§ 3 Verarbeitung personenbezogener Daten durch öffentliche Stellen
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
Kommentar
§ 3 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die Regelung enthält eine Rechtsgrundlage bzw. Ermächtigungsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen. Der Kreis der Adressaten „öffentliche Stellen“ bestimmt sich nach § 2 Absatz 1 bis 3.
Es handelt sich um eine subsidiäre Auffangregelung, die unabhängig von den Zwecken der Datenverarbeitung gilt. Bereichsspezifische Regelungen gelten vorrangig.
Auch nichtöffentliche Stellen können sich auf die Regelung stützen, sofern sie hoheitliche Aufgaben der öffentlichen Verwaltung wahrnehmen (§ 2 Absatz 4 Satz 2) und als öffentliche Stellen behandelt werden.
Bei Datenverarbeitungen gemäß Artikel 2 der DSGVO stellt § 3 eine Rechtsgrundlage im Sinne von Artikel 6 Absatz 1 Buchstabe e, Artikel 6 Absatz 3 Satz 1 der DSGVO dar. Eine solche Rechtsgrundlage ist notwendig, da Artikel 6 Absatz 1 Buchstabe e der DSGVO selbst keine Rechtsgrundlage für die Datenverarbeitung enthält (vgl. Artikel 6 Absatz 3 Satz 1 DSGVO). Der deutsche Gesetzgeber kommt dem Erfordernis, eine Rechtsgrundlage für die Datenverarbeitung zu schaffen, durch § 3 nach.
Die Regelung spiegelt das Verhältnismäßigkeits- und das Gesetzmäßigkeitsprinzip wider, indem die Verarbeitung personenbezogener Daten durch öffentliche Stellen zulässig ist, wenn sie für die Wahrnehmung einer öffentlichen Aufgabe erforderlich ist oder wenn sie in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
Sowohl nationale Rechtvorschriften als EU-Recht können Grundlage für das Handeln sein. Die Verarbeitung personenbezogener Daten ist nicht nur auf Rechtsgrundlage von § 3 zulässig ist, sondern auch auf der Grundlage der weiteren in Artikel 6 Absatz 1 DSGVO aufgeführten Erlaubnistatbestände sowie der auf Grundlage der DSGVO und der Richtlinie (EU) 2016/680 erlassenen bereichsspezifischen Regelungen. Beispiel: die Zulässigkeit der Verarbeitung von Sozialdaten ist abschließend im SGB X in Verbindung mit dem SGB I sowie in den übrigen Sozialgesetzbüchern geregelt.
§ 3 übernimmt die bisher in §§ 13 Absatz 1 und 14 Absatz 1 BDSG a. F. enthaltenen Regelungen, unterscheidet aber nicht mehr zwischen den Datenverarbeitungsphasen der Erhebung, Speicherung, Veränderung und Nutzung. Vielmehr wird allgemein auf den Begriff der Verarbeitung abgestellt (so auch die DSGVO und Richtlinie (EU) 2016/680).