Kurzbeitrag : Zur Unionsrechtskonformität von § 3 BDSG : aus der RDV 5/2023 Seite 307 bis 310

I. Einordnung von § 3 BDSG

Für die Bestimmung der konkreten Anforderungen, die aus dem Wiederholungsverbot für nationale Vorschriften folgen, ist zunächst eine Einordnung der Norm in den nationalen und europarechtlichen Kontext erforderlich. § 3 BDSG enthält eine generalklauselartige Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen.^[5] Die Norm legt fest, unter welchen Voraussetzungen eine Datenverarbeitung durch öffentliche Stellen im Anwendungsbereich des BDSG zulässig ist.^[6] Sofern keine bereichsspezifischen Regelungen einschlägig sind, soll die Vorschrift die Zulässigkeit einer solchen Verarbeitung im Rahmen dieser Voraussetzungen unabhängig von dem damit verfolgten Zweck gewährleisten.^[7] Nach der Gesetzesbegründung ist der Anwendungsbereich der Vorschrift auf Datenverarbeitungen mit geringer Eingriffsintensität beschränkt.^[8]

Soweit mit § 3 BDSG die DS-GVO im nationalen Recht konkretisiert wird, kann die Norm auf die Spezifizierungsklausel des Art. 6 Abs. 2, Abs. 3 UAbs. 2 S. 3 gestützt werden.^[9] Dies ist der Fall, wenn § 3 BDSG in Alt. 1 die Privaten ausblendet, sofern sie nicht beliehen sind, und in Alt. 2 die Aufgaben entfallen.^[10]

Umstritten ist hingegen, ob § 3 BDSG auch in seiner Ausprägung als generalklauselartige Rechtsgrundlage auf die DS-GVO gestützt werden kann. So stellt sich die Frage, ob der DS-GVO der Auftrag entnommen werden kann, eine Generalklausel für die Verarbeitung personenbezogener Daten zur Wahrnehmung von Aufgaben im öffentlichen Interesse zu schaffen, oder ob der zugrunde liegende Art. 6 Abs. 3 UAbs. 1 DS-GVO lediglich eine Spezifizierungsklausel enthält, die der des Art. 88 Abs. 1 DS-GVO gleicht.

Nach Ansicht des nationalen Gesetzgebers war die Schaffung einer Generalklausel für die Verarbeitung personenbezogener Daten durch öffentliche Stellen nicht nur sinnvoll, sondern sogar notwendig. Nach der Auffassung, die der Gesetzesbegründung zu §  3 BDSG zugrunde liegt, enthält die DS-GVO keine eigene Rechtsgrundlage für Verarbeitungen im öffentlichen Interesse.^[11] Insbesondere stellt Art.  6 Abs.  1 UAbs. 1 lit. e) DS-GVO hiernach keine solche Rechtsgrundlage dar, sondern verlangt vielmehr in Verbindung mit Art. 6 Abs. 3 UAbs. 1 DS-GVO die Schaffung einer Generalklausel durch die nationalen Gesetzgeber.^[12] Art. 6 Abs. 3 UAbs. 1 DS-GVO wird insofern ein Regelungsauftrag zur Schaffung einer Generalklausel entnommen. Dieser Auffassung haben sich Teile der Literatur angeschlossen.^[13]

Nach einer anderen in der Literatur vertretenen Auffassung findet sich die generalklauselartige Rechtsgrundlage für Verarbeitungen durch öffentliche Stellen bereits in Art. 6 Abs. 1 UAbs. 1 lit. e) DS-GVO. Art. 6 Abs. 2 und 3 DS-GVO enthalten hiernach keinen Regelungsauftrag, sondern lediglich eine Öffnungsklausel, die den Mitgliedstaaten den Erlass spezifischer Regelungen ermöglicht.^[14] Hiernach ist § 3 BDSG gegenüber den Vorschriften der DS-GVO kein eigener Regelungsgehalt zu entnehmen.^[15]

Zum Entscheid dieser Frage sind Art. 6 Abs. 1 UAbs. 1 lit. e), Abs. 2 und Abs. 3 DS-GVO auszulegen und Inhalt sowie Reichweite der Vorschriften zu bestimmen. Schon der Wortlaut des Art. 6 Abs. 3 UAbs. 1 DS-GVO deutet darauf hin, dass Art. 6 Abs. 1 UAbs. 1 lit. e) DS-GVO keine eigenständige Rechtsgrundlage für die Verarbeitung personenbezogener Daten enthält. Die Vorschrift bestimmt ausdrücklich, dass die Rechtsgrundlage für Verarbeitungen nach lit. c) und e durch Unionsrecht oder das Recht der Mitgliedstaaten festgelegt wird, was impliziert, dass die genannten Normen gerade keine eigenständigen Rechtsgrundlagen bilden. Darüber hinaus enthält Art. 6 Abs. 3 UAbs. 2 S. 1 DS-GVO ausdrücklich zwei Alternativen: Hiernach kann der Gesetzgeber in der Rechtsgrundlage entweder den Zweck der Verarbeitung explizit nennen (Alt. 1) oder aber eine zweckunabhängige Generalklausel schaffen (Alt. 2). Dieses Verständnis wird von Erwägungsgrund 45 S. 2 der Verordnung gestützt, nach dem gerade nicht für jede Verarbeitungssituation eine spezifische Regelung gefordert wird, sodass auch zweckunabhängige Generalklauseln zulässig sind.^[16] Schließlich spricht die Systematik der Vorschrift dafür, dass Art. 6 Abs. 3 UAbs. 1 DS-GVO der Auftrag zur Schaffung einer Generalklausel und nicht lediglich eine Spezifizierungsklausel zu entnehmen ist: So ist die Schaffung einer Rechtsgrundlage nach Abs.  3 obligatorisch, die Schaffung spezifischer Bestimmungen nach Abs. 2 hingegen fakultativ.^[17] Die Regelungen sind somit getrennt voneinander zu betrachten und ihre unterschiedlichen Regelungsgehalte zu berücksichtigen. Zu diesem Ergebnis kommt auch der EuGH, wenn er für die rechtmäßige Verarbeitung personenbezogener Daten auf der Grundlage von Art.  6 Abs.  1 UAbs.  1 lit.  e) DS-GVO ohne tiefergehende Begründung verlangt, dass sie auf einer datenverarbeitungsbezogenen Rechtsgrundlage im Sinne von Art. 6 Abs. 3 UAbs. 1 DS-GVO beruht.^[18] Art. 6 Abs. 3 UAbs. 1 enthält folglich einen Regelungsauftrag, der auch die Schaffung einer Generalklausel umfasst, wobei jede nationale Regelung nach Art. 6 Abs. 3 UAbs. 2 S. 1 DS-GVO einen pflichtigen Mindeststandard zu erfüllen hat. Art. 6 Abs. 3 UAbs. 2 S. 2 sowie Art. 6 Abs. 2 DS-GVO enthalten darüber hinausgehende Öffnungsklauseln, die dem nationalen Gesetzgeber zusätzlich den Erlass spezifischerer Vorschriften ermöglichen.

II. Unionsrechtliches Wiederholungsverbot

Auch wenn mit der hier vertretenen Ansicht davon ausgegangen wird, dass mit § 3 BDSG grundsätzlich zulässigerweise eine generalklauselartige Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen geschaffen wurde, stellt sich die Frage, ob die konkrete Formulierung der Vorschrift einen Verstoß gegen das unionsrechtliche Wiederholungsverbot begründet.^[19] Das unionsrechtliche Wiederholungsverbot verbietet es den Mitgliedstaaten, Vorschriften zu erlassen, die deckungsgleich mit bereits bestehenden Normen der Europäische Union sind.^[20] Hintergrund dieses Verbotes ist, dass die Mitgliedstaaten keine Maßnahmen ergreifen dürfen, die geeignet sind, die Zuständigkeit des EuGH zur Entscheidung über Fragen der Auslegung des Unionsrechts zu beschneiden.^[21] Andernfalls könnten die Mitgliedstaaten Verordnungen der Union wortgleich in ihr nationales Recht überführen und damit der nationalen Auslegung unterstellen, was einer einheitlichen Anwendung der Vorschriften einer Verordnung entgegenlaufen würde.^[22]

III. Reichweite des unionsrechtlichen Wiederholungsverbotes

Das Wiederholungsverbot wirft Probleme auf, wo der Unionsgesetzgeber den Mitgliedstaaten aufträgt oder freistellt, eigene Regelungen zu erlassen. Es stellt sich dann die Frage, ob und welche Formulierungen der nationale Gesetzgeber aus der Verordnung übernehmen darf.

Einen ersten Anhaltspunkt zur Reichweite des Wiederholungsverbotes in diesen Konstellationen liefert der achte Erwägungsgrund der DS-GVO. Sofern Präzisierungen oder Einschränkungen durch das Recht der Mitgliedstaaten vorgesehen sind, dürfen die Mitgliedstaaten Teile der Verordnung in ihr nationales Recht aufnehmen, „soweit dies erforderlich ist, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen“. Im Geltungsbereich der Öffnungsklauseln der DS-GVO gilt das unionsrechtliche Wiederholungsverbot hiernach nicht uneingeschränkt. Vielmehr dürfen nationale Spezifizierungsvorschriften zumindest Teile des Verordnungstexts wiederholen. Der in Erwägungsgrund 8 festgehaltene Grundsatz fasst insofern deklaratorisch die zur Reichweite des Wiederholungsverbotes ergangene EuGHRechtsprechung zusammen.^[23]

Diese EuGH-Rechtsprechung wurde in einem Vorabentscheidungsverfahren Anfang 2023 konkretisiert.^[24] Hintergrund des Verfahrens war die Einführung des Livestreamunterrichts per Videokonferenz in Hessen im Rahmen der Corona-Pandemie. Die dabei anfallende Verarbeitung personenbezogener Daten der Lehrkräfte war nach Ansicht des zuständigen Kultusministeriums von §  23 Abs.  1 S.  1 HDSIG gedeckt, der in Hessen die Rechtsgrundlage für Datenverarbeitungen zu Zwecken des Beschäftigungsverhältnisses bildet. Der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium erhob dagegen Klage beim VG Wiesbaden. Er vertrat die Ansicht, dass es für eine Verarbeitung einer Einwilligung der Lehrkräfte bedurft hätte. Da das VG Wiesbaden Zweifel an der Vereinbarkeit von § 23 Abs. 1 S. 1 HDSIG mit dem Unionsrecht hegte, legte es dem EuGH Fragen zur Vorabentscheidung vor.^[25]

Der EuGH beschäftigte sich in seinem Urteil sodann auch mit der Reichweite des Wiederholungsverbotes im Geltungsbereich unionsrechtlicher Öffnungsklauseln. Er führte aus, dass Erwägungsgrund 8 unter bestimmten Voraussetzungen zwar die Befugnis zu entnehmen sei, Teile der DS-GVO in das nationale Recht aufzunehmen.^[26] Indes dürfe es sich bei „spezifischeren Vorschriften“ nicht lediglich um eine Wiederholung der in Art. 6 DS-GVO genannten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten handeln.^[27]

IV. Keine Übertragbarkeit des EuGHUrteils auf § 3 BDSG

Überträgt man diese Rechtsprechung auf §  3 BDSG, muss man zu dem Schluss kommen, dass die nationale Vorschrift einen Verstoß gegen das Wiederholungsverbot darstellt und damit unionsrechtswidrig ist, wiederholt sie doch letztlich in großen Teilen den Wortlaut des Art. 6 Abs. 1 lit. e) sowie des Art. 6 Abs. 3 UAbs. 1 DS-GVO.^[28]

Es ist allerdings zweifelhaft, ob sich die Rechtsprechung des EuGH zu § 23 Abs. 1 S. 1 HDSIG auf § 3 BDSG übertragen lässt. § 23 Abs. 1 S. 1 HDSIG soll unstreitig eine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DS-GVO bilden.^[29] Dagegen dient § 3 BDSG der Schaffung einer Rechtsgrundlage für die Verarbeitung personenbezogener Daten zur Wahrnehmung einer Aufgabe im öffentlichen Interesse, wozu Art.  6 Abs.  3 UAbs.  1 DS-GVO die Mitgliedstaaten nach dem oben Gesagten verpflichtet.^[30] § 23 Abs. 1 S. 1 HDSIG liegt damit die Spezifizierungsklausel des Art.  88 Abs.  1 DS-GVO zugrunde, deren Ausfüllung fakultativ ist, während § 3 BDSG der Regelungsauftrag des Art. 6 Abs. 3 UAbs. 1 DS-GVO zugrunde liegt, dessen Erfüllung obligatorisch ist. Aufgrund der unterschiedlichen Natur der Öffnungsklauseln im Unionsrecht können die Anforderungen, die der EuGH für § 23 Abs. 1 S. 1 HDSIG formuliert hat, nicht unmittelbar auf § 3 BDSG übertragen werden.

Die fehlende Übertragbarkeit von Erwägungsgrund 8 der Verordnung und der entsprechenden EuGH-Rechtsprechung ergibt sich darüber hinaus bereits aus dem Wortlaut: Während sich diese auf „Präzisierungen oder Einschränkungen“ bzw. auf „spezifischere Vorschriften“ beziehen, enthält Art. 6 Abs. 3 UAbs. 1 DS-GVO den Auftrag, überhaupt erst eine Rechtsgrundlage zu schaffen.

Auch eine teleologische Betrachtung spricht gegen die Übertragbarkeit. Verbietet man auch in der Konstellation des Art. 6 Abs. 3 UAbs. 1 DS-GVO in Anlehnung an die strenge Auslegung des Wiederholungsverbotes die Wiederholung des Wortlauts des Art. 6 DS-GVO, ist kaum eine Rechtsvorschrift vorstellbar, die alle an sie gestellten Anforderungen erfüllt. Eine solche Vorschrift müsste weit genug formuliert sein, um ihre Funktion als Generalklausel für die Datenverarbeitung durch öffentliche Stellen zu erfüllen, zugleich aber spezifisch genug, um den Anforderungen des Wiederholungsverbotes in seiner engen Auslegung zu genügen.^[31]

Demnach ist das unionsrechtliche Wiederholungsverbot in der vorliegenden Konstellation weit zu verstehen. Eine Übertragung der engen Auslegung, die in dem EuGH-Urteil^[32] zum Ausdruck kommt, ist weder erforderlich noch zielführend. Eine reine Wiederholung des Wortlauts einzelner Bestimmungen des Art. 6 DS-GVO ist hiernach zwar weiterhin nicht zulässig.^[33] Die vom nationalen Gesetzgeber vorgenommenen Konkretisierungen in § 3 BDSG gegenüber Art. 6 Abs. 1 UAbs. 1 lit. e) und Art. 6 Abs. 3 UAbs. 2 S. 1 DS-GVO können indes als hinreichend erachtet werden.^[34]

V. Fazit

Mit § 3 BDSG hat der nationale Gesetzgeber zulässigerweise eine generalklauselartige Rechtsgrundlage für die Verarbeitung personenbezogener Daten zur Wahrnehmung von Aufgaben im öffentlichen Interesse geschaffen. Er hat damit den Regelungsauftrag des Art. 6 Abs.  3 UAbs.  1 DS-GVO erfüllt, wobei er den pflichtigen Mindeststandard des Art.  6 Abs.  3 UAbs.  2 S.  1 DS-GVO eingehalten hat. Für die Schaffung einer Generalklausel nach Art. 6 Abs. 3 UAbs. 1 DS-GVO kann das unionsrechtliche Wiederholungsverbot nicht in der engen Auslegung gelten, die der EuGH für Spezifizierungsklauseln nach Art. 88 Abs. 1 DS-GVO formuliert hat. Vielmehr muss es dem nationalen Gesetzgeber bei der Erfüllung des Regelungsauftrags nach Art. 6 Abs. 3 UAbs. 1 DS-GVO möglich sein, weite Teile des Wortlauts von Art. 6 Abs. 1 UAbs. 1 lit. e) und Art. 6 Abs. 3 UAbs. 2 S. 1 DS-GVO in die nationale Vorschrift zu übertragen. Vor diesem Hintergrund ist § 3 BDSG kein Verstoß gegen das unionsrechtliche Wiederholungsverbot zu entnehmen. Die Vorschrift ist damit nicht unionsrechtswidrig und kann als Generalklausel für die Verarbeitung personenbezogener Daten zur Wahrnehmung von Aufgaben im öffentlichen Interesse herangezogen werden.

Moritz Köhler ist wissenschaftlicher Mitarbeiter der Kölner Forschungsstelle für Medienrecht an der TH Köln und Doktorand bei Prof. Dr. Rolf Schwartmann

_{[1] Lang, in: Taeger/Gabel, BDSG § 3 Rn. 9}

_{[2] BT-Drs. 18/11325, S. 81.}

_{[3] Frenzel, in: Paal/Pauly, DS-GVO/BDSG, BDSG §  3 Rn. 1; Schreiber, in: Plath BDSG § 3 Rn. 5.}

_{[4] EuGH Urt. v. 30.03.2023 – C-34/21, ECLI:EU:C:2023: 270 Rn. 71, RDV 3/2023.}

_{[5] Mühlenbeck/Pabst/Schwartmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 6 Rn. 108.}

_{[6] Lang, in: Taeger/Gabel, BDSG § 3 Rn. 1.}

_{[7] BT-Drs. 18/11325, S. 81}

_{[8] BT-Drs. 18/11325, S. 81}

_{[9] Vgl. Starnecker, in: Gola/Heckmann BDSG § 3 Rn. 7}

_{[10] Wolff, in: BeckOK DatenschutzR BDSG § 3 Rn. 30.}

_{[11] BT-Drs. 18/11325, S. 81.}

_{[12] Petri, in: Kühling/Buchner BDSG § 3 Rn. 2; vgl. BT-Drs. 18/11325, S. 81}

_{[13] Mühlenbeck/Pabst/Schwartmann, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, Art. 6 Rn. 111; Starnecker, in: Gola/Heckmann BDSG § 3 Rn. 8; Petri, in: Kühling/Buchner BDSG § 3 Rn. 2; Lang, in: Taeger/Gabel BDSG § 3 Rn. 3.}

_{[14] Frenzel, in: Paal/Pauly BDSG § 3 Rn. 2; Reimer, in: Sydow/Marsch BDSG § 3 Rn. 18; Wolff, in: BeckOK DatenschutzR BDSG § 3 Rn. 6}

_{[15] Reimer, in: Sydow/Marsch BDSG § 3 Rn. 17.}

_{[16] Vgl. Lang, in: Taeger/Gabel BDSG § 3 Rn. 3.}

_{[17] Vgl. Mühlenbeck/Pabst/Schwartmann, in: Schwartmann/Jaspers/Thüsing/ Kugelmann, DS-GVO/BDSG, Art. 6 Rn. 111}

_{[18] EuGH Urt. v. 20.10.2022 – C-306/21, BeckRS 2022, 28062 Rn. 48 ff., Rn. 52. Vgl. hierzu Albers/Veit, in: BeckOK DatenschutzR DS-GVO Art. 6 Rn. 57, der hieraus auch die Möglichkeit einer generalklauselartigen Rechtsgrundlage folgert.}

_{[19] Zur Trennung dieser Fragen Lang, in: Taeger/Gabel BDSG § 3 Rn. 3.}

_{[20] Gola/Heckmann, in: Gola/Heckmann, Einleitung Rn. 72}

_{[21] EuGH Urt. v. 10.10.1973 – 34/73, BeckRS 2004, 70873 Rn. 11.}

_{[22] Selk, in: Ehmann/Selmayr, DS-GVO Art. 88 Rn. 60.}

_{[23] EuGH Urt. v. 10.10.1973 – 34/73, BeckRS 2004, 70873; EuGH Urt. v. 28.03.1985 – C-272/83, BeckRS 2004, 72839; vgl. Selk, in: Ehmann/Selmayr, DS-GVO Art. 88 Rn. 60}

_{[24] EuGH Urt. v. 30.03.2023 – C-34/21, ECLI:EU:C:2023:270}

_{[25] Vgl. zum Sachverhalt Meinecke, NZA 2023, 487 (487)}

_{[26] EuGH Urt. v. 30.03.2023 – C-34/21, ECLI:EU:C:2023:270 Rn. 67}

_{[27] EuGH Urt. v. 30.03.2023 – C-34/21, ECLI:EU:C:2023:270 Rn. 71.}

_{[28] Für eine Unionsrechtswidrigkeit bereits Frenzel, in: Paal/Pauly BDSG §  3 Rn. 1 ff.; Schreiber, in: Plath BDSG § 3 Rn. 5. Reimer, in: Sydow/Marsch BDSG § 3 Rn. 18 hält die Vorschrift zumindest für eine überflüssige Wiederholung.}

_{[29] LT-Drs-Hessen 19/5728, S. 108.}

_{[30] S. dazu oben, I.}

_{[31] So auch Lang, in: Taeger/Gabel BDSG § 3 Rn. 5.}

_{[32] EuGH Urt. v. 30.03.2023 – C-34/21, ECLI:EU:C:2023:270 Rn. 71.}

_{[33] Vgl. Lang, in: Taeger/Gabel BDSG § 3 Rn. 5.}

_{[34] Für eine Unionsrechtskonformität auch Starnecker, in: Gola/Heckmann BDSG § 3 Rn. 8; Wolff, in: BeckOK DatenschutzR BDSG § 3 Rn. 31; Petri, in: Kühling/ Buchner BDSG § 3 Rn. 2; Lang, in: Taeger/Gabel BDSG § 3 Rn. 5.}