Thread by @winfriedveil

1/x Thread zur totalen Drittwirkung des Grundrechts auf #Datenschutz:

U.a. @AlexAmtmann u @PhilippQuiel diskutieren, ob die #EU überhaupt die Gesetzgebungskompetenz für den Erlass der #DSGVO hat. Ein Nebenkriegsschauplatz ist die Frage, ob inwieweit Art. 8 #Grundrechtecharta ...

2/x
... mittelbare Drittwirkung zwischen Privaten entfalten kann/darf, obwohl Art. 51 I 1 GRCh ja ausdrücklich nur für das Handeln der EU-Organe u das der Mitgliedstaaten gilt.

Meine These lautet: die DSGVO führt faktisch zu einer totalen Drittwirkung des Datenschutzgrundrechts

3/x
Sobald der Bürger pbD verarbeitet, treffen ihn aufgrund der #DSGVO Pflichten, die sonst nur der Gesetzgeber hat. Diese Pflichten könnte man staatsähnliche Pflichten nennen.

Vergleichen wir die Pflichten des Gesetzgebers mit denen des privaten Datenverarbeiters:

4/x
Will der Gesetzgeber Behörden dazu ermächtigen, pbD zu verarbeiten, zwingt ihn der #Gesetzesvorbehalt zum Erlass eines Gesetzes.

Will der Bürger pbD verarbeiten, zwingt ihn das Verbotsprinzip der #DSGVO dazu, sich eine Rechtsgrundlage in der DSGVO zu suchen.

5/x
Die gesetzliche Rechtsgrundlage, die Behörden zur DV ermächtigt, muss zahlreiche formelle u materielle Rechtmäßigkeitsvoraussetzungen erfüllen.

Auch der Bürger muss vor und während der DV zahlreiche weitere formelle und materielle Rechtmäßigkeitsvoraussetzungen erfüllen.

6/x
Nach der Rechtsprechung des BVerfG muss der Gesetzgeber bei jeder staatlichen DV die Zwecke der Datenverarbeitung im Gesetz genau festlegen.

Auch der Bürger muss bei jeder DV seine Verarbeitungszwecke genau festlegen und diese auch dokumentieren (Art. 30 I b #DSGVO).

7/x
Das #Verhältnismäßigkeitsprinzip zwingt den Gesetzgeber ein legitimes Ziel mit geeigneten, erforderlichen und angemessenen Maßnahmen zu verfolgen.

Dasselbe gilt für den Bürger: Personenbezogene Daten
... müssen für legitime Zwecke erhoben werden (Art. 5 I b #DSGVO)

8/x
… dürfen nur verarbeitet werden, wenn der Verarbeitungszweck nicht in zumutbarer Weise durch andere Mittel erreicht werden kann (EG 39 S. 9)
… müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (5 I c)

9/x
Der Bürger, der pbD verarbeiten will, unterliegt somit vor/bei der Verarbeitung ebenso dem #Verhältnismäßigkeitsprinzip wie d Gesetzgeber, der staatliche Datenverarbeitungen erlauben will (und zwar ebenfalls mit d Prüfschritten Geeignetheit, Erforderlichkeit, Angemessenheit).

10/x
Der Gesetzgeber muss nach der Rspr des #BVerfG einen Ausgleich zwischen der Schwere der Eingriffe in die jeweils betroffenen #Grundrechte und seiner Pflicht zum Schutz der Grundrechte schaffen.

Der Bürger muss bei der Interessenabwägung des 6 I f #DSGVO herausfinden, ...

11/x
... ob nicht Interessen, Grundrechte oder Grundfreiheiten des Betroffenen überwiegen und ob die Verarbeitung zur Wahrung seiner Interessen oder der Interessen Dritter erforderlich ist. Er muss also wie der Staat eine Abwägung von Interessen (und Grundrechten?) vornehmen.

12/x
Der Bürger muss jedoch nicht nur - wie der Gesetzgeber - abwägen, er muss auch - wie der Gesetzgeber - aktiv einen Ausgleich der betroffen Interessen/Rechte herstellen. Denn Art. 24 I #DSGVO verpflichtet ihn zur Vornahme technischer und organisatorischer Maßnahmen.

13/x
Während der Gesetzgeber die Schwere der Eingriffe in die Grundrechte prüfen und ausgleichen muss, muss der Bürger die Risiken für die Rechte und Freiheiten natürlicher Personen prüfen und ausgleichen.

14/x
Staatliche Befugnisse zur DV sind am Grundsatz der #Normenklarheit zu messen.

DV des Bürgers müssen nachvollziehbar und transparent sein (Art. 5 I a #DSGVO; EG 39 S. 2). Information muss präzise, transparent, verständlich, leicht zugänglich und in klarer und einfacher ...

15/x
Sprache erfolgen (7 II, 12 I). Der Bürger muss seine berechtigten Interessen benennen (13 I d, 14 II b). Es gibt sogar ein #Zitiergebot: Bürger muss seine Rechtsgrundlage benennen (13 I c, 14 I c) - wie d Gesetzgeber, der d GG-Norm benennen muss, in die ein Gesetz eingreift.

16/x
Nach dem Grundsatz der #Normenklarheit muss der Gesetzgeber jeden Verarbeitungsschritt und jede Zweckänderung gesetzlich genau festlegen.

Der Bürger muss den Betroffenen über jeden Zweck (Art. 13 I c, 14 I c) und über jede Weiterverarbeitung informieren (13 IV, 14 V).

17/x
Der verfassungsrechtliche Grundsatz der #Normenklarheit dient der Vorhersehbarkeit von Eingriffen.

Die Art. 29-#Datenschutz-Gruppe sagt: "If a purpose is sufficiently clear, individuals will know what to expect. Transparency ensures predictability." (WP 203).

18/x
Der verfassungsrechtliche Grundsatz der #Normenklarheit dient der Ermöglichung einer effektiven Kontrolle durch die Gerichte.

Die #DSGVO sagt: Natürliche Personen müssen informiert werden, wie sie ihre Rechte geltend machen können (EG 39 S. 5).

19/x
Der vom Gesetzgeber zu beachtende Grundsatz d #Normenklarheit entspricht somit dem vom Bürger bei jeder DV zu beachtenden Grundsatz d #Transparenz. Mir scheinen die Transparenzanforderungen an d Bürger sogar strenger zu sein als die Klarheitsanforderungen an den Gesetzgeber

20/x
Der Gesetzgeber muss nach der Rspr des BVerfG den Grundsatz der #Normenbestimmtheit beachten, wenn er staatliche DV-Befugnisse regelt.

Der Bürger darf pbD nur festgelegte, eindeutige Zwecke verarbeiten (Art. 5 I b #DSGVO).

21/x
#Normenbestimmtheit verlangt vom Gesetzgeber, Verwendungszwecke präzise nach Anlass, Zweck, Umfang zu umgrenzen.

DSGVO verlangt vom Bürger, dass die bestimmten Zwecke, zu denen pbD verarbeitet werden, eindeutig sind u zum Zeitpunkt d Erhebung feststehen müssen (EG 39 S. 6).

22/x
#BVerfG: Je tiefer staatl Überwachungsmaßnahmen in das Privatleben hineinreichen, desto strenger sind die Anforderungen.

#DSGVO: Der Verantwortliche setzt unter Berücksichtigung der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete TOM um (24 I).

23/x
Der vom Gesetzgeber für staatliche Überwachungsmaßnahmen zu beachtende Grundsatz d #Normenbestimmtheit findet in d #DSGVO seine Entsprechung: Der Bürger muss - wie der Gesetzgeber - bei #Zweckbindung und bei #accountability-Maßnahmen das Bestimmtheitserfordernis erfüllen.

24/x FAZIT

Der Bürger muss vor und bei der Verarbeitung personenbezogener Daten aufgrund der #DSGVO dieselben oder ähnliche Anforderungen erfüllen wie der Gesetzgeber beim Erlass von staatlichen Überwachungsmaßnahmen.

Das kann nicht richtig sein!

25/x

Ob und inwieweit das #Datenschutzgrundrecht in Art. 8 GRCh #Drittwirkung zwischen Privaten entfaltet, ist zwar umstritten.

Faktisch bewirkt die #DSGVO aber bereits eine totale Drittwirkung:

Der #Datenschutz nimmt jeden einzelnen in die Pflicht, als wäre er der Staat.