c) Tatsächliche Öffnungsklausel in Abs. 3
216
Die Öffnung für nationale Rechtsetzung in Bezug auf die Datenverarbeitung durch öffentliche Stellen findet sich in Abs. 3 UAbs. 2 S. 2 und 3.[398] Die Öffnungsklausel des Abs. 3 geht mit der des Abs. 2 einher, weil Abs. 3 die Existenz einer verordnungsrechtlichen Erlaubnis zum Erlass mitgliedstaatlichen Rechts voraussetzt.[399] Es handelt sich hier um kumulative, ganzheitlich zu erfüllende Anforderungen, die für die Verarbeitungen nach Abs. 1 UAbs. 1 lit. c und e von den Mitgliedstaaten zu erfüllen sind.[400] Zwar wird das Verhältnis des Abs. 2 und Abs. 3 teilweise als „unklar“[401] umschrieben, was nicht unberechtigt erscheint. Hinsichtlich der Systematik der Öffnungsklausel ist gleichwohl Folgendes festzuhalten:[402] Art. 6 Abs. 3 S. 2 legt fest, dass die Rechtsgrundlage im mitgliedstaatlichen Recht nicht nur den Zweck der Verarbeitung festlegen, sondern darüber hinaus die Verarbeitung für die Erfüllung einer Aufgabe erforderlich sein muss, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt („Muss-Inhalt“).[403] S. 2 des Abs. 3 legt also den pflichtigen Mindeststandard fest, den die Mitgliedstaaten bei der Schaffung mitgliedstaatlichen Rechts beachten müssen.[404] S. 2 statuiert damit eine Umsetzungspflicht und greift so den Regelungsauftrag aus Abs. 3 S. 1 lit. b auf.[405] Abs. 3 S. 3 enthält über S. 2 hinausgehend eine fakultative Zusatzmöglichkeit zum Erlass spezifischer mitgliedstaatlicher Regelungen („Kann-Inhalt“).[406] Denn nach S. 3 kann die mitgliedstaatliche Regelung spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften der DS-GVO enthalten. Der fakultative Charakter der Öffnungsklausel zur Schaffung spezifischen mitgliedstaatlichen Rechts nach Abs. 3 S. 3 folgt also aus dem Wortlaut der Verordnung („muss“ in S. 2, „kann“ in S. 3). Den Mitgliedstaaten wird durch S. 3 somit die Entscheidung darüber überlassen, ob sie über den pflichtigen Mindeststandard des Art. 6 Abs. 3 S. 2 hinaus die Anforderungen hinsichtlich der Rechtmäßigkeit der Datenverarbeitung nach S. 3 spezifizieren.[407]
217
Das Verhältnis von Abs. 3 S. 2 zu S. 3 ist vor allem für den Kontroll- und Prüfungsmaßstab bedeutsam, dem die jeweiligen mitgliedstaatlichen Umsetzungsnormen bei der Ausgestaltung der Öffnungsklausel unterliegen.[408] Denn sofern die mitgliedstaatliche Regelung bloß den pflichtigen Mindeststandard nach Abs. 3 S. 2 im erfüllt, handelt es sich dabei lediglich um eine Umsetzung europäischer Vorgaben, so dass Prüfungsmaßstab das Europarecht bildet und eine Kontrolle durch den EuGH gegeben ist.[409] Im Rahmen der fakultativen Spezifizierungsmöglichkeit nach Abs. 3 S. 3 werden die Mitgliedstaaten hingegen aus ihrer unionsrechtlichen Verantwortung zugunsten der nationalen Gerichtsbarkeit entlassen.[410] Diese Sichtweise wird nunmehr auch durch die Rechtsprechung des BVerfG in seinen Entscheidungen „Recht auf Vergessen I“[411] und „Recht auf Vergessen II“[412] gestützt.[413]
1. Relevanz für öffentliche Stellen
218
Für öffentliche Stellen besteht keine Relevanz.
2. Relevanz für nichtöffentliche Stellen
219
Unternehmen sollten sich bei ausschließlicher Anwendung von innerstaatlichen Normen, die auf Grundlage von Art. 6 Abs. 2 im BDSG n.F. erlassen wurden – namentlich insbesondere § 4 BDSG – der Diskussion um eine mögliche Europarechtswidrigkeit bewusst sein. Insofern wird teilweise die Frage aufgeworfen, ob § 4 BDSG mit Blick auf die Wahrnehmung öffentlicher Interessen wirksam erlassen wurde.[414] Im Falle der Nichtanwendung des BDSG ist an Amtshaftungsansprüche gegenüber der Aufsicht zu denken.
3. Relevanz für betroffene Personen
220
Für betroffene Personen besteht keine Relevanz.
4. Relevanz für Aufsichtsbehörden
221
Wenn Aufsichtsbehörden Normen, die im Rahmen der Öffnungsklauseln in den Mitgliedstaaten erlassen wurden, trotz mangelnder Beanstandung der entsprechenden BDSG-Normen durch die EU-Kommission nicht anwenden, dann sind sie schon mit Blick auf drohende Amtshaftungsprozesse gehalten, die Unionsrechtswidrigkeit der im Rahmen der Öffnung erlassenen Regelungen genau zu prüfen. Sie müssen sich bewusst darüber sein, dass in der Nichtanwendung derartiger Bestimmungen deren einstweilige faktische Verwerfung liegt. Weil der Anwendungskonflikt der verantwortlichen Stelle zwischen DS-GVO und BDSG n.F. mit weitreichenden Konsequenzen verbunden ist, bis der EuGH die Rechtslage geklärt hat, geht die Aufsicht bei Nichtanwendung des BDSG erhebliche Kostenrisiken bei Prozessen ein, wenn sie Bußgelder verhängt. Entscheidet sie sich für ein Vorgehen im Wege der Anweisung, so ist das prozessuale Kostenrisiko erheblich reduziert. Der Streitwert dürfte sich dann nicht nach der Bußgeldhöhe richten, sondern pauschal geringer bemessen lassen. Weil der Anwendungskonflikt der verantwortlichen Stelle zwischen DS-GVO und BDSG n.F. mit weitreichenden Konsequenzen verbunden ist, bis der Europäische Gerichtshof die Rechtslage geklärt hat, geht die Aufsicht bei Nichtanwendung des BDSG erhebliche Kostenrisiken bei Prozessen ein, wenn sie Bußgelder verhängt. Entscheidet sie sich für ein Vorgehen im Wege der Anweisung, so ist das prozessuale Kostenrisiko erheblich