DS-GVO/BDSG. David Klein

enthält.[47]

      62

      Allerdings steht es den Ländern nicht frei, diejenigen Stellen des Landes, die nicht Aufgaben der öffentlichen Verwaltung wahrnehmen, von der Geltung des BDSG auszunehmen.

      63

      

Über § 1 Abs. 1 S. 1 Nr. 2 lit. b sind die Organe der Rechtspflege, soweit sie nicht verwaltende Tätigkeiten wahrnehmen, unter dem Vorbehalt der Nichtexistenz vorrangigen Landesrechts in weiterem Umfang der Geltung des BDSG unterworfen.[48] Umfasst sind hier bspw. auch die Staatsanwaltschaften und Strafvollzugsbehörden,[49] sofern sie nicht verwaltende Tätigkeiten ausüben. Rechtsanwälte wiederum sind zwar Organe der Rechtspflege, aber keine des Bundes oder der Länder. Dagegen unterfallen die Notare der Geltung der (Landes-)Datenschutzgesetze.[50]

b) Nichtöffentliche Stellen

      64

      Für nichtöffentliche Stellen gilt das BDSG, sofern diese ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten, sowie nichtautomatisierte Verarbeitung personenbezogener Daten vornehmen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Das BDSG nimmt insoweit die Begrifflichkeit der DS-GVO auf.

      65

      

      Nichtöffentliche Stellen sind gem. § 2 Abs. 4 natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter die Abs. 1 bis 3 fallen. In Fällen einer Wahrnehmung hoheitlicher Aufgaben, also einer Beleihung, gelten die genannten nichtöffentlichen Stelle als öffentliche Stellen und unterfallen dann § 1 Abs. 1 S. 1.

      66

      

      § 1 Abs. 1 S. 2 nimmt im Übrigen das Haushaltsprivileg nach Art. 2 Abs. 2 lit. c auf, indem die Norm anordnet, dass das BDSG nicht anwendbar ist, wenn die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten erfolgt. Die Regelung entspricht insoweit auch § 1 Abs. 2 Nr. 3 BDSG a.F.

3. Subsidiarität des BDSG

      67

Gemäß § 1 Abs. 2 ist das BDSG subsidiär gegenüber spezielleren datenschutzrechtlichen Vorschriften des Bundes. Dies gilt für Rechtvorschriften jeden Ranges, nicht aber für Tarifverträge und Betriebsvereinbarungen, auch wenn diese für allgemeinverbindlich erklärt sind.[51]

Der Vorrang gilt nur, „soweit“ die betreffende Vorschrift vorrangige Regelungen enthält. Das BDSG bekommt damit insoweit eine Funktion als Auffangvorschrift, gegebenenfalls zur Schließung von Gesetzeslücken.[52]

      68

      Zugleich gehen alle spezialgesetzlich geregelten Geheimhaltungsvorschriften (etwa Sozialgeheimnis, § 35 SGB I, Steuergeheimnis, § 30 AO, Betriebs- und Geschäftsgeheimnisse, § 17 UWG) vor. Ausdrücklich angeordnet ist auch die vorrangige Geltung nicht gesetzlich geregelter Geheimhaltungspflichten, wie etwa das Anwaltsgeheimnis und das Patientengeheimnis.

4. Vorrang vor dem VwVfG

      69

      Wie bereits unter Geltung des § 1 Abs. 4 BDSG a.F. geht das BDSG entsprechend § 1 Abs. 3 den Vorschriften den VwVfG vor, soweit bei Ermittlung eines Sachverhalts personenbezogene Daten verarbeitet werden.

      70

      

Die Anordnung des § 1 Abs. 4 BDSG a.F. betraf insbesondere das Verhältnis zwischen § 4 Abs. 2 BDSG a.F. und §§ 24, 26 VwVfG bezüglich Amtsermittlungsgrundsatz und Beweismitteln im Verwaltungsverfahren. Hier setzte § 4 Abs. 2 BDSG a.F. voraus, dass die Datenerhebung vorrangig beim Betroffenen stattzufinden hatte,[53] womit der Behörde bezüglich der Datenerhebung bei Dritten erhebliche Grenzen gesetzt wurden.

      71

      Eine Parallel-Vorschrift zu § 4 Abs. 2 BDSG a.F. fehlt im BDSG. Die Grundsätze der Direkterhebung ergeben sich mittlerweile vorrangig aus Art. 5 Abs. 1 lit. a. Damit tritt die Bedeutung des § 1 Abs. 3 gegenüber der Vorfassung zurück.

5. Anwendungsbereich

      72

      Während § 1 Abs. 1 die Normadressaten regelt, regelt Abs. 4 den Anwendungsbereich des BDSG. Abs. 4 differenziert zwischen öffentlichen und nichtöffentlichen Stellen.

a) Grundsatz der umfänglichen Anwendbarkeit für öffentliche Stellen

      73

      Für öffentliche Stellen wird in S. 1 – gleichsam deklaratorisch – zunächst die Anwendbarkeit des BDSG als Ganzes ausgesprochen.

b) Voraussetzungen der Anwendbarkeit auf nichtöffentliche Stellen

      74

S. 2 knüpft die Anwendbarkeit für nichtöffentliche Stellen an Voraussetzungen, die teils kumulativ, teils alternativ vorliegen müssen. So ist unter Zugrundelegen der Gesetzesbegründung anzunehmen, dass wenn ein Fall des § 1 Abs. 4 S. 2 Nr. 1 gegeben ist, die Voraussetzungen der Nr. 2 oder der Nr. 3 hinzutreten müssen, damit das BDSG Anwendung findet.[54]

aa) § 1 Abs. 4 S. 2 Nr. 1

      75

      Gemäß § 1 Abs. 4 S. 2 Nr. 1 ist das BDSG auf nichtöffentliche Stellen anwendbar, wenn diese als Verantwortliche oder als Auftragsverarbeiter personenbezogene Daten im Inland verarbeiten.

      76

      Der Begriff des Verantwortlichen, des Auftragsverarbeiters und der Verarbeitung kann unter Rückgriff auf Art. 4 Nr. 2, 7 und 8 bestimmt werden.

      77

Art. 4 Nr. 2 meint mit Verarbeitung „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.“[55]

      78

Zu beachten ist allerdings, dass gem. § 26 Abs. 1 BDSG im Bereich des Beschäftigtendatenschutzes auch für die Verarbeitung personenbezogener Daten einschließlich besonderer Kategorien personenbezogener Daten eingreift, wenn diese nicht in einem Dateisystem gespeichert werden oder gespeichert werden sollen; in der Folge ist auch der Zettelkasten, der unsortiert Vermerke über Beschäftigte enthält, vom BDSG erfasst.[56]

      79

Zugleich muss allein aus Gründen der mangelnden Unterscheidbarkeit davon ausgegangen werden, dass das BDSG auch grenzüberschreitende Verarbeitungsvorgänge erfassen muss.[57]

      80

Nach