ZAP-2019-21

Fach 19, Seite 938
Datenschutz: Kommunalebene
Verfassungsrecht/Verwaltungsrecht
II.
Einführung
1. Der Begriff des Datenschutzes
Begonnen hat alles am 27.1.1977 mit dem ersten deutschen Bundesdatenschutzgesetz – dem Gesetz
zum Schutz von Missbrauch personenbezogener Daten bei der Datenverarbeitung (BGBl I, Nr. 7 S. 201).
Der Datenschutz findet auch seine Grundlage im Recht auf informationelle Selbstbestimmung nach
Art. 2 Abs. 1, Art. 1 Abs. 1 GG (vgl. hierzu auch Volkszählungsurteil, BVerfG NJW 1984, 419).
Schon damals ging es nicht um den Schutz der Daten an sich, sondern wie auch heute um die dahinterstehenden
Persönlichkeitsrechte. Und die sollen mit der seit dem 25.5.2018 in allen europäischen
Ländern geltenden DSGVO (Verordnung [EU] 2016/679 v. 27.4.2016) gewährleistet werden. Diese
Verordnung hat die bislang geltende EU-Datenschutzrichtlinie 95/46/EG abgelöst.
Zusammen mit der DSGVO erfolgte auch eine Novellierung des BDSG (BGBl I S. 2092). Dieses gilt für
öffentliche Stellen des Bundes und auch der Länder, jedenfalls soweit der Datenschutz nicht durch
entsprechende Landesgesetzes explizit geregelt ist (§ 1 BDSG neu).
Soweit es das Verhältnis der DSGVO auf der einen und dem BDSG auf der anderen Seite betrifft, so ist
dieses nicht selten als kompliziert zu bezeichnen. Denn viele Verweise und Bezugnahmen machen
eine eindeutige Zuordnung oft schwierig und führen im Ergebnis immer wieder dazu, dass keine
hinreichende Transparenz zu erkennen ist, was wiederum zu einer entsprechenden Rechtsunsicherheit
führt.
Vorrangig ist die DSGVO jedenfalls dort, wo sie explizit für die in Rede stehenden Bereiche Regelungen
trifft. Ausnahmen sieht die Verordnung über sog. Öffnungsklauseln nach Art. 84 DSGVO, die dem
nationalen Gesetzgeber Spielraum lassen das eine oder andere selbst zu bestimmen oder bereits
bestehende Regelungen weiter aufrecht zu erhalten (vgl. zur Thematik Foto unten, V.1.).
Erstmalig sind Verstöße gegen datenschutzrechtliche Vorschriften auch bußgeldbewehrt (vgl. unten,
VI.4.)
2. Was sind personenbezogene Daten?
Zunächst stellt sich die Frage, was überhaupt Daten sind. Eine Legaldefinition hierfür existiert nicht.
Unter Daten werden also Angaben, Werte, Tatsachen und Informationen verstanden – diese allerdings
ohne jeglichen Personenbezug. Beispiel: Der Tag oder das Jahr. Denn derartige Daten weisen für sich
noch keinen Personenbezug auf. Dieser ergibt sich erst dann, wenn es sich um Geburtsdaten handelt,
die wiederum einer konkreten Person zugeordnet werden können.
Personenbezug ist immer bei den „personenbezogenen Daten“ gegeben. Was hierunter zu verstehen
ist, ergibt sich aus der Legaldefinition nach Art. 4 Nr. 1 DSGVO. Artikel 4 enthält Begriffsbestimmungen –
neben den personenbezogenen Daten auch diejenigen der Verarbeitung, des Verantwortlichen, des
Auftragsverarbeiters oder auch der Einwilligung oder hinsichtlich bestimmter Daten, wie z.B. biometrische
oder Gesundheitsdaten.
Mit den personenbezogenen Daten sind alle Informationen, die sich auf eine identifizierte oder
identifizierbare natürliche Person beziehen, gemeint. Als identifizierbar wird eine natürliche Person
dann angesehen, die insbesondere mittels Zuordnung durch Kennung wie einen Namen, Kennnummer,
Standortdaten oder anderen besonderen Merkmalen direkt oder indirekt identifiziert werden kann, die
insoweit Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen
oder sozialen Identität dieser natürlichen Personen sind.
1140 ZAP Nr. 21 7.11.2019