DSGVO - BDSG - TTDSG

3. Persönlich familiäre Tätigkeiten (Abs. 2 lit. c)

16

Art. 2 Abs. 2 lit. c DSGVO enthält die sogenannte Household Exemption oder Haushaltsausnahme, also eine Einschränkung der Anwendbarkeit der Verarbeitung personenbezogener Daten durch natürliche Personen für ausschließlich persönliche/familiäre Tätigkeiten. Diese Ausnahme der Anwendbarkeit war schon in Art. 3 Abs. 2 DSRl enthalten und wird durch Art. 2 Abs. 2 lit. c DSGVO fast wortgleich fortgeschrieben. Entsprechend der Regelungsintention beim Erlass der DSRl soll auch die DSGVO nicht anwendbar sein, wenn personenbezogene Daten im privaten Rahmen zur Ausprägung des allgemeinen Persönlichkeitsrechts verarbeitet werden.38 Das Festhalten des europäischen Gesetzgebers an der Haushaltsausnahme wird teilweise kritisch gesehen, da Gefährdungen der Persönlichkeitsrechte der Betroffenen aufgrund gestiegener technischer Verarbeitungsmöglichkeiten von Privatpersonen auch bei der Verarbeitung durch diese drohten.39 Zutreffend an dieser Kritik ist, dass es auch – und besonders im persönlich/familiären Rahmen – zu erheblichen Persönlichkeitsrechtsverletzungen kommen kann.40 Der europäische Gesetzgeber hat hierfür aber gerade festgelegt, dass solche Verletzungen nicht im Rahmen des Datenschutzrechts, sondern nach allgemeinen zivil- und ggf. strafrechtlichen Maßstäben bewertet und sanktioniert werden sollen.

a) Definition persönlich/familiärer Tätigkeiten

17

Die DSGVO enthält keine Definition der Begriffe „persönlich“ und „familiär“. Diese müssen daher autonom nach der Verkehrsauffassung bestimmt werden.41 Dabei ist die objektiv erkennbare Zweckbestimmung einer Verarbeitungstätigkeit heranzuziehen. Persönliche Tätigkeiten dienen allgemein der Selbstentfaltung in Freizeit und privatem Bereich.42 Familiäre Tätigkeiten dienen dem sozialen Umgang im Kreis der Familie.43 Indiz für eine persönlich/familiäre Zweckbestimmung sind die erkennbare persönlich/familiäre Motivation, der soziale Kontext44 sowie das Fehlen eines gewerblichen45 oder öffentlich/politischen Hintergrundes. Eine familienrechtliche Auslegung der Begriffe persönlich und familiär ist nicht geboten,46 was beim Vergleich anderer Sprachfassungen deutlich wird.47 Die Größe einer Datensammlung ist für die Qualifikation nicht entscheidend, eine große Datensammlung kann jedoch ein Indiz sein, das gegen persönliche/familiäre Zwecke spricht.48 Der Grundsatz der Bestimmung nach dem objektiv erkennbaren Zweck einer Tätigkeit wird nach der Rechtsprechung des EuGH für Veröffentlichungen im Internet sowie für Videoaufnahmen in öffentlich zugänglichen Bereichen durchbrochen. Die Haushaltsausnahme ist nur für natürliche Personen eröffnet.49 Erfasst werden aber auch Personenmehrheiten, die zu persönlich/familiären Zwecken handeln.50 Auch wenn juristischen Personen ein Unternehmenspersönlichkeitsrecht zugesprochen wird,51 können sie nämlich nicht persönlich/familiär handeln.52 Auch Vereine oder Stiftungen sowie für diese handelnde Personen sind von der Haushaltsausnahme nicht erfasst.53 Die Anwendbarkeit der DSGVO wird nur ausgeschlossen, soweit ausschließlich persönliche/familiäre Zwecke verfolgt werden. Bei einer Mischnutzung, die auch beruflichen oder wirtschaftlichen Zwecken dient sowie bei der Nutzung zu ausschließlich nicht persönliche/familiären Zwecken bleibt die DSGVO anwendbar.54 Dies gilt auch für vereinzelt oder nur gelegentlich anderweitige Verarbeitungen.55 Nicht von der Haushaltsausnahme erfasst ist auch die Handlung im beruflichen/dienstlichen Kontext unter Überschreitung damit einhergehender Kompetenzen zu privaten Zwecken, etwa wenn ein Polizeibeamter eine KFZ-Halterabfrage durchführt, um die Kontaktdaten der Halterin zur privaten Verwendung zu bekommen.56

18

Die Ausnahme des Anwendungsbereichs gemäß Art. 2 Abs. 2 lit. c DSGVO ist nicht räumlich im Sinne des Schutzes der Wohnung oder des eigenen Grundstücks zu bestimmen,57 sondern nach dem sozialen Zweck und dem Kontext der konkreten Tätigkeit.58 ErwG 18 nennt beispielhaft das Führen von Schriftverkehr, Anschriftenverzeichnissen, die Nutzung sozialer Netzwerke und Online-Tätigkeiten und grenzt diese von Tätigkeiten mit Bezug zu beruflichen, geschäftlichen und wirtschaftlichen Tätigkeiten ab. Für Verarbeitungen im Zusammenhang mit sozialen Netzwerken ergibt sich aus ErwG 18 klarstellend, dass die DSGVO für deren Betreiber anwendbar bleibt.

19

Typischerweise dient eine Datenverarbeitung über die Beispiele in ErwG 18 hinaus familiären/persönlichen Zwecken, wenn sie im Rahmen einer nicht wirtschaftlichen Tätigkeit einer natürlichen Person vorgenommen wird. Dies sind z.B. Freizeit, Sport, privater Konsum, Liebhabereien, Privatreisen, Unterhaltung oder private Kommunikation. Soweit Familienforschung (Genealogie) betrieben wird, fällt dies jedenfalls nicht in den Anwendungsbereich der DSGVO, wenn in nicht gewerbsmäßigem Umfang über die eigene Familie geforscht wird.59 Gewerbliche Familienforschung, etwa durch Erbensucher, fällt aber natürlich in den Anwendungsbereich der DSGVO.60 Im Rahmen persönlicher/familiärer Zwecke verarbeitete Daten können etwa Anschriften, Webadressen, Telefonnummern, E-Mail-Adressen oder Geburtstage sein. Die Verwaltung eigenen Vermögens ist eine private Tätigkeit, solange sie aufgrund ihres Umfangs nicht als gewerblich zu qualifizieren ist.61 Das Anfertigen von Fotos, Videos oder Zeichnungen kann ebenfalls von der Haushaltsausnahme erfasst sein und somit aus dem Anwendungsbereich der DSGVO herausfallen.62 Im Widerspruch zur Bestimmung des Anwendungsbereichs der Haushaltsausnahme nach dem Zweck der Tätigkeit stehen Ansätze zur einschränkenden Anwendung der Haushaltsausnahme für Aktivitäten im Internet und in sozialen Medien (dazu Rn. 20ff.) und zur Foto- und Videoaufzeichnung außerhalb des eigenen Grundstücks (dazu Rn. 25f.). Diese Ansätze gehen auf EuGH-Rechtsprechung zurück und müssen – trotz begründeter inhaltlicher Kritik – wegen sonst damit verbundenen rechtlichen Herausforderungen in der Praxis berücksichtigt werden.

b) Einschränkung der Haushaltsausnahme für Internet und soziale Medien

20

Der EuGH schränkt die Haushaltsausnahme ein, wenn und soweit der persönlich/familiäre Bereich überschritten wird und personenbezogene Daten grundsätzlich unbeschränkt auf einer Webseite, in Printmedien oder sozialen Netzwerken veröffentlicht werden. Konkret entschieden hat der EuGH im Fall Lindqvist, dass die Haushaltsausnahmen keine Anwendung findet, wenn eine Katechetin personenbezogene Daten auf ihrer Webseite veröffentlicht, die mit der Webseite ihrer Kirchengemeinde verbundenen ist.63 Im Fall Satamedia hat der EuGH entschieden, dass die Veröffentlichung von Steuer- und Einkommensinformationen konkret benannter Personen aus öffentlich zugänglichen Quellen durch eine juristische Person in regionalen Printmedien nicht der Haushaltsausnahme unterfällt.64 Mit dem Urteil Buivids hat der EuGH entschieden, dass die Anwendbarkeit des Datenschutzrechts nicht durch die Haushaltsausnahme ausgeschlossen ist, wenn Handyvideos von polizeilichen Vernehmungen auf Online-Videoportalen (konkret: www.youtube.com) veröffentlicht werden.65 Gelegentlich wird auch das EuGH-Urteil im Fall Zeugen Jehovas dieser Rechtsprechung zugeordnet, auch wenn es hier nicht um einen Online-Kontext geht, sondern um die Anwendbarkeit des Datenschutzrechts und die Unanwendbarkeit der Haushaltsausnahme für Tätigkeiten einer Religionsgemeinschaft, konkret „Verkündungstätigkeiten von Tür zu Tür“.66

21

Die Rechtsprechung des EuGH bezieht sich auf die Wortgleiche Regelung der Haushaltsausnahme in der DSRl. Eine Fortsetzung dieser Rechtsprechung ist weder nach dem Wortlaut von Art. 2 Abs. 2 lit. c DSGVO zwingend, noch aus Gründen des Betroffenenschutzes erforderlich. Gegen unberechtigte Veröffentlichungen personenbezogener Daten durch Private sind Betroffene nämlich angemessen nach den Maßstäben des allgemeinen Zivil- und Strafrechts geschützt.67 Teilweise wurde daher bezweifelt, ob der EuGH mit Inkrafttreten der DSGVO noch an seiner Rechtsprechung festhalten würde.68 Spätestens mit dem EuGH-Urteil Buivids69 ist jedoch davon auszugehen, dass die Kriterien des EuGH zur Einschränkung der Haushaltsausnahme auch künftig angewendet werden. Diese Rechtsprechung des EuGH ist damit für die Rechtspraxis genauso verbindlich wie problematisch. Damit wird nämlich das gesamte Anforderungsregime der DSGVO für Private anwendbar. Vor dem Tweet von Fotos einer privaten Feier müsste danach wohl eine Information gemäß Art. 13 DSGVO erfolgen und für die Nutzung von Instagram – auch im privaten Kontext – müsste sich der Nutzer wohl Gedanken über den Abschluss einer Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 DSGVO oder die gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO und die Kontrolle der technisch-organisatorischen Maßnahmen machen.

22

Vor dem Hintergrund dieser Rechtsprechung des EuGH stellt sich die Frage, welche Sachverhalte öffentlicher medialer Kommunikation durch Private nicht mehr von der Haushaltsausnahme erfasst sind, sodass auf sie das Datenschutzrecht insgesamt Anwendung findet. Für den Betrieb von Webseiten und damit ggf. verbundene Veröffentlichungen personenbezogener Daten besteht wegen der klaren Entscheidung in dem EuGH-Urteil Lindqvist70 wenig Anlass zur Diskussion. Hier findet das Datenschutzrecht Anwendung. Relevant ist aber die Anwendung der Haushaltsausnahme auf andere Formen der Kommunikation im Internet, konkret in sozialen Medien wie Facebook, Instagram, Twitter oder YouTube. Dazu wird vertreten, die Veröffentlichung von personenbezogenen Daten in sozialen Netzwerken sei von der Haushaltsausnahme erfasst, wenn sie sozial beherrschbar sei, weil der Empfängerkreis definiert und begrenzt sei, etwa weil sich diese nur an „Freunde“ aus dem engeren sozialen Umfeld richte.71 Gegen diese Ansicht sprechen damit einhergehende Abgrenzungsschwierigkeiten, also konkret die Frage, wann ein Empfängerkreis nicht mehr definiert und begrenzt ist.

23

Andere wollen daher die Grundsätze des EuGH-Urteils Lindqvist72 revidieren und Veröffentlichungen in sozialen Medien grundsätzlich der Haushaltsausnahme unterstellen und damit vom Anwendungsbereich des Datenschutzrechts ausnehmen.73 Für diese Ansicht spricht die erkennbare Intention des europäischen Gesetzgebers, der die Haushaltsausnahme in Kenntnis der technischen Ausgestaltung des Internets und sozialer Netzwerke ausdrücklich auf Online-Tätigkeiten und Tätigkeiten in sozialen Netzwerken erstreckt hat.74 Deutlich wird das aus dem Vergleich mit dem Entwurf des Parlaments in dem noch eine vermittelnde Position angelegt war, indem die Haushaltsausnahme gelten sollte, wenn der Kreis der Empfänger voraussichtlich begrenzt ist. Diese Fassung wurde aber gerade nicht verabschiedet.75 Dieser Ansatz vermeidet auch problematische rechtliche Konsequenzen, die sich daraus ergeben, dass in der Konsequenz der Einschränkung der Haushaltsausnahme Anforderungen des Datenschutzrechts und der Datenschutz-Organisationspflichten systemwidrig in den persönlich/familiären Bereich erstreckt werden. Der Ansatz überzeugt also inhaltlich, kann vor dem Hintergrund des insoweit eindeutigen EuGH-Urteils Buivids,76 praktisch jedoch keinen Bestand haben. Danach sind Veröffentlichungen auf YouTube nämlich gerade nicht von der der Haushaltsausnahme erfasst und fallen in den Anwendungsbereich der DSGVO. Das ist insofern konsequent, als Veröffentlichungen auf YouTube und in anderen sozialen Netzwerken ähnlich wie Veröffentlichung auf einer Webseite im Fall Lindqvist77 unbeschränkt öffentlich zugänglich sein können.

24

Zweckmäßig und vor dem Hintergrund der praktischen Probleme der Erstreckung des Anwendungsbereichs der DSGVO in den Bereich privater Datenverarbeitung geboten ist daher eine klare und den Anwendungsbereich der Haushaltsausnahme möglichst erhaltende Anwendung von Art. 2 Abs. 2 lit c DSGVO für soziale Medien unter gleichzeitiger Berücksichtigung der EuGH-Urteile Lindqvist78 und Buivids.79 Für Veröffentlichungen in sozialen Netzwerken kann daher mit der Art.-29-Datenschutzgruppe zunächst festgehalten werden, dass die DSGVO natürlich auf Betreiber von sozialen Medien Anwendung findet und auf Nutzer, wenn diese soziale Medien zu gewerblichen Zwecken nutzen.80 Insofern ist einzig der objektiv erkennbare Zweck der Nutzung ausschlaggebend. Für die Nutzung zu privaten Zwecken gilt die Haushaltsausnahme, soweit objektiv erkennbar ein privater Zweck verfolgt wird, z.B. der Post eines Fotos von einer privaten Feier. Eine Rückausnahme ist nur dann zu machen, wenn der Empfängerkreis völlig unbegrenzt ist und über den Nutzerkreis des sozialen Netzwerks hinaus frei im Internet abrufbar ist.

c) Geografische Einschränkung der Haushaltsausnahme

25

Für die Verwendung von Videokameras durch Private zu nicht erwerbswirtschaftlichen Zwecken außerhalb der eigenen Wohnung bzw. des eigenen Grundstücks wird diskutiert, ob und wann hierbei die Haushaltsausnahme greift und die Anwendbarkeit des Datenschutzrechts ausschließt. Anwendungsfälle, in denen dieser Streit relevant wird, sind die Videoüberwachung über die Grenzen des eigenen Grundstücks hinaus in den öffentlichen Verkehrsraum, die Verwendung von Dashcams,81 also Kameras, die in Autos verbaut sind, um den Straßenverkehr aufzunehmen, die Verwendung von Kameradrohnen oder der Einsatz von Wildkameras.82 Der EuGH-Rechtsprechung zur Videoüberwachung folgend, die von einem privaten Grundstück aus auch den öffentlichen Verkehrsraum erfasste und für die der EuGH den Anwendungsbereich des europäischen Datenschutzrechts für eröffnet ansieht,83 wird vertreten, die Haushaltsausnahme sei nicht mehr einschlägig, sobald der öffentliche Raum betroffen sei,84 also faktisch die Grenzen des eigenen Grundstücks überschritten werde.85 Dies führt für private Videoüberwachung, den Einsatz von Kameradrohnen, Dashcams und Wildkameras zur Anwendbarkeit der DSGVO, wenn diese außerhalb der eigenen Wohnung bzw. des eigenen Grundstücks erfolgt und läuft auf eine nicht in Art. 2 Abs. 2 lit. c DSGVO vorgesehene geografische Bestimmung des persönlichen/familiären Bereichs hinaus. In der Konsequenz kann das nur bedeuten, dass auch private Foto- und Filmaufnahmen in der Öffentlichkeit, einschließlich des „privaten Schnappschusses“ von der Haushaltsausnahme ausgenommen werden. Für die Praxis ist diese EuGH-Rechtsprechung ähnlich wie die Rechtsprechung zur Einschränkung der Haushaltsausnahme im Internet und in sozialen Medien verbindlich und problematisch zugleich.

26

Dass Privatpersonen als Verantwortliche etwa die umfassenden Pflichten aus Art. 12ff. DSGVO erfüllen müssten, erscheint bizarr. Der Ansatz einer geografischen Bestimmung des persönlichen/familiären Raums im Sinn des Art. 2 Abs. 2 lit. c DSGVO überzeugt daher nicht. Die Reichweite der Houshold Exemption sollte nicht geografisch bestimmt werden,86 sondern danach, ob sich für einen objektiven verständigen Dritten anhand des subjektiven Handlungszwecks die Datenverarbeitung als ausschließlich zu persönlichen/familiären Zwecken darstellt.87 Der Betroffenheit des öffentlichen Raums kann dabei Indizwirkung zukommen, die gegen den persönlichen/familiären Zweck spricht, sie kann aber nicht zu einem pauschalen Ausschluss der Haushaltsausnahme und damit der zwingenden Anwendbarkeit der DSGVO führen.88 Dieses Verständnis ergibt sich bei näherer Betrachtung schon aus der Entstehungsgeschichte der Haushaltsausnahme, welche insb. auf Art. 7 und Art. 8 GRCh sowie Art. 8 EMRK zurückgeht.89 Innerhalb von Art. 7 GRCh sowie Art. 8 EMRK ist anerkannt, dass sich die „Privatsphäre“, da wo vernünftigerweise der Schutz der Privatheit erwartet werden kann,90 auch in den öffentlichen Raum erstrecken kann.91 Selbst wenn der persönliche/familiäre Bereich geografisch zu bestimmen wäre, endet er jedenfalls nicht an der Grundstücksgrenze.92 Das Verlassen des eigenen Grundstücks mit einem Gerät zur Erhebung personenbezogener Daten allgemein und Kameras im speziellen oder die Erhebung personenbezogener Daten außerhalb der Grenzen des eigenen Grundstücks kann daher allenfalls Indizwirkung haben, die gegen das Vorliegen der Haushaltsausnahme und für die Anwendbarkeit der DSGVO spricht.

4. Strafrecht und Gefahrenabwehr (Abs. 2 lit. d)

27

Die Verarbeitung personenbezogener Daten zum Zweck der Prävention und Aufklärung von Straftaten, zur Strafvollstreckung sowie zur Gefahrenabwehr (repressive und präventive Tätigkeiten) durch dafür zuständige Behörden fallen nicht in den Anwendungsbereich der DSGVO. Hierfür gelten insbesondere die parallel zur DSGVO verabschiedete Richtlinie 2016/68093 sowie die Richtlinie 2016/68194 bzw. deren Umsetzung im Recht der Mitgliedstaaten. Von der Ausnahme in Art. 2 Abs. 2 lit. d DSGVO werden auch Ordnungswidrigkeiten erfasst. Die Ansicht, nach der „reine Ordnungswidrigkeiten“ nicht erfasst würden,95 überzeugt nicht. Zum einen sind die Grenzen zwischen Straftaten und Ordnungswidrigkeiten insbesondere im bereichsspezifischen besonderen Strafrecht oft fließend und regelmäßig im Ermittlungsverfahren nicht zuverlässig zu ziehen. Zudem ist der Begriff Straftat ein unionsautonom und nicht nach Definition im mitgliedstaatlichen Recht auszulegender Rechtsbegriff.96 Der Rückgriff auf die Differenzierung zwischen Straftaten und Ordnungswidrigkeiten im deutschen Recht oder dem Recht anderer Mitgliedstaaten läuft daher dem mit der DSGVO verfolgten Zweck der Vereinheitlichung des Datenschutzrechts diametral entgegen und entspricht nicht der Regelungsintention des europäischen Gesetzgebers. Art. 2 Abs. 2 lit. d DSGVO schließt auch die Datenverarbeitung zur Strafvollstreckung und zur Gefahrenabwehr vom Anwendungsbereich der DSGVO aus. Beide Begriffe sind unionsrechtlich autonom auszulegen.97 Der Begriff der Strafverfolgung erfasst sowohl die Strafvollstreckung im engeren Sinne (§§ 449ff. StPO) als auch den Strafvollzug in einem weiteren Verständnis.98 Der Begriff der Gefahrenabwehr umfasst – vergleichbar dem Begriff der öffentlichen Sicherheit im deutschen Recht – den Schutz vor Straftaten und den Schutz von bedeutenden Rechtsgütern.99

28

Zuständige Behörde im Sinn der Norm ist gemäß Art. 3 Abs. 7 Richtlinie 2016/680 die Stelle, der die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten, die Strafvollstreckung und die Abwehr von Gefahren für die öffentliche Sicherheit übertragen ist. Dies sind insbesondere die Polizeibehörden des Bundes und der Länder sowie Strafverfolgungs- und -vollstreckungsbehörden. Soweit Behörden andere Zwecke als Prävention, Strafermittlung, Strafvollstreckung oder Gefahrenabwehr verfolgen, richtet sich die Zulässigkeit damit verbundener Verarbeitung personenbezogener Daten nach der DSGVO.100 Ebenfalls nicht von der Ausnahme erfasst werden Tätigkeiten von Behörden zu Zwecken gemäß Art. 2 Abs. 2 lit. d DSGVO unter offenkundiger Verletzung von Zuständigkeitsregelungen.101 Das ist etwa der Fall, wenn ein Polizeibeamter unter offensichtlicher Überschreitung seiner Kompetenzen eine KFZ-Halterabfrage durchführt, um die Kontaktdaten der Halterin aus privaten Motiven zu erhalten.102 Die Verarbeitung personenbezogener Daten durch Gerichte und Justizbehörden im Rahmen ihrer judikativen Funktionen fällt in den Anwendungsbereich der DSGVO und wird nicht von der Ausnahme gemäß Art. 2 Abs. 2 lit. d DSGVO erfasst.103 Gemäß Art. 55 Abs. 3 DSGVO ist die Kontrolle der Datenverarbeitung durch Gerichte und Justizbehörden im Bereich justizielle Tätigkeit von der Zuständigkeit der Aufsichtsbehörden ausgenommen (siehe Art. 55 Rn. 10ff.). Die Mitgliedstaaten können jedoch speziellere Regelungen zur Datenverarbeitung durch die Justiz erlassen, die soweit die Anwendung der DSGVO ausschließen (zur Datenschutzaufsicht über Justizbehörden siehe Art. 55 Rn. 10).104