Erforderlich ist, dass die Aufgabe dem betreffenden Verantwortlichen im Einklang mit der Zuständigkeitsordnung übertragen sein muss. Der Begriff der öffentlichen Gewalt definiert sich dabei allerdings nach dem Recht der Mitgliedstaaten; entsprechend ist aber für die Bundesrepublik das hoheitliche Handeln von Behörden und sonstigen Trägern hoheitlicher Gewalt jedenfalls als eine von lit. e erfasste Aufgabenwahrnehmung anzusehen.[176] Wie die Aufgabe übertragen wird, ist dem nationalen Organisationsrecht anheimgestellt; insoweit müssen hier ggf. Innenrechtssätze für die Aufgabenübertragung genügen.[177]
3. Notwendigkeit einer Rechtsgrundlage
105
Entsprechend ErwG 45 ist eine Aufgabe in Ausübung hoheitlicher Gewalt wiederum nur dann anzuerkennen, wenn diese eine positiv-rechtliche Normierung gefunden hat.[178] Legitimierende Wirkung für die betreffende Datenverarbeitung vermittelt damit abermals nicht Art. 6 Abs. 1 lit. e, sondern der dem Unionsrecht oder dem mitgliedstaatlichen Recht zugehörige Außenrechtssatz, der die Aufgabenzuweisung vornimmt.[179] Dies folgt aus der Systematik von Art. 6 Abs. 1 lit. e und Abs. 2 und 3, die ihrerseits Öffnungsklauseln für mitgliedstaatliches Recht sind.[180] Bezgl. der Qualität dieser Rechtsgrundlage gilt dann wieder das zu Art. 6 Abs. 1 lit. c Gesagte. Die inhaltlichen Anforderungen, die an entsprechende Rechtssätze gestellt werden können, ergeben sich aus Art. 6 Abs. 2 und 3. Für den Bund stellt § 3 BDSG einen generalklauselartigen Erlaubnistatbestand dar,[181] der aufgrund der Subsidiarität des BDSG gegenüber datenschutzrechtlichem Sonderrecht gem. § 1 Abs. 2 BDSG durch speziellere Erlaubnisnormen verdrängt werden kann. Für das Landesrecht kann beispielhaft auf § 3 DSG NRW verwiesen werden.[182]
106
Festzustellen ist, dass als Rechtsgrundlage nach lit. e auch solche Rechtssätze genügen, die den Verantwortlichen zum Handeln ermächtigen, aber – anders als nach lit. c – nicht zum Handeln verpflichten.[183]
4. Erforderlichkeit
107
Die in Art. 6 Abs. 1 lit. e normierte Erforderlichkeit der Datenverarbeitung ist auch bezüglich der Ausübung öffentlicher Gewalt unionsrechtlich auszulegen; Datenverarbeitungen sind daher auch hier daraufhin zu überprüfen, ob sie mit den Zielen des DS-GVO in Einklang stehen, insbesondere ob sie verhältnismäßig sind.[184] Hier gilt wieder, dass eine Erforderlichkeit auch dann anzunehmen sein kann, wenn ohne die betreffende Tätigkeit ein legitimes Ziel nur weniger effizient zu erfüllen ist.[185] Allerdings ist bei Verarbeitung statistischer Daten im Sinne der Erforderlichkeit zumeist ausreichend, dass anonymisierte, nicht personalisierte Daten verarbeitet werden.[186]
IV. § 3 BDSG Verarbeitung personenbezogener Daten durch öffentliche Stellen
§ 3 BDSG Verarbeitung personenbezogener Daten durch öffentliche Stellen
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
1. Einordnung und Hintergrund
108
Gegenstand der Norm ist die Schaffung einer allgemeinen, ggf. subsidiären Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen. Sie ist damit die datenschutzrechtliche Generalklausel für öffentliche Stellen des Bundes. Die Vorschrift steht insbesondere im engen Zusammenhang mit Art. 6 Abs. 1 lit. e, der die Rechtmäßigkeit der Datenverarbeitung bei Vorliegen einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt betrifft, aber selbst keine Rechtsgrundlage für solche Verarbeitungen darstellt (vgl. dazu Rn. 111).[187]
109
Aufgenommen wird der Regelungsgehalt der §§ 13 Abs. 1, 14 Abs. 1 BDSG a.F., wobei entsprechend der Diktion der DS-GVO allgemein auf die Verarbeitung von personenbezogenen Daten abgestellt und nicht zwischen den einzelnen Phasen des Umgangs mit solchen Daten differenziert wird.[188]
2. Verhältnis zur DS-GVO
110
Im Hinblick auf § 3 ist insbesondere dessen Verhältnis zur DS-GVO zu beachten. Ausweislich der Gesetzesbegründung stützt sich der Erlass von § 3 BDSG auf Art. 6 Abs. 1 S. 1 lit. e i.V.m. Abs. 3 S. 1 DS-GVO.[189] Entscheidend ist daher, ob der deutsche Gesetzgeber mit Erlass von § 3 BDSG rechtmäßig von der Öffnungsklausel der DS-GVO Gebrauch gemacht hat. Zu diesem Zweck sind Inhalt und Reichweite der Öffnungsklausel aus Art. 6 Abs. 1 S. 1 lit. e, Abs. 2, Abs. 3 zu bestimmen (vgl. dazu bereits Rn. 88 ff.).[190]
111
Zunächst ist dabei festzuhalten, dass ein Blick auf die Systematik von Art. 6, insbesondere im Hinblick auf das Zusammenspiel von Art. 6 Abs. 1 S. 1 lit. e zu Art. 6 Abs. 3 zeigt, dass Art. 6 Abs. 1 lit. e als solcher keinen eigenständigen Zulässigkeitstatbestand darstellen kann, der eine Verarbeitung personenbezogener Daten durch öffentliche Stellen rechtfertigt (vgl. dazu oben Rn. 108).[191] Vielmehr ist Art. 6 Abs. 1 S. 1 lit. e im Zusammenhang mit dessen Abs. 2 und 3 zu lesen. Dies zeigen bereits Abs. 2 und 3, die ihrerseits ausdrücklich auf Art. 6 Abs. 1 S. 1 lit. e verweisen.[192] Demnach lässt sich hinsichtlich der Systematik und Rechtsnatur der Vorschrift Folgendes festhalten: Nach Art. 6 Abs. 3 S. 1 lit. b wird die Rechtsgrundlage für Verarbeitungen nach Abs. 1 lit. e durch das Recht der Mitgliedstaaten festgelegt. Daraus ergibt sich, dass die Rechtsgrundlage für Datenverarbeitung nach Abs. 1 lit. e nur außerhalb der DS-GVO liegen kann.[193] Andernfalls wäre wiederum der Verweis in Art. 6 Abs. 3 S. 1 lit. a auf die Schaffung einer Rechtsgrundlage durch das Unionsrecht überflüssig.[194] Art. 6 Abs. 1 S. 1 lit. e i.V.m.