Datenschutz im Unternehmen

Die Datenschutz-Grundverordnung ist eine untypische EU-Verordnung insoweit, als sie Ausnahmen von dem Grundsatz trifft, wonach eine Verordnung keiner weiteren Umsetzungsakte mehr bedarf. Stattdessen sieht sie eine Reihe von Öffnungs- und Spezifizierungsklauseln auch für Unternehmen vor, die den mitgliedstaatlichen Gesetzgebern teils Gestaltungsspielräume eröffnen, teils Regelungsaufträge auferlegen.

Die Mehrzahl dieser Öffnungs- und Spezifizierungsklauseln betrifft die Datenverarbeitung durch öffentliche Stellen. Im öffentlichen Bereich ist der Vollharmonisierungsanspruch der Datenschutz-Grundverordnung damit von vornherein eingeschränkt.

Eine für den öffentlichen Bereich besonders bedeutsame Öffnungs- und Spezifizierungsklausel stellt Art. 6 Abs. 3 in Verbindung mit Abs. 1 Buchst. e DSGVO dar: Hiernach ist für Datenverarbeitungen bei der Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, die Rechtsgrundlage durch Unionsrecht oder mitgliedstaatliches Recht festzulegen. Die Mitgliedstaaten können in diesem Zusammenhang nach Maßgabe des Art. 6 Abs. 2 und Abs. 3 Satz 3 DSGVO zudem die Anwendung der Vorschriften der Datenschutz-Grundverordnung spezifischer regeln.

Weitere, für öffentliche Stellen bedeutsame Öffnungs- und Spezifizierungsklauseln betreffen beispielsweise:

• die Verarbeitung besonderer Kategorien personenbezogener Daten (beispielsweise Gesundheitsdaten, Art. 9 DSGVO) oder
• die Einschränkung von Betroffenenrechten (Art. 12 ff. DSGVO in Verbindung mit Art. 23 DSGVO).

Im Zuge der Anpassung des bayerischen Landesrechts wird eine Umsetzung dieser Öffnungs- und Spezifizierungsklauseln durch eine Neufassung des Bayerischen Datenschutzgesetzes (BayDSG) sowie durch Änderungen im bereichsspezifischen bayerischen Datenschutzrecht erfolgen. Abgesehen von den zwingend umzusetzenden Regelungsaufträgen ist es dabei Sache des bayerischen Gesetzgebers, ob und in welchem Umfang er von den Gestaltungsmöglichkeiten Gebrauch macht, die ihm die Datenschutz-Grundverordnung einräumt.

Für bayerische öffentliche Stellen bedeutet dies:

Ab Geltungsbeginn der Datenschutz-Grundverordnung ergibt sich das für öffentliche Stellen maßgebliche Datenschutzrecht aus der Datenschutz-Grundverordnung und dem nationalen Recht, das diese ergänzt bzw. ausfüllt. Zur Beurteilung datenschutzrechtlicher Fragestellungen werden somit die Datenschutz-Grundverordnung und die Regelungen im allgemeinen sowie gegebenenfalls auch im bereichsspezifischen nationalen Datenschutzrecht (sei es im Landes-, sei es im Bundesrecht) im Zusammenhang zu lesen und anzuwenden sein.