einschließlich der aus dem Sondervermögen Deutsche Bundespost durch Gesetz hervorgegangenen Unternehmen, soweit ihnen Ausschließlichkeitsrechte zustehen. Damit sind alle Ebenen der öffentlich-rechtlichen Tätigkeit des Bundes erfasst, sowohl im Bereich der unmittelbaren wie der mittelbaren Staatsverwaltung.[46]
61
Die Einbeziehung der öffentlichen Stellen der Länder, die in § 2 Abs. 2 definiert sind als „die Behörden, die Organe der Rechtspflege und andere öffentlich-rechtlich organisierte Einrichtungen eines Landes, einer Gemeinde, eines Gemeindeverbandes oder sonstiger der Aufsicht des Landes unterstehender juristischer Personen des öffentlichen Rechts sowie deren Vereinigungen ungeachtet ihrer Rechtsform“, sind über § 1 Abs. 1 S. 1 Nr. 2 einbezogen, soweit nicht vorrangiges Landesrecht gilt, und soweit Bundesrecht ausgeführt wird (lit. a) oder die betreffenden Stellen als Organe der Rechtspflege tätig sind und es sich nicht um Verwaltungsangelegenheiten handelt (lit. b). Aufgrund der Existenz von Landesdatenschutzgesetzen in allen Ländern ist die betreffende Vorschrift weithin gegenstandslos, allerdings gelten Vorschriften des BDSG in den Ländern jedenfalls, soweit das Landesdatenschutzrecht keine eigene Regelung enthält.[47]
62
Allerdings steht es den Ländern nicht frei, diejenigen Stellen des Landes, die nicht Aufgaben der öffentlichen Verwaltung wahrnehmen, von der Geltung des BDSG auszunehmen.
63
Über § 1 Abs. 1 S. 1 Nr. 2 lit. b sind die Organe der Rechtspflege, soweit sie nicht verwaltende Tätigkeiten wahrnehmen, unter dem Vorbehalt der Nichtexistenz vorrangigen Landesrechts in weiterem Umfang der Geltung des BDSG unterworfen.[48] Umfasst sind hier bspw. auch die Staatsanwaltschaften und Strafvollzugsbehörden,[49] sofern sie nicht verwaltende Tätigkeiten ausüben. Rechtsanwälte wiederum sind zwar Organe der Rechtspflege, aber keine des Bundes oder der Länder. Dagegen unterfallen die Notare der Geltung der (Landes-)Datenschutzgesetze.[50]
b) Nichtöffentliche Stellen
64
Für nichtöffentliche Stellen gilt das BDSG, sofern diese ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten, sowie nichtautomatisierte Verarbeitung personenbezogener Daten vornehmen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Das BDSG nimmt insoweit die Begrifflichkeit der DS-GVO auf.
65
Nichtöffentliche Stellen sind gem. § 2 Abs. 4 natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter die Abs. 1 bis 3 fallen. In Fällen einer Wahrnehmung hoheitlicher Aufgaben, also einer Beleihung, gelten die genannten nichtöffentlichen Stelle als öffentliche Stellen und unterfallen dann § 1 Abs. 1 S. 1.
66
§ 1 Abs. 1 S. 2 nimmt im Übrigen das Haushaltsprivileg nach Art. 2 Abs. 2 lit. c auf, indem die Norm anordnet, dass das BDSG nicht anwendbar ist, wenn die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten erfolgt. Die Regelung entspricht insoweit auch § 1 Abs. 2 Nr. 3 BDSG a.F.
3. Subsidiarität des BDSG
67
Gemäß § 1 Abs. 2 ist das BDSG subsidiär gegenüber spezielleren datenschutzrechtlichen Vorschriften des Bundes. Dies gilt für Rechtvorschriften jeden Ranges, nicht aber für Tarifverträge und Betriebsvereinbarungen, auch wenn diese für allgemeinverbindlich erklärt sind.[51]
Der Vorrang gilt nur, „soweit“ die betreffende Vorschrift vorrangige Regelungen enthält. Das BDSG bekommt damit insoweit eine Funktion als Auffangvorschrift, gegebenenfalls zur Schließung von Gesetzeslücken.[52]
68
Zugleich gehen alle spezialgesetzlich geregelten Geheimhaltungsvorschriften (etwa Sozialgeheimnis, § 35 SGB I, Steuergeheimnis, § 30 AO, Betriebs- und Geschäftsgeheimnisse, § 17 UWG) vor. Ausdrücklich angeordnet ist auch die vorrangige Geltung nicht gesetzlich geregelter Geheimhaltungspflichten, wie etwa das Anwaltsgeheimnis und das Patientengeheimnis.
4. Vorrang vor dem VwVfG
69
Wie bereits unter Geltung des § 1 Abs. 4 BDSG a.F. geht das BDSG entsprechend § 1 Abs. 3 den Vorschriften den VwVfG vor, soweit bei Ermittlung eines Sachverhalts personenbezogene Daten verarbeitet werden.
70
Die Anordnung des § 1 Abs. 4 BDSG a.F. betraf insbesondere das Verhältnis zwischen § 4 Abs. 2 BDSG a.F. und §§ 24, 26 VwVfG bezüglich Amtsermittlungsgrundsatz und Beweismitteln im Verwaltungsverfahren. Hier setzte § 4 Abs. 2 BDSG a.F. voraus, dass die Datenerhebung vorrangig beim Betroffenen stattzufinden hatte,[53] womit der Behörde bezüglich der Datenerhebung bei Dritten erhebliche Grenzen gesetzt wurden.
71
Eine Parallel-Vorschrift zu § 4 Abs. 2 BDSG a.F. fehlt im BDSG. Die Grundsätze der Direkterhebung ergeben sich mittlerweile vorrangig aus Art. 5 Abs. 1 lit. a. Damit tritt die Bedeutung des § 1 Abs. 3 gegenüber der Vorfassung zurück.
5. Anwendungsbereich
72
Während § 1 Abs. 1 die Normadressaten regelt, regelt Abs. 4 den Anwendungsbereich des BDSG. Abs. 4 differenziert zwischen öffentlichen und nichtöffentlichen Stellen.
a) Grundsatz der umfänglichen Anwendbarkeit für öffentliche Stellen
73
Für öffentliche Stellen wird in S. 1 – gleichsam deklaratorisch – zunächst die Anwendbarkeit des BDSG als Ganzes ausgesprochen.
b) Voraussetzungen der Anwendbarkeit auf nichtöffentliche Stellen
74
S. 2 knüpft die Anwendbarkeit für nichtöffentliche Stellen an Voraussetzungen, die teils kumulativ, teils alternativ vorliegen müssen. So ist unter Zugrundelegen der Gesetzesbegründung anzunehmen, dass wenn ein Fall des § 1 Abs. 4 S. 2 Nr. 1 gegeben ist, die Voraussetzungen der Nr. 2 oder der Nr. 3 hinzutreten müssen, damit das BDSG Anwendung findet.[54]
aa) § 1 Abs. 4 S. 2 Nr. 1
75
Gemäß § 1 Abs. 4 S. 2 Nr. 1 ist das BDSG auf nichtöffentliche Stellen anwendbar, wenn diese als Verantwortliche oder als Auftragsverarbeiter personenbezogene Daten im Inland verarbeiten.
76
Der Begriff des Verantwortlichen, des Auftragsverarbeiters und der Verarbeitung kann unter Rückgriff auf
