Aufsatz : Anwendbares Recht bei Bezugnahme auf materielles Datenschutzrecht : aus der RDV 1/2016, Seite 3 bis 10

III. Datenschutzrecht und das Kollisionsrecht des IPR

Das IPR hält für den hier adressierten Problemkreis des Kollisionsrechts im Wesentlichen drei Regelungswerke bereit^[16]: VO (EG) Nr. 593/2008 (Rom I-VO)^[17], VO (EG) Nr. 864/2007 (Rom II-VO)^[18] und EGBGB, wobei unmittelbar geltendes EUKollisionsrecht wegen des Anwendungsvorrangs des Unionsrechts gem. Art. 288 Abs. 2 AEUV (vgl. auch Art. 3 Nr. 1 EGBGB) Vorrang gegenüber dem autonomen deutschen Kollisionsrecht genießt. Für die Feststellung, welche Kollisionsvorschrift für bestimmte Bestandteile eines Sachverhalts einschlägig ist, haben sich im IPR grundlegende Mechanismen herausgebildet, mit denen der „Konflikt von Kollisionsnormen“ aufgelöst werden kann.

1. Grundlegende Mechanismen des IPR

a) Ausgangspunkt: Qualifikation

Ausgangspunkt für das Auffinden der maßglichen Kollisionsnorm des IPR ist die sog. Qualifikation. Darunter versteht man die Zuordnung eines Gesamtsachverhalts zu einer Kollisionsnorm^[19]. Inhaltlich geht es um die Auslegung des sachlichen Anwendungsbereichs von Kollisionsnormen, wobei innerhalb des Anwendungsbereichs des EU-Rechts eine Qualifikation nicht wie sonst nach der lex fori^[20], sondern auf der Grundlage einer autonomen unionsrechtlichen Auslegung erfolgt^[21]. Eine pauschale Zuordnung zur datenschutzrechtlichen Kollisionsnorm ist – mit Ausnahme rein datenschutzrechtlich zu beurteilender Sachverhalte – mit Blick auf die Wertungen der ebenfalls berührten europarechtlichen Kollisionsnormen abzulehnen; vielmehr müssen teleologische und historische Aspekte der jeweiligen Regelungen Berücksichtigung finden^[22].

b) Datenschutzrechtliche Vorfragen?

Anknüpfungsprobleme können zunächst hinsichtlich der Beurteilung von präjudiziellen Rechtsverhältnissen bei der Anwendung des materiellen Rechts auftreten. Das IPR bezeichnet den Fall, dass für einzelne Tatbestandsmerkmale erneut die anwendbare Rechtsordnung bestimmt werden muss, als „Vorfragenanknüpfung“^[23]. Wenn beispielsweise eine unerlaubte Datenverarbeitung zur Entstehung eines Anspruchs aus § 823 Abs. 2 BGB i.V.m. Datenschutzvorschriften führt, der ungeachtet des § 7 BDSG geltend gemacht werden kann^[24], wäre es denkbar, die Prüfung, ob gegen ein Schutzgesetz – hier gegen Normen des Datenschutzrechts – verstoßen wurde, als Vorfrage zu behandeln^[25]. Geht man von einer selbständigen^[26] Anknüpfung der Vorfrage aus, würde insofern die datenschutzrechtliche Kollisionsnorm (Art. 4 DSRL) eingreifen. Hinsichtlich des deliktsrechtlichen Anspruchs selbst wäre Art. 40 EGBGB einschlägig^[27]. Diese Vorgehensweise würde vor allem dem Interesse des inneren Entscheidungseinklangs Rechnung tragen^[28].

Bereits gefestigt hat sich diese Praxis im Wettbewerbsrecht. Dort wird die Frage nach der Verletzung von außerwettbewerbsrechtlichen Regelungen als Vorfrage bewertet^[29], wobei die h.L.^[30] und wohl auch die Rechtsprechung^[31] von einer selbstständigen Vorfragenanknüpfung ausgehen. Daran hat auch die Kodifikation der Rom II-VO – unter Berücksichtigung einer autonomen unionsrechtlichen Auslegung – nichts geändert^[32]. Datenschutzverstöße werden unter Berufung auf den verbraucherschützenden und marktverhaltensregelnden Charakter der §§ 28 Abs. 3, 4a Abs. 1 BDSG (vgl. ErwGr. 9, 18, 33 und 71 der DSRL) als Verstoß gegen § 4 Nr. 11 UWG i.V.m. §§ 28 Abs. 3 S. 1, 4a Abs. 1 S. 1, 2 BDSG angesehen^[33] und müssten folglich zumindest im Zusammenhang mit dem Wettbewerbsrecht ebenfalls einer selbstständigen Vorfragenanknüpfung unterzogen werden.

Diese Überlegungen ließen sich auch auf einen Verstoß gegen § 307 Abs. 1 S. 2 Nr. 1 BGB i.V.m. BDSG übertragen^[34]. Die Vorfrage wäre in diesem Fall die Nichtvereinbarkeit einer Bestimmung in den AGB mit dem wesentlichen Grundgedanken der datenschutzrechtlichen Regelung, von der abgewichen wird. Insofern wäre Art. 4 DSRL heranzuziehen. Das für die Hauptfrage maßgebliche Vertragsstatut würde sich dann nach der Rom I-VO bemessen. Mit selbiger Begründung wie zur Rom II-VO könnte man eine selbstständige Anknüpfung der Vorfrage vertreten^[35].

c) Sonderanknüpfung – Datenschutzrecht als lex specialis für einzelne Aspekte?

Schließlich ließen sich datenschutzrechtliche Aspekte bei Bezugnahmen einer sog. Sonderanknüpfung unterziehen, d.h. es wäre dort das anwendbare Recht stets nach Art. 4 DSRL zu bestimmen. Sonderanknüpfungen dienen zur Durchsetzung bestimmter zwingender Regelungsbereiche einer sachnahen Rechtsordnung – häufig handelt es sich um Schutznormen für schwächere Beteiligte (wie etwa Art. 6 Abs. 2 Rom I-VO)^[36].

Ein Spezialitätsverhältnis zugunsten einer sachnäheren unmittelbar anwendbaren Vorschrift auf europäischer Ebene gegenüber den Rom-Verordnungen und dem EGBGB wird allgemein für möglich gehalten^[37]. Dabei bezieht sich das Schrifttum bislang hauptsächlich auf EU-Verordnungen (Art. 288 Abs. 2 AEUV)^[38]. EU-Richtlinien (EU-RL) können dagegen wegen ihrer Umsetzungsbedürftigkeit (Art. 288 Abs. 3 AEUV) in nationales Recht grundsätzlich nicht den unmittelbar anwendbaren Vorschriften vorgehen^[39]. Es spricht dennoch einiges dafür, auch der DSRL einen Vorrang gegenüber dem allgemeinen EU-Kollisionsrecht einzuräumen: Der EuGH hat gerade in Bezug auf das Datenschutzrecht mehrfach betont, dass die DSRL zu einer „umfassenden Harmonisierung“ geführt habe^[40]. Zudem bescheinigte er zumindest Art. 7 lit f. DSRL – ungeachtet der Ermessensspielräume bei der Umsetzung durch die Mitgliedstaaten – eine unmittelbare Wirkung, da die Regelung inhaltlich unbedingt und so hinreichend genau sei, dass der Einzelne im Falle einer ungenügenden Umsetzung im nationalen Recht sich vor nationalen Gerichten auf sie berufen könne^[41]. Derweil sprechen sich sowohl das KG als auch Teile der Literatur dafür aus, auch Art. 4 DSRL – selbst zwischen Privaten – unmittelbar anzuwenden, da die Norm hinreichend bestimmt und abschließend formuliert sei^[42]. Insbesondere weist die Umsetzung in § 1 Abs. 5 BDSG eine überschießende Tendenz auf^[43], sodass eine Berufung auf Art. 4 DSRL vor nationalen Gerichten ermöglicht werden muss. Nimmt man all diese Hinweise auf eine unmittelbare Anwendbarkeit ernst, so muss auch ein Vorrang der DSRL gegenüber den europäischen und den autonomen deutschen IPR-Vorschriften aufgrund von Spezialität möglich sein. Insbesondere ist auch kein Grund ersichtlich, warum eine Sonderanknüpfung in dem Fall, in dem EU-Richtlinienkollisionsrecht unmittelbar zur Anwendung gelangt, anders behandelt werden soll, als der Fall, in dem EU-Verordnungsrecht unmittelbar angewendet wird. In beiden Fällen geht es letztlich um die zwingende Durchsetzung von sekundärem EU-Recht. Auch im Schrifttum wird vereinzelt das Datenschutzrecht allgemein als zwingendes Recht angesehen^[44], mit der Folge, dass sowohl in vertraglichen als auch deliktischen Sachverhalten die datenschutzrechtlichen Kollisionsnormen als lex specialis gegenüber den Kollisionsvorschriften aus den Rom-Verordnungen und dem EGBGB gelten müssen^[45].

Gegen eine solche Bevorzugung der datenschutzrechtlichen Kollisionsvorschriften spricht aber, dass insbesondere die Rom-Verordnungen selbst Ausnahmeregelungen (sog. Öffnungsklauseln) vorsehen. Deren Existenz und die Absicht des Gesetzgebers, mit den Rom-Verordnungen das vom Richtlinienkollisionsrecht geschaffene Durcheinander zu bereinigen^[46], könnte darauf schließen lassen, dass anderweitige Ausnahmen nicht zugelassen werden sollten^[47]. Folglich sind die Öffnungsklauseln der Rom I-VO und Rom II-VO zunächst genauer in den Blick zu nehmen.

d) Öffnungsklauseln in den EU-Kollisionsregelwerken

aa) Datenschutzrechtliche Kollisionsnormen als Ausnahme zur Rom I-VO

Die Rom I-VO ist anwendbar auf vertragliche Schuldverhältnisse, die einen Bezug zum Recht mehrerer Staaten aufweisen (Art. 1 Abs. 1 Rom I-VO). Da es sich bei Datenschutzerklärungen und Einwilligungen häufig zugleich um Bestandteile eines Vertrages handelt^[48], ist grundsätzlich die Rom I-VO anwendbar^[49]. Findet nun z.B. im Rahmen einer AGB-Kontrolle über § 307 Abs. 1 S. 2 Nr. 1 BGB eine Bezugnahme auf materielles Datenschutzrecht statt, ist zu klären, ob insoweit nicht auf Art. 4 DSRL abzustellen ist^[50]. In Art. 9 und 23 Rom I-VO sind jeweils Öffnungsklauseln zugunsten bestimmter Kollisionsnormen oder zwingender Bestimmungen des materiellen Rechts enthalten, denen Art. 4 der DSRL unterfallen könnte.

Nach Art. 23 Rom I-VO betrifft die Rom I-VO „nicht die Anwendung von Vorschriften des Gemeinschaftsrechts, die in besonderen Bereichen Kollisionsnormen für vertragliche Schuldverhältnisse enthalten“. Zwar können AGB datenschutzrechtlich relevante Klauseln enthalten, deren Wirksamkeit sodann von den Bestimmungen der DSRL bzw. ihrer mitgliedstaatlichen Umsetzung abhängt. Gegen eine Einordnung des Art. 4 DSRL als speziellere Norm für vertragliche Verhältnisse im Bereich des Datenschutzrechts^[51] spricht jedoch, dass Art. 1 Abs. 1 DSRL nicht die Regulierung von Schuldverhältnissen, sondern den Schutz Betroffener durch die Festlegung von allgemeinen Vorgaben für die Verarbeitung personenbezogener Daten bezweckt^[52]. Auch sonst findet sich weder in ErwGr. 40 der Rom I-VO noch im zugehörigen Kommissionsentwurf, der in Anhang 1 noch abschließend die spezielleren Vorschriften aufführte, ein Hinweis auf Vorschriften des Datenschutzrechts^[53]. Schließlich gebietet der Vereinheitlichungsgedanke der Rom I-VO eine restriktive Handhabung der Öffnungsklausel^[54]. In Bezug auf die einheitlichen Kollisionsnormen (Art. 3 bis 8 Rom I-VO) legt Art. 9 Abs. 2 Rom I-VO fest, dass Eingriffsnormen i.S.v. Art. 9 Abs. 1 Rom I-VO stets vorrangig zu beachten sind. Maßgebend sind dabei nur international zwingende Eingriffsnormen, die – auch bei zugleich geschützten Individualinteressen – überwiegend dem Schutz öffentlicher Interessen dienen und deren Anwendungsbereich sich auf internationale Sachverhalte bezieht^[55], wobei eine restriktive Auslegung angezeigt ist^[56].

Nach überwiegender Ansicht^[57] handelt es sich bei Art. 4 DSRL und seiner Umsetzung in § 1 Abs. 5 BDSG um Eingriffsnormen i.S.d. Art. 9 Abs. 1 Rom I-VO, weshalb das Datenschutzrecht auch nicht zur Disposition von Vertragsparteien stehen könne^[58]. Zwar hebe ErwGr. 10 der DSRL den Schutz der Privatsphäre des Betroffenen hervor, der Normzweck von § 1 Abs. 5 BDSG bzw. Art. 4 DSRL sei dennoch in erster Linie öffentlich-rechtlicher Natur, da die Erwgr. 7 und 8 der DSRL u.a. die Beseitigung von Hemmnissen für den grenzüberschreitenden Datenverkehr, die Angleichung des Schutzniveaus hinsichtlich der Verarbeitung personenbezogener Daten sowie die Koordinierung der Rechtsvorschriften der einzelnen Mitgliedstaaten nennen würden, um den grenzüberschreitenden Datenverkehr mit dem Ziel des Binnenmarktes in Einklang zu bringen^[59]. Ferner sprächen der Wortlaut des Art. 4 DSRL „[…], auf alle Verarbeitungen personenbezogener Daten, […]“^[60], die in § 3 Abs. 3 Nr. 4 TMG normierte Ausnahme vom Herkunftslandprinzip für das Datenschutzrecht^[61], die Sanktionierung von Datenschutzverstößen mittels Bußgeldern (§ 43 BDSG) und Straftatbeständen (§ 44 BDSG) und der öffentlich-rechtliche Erlaubnisvorbehalt^[62] für einen zwingenden Charakter der Vorschrift. Dass das BDSG in seinem allgemeinen Teil auch Regelungen für Private treffe und nach § 1 Abs. 2 Nr. 3 BDSG auch für nicht-öffentliche Stellen gelte^[63], sei nicht von Belang, denn die Rechtsnatur einer Regelung habe gerade keinen Einfluss auf deren Einordnung als Eingriffsnorm.^[64]

Gegen eine Einordnung als Eingriffsnorm^[65] spricht jedenfalls der sowohl mit der DSRL (Art. 1 Abs. 1, ErwGr. 2, 18) als auch mit der ergänzenden Richtlinie 2002/58/EG^[66] (ErwGr. 2) intendierte Schutz der Privatsphäre des Einzelnen durch Gewährleistung der Grundrechte aus Art. 7 und 8 EU-GRC. Klassische Funktion der Grundrechte ist es nämlich, die Freiheitsphäre des Einzelnen vor Eingriffen zu schützen (sog. status negativus)^[67]. Damit wird ein erhebliches privates Interesse unterstrichen^[68]. Dieser nach Art. 1 Abs. 1 DSRL gewährte Schutz des Einzelnen wird in ErwGr. 18 der DSRL gerade im Hinblick auf das anwendbare Recht hervorgehoben und ist daher bei der Beurteilung von Art. 4 DSRL zu beachten. Auch das im Europarecht anerkannte^[69] Prinzip der praktischen Konkordanz stützt diese Annahme. Bei einem Aufeinandertreffen gegenläufiger Schutzpositionen in einem konkreten Sachverhalt verbietet es die praktische Konkordanz, einer Position vorschnell oder abstrakt den Vorrang einzuräumen^[70]; vielmehr muss in solchen Fällen ein Ausgleich gefunden werden, bei dem alle Schutzgüter (hier nach Art. 1 Abs. 1 DSRL Grundfreiheiten^[71] und Grundrechte) bestmöglich zur Geltung kommen. Der Schutz der Grundrechte^[72] muss demnach nicht grundsätzlich hinter dem zugleich von Art. 4 DSRL bezweckten Schutz der Grundfreiheiten zurückstehen, sondern es muss im Einzelfall ein Ausgleich zwischen ihnen gefunden werden.

Datenschutzverstöße werden außerdem nicht nur durch die öffentliche Hand sanktioniert, sondern können, angesichts ihrer zunehmenden Einstufung als Marktverhaltensregeln i.S.v. § 4 Nr. 11 UWG und wegen der Möglichkeit, Datenschutzverstöße in AGB mittels des UKlaG zu rügen, auch durch berechtigte private Stellen (§ 8 Abs. 3 UWG und § 3 Abs. 1 UKlaG) verfolgt werden. Diese Tendenz soll künftig durch Aufnahme bestimmter Datenschutzvorschriften in den Katalog der Verbraucherschutzgesetze des § 2 Abs. 2 UKlaG erheblich ausgeweitet werden^[73]. Unstreitig steht auch bei Vorschriften der AGB-Kontrolle (§§ 305 ff. BGB) der Individualrechtsschutz im Vordergrund^[74], jedenfalls soweit Verstöße von Einzelpersonen und nicht von Verbänden oder Mitbewerbern geltend gemacht werden.

In der Gesamtschau bestehen angesichts der geforderten restriktiven Anwendung der Öffnungsklauseln berechtigte Zweifel an einer Einordnung von Art. 4 DSRL als Eingriffsnorm i.S.v. Art. 9 Rom I-VO^[75].

bb) Datenschutzrechtliche Kollisionsnormen als Ausnahme zur Rom II-VO?

Die Rom II-VO setzt gem. Art. 1 Abs. 1 Rom II-VO das Bestehen eines außervertraglichen Schuldverhältnisses mit internationalem Bezug voraus. Nach Art. 1 Abs. 2 lit. g) Rom II-VO findet die Verordnung jedoch keine Anwendung auf außervertragliche Schuldverhältnisse, die aus der Verletzung der Privatsphäre oder der Persönlichkeitsrechte hervorgehen. Von diesem Ausnahmetatbestand werden grundsätzlich auch Verstöße gegen das Datenschutzrecht erfasst^[76], da mit ihnen in aller Regel auch Persönlichkeitsrechtsverletzungen einhergehen^[77].

Die Tendenz der jüngeren Rechtsprechung, bestimmte Datenschutzverstöße als Wettbewerbsverstöße nach § 4 Nr. 11 UWG zu werten^[78], stellt zwar gehäuft Verletzungen von Datenschutzvorschriften – ebenso wie Persönlichkeitsrechtsverletzungen^[79] – in einen wettbewerbsrechtlichen Kontext. Jedoch ist wegen der von der h.L. favorisierten selbstständigen Anknüpfung von Vorfragen im Lauterkeitsrecht^[80] in Bezug auf die Verletzung einer datenschutzrechtlichen Norm auf Art. 4 DSRL abzustellen. Dem entspricht auch der Ausnahmetatbestand des Art. 1 Abs. 2 lit. g) RomII-VO.

Jenseits des Wettbewerbsrechts kommt die Rom II-VO bei einer unerlaubten Datenverarbeitung (§§ 823 Abs. 1 und Abs. 2 BGB), die auch das Persönlichkeitsrecht verletzt, wegen Art. 1 Abs. 2 lit. g Rom II-VO erst gar nicht zum Zuge. In diesem Fall ist zwar ein Rückgriff auf Art. 40 EGBGB^[81] erforderlich. Gleichwohl ändert sich am Ergebnis nichts, wenn man Art. 4 DSRL als lex specialis gegenüber Art. 40 EGBGB betrachtet, was mit den Erwägungen zur Sonderanknüpfung im Einklang steht^[82].

Die Anwendbarkeit der Rom II-VO lässt sich allerdings bejahen, wenn Unterlassungsansprüche wegen unwirksamer AGB nach § 307 ff. BGB (§ 1 UKlaG) Gegenstand einer Verbandsklage (§ 3 UKlaG) sind. Dann ist wegen des deliktischen Charakters des Unterlassungsanspruches auf die Kollisionsnormen der Rom II-VO abzustellen^[83]. Sofern die Verbandsklage einen Bezug zum materiellen Datenschutzrecht aufweist (z.B. § 307 Abs. 15.2 Nr. 1 BGB), ist ein Rückgriff auf die Öffnungsklauseln der Rom II-VO (Art. 16, 27) ebenso kritisch zu betrachten, wie es bei denen der Rom I-VO (Art. 9, 23) der Fall ist, da die gleichen Anforderungen zugrunde gelegt werden^[84].

2. Vorrang datenschutzrechtlicher Kollisionsregeln

Nachdem nun die möglichen Lösungsansätze samt ihrer Vorund Nachteile benannt sind, soll noch untersucht werden, aus welchen Gründen den datenschutzrechtlichen Bestimmungen im Widerstreit der Kollisionsregelungen den Vorrang zu gewähren ist.

Für die Heranziehung anderer Kollisionsvorschriften anstelle von Art. 4 DSRL bei der Beurteilung von Datenschutzverstößen spricht, dass die Frage nach Datenschutzverstößen häufig nur untergeordnetes Merkmal eines Tatbestandes darstellt, der einer völlig anderen Rechtsmaterie (z.B. dem AGB-Recht oder dem Wettbewerbsrecht) zuzuordnen ist. Auch besteht die Gefahr, durch ein Vorziehen von Art. 4 DSRL in datenschutzrechtlichen Zusammenhängen einen Wertungswiderspruch zu erzeugen, z.B. wo ausländisches Datenschutzrecht auf die Wertungen des deutschen AGBRechts trifft^[85]. Zudem sind die allgemeinen europäischen Kollisionsnormen, die den europäischen Entscheidungseinklang fördern sollten^[86], jünger als die Datenschutzrichtlinie, könnten also in dem Bewusstsein oder sogar in der Absicht ergangen sein, den Wirkungsbereich der DSRL zu beschränken.

Gegen eine solche Annahme lässt sich aber einwenden, dass zumindest die Rom II-VO Ansprüche aufgrund von Persönlichkeitsrechtsverletzungen ausdrücklich nicht erfasst^[87]. Im Rückschluss könnte dies darauf hindeuten, dass mit den Rom-Verordnungen Eingriffe in den territorialen Anwendungsbereich von Sachnormen des Datenschutzrechts überhaupt nicht hervorgerufen werden sollten, der EU-Gesetzgeber jedoch die möglichen Zusammenhänge zwischen vertrag lichen Schuldverhältnissen und dem Datenschutzrecht übersehen und deswegen eine entsprechende Klausel in die Rom I-VO nicht eingefügt hat^[88].

Allein die Existenz „eigener“ Kollisionsnormen betont die Gewichtigkeit des Datenschutzrechts. Ihr Wortlaut gibt Aufschluss darüber, dass grundsätzlich „alle Verarbeitungen personenbezogener Daten“ (Art. 4 Abs. 1 DSRL; ähnl. ErwGr. 18 DSRL) in den von Art. 4 DSRL abgesteckten Regelungsbereich fallen sollen. Es sollen die Grundrechte und Grundfreiheiten natürlicher Personen geschützt werden (Art. 1 Abs. 1 DSRL, ErwGr. 3 ff. DSRL). Beide Schutzgüter setzen die volle Entfaltung der Wirksamkeit der datenschutzrechtlichen Kollisionsnormen voraus^[89]. Ließe man dennoch in manchen Fällen eine Beurteilung datenschutzrechtlicher Problematiken anhand anderer Kollisionsnormen zu, so würde die Frage nach dem anwendbaren Datenschutzrecht, entgegen der ursprünglich breiten Regelungsintention der DSRL, stark perspektivenabhängig. Dies würde nicht nur Rechtsunsicherheit und Intransparenz mit sich bringen, sondern auch einen „Flickenteppich“ des anwendbaren Datenschutzrechts erschaffen: Datenverarbeiter könnten sich entgegen der ausdrücklichen Zusicherung in Art. 4 Abs. 1 lit. a) DSRL gerade nicht mehr auf das Niederlassungsprinzip verlassen, sondern müssten je nach Zusammenhang und Sachverhalt damit rechnen, sich an das Datenschutzrecht anderer Mitgliedstaaten halten zu müssen. Dabei sind Wertungswidersprüche^[90] kaum zu befürchten, da die mit dem Datenschutzrecht in Berührung kommenden Rechtsgebiete in den meisten Fällen ihrerseits auf europäischen Regelungen beruhen und somit auch bei der Anwendung von Rechtsordnungen unterschiedlicher Staaten ein gemeinsamer Bezugspunkt für die Auslegung besteht.

Die noch im Gesetzgebungsverfahren befindliche Datenschutzgrundverordnung begnügt sich auch folgerichtig nicht mit einem geringeren, von anderen Kollisionsnormen beschnittenen Anwendungsbereich, sondern präsentiert im Gegenteil einen erweiterten Anwendungsraum, um „überall in der Union […] Rechtssicherheit und Transparenz“ zu schaffen (ErwGr. 11 DSGVO-E). Bleibt also festzuhalten, dass die datenschutzrechtlichen Kollisionsnormen ein erhebliches Gewicht besitzen, zur Förderung der Unionsziele, namentlich der Gewährleistung von Grundrechten und Grundfreiheiten, einen wesentlichen Beitrag leisten, und es ihrer Zweckrichtung und Funktionsweise zuwiderlaufen würde, ihren Anwendungsbereich zugunsten anderer Kollisionsvorschriften zu verkürzen.

3. Umsetzung des Vorrangs des Datenschutzrechts

Für die Umsetzung der aufgezeigten Wertentscheidung stehen im IPR die bereits vorgestellten Mechanismen zur Verfügung. Insbesondere gegen eine Anwendung der Art. 9, 23 Rom I-VO, Art. 16, 27 Rom II-VO bestehen allerdings – wie dargelegt – Vorbehalte^[91].

Unter Berücksichtigung einer autonomen unionsrechtlichen Auslegung bedarf es jedoch gar keines Rückgriffs auf diese Öffnungsklauseln. Denn wie bereits erwähnt können direkt anwendbare Kollisionsvorschriften des Unionsrechts einer Sonderanknüpfung unterzogen werden^[92]. Es besteht insoweit Konsens, dass das Unionsrecht auf supranationaler Ebene selbst bestimmt, ob unmittelbar anwendbare Vorschriften zwingend sind; insoweit kommt es auf eine Einordnung als Eingriffsnorm i.S.d. Art. 9 Abs. 1 Rom I-VO^[93] oder als speziellere Regelung für vertragliche Schuldverhältnisse i.S.v. Art. 23 Rom I-VO nicht an. Diese Überlegung resultiert aus dem „EU-Rangkollisionsrecht“^[94]. Zwar ist einer Sonderanknüpfung abseits der Öffnungsklauseln in Verbindung mit den Rom-Verordnungen wegen deren umfassender Regelungsintention mit absoluter Zurückhaltung zu begegnen. Die besondere Stellung des Datenschutzrechts und die zugleich festgestellten Probleme bei der Anwendung der Öffnungsklauseln können aber diesen Schritt durchaus rechtfertigen.

Infolgedessen scheint es mit Blick auf das EU-Rangkollisionsrecht vorzugswürdig, die Art. 4 DSRL mittels einer Sonderanknüpfung den Vorschriften der Rom I-VO, Rom II-VO und EGBGB als lex specialis vorzuziehen^[95]. Kein anderes Resultat würde sich ergeben, wenn man Bezugnahmen auf materielles Datenschutzrecht als präjudizielle Rechtsverhältnisse begreift und Verstöße gegen Datenschutzvorschriften als Vorfragen – aus den dargelegten Gründen – selbständig anknüpft.^[96]

IV. Datenschutzrecht und das Kollisionsrecht im IÖR

Das Internationale Öffentliche Recht (IÖR) ist ein noch in der Entwicklung befindliches Rechtsgebiet, dessen Wirkungsbereich von Menzel als „die Abgrenzung des staatsund verwaltungsrechtlichen Hoheitsbereichs“ und als die Bestimmung der „ ‚externen‘ Wirkungen eigenen und [der] ‚internen‘ Wirkungen fremden ‚Öffentlichen Rechts‘ bzw. Staatshandelns“^[97] beschrieben wird. Es stützt sich im Wesentlichen auf die grundsätzliche Annahme, dass der Staat über sein Hoheitsgebiet seine Hoheitsgewalt ausübt und es beschützt^[98]. Folglich liegt das Augenmerk im IÖR zunächst auf den „eigenen“ Normen^[99]. Anerkannt ist aber auch, dass es geschriebene Kollisionsregeln gibt, denen gegenüber den ungeschriebenen Grundsätzen eine Vorrangstellung zukommt^[100].

Unter Berücksichtigung der allgemeinen Grundsätze im IÖR ist für einen aufgrund eines datenschutzrechtlichen Verstoßes ergangenen Verwaltungsakt und für mögliche Rechtsmittel gegen ihn grundsätzlich deutsches Recht anwendbar, soweit dieser Verstoß sich im deutschen Staatsgebiet oder auf deutsche Staatsbürger auswirkt und von einer deutschen Behörde auf deutschem Boden gerügt wird^[101]. Da das Datenschutzrecht aber mit Art. 4 DSRL selbst auch eine Kollisionsnorm bereithält, wird die Anwendbarkeit des Datenschutzrechts nach der spezielleren DSRL beurteilt, soweit ein Verstoß gegen einzelstaatliches Datenschutzrecht im Rahmen der Prüfung eines entsprechenden Verwaltungsakts von Bedeutung ist^[102]. Zu beachten ist allerdings, dass die Bestimmung des anzuwendenden Rechts keinen Einfluss auf die Zuständigkeiten der Aufsichtsbehörden hat (vgl. § 1 Abs. 5 S. 5 BDSG)^[103].

V. Datenschutzrecht und das Kollisionsrecht im IStrR

Die territoriale Anknüpfung im Strafrecht ist an §§ 3 ff. StGB zu messen, wonach das deutsche Strafrecht grundsätzlich räumlich für solche Taten anwendbar ist, die im Inland begangen wurden.

Im Strafrecht erübrigte sich bislang eine Diskussion um das anzuwendende Datenschutzrecht, denn sobald ein Sachverhalt die Erfüllung eines Straftatbestandes betrifft, greifen aus deutscher Sicht für das gesamte Strafrecht allein die §§ 3 ff. StGB ein^[104]. Die DSRL regelt ausweislich ihres 21. ErwGr. nicht die strafrechtlichen Belange im Datenschutz, sodass auf §§ 3 ff. StGB abzustellen ist^[105].

VI. Ausblick

Letztlich wird es die Aufgabe der Rechtsprechung und Gesetzgebung sein, verbindliche Wertungen zu etablieren, die eine Abgrenzung insbesondere der Kollisionsnormen im IPR von den datenschutzrechtlichen Vorschriften ermöglichen. Die geplante Neuregelung der territorialen Anwendbarkeit nach der Datenschutzgrundverordnung^[106] (DSGVOE) ist bislang als Verbesserung zur bisherigen Vorschrift gewertet worden, insbesondere weil mit Ansätzen des Marktortprinzips^[107] in Art. 3 Abs. 2 DSGVO-E bisherige Unsicherheiten bei der Auslegung entschärft werden. Da spezielle Kollisionsnormen in EU-Verordnungen Vorrang gegenüber dem europäischen und autonomen IPR haben^[108], dürfte – auch bei Bezugnahmen auf das künftige materielle Datenschutzrecht – Art. 3 DSGVO-E als maßgebliche Kollisionsnorm im Rahmen einer Sonderanknüpfung vorrangig heranzuziehen sein.