Source: https://de.slideshare.net/BernetMark/europische-datenschutzgrundverordnung
Timestamp: 2017-07-22 18:41:47
Document Index: 130395091

Matched Legal Cases: ['Art. 288', 'Art. 6', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 6', 'Art. 6', 'Art. 5', 'Art. 32', 'Art. 44', 'Art. 44', 'Art. 45', 'Art. 46', 'Art. 46', 'Art. 46', 'Art. 47', 'Art. 46', 'Art. 49', 'Art. 49', 'Art. 48', 'Art. 12', 'Art. 13', 'Art. 13', 'Art. 14', 'Art. 15', 'Art. 16', 'Art. 17', 'Art. 17', 'Art. 18', '§ 20', 'Art. 19', 'Art. 20', 'Art. 21', 'Art. 6', 'Art. 21', 'Art. 19', 'Art. 23', 'Art. 51', 'Art. 52', 'Art. 52', 'Art. 52', 'Art. 53', 'Art. 53', 'Art. 58', 'Art. 83', 'Art. 83', 'Art. 3', 'Art. 63', 'Art. 65', 'Art. 65', 'Art. 25', 'Art. 28', '§ 11', 'Art. 40', 'Art. 42', 'Art. 28', 'Art. 33', 'Art. 34', 'Art. 33', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 36', 'Art. 37', 'Art. 9', 'Art. 37', 'Art. 39', 'Art. 38', 'Art. 40', 'Art. 42', 'Art. 40', 'Art. 40', 'Art. 40', 'Art. 40', 'Art. 42', 'Art. 42', 'Art. 42', 'Art. 42', 'Art. 43', 'Art. 2', 'Art. 2', 'Art. 3', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 9', 'Art. 9', 'Art. 6', 'Art. 9', 'Art. 88', '§ 32', 'Art. 91', 'Art. 91', 'Art. 5', 'Art. 89', 'Art. 9', 'Art. 85', 'Art. 85', 'Art. 85', 'Art. 6', 'Art. 6', 'Art. 9', 'Art. 23', 'Art. 51', 'Art. 58', 'Art 83', 'Art. 84', 'Art. 85', 'Art. 37', 'Art. 37', 'Art 88']

Einstieg in die EU-Datenschutz-Grun...
Eckpunkte: EU-Datenschutz-Grundvero...
by nuances 846 views
Datenschutz-Grundverordnung (DS-GVO...
The EU Data Protection Regulation -...
Broschüre zur neuen EU-Datenschutzverodnung. Die neue EU-Verordnung wurde am 15.12.15 beschlossen. Sie tritt am 25. Mai 2018 in Kraft. ...
BfDI–Info6
E-Mail: ref8@bfdi.bund.de
Auflage: 1. Auflage, April 2016
Realisation: Appel & Klinger Druck und Medien GmbH
BfDI – Info 6
4 BfDI – Info 6
Vorwort. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.	Datenschutz-Grundverordnung – Regelungscharakter. . . . . . . . . . . . . . . . 9
2.	Grundprinzipien des Datenschutzrechts –
bisher bekannte Grundsätze bleiben erhalten. . . . . . . . . . . . . . . . . . . . . . . . . . 9
2.1	Rechtmäßigkeit der Datenverarbeitung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
2.2	Datensparsamkeit. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
2.3	Zweckbindung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
2.4	Datensicherheit. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .	11
2.5	Übermittlung in Drittstaaten. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
2.6	Betroffenenrechte. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.7	Unabhängige Aufsicht. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.8	Effektive Durchsetzung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
2.8.1	Befugnisse der Aufsichtsbehörden . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
2.8.2	Sanktionen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3. Was ist neu?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
3.1	Marktortprinzip. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
3.2	Verfahrensvereinfachung und einheitliche Rechtsanwendung. . . . . . 19
3.2.1	One-Stop-Shop. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.2.2	Kohärenzverfahren. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
4. Technischer und organisatorischer Datenschutz (vgl. Nr. 2.4). . . . . . . . . . 22
4.1	Privacy by Design – Privacy by Default. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
4.2	Auftragsdatenverarbeitung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
4.3	Meldung von Datenschutzverletzungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
4.4	Datenschutz-Folgenabschätzung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
4.5	Pflicht zur Bestellung eines behördlichen oder betrieblichen
Datenschutzbeauftragten. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
4.6	Stärkung der Selbstregulierung durch Zertifizierung und .
Verhaltensregeln. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
5. Einzelne weitere Aspekte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
5.1 Anwendungsbereich. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
5.2	Verarbeitung besonders sensibler Daten. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
5.3 Beschäftigtendatenschutz. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
5.4 Kirchen und Religionsgemeinschaften. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
5.5 Sonderregeln für wissenschaftliche Zwecke, öffentliche Archive .
und Statistik . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
5.6 Medienprivileg. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
6. Ausblick und nationale Umsetzung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Datenschutz-Grundverordnung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
6 BfDI – Info 6
Nach langer, bald vierjähriger Verhandlung ha-
ben sich der Europäische Rat, das Europäische
Parlament und die Europäische Kommission am
15.12.2015 über den Inhalt der EU-Datenschutz-
Grundverordnung geeinigt.
Damit hat die Europäische Union bewiesen,
dass sie in schwierigen Zeiten durchaus in der
Lage ist, politisch hoch streitige Vorhaben zu
einem erfolgreichen Abschluss zu bringen. Dies
war nicht zu jedem Zeitpunkt der Verhandlun-
gen selbstverständlich. Wenn man bedenkt, welche Vielzahl von Einzelin-
teressen sowohl im Europäischen Parlament als auch von den 28 Regierun-
gen der EU-Mitgliedstaaten unter einen Hut zu bringen waren, ist es sehr
erfreulich, dass der einende Wille und die notwendige Kompromissbereit-
schaft vorhanden waren, sich am Ende auf die weitere Harmonisierung
des europäischen Datenschutzrechts auf hohem Niveau zu verständigen.
Abgesehen von den europapolitischen Erwägungen war es auch ein guter
Tag für den Datenschutz, weil mit der Datenschutz-Grundverordnung die
bewährten Prinzipien eines grundrechtsorientierten Datenschutzrechts
fortgeschrieben wurden. Grundlage des Datenschutzrechts ist und bleibt
das informationelle Selbstbestimmungsrecht des Einzelnen. Positiv ist
auch die Beibehaltung des während der Verhandlungen immer wieder in
Frage gestellten Verbotsprinzips, nach dem jede Datenverarbeitung, die
nicht durch eine Einwilligung legitimiert ist, einer gesetzlichen Erlaubnis
bedarf. Damit verbleibt auch künftig die Darlegungslast für die Notwen-
digkeit eines Eingriffs in das Recht auf informationelle Selbstbestimmung
bei demjenigen, der diesen Eingriff vornehmen will.
Schließlich ist es erfreulich, dass die Prinzipien der Datensparsamkeit, der
Angemessenheit und Erforderlichkeit, der Transparenz und Zweckbin-
dung, der Gewährleistung der Datensicherheit sowie der unabhängigen
Aufsicht und wirksamen Sanktionierung beibehalten oder gestärkt wer-
Vordringlichstes Ziel war, das Datenschutzrecht innerhalb Europas stär-
ker zu vereinheitlichen. Trotz aller Harmonisierungsbemühungen in den
vergangenen Jahren führten die nationalen Umsetzungen der Daten-
schutzrichtlinie aus dem Jahr 1995 und deren Durchsetzung nur bedingt
zu einem einheitlichen Datenschutzniveau in der Europäischen Union. Vielmehr gab es einen Flickenteppich von datenschutzrechtlichen Rege-
lungen und eine heterogene Aufsichtspraxis der Datenschutzbehörden. Mit der Datenschutz-Grundverordnung gelten zukünftig in allen Staaten
der Europäischen Union grundsätzlich die gleichen Standards.
Ein weiteres Ziel der europäischen Datenschutzreform war es, das Daten-
schutzrecht zu modernisieren, insbesondere bessere Antworten auf die
Globalisierung und datenschutzrechtlichen Herausforderungen, die die
zunehmende Digitalisierung und das Internetzeitalter mit sich bringen,
zu geben. Auch dies ist weitgehend erreicht worden. Insbesondere im Bereich der
Wirtschaft führen die Regelungen der Datenschutz-Grundverordnung
zu einem höheren Grad an Harmonisierung als dies derzeit der Fall ist. Sie sorgen für gleiche Wettbewerbsbedingungen für alle Unternehmen,
die Waren und Dienstleistungen auf dem europäischen Markt anbieten. Insbesondere werden auch ausländische Unternehmen nur dann Zugang
zum europäischen Binnenmarkt erhalten, wenn sie sich an die hier gelten-
den Datenschutz-Regelungen halten. 8.
8 BfDI – Info 6
Die Datenschutz-Grundverordnung bietet zudem einen wirksamen Rege-
lungsmechanismus, um auch im Zeitalter der Digitalisierung und von Big-
Data das Grundrecht jedes Einzelnen auf informationelle Selbstbestim-
mung im Verhältnis zu den staatlichen und kommerziellen Interessen zu
sichern. Dabei lässt sie der deutschen und europäischen Digitalwirtschaft
ausreichend Spielraum, innovative und intelligente Geschäftsmodelle zu
entwickeln, die das in den vorhandenen enormen Datenmengen liegende
Potential ökonomisch verwertbar machen und dabei zugleich die daten-
schutzrechtlichen Vorgaben beachten. Guter Datenschutz ist ein Quali-
tätsmerkmal der europäischen Wirtschaft.
Voraussichtlich Mitte 2018 wird die neue Verordnung Geltung erlangen
und dann die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) ersetzen. Vor
uns liegen bis dahin zwei intensive Jahre, in denen die zahlreichen Öff-
nungsklauseln zugunsten des nationalen Rechts der EU-Mitgliedstaaten
mit Leben erfüllt werden müssen.
Diese Broschüre will dazu beitragen, einen ersten Überblick über die neue
EU-Datenschutz-Grundverordnung, insbesondere über deren Grund-
prinzipien und die wesentlichen Neuerungen zu vermitteln. Sie enthält
den Verordnungstext sowie eine kurze Einführung in die nicht einfache
Bonn, den 18. April 2016
1 Datenschutz-Grundverordnung–
EG von 1995 (im Folgenden: Datenschutzrichtlinie) ab. Im Unterschied zur Datenschutz-
richtlinie gilt die DSGVO unmittelbar in der gesamten Europäischen Union (Art. 288
Abs. 2 AEUV).
2	GrundprinzipiendesDatenschutzrechts –
bisherbekannteGrundsätzebleibenerhalten
Die Datenschutz-Grundverordnung schreibt im Wesentlichen die bisherigen daten-
schutzrechtlichen Grundprinzipien fort und entwickelt sie weiter.
Die Grundsätze des „Verbots mit Erlaubnisvorbehalt“, der „Datenvermeidung und
Datensparsamkeit“, der „Zweckbindung“ und der „Transparenz“ prägen auch die Da-
tenschutz-Grundverordnung. Auch zur Datenübermittlung ins Ausland finden sich
aufgrund der besonderen Bedeutung für die Rechte des Einzelnen an seinen personen-
bezogenen Daten detaillierte Regelungen.
2.1 Rechtmäßigkeit der Datenverarbeitung
Für die Verarbeitung personenbezogener Daten normiert Art. 6 DSGVO als allgemeinen
Grundsatz ein sogenanntes Verbot mit Erlaubnisvorbehalt.
10 BfDI – Info 6
Die Verarbeitung von Daten ist demnach nur zulässig, wenn eine Einwilligung oder
eine andere in dieser Vorschrift normierte Ausnahme vorliegt. Dies ist der Fall, wenn
■■ die Verarbeitung für die Erfüllung eines Vertrages, dessen Vertragspartei die betrof-
fenePersonist,oderzurDurchführungvorvertraglicherMaßnahmenerforderlichist,
die auf Antrag der betroffenen Person erfolgen;
■■ die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der
■■ die Verarbeitung erforderlich ist, um lebenswichtige Interessen der betroffenen Per-
son oder einer anderen natürlichen Person zu schützen;
■■ wenn sie im öffentlichen Interesse oder zur Erfüllung hoheitlicher Aufgaben erfor-
derlich ist oder
■■ sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten er-
forderlich ist und die Interessen oder Grundrechte und Grundfreiheiten der betroffe-
nen Person nicht überwiegen. Dieser Rechtfertigungsgrund gilt nicht für Behörden.
2.2 Datensparsamkeit
Das bereits im Bundesdatenschutzgesetz (BDSG) verankerte Prinzip der Datensparsam-
keit findet sich nunmehr als eines der zentralen Prinzipien des Datenschutzes in der
Datenschutz-Grundverordnung wieder. Nach Art. 5 Abs. 1 lit. c DSGVO muss die Verarbeitung personenbezogener Daten dem
Zweck angemessen und sachlich relevant sowie auf das für den Zweck der Datenverar-
beitung notwendige Maß beschränkt sein.
2.3 Zweckbindung
Die Datenschutz-Grundverordnung sieht in Art. 5 Abs. 1 lit. b DSGVO eine enge Zweck-
GRUNDPRINZIPIEN DES DATENSCHUTZRECHTS – BISHER BEKANNTE GRUNDSÄTZE BLEIBEN ERHALTEN
bindung vor. Personenbezogene Daten dürfen nur für festgelegte, eindeutige und
rechtmäßige Zwecke erhoben werden.
Zudem sind grundsätzlich nur solche Änderungen des Verarbeitungszwecks erlaubt,
diemitdemursprünglichenErhebungszweckvereinbarsind(Art. 5Abs. 1lit. bsowieArt. 6Abs. 4DSGVO). DabeistelltdieDatenschutz-GrundverordnunginArt. 6Abs. 4Kriterien
auf, die bei der Beurteilung der Vereinbarkeit einer Zweckänderung zu berücksichtigen
sind. Hierzu zählen u. a. die Verbindung zwischen den Zwecken, der Gesamtkontext, in
dem die Daten erhoben wurden, die Art der personenbezogenen Daten, mögliche Kon-
sequenzen der zweckändernden Verarbeitung für den Betroffenen oder das Vorhan-
densein von angemessenen Sicherheitsmaßnahmen wie eine Pseudonymisierung oder
Verschlüsselung. Letzteres führt zu einer vorsichtigen Privilegierung der Weiterverar-
beitung pseudonymisierter bzw. verschlüsselter Daten, was für datenschutzgerechte
Big-Data-Anwendungen von Bedeutung ist.
Als zentrales Prinzip des Datenschutzes wurde auch die Gewährleistung von Datensi-
cherheit gesetzlich verankert (Art. 5 Abs. 1 lit. f und Art. 32 DSGVO). Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der
Art, der Umstände und Zweck der Datenverarbeitung, aber auch der unterschiedlichen
Eintrittswahrscheinlichkeit und Schwere des Risikos für die persönlichen Rechte und
Freiheiten haben der Verantwortliche und der Auftragsverarbeiter geeignete techni-
sche und organisatorische Maßnahmen umzusetzen. Dabei muss das Sicherheitslevel
im Verhältnis zum Risiko angemessen sein. Geboten sein kann danach unter anderem eine Pseudonymisierung oder Verschlüsse-
lung, sowie die Fähigkeit, Vertraulichkeit, Integrität und Verfügbarkeit und Belastbar-
keit der Systeme zu gewährleisten (vgl. Nr. 4).
12 BfDI – Info 6
2.5 Übermittlung in Drittstaaten
Die Regelungen zur Drittstaatenübermittlung (Art. 44-50 DSGVO) übernehmen mit
einigen neuen Akzenten die grundsätzliche Systematik der Regelungen in der Daten-
schutzrichtlinie.
Eine Übermittlung von personenbezogenen Daten in ein Drittland oder an eine inter-
nationale Organisation ist nur zulässig, wenn der Verantwortliche und der Auftragsver-
arbeiter die im Kapitel V zur Datenübermittlung in Drittländer und zu internationalen
Organisationen niedergelegten Bedingungen erfüllen und auch die sonstigen Bestim-
mungen der Datenschutz-Grundverordnung beachtet werden (Art. 44 DSGVO).
Eine Übermittlung ist danach zulässig, wenn die Europäische Kommission entschieden
hat, dass ein angemessenes Schutzniveau besteht (Art. 45 DSGVO). Hat die Kommission
keine solche Entscheidung getroffen, darf ein Verantwortlicher oder ein Auftragsverar-
beiter personenbezogene Daten in ein Drittland oder an eine internationale Organisa-
tion nur übermitteln, sofern er geeignete Garantien vorgesehen hat und durchsetzbare
Rechte und wirksame Rechtsbehelfe zur Verfügung stehen (Art. 46 DSGVO), u. a. recht-
lich bindende und durchsetzbare Instrumente zwischen Behörden oder öffentlichen
Stellen(Art. 46 Abs. 2lit. a DSGVO), unternehmensinterne Datenschutzvorschriften,sog. „BindingCorporateRules“(Art. 46Abs. 2lit. bi.V.m. Art. 47DSGVO) oderStandarddaten-
schutzklauseln, die von der Kommission oder der Aufsichtsbehörde in einem bestimm-
ten Verfahren angenommen werden, (Art. 46 Abs. 2 lit. c und d DSGVO).
Die Datenschutz-Grundverordnung erlaubt darüber hinaus ausnahmsweise eine Da-
tenübermittlung in bestimmten Sonderfällen (Art. 49 DSGVO), z. B. bei Vorliegen einer
ausdrücklichen Einwilligung, bei der die betroffene Person zuvor über die Risiken einer
Datenübermittlunginformiertwordenseinmuss(Art. 49Abs. 1lit. aDSGVO). Gerichtsur-
teile und behördliche Anordnungen von Drittstaaten werden unbeschadet anderer Re-
gelungen in Kapitel V gemäß Art. 48 DSGVO nur anerkannt und durchgesetzt, wenn sie
auf einer internationalen Übereinkunft – zum Beispiel einem Rechtshilfeabkommen –.
Dabei normiert zunächst Art. 12 DSGVO Anforderungen an die Transparenz der Infor-
mationen,andieKommunikationunddieModalitätenfürdieAusübungderRechteder
Art. 13f. DSGVO sehen einen umfangreichen Katalog proaktiver Benachrichtigungen
vor, wobei danach differenziert wird, ob die Daten bei der betroffenen Person erhoben
werden (Art. 13 DSGVO) oder nicht (Art. 14 DSGVO). Dies betrifft unter anderem Kon-
taktdaten des Verantwortlichen, die Verarbeitungszwecke sowie die Rechtsgrundlage,
gegebenenfalls die Empfänger oder Kategorien von Empfängern sowie die Absicht der
Übermittlung in ein Drittland, aber auch die Dauer der Speicherung, beziehungsweise
dieKriterienfürdieFestlegungdieserDauer. DerBetroffeneistzudemüberseineRechte
Art. 15 DSGVO regelt das Auskunftsrecht der Betroffenen. Die betroffene Person hat das
Recht, eine Bestätigung zu verlangen, ob sie betreffende personenbezogene Daten ver-
arbeitet werden. Ist das der Fall, hat sie ein Recht auf Auskunft über diese Daten sowie
über Informationen unter anderem über die Verarbeitungszwecke, deren Herkunft,
Empfänger, über die Dauer der Speicherung sowie über ihre Rechte.
DiebetroffenePersonhatzudemdasRecht,dieBerichtigungsowieimHinblickaufden
Zweck die Vervollständigung sie betreffender unzutreffender personenbezogener Da-
ten zu verlangen (Art. 16 DSGVO).
Daneben haben die Betroffenen nach Art. 17 DSGVO (mit bestimmten Ausnahmen) das
Recht, die Löschung ihrer Daten zu verlangen – zum Beispiel wenn diese zu dem Zweck,
zu dem sie ursprünglich erhoben oder verarbeitet wurden, nicht mehr erforderlich sind
oder die dazu erteilte Einwilligung widerrufen wurde. Eine Ausnahme besteht zum Bei-
spiel,soweitdieVerarbeitungzurAusübungderfreienMeinungsäußerungerforderlich
14 BfDI – Info 6
ist. Als besondere Ausformung des Löschungsanspruches besteht nun auch ein „Recht
auf Vergessenwerden“ (Art. 17 Abs. 2 DSGVO), wenn die verantwortliche Stelle die zu
löschenden Daten öffentlich gemacht hat. Dann muss sie vertretbare Schritte unterneh-
men, um die Stellen, die diese Daten verarbeiten, zu informieren, dass die betroffene
Person von ihnen die Löschung aller Links zu diesen Daten oder von Kopien oder Repli-
kationen verlangt. Diese Vorschrift ist von besonderer Bedeutung für den Betrieb von
Internet-Suchmaschinen.
Die betroffene Person kann in bestimmten Fällen auch die Einschränkung der Verar-
beitung verlangen (Art. 18 DSGVO) – zum Beispiel, wenn der Verantwortliche die Daten
nicht mehr länger, die betroffene Person sie jedoch zur Geltendmachung, Ausübung
oder Verteidigung von Rechtsansprüchen benötigt oder die betroffene Person Wider-
spruch gegen die Verarbeitung eingelegt hat und noch nicht feststeht, ob die berech-
tigtenGründedesVerantwortlichengegenüberdenenderbetroffenenPersonüberwie-
gen. Die Einschränkung der Verarbeitung entspricht damit begrifflich im Wesentlichen
der Sperrung im Sinne von §§ 20 Abs. 3, 35 Abs. 3 BDSG.
Der Verantwortliche muss grundsätzlich allen Empfängern der Daten jede Berichti-
gung, Löschung oder Einschränkung der Verarbeitung mitteilen (Art. 19 DSGVO). An-
ders als das Recht auf Vergessenwerden knüpft diese Verpflichtung an vorangegange-
nen Übermittlungen an konkrete Empfänger an.
Neu ist auch das Recht auf Datenübertragbarkeit (Art. 20 DSGVO). Mit seiner Einfüh-
rung wird die Datensouveränität der betroffenen Person gestärkt. Das Recht auf Da-
tenübertragung gibt betroffenen Personen daher unter bestimmten Voraussetzungen
einen Anspruch, eine Kopie der sie betreffenden personenbezogenen Daten in einem
üblichen und maschinenlesbaren Dateiformat zu erhalten. Der Nutzer hat damit das
Recht, Daten von einem Anbieter zu einem anderen „mitzunehmen“. Die Regelung
kann damit insbesondere bei Social Networks den Wechsel zu einem anderen Anbieter
erleichtern. Es gilt aber letztlich bei jeder automatisierten Verarbeitung personenbe-
zogener Daten auf der Basis einer Einwilligung oder einer Vertragsbeziehung mit dem
Betroffenen, also auch für Verträge mit Energieversorgern, Banken oder Versicherun-
gen. Die betroffene Person kann sich dabei aussuchen, ob sie die Daten selbst erhalten
(und an einen neuen Verarbeiter weitergeben) will oder der bisherige Verarbeiter die
Daten unmittelbar an den neuen Verarbeiter weitergeben muss. Das Recht auf Daten-
übertragbarkeit ist auf die Daten beschränkt, die die betroffene Person dem Verarbeiter
zur Verfügung gestellt hat. Es gilt nicht für den öffentlichen Bereich.
Nach Art. 21 Abs. 1 DSGVO hat der Betroffene grundsätzlich ein allgemeines Wider-
spruchsrecht gegen eine an sich rechtmäßige Verarbeitung von personenbezogenen
Daten, die im öffentlichen Interesse liegt, in Ausübung öffentlicher Gewalt oder auf-
grund des berechtigten Interesses des Verantwortlichen oder eines Dritten erfolgte
(Art. 6 Abs. 1 lit. e oder f DSGVO). Der Verantwortliche darf dann die Daten nur noch
verarbeiten, wenn er zwingende berechtigte Gründe für die Verarbeitung nachweisen
kann,diedieInteressen,RechteundFreiheitendesBetroffenenüberwiegen. Einvoraus-
setzungsloses und uneingeschränktes Widerspruchsrecht besteht bei der Datenverar-
beitung zum Zweck des Direktmarketings. Das gilt auch für das Profiling, soweit es mit
der Direktwerbung zusammenhängt (Art. 21 Abs. 2 und 3 DSGVO). Der Betroffene ist aus-
drücklich, in verständlicher Form und getrennt von jeglicher anderen Information auf
das Widerspruchsrecht hinzuweisen (Art. 19 Abs. 4 DSGVO).
Sämtliche Betroffenenrechte können gemäß Art. 23 DSGVO durch nationale Gesetze
beschränkt werden, sofern dies zur Wahrung bestimmter öffentlicher Interessen er-
forderlich ist. Dabei sind der Verhältnismäßigkeitsgrundsatz und der Wesensgehalt
der Grundrechte zu beachten. Einschränkungen sind beispielsweise aus Gründen des
Schutzes der nationalen und der öffentlichen Sicherheit, der Landesverteidigung, aber
auch der Interessen der Steuerverwaltung oder zum Schutz der Unabhängigkeit der Ge-
richte möglich. 2.7 Unabhängige Aufsicht
Die Datenschutz-Grundverordnung bekennt sich zu einer Stärkung der Aufsicht durch
unabhängige Datenschutzbehörden.
Sie normiert in Art. 51 Abs. 1, dass jeder Mitgliedstaat eine oder mehrere unabhängige
Aufsichtsbehörden einzurichten hat. 16.
16 BfDI – Info 6
Die Aufsichtsbehörden müssen sowohl vollständig unabhängig in der Wahrnehmung
ihrer Aufgaben sein, als auch die Angehörigen der Aufsichtsbehörden in ihrer Aufga-
benwahrnehmung frei von externem Einfluss bleiben. Dies umfasst auch ein Verbot,
zugleich eine Tätigkeit wahrzunehmen, die einen Interessenkonflikt begründet (Art. 52
Abs. 1 ff. DSGVO). Die Unabhängigkeit spiegelt sich auch darin wider, dass die Aufsichtsbehörden mit aus-
reichenden technischen, personellen und finanziellen Ressourcen auszustatten sind
(Art. 52 Abs. 4 DSGVO).
Die Personalhoheit ist ebenfalls ausdrücklich normiert (Art. 52 Abs. 5 DSGVO). Die Aus-
wahl der Mitglieder der Aufsichtsbehörden – d. h. in Deutschland der Bundesbeauftrag-
ten und der Landesbeauftragten bzw. der Leiter der Aufsichtsbehörden – muss in einem
besonders geregelten transparenten Verfahren erfolgen (Art. 53 f. DSGVO). Schließlich gehört zur Unabhängigkeit, dass die Mitglieder bzw. Leiter der Aufsichts-
behörden nicht ohne weiteres ihres Amtes enthoben werden können (Art. 53 Abs. 4 DS-
GVO). Denn auch die Sorge vor einer Amtsenthebung bei unliebsamer Amtswahrneh-
mung wäre geeignet, die Unabhängigkeit zu beeinträchtigen.
2.8 Effektive Durchsetzung
Effektiver Datenschutz erfordert auch die Möglichkeit einer effektiven Durchsetzung.
Die Datenschutz-Grundverordnung sieht im Vergleich zur Datenschutzrichtlinie um-
fangreichere Befugnisse für die Datenschutzaufsichtsbehörden vor. Zudem werden die
Sanktionsmöglichkeiten ausgedehnt. 2.8.1 Befugnisse der Aufsichtsbehörden
Die Datenschutzbehörden werden in Zukunft auch im öffentlichen Bereich Befugnisse
erhalten, die sie jedenfalls in Deutschland bislang nicht haben. So werden sie nach Art. 58 DSGVO unter anderem auch gegenüber Behörden Anordnungen erlassen können,
um zum Beispiel eine rechtswidrige Datenverarbeitung zu unterbinden, die Löschung
personenbezogener Daten zu erwirken oder eine Datenübermittlung in Drittstaaten
zu untersagen. Diese Befugnisse sind für das deutsche Verwaltungsrecht insofern un-
gewöhnlich, als sie hoheitliche Maßnahmen einer Behörde gegenüber einer anderen
Behörde des gleichen Verwaltungsträgers ermöglichen. Auf diese Weise werden die
Datenschutzbehörden zu spezifischen Rechtsaufsichtsbehörden. Zur effektiven Durch-
setzung des Datenschutzrechts sind diese Befugnisse aber unabdingbar. Sie bedingen
allerdings auf nationaler Ebene die Schaffung eines gerichtlichen Rechtsschutzes auch
für Behörden gegen die Maßnahmen der Datenschutzaufsichtsbehörde.
Imnicht-öffentlichenBereichsinddieBefugnissehingegenvergleichbarmitdergelten-
den Rechtslage.
2.8.2 Sanktionen
Nach der Datenschutz-Grundverordnung werden die erweiterten Befugnisse durch
eine Ausweitung des Bußgeldrahmens flankiert (Art. 83 DSGVO).
So sind für bestimmte Rechtsverstöße Bußgelder bis zu 4 % des Jahresumsatzes eines
Unternehmens, beziehungsweise 20 Mio. Euro, zulässig, wobei der jeweils höhere Wert
gilt. Dabei ist auf den gesamten weltweiten Jahresumsatz des betreffenden Unterneh-
mens abzustellen und nicht etwa nur auf den in Europa erwirtschafteten. Hinsichtlich der Sanktionsmöglichkeiten wird durch die Datenschutz-Grundverord-
nung auch eine Rechtslücke im Bereich des Telekommunikations- und Postwesens ge-
schlossen werden, in dem die BfDI bisher keine Bußgelder verhängen kann.
Bezogen auf die öffentlichen Stellen enthält die Datenschutz-Grundverordnung in Art. 83 Abs. 7 eine Öffnungsklausel für den nationalen Gesetzgeber, wonach festgelegt wer-
den kann, ob und in welcher Höhe auch in diesem Bereich Bußgelder verhängt werden
können. 18.
18 BfDI – Info 6
3 Wasistneu?
Auch wenn die Datenschutz-Grundverordnung den Datenschutz nicht neu erfindet
und sich auf die seit Jahrzenten bewährten Grundprinzipien des Datenschutzes stützt,
so enthält sie auch einige neue Elemente. Zum einen ist in diesem Zusammenhang das
sog. Marktortprinzip zu nennen, nach dessen Maßgabe das EU-Datenschutzrecht auch
für Wirtschaftsunternehmen außerhalb der Europäischen Union gilt. Zum anderen sol-
len komplexe Kooperations- und Kohärenzmechanismen eine möglichst einheitliche
Anwendung der Regelungen des DSGVO in den EU-Mitgliedstaaten gewährleisten.
3.1 Marktortprinzip
Das Europäische Datenschutzrecht gilt nach der Datenschutz-Grundverordnung nicht
nur für die in der Europäischen Union niedergelassenen Unternehmen. Voraussetzung
ist nach Art. 3 Abs. 2 DSGVO lediglich, dass sich ein Angebot an einen bestimmten nati-
onalen Markt in der EU richtet oder dass die Datenverarbeitung der Beobachtung des
Verhaltens von Personen in der EU dient. Der Anwendungsbereich erstreckt sich damit
auch auf außereuropäische Unternehmen, die auf dem europäischen Markt tätig sind.
Das Marktortprinzip wird für gleiche Wettbewerbsbedingungen für alle Unternehmen
sorgen, die Waren und Dienstleistungen auf dem europäischen Markt anbieten. Insbe-
sondere werden auch ausländische Unternehmen nur dann Zugang zum europäischen
Binnenmarkt erhalten, wenn sie sich an die hier geltenden Regelungen halten. 19.
3.2 Verfahrensvereinfachung und einheitliche Rechtsanwendung
Die Datenschutz-Grundverordnung strebt eine möglichst einheitliche Rechtsanwen-
dung in der Europäischen Union an. Dies soll im Falle grenzüberschreitender Datenver-
arbeitungen im nicht-öffentlichen Bereich durch einen komplexen Kooperations- und
Kohärenzmechanismus umgesetzt werden, an dessen Ende eine einheitliche Entschei-
dung der Aufsichtsbehörden der EU-Mitgliedstaaten zur Rechtsanwendung steht. Sie
kann entweder im Wege der Einigung oder zwangsweise durch einen Europäischen
Datenschutzausschuss herbeigeführt werden (siehe „Kohärenzverfahren“).
3.2.1 One-Stop-Shop
Aufgrund des durch die Datenschutz-Grundverordnung eingeführten sogenannten
„One-Stop-Shop-Mechanismus“ ist es für Unternehmen, die Niederlassungen in meh-
reren EU-Mitgliedstaaten führen und dort Datenverarbeitung betreiben, einfacher als
bisher, ihre datenschutzrechtlichen Angelegenheiten zu klären: Für diese Unterneh-
men wird bei grenzüberschreitenden Datenverarbeitungen nur die Aufsichtsbehörde
an ihrem Hauptsitz zuständig sein, sodass sie einen zentralen Ansprechpartner haben. Dies entlastet die Unternehmen gegenüber den bisherigen Regelungen ganz erheblich. Gleichzeitig bleibt dabei aber auch gewährleistet, dass sich der von der Datenverarbei-
tung Betroffene mit Beschwerden immer an die Datenschutzaufsichtsbehörde an sei-
nem Wohnsitz wenden kann.
Die grundsätzliche Architektur des One-Stop-Mechanismus ist durch die Definition
einer federführenden Datenschutzbehörde am Sitz der Hauptniederlassung des Ver-
antwortlichen gekennzeichnet, die als Hauptansprechpartner für die verantwortliche
Stelle fungiert und ihr gegenüber das Datenschutzrecht durchsetzt. Sobald mehrere
Mitgliedstaaten betroffen sind, werden deren Datenschutzaufsichtsbehörden in den
Abstimmungsmechanismus eingebunden (betroffene Behörden).
20 BfDI – Info 6
EinigensichdiefederführendeunddiebetroffenenAufsichtsbehördenaufeineeinheit-
liche Vorgehensweise, ergeht ein entsprechender Beschluss an die Hauptniederlassung
des Verantwortlichen. Er hat die erforderlichen Maßnahmen zu treffen, um die Verar-
beitungstätigkeiten aller Niederlassungen innerhalb der Union mit dem Beschluss in
Einklang zu bringen. Die federführende Aufsichtsbehörde ist über die Maßnahmen zu
unterrichten und unterrichtet wiederum ihrerseits die betroffenen Aufsichtsbehörden. Die Aufsichtsbehörde, bei der hierzu eine Beschwerde eingereicht worden ist, unter-
richtet den Beschwerdeführer über den Beschluss. Wird eine Beschwerde eines Betroffenen abgewiesen oder abgelehnt, ergeht der Be-
schluss gegenüber dem Petenten durch die angerufene Aufsichtsbehörde. Das Unter-
nehmen wird lediglich darüber informiert.
Wird einer Beschwerde nur zum Teil stattgegeben, ergehen zwei Beschlüsse – einer
durch die federführende Aufsichtsbehörde gegenüber dem Unternehmen und einer
der angerufenen Aufsichtsbehörde gegenüber dem Betroffenen.
Indensogenannten„Marktortfällen“(vgl. hierzuobenunter3.1),indenenkeineNieder-
lassung in der Europäischen Union existiert, die Datenschutz-Grundverordnung aber
dennoch anwendbar ist, weil sich zum Beispiel das Angebot an Bürger in der EU richtet,
gibt es diesen Kooperationsmechanismus nicht. In diesen Fällen ist jede Aufsichtsbehör-
de im Hoheitsgebiet ihres Mitgliedstaats zuständig und kann Entscheidungen erlassen. Daher können hier auch divergierende Entscheidungen ergehen.
3.2.2 Kohärenzverfahren
Dort wo in One-Stop-Shop-Fällen kein Konsens zwischen federführender und mitbe-
troffenen Aufsichtsbehörden im Verfahren der Zusammenarbeit erreicht werden kann,
normieren Art. 63, 65 DSGVO das sogenannte Kohärenzverfahren mit der Befugnis des
Europäischen Datenschutzausschusses, verbindliche Beschlüsse (Art. 65 Abs. 1 DSGVO)
zu treffen, um die ordnungsgemäße und einheitliche Anwendung der Verordnung in
Einzelfällen sicherzustellen. WAS IST NEU?
Das Verfahren hierzu ist in den Art. 65 Abs. 6, 60 Abs. 7 bis 9 DSGVO geregelt: Die fe-
derführende Aufsichtsbehörde trifft den endgültigen Beschluss auf der Grundlage des
Beschlusses des Europäischen Datenschutzausschusses gegenüber der Hauptniederlas-
sung des Verantwortlichen, der ihr EU-weit Folge zu leisten hat. Im Falle einer erfolg-
losen Beschwerde erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht
wurde, den Beschluss gegenüber dem Beschwerdeführer. Zeitgleich mit dem Erlass des
endgültigen Beschlusses gegenüber dem Verantwortlichen oder dem Beschwerdefüh-
rer wird ein etwaiger Beschluss des Europäischen Datenschutzausschusses auf dessen
Webseite veröffentlicht. Um zur einheitlichen Anwendung der Datenschutz-Grundverordnung beizutragen
werden im sogenannten Kohärenzverfahren über die Klärung von Einzelfragen (One-
Stop-Shop) hinaus aber auch gemeinsame Positionen, Stellungnahmen und Richt-
linien bestimmt.
22 BfDI – Info 6
4	TechnischerundorganisatorischerDatenschutz
(vgl.Nr.2.4)
Die Datenschutz-Grundverordnung stellt die Bedeutung des technischen und organi-
satorischen Datenschutzes heraus. Hierzu zählen die Regelungen zu Privacy by Design/
Privacy by Default, zur Auftragsdatenverarbeitung, zu Meldungen über Datenschutz-
verletzungen, zur Datenschutz-Folgenabschätzung und zu den betrieblichen/behörd-
lichen Datenschutzbeauftragten. Zudem stärkt die Datenschutz-Grundverordnung die
Selbstregulierung durch die Verantwortlichen.
4.1 Privacy by Design – Privacy by Default
Schon bisher gilt das Prinzip der Datenvermeidung und Datensparsamkeit. Mit der
Einführung des „Datenschutzes durch Technik und datenschutzfreundliche Vorein-
stellungen“ (Art. 25 DSGVO) werden nun ausdrücklich Anforderungen an die Pro-
duktentwicklung und -implementierung gestellt, um eine wirksame Umsetzung dieser
Datenschutzgrundsätze zu erreichen. Der Verantwortliche hat hierfür sowohl zum Zeitpunkt der Festlegung der Mittel für die
Verarbeitung als auch zum Zeitpunkt der Verarbeitung angemessene technische und
organisatorische Maßnahmen zu treffen, wie z. B. Pseudonymisierung. Der Verantwortliche muss darüber hinaus sicherstellen, dass Standardeinstellungen
darauf ausgerichtet sind, nur personenbezogene Daten zu verarbeiten, die für den kon-
kretenZweckaucherforderlichsind. DasbetrifftdenUmfangdererhobenenDaten,den
Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit.
Diese Regelungen werden Ausstrahlungswirkungen auf sämtliche Produkte, Systeme
und Prozesse in den Unternehmen haben.
Auch wenn sich die Vorschrift unmittelbar nur an die Verantwortlichen richtet, wird sie
sich auch mittelbar auf die Entwicklung von IT-Produkten und -Verfahren auswirken
Die Regelungen zur Auftragsdatenverarbeitung (Art. 28 DSGVO) orientieren sich weit-
gehend an der Systematik von § 11 BDSG. Neu ist, dass die Einhaltung der Verpflichtun-
gen des Auftragnehmers zu den technisch-organisatorischen Maßnahmen durch die
Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO (Code of Conduct) oder
durch eine Zertifizierung nach Art. 42 DSGVO nachgewiesen werden kann. (Art. 28 Abs. 5 DSGVO).
4.3 Meldungen von Datenschutzverletzungen
VerletzungendesSchutzespersonenbezogenerDatenmüssenunverzüglich,nachMög-
lichkeit innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls, an die zuständi-
ge Aufsichtsbehörde gemeldet werden. Eine Ausnahme besteht, wenn die Verletzung
voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten des
Betroffenen führt. (vgl. Art. 33 Abs. 1 DSGVO). Ein solches Risiko kann z. B. durch eine ge-
eignete Verschlüsselung personenbezogener Daten ausgeschlossen werden, die etwa
beim Verlust eines Datenträgers die Kenntnisnahme der Daten durch Dritte verhindert.
Besteht die Wahrscheinlichkeit, dass die Verletzung des Schutzes personenbezoge-
ner Daten ein hohes Risiko für die persönlichen Rechte und Freiheiten bewirkt, muss
der Verantwortliche auch die betroffene Person ohne unangemessene Verzögerung
benachrichtigen – es sei denn, er hat technisch-organisatorische Maßnahmen getrof-
fen, die eine Kenntnisnahme durch Dritte verhindern oder die sicherstellen, dass aller
Wahrscheinlichkeit nach kein hohes Risiko mehr für die Rechte und Freiheiten der be-
troffenen Person besteht (Art. 34 DSGVO). 24.
24 BfDI – Info 6
Kommt es bei einem Auftragsverarbeiter zu einem Datenschutzverstoß, muss dieser sei-
nen Auftraggeber informieren (Art. 33 Abs. 2. DSGVO).
4.4 Datenschutz-Folgenabschätzung
Birgt die Art der Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risi-
ko für die persönlichen Rechte und Freiheiten, muss der Verantwortliche bereits vorab
eine Abschätzung der Folgen für den Schutz personenbezogener Daten durchführen. Dies ist insbesondere der Fall bei neuen Technologien, aufgrund der Art, des Umfangs,
der Umstände und der Zwecke der Verarbeitung (Art. 35 Abs. 1 DSGVO). Die Datenschutz-Grundverordnung nennt in Art. 35 Abs. 3 bestimmte Fallgruppen, bei
denen eine Folgenabschätzung stets durchzuführen ist. Dazu zählen das Profiling, die
Verarbeitung besonders sensibler Daten sowie eine umfangreiche Videoüberwachung.
Bei der Folgenabschätzung ist der behördliche oder betriebliche Datenschutzbeauf-
tragte zu beteiligen (Art. 35 Abs. 2 DSGVO). Zeigt die Datenschutz-Folgenabschätzung
ein verbleibendes hohes Risiko, muss zudem die Datenschutzaufsichtsbehörde konsul-
tiert werden (Art. 36 Abs. 1 DSGVO).
4.5 Pflicht zur Bestellung eines behördlichen oder betrieblichen
NachArt. 37Abs. 1DSGVOmüssenindreiFälleninterneDatenschutzbeauftragtebestellt
■■ Öffentliche Stellen haben, sofern sie personenbezogene Daten verarbeiten, stets ei-
nenDatenschutzbeauftragtenzubestellen. AusgenommensindGerichteimRahmen
der rechtsprechenden Tätigkeit.
■■ Nicht-öffentliche Stellen haben einen Datenschutzbeauftragten zu bestellen, wenn
deren Kerntätigkeit oder desjenigen, der Daten im Auftrag verarbeitet, in einer Da-
tenverarbeitung besteht,
•	die aufgrund ihres Zwecks oder ihres Umfangs eine umfangreiche, regelmäßige
und systematische Beobachtung von betroffenen Personen erfordert oder
•	eine umfangreiche Verarbeitung von Daten, die nach Art. 9 oder 10 DSGVO beson-
ders schutzwürdig sind, umfasst.
Erwägungsgrund 97 stellt klar, dass das „Kerngeschäft“ die Hauptaktivität des Unter-
nehmens meint. Bloße Nebentätigkeiten sollen nicht darunter fallen.
Darüber hinaus enthält Art. 37 Abs. 4 DSGVO zwei Öffnungsklauseln:
Verantwortliche oder Auftragsverarbeiter können auch freiwillig einen Datenschutz-
beauftragten bestellen.
Eine weitere Öffnung besteht darin, dass die Mitgliedstaaten im nationalen Recht für
weitere Fälle die Bestellung eines Datenschutzbeauftragten vorschreiben können. Art. 39 DSGVO normiert die vom Datenschutzbeauftragten wahrzunehmenden Aufga-
ben – wie Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverar-
beiters sowie der Beschäftigten, Überwachung der Einhaltung der datenschutzrechtli-
chen Vorschriften, Schulungen und Zusammenarbeit mit der Aufsichtsbehörde.
Der Verantwortliche oder der Auftragsverarbeiter haben sicherzustellen, dass der Da-
tenschutzbeauftragte frühzeitig in alle mit dem Schutz personenbezogener Daten zu-
sammenhängenden Fragen eingebunden wird. Sie haben ihn zu unterstützen und ihm
die erforderlichen Ressourcen zur Verfügung zu stellen. Der Datenschutzbeauftragte
ist weisungsfrei und berichtet unmittelbar der jeweiligen Leitungsebene. Er darf wegen
der Erfüllung seiner Aufgaben nicht benachteiligt werden. Natürlich ist er zur Geheim-
haltung verpflichtet. (Vgl. Art. 38 DSGVO.)
Die Rechtstellung und die Aufgaben sind weitgehend mit der derzeitigen Rechtslage in
Deutschland identisch.
26 BfDI – Info 6
4.6 Stärkung der Selbstregulierung durch Zertifizierung und
Die Datenschutz-Grundverordnung stärkt die Selbstregulierung durch Verhaltensre-
geln (Art. 40, 41 DSGVO) und Zertifizierungen (Art. 42, 43 DSGVO). Diese Instrumente
bieten einerseits klare Wettbewerbsvorteile. Andererseits enthält die Datenschutz-
Grundverordnung an verschiedenen Stellen Anreize zur Nutzung dieser Instrumente. So können sie beispielsweise bei der Beurteilung der Datensicherheit, beim Nachweis
der Einhaltung der Verpflichtungen eines Auftragsverarbeiters, bei der Durchführung
einer Datenschutz-Folgenabschätzung oder bei der Prüfung geeigneter Garantien für
die Übermittlung in Drittländer herangezogen werden.
Zudem ist die Schaffung branchenspezifischer Verhaltensregeln zu bestimmten Aspek-
ten - wie das berechtigte Interesse des Verantwortlichen in bestimmten Zusammenhän-
gen oder die Datenübermittlung in Drittstaaten (Art. 40 Abs.2 lit. b, Abs. 2 lit. j DSGVO)
Soweit nicht die Tätigkeit in mehreren Mitgliedstaaten betroffen ist, genehmigt und
veröffentlicht die Aufsichtsbehörde die Verhaltensregeln (Art. 40 Abs. 5 und 6 DSGVO). Bei einer Verarbeitungstätigkeit in mehreren Mitgliedstaaten werden sie dem Euro-
päischen Datenschutzausschuss vorgelegt, der dazu Stellung nimmt. Die Europäische
Kommission kann dann mit Durchführungsrechtsakten die allgemeine Gültigkeit in
der Union regeln (Art. 40 Abs. 7-10 DSGVO).
Der Europäische Datenschutzausschuss führt ein Register aller genehmigten Verhal-
tensregeln und veröffentlicht sie (Art. 40 Abs. 11 DSGVO).
Ein weiteres wichtiges Instrument der Selbstregulierung ist die Möglichkeit der Zerti-
fizierung von Verarbeitungsvorgängen (nicht von Stellen). Sie dient dazu, nachzuwei-
sen, dass die Datenschutz-Grundverordnung bei Verarbeitungsvorgängen eingehalten
wird (Art. 42 Abs. 1 DSGVO). Eine Zertifizierung wird durch die Aufsichtsbehörde oder
durch eine hierfür akkreditierte Stelle ausgesprochen (Art. 42 Abs. 5 DSGVO).
Der Europäische Datenschutzausschuss führt und veröffentlicht ein Register aller Zerti-
fizierungsmechanismen (Art. 42 Abs. 8 DSGVO). Die Zertifizierungskriterien werden von den Aufsichtsbehörden, gegebenenfalls im Ko-
härenzverfahren, festgelegt (Art. 42 Abs. 5 DSGVO).
Die Europäische Kommission kann in delegierten Rechtsakten Anforderungen und in
Durchführungsrechtsakten technische Standards festlegen (Art. 43 Abs. 8f. DSGVO).
28 BfDI – Info 6
EINZELNE WEITERE ASPEKTE
5	EinzelneweitereAspekte
Die Datenschutz-Grundverordnung ist grundsätzlich sowohl im nicht-öffentlichen, als
auch im öffentlichen Bereich anwendbar.
Sie gilt nicht für die Verarbeitung zu persönlichen und familiären Zwecken (Haus-
haltsausnahme, Art. 2 Abs. 2 lit. c DSGVO). Angesichts des gegenüber der Datenschutz-
richtlinie unveränderten Wortlautes verbleibt es insoweit bei dem sehr weiten Anwen-
dungsbereich des Datenschutzrechts. Ebenso gilt die Datenschutz-Grundverordnung nicht für die Verarbeitung personenbe-
zogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Untersu-
chung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie
für den Schutz vor und die Abwehr von Gefahren für die öffentliche Sicherheit durch
diese Behörden (Art. 2 Abs. 2 lit. d DSGVO). Sie ist damit zum Beispiel nicht für die Tätig-
keit der Bundes- und Landespolizeien oder die Staatsanwaltschaften anwendbar.
Die Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten,
soweit sie im Rahmen der Tätigkeiten einer Niederlassung in der Union erfolgt – unab-
hängig davon, ob die Verarbeitung in der Union stattfindet (Art. 3 Abs. 1 DSGVO). Dane-
ben gilt das unter Nr. 3.1 dargestellte Marktortprinzip.
Die unmittelbare Geltung der Datenschutz-Grundverordnung wird im öffentlichen Be-
reich durch die allgemeinen Öffnungsklauseln in Art. 6 sowie in Kapitel IX für spezifisch
nationale Gesetzgebung relativiert.
Art. 6 Abs. 2 DSGVO enthält eine Öffnungsklausel in Bezug auf
■■ die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DS-
GVO) sowie
■■ die Verarbeitung im öffentlichen Interesse oder in Ausübung hoheitlicher Gewalt
Erlaubt sind im Wesentlichen aber nur Konkretisierungen und Präzisierungen und kei-
ne grundsätzlichen Änderungen der Architektur der Datenschutz-Grundverordnung. Erfasst sind hiervon auch private Stellen, die im öffentlichen Interesse tätig sind, zum
Beispiel im Gesundheitswesen, Nahverkehr usw.
Art. 6 Abs. 3 lit. b DSGVO verlangt für diese Datenverarbeitungen allerdings eine Rechts-
grundlage im nationalen Recht, in der zumindest der Zweck der Verarbeitung festzule-
gen ist. Sie kann aber auch die Bedingungen für die Rechtmäßigkeit, den Kreis der Be-
troffenen, die Übermittlungsempfänger oder Speicherfristen enthalten.
Insgesamt sind damit die Spielräume für die nationalen Gesetzgeber allerdings recht
5.2 Verarbeitung besonders sensibler Daten
Die Verarbeitung besonders sensibler Daten unterliegt besonderen Bedingungen. So ist
die Verarbeitung von personenbezogenen Daten, aus denen die rassische und ethische
Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder
die Gewerkschaftszugehörigkeit hervorgehen, sowie von genetischen Daten, biometri-
schen Daten zur eindeutigen Identifizierung, Daten über Gesundheit oder Sexualleben
und sexuelle Ausrichtung grundsätzlich untersagt (Art. 9 Abs. 1 DSGVO) – es sei denn es
liegen bestimmte ausdrücklich geregelte Ausnahmen vor (Art. 9 Abs. 2 DSGVO). Diese
sind im Vergleich zu Art. 6 DSGVO (vgl. hierzu Nr. 2.1) strenger. Beispielsweise muss eine
Einwilligung hier ausdrücklich erfolgen.
30 BfDI – Info 6
Die Mitgliedstaaten können für die Verarbeitung von genetischen, biometrischen und
gesundheitlichen Daten noch zusätzliche Bedingungen und Beschränkungen einfüh-
ren oder aufrechterhalten (Art. 9 Abs. 4 DSGVO).
5.3 Beschäftigtendatenschutz
Die Datenschutz-Grundverordnung verzichtet auf detaillierte Regelungen zum Be-
schäftigtendatenschutz. Vielmehr enthält sie für diesen Bereich eine Öffnungsklausel
(Art. 88 DSGVO). Danach können die Mitgliedstaaten durch Gesetz oder Kollektivver-
einbarung spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und
Freiheiten bei der Verarbeitung von Beschäftigtendaten vorsehen. Aufgrund dieser Öff-
nungsklausel könnte § 32 BDSG als nationale konkretisierende Vorschrift zum Beschäf-
tigtendatenschutz anwendbar bleiben. 5.4 Kirchen und Religionsgemeinschaften
Die Datenschutz-Grundverordnung gilt grundsätzlich auch für Kirchen und Religions-
gemeinschaften. Sie enthält aber insoweit in Art. 91 DSGVO weitreichende Öffnungs-
Danach dürfen Kirchen und Religionsgemeinschaften ihre zum Zeitpunkt des Inkraft-
tretens bestehenden Regeln weiter anwenden, soweit diese in Einklang mit der Daten-
schutz-Grundverordnung gebracht werden.
Das bedeutet, dass in Deutschland die kirchlichen Datenschutzgesetze beibehalten
werden können. Neue Regelungen dürfen hingegen nicht geschaffen werden. Ände-
rungen des bestehenden Rechts sind demgegenüber möglich und gegebenenfalls auch
notwendig („in Einklang gebracht werden“).
Die Kirchen und religiösen Vereinigungen, die solche umfassenden Datenschutzregeln
anwenden, unterliegen nach Art. 91 Abs. 2 DSGVO der Kontrolle durch eine unabhän-
gige Aufsichtsbehörde. Diese Vorschrift erlaubt es den Kirchen, eine spezifische Art
der Datenschutzaufsicht vorzusehen. Damit können die Kirchen in Deutschland mit
ihren eigenen kirchlichen Datenschutzbeauftragten insoweit ihre verfassungsrecht-
lich und europarechtlich geschützte Autonomie weiterhin ausüben. Die kirchlichen
Datenschutzbeauftragten müssen allerdings die Bedingungen des Kapitel VI der Da-
tenschutz-Grundverordnung erfüllen. Auch sie müssen daher unabhängig sein, ihnen
müssen eine angemessene Ausstattung zur Verfügung gestellt sowie bestimmte Aufga-
ben und Befugnisse eingeräumt werden.
5.5 Sonderregeln für wissenschaftliche Zwecke, öffentliche Archive
Die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Ar-
chivzwecke, für wissenschaftliche oder historische Forschungszwecke sowie für Zwecke
der Statistik wird durch die Datenschutz-Grundverordnung privilegiert.
Art. 5 Abs. 1 lit. b DSGVO normiert zunächst eine weitgehende Aufhebung der Zweck-
bindung für Daten, die ursprünglich für andere Zwecke verarbeitet wurden. Eine Wei-
terverarbeitungfürdievorgenanntenZweckegiltdanachnichtalsunvereinbarmitden
ursprünglichen Zwecken.
Die Rechtsgrundlage für die Datenverarbeitung zu den genannten Zwecken kann
nach Art. 89 DSGVO weitgehend in den Mitgliedstaaten geregelt werden. Gleiches gilt
gem. Art. 9 Abs. 2 lit. j DSGVO auch für die Verarbeitung besonders sensibler Daten (wie
zum Beispiel über die religiöse Überzeugung oder Gesundheitsdaten) zu diesen Zwe-
cken. Dabei müssen angemessene Garantien zum Datenschutz vorgesehen werden. Zu
den danach erforderlichen technisch-organisatorische Maßnahmen können im For-
schungsbereich zum Beispiel Pseudonymisierung und Anonymisierung gehören.
32 BfDI – Info 6
Von einzelnen Betroffenenrechten (vgl. Nr. 2.6) sind Ausnahmen möglich, soweit sie
voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder
ernsthaft beeinträchtigen würden.
5.6 Medienprivileg
Der Ausgleich zwischen dem Persönlichkeitsschutz und den Kommunikationsfreihei-
ten bleibt gemäß Art. 85 DSGVO den Mitgliedstaaten vorbehalten. Dabei enthält Art. 85
Abs. 1 DSGVO einerseits den allgemeinen Auftrag an die Mitgliedstaaten, in ihrem Recht
einen Ausgleich zwischen dem Recht auf Datenschutz und der Meinungs- und Informa-
tionsfreiheit herzustellen. Art. 85 Abs. 2 DSGVO erlaubt es den Mitgliedstaaten darüber
hinaus, bei der Verarbeitung personenbezogener Daten zu journalistischen, literari-
schen, künstlerischen oder wissenschaftlichen Zwecken Ausnahmen von zahlreichen
Kapiteln der Datenschutz-Grundverordnung vorzusehen, sofern dies für den Ausgleich
der Grundrechte erforderlich ist. Damit können die in Deutschland in erster Linie im
Landesrecht geregelten besonderen Bestimmungen des Datenschutzes bei Presse und
Rundfunk überwiegend beibehalten werden.
6	AusblickundnationaleUmsetzung
Die Datenschutz-Grundverordnung ist als europäische Verordnung unmittelbar gel-
tendes Recht. Als „Grundverordnung“ enthält sie aber eine Vielzahl von Öffnungsklau-
seln, die Spielraum für nationales Recht der Mitgliedstaaten schaffen.
Auf den nationalen Gesetzgeber kommt daher ein erheblicher Umsetzungsbedarf zu. Darüber hinaus muss das gesamte Datenschutzrecht von Bund und Ländern auf seine
Vereinbarkeit mit der Datenschutz-Grundverordnung geprüft und - soweit erforderlich
- bereinigt werden. Hinsichtlich des Anpassungsbedarfs im deutschen Datenschutzrecht ist zwischen dem
öffentlichen und dem nicht-öffentlichen Bereich zu unterscheiden.
Im öffentlichen Bereich werden die geltenden bereichsspezifischen Vorschriften auf-
grund der Öffnungsklauseln in Art. 6 Abs. 2, Art. 6 Abs. 3, Art. 9 Abs. 4, Art. 23 DSGVO und
in Kapitel IX zum ganz überwiegenden Teil erhalten bleiben können. Durch den Gesetz-
geber ist aber zu prüfen, in welchem Umfang eine Anpassung und Rechtsbereinigung
Im nicht-öffentlichen Bereich bestehen demgegenüber deutlich geringere Spielräume
für nationale Regelungen.
Von welchen Öffnungsklauseln die deutschen Gesetzgeber in Bund und Ländern Ge-
brauch machen werden, hängt auch davon ab, ob es sich um zwingend umzusetzende
Regelungen handelt oder nicht. Zu den zwingend umzusetzenden Regelungen gehören beispielsweise die Vorschrif-
ten zur Einrichtung und näheren Ausgestaltung der Aufsichtsbehörden (Art. 51 bis 54
DSGVO) einschließlich des Rechtsschutzes gegen deren Entscheidungen (Art. 58 Abs. 4 DSGVO). Zwingender Umsetzungsbedarf besteht darüber hinaus auch beim Rechts-
schutz gegen die Verhängung von Geldbußen (Art 83 Abs. 8 DSGVO) und der Regelung
34 BfDI – Info 6
weitergehender Sanktionen (Art. 84 DSGVO) sowie bei der Umsetzung des Medienprivi-
legs (Art. 85 DSGVO).
Über den zwingenden Umsetzungsbedarf hinaus enthält die Datenschutz-Grundver-
ordnung eine Reihe von optionalen Öffnungsmöglichkeiten. Von besonderer Bedeutung ist insoweit die Möglichkeit nach Art. 37 Abs. 4 DSGVO, auch
in weiteren als den in Art. 37 Abs. 1 DSGVO genannten Fällen eine verpflichtende Bestel-
lung eines Datenschutzbeauftragten vorzusehen sowie gem. Art 88 DSGVO nationale
Regelungen zum Schutz von Beschäftigtendaten zu treffen.
AUSBLICK UND NATIONALE UMSETZUNG
VERORDNUNG (EU) 2016/…
zum Schutz natürlicher Personen
bei der Verarbeitung personenbezogener Daten,
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Arti-
kel 16,
nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses1
nach Stellungnahme des Ausschusses der Regionen2
gemäß dem ordentlichen Gesetzgebungsverfahren3
(1)	Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein
Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union
(im Folgenden „Charta“) sowie Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der
1	ABl. C 229 vom 31.7.2012, S. 90.
2	ABl. C 391 vom 18.12.2012, S. 127.
3	Standpunkt des Europäischen Parlaments vom 12. März 2014 (ABl. ...) und Standpunkt des Rates vom ... . Standpunkt des
Europäischen Parlaments vom ... und Beschluss des Rates vom ... .
Der nachfolgende Text der Datenschutz-Grundverordnung ist eine informelle Fassung, die jedoch der
vom Europäischen Parlament am 14.4.2016 angenommenen endgültigen Fassung entspricht.
36 BfDI – Info 6
Europäischen Union (AEUV) hat jede Person das Recht auf Schutz der sie betreffenden per-
sonenbezogenen Daten.
(2)	Die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung
ihrer personenbezogenen Daten sollten gewährleisten, dass ihre Grundrechte und Grund-
freiheiten und insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet
ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gewahrt bleiben. Diese Verordnung
soll zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer
Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stärkung und zum
Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarkts sowie zum Wohl-
ergehen natürlicher Personen beitragen.
(3)	Zweck der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates4
ist die Harmo-
nisierung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher
Personen bei der Datenverarbeitung sowie die Gewährleistung des freien Verkehrs perso-
nenbezogener Daten zwischen den Mitgliedstaaten.
(4)	Die Verarbeitung personenbezogener Daten sollte im Dienste der Menschheit stehen. Das
Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss
im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhält-
nismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung
steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die
mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, ins-
besondere Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikati-
on, Schutz personenbezogener Daten, Gedanken-, Gewissens- und Religionsfreiheit, Frei-
heit der Meinungsäußerung und Informationsfreiheit, unternehmerische Freiheit, Recht
auf einen wirksamen Rechtsbehelf und ein faires Verfahren und Vielfalt der Kulturen, Reli-
gionen und Sprachen.
(5)	DiewirtschaftlicheundsozialeIntegrationalsFolgeeinesfunktionierendenBinnenmarkts
hat zu einem deutlichen Anstieg des grenzüberschreitenden Verkehrs personenbezo-
gener Daten geführt. Der unionsweite Austausch personenbezogener Daten zwischen
öffentlichen und privaten Akteuren einschließlich natürlichen Personen, Vereinigungen
und Unternehmen hat zugenommen. Das Unionsrecht verpflichtet die Verwaltungen der
Mitgliedstaaten, zusammenzuarbeiten und personenbezogene Daten auszutauschen, da-
mit sie ihren Pflichten nachkommen oder für eine Behörde eines anderen Mitgliedstaats
Aufgaben durchführen können.
4	Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei
der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281 vom 23.11.1995, S. 31).
(6)	Rasche technologische Entwicklungen und die Globalisierung haben den Datenschutz vor
neue Herausforderungen gestellt. Das Ausmaß der Erhebung und des Austauschs perso-
nenbezogener Daten hat eindrucksvoll zugenommen. Die Technik macht es möglich, dass
private Unternehmen und Behörden im Rahmen ihrer Tätigkeiten in einem noch nie dage-
wesenen Umfang auf personenbezogene Daten zurückgreifen. Zunehmend machen auch
natürliche Personen Informationen öffentlich weltweit zugänglich. Die Technik hat das
wirtschaftliche und gesellschaftliche Leben verändert und dürfte den Verkehr personen-
bezogenerDateninnerhalb der Union sowiedieDatenübermittlung anDrittländerund in-
ternationale Organisationen noch weiter erleichtern, wobei ein hohes Datenschutzniveau
(7)	Diese Entwicklungen erfordern einen soliden, kohärenteren und klar durchsetzbaren
Rechtsrahmen im Bereich des Datenschutzes in der Union, da es von großer Wichtigkeit
ist, eine Vertrauensbasis zu schaffen, die die digitale Wirtschaft dringend benötigt, um im
Binnenmarkt weiter wachsen zu können. Natürliche Personen sollten die Kontrolle über
ihre eigenen Daten besitzen. Natürliche Personen, Wirtschaft und Staat sollten in rechtli-
cher und praktischer Hinsicht über mehr Sicherheit verfügen.
(8)	Wenn in dieser Verordnung Präzisierungen oder Einschränkungen ihrer Vorschriften
durch das Recht der Mitgliedstaaten vorgesehen sind, können die Mitgliedstaaten Teile
dieser Verordnung in ihr nationales Recht aufnehmen, soweit dies erforderlich ist, um die
Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie
gelten, verständlicher zu machen.
(9)	DieZieleundGrundsätzederRichtlinie95/46/EGbesitzennachwievorGültigkeit,dochhat
die Richtlinie nicht verhindern können, dass der Datenschutz in der Union unterschiedlich
gehandhabt wird, Rechtsunsicherheit besteht oder in der Öffentlichkeit die Meinung weit
verbreitet ist, dass erhebliche Risiken für den Schutz natürlicher Personen bestehen, insbe-
sondere im Zusammenhang mit der Benutzung des Internets. Unterschiede beim Schutz-
niveaufürdieRechte und Freiheitenvon natürlichen PersonenimZusammenhangmitder
Verarbeitung personenbezogener Daten in den Mitgliedstaaten, vor allem beim Recht auf
Schutz dieser Daten, können den unionsweiten freien Verkehr solcher Daten behindern. Diese Unterschiede im Schutzniveau können daher ein Hemmnis für die unionsweite Aus-
übung von Wirtschaftstätigkeiten darstellen, den Wettbewerb verzerren und die Behör-
den an der Erfüllung der ihnen nach dem Unionsrecht obliegenden Pflichten hindern. Sie
erklären sich aus den Unterschieden bei der Umsetzung und Anwendung der Richtlinie
(10)	Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewähr-
leisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu
38 BfDI – Info 6
beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Perso-
nen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die
Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen
bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und ein-
heitlich angewandt werden. Hinsichtlich der Verarbeitung personenbezogener Daten zur
Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im
öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verant-
wortlichen übertragen wurde, sollten die Mitgliedstaaten die Möglichkeit haben, nationa-
le Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genau-
er festgelegt wird, beizubehalten oder einzuführen. In Verbindung mit den allgemeinen
und horizontalen Rechtsvorschriften über den Datenschutz zur Umsetzung der Richtlinie
95/46/EG gibt es in den Mitgliedstaaten mehrere sektorspezifische Rechtsvorschriften in
Bereichen, die spezifischere Bestimmungen erfordern. Diese Verordnung bietet den Mit-
gliedstaaten zudem einen Spielraum für die Spezifizierung ihrer Vorschriften, auch für die
Verarbeitung besonderer Kategorien von personenbezogenen Daten (im Folgenden „sen-
sible Daten“). Diesbezüglich schließt diese Verordnung nicht Rechtsvorschriften der Mit-
gliedstaaten aus, in denen die Umstände besonderer Verarbeitungssituationen festgelegt
werden, einschließlich einer genaueren Bestimmung der Voraussetzungen, unter denen
die Verarbeitung personenbezogener Daten rechtmäßig ist.
(11)	Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und
präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Ver-
pflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber ent-
scheiden, ebenso wie - in den Mitgliedstaaten - gleiche Befugnisse bei der Überwachung
und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Da-
ten sowie gleiche Sanktionen im Falle ihrer Verletzung.
(12)	Artikel 16 Absatz 2 AEUV ermächtigt das Europäische Parlament und den Rat, Vorschrif-
ten über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten
und zum freien Verkehr solcher Daten zu erlassen.
(13)	Damit in der Union ein gleichmäßiges Datenschutzniveau für natürliche Personen ge-
währleistet ist und Unterschiede, die den freien Verkehr personenbezogener Daten im
Binnenmarkt behindern könnten, beseitigt werden, ist eine Verordnung erforderlich,
die für die Wirtschaftsteilnehmer einschließlich Kleinstunternehmen sowie kleiner und
mittlerer Unternehmen Rechtssicherheit und Transparenz schafft, natürliche Personen in
allen Mitgliedstaaten mit demselben Niveau an durchsetzbaren Rechten ausstattet, die-
selben Pflichten und Zuständigkeiten für die Verantwortlichen und Auftragsverarbeiter
vorsieht und eine gleichmäßige Kontrolle der Verarbeitung personenbezogener Daten
und gleichwertige Sanktionen in allen Mitgliedstaaten sowie eine wirksame Zusammen-
arbeit zwischen den Aufsichtsbehörden der einzelnen Mitgliedstaaten gewährleistet. Das
reibungslose Funktionieren des Binnenmarkts erfordert, dass der freie Verkehr personen-
bezogener Daten in der Union nicht aus Gründen des Schutzes natürlicher Personen bei
der Verarbeitung personenbezogener Daten eingeschränkt oder verboten wird. Um der
besonderen Situation der Kleinstunternehmen sowie der kleinen und mittleren Unterneh-
men Rechnung zu tragen, enthält diese Verordnung eine abweichende Regelung hinsicht-
lich des Führens eines Verzeichnisses für Einrichtungen, die weniger als 250 Mitarbeiter
beschäftigen. Außerdem werden die Organe und Einrichtungen der Union sowie die Mit-
gliedstaaten und deren Aufsichtsbehörden dazu angehalten, bei der Anwendung dieser
Verordnung die besonderen Bedürfnisse von Kleinstunternehmen sowie von kleinen und
mittleren Unternehmen zu berücksichtigen. Für die Definition des Begriffs „Kleinstunter-
nehmensowiekleineundmittlereUnternehmen“sollteArtikel2desAnhangszurEmpfeh-
lung 2003/361/EG der Kommission5
maßgebend sein.
(14)	Der durch diese Verordnung gewährte Schutz sollte für die Verarbeitung der personenbe-
zogenen Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Auf-
enthaltsorts gelten. Diese Verordnung gilt nicht für die Verarbeitung personenbezogener
Daten juristischer Personen und insbesondere als juristische Person gegründeter Unter-
nehmen, einschließlich Name, Rechtsform oder Kontaktdaten der juristischen Person.
(15)	Um ein ernsthaftes Risiko einer Umgehung der Vorschriften zu vermeiden, sollte der
Schutz natürlicher Personen technologieneutral sein und nicht von den verwendeten
Techniken abhängen. Der Schutz natürlicher Personen sollte für die automatisierte Verar-
beitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung von
personenbezogenen Daten, wenn die personenbezogenen Daten in einem Dateisystem
gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie
ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten nicht in den
Anwendungsbereich dieser Verordnung fallen.
(16)	Diese Verordnung gilt nicht für Fragen des Schutzes von Grundrechten und Grundfreihei-
ten und des freien Verkehrs personenbezogener Daten im Zusammenhang mit Tätigkei-
ten, die nicht in den Anwendungsbereich des Unionsrechts fallen, wie etwa die nationale
Sicherheit betreffende Tätigkeiten. Diese Verordnung gilt nicht für die von den Mitglied-
staaten im Rahmen der Gemeinsamen Außen- und Sicherheitspolitik der Union durchge-
führte Verarbeitung personenbezogener Daten.
5	Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und
mittleren Unternehmen (C(2003) 1422) (ABl. L 124 vom 20.5.2003, S. 36).
40 BfDI – Info 6
(17)	Die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates6
Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und
Agenturen der Union. Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union,
die diese Verarbeitung personenbezogener Daten regeln, sollten an die Grundsätze und
Vorschriften der vorliegenden Verordnung angepasst und im Lichte der vorliegenden Ver-
ordnungangewandtwerden. UmeinensolidenundkohärentenRechtsrahmenimBereich
des Datenschutzes in der Union zu gewährleisten, sollten die erforderlichen Anpassungen
der Verordnung (EG) Nr. 45/2001 im Anschluss an den Erlass der vorliegenden Verordnung
vorgenommen werden, damit sie gleichzeitig mit der vorliegenden Verordnung ange-
wandt werden können.
(18)	Diese Verordnung gilt nicht für die Verarbeitung von personenbezogenen Daten, die von
einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätig-
keiten und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorge-
nommen wird. Als persönliche oder familiäre Tätigkeiten könnten auch das Führen eines
Schriftverkehrs oder von Anschriftenverzeichnissen oder die Nutzung sozialer Netze und
Online-Tätigkeiten im Rahmen solcher Tätigkeiten gelten. Diese Verordnung gilt jedoch
für die Verantwortlichen oder Auftragsverarbeiter, die die Instrumente für die Verarbei-
tung personenbezogener Daten für solche persönlichen oder familiären Tätigkeiten be-
reitstellen.
(19)	Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch
die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder
Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor
und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie der freie Verkehr dieser
Daten sind in einem eigenen Unionsrechtsakt geregelt. Deshalb sollte diese Verordnung
auf Verarbeitungstätigkeiten dieser Art keine Anwendung finden. Personenbezogene
Daten, die von Behörden nach dieser Verordnung verarbeitet werden, sollten jedoch,
wenn sie zu den vorstehenden Zwecken verwendet werden, einem spezifischeren Uni-
onsrechtsakt, nämlich der Richtlinie (EU) 2016/… des Europäischen Parlaments und des
Rates78*
unterliegen. Die Mitgliedstaaten können die zuständigen Behörden im Sinne der
Richtlinie (EU) 2016/…9**
mit Aufgaben betrauen, die nicht zwangsläufig für die Zwecke der
Verhütung,Ermittlung,AufdeckungoderVerfolgungvonStraftatenoderderStrafvollstre-
6	Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher
PersonenbeiderVerarbeitungpersonenbezogenerDatendurchdieOrganeundEinrichtungenderGemeinschaftundzum
freien Datenverkehr (ABl. L 8 vom 12.1.2001, S. 1).
7	Richtlinie (EU) 2016/… des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung
personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder
Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbe-
schlusses 2000/383/JI des Rates (ABl. L …).
ABl.: Bitte Nummer der Richtlinie in Dokument st 5418/16 sowie Amtsblattfundstelle einfügen.
ABl.: Bitte Nummer der Richtlinie in Dokument st 5418/46 einfügen.
ckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche
Sicherheit, ausgeführt werden, so dass die Verarbeitung von personenbezogenen Daten
für diese anderen Zwecke insoweit in den Anwendungsbereich dieser Verordnung fällt,.
als sie in den Anwendungsbereich des Unionsrechts fällt. In Bezug auf die Verarbeitung
personenbezogener Daten durch diese Behörden für Zwecke, die in den Anwendungsbe-
reich dieser Verordnung fallen, sollten die Mitgliedstaaten spezifischere Bestimmungen
beibehalten oder einführen können, um die Anwendung der Vorschriften dieser Verord-
nung anzupassen. In den betreffenden Bestimmungen können die Auflagen für die Ver-
arbeitung personenbezogener Daten durch diese zuständigen Behörden für jene anderen
Zwecke präziser festgelegt werden, wobei der verfassungsmäßigen, organisatorischen
und administrativen Struktur des betreffenden Mitgliedstaats Rechnung zu tragen ist. Soweit diese Verordnung für die Verarbeitung personenbezogener Daten durch private
Stellen gilt, sollte sie vorsehen, dass die Mitgliedstaaten einige Pflichten und Rechte unter
bestimmten Voraussetzungen mittels Rechtsvorschriften beschränken können, wenn die-
se Beschränkung in einer demokratischen Gesellschaft eine notwendige und verhältnis-
mäßige Maßnahme zum Schutz bestimmter wichtiger Interessen darstellt, wozu auch die
öffentliche Sicherheit und die Verhütung, Ermittlung, Aufdeckung und Verfolgung von
Straftaten oder die Strafvollstreckung zählen, einschließlich des Schutzes vor und der Ab-
wehr von Gefahren für die öffentliche Sicherheit. Dies ist beispielsweise für im Rahmen der
Bekämpfung der Geldwäsche oder der Arbeit kriminaltechnischer Labors von Bedeutung.
(20)	Die Verordnung gilt zwar unter anderem für die Tätigkeiten der Gerichte und anderer Jus-
tizbehörden, doch könnte im Unionsrecht oder im Recht der Mitgliedstaaten festgelegt
werden, wie die Verarbeitungsvorgänge und Verarbeitungsverfahren bei der Verarbei-
tung personenbezogener Daten durch Gerichte und andere Justizbehörden im Einzelnen
auszusehen haben. Damit die Unabhängigkeit der Justiz bei der Ausübung ihrer gerichtli-
chen Aufgaben einschließlich ihrer Beschlussfassung unangetastet bleibt, sollten die Auf-
sichtsbehörden nicht für die Verarbeitung personenbezogener Daten durch Gerichte im
Rahmen ihrer justiziellen Tätigkeit zuständig sein. Mit der Aufsicht über diese Datenver-
arbeitungsvorgänge sollten besondere Stellen im Justizsystem des Mitgliedstaats betraut
werden können, die insbesondere die Einhaltung der Vorschriften dieser Verordnung
sicherstellen, Richter und Staatsanwälte besser für ihre Pflichten aus dieser Verordnung
sensibilisieren und Beschwerden in Bezug auf derartige Datenverarbeitungsvorgänge be-
(21)	Die vorliegende Verordnung berührt nicht die Anwendung der Richtlinie 2000/31/EG des
Europäischen Parlaments und des Rates10
und insbesondere die der Vorschriften der Ar-
10	Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 8. Juni 2000 über bestimmte rechtliche Aspekte der
Dienste der Informationsgesellschaft, insbesondere des elektronischen Geschäftsverkehrs, im Binnenmarkt („Richtlinie
über den elektronischen Geschäftsverkehr“) (ABl. L 178 vom 17.7.2000, S. 1).
42 BfDI – Info 6
tikel 12 bis 15 jener Richtlinie zur Verantwortlichkeit von Anbietern reiner Vermittlungs-
dienste. Die genannte Richtlinie soll dazu beitragen, dass der Binnenmarkt einwandfrei
funktioniert, indem sie den freien Verkehr von Diensten der Informationsgesellschaft zwi-
schen den Mitgliedstaaten sicherstellt.
(22)	Jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlas-
sung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union sollte gemäß
dieserVerordnungerfolgen,gleich,obdieVerarbeitunginoderaußerhalbderUnionstatt-
findet. Eine Niederlassung setzt die effektive und tatsächliche Ausübung einer Tätigkeit
durch eine feste Einrichtung voraus. Die Rechtsform einer solchen Einrichtung, gleich, ob
essichumeineZweigstelleodereineTochtergesellschaftmiteigenerRechtspersönlichkeit
handelt, ist dabei nicht ausschlaggebend.
(23)	Damit einer natürlichen Person der gemäß dieser Verordnung gewährleistete Schutz nicht
vorenthalten wird, sollte die Verarbeitung personenbezogener Daten von betroffenen Per-
sonen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen
Verantwortlichen oder Auftragsverarbeiter dieser Verordnung unterliegen, wenn die Ver-
arbeitung dazu dient, diesen betroffenen Personen gegen Entgelt oder unentgeltlich Wa-
ren oder Dienstleistungen anzubieten. Um festzustellen, ob dieser Verantwortliche oder
Auftragsverarbeiter betroffenen Personen, die sich in der Union befinden, Waren oder
Dienstleistungen anbietet, sollte festgestellt werden, ob der Verantwortliche oder Auf-
tragsverarbeiter offensichtlich beabsichtigt, betroffenen Personen in einem oder mehre-
ren Mitgliedstaaten der Union Dienstleistungen anzubieten. Während die bloße Zugäng-
lichkeitderWebsitedesVerantwortlichen,desAuftragsverarbeitersodereinesVermittlers
in der Union, einer E-Mail-Adresse oder anderer Kontaktdaten oder die Verwendung einer
Sprache, die in dem Drittland, in dem der Verantwortliche niedergelassen ist, allgemein
gebräuchlich ist, hierfür kein ausreichender Anhaltspunkt ist, können andere Faktoren
wie die Verwendung einer Sprache oder Währung, die in einem oder mehreren Mitglied-
staaten gebräuchlich ist, in Verbindung mit der Möglichkeit, Waren und Dienstleistungen
in dieser anderen Sprache zu bestellen, oder die Erwähnung von Kunden oder Nutzern, die
sich in der Union befinden, darauf hindeuten, dass der Verantwortliche beabsichtigt, den
Personen in der Union Waren oder Dienstleistungen anzubieten.
(24)	Die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Uni-
on befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auf-
tragsverarbeiter sollte auch dann dieser Verordnung unterliegen, wenn sie dazu dient, das
Verhalten dieser betroffenen Personen zu beobachten, soweit ihr Verhalten in der Union
erfolgt. Ob eine Verarbeitungstätigkeit der Beobachtung des Verhaltens von betroffenen
Personen gilt, sollte daran festgemacht werden, ob ihre Internetaktivitäten nachvollzogen
werden, einschließlich der möglichen nachfolgenden Verwendung von Techniken zur
Verarbeitung personenbezogener Daten, durch die von einer natürlichen Person ein Pro-
fil erstellt wird, das insbesondere die Grundlage für sie betreffende Entscheidungen bildet
oder anhand dessen ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten
analysiert oder vorausgesagt werden sollen.
(25)	Ist nach Völkerrecht das Recht eines Mitgliedstaats anwendbar, z. B. in einer diplomati-
schen oder konsularischen Vertretung eines Mitgliedstaats, so sollte die Verordnung auch
auf einen nicht in der Union niedergelassenen Verantwortlichen Anwendung finden.
(26)	DieGrundsätzedesDatenschutzessolltenfüralleInformationengelten,diesichaufeineidenti-
fizierte oderidentifizierbare natürliche Personbeziehen. EinerPseudonymisierung unterzoge-
nepersonenbezogeneDaten,diedurchHeranziehungzusätzlicherInformationeneinernatür-
lichenPersonzugeordnetwerdenkönnten,solltenalsInformationenübereineidentifizierbare
natürliche Person betrachtet werden. Um festzustellen, ob eine natürliche Person identifizier-
bar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer an-
deren Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche
Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Fest-
stellung,obMittelnachallgemeinemErmessenwahrscheinlichzurIdentifizierungdernatürli-
chenPersongenutztwerden,solltenalleobjektivenFaktoren,wiedieKostenderIdentifizierung
undderdafürerforderlicheZeitaufwand,herangezogenwerden,wobeidiezumZeitpunktder
VerarbeitungverfügbareTechnologie und technologischeEntwicklungenzu berücksichtigen
sind. DieGrundsätzedesDatenschutzessolltendahernichtfüranonymeInformationengelten,
d.h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche
Personbeziehen,oderpersonenbezogeneDaten,dieineinerWeiseanonymisiertwordensind,
dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Diese Verordnung
betrifftsomitnichtdieVerarbeitungsolcheranonymerDaten,auchfürstatistischeoderfürFor-
schungszwecke.
(27)	Diese Verordnung gilt nicht für die personenbezogenen Daten Verstorbener. Die Mitglied-
staaten können Vorschriften für die Verarbeitung der personenbezogenen Daten Verstor-
bener vorsehen.
(28)	Die Anwendung der Pseudonymisierung auf personenbezogene Daten kann die Risiken für
diebetroffenenPersonensenkenunddieVerantwortlichenunddieAuftragsverarbeiterbeider
Einhaltung ihrer Datenschutzpflichten unterstützen. Durch die ausdrückliche Einführung der
„Pseudonymisierung“ in dieser Verordnung ist nicht beabsichtigt, andere Datenschutzmaß-
nahmenauszuschließen.
(29)	Um Anreize für die Anwendung der Pseudonymisierung bei der Verarbeitung personenbezo-
generDatenzuschaffen,solltenPseudonymisierungsmaßnahmen,diejedocheineallgemeine
44 BfDI – Info 6
Analyse zulassen, bei demselben Verantwortlichen möglich sein, wenn dieser die erforderli-
chentechnischenundorganisatorischenMaßnahmengetroffenhat,um –fürdiejeweiligeVer-
arbeitung –dieUmsetzungdieserVerordnungzugewährleisten,wobeisicherzustellenist,dass
zusätzliche Informationen, mit denen die personenbezogenen Daten einer speziellen betroffe-
nen Person zugeordnet werden können, gesondert aufbewahrt werden. Der für die Verarbei-
tung der personenbezogenen Daten Verantwortliche, sollte die befugten Personen bei diesem
Verantwortlichenangeben.
(30)	Natürlichen Personen werden unter Umständen Online-Kennungen wie IP-Adressen und
Cookie-Kennungen, die sein Gerät oder Software-Anwendungen und ‑Tools oder Protokol-
le liefern, oder sonstige Kennungen wie Funkfrequenzkennzeichnungen zugeordnet. Dies
kann Spuren hinterlassen, die insbesondere in Kombination mit eindeutigen Kennungen
und anderen beim Server eingehenden Informationen dazu benutzt werden können, um
Profile der natürlichen Personen zu erstellen und sie zu identifizieren.
(31)	Behörden, gegenüber denen personenbezogene Daten aufgrund einer rechtlichen Ver-
pflichtung für die Ausübung ihres offiziellen Auftrags offengelegt werden, wie Steuer-
und Zollbehörden, Finanzermittlungsstellen, unabhängige Verwaltungsbehörden oder
Finanzmarktbehörden, die für die Regulierung und Aufsicht von Wertpapiermärkten zu-
ständig sind, sollten nicht als Empfänger gelten, wenn sie personenbezogene Daten erhal-
ten, die für die Durchführung – gemäß dem Unionsrecht oder dem Recht der Mitgliedstaa-
ten – eines einzelnen Untersuchungsauftrags im Interesse der Allgemeinheit erforderlich
sind. AnträgeaufOffenlegung,dievonBehördenausgehen,solltenimmerschriftlicherfol-
gen, mit Gründen versehen sein und gelegentlichen Charakter haben, und sie sollten nicht
vollständige Dateisysteme betreffen oder zur Verknüpfung von Dateisystemen führen. Die
VerarbeitungpersonenbezogenerDatendurchdiegenanntenBehördensolltefürdieZwe-
cke der Verarbeitung geltenden Datenschutzvorschriften entsprechen.
(32)	Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der
freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekun-
det wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personen-
bezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch
elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch An-
klicken eines Kästchens beim Besuch einer Internetseite, durch die Auswahl technischer
Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung
oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext
eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezoge-
nen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der
betroffenen Person sollten daher keine Einwilligung darstellen. Die Einwilligung sollte
sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbei-
tungsvorgänge beziehen. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle
diese Verarbeitungszwecke eine Einwilligung gegeben werden. Wird die betroffene Per-
son auf elektronischem Weg zur Einwilligung aufgefordert, so muss die Aufforderung in
klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Ein-
willigung gegeben wird, erfolgen.
(33)	Oftmals kann der Zweck der Verarbeitung personenbezogener Daten für Zwecke der wis-
senschaftlichen Forschung zum Zeitpunkt der Erhebung der personenbezogenen Daten
nicht vollständig angegeben werden. Daher sollte es betroffenen Personen erlaubt sein,
ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung zu geben, wenn
dies unter Einhaltung der anerkannten ethischen Standards der wissenschaftlichen For-
schung geschieht. Die betroffenen Personen sollten Gelegenheit erhalten, ihre Einwilli-
gung nur für bestimme Forschungsbereiche oder Teile von Forschungsprojekten in dem
vom verfolgten Zweck zugelassenen Maße zu erteilen.
(34)	Genetische Daten sollten als personenbezogene Daten über die ererbten oder erworbenen
genetischen Eigenschaften einer natürlichen Person definiert werden, die aus der Analyse
einer biologischen Probe der betreffenden natürlichen Person, insbesondere durch eine
Chromosomen, Desoxyribonukleinsäure (DNS)- oder Ribonukleinsäure (RNS)-Analyse oder
der Analyse eines anderen Elements, durch die gleichwertige Informationen erlangt wer-
den können, gewonnen werden.
(35)	Zu den personenbezogenen Gesundheitsdaten sollten alle Daten zählen, die sich auf den
Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen
über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesund-
heitszustand der betroffenen Person hervorgehen. Dazu gehören auch Informationen
über die natürliche Person, die im Zuge der Anmeldung für sowie der Erbringung von
Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Par-
laments und des Rates11 für die natürliche Person erhoben werden, Nummern, Symbole
oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche
Person für gesundheitliche Zwecke eindeutig zu identifizieren, Informationen, die von der
Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, auch
aus genetischen Daten und biologischen Proben, abgeleitet wurden, und Informationen
etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische
Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen
Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem
Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder
einem In-Vitro-Diagnostikum stammen.
11	Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der Patientenrechte
in der grenzüberschreitenden Gesundheitsversorgung (ABl. L 88 vom 4.4.2011, S. 45).
46 BfDI – Info 6
(36)	Die Hauptniederlassung des Verantwortlichen in der Union sollte der Ort seiner Hauptver-
waltunginderUnionsein,esseidenn,dassEntscheidungenüberdieZweckeundMittelder
Verarbeitung personenbezogener Daten in einer anderen Niederlassung des Verantwort-
lichen in der Union getroffen werden; in diesem Fall sollte die letztgenannte als Hauptnie-
derlassung gelten. Zur Bestimmung der Hauptniederlassung eines Verantwortlichen in
der Union sollten objektive Kriterien herangezogen werden; ein Kriterium sollte dabei die
effektive und tatsächliche Ausübung von Managementtätigkeiten durch eine feste Ein-
richtung sein, in deren Rahmen die Grundsatzentscheidungen zur Festlegung der Zwecke
und Mittel der Verarbeitung getroffen werden. Dabei sollte nicht ausschlaggebend sein,
ob die Verarbeitung der personenbezogenen Daten tatsächlich an diesem Ort ausgeführt
wird. Das Vorhandensein und die Verwendung technischer Mittel und Verfahren zur Ver-
arbeitung personenbezogener Daten oder Verarbeitungstätigkeiten begründen an sich
noch keine Hauptniederlassung und sind daher kein ausschlaggebender Faktor für das Be-
stehen einer Hauptniederlassung. Die Hauptniederlassung des Auftragsverarbeiters soll-
te der Ort sein, an dem der Auftragsverarbeiter seine Hauptverwaltung in der Union hat,
oder – wenn er keine Hauptverwaltung in der Union hat – der Ort, an dem die wesentlichen
Verarbeitungstätigkeiten in der Union stattfinden. Sind sowohl der Verantwortliche als
auch der Auftragsverarbeiter betroffen, so sollte die Aufsichtsbehörde des Mitgliedstaats,
in dem der Verantwortliche seine Hauptniederlassung hat, die zuständige federführende
Aufsichtsbehörde bleiben, doch sollte die Aufsichtsbehörde des Auftragsverarbeiters als
betroffene Aufsichtsbehörde betrachtet werden und diese Aufsichtsbehörde sollte sich
an dem in dieser Verordnung vorgesehenen Verfahren der Zusammenarbeit beteiligen. Auf jeden Fall sollten die Aufsichtsbehörden des Mitgliedstaats oder der Mitgliedstaaten,
in dem bzw. denen der Auftragsverarbeiter eine oder mehrere Niederlassungen hat, nicht
als betroffene Aufsichtsbehörden betrachtet werden, wenn sich der Beschlussentwurf nur
auf den Verantwortlichen bezieht. Wird die Verarbeitung durch eine Unternehmensgrup-
pe vorgenommen, so sollte die Hauptniederlassung des herrschenden Unternehmens als
Hauptniederlassung der Unternehmensgruppe gelten, es sei denn, die Zwecke und Mittel
der Verarbeitung werden von einem anderen Unternehmen festgelegt.
(37)	Eine Unternehmensgruppe sollte aus einem herrschenden Unternehmen und den von
diesem abhängigen Unternehmen bestehen, wobei das herrschende Unternehmen das-
jenige sein sollte, das zum Beispiel aufgrund der Eigentumsverhältnisse, der finanziellen
Beteiligung oder der für das Unternehmen geltenden Vorschriften oder der Befugnis, Da-
tenschutzvorschriften umsetzen zu lassen, einen beherrschenden Einfluss auf die übrigen
Unternehmenausübenkann. EinUnternehmen,dasdieVerarbeitungpersonenbezogener
Daten in ihm angeschlossenen Unternehmen kontrolliert, sollte zusammen mit diesen als
eine „Unternehmensgruppe“ betrachtet werden.
(38)	Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz, da Kinder sich
der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung
personenbezogener Daten möglicherweise weniger bewusst sind. Ein solcher besonderer
Schutz sollte insbesondere die Verwendung personenbezogener Daten von Kindern für
Werbezwecke oder für die Erstellung von Persönlichkeits- oder Nutzerprofilen und die
Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten, die
Kindern direkt angeboten werden, betreffen. Die Einwilligung des Trägers der elterlichen
Verantwortung sollte im Zusammenhang mit Präventions- oder Beratungsdiensten, die
unmittelbar einem Kind angeboten werden, nicht erforderlich sein.
(39)	Jede Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glau-
ben erfolgen. Für natürliche Personen sollte Transparenz dahingehend bestehen, dass sie
betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig
verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet
werden und künftig noch verarbeitet werden. Der Grundsatz der Transparenz setzt voraus,
dass alle Informationen und Mitteilungen zur Verarbeitung dieser personenbezogenen
Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst
sind. Dieser Grundsatz betrifft insbesondere die Informationen über die Identität des Ver-
antwortlichen und die Zwecke der Verarbeitung und sonstige Informationen, die eine fai-
re und transparente Verarbeitung im Hinblick auf die betroffenen natürlichen Personen
gewährleisten, sowie deren Recht, eine Bestätigung und Auskunft darüber zu erhalten,
welche sie betreffende personenbezogene Daten verarbeitet werden. Natürliche Perso-
nen sollten über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit
der Verarbeitung personenbezogener Daten informiert und darüber aufgeklärt werden,
wie sie ihre diesbezüglichen Rechte geltend machen können. Insbesondere sollten die be-
stimmten Zwecke, zu denen die personenbezogenen Daten verarbeitet werden, eindeutig
und rechtmäßig sein und zum Zeitpunkt der Erhebung der personenbezogenen Daten
feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbei-
tet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung
notwendige Maß beschränkt sein. Dies erfordert insbesondere, dass die Speicherfrist für
personenbezogene Daten auf das unbedingt erforderliche Mindestmaß beschränkt bleibt. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der
Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Um
sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert wer-
den, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung
vorsehen. Es sollten alle vertretbaren Schritte unternommen werden, damit unrichtige
personenbezogene Daten gelöscht oder berichtigt werden. Personenbezogene Daten soll-
ten so verarbeitet werden, dass ihre Sicherheit und Vertraulichkeit hinreichend gewähr-
leistet ist, wozu auch gehört, dass Unbefugte keinen Zugang zu den Daten haben und we-
der die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können.
48 BfDI – Info 6
(40)	Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilli-
gung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verar-
beitet werden, die sich aus dieser Verordnung oder – wann immer in dieser Verordnung
darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mit-
gliedstaaten ergibt, so unter anderem auf der Grundlage, dass sie zur Erfüllung der rechtli-
chen Verpflichtung, der der Verantwortliche unterliegt, oder zur Erfüllung eines Vertrags,
dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertragli-
cher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich ist.
(41)	Wenn in dieser Verordnung auf eine Rechtsgrundlage oder eine Gesetzgebungsmaßnah-
me Bezug genommen wird, erfordert dies nicht notwendigerweise einen von einem Par-
lament angenommenen Gesetzgebungsakt; davon unberührt bleiben Anforderungen ge-
mäß der Verfassungsordnung des betreffenden Mitgliedstaats. Die entsprechende Rechts-
grundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein und ihre An-
wendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs
der Europäischen Union (im Folgenden „Gerichtshof“) und des Europäischen Gerichtshofs
für Menschenrechte vorhersehbar sein.
(42)	Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte der Verantwort-
liche nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbei-
tungsvorgang gegeben hat. Insbesondere bei Abgabe einer schriftlichen Erklärung in an-
derer Sache sollten Garantien sicherstellen, dass die betroffene Person weiß, dass und in
welchem Umfang sie ihre Einwilligung erteilt. Gemäß der Richtlinie 93/13/EWG des Rates
sollte eine vom Verantwortlichen vorformulierte Einwilligungserklärung in verständli-
cher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung
gestellt werden, und sie sollte keine missbräuchlichen Klauseln beinhalten. Damit sie in
Kenntnis der Sachlage ihre Einwilligung geben kann, sollte die betroffene Person mindes-
tens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen
Daten verarbeitet werden sollen. Es sollte nur dann davon ausgegangen werden, dass sie
ihreEinwilligungfreiwilliggegebenhat,wennsieeineechteoderfreieWahlhatundsomit
in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu er-
(43)	Um sicherzustellen, dass die Einwilligung freiwillig erfolgt ist, sollte diese in besonderen
Fällen, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Un-
gleichgewicht besteht, insbesondere wenn es sich bei dem Verantwortlichen um eine
Behörde handelt, und es deshalb in Anbetracht aller Umstände in dem speziellen Fall un-
12	Richtlinie 93/13/EWG des Rates vom 5. April 1993 über missbräuchliche Klauseln in Verbraucherverträgen (ABl. L 95 vom
21.4.1993, S. 29).
wahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde, keine gültige Rechts-
grundlage liefern. Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen
Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilli-
gung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfül-
lung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilli-
gung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.
(44)	Die Verarbeitung von Daten sollte als rechtmäßig gelten, wenn sie für die Erfüllung oder
den geplanten Abschluss eines Vertrags erforderlich ist.
(45)	Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden
rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe
im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür
eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser
Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein,
wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen
Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im
öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Desgleichen
sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, für welche
Zwecke die Daten verarbeitet werden dürfen. Ferner könnten in diesem Recht die allge-
meinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbei-
tung personenbezogener Daten präzisiert und es könnte darin festgelegt werden, wie der
Verantwortliche zu bestimmen ist, welche Art von personenbezogenen Daten verarbeitet
werden, welche Personen betroffen sind, welchen Einrichtungen die personenbezogenen
Daten offengelegt, für welche Zwecke und wie lange sie gespeichert werden dürfen und
welche anderen Maßnahmen ergriffen werden, um zu gewährleisten, dass die Verarbei-
tung rechtmäßig und nach Treu und Glauben erfolgt. Desgleichen sollte im Unionsrecht
oder im Recht der Mitgliedstaaten geregelt werden, ob es sich bei dem Verantwortlichen,
der eine Aufgabe wahrnimmt, die im öffentlichen Interesse liegt oder in Ausübung öffent-
licher Gewalt erfolgt, um eine Behörde oder um eine andere unter das öffentliche Recht
fallende natürliche oder juristische Person oder, sofern dies durch das öffentliche Interesse
einschließlich gesundheitlicher Zwecke, wie die öffentliche Gesundheit oder die soziale Si-
cherheit oder die Verwaltung von Leistungen der Gesundheitsfürsorge, gerechtfertigt ist,
eine natürliche oder juristische Person des Privatrechts, wie beispielsweise eine Berufsver-
einigung, handeln sollte.
(46)	Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen
werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Per-
son oder einer anderen natürlichen Person zu schützen. Personenbezogene Daten sollten
nuances Datenschutz-Grundverordnung (DS-GVO): Anwaltliche Beratung heute und morgen
The EU Data Protection Regulation - what you need to know