Die umfassende Rechteeinräumung im ursprünglichen Entwurf der EU-Kommission über delegierte Rechts- und Durchführungsakte führte hingegen zu Kritik mit Blick auf das Subsidiaritätsprinzip.93 Der deutsche Bundesrat erhob am 30. März 2012 eine Subsidiaritätsrüge, da er der Ansicht war, dass keine ausreichende Begründung für die Wahl der Verordnung vorliege.94 Auch die Bundesregierung wandte in ihrem zweiten Gesetzentwurf zur Anpassung des Datenschutzrechts an die DSGVO ein, dass in den Erwägungsgründen der DSGVO zwar das Ziel einer Vollharmonisierung enthalten sei, die DSGVO dieses Ziel jedoch nicht „vollumfänglich“ erreiche und stattessen einer Richtlinie gleiche.95
Die Fülle an Öffnungsklauseln ist zwar eine Besonderheit, die das Ringen um die Wahrung der Subsidiarität verdeutlicht.96 Allerdings gibt es ähnliche Aufforderungen zum legislativen Tätigwerden an die Mitgliedstaaten auch in anderen europäischen Verordnungen.97 Die Harmonisierungswirkung der DSGVO kann aber durch den Gestaltungsspielraum, den einige Öffnungsklauseln den Mitgliedstaaten bieten, beeinträchtigt werden.98 Zahlreiche Öffnungsklauseln, die in der DSGVO enthalten sind, erhielten einige Aufmerksamkeit sowohl von der Lehre als auch in der Praxis.99 In der rechtswissenschaftliche Lehre gibt es mehrere Versuche, Wirkung, Natur, Inhalt oder weitere Merkmale von Öffnungsklauseln zu systematisieren.100 Die treffendste Differenzierung ist die Unterscheidung zwischen fakultativen und obligatorischen Öffnungsklauseln.101
a) Obligatorische und Fakultative Öffnungsklauseln
Die in der DSGVO enthaltenen Öffnungsklauseln sehen „Regelungsgebote oder -optionen“ vor.102 Obligatorische Öffnungsklauseln dienen dazu, die Regelungen und Wirkung einer Verordnung institutionell zu ermöglichen, bspw. durch Einrichtung von Behörden, Zuweisen von Zuständigkeiten oder Vorgaben zur Kooperation.103 Ein Beispiel für eine obligatorisch auszufüllende Öffnungsklausel ist Art. 54 DSGVO, wonach jeder Mitgliedstaat die erforderlichen Vorschriften einführen muss, um eine Aufsichtsbehörde zu errichten und ihr die notwendigen Ressourcen zuzuteilen.104 Andererseits sind fakultative Öffnungsklauseln nicht notwendigerweise durch die Mitgliedstaaten auszufüllen, da die Verordnung selbst schon eine Regelung vorgibt. Allerdings haben die Mitgliedstaaten die Möglichkeit, von der grundsätzlichen Vorgabe abzuweichen.105 So sieht bspw. Art. 8 Abs. 1 Satz 3 DSGVO vor, dass die Mitgliedstaaten von der Altersgrenze für Einwilligungen eines Kindes (sechzehn Jahre) durch eine Altersabsetzung abweichen dürfen.106
b) Allgemeine und spezifische Öffnungsklauseln
Eine weitere Ausdifferenzierung von Öffnungsklauseln lässt sich danach vornehmen, ob diese eine Mehrzahl an Abweichungsmöglichkeiten bietet, ohne dass eine Themenbeschränkung erfolgt (allgemeine Öffnungsklausel) oder ob die Öffnungsklausel nur einen sehr beschränkten Bereich betrifft, in dem inhaltlich geringfügige Unterschiede ermöglicht werden (spezifische Öffnungsklausel).107 Unter allgemeine Öffnungsklauseln können bspw. Art. 23 DSGVO oder Art. 85 DSGVO subsumiert werden, die Mitgliedstaaten erheblichen Freiraum in ihrer nationalen Ausgestaltung lassen.108 Eine spezifische Öffnungsklausel stellt auch Art. 87 DSGVO dar, wonach in dem speziellen Bereich von nationalen Kennziffern oder Kennzeichen eine konkretere Ausgestaltung durch Mitgliedstaaten erlaubt ist.109 Teilweise wird allerdings auch eine Aufteilung und Zuordnung von Öffnungsklauseln nach deren Gegenstand und Inhalt vorgeschlagen.110
c) Unterscheidung von Öffnungsklauseln anhand ihrer Funktionen
Zusätzlich kann eine weitere Differenzierung von Öffnungsklauseln nach ihren Funktionen festgestellt werden, je nachdem, ob sie eine mitgliedstaatliche Konkretisierung, Ergänzung oder Modifikation zulassen.111 Hierbei finden Überschneidungen mit den oben genannten Kategorien statt. So kann bspw. das Festsetzen der Altersgrenze nach Art. 8 DSGVO eine mitgliedstaatliche Konkretisierung sein. Ähnlich können die mitgliedstaatlichen Rechtsvorschriften im Rahmen des Art. 88 DSGVO zum Beschäftigtendatenschutz gegenüber den generellen Vorgaben der DSGVO konkretisierend wirken, obwohl diese Konkretisierungen fakultativ sind.112 Ein weiteres Beispiel stellt Art. 9 Abs. 4 DSGVO dar, wonach die Mitgliedstaaten eine fakultative Ergänzung bzw. Modifikation bei der Verarbeitung von dort genannten besonders sensiblen Daten vornehmen können.113
d) Interpretationsansätze zu den europäischen Öffnungsklauseln
Als Sekundärrechtsakt der EU ist die DSGVO im Einklang mit dem Unionsprimärrecht, also unter anderem im Lichte der Grundrechte und Grundfreiheiten auszulegen.114 Auch nationales Recht, das Gestaltungsspielräume der DSGVO ausgestaltet, ist im Einklang mit dem Unionsrecht umzusetzen und zu interpretieren.115 Im Rahmen der autonomen Interpretation von Öffnungsklauseln ist jeweils festzustellen, ob eine solche restriktiv oder weit auszulegen ist.
aa) Autonome Interpretation von Öffnungsklauseln
Abschließende Unionsrechtsakte nehmen den Mitgliedstaaten die Regelungszuständigkeit, soweit und sofern nicht der Unionsakt den Mitgliedstaaten ausdrücklich eine Reglungsoption, Ergänzungsmöglichkeit oder einen Ausgestaltungsspielraum einräumt und somit nationale Abweichungen rechtfertigt.116
Hinsichtlich der Öffnungsklauseln nimmt die EU – im Rahmen ihrer Kompetenzen – ihre Rechtssetzungsmacht aus Art. 16 Abs. 2 AEUV zurück, um in bestimmten Bereichen neben den Regelungen der DSGVO mitgliedstaatliche Regelungen im Datenschutz zuzulassen.117 Die Öffnungsklauseln bedeuten einen Kompromiss zwischen EU-Institutionen und zahlreichen unterschiedlichen Interessen von Mitgliedstaaten.118
Reichweite, Inhalt und Umfang der Öffnungsklauseln lassen sich nur aus dem Unionsrecht selbst ermitteln, nach welchem der EU Kompetenzen für sich und die Mitgliedstaaten zugeordnet sind.119 Öffnungsklauseln sind daher autonom zu interpretieren.120 In der Regel ist bei der Auslegung von Sekundärrecht vom Wortlaut auszugehen, der auch die Grenze der Wortlautauslegung darstellt.121 Die Methoden der grammatikalischen, historischen, systematischen und teleologischen Auslegung sind dabei zu berücksichtigen, außerdem erfolgt eine Gewichtung im konkreten Einzelfall.122
bb) Restriktive oder weite Interpretation
Ob Öffnungsklauseln restriktiv oder weit zu interpretieren sind, ist umstritten.123 Müller unterscheidet danach, um welche Art von Öffnungsklausel es sich handelt.124 Verstärkungs- und Gestaltungsklauseln sind auf eine Verbesserung des hohen Datenschutzniveaus gerichtet; eine enge Auslegung würde diesem Ziel entgegenstehen und scheint daher nicht in jedem Fall sachgerecht.125
Für eine restriktive Auslegung spricht, dass die DSGVO das Ziel der datenschutzrechtlichen Vollharmonisierung mit Öffnungsklauseln kaum erreichen kann und im Verhältnis zu wachsenden nationalen Spielräumen immer weniger erreichen wird.126 Für eine restriktive Interpretation spricht ferner der Wortlaut des Erwägungsgrundes 8 der DSGVO, in dem ausdrücklich von „Präzisierungen oder Einschränkungen“ die Rede ist. Die Öffnungsklauseln sollen diesen Funktionen dienen, sodass die Annahme, dass sie keine Erweiterungen zulassen und restriktiv auszulegen sind, überzeugend ist.
Gegenargumente lassen sich aber auch unmittelbar der DSGVO entnehmen. So fordert die DSGVO über ihre Öffnungsklauseln die Mitgliedstaaten teilweise sogar dazu auf, Rechtsgrundlagen für eine rechtmäßige Verarbeitung zu schaffen – anstatt sie selbst vorzugeben.127 Dabei ist es aber fraglich, ob eine eigenständige Rechtsgrundlage statt als „präzisierende Erweiterung“ vielmehr als vollständige Erweiterung zu verstehen sein kann. Zumindest quantitativ betrachtet ist eine Rechtsgrundlage eine Form der Erweiterung. Ob auch inhaltlich eine Erweiterung vorliegt, muss jeweils eigenständig betrachtet werden.128
Die überzeugenderen