§ 1 Anwendungsbereich des Gesetzes
(1) Dieses Gesetz gilt für die Verarbeitung personenbezogener Daten durch
- öffentliche Stellen des Bundes,
- öffentliche Stellen der Länder, soweit der Datenschutz nicht durch Landesgesetz geregelt ist und soweit sie
a) Bundesrecht ausführen oder
b) als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt.
Für nichtöffentliche Stellen gilt dieses Gesetz für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, es sei denn, die Verarbeitung durch natürliche Personen erfolgt zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.
(2) Andere Rechtsvorschriften des Bundes über den Datenschutz gehen den Vorschriften dieses Gesetzes vor. Regeln sie einen Sachverhalt, für den dieses Gesetz gilt, nicht oder nicht abschließend, finden die Vorschriften dieses Gesetzes Anwendung. Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.
(3) Die Vorschriften dieses Gesetzes gehen denen des Verwaltungsverfahrensgesetzes vor, soweit bei der Ermittlung des Sachverhalts personenbezogene Daten verarbeitet werden.
(4) Dieses Gesetz findet Anwendung auf öffentliche Stellen. Auf nichtöffentliche Stellen findet es Anwendung, sofern
- der Verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Inland verarbeitet,
- die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung des Verantwortlichen oder Auftragsverarbeiters erfolgt oder
- der Verantwortliche oder Auftragsverarbeiter zwar keine Niederlassung in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum hat, er aber in den Anwendungsbereich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) fällt.
Sofern dieses Gesetz nicht gemäß Satz 2 Anwendung findet, gelten für den Verantwortlichen oder Auftragsverarbeiter nur die §§ 8 bis 21, 39 bis 44.
(5) Die Vorschriften dieses Gesetzes finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die Verordnung (EU) 2016/679 in der jeweils geltenden Fassung, unmittelbar gilt.
(6) Bei Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und die Schweiz den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(7) Bei Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89) stehen die bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands assoziierten Staaten den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.
(8) Für Verarbeitungen personenbezogener Daten durch öffentliche Stellen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und die Teile 1 und 2 dieses Gesetzes entsprechend Anwendung, soweit nicht in diesem Gesetz oder einem anderen Gesetz Abweichendes geregelt ist.
Kommentar
§ 1 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die Regelung bestimmt den Anwendungsbereich des Bundesdatenschutzgesetzes (BDSG). Das BDSG ist ein Auffanggesetz. Spezifische Vorschriften des Bundes haben gegenüber dem BDSG grundsätzlich Vorrang, Absatz 2 Satz 1.
Das BDSG gilt für jede Form der Verarbeitung personenbezogener Daten durch öffentliche Stellen des Bundes sowie durch öffentliche Stellen der Länder. Insoweit hat sich gegenüber dem BDSG in der bis zum 25.05.2018 geltenden Fassung (im Folgenden BDSG a.F.) nichts geändert.
Das BDSG hat – wie auch das BDSG a.F. – einen weiteren Anwendungsbereich als die Verordnung (EU) 2016/679 (DSGVO). Für nichtöffentliche Stellen gilt das BDSG nach Absatz 1 Satz 2 im Rahmen des Anwendungsbereichs der DSGVO. Festlegungen dazu, in welchen Fällen es sich um öffentliche Stellen des Bundes und der Länder handelt und um nichtöffentliche Stellen, enthält § 2 Absatz 1 bis 4 BDSG.
Der Vorrang des EU-Rechts reicht nur so weit wie die EU von ihr zustehenden Kompetenzen Gebrauch gemacht hat. Die Verarbeitung personenbezogener Daten bei Tätigkeiten öffentlicher Stellen des Bundes, die weder vom Anwendungsbereich der DSGVO noch der Richtlinie (EU) 680/2016 unterfallen, ist anhand der nationalen Regelungen des Datenschutzrechts zu prüfen. Nach Artikel 4 Absatz 2 Satz 3 EUV besitzt die EU keine Kompetenz für die nationale Sicherheit. In Deutschland betrifft das die Datenverarbeitung durch das Bundesamt für Verfassungsschutz, den Bundesnachrichtendienst, den Militärischen Abschirmdienst sowie den Bereich des Sicherheitsüberprüfungsgesetzes (vgl. Artikel 2 Absatz 2 Buchstabe; Erwägungsgrund 16 der DSGVO; Artikel 2 Absatz 3 Buchstabe a, Erwägungsgrund 14 der Richtlinie (EU) 2016/680).
Das BDSG gibt für die außerhalb der EU-Kompetenz liegenden Bereiche allgemeine Regelungen vor. Zu beachten sind aber auch bereichsspezifische Gesetze, z.B. Bundesverfassungsschutzgesetz, Bundesnachrichtendienstgesetz, Gesetz über den Militärischen Abwehrdienst, Sicherheitsüberprüfungsgesetz. Solche Regelungen gehen dem BDSG vor (Absatz 2).
Absatz 2 Satz 2 stellt klar, dass bereichsspezifische Regelungen nur bei Tatbestandskongruenz vorgehen. Ob das der Fall ist, ist eine Frage des Einzelfalls, was anhand der Tatbestände der bereichsspezifischen Gesetze zu prüfen ist. In der Gesetzesbegründung wird für eine Kongruenzprüfung der Sachverhalt „Datenverarbeitung“ genannt, der in den jeweiligen Verarbeitungsphasen, oder bezogen auf sog. Individual- oder Betroffenenrechte gleichbedeutend sein kann mit dem Sachverhalt „Informationspflicht“, „Auskunftsrecht“, „Widerspruchsrecht“ (BT Drs. 18/11325, S. 79). Sofern die Kongruenzprüfung zu dem Ergebnis gelangt, dass eine vorrangig anzuwendende Regelung vorhanden ist, ist diese unabhängig davon, ob sie enger oder weiter ist, anzuwenden.
Für den Fall, dass keine bereichsspezifische Regelung vorliegt, gilt das BDSG als Auffanggesetz. Diese Funktion des Lückenfüllers kann auch bei einer nicht abschließenden Regelung oder einem Schweigen eines bereichsspezifischen Gesetzes gelten. In Betracht kommt eine ergänzende Anwendung bei den Einschränkungen der Betroffenenrechte nach Teil 2 Kapitel 2 des BDSG, wenn im bereichsspezifischen Recht keine kongruenten Regelungen vorhanden sind. Eine ergänzende Anwendung des BDSG ist indessen ausgeschlossen, wenn spezielle Regelungen einen Bereich umfassend und abschließend regeln. Der Rechtsanwender steht daher vor der Aufgabe herauszufinden, wann das der Fall ist, denn eine umfassende Regelung kann auch beim so genannten „beredten Schweigen“ des Gesetzgebers anzunehmen sein, also dann, wenn ein Bereich bewusst nicht geregelt worden ist.
Das dürfte bei für den Datenschutz im SGB X i. V. m. dem SGB I sowie dem in anderen Sozialgesetzbüchern geregelten Schutz von Sozialdaten der Fall sein oder beim Datenschutz nach der Abgabenordnung. Grenzziehungen können im Einzelfall schwierig sein. Es ist damit zu rechnen, dass der Anwendungsbereich des Gesetzes ganz maßgeblich erst durch Gerichtsentscheidungen konkretisiert wird.
Absatz 2 Satz 2 entspricht § 1 Absatz 3 Satz 2 BDSG a. F.
Absatz 3 entspricht § 1 Absatz 4 BDSG a. F.
Absatz 4 Satz 1 Nummer 1 bestimmt, dass das Gesetz auf Datenverarbeitung im Inland Anwendung findet.
Absatz 4 Satz 1 Nummer 2 bestimmt, dass das BDSG nur dann anzuwenden ist, wenn eine Datenverarbeitung durch eine in Deutschland ansässige Niederlassung vorgenommen wird (DSGVO).
Absatz 4 Satz 1 Nummer 3 entspricht § 1 Absatz 5 Satz 2 BDSG a. F.
Absatz 5 stellt an dieser Stelle abermals klar, dass die DSGVO vorrangig gilt (Art. 288 Absatz 2 AEUV).
Nach der Richtlinie (EU) 2016/680 sind den Mitgliedstaaten strengere Vorgaben möglich (Erwägungsgrund 15). Der deutsche Gesetzgeber versucht diese Vorgabe durch das allgemeine Auffanggesetz (BDSG) umzusetzen, das Raum für bereichsspezifische Regelungen lässt, die einen weitergehenden Schutz von Betroffenenrechten vorsehen kann als von der Richtlinie vorgegeben.
Absatz 6 stellt wie auch Absatz 7 klar, welche Staaten den Mitgliedstaaten der Europäischen Union gleichgestellt sind, nämlich die bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands assoziierten Staaten und die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und die Schweiz.
Absatz 8 regelt, dass auf Verarbeitungen personenbezogener Daten durch öffentliche Stellen bei Tätigkeiten, die weder der DSGVO noch der Richtlinie (EU) 2016/680 unterfallen, die DSGVO und das BDSG Teil 1 und Teil 2 Anwendung finden. Die Regelung ist nicht anzuwenden auf nichtöffentliche Stellen. Damit stellt Absatz 8 sicher, dass auch die nicht unter die EU-Vorschriften fallenden Bereiche der Regelungssystematik des BDSG unterfallen.
Das für die Verarbeitung personenbezogener Daten von Unternehmen und Hilfsunternehmen der Presse ausschließlich zu eigenen journalistisch-redaktionellen oder literarischen Zwecken geltende Presseprivileg gemäß § 41 Absatz 1 BDSG a. F. ist nicht mehr Gegenstand des BDSG. Ausweislich der Begründung zum Gesetzesentwurf wird davon ausgegangen, dass das Presseprivileg durch die für das Pressewesen ausschließlich zuständigen Bundesländer (Art. 70 Absatz 1 GG) gewährt wird (BT Drs. 18/11325, S. 79). Aufgrund der Länderkompetenz ist für das Presseprivileg im BDSG kein Raum mehr. Eine Nachfolgeregelung von § 41 Absatz 1 BDSG a. F. sucht man daher im BDSG vergeblich.