Staatsregierung: Gesetzentwurf für ein Bayerisches Datenschutzgesetz (BayDSG) eingebracht

Die Staatsregierung hat o.g. Gesetzentwurf eingebracht (LT-Drs. 17/19628 v. 12.12.2017). Dieser sieht in Ansehung grundlegend geänderten europäischen Datenschutzrechts (EU-Datenschutzreform) insbesondere den Erlass eines neuen Bayerischen Datenschutzgesetzes (BayDSG) vor, das am 25.05.2018 in Kraft treten soll. Ziel des Gesetzentwurfs ist es, im Bereich des allgemeinen Datenschutzes einen einheitlichen Rechtsrahmen zu schaffen, der von allen öffentlichen Stellen gleichermaßen zu beachten ist. Der Gesetzentwurf sieht daher vor, dass in allen drei Regelungsbereichen (Geltungsbereich der DSGVO, Geltungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz, verbleibender Landesbereich) weitgehend die gleichen materiellen und formellen Regelungen gelten, indem grundsätzlich die Regelungen der DSGVO auch in den übrigen Bereichen für anwendbar erklärt werden (Art. 2). Dort, wo dies aus sachlichen Gesichtspunkten geboten erscheine, werde im Anwendungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz (Art. 28 bis 37) und im verbleibenden Landesbereich allerdings von den Regelungen der DSGVO abgewichen, so der Gesetzentwurf. Über die Anpassung an die DSGVO hinausgehend wird das Gesetzgebungsverfahren zum Anlass für weitere Änderungen genommen: Der Gesetzentwurf nennt hier etwa die Schaffung einer gesetzlichen Rechtsgrundlage für den Einsatz elektronischer Wasserzähler in Art. 24 GO, um Rechtsunsicherheiten in der kommunalen Praxis auszuräumen, Rechtsvereinfachungen im Presserecht sowie aus aktuellen sicherheitspolitischen Gründen eine seit Juni 2017 durch das Bundesrecht neu zugelassene Ermächtigung des Landesamts für Verfassungsschutz zum Abruf von Kontostammdaten im Bayerischen Verfassungsschutzgesetz (BayVSG).

I. Europarechtlicher Hintergrund

Am 25.05.2016 trat die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DSGVO) in Kraft, deren Regelungen ab dem 25.05.2018 anwendbar sind. Zum gleichen Zeitpunkt tritt die Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vom 24.10.1995 (EG-Datenschutzrichtlinie), auf der das geltende bayerische Datenschutzrecht beruht, außer Kraft. Als europäische Verordnung ist die DSGVO unmittelbar geltendes Recht. Sie gilt sowohl für öffentliche als auch für nicht-öffentliche Stellen.

Dem bayerischen Gesetzgeber steht damit eine Frist bis zum 25.05.2018 zur Verfügung, um das Landesrecht an die Vorgaben der DSGVO anzupassen. Bis zu diesem Termin sind Rechtsvorschriften aufzuheben, die wegen des Geltungsvorrangs der DSGVO nicht mehr anzuwenden sind, soweit sie nicht auf Grund der den Mitgliedstaaten eingeräumten Regelungsermächtigungen insbesondere für Datenverarbeitungen im öffentlichen Bereich fortgeführt werden können. Ebenso sind zu diesem Zeitpunkt die in der Verordnung enthaltenen Regelungsaufträge umzusetzen, um Anwendungslücken zu vermeiden.

Im Landesrecht ist ferner die Richtlinie (EU) 2016/680 vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (Richtlinie zum Datenschutz bei Polizei und Justiz) umzusetzen, die besondere Regelungen für die Verarbeitung personenbezogener Daten zu Zwecken der Strafverfolgung und der polizeilichen Gefahrenabwehr enthält. Die Mitgliedstaaten sind verpflichtet, bis zum 06.05.2018 die Rechts- und Verwaltungsvorschriften zu erlassen, die erforderlich sind, um dieser Richtlinie nachzukommen.

Um die von den Regelungen der DSGVO und der Richtlinie zum Datenschutz bei Polizei und Justiz betroffenen Gesetze und Verordnungen zu identifizieren, haben die Ressorts ein Normenscreening durchgeführt, bei dem sich gezeigt habe, dass bei weniger als 10% der datenschutzrelevanten Regelungen des bayerischen Landesrechts Änderungsbedarf bestehe, so der Gesetzentwurf. Der Gesetzentwurf enthält neben einer Neufassung des Bayerischen Datenschutzgesetzes insgesamt 23 Änderungen weiterer Gesetze und Verordnungen, die auf Grund des Inkrafttretens der DSGVO und der Richtlinie zum Datenschutz bei Polizei und Justiz geboten sind.

Weitere landesrechtliche Anpassungen bleiben gesonderten Initiativen vorbehalten, um zunächst erforderliche länderübergreifende Abstimmungsprozesse abzuwarten oder die vom Unionsrecht geforderten Änderungen mit anderweitigen fachrechtlichen Vorhaben zu verbinden.

Zur Umsetzung der Richtlinie zum Datenschutz bei Polizei und Justiz werden über den vorliegenden Gesetzentwurf hinaus noch weitere Anpassungen im Fachrecht notwendig (z.B. im Polizeiaufgabengesetz und im Bayerischen Strafvollzugsgesetz).

II. Allgemeine Begründung zum neuen BayDSG

Die Begründung zum Gesetzentwurf führt insoweit verständlich und umfänglich aus:

„Zur Anwendung der DSGVO und zur Umsetzung der Richtlinie zum Datenschutz bei Polizei und Justiz sind vom bayerischen Gesetzgeber drei Bereiche neu zu regeln:

• Nach Art. 291 Abs. 1 AEUV sind die Mitgliedstaaten verpflichtet, alle zur Durchführung verbindlicher Rechtsakte der Union erforderlichen Maßnahmen nach innerstaatlichem Recht zu ergreifen. Das bayerische Datenschutzrecht ist daher an die unmittelbar geltende DSGVO anzupassen und muss den in der Verordnung enthaltenen umfangreichen Regelungsaufträgen z.B. im Bereich der Datenschutzaufsichtsbehörden nachkommen.
• Trotz des umfassenden Geltungsanspruchs der Verordnung verbleibt damit weiterhin Bedarf für eine fachrechtsübergreifende Querschnittsregelung des Datenschutzrechts, so dass das geltende BayDSG durch eine inhaltlich grundlegend veränderte Neufassung abgelöst werden soll. Diese enthält im Verhältnis zur DSGVO nur noch ergänzende, ihrer Durchführung dienende Regelungen. Das BayDSG fasst auch unter Geltung der DSGVO weiterhin zentrale materielle Datenschutzbestimmungen zusammen und regelt verfahrensbezogene Datenschutzanforderungen, um das Fachrecht zu entlasten und einheitliche Anwendungsbedingungen zu gewährleisten. Seine Beibehaltung als Bindeglied zwischen der DSGVO und den bereichsspezifischen Datenschutzvorschriften soll den effektiven Vollzug des Datenschutzrechts erleichtern und ermöglicht es weitgehend, bewährte Regelungs- und Verfahrensstrukturen fortzuführen.
• Die Richtlinie zum Datenschutz bei Polizei und Justiz begründet Mindestanforderungen an die Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. Damit sind sowohl neue materielle als auch formelle Datenverarbeitungsanforderungen im Landesrecht umzusetzen. Sie betreffen die Datenverarbeitung der Polizei und der zu ihrer Unterstützung bestellten Personen, die Staatsanwaltschaften, die Gerichte in Strafsachen, die Strafvollstreckungs- und Justizvollzugs-behörden und die Behörden des Maßregelvollzugs. Daneben erstreckt sich der Anwendungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz auch auf allgemeine Verwaltungsbehörden, soweit sie Ordnungswidrigkeiten ahnden oder verfolgen. Neben Anpassungen im Bundesrecht (Strafprozessordnung und Gesetz über Ordnungswidrigkeiten) sowie im bayerischen Fachrecht erfordert die Richtlinie zum Datenschutz bei Polizei und Justiz u.a. zahlreiche formelle datenschutzrechtliche Regelungen (z.B. zur Auftragsverarbeitung) die fachrechtsübergreifend in der Neufassung des Bayerischen Datenschutzgesetzes als gesondertes Kapitel zusammengefasst werden sollten.
• Umfassend landesrechtlich zu regeln verbleibt außerdem die Verarbeitung personenbezogener Daten im Rahmen sämtlicher Tätigkeiten, die nicht in den Anwendungsbereich der DSGVO und der Richtlinie zum Datenschutz bei Polizei und Justiz fallen. Unbeschadet fachrechtlicher Regelungen wie z.B. im Verfassungsschutzgesetz oder für bestimmte nicht-elektronische Nutzungen personenbezogener Daten sollte die Neufassung des Bayerischen Datenschutzgesetzes insoweit weiterhin allgemeine Anforderungen und Schutzmechanismen bereitstellen, um den Schutz des informationellen Selbstbestimmungsrechts zu gewährleisten.

Hauptziele der Neuregelung

Hauptziele der Anpassung des Bayerischen Datenschutzgesetzes an die Vorgaben des Europarechts sind:

• Der Gesetzentwurf sieht vor, dass in allen drei Regelungsbereichen (Geltungsbereich der DSGVO, Geltungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz, verbleibender Landesbereich) zunächst die gleichen materiellen und formellen Grundbestimmungen gelten. Dazu werden zunächst die Regelungen der DSGVO auch in den übrigen Bereichen für anwendbar erklärt werden (Art. 2).
  Auch bei eigenständigen nationalen Regelungen in diesen Bereichen würden sämtliche Rechtsanwender jedenfalls wegen einzelner Verarbeitungsvorgänge (etwa Polizei und Verfassungsschutz im Bereich von Verwaltungsaufgaben) der DSGVO unterliegen. Mit dem Verweis auf die DSGVO auch in national gestaltbaren Bereichen wird wie bisher durch das BayDSG ein einheitliches datenschutzrechtliches Grundregime geschaffen. Diese Vereinheitlichung dient der Vollzugsvereinfachung und zugleich der Rechtssicherheit, da Fehlerquellen für den Rechtsanwender minimiert werden. Die Mehrzahl der datenschutzrechtlichen Aufgabenstellungen kann damit losgelöst von der für die Rechtspraxis ungewohnten Frage nach der Reichweite des Anwendungsbereichs von Unionsrechtsakten stets durch die Anwendung der DSGVO – originär oder auf Grund landesrechtlicher Anordnung – und der zu ihrer Durchführung vorgesehenen Regelungen des Landesrechts gelöst werden.
• Neben dieser materiell-rechtlichen Vereinheitlichung trägt die Neufassung des BayDSG durch seine Struktur dazu bei, den Rechtsanwender im Umgang mit dem europäischen Datenschutzrecht zu unterstützen und zu führen. Die Regelungsstruktur seiner Durchführungsbestimmungen „spiegelt“ die DSGVO und gibt damit dem Rechtsanwender eine klare Hilfestellung, die das Verhältnis von unmittelbar anzuwendenden europäischen Regelungen und den sie ergänzenden Bestimmungen des Landesrechts verdeutlicht. In den Artikelüberschriften sind bereits auf formaler Ebene die wesentlichen Bezüge hergestellt.
• Dort, wo dies aus sachlichen Gesichtspunkten geboten erscheint und unionsrechtlich möglich ist, werden im Anwendungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz (Art. 28 bis 37) und im verbleibenden Landesbereich Spielräume für effizientere und am geltenden Recht ausgerichtete Lösungen genutzt.
• Ebenso werden auch im Anwendungsbereich der DSGVO bewährte Regelungen des bisherigen bayerischen Datenschutzrechts so weit als unionsrechtlich begründbar beibehalten: Dies gilt z.B. für die bewährten Vorschriften über die Verantwortung bei Datenübermittlungen (Art. 5), automatisierte Abrufverfahren und gemeinsame Verfahren (Art. 7), das Datengeheimnis (Art. 11), Ordnungswidrigkeiten und Strafvorschriften (Art. 23), die Videoüberwachung (Art. 24) und das allgemeine Auskunftsrecht (Art. 39).
• Anknüpfend an bisherige Regelungen zur Zuständigkeitskonzentration für das datenschutzrechtliche Freigabeverfahren (Art. 26 des geltenden BayDSG) sind bei der Datenschutz-Folgenabschätzung unionsrechtlich mögliche Vereinfachungen vorgesehen, indem diese Aufgaben bei den fachlich zuständigen Ministerien bzw. den Behörden, die zentrale IT-Verfahren entwickeln, konzentriert werden.
• Die vorhandene Struktur der Aufsichtsbehörden (Landesbeauftragter für den Datenschutz im öffentlichen Bereich und Landesamt für Datenschutzaufsicht im nicht öffentlichen Bereich) sowie der Datenschutzkontrolle im Zuständigkeitsbereich der Bayerischen Landeszentrale für neue Medien und im Zuständigkeitsbereich des Bayerischen Rundfunks werden beibehalten. Gleiches gilt für die Datenschutzkommission des Landtags.

Neue Regelungen

• Neu ist eine als Auffangvorschrift konzipierte Vorschrift über die Verarbeitung personenbezogener Daten zu journalistischen, künstlerischen und literarischen Zwecken (Art. 38). Damit erfüllt der Landesgesetzgeber den zwingenden Regelungsauftrag in Art. 85 DSGVO, die Kollision zwischen dem datenschutzrechtlichen Erlaubnisvorbehalt und der grundrechtlich gewährleisteten Meinungsfreiheit aufzulösen. Diese Auffangvorschrift ist notwendig, weil der Bundesgesetzgeber mit den bislang verabschiedeten Anpassungsregelungen insbesondere zum Bundesdatenschutzgesetz (vgl. Art. 1 des Datenschutz-Anpassungs- und Umsetzungsgesetzes – EU vom 30.06.2017, BGBl. I S. 2097) und zu zentralen weiteren Bestimmungen u.a. im Abgaben- und Sozialrecht (vgl. BR-Drs. 450/17) keine entsprechende Regelung getroffen hat. Die Bestimmung gilt nur, soweit das Presserecht, das Rundfunkrecht und das Medienrecht keine vorrangigen Sondervorschriften enthalten.
• Die Neuregelung über die Verarbeitung personenbezogener Daten für die Verleihung staatlicher und kommunaler Auszeichnungen und Ehrungen in Art. 27 soll die geltende Praxis absichern. Sie stellt insbesondere klar, dass diese in den unionsrechtlich nicht zugänglichen Kernbereichen von Staat und Kommunen wurzelnden Auszeichnungsvorgänge datenschutzrechtlich außerhalb des Regelungsregimes der DSGVO stehen. Die vorgesehenen Bestimmungen bilden die bisherige Staats- und Vollzugspraxis ab und begründen z.B. durch spezifische Regelungen zur Verarbeitung besonderer Kategorien personenbezogener Daten angemessene Schutzmaßnahmen. Die für Auszeichnungen und Ehrungen verarbeiteten Daten unterliegen einer strikten Zweckbindung.“

III. Meinungsäußerungs- und Informationsfreiheit

Teil III des neuen BayDSG, der aus den Art. 38 und 39 besteht, enthält Regelungen zur Meinungs- und Informationsfreiheit. Art. 38 betrifft die „Verarbeitung zu journalistischen, künstlerischen oder literarischen Zwecken“, Art. 39 schafft ein „Allgemeines Auskunftsrecht“. Art. 38 bildet die Rechtslage unter Geltung des sog. Medienprivilegs ab, das weiterhin gilt. Das Auskunftsrecht in Art. 39 entspricht im Wesentlichen dem bisherigen Art. 36 BayDSG, so dass Spielraum für kommunale Informationsfreiheitssatzungen bleibt (vgl. hierzu auch Simmerlein, BayVGH zu gemeindlichen Informationsfreiheitssatzungen – Eingriff in Grundrechte weder zulässig noch abwägungsfähig).

Art. 38 BayDSG

Die Begründung zum Gesetzentwurf führt insoweit aus:

„Verarbeitung zu journalistischen, künstlerischen oder literarischen Zwecken (zu Art. 85 DSGVO)

Zu Abs. 1

Art. 85 Abs. 1 DSGVO beauftragt die Mitgliedstaaten, durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß der DSGVO mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung insbesondere zu journalistischen und literarischen Zwecken in Einklang zu bringen. Dafür gesteht Art. 85 Abs. 2 DSGVO bestimmte Abweichungsbefugnisse vom Regelungsgehalt der Grundverordnung zu.

Vor allem die journalistisch-redaktionelle und literarische Arbeit ist mit den Anforderungen der DSGVO nicht vollends in Einklang zu bringen. Die Verpflichtung zum Schutz des Rechts auf freie Meinungsäußerung erfordert es, Abweichungen zu regeln.

Mit Abs. 1 wird zum Ausdruck gebracht, dass die Abweichungsbefugnis des Art. 85 DSGVO für sämtliche Anwendungsbereiche zum Tragen kommen soll. Die Verortung dieser grundsätzlichen Entscheidung im BayDSG dient dem Zweck, auch diejenigen Meinungsäußerungen abzudecken, die keinem der Anwendungsbereiche des Medien-Fachrechts (BayPrG, BayMG, BayRG) zugeordnet werden können.

Indem Art. 5 Abs. 1 Buchst. f, Art. 24 und 32 DSGVO für anwendbar erklärt werden, wird die Rechtslage unter Geltung des sog. Medienprivilegs abgebildet. Presse, Rundfunk und diesen gleich gestellte Medien waren auch bisher bei der Ausübung ihrer journalistisch-redaktionellen Tätigkeit insoweit privilegiert, als sie vom geltenden Datenschutzrecht nur die Vorschriften zum Datengeheimnis und zur Datensicherheit beachten mussten und sich bei Verstößen schadensersatzpflichtig machten. Die Aufrechterhaltung dieser Situation wird auch unter Geltung der DSGVO für erforderlich gehalten, um das Recht auf freie Meinungsäußerung auch in seinen Ausgestaltungen als Presse-, Rundfunk- und Medienfreiheit gewährleisten zu können.

Die Träger dieser Freiheiten erwerben weitreichende Befreiungen von der Beachtung genuin datenschutzrechtlicher Vorgaben, weil dem Recht auf informationelle Selbstbestimmung in diesem Kontext auf andere Weise Rechnung getragen wird. So ist etwa der Quellenschutz ein hergebrachtes Prinzip journalistischen Arbeitens. Zu diesem Prinzip stünde es jedoch im Widerspruch, wenn die Erhebung von personenbezogenen Daten bei einer zu schützenden Quelle Informationspflichten gegenüber dem Betroffenen auslösen würde.

Die weitere Konkretisierung des in Abs. 1 fortgeschriebenen Medienprivilegs durch Ausformung spezifischer Surrogate von Betroffenenrechten bleibt den jeweiligen Fachgesetzen vorbehalten.

Zu Abs. 2

Im Anwendungsbereich des Medienprivilegs würde das Recht auf freie Meinungsäußerung leerlaufen, wenn Berichtigungs- und Löschungsansprüche vollumfänglich zur Durchsetzung gelangten. So kommt eine Verpflichtung zur Berichtigung oder Löschung bereits veröffentlichter oder zur Veröffentlichung vorgesehener journalistischer Erzeugnisse gemäß den Vorgaben der DSGVO nicht ohne weiteres in Betracht. Das Recht auf informationelle Selbstbestimmung vermittelt gleichwohl einen Anspruch des Betroffenen auf Gewährleistung von Vollständigkeit und Richtigkeit seiner Daten. Ein Ausgleich dieser Interessen wird dadurch mit der Verpflichtung zur parallelen Aufbewahrung und Übermittlung erzielt. Inhaltlich entspricht Abs. 2 den durch den 21. Rundfunkänderungsstaatsvertrag vorgesehenen Regelungen des § 9c Abs. 2 und § 57 Abs. 3 Rundfunkstaatsvertrag, wurde aber sprachlich gestrafft.

Das Zustandekommen und die Durchsetzung der Gegendarstellungs- und Unterlassungsansprüche bestimmen sich nach dem jeweiligen Fachrecht. Die gebündelte Regelung im BayDSG ist zum einen dadurch bedingt, dass ein gleichartiges Regelungsbedürfnis für vorrangiges Anliegen des Datenschutzes umgesetzt wird.

Art. 18 Abs. 1 Satz 2 trifft eine ergänzende Regelung zu den Kontrollbefugnissen der Aufsichtsbehörde.

Im Übrigen enthält Art. 85 DSGVO auch Befugnisse zu Regelungen wissenschaftlicher Verarbeitungszwecke, denen aber bereits durch Art. 25 und weitere Einzelregelungen (z.B. in Art. 6 Abs. 2 Nr. 3 Buchst. c und Art. 8 Abs. 1 Nr. 5) im Rahmen der Gesetzgebungskompetenz Bayerns Rechnung getragen wurde. Sonderregelungen für die Verarbeitung zu wissenschaftlichen Zwecken für nicht öffentliche Stellen enthält § 27 BDSG 2018.“

Art. 39 BayDSG

Die Begründung zum Gesetzentwurf führt insoweit aus:

„Allgemeines Auskunftsrecht (zu Art. 86 DSGVO)

Die Vorschrift enthält ein allgemeines Auskunftsrecht über den Inhalt von Dateien und Akten von Behörden oder öffentlichen Stellen. Sie entspricht – mit geringen redaktionellen Anpassungen an die DSGVO – dem Recht auf Auskunft nach Art. 36 BayDSG (alt). Wie bisher belässt die Regelung damit Spielraum für kommunale Informationsfreiheitssatzungen, die innerhalb der zum Schutz der Rechte Dritter gezogenen Grenzen des Art. 40 und anderer Regelungen des BayDSG bzw. des Fachrechts Einzelheiten des Informationszugangs ortsrechtlich ausgestalten können (zweifelnd insoweit noch BayVGH, Urt. v. 27.02.2017 – Az. 4 N 16.461).

Die Ausnahmevorschrift des Abs. 4 wird in diesem Zuge auch auf die staatlichen Rechnungsprüfungsstellen der Landratsämter erstreckt, welche ebenso wie der Bayerische Kommunale Prüfungsverband überörtliches Prüfungsorgan (Art. 105 Abs. 1 GO) sind.

Das Recht auf Auskunft ist nicht auf die Verarbeitung personenbezogener Daten beschränkt und gilt daher auch für Auskünfte über nicht personenbezogene Daten.

Im Geltungsbereich der DSGVO ergibt sich die Befugnis zu dieser Regelung aus Art. 86 DSGVO. Die Mitgliedstaaten können nach dieser Vorschrift den Zugang der Öffentlichkeit zu amtlichen Dokumenten mit dem Schutz der Daten nach der DSGVO in Einklang bringen.“

IV. Weitere Informationen

• Verfahrensverlauf, ggfls. Beiträge und amtliche bzw. kommunale Stellungnahmen auf einen Blick: hier.
• Zum Gesetzentwurf (Vorgangsmappe des Landtags): hier.
• Gesetzgebungsübersicht für den Freistaat Bayern: hier.

Ass. iur. Klaus Kohnen; Titelfoto/-bild (c) n8aktiver – Fotolia.com