Die Öffnungsklausel des Abs. 2 ist aufgrund des Wortes „können“ fakultativer Natur. Auch unter teleologischen Gesichtspunkten ist die legislative Präzisierung verzichtbar und es „wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt“[391]. Es handelt es sich also bei Abs. 2 um eine freiwillig zu nutzende Öffnungsklausel und es besteht keine Pflicht der Mitgliedstaaten spezifische Regelungen zu erlassen.[392]
213
Dies alles gilt auch für die in Kap. IX (Art. 85–91) geregelten Verarbeitungssituationen.
a) Rechtsgrundlage im Unionsrecht oder im mitgliedstaatlichen Recht
214
Die Anforderungen an die Rechtsgrundlagen für die Verarbeitungen gem. Abs. 1 lit. c und e können sich nach Abs. 3 UAbs. 1 sowohl aus dem Unionsrecht (Abs. 3 UAbs. 1 lit. a), als auch aus dem jeweiligen nationalen Recht, „dem der Verantwortliche unterliegt“ (Abs. 3 UAbs. 1 lit. b), ergeben. Erst mit einer rechtlichen Ermächtigung oder Verpflichtungen ist der Verantwortliche befugt eine rechtmäßige Verarbeitung gem. Abs. 1 lit. c und e durchzuführen. Dementsprechend kann die Schaffung einer Rechtsgrundlage als Pflicht angesehen werden. Das Erfordernis des Abs. 3 UAbs. 1 ergibt sich aber bereits aus dem Primärrecht bzw. dem GG und ist dementsprechend lediglich wiederholend.[393] Ein von einem Parlament angenommener Gesetzgebungsakt ist dafür nicht zwingend erforderlich.[394]
b) Anforderungen
215
Weiter nennt Abs. 3 eine Reihe von Anforderungen an die Rechtsvorschriften. Danach ist bei beiden Verarbeitungszwecken der Zweck der Verarbeitung in der Rechtsgrundlage festzulegen. Der Zweckbindungsgrundsatz ist aber bereits primär-, als auch sekundärrechtlich normiert und mithin selbstverständlich zu erfüllen.[395] Jenem Erfordernis muss nicht ausdrücklich Rechnung getragen werden, sondern vielmehr reicht die Erkennbarkeit des impliziten Zwecks der Rechtsgrundlage.[396] Zudem muss sie ein im öffentlichen Interesse liegendes Ziel verfolgen sowie verhältnismäßig in Bezug auf den verfolgten Zweck sein.[397]
c) Tatsächliche Öffnungsklausel in Abs. 3
216
Die Öffnung für nationale Rechtsetzung in Bezug auf die Datenverarbeitung durch öffentliche Stellen findet sich in Abs. 3 UAbs. 2 S. 2 und 3.[398] Die Öffnungsklausel des Abs. 3 geht mit der des Abs. 2 einher, weil Abs. 3 die Existenz einer verordnungsrechtlichen Erlaubnis zum Erlass mitgliedstaatlichen Rechts voraussetzt.[399] Es handelt sich hier um kumulative, ganzheitlich zu erfüllende Anforderungen, die für die Verarbeitungen nach Abs. 1 UAbs. 1 lit. c und e von den Mitgliedstaaten zu erfüllen sind.[400] Zwar wird das Verhältnis des Abs. 2 und Abs. 3 teilweise als „unklar“[401] umschrieben, was nicht unberechtigt erscheint. Hinsichtlich der Systematik der Öffnungsklausel ist gleichwohl Folgendes festzuhalten:[402] Art. 6 Abs. 3 S. 2 legt fest, dass die Rechtsgrundlage im mitgliedstaatlichen Recht nicht nur den Zweck der Verarbeitung festlegen, sondern darüber hinaus die Verarbeitung für die Erfüllung einer Aufgabe erforderlich sein muss, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt („Muss-Inhalt“).[403] S. 2 des Abs. 3 legt also den pflichtigen Mindeststandard fest, den die Mitgliedstaaten bei der Schaffung mitgliedstaatlichen Rechts beachten müssen.[404] S. 2 statuiert damit eine Umsetzungspflicht und greift so den Regelungsauftrag aus Abs. 3 S. 1 lit. b auf.[405] Abs. 3 S. 3 enthält über S. 2 hinausgehend eine fakultative Zusatzmöglichkeit zum Erlass spezifischer mitgliedstaatlicher Regelungen („Kann-Inhalt“).[406] Denn nach S. 3 kann die mitgliedstaatliche Regelung spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften der DS-GVO enthalten. Der fakultative Charakter der Öffnungsklausel zur Schaffung spezifischen mitgliedstaatlichen Rechts nach Abs. 3 S. 3 folgt also aus dem Wortlaut der Verordnung („muss“ in S. 2, „kann“ in S. 3). Den Mitgliedstaaten wird durch S. 3 somit die Entscheidung darüber überlassen, ob sie über den pflichtigen Mindeststandard des Art. 6 Abs. 3 S. 2 hinaus die Anforderungen hinsichtlich der Rechtmäßigkeit der Datenverarbeitung nach S. 3 spezifizieren.[407]
217
Das Verhältnis von Abs. 3 S. 2 zu S. 3 ist vor allem für den Kontroll- und Prüfungsmaßstab bedeutsam, dem die jeweiligen mitgliedstaatlichen Umsetzungsnormen bei der Ausgestaltung der Öffnungsklausel unterliegen.[408] Denn sofern die mitgliedstaatliche Regelung bloß den pflichtigen Mindeststandard nach Abs. 3 S. 2 im erfüllt, handelt es sich dabei lediglich um eine Umsetzung europäischer Vorgaben, so dass Prüfungsmaßstab das Europarecht bildet und eine Kontrolle durch den EuGH gegeben ist.[409] Im Rahmen der fakultativen Spezifizierungsmöglichkeit nach Abs. 3 S. 3 werden die Mitgliedstaaten hingegen aus ihrer unionsrechtlichen Verantwortung zugunsten der nationalen Gerichtsbarkeit entlassen.[410] Diese Sichtweise wird nunmehr auch durch die Rechtsprechung des BVerfG in seinen Entscheidungen „Recht auf Vergessen I“[411] und „Recht auf Vergessen II“[412] gestützt.[413]
