26
Im Volkszählungsurteil stellte das BVerfG fest, dass es vor dem Hintergrund technischer Entwicklung zunehmend entbehrlich würde, personenbezogene Informationen manuell zusammenzutragen. Diese könnten stattdessen technisch unbegrenzt gespeichert, miteinander verknüpft und zu einem Persönlichkeitsbild zusammengefügt werden und seien so schnell abrufbar, ohne dass der Betroffene die Möglichkeit habe, die Richtigkeit der Daten und deren Verwendung zu beeinflussen. Hieraus ergäben sich neue Möglichkeiten der Einsicht- und Einflussnahme, die es zu kontrollieren gelte. Wer nämlich nicht mit hinreichender Sicherheit überschauen könne, welche personenbezogenen Informationen seiner sozialen Umwelt bekannt seien, könne in der Ausübung seiner Selbstbestimmung wesentlich gehemmt sein. Solange der Einzelne nicht in der Lage sei, darüber zu entscheiden, wer über seine personenbezogenen Daten verfüge und zu welchen Zwecken dies erfolge, laufe Gefahr, die Fähigkeit der Teilnahme am Kommunikationsprozess als Subjekt zu verlieren und zum Informationsobjekt gemacht zu werden. Dies führe insbesondere dazu, dass es kein belangloses Datum mehr gebe.78 Die freie Entfaltung der Persönlichkeit setze unter den Bedingungen moderner Informationstechnologien daher voraus, dass der Einzelne gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten geschützt werde. Dafür müsse ihm die Befugnis eingeräumt werden, selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen.79
27
Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG schützt daher das Recht zur Selbstbestimmung darüber, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden.80 Das Recht auf informationelle Selbstbestimmung erfasst sämtliche Daten mit Personenbezug und betrifft alle Formen ihrer Erhebung und Verwendung.81
e) Integrität informationstechnischer Systeme
28
Das BVerfG hat das Recht auf informationelle Selbstbestimmung nach dem Volkszählungsurteil laufend weiterentwickelt. Bisher letzter Meilenstein dieser Rechtsprechung ist die Entwicklung der Fallgruppe des Rechts auf Integrität informationstechnischer Systeme, um neue Gefährdungen der Persönlichkeit vom Grundrechtsschutz zu erfassen, die durch den wissenschaftlichen und technischen Fortschritt entstehen.82 Hier schützt das sog. „Computergrundrecht“83 als subsidiäres Freiheitsrecht vor dem Zugriff auf informationstechnische Systeme. Ein informationstechnisches System besteht aus Hard- und Software sowie aus Daten und dient der Erfassung, Speicherung, Verarbeitung, Übertragung und Anzeige von Informationen und Daten. Erfasst werden hiervon z.B. Personal Computer, Mobiltelefone, und elektronische Terminkalender sowie externe Speichermedien, die mit dem eigentlichen System verbunden sind.84
29
Neben dem Vorliegen eines informationstechnischen Systems ist für die Eröffnung des Schutzbereichs erforderlich, dass der Betroffene das System als eigenes nutzt und nach den Umständen davon ausgehen darf, dass er alleine oder mit anderen selbstbestimmt über das System verfügt85 und dem System personenbezogene Daten in einem Umfang anvertraut, die einen Einblick in wesentliche Teile der Lebensgestaltung seiner Person ermöglichen oder ein aussagekräftiges Bild über die Persönlichkeit zulassen86 und dies in dem Glauben tut, die Daten seien für unbefugte Dritte unzugänglich.87
30
Die räumliche und thematische Erweiterung des Schutzbereichs der informationellen Selbstbestimmung soll Gefahren für die Persönlichkeitsentfaltung abwehren, die darin begründet sind, dass Betroffene persönliche Daten in ein informationstechnisches System einstellen oder durch dessen Nutzung automatisch liefern, sodass das System potenziell aussagekräftige Datenbestände enthält, die die Persönlichkeit des Betroffenen berühren und so die Funktion eines „ausgelagerten Gehirns“ oder einer „ausgelagerten Psyche“ erhält.88 Hinzu tritt die zunehmende Vernetzung, die neben neuen Nutzungsmöglichkeiten auch neue Gefährdungen für die Persönlichkeitsentfaltung mit sich bringt,89 die der Einzelne nur eingeschränkt wahrnehmen und vor denen sich zumindest der durchschnittliche Nutzer nur bedingt schützen kann.90 Nicht erst die, in den klassischen Schutzbereich der informationellen Selbstbestimmung fallende, tatsächliche Erhebung, sondern schon das Eindringen in dieses System und die Verschaffung einer Zugriffsmöglichkeit auf potenziell sehr aussagekräftige Datenbestände, bedroht die freie Persönlichkeitsentfaltung und ist von dem „neuen Grundrecht“ geschützt.91
f) Beeinträchtigung des Rechts auf Schutz personenbezogener Daten
31
Gefahren für das Recht auf Schutz personenbezogener Daten aus Art. 8 Abs. 1 GRCh sowie entsprechender Gewährleistungen des mitgliedstaatlichen Grundrechtsschutzes, denen durch die DSGVO entgegengewirkt werden soll, ergeben sich insbesondere aus dem Einsatz automatisierter Datenverarbeitungseinrichtungen.92 So hat die technische Entwicklung der letzten Jahrzehnte IT-Systeme hervorgebracht, die in der Lage sind, personenbezogene Daten in praktisch unbegrenztem Umfang zu speichern und miteinander zu kombinieren, sodass sich weitreichende Rückschlüsse auf betroffene Personen ziehen lassen, die bis zur Bildung eines vollständigen Persönlichkeitsprofils reichen können. Diese Entwicklung wurde durch eine intensivierte Vernetzung verstärkt, in deren Rahmen in zunehmendem Maße auch dezentral gespeicherte Informationen miteinander kombinierbar wurden, sodass personenbezogene Daten heute global miteinander verknüpft und abgerufen werden können und weitergehende Rückschlüsse über eine größere Zahl von Betroffenen durch die datenverarbeitenden Stellen gezogen werden können.93
32
Betroffene, die mit diesen technischen Möglichkeiten der Datenverarbeitung konfrontiert sind, können nur in geringem Maß darauf Einfluss nehmen, welche Daten über sie erhoben werden und von wem, zu welchem Zweck sie verarbeitet oder miteinander verknüpft werden. Sie können daher nicht mehr überschauen, welche Informationen zu ihrer Person bekannt sind und über welches Wissen Kommunikationspartner verfügen. Dadurch, dass der Einzelne nicht weiß, ob und in welchem Umfang sein Verhalten von staatlichen oder privaten Stellen erfasst, gespeichert, weitergeleitet oder gar öffentlich gemacht wird, entsteht ein psychischer Druck, nicht durch solche Verhaltensweise aufzufallen, die Gegenstand staatlicher oder privater Datenerfassung und Nutzung sind.94 Die freie Entfaltung der Persönlichkeit erfordert daher im Hinblick auf die Möglichkeiten moderner Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten.95
33
Diese Gefahren für das Recht auf Datenschutz erfolgen nicht nur durch staatliche, sondern auch durch private Handlungen. Ein rein grundrechtlicher Schutz des Rechts auf Datenschutz, der direkt nur vor staatlichen Eingriffen schützt, würde daher zu kurz greifen. Für den europäischen Gesetzgeber ergibt sich daher eine Verpflichtung, das Recht auf Datenschutz durch sekundärrechtliche Gewährleistungen auch im Privatrecht zu schützen.96 Die DSGVO dient diesem Zweck und soll Betroffene vor diesen Gefahren der Datenverarbeitung schützen. Entsprechend der europäischen Datenschutztradition setzt die Schutzwirkung des Datenschutzrechts bereits vor dem Auftreten tatsächlicher Beeinträchtigungen des Persönlichkeitsrechts im Sinne einer Vorfeldsicherung an.97 Sind Daten nämlich rechtswidrig erfasst oder verarbeitet worden, kann es für einen effektiven Betroffenenschutz bereits zu spät sein.
4. DSGVO als Schutzgesetz
34
Die DSGVO dient dem Schutz natürlicher Personen vor den Gefahren der Datenverarbeitung und hat daher Schutzgesetzcharakter.98 Hieraus ergeben sich vielfältige Konsequenzen und Überschneidungen mit anderen Rechtsgebieten, wie dem Delikts-, Vertrags-, Arbeits-, Mitbestimmungs-, Wettbewerbs- und Verbraucherrecht.