik der Darstellung für eine besondere Vorgehensweise entschieden, die diese Regelungssystematik aufgreift.[1] Sie besteht darin, dass die Kommentierungen des BDSG an den Stellen in die Kommentierung der DS-GVO – so wie sie in den Kolumnenüberschriften genannt sind – eingebettet sind, dort wo sie relevant werden. Mit Hilfe der nachfolgenden Tabelle können Normen aus dem BDSG leicht aufgefunden werden. Die hervorgehobenen Fundstellen verweisen hierbei jeweils auf eine ausführliche Kommentierung der Norm; die übrigen auf diejenigen Stellen, an denen die Norm hierüber hinaus Relevanz entfaltet. Da die Öffnungsklauseln nicht in jedem Fall eindeutige Zuordnungen erlauben, beruht die hier getroffene Zuordnung auf einer Wertung. Vor diesem Hintergrund erklärt es sich, dass die §§ 45–85 BDSG n.F., da sie eine Umsetzung der Richtlinie (EU) 2016/680 darstellen, in der folgenden Übersicht nicht enthalten sind.

Schwartmann