Nach dem BayLDA veröffentlicht nun auch der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) eine eigene Reihe zur EU-DSGVO auf seiner Internetpräsenz. Da in Bayern die Aufsicht über öffentliche und nichtöffentliche Stellen in verschiedenen Verantwortlichkeiten liegen, geht der BayLfD entsprechend spezieller auf die Bedeutung der DSGVO für die öffentlichen Organe ein. Der erste Teil beschäftigt sich mit Geltung und Anwendungsbereich der Verordnung.

INKRAFTTRETEN UND GELTUNG

Die Datenschutz-Grundverordnung ist am 24. Mai 2016 in Kraft getreten. Sie wird ab dem 25. Mai 2018 in der gesamten Europäischen Union (EU) – und damit auch im Freistaat Bayern – Geltung beanspruchen und die bisherige allgemeine Datenschutz-Richtlinie 95/46/EG ersetzen. Die Datenschutz-Grundverordnung hat zum Ziel, sowohl die Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere deren Recht auf Schutz personenbezogener Daten – zu schützen als auch den freien Verkehr personenbezogener Daten zu gewährleisten (vgl. Art. 1 DSGVO).
Um die uneingeschränkte Anwendbarkeit der Datenschutz-Grundverordnung zu gewährleisten, müssen die Mitgliedstaaten daher ihr nationales Recht bis zum Geltungsbeginn an die Datenschutz-Grundverordnung anpassen. In Deutschland kommt diese Aufgabe in erster Linie dem Bundes- sowie den Landesgesetzgebern zu.
Aber auch die Selbstverwaltungskörperschaften – insbesondere die Kommunen und die Hochschulen – sind aufgefordert, ihr Satzungsrecht auf eventuellen Anpassungsbedarf hin zu überprüfen und gegebenenfalls mit der Datenschutz-Grundverordnung bis zum 25. Mai 2018 in Einklang zu bringen.

ÖFFNUNGS- UND SPEZIFIZIERUNGSKLAUSELN

Die Mehrzahl der Öffnungs- und Spezifizierungsklauseln betrifft die Datenverarbeitung durch öffentliche Stellen. Im öffentlichen Bereich ist der Vollharmonisierungsanspruch der Datenschutz-Grundverordnung damit von vornherein eingeschränkt.
Eine für den öffentlichen Bereich besonders bedeutsame Öffnungs- und Spezifizierungsklausel stellt Art. 6 Abs. 3 in Verbindung mit Abs. 1 Buchst. e DSGVO dar: Hiernach ist für Datenverarbeitungen bei der Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, die Rechtsgrundlage durch Unionsrecht oder mitgliedstaatliches Recht festzulegen. Die Mitgliedstaaten können in diesem Zusammenhang nach Maßgabe des Art. 6 Abs. 2 und Abs. 3 Satz 3 DSGVO zudem die Anwendung der Vorschriften der Datenschutz-Grundverordnung spezifischer regeln.
Weitere, für öffentliche Stellen bedeutsame Öffnungs- und Spezifizierungsklauseln betreffen beispielsweise:

• die Verarbeitung besonderer Kategorien personenbezogener Daten (beispielsweise Gesundheitsdaten, Art. 9 DSGVO) oder
• die Einschränkung von Betroffenenrechten (Art. 12 ff. DSGVO in Verbindung mit Art. 23 DSGVO).

Im Zuge der Anpassung des bayerischen Landesrechts wird eine Umsetzung dieser Öffnungs- und Spezifizierungsklauseln durch eine Neufassung des Bayerischen Datenschutzgesetzes (BayDSG) sowie durch Änderungen im bereichsspezifischen bayerischen Datenschutzrecht erfolgen. Abgesehen von den zwingend umzusetzenden Regelungsaufträgen ist es dabei Sache des bayerischen Gesetzgebers, ob und in welchem Umfang er von den Gestaltungsmöglichkeiten Gebrauch macht, die ihm die Datenschutz-Grundverordnung einräumt.
Für bayerische öffentliche Stellen bedeutet dies:
Ab Geltungsbeginn der Datenschutz-Grundverordnung ergibt sich das für öffentliche Stellen maßgebliche Datenschutzrecht aus der Datenschutz-Grundverordnung und dem nationalen Recht, das diese ergänzt bzw. ausfüllt. Zur Beurteilung datenschutzrechtlicher Fragestellungen werden somit die Datenschutz-Grundverordnung und die Regelungen im allgemeinen sowie gegebenenfalls auch im bereichsspezifischen nationalen Datenschutzrecht (sei es im Landes-, sei es im Bundesrecht) im Zusammenhang zu lesen und anzuwenden sein.

ANWENDUNGSBEREICH

Der Anwendungsbereich der Datenschutz-Grundverordnung umfasst nach Art. 2 Abs. 1 DSGVO die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Nicht hiervon erfasst sind nach Erwägungsgrund (ErwGr) 15 DSGVO lediglich „Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind“. Strukturierte Behördenakten – gleich, ob sie elektronisch oder in Papierform geführt werden – unterfallen daher vollumfänglich den Regelungen der Datenschutz-Grundverordnung.
Die Datenschutz-Grundverordnung gilt allerdings nicht für Verarbeitungen im Rahmen von Tätigkeiten außerhalb des Anwendungsbereichs des Unionsrechts (Art. 2 Abs. 2 Buchst. a DSGVO). Dies betrifft etwa Verfassungsschutzbehörden oder die parlamentarische Tätigkeit des Landtags.
Vom Anwendungsbereich der Datenschutz-Grundverordnung ausgenommen sind ferner Datenverarbeitungen im Bereich der Strafjustiz (Art. 2 Abs. 2 Buchst. d DSGVO). Diesbezüglich hat der europäische Gesetzgeber flankierend zur Datenschutz-Grundverordnung die Richtlinie (EU) 2016/680 zum Datenschutz in der Strafjustiz erlassen.