§ 16 Befugnisse
(1) Die oder der Bundesbeauftragte nimmt im Anwendungsbereich der Verordnung (EU) 2016/679 die Befugnisse gemäß Artikel 58 der Verordnung (EU) 2016/679 wahr. Kommt die oder der Bundesbeauftragte zu dem Ergebnis, dass Verstöße gegen die Vorschriften über den Datenschutz oder sonstige Mängel bei der Verarbeitung personenbezogener Daten vorliegen, teilt sie oder er dies der zuständigen Rechts- oder Fachaufsichtsbehörde mit und gibt dieser vor der Ausübung der Befugnisse des Artikels 58 Absatz 2 Buchstabe b bis g, i und j der Verordnung (EU) 2016/679 gegenüber dem Verantwortlichen Gelegenheit zur Stellungnahme innerhalb einer angemessenen Frist. Von der Einräumung der Gelegenheit zur Stellungnahme kann abgesehen werden, wenn eine sofortige Entscheidung wegen Gefahr im Verzug oder im öffentlichen Interesse notwendig erscheint oder ihr ein zwingendes öffentliches Interesse entgegensteht. Die Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die aufgrund der Mitteilung der oder des Bundesbeauftragten getroffen worden sind.
(2) Stellt die oder der Bundesbeauftragte bei Datenverarbeitungen durch öffentliche Stellen des Bundes zu Zwecken außerhalb des Anwendungsbereichs der Verordnung (EU) 2016/679 Verstöße gegen die Vorschriften dieses Gesetzes oder gegen andere Vorschriften über den Datenschutz oder sonstige Mängel bei der Verarbeitung oder Nutzung personenbezogener Daten fest, so beanstandet sie oder er dies gegenüber der zuständigen obersten Bundesbehörde und fordert diese zur Stellungnahme innerhalb einer von ihr oder ihm zu bestimmenden Frist auf. Die oder der Bundesbeauftragte kann von einer Beanstandung absehen oder auf eine Stellungnahme verzichten, insbesondere wenn es sich um unerhebliche oder inzwischen beseitigte Mängel handelt. Die Stellungnahme soll auch eine Darstellung der Maßnahmen enthalten, die aufgrund der Beanstandung der oder des Bundesbeauftragten getroffen worden sind. Die oder der Bundesbeauftragte kann den Verantwortlichen auch davor warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen in diesem Gesetz enthaltene und andere auf die jeweilige Datenverarbeitung anzuwendende Vorschriften über den Datenschutz verstoßen.
(3) Die Befugnisse der oder des Bundesbeauftragten erstrecken sich auch auf
- von öffentlichen Stellen des Bundes erlangte personenbezogene Daten über den Inhalt und die näheren Umstände des Brief-, Post- und Fernmeldeverkehrs und
- personenbezogene Daten, die einem besonderen Amtsgeheimnis, insbesondere dem Steuergeheimnis nach § 30 der Abgabenordnung, unterliegen.
Das Grundrecht des Brief-, Post- und Fernmeldegeheimnisses des Artikels 10 des Grundgesetzes wird insoweit eingeschränkt.
(4) Die öffentlichen Stellen des Bundes sind verpflichtet, der oder dem Bundesbeauftragten und ihren oder seinen Beauftragten
- jederzeit Zugang zu den Grundstücken und Diensträumen, einschließlich aller Datenverarbeitungsanlagen und -geräte, sowie zu allen personenbezogenen Daten und Informationen, die zur Erfüllung ihrer oder seiner Aufgaben notwendig sind, zu gewähren und
- alle Informationen, die für die Erfüllung ihrer oder seiner Aufgaben erforderlich sind, bereitzustellen.
(5) Die oder der Bundesbeauftragte wirkt auf die Zusammenarbeit mit den öffentlichen Stellen, die für die Kontrolle der Einhaltung der Vorschriften über den Datenschutz in den Ländern zuständig sind, sowie mit den Aufsichtsbehörden nach § 40 hin. § 40 Absatz 3 Satz 1 zweiter Halbsatz gilt entsprechend.
Kommentar
§ 16 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
§ 16 bestimmt für den gesamten Anwendungsbereich des BDSG – d. h. auch für die Bereiche außerhalb des Unionsrechts – die Befugnisse des Bundesbeauftragten.
Die Vorschrift gliedert sich in Befugnisse im Geltungsbereich der DSGVO (Absatz 1) und Befugnisse außerhalb des Geltungsbereichs der DSGVO (Absatz 2). Die Absätze 3 bis 5 beziehen sich sowohl auf den Geltungsbereich der DSGVO als auch auf Bereich des Datenschutzrechts, der nicht dem Unionsrecht unterfällt.
Absatz 1 Satz 1 verweist für die Befugnisse und deren Ausübung im Anwendungsbereich der DSGVO auf Artikel 58 DSGVO.
Absatz 2 bestimmt die Befugnisse des Bundesbeauftragten bei Datenverarbeitungen außerhalb des Anwendungsbereichs der DSGVO und der Richtlinie (EU) 2016/680, auch wenn für diese durch die Regelung des § 1 Absatz 8 BDSG die DSGVO entsprechend anzuwenden ist, sowie bei Datenverarbeitungen im Geltungsbereich der Richtlinie (EU) 2016/680.
Absatz 1 Sätze 2 bis 4 enthalten Verfahrensregelungen im Sinne von Artikel 58 Absatz 4 DSGVO. Danach erfolgt die Ausübung der den Aufsichtsbehörden übertragenen Befugnisse vorbehaltlich geeigneter Garantien, einschließlich ordnungsgemäßer Verfahren gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten.
Vom Bundesbeauftragten festgestellte Verstöße gegen die Vorschriften des Datenschutzes werden der jeweils zuständigen Rechts- oder Fachaufsichtsbehörde mitgeteilt, diese erhält vor der Ausübung der Abhilfebefugnisse nach Artikel 58 Absatz 2 der DSGVO unter angemessener Fristsetzung Gelegenheit zur Stellungnahme. Bei den übrigen Abhilfebefugnissen nach Artikel 58 Absatz 2 DSGVO besteht hingegen kein Bedarf an einer vorherigen Information der Rechts- oder Fachaufsichtsbehörde. Die Mitteilung gewährleistet, dass die zuständige Fachaufsichtsbehörde bei Eilfällen und entgegenstehenden zwingenden öffentlichen Interessen (vgl. § 28 Absatz 2 Nummer 1 und Absatz 3 VwVfG) Kenntnis von dem Verstoß erhält und vor der Ausübung weitergehender Befugnisse durch den Bundesbeauftragten rechtliches Gehör findet. Widersprüchliche Auffassungen der Datenschutzaufsicht und der Rechts- bzw. Fachaufsicht sind auf dem Gerichtsweg zu klären. Sofern die Verfügung des Bundesbeauftragten der Rechtsauffassung der Fachaufsichtsbehörde widerspricht, kann diese den Verantwortlichen in Ausübung der ihr zustehenden Rechts- und Fachaufsicht zur gerichtlichen Klärung anweisen.
Absatz 2 regelt die Befugnisse des Bundesbeauftragten bei Datenverarbeitungen außerhalb des Anwendungsbereichs der DSGVO und der Richtlinie (EU) 2016/680. Dem Bundesbeauftragten werden nach der Regelungssystematik im BDSG keine Durchgriffsbefugnisse gegenüber Verantwortlichen gegeben, die für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten – wobei die Verfolgung von Straftaten den Schutz vor und die Abwehr von Gefahren für die öffentliche Sicherheit umfasst – zuständig sind und soweit sie zu diesen Zwecken Daten verarbeiten. Dies folgt aus der unterschiedlichen Ausgestaltung der Abhilfebefugnisse in der DSGVO einerseits und der Richtlinie (EU) 2016/680 und den dort bestehenden fachlichen Bedürfnissen andererseits, weshalb die Richtlinie mehr Flexibilität eröffnet.
Im Bereich der Straftatenverhütung, -ermittlung und -verfolgung sowie der darauf bezogenen Gefahrenabwehr lassen sich Letztentscheidungs- und Anordnungsbefugnisse des Bundesbeauftragten nicht mit der Sensibilität und Komplexität der entsprechenden Verarbeitungen und dem Bedürfnis nach ständiger Verfügbarkeit rechtmäßig erhobener Daten und Datenverarbeitungsanlagen in Einklang bringen. Dies gilt entsprechend für den nicht EU-rechtlich erfassten Bereich von Verarbeitungen zu Zwecken außerhalb beider Rechtsakte. Dem Bundesbeauftragten stehen mit dem aus § 25 BDSG a. F. bekannten Instrument der Beanstandung, der aus Artikel 47 Absatz 2 Buchstabe a der Richtlinie (EU) 2016/680 entnommenen Warnung und sonstigen nicht regelungsbedürftigen Möglichkeiten, den als öffentliche Stelle an Recht und Gesetz gebundenen Verantwortlichen auf aus seiner Sicht rechtswidrige Verarbeitungen aufmerksam zu machen, ausreichend Möglichkeiten zur Verfügung, ihren Beitrag dazu zu leisten, aus ihrer oder seiner Sicht rechtswidrigen Zuständen abzuhelfen. Es bleibt dem Gesetzgeber unbenommen, in sicherheitsbehördlichen fachgesetzlichen Regelungen – wie etwa § 67 Absatz 2 BKAG-E – die in Absatz 2 genannten Befugnisse weiter auszugestalten und gegebenenfalls um Durchgriffsbefugnisse auch anzureichern.
In Absatz 3 wird für den gesamten Anwendungsbereich des BDSG der bisherige § 24 Absatz 2 Satz 1 und 2 BDSG a. F. weitgehend übernommen. Für Berufsgeheimnisträger findet sich im Anwendungsbereich der DSGVO eine Spezialregelung in § 29 BDSG.
Absatz 4 greift die bislang in § 24 Absatz 4 Satz 2 BDSG a. F. geregelten Zugangs- und Informationsrechte des Bundesbeauftragten auf. Hierdurch wird Artikel 47 Absatz 1 der Richtlinie (EU) 2016/680 umgesetzt und die gemäß Artikel 58 Absatz 1 Buchstabe f der Verordnung (EU) 2016/679 zur Ausübung der Untersuchungsbefugnisse notwendigen mitgliedstaatlichen Verfahrensvorschriften für die Zugangs- und Betretensrechte von Grundstücken und Diensträumen geschaffen (Nummer 1).
Das umfassende Informationsrecht des Bundesbeauftragten in Absatz 4 Nummer 2 erfolgt in Umsetzung von Artikel 47 Absatz 1 der Richtlinie (EU) 2016/680 in wortgleicher Anlehnung an Artikel 58 Absatz 1 Buchstabe a DSGVO.
Absatz 5 enthält die bislang in § 26 Absatz 4 BDSG a. F. vorgesehene Hinwirkungsfunktion des Bundesbeauftragten auf die Zusammenarbeit mit den Aufsichtsbehörden der Länder im öffentlichen und nichtöffentlichen Bereich.