Home
Intern
veröffentlicht am 9. Januar 2018
Während auf den ersten Blick die Vermutung naheliegt, dass die Unternehmen der öffentlichen Hand von der Bußgeldandrohung ausgenommen sind, trügt diese Annahme bei näherer Betrachtung. Im Ergebnis unterscheidet die Bußgeldandrohung nicht zwischen Unternehmen der Privatwirtschaft und Unternehmen der öffentlichen Hand. Vielmehr muss danach gefragt werden, ob die jeweilige öffentliche Stelle als Unternehmen am Wettbewerb teilnimmt.
Ab 25. Mai 2018 gelten die Datenschutzgrundverordnung (DSGVO) und das Bundesdatenschutzgesetz neu (BDSG-neu). Auch müssten zu diesem Zeitpunkt alle Bundesländer ihre Landesdatenschutzrechtgesetze (LDSG) datenschutzkonform aktualisiert haben. Bis zum Stichtag des 25. Mai 2018 muss außerdem jedes Unternehmen die vorstehenden datenschutzrechtlichen Bestimmungen umgesetzt haben. Im Falle eines datenschutzrechtlichen Verstoßes drohen empfindliche Bußgelder von bis zu 20.000.000 Euro oder im Fall eines Unternehmens von bis zu 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Diese Bußgelder haben vor allem einen Sanktionscharakter und sollen die strikte Einhaltung der datenschutzrechtlichen Bestimmungen gewährleisten. Vor dieser Herausforderung stehen auch die Unternehmen der öffentlichen Hand, oder doch nicht?
In erster Linie ist ein Unternehmen nach dem Verständnis in der Gemeindeordnung jeder aus der Verwaltung ausgegliederte Bereich, den die Gemeinde als Eigenbetrieb, Kommunalunternehmen oder in den Rechtsformen des Privatrechts betreibt (formaler Unternehmensbegriff). Die Unternehmen der öffentlichen Hand erfüllen einen öffentlichen Zweck der Kommune und verfolgen das Wirtschaftlichkeitsprinzip. Sie wirtschaften mit öffentlichen Mitteln und unterliegen daher einer besonderen Verantwortung, dabei müssen besondere Regelungen der Rechnungslegung und Kontrolle beachtet werden.
Solche Unternehmen finden sich in vielen Branchen wieder, so etwa in der Wirtschaftsförderung und im Wohnungsbau, im öffentlichen Personenverkehr, im Bereich der Pflegeheime, Kliniken sowie Sparkassen und Stadtwerke zur allgemeinen Daseinsvorsorge. Dabei unterliegen sie strengeren rechtlichen Maßstäben als Unternehmen der Privatwirtschaft. Bei den Unternehmen der öffentlichen Hand handelt es sich nämlich um Unternehmen der jeweiligen Kommune, dabei ist vor allem kennzeichnend, dass durch die Gründung kommunaler Unternehmen bestimmte Sachziele in unternehmerischer Form verbunden mit den klassischen Zielen der unternehmerischen Betätigung, wie Gewinnerzielung, Liquiditäts- und Wachstumsvorsorge verfolgt werden.
Wenn sie sich also an verschärfte Regeln halten und sich zum Teil der öffentlich-rechtlichen Bestimmungen unterwerfen müssen, liegt die Annahme nicht fern, dass die Unternehmen der öffentlichen Hand den öffentlichen Stellen unterfallen und somit gegebenfalls von den Bußgeldandrohungen nicht erfasst werden.
Der erste Blick ins Gesetz schafft nur wenig Klarheit und trägt wenig zum Verständnis bei: Die DSGVO lässt zunächst offen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen Geldbußen verhängt werden können. Vielmehr schafft die Öffnungsklausel des Art. 83 Abs. 7 DSGVO den nationalen Gesetzgebern die Möglichkeit zu regeln, ob und in welchem Umfang gegen Behörden und öffentliche Stellen Geldbußen verhängt werden können.
Der deutsche Gesetzgeber hat von dieser sogenannten Öffnungsklausel Gebrauch gemacht und im § 43 Abs. 3 BDSG-neu bestimmt, dass gegen Behörden und sonstige öffentliche Stellen im Sinne des § 2 Abs. 1 BDSG-neu keine Geldbußen verhängt werden. Soweit so gut. Aber in welchen Fällen ist das BDSG-neu denn überhaupt auf die öffentlichen Auftraggeber anwendbar? Hier lohnt sich doch noch ein genauer Blick ins Gesetz. Demnach ist das BDSG-neu bei Bundesbehörden ohne Weiteres anwendbar. Bei Landesbehörden findet das BDSG-neu nur dann Anwendung, soweit der Datenschutz durch das Landesgesetz nicht geregelt ist und soweit die Landesbehörden Bundesrecht ausführen oder als Organe der Rechtspflege tätig werden und es sich nicht um Verwaltungsangelegenheiten handelt.
In der Konsequenz unterliegen also die Landesbehörden größtenteils den Bestimmungen des jeweiligen Landesdatenschutzgesetzes, sodass das Augenmerk auch auf das jeweilige Landesdatenschutzgesetz gelegt werden muss. Zurzeit arbeiten die Bundesländer fieberhaft an der Aktualisierung und Anpassung der eigenen Landesdatenschutzgesetze. Die Bayerische Staatsregierung ist vorangegangen und hat bereits am 4. Oktober 2017 einen Gesetzentwurf zur Neufassung des Bayerischen Datenschutzgesetzes (BayDSG-E) beschlossen. Dabei gilt das BayDSG-E, wie auch schon das bisherige Bayerische Datenschutzgesetz, für alle Behörden und sonstige öffentliche Stellen des Freistaates Bayern, der Gemeinden, Gemeindeverbände und der sonstigen der Aufsicht des Freistaates Bayern unterstehenden juristischen Personen des öffentlichen Rechts.
Weiter übernimmt das BayDSG-E die Regelung des bisherigen BayDSG und bestimmt, dass soweit öffentliche Stellen als Unternehmen am Wettbewerb teilnehmen, für diese die Vorschriften für nicht öffentliche Stellen gelten. Nehmen also die jeweiligen Unternehmen der öffentlichen Hand am Wettbewerb teil, werden diese als nicht öffentliche Stellen behandelt. Weiter wiederholt und verdeutlicht Art. 22 BayDSG-E ebenfalls, dass Geldbußen gegen bayerische öffentliche Stellen nur verhängt werden, soweit diese als Unternehmen am Wettbewerb teilnehmen. Hier muss also eine Einzelbetrachtung der jeweiligen Unternehmen stattfinden. In der Regel nehmen aber die Unternehmen der öffentlichen Stellen am Wettbewerb teil, deshalb dürfen die datenschutzrechtlichen Bestimmungen nicht unterschätzt werden.
Dass die Unternehmen der öffentlichen Hand von der Bußgeldandrohung nicht ausgenommen werden, deckt sich außerdem auch mit dem europarechtlichen Unternehmensbegriff: Nach dem Erwägungsgrund 150 zur DSGVO werden als mögliche Adressaten der vorgenannten Geldbußen „Unternehmen” und „Personen, bei denen es sich nicht um Unternehmen handelt” genannt. Dabei versteht der Erwägungsgrund darunter den Unternehmensbegriff des Art. 101 und 102 AEUV. Hiernach wird unter dem Unternehmensbegriff in ständiger Rechtsprechung des EUGH „jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung” verstanden.
Vor diesem Hintergrund ist auch anzunehmen, dass andere Landesregierungen ebenfalls die Unternehmen der öffentlichen Hand nicht von der Bußgeldandrohung ausnehmen werden. Daher dürfen sich diese nicht zurücklehnen und sich als eine öffentliche Stelle ohne jegliche Bußgeldandrohung betrachten. Vielmehr müssen die Unternehmen dringend geeignete Maßnahmen ergreifen, um den datenschutzrechtlichen Anforderungen pünktlich zum 25. Mai 2018 zu entsprechen. Hierzu müssen zum einen Sensibilisierung und Bewusstsein für den Umgang mit personenbezogenen Daten bei den Mitarbeitern sichergestellt werden und zum anderen die unternehmerischen Prozesse betrachtet, überdacht und/oder geschaffen werden. Denn mithilfe eines vernünftigen Datenmanagements lässt sich die Datenschutzgrundverordnung gut in den Griff bekommen.
Unsere Experten für IT- und Datenschutzrecht helfen Ihnen gerne dabei.
