§ 11 Datenschutz / II. Verhältnis der DSGVO zum nationalen Recht

Rz. 17

Im zweiten Schritt, wenn im ersten Schritt der Personenbezug bejaht wurde, stellt sich die Frage, welche Folgen sich aus der Anwendbarkeit der DSGVO ergeben. Die DSGVO geht als EU-Verordnung gem. Art. 288 Abs. 2 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV) nationalen Regelungen der Mitgliedsstaaten grundsätzlich vor. Sie ist unmittelbar und direkt anwendbar und bedarf keiner Umsetzung durch den nationalen Gesetzgeber. Dennoch sind nationale Datenschutzgesetze weiterhin erforderlich, um die von der DSGVO nicht erfassten Rechtsbereiche zu regeln. Hierzu gehören insbesondere die innerstaatliche Organisation der Datenschutz-Aufsichtsbehörden und die Frage der Akkreditierung von Zertifizierungsstellen. Darüber hinaus wird die Reichweite der DSGVO über diverse Spezifizierungsklauseln eingeschränkt und der nationalen Gesetzgebung ein Spielraum für eine nähere Ausgestaltung geöffnet,^[44] z.B. durch Art. 9 Abs. 2 Buchst. b und h DSGVO zur Aufstellung näherer Regelungen bei Gesundheits- oder Sozialdaten.^[45] Die Reichweite der Spezifizierungsklauseln und nationalstaatlicher Gesetze wird europaweit noch diverse Konflikte mit sich bringen, bspw. wenn nationale Aufsichtsbehörden nicht nationales Recht, sondern direkt die DSGVO anwenden.^[46]

Rz. 18

Die an den Vorgaben der DSGVO orientierte und seit 25.5.2018 geltende Neufassung des Bundesdatenschutzgesetzes (BDSG) lässt den Anwender oft ratlos zurück, da eine Vielzahl von Regelungen aus dem deutschen Recht beibehalten wird, die keine Entsprechung auf europäischer Ebene finden und daher gegen Europarecht verstoßen könnten. Im Gegensatz zum österreichischen Gesetzgeber, der sich in seiner Neufassung des österreichischen Datenschutzgesetzes auf die tatsächlich erforderlichen Regelungen beschränkte und auf die Ausfüllung von Spezifizierungsklauseln verzichtete, ging der deutsche Gesetzgeber weit über das von den Spezifizierungsklauseln der DSGVO Zugelassene hinaus. So gestattet bspw. Art. 6 Abs. 3 DSGVO, dass Erlaubnistatbestände nach Art. 6 Abs. 1 S. 1 Buchst. e DSGVO durch den nationalen Gesetzgeber ausgefüllt werden dürfen. Der deutsche Gesetzgeber versuchte, hiervon bspw. in § 4 BDSG zur Videoüberwachung Gebrauch zu machen. Allerdings schritt er über die Spezifizierungsklausel der DSGVO hinaus, indem auch Videoüberwachung auf Basis von Art. 6 Abs. 1 S. 1 Buchst. f DSGVO erfasst wird. Dies ist jedoch europarechtswidrig, da Art. 6 Abs. 3 DSGVO diesen Erlaubnistatbestand nicht erfasst.^[47]

Rz. 19

Das BDSG stellt den Rechtsanwender damit vor die Herausforderung, stets zu bewerten, ob die Vorgaben der DSGVO oder des BDSG zu beachten sind. Jede deutsche Regelung muss innerhalb des Spielraums einer Spezifizierungsklausel der DSGVO sein.

[44] Kühling/Buchner/Kühling/Raab, Einf. Rn 98.

[45] Hauk/Noftz/Shagdar, Sozialgesetzbuch SGB I, § 35 Rn 12 f.

[46] Vgl. Piltz, Einl. Rn 23 ff.

[47] BVerwG 27.3.2019 – 6 C 2.18, ZD 2019, 372 m. Anm. Lachenmann; so bereits an dieser Stelle in der 4. Aufl.; ausführlich dazu z.B. Lachenmann, ZD 2017, 407; Mienert/Gipp, ZD 2017, 514, 515.