DS-GVO/BDSG. David Klein

ID (vgl. dazu Kommentierung in Art. 4 Nr. 7 Rn. 140 ff.), ist derzeit der Betrieb einer Fanpage auf Facebook ohne entsprechende Vereinbarung nach Art. 26 DS-GVO datenschutzrechtlich unzulässig. Von einer Übertragbarkeit der Entscheidungen des EuGH auch auf die Dienste von Twitter, Instagram, LinkedIn, XING usw. ist dabei wohl auszugehen.[236] Hinzutreten weitere Rechtsfragen, etwa ob die Nutzung datenschutzwidriger Dienste Teil der rechtmäßigen Aufgabenerfüllung öffentlicher Stellen sein kann, ob behördlichen Positionierungen im Rahmen digitaler Kommunikation rechtliche Bindungswirkung zukommt oder ob das Datenschutzrecht uneingeschränkt Anwendung finden kann, je nachdem ob die Dienste zu dienstlichen bzw. parlamentarischen Zwecken oder privat genutzt werden.[237] Insofern stellen sich eine Vielzahl rechtlicher Problemstellungen, die bei der Nutzung digitaler Dienste durch öffentliche Stellen berücksichtigt werden müssen.

      125

Auch im Rahmen von hoheitlichen Maßnahmen zur Eindämmung der Corona-Pandemie[238] stellt sich die Frage, welche Rechtmäßigkeitsanforderungen hinsichtlich der Verarbeitung personenbezogener Daten bestehen. Hierbei ist zu beachten, dass etwa das Infektionsschutzgesetz (InfSG) nur das Verwaltungshandeln rechtfertigen kann, nicht aber vollumfänglich eine Verarbeitung personenbezogener Daten. Zwar enthält etwa § 16 Abs. 1 S. 2 InfSG eine Befugnis zur Datenverarbeitung, diese ist jedoch auf die mit den Maßnahmen i.S.d. InfSG einhergehenden Datenverarbeitungen beschränkt und kein allgemeiner Erlaubnistatbestand. Neben der Rechtmäßigkeit des Verwaltungshandelns ist hier stets auch die Datenverarbeitung spezialgesetzlich rechtfertigungsbedürftig.

aa) Erfüllung einer in der Zuständigkeit liegenden Aufgabe

      126

Voraussetzung für das Eingreifen des § 3 kann zunächst sein, dass die öffentliche Stelle schlicht im Rahmen ihrer Zuständigkeit tätig wird und dabei personenbezogene Daten verarbeiten muss. Damit stellt sich § 3 als relativ unspezifische Ermächtigungsnorm für die Verarbeitung personenbezogener Daten dar. Insoweit ist nachvollziehbar, dass die Gesetzesbegründung die Norm als „eine subsidiäre, allgemeine Rechtsgrundlage für Datenverarbeitungen mit geringer Eingriffsintensität in die Rechte der betroffenen Person“[239] bezeichnet. Damit ist zugleich davon auszugehen, dass von spezifischeren Ermächtigungsnormen für Datenverarbeitungen höherer Intensität eine höhere Regelungsdichte hinsichtlich der Eingriffsvoraussetzungen zu verlangen ist.

      127

Ein Korrektiv ergibt sich aus § 3 neben dem Merkmal der Erforderlichkeit insoweit, als hierdurch nicht jede Form der Datenverarbeitung legitimiert wird, sondern nur solche Vorgänge erfasst sind, die in der Zuständigkeit der betreffenden Stelle liegen. Damit ergibt sich die Rechtmäßigkeit der Datenverarbeitung nicht bereits aus der Eigenschaft des Verantwortlichen als öffentliche Stelle, hinzutreten muss vielmehr ein Tätigwerden im Einklang mit der Zuständigkeitsordnung. Damit ist zugleich die Rechtmäßigkeit der Aufgabenerfüllung verlangt, was sich aber bereits aus der Bindung der Verwaltung an Recht und Gesetz ergibt.[240]

      128

      Wie nach Art. 6 Abs. 3 kann die Zuständigkeit durch Recht gleich welchen Ranges begründet werden. Die Zuständigkeitszuweisung kann auf Gesetzes-, Verordnungs- oder Satzungsrecht beruhen. Auch müssen die Vorschriften hinreichend transparent insbesondere bezogen auf den Zweck der Datenverarbeitung ausgestaltet sein.

bb) Handeln in Ausübung übertragener öffentlicher Gewalt

      129

      Für öffentliche Stellen im Allgemeinen geht das Handeln in Ausübung öffentlicher Gewalt regelmäßig mit dem Handeln im Rahmen der Zuständigkeitsordnung einher. Auch insoweit darf die öffentliche Stelle nicht über die Befugnisse, die ihr durch die Rechtsordnung eingeräumt sind, hinausgehen.

      130

      Eigenständige Bedeutung erhält der Fall des Handelns in Ausübung öffentlicher Gewalt wiederum für die Privaten, denen durch Gesetz oder aufgrund Gesetzes hoheitliche Befugnisse eingeräumt sind, womit sie als Beliehene zu öffentlichen Stellen werden. Auch für diese Variante gilt, dass die betreffenden Stellen an die Zuständigkeitsordnung gebunden sind und dem Grundsatz der Rechtmäßigkeit der Verwaltung unterfallen.

cc) Erforderlichkeit

      131

Der Erforderlichkeitsgrundsatz war bereits Gegenstand des § 13 Abs. 1 BDSG a.F. Die Bindung an die Erforderlichkeit der Datenerhebung besagt, dass auch öffentliche Stellen nur diejenigen Daten verarbeiten dürfen, die für die Aufgabenerfüllung vonnöten sind. Erforderlich ist damit nur die Verarbeitung derjenigen Daten, ohne deren Kenntnis die öffentliche Stelle die gestellte Aufgabe nicht vollständig, rechtmäßig oder in angemessener Zeit erfüllen könnte.[241]

      132

Die Bindung an die Erforderlichkeit kann aber auch bedeuten, dass eine Datenerhebung, die für die Aufgabenerfüllung grundsätzlich notwendig sein mag, am vorrangigen Persönlichkeitsrecht des Betroffenen scheitern kann.[242] Insoweit hat auch bei einer Datenverarbeitung im Rahmen der Zuständigkeitsordnung stets eine Abwägung zwischen dem öffentlichen Interesse an der Datenverarbeitung und den schutzwürdigen Belangen des Betroffenen i.S. e. Verhältnismäßigkeitsprüfung zu erfolgen.[243]

      133

Durch die Bindung an das Erfordernis der Erforderlichkeit ist regelmäßig auch eine Datenerhebung gleichsam auf Vorrat unzulässig, mag die Datenerhebung auch im Rahmen der Zuständigkeit erfolgen und mögen die Daten auch zu einem späteren Zeitpunkt benötigt werden können.[244]

      134

      Das Merkmal der Erforderlichkeit ist ein unbestimmter Rechtsbegriff, der in jedem Fall der Konkretisierung im Einzelfall bedarf.

G. Art. 6 Abs. 1 lit. f

      (1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

      (...)

f)

die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

      – ErwG: 47, 48, 49

      Literatur:

Art.-29-Datenschutzgruppe WP 217 vom 9.4.2014, S. 38; Calliess/Ruffert EUV/AEUV – Das Verfassungsrecht der Europäischen Union mit Europäischer Grundrechtecharta, 5. Aufl. 2016; Datenethikkommission (DEK) Gutachten v. 23.10.2019[245]; Drewes Dialogmarketing nach der DSGVO ohne Einwilligung der Betroffenen, CR 2016, 721; Konferenz der unabhängigen Datenschutzaufsichtsbehörden (DSK) Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, Stand März 2019; Härting Datenschutz-Grundverordnung – Das neue Datenschutzrecht in der betrieblichen Praxis, 2016; Härting/Gössling/Dimov „Berechtigte Interessen“ nach der DSGVO, ITRB 2017, 169; Jacobs/Lange-Hausstein Datenschutzrechtliche Vorgaben des EuGH für Big Data und