In Teil V der Blogserie wird dargelegt, was f\u00fcr eine seltsam privilegierte Sonderrolle den Datenschutzaufsichtsbeh\u00f6rden innerhalb der Staatsorganisation zugestanden wird.<\/p>\n
Datenschutzaufsichtsbeh\u00f6rden sind f\u00fcr die \u00dcberwachung der Anwendung der DSGVO zust\u00e4ndig. Es sind staatliche Beh\u00f6rden, die mit Zwangsgewalt ausgestattet sind und die dem B\u00fcrger im \u00dcber-Unter-Ordnungsverh\u00e4ltnis gegen\u00fcbertreten. Als Folge der Weite des Begriffs der „Personenbezogenheit“ von Daten sind sie letztlich zust\u00e4ndig f\u00fcr die \u00dcberwachung der gesamten Informationsgesellschaft. Die ihnen \u00fcbertragene rechtliche Machtf\u00fclle ist beachtlich. Umso erstaunlicher ist es, dass dies von kaum jemandem analysiert und erst recht nicht kritisiert wird (Ausnahme z.B. Stentzel<\/em>, \u00a0Der datenschutzrechtliche Pr\u00e4ventionsstaat<\/a>).<\/p>\n Die Datenschutzaufsichtsbeh\u00f6rden haben die Befugnis, den Verantwortlichen und den Auftragsverarbeiter zu warnen, zu verwarnen und Geldbu\u00dfen zu verh\u00e4ngen (Art. 58 Abs. 2 lit. a, b und i DSGVO<\/a>). Die maximal m\u00f6gliche Bu\u00dfgeldh\u00f6he betr\u00e4gt\u00a020 Mio. \u20ac oder im Fall eines Unternehmens bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes. Dieser absurd hohe Bu\u00dfgeldrahmen ist im Vergleich zum sonstigen Ordnungswidrigkeitenrecht beispiellos:<\/p>\n Angesichts der Tatsache, dass es bei den genannten Ordnungswidrigkeiten durchaus auch um den Schutz gewichtiger Rechtsg\u00fcter (wie z.B. Leib und Leben) geht, ist das Missverh\u00e4ltnis zur DSGVO bemerkenswert. Selbst die h\u00f6chstm\u00f6gliche Einzelgeldstrafe im Strafrecht f\u00e4llt mit 10,8 Mio. \u20ac (vgl. \u00a7 40 I und II StGB<\/a>: h\u00f6chstens 360 volle Tagess\u00e4tzes und h\u00f6chstens 30.000 \u20ac pro Tagessatz) deutlich geringer aus als das h\u00f6chstm\u00f6gliche Bu\u00dfgeld der DSGVO.<\/p>\n Ein beh\u00f6rdlicher Zugriff auf personenbezogene Daten unterliegt im Rechtsstaat normalerweise strengen Voraussetzungen:<\/p>\n All diese Begrenzungen, die ansonsten f\u00fcr rechtsstaatlich geboten gehalten werden, gelten f\u00fcr den Datenzugriff der Datenschutzaufsichtsbeh\u00f6rden nicht. Art. 58 I a und e DSGVO<\/a>\u00a0gibt den Datenschutzaufsichtsbeh\u00f6rden ohne weitere Konkretisierung die Befugnis, vom\u00a0Verantwortlichen „alle Informationen“ und „alle personenbezogenen Daten“ bereitgestellt zu bekommen, die f\u00fcr die Erf\u00fcllung ihrer Aufgaben erforderlich sind.<\/p>\n Eine solch weitreichende Generalklausel d\u00fcrfte f\u00fcr keine andere staatliche Beh\u00f6rde gelten. Selbst der\u00a0im deutschen Recht f\u00fcr unabdingbar gehaltene Grundsatz, dass nicht von der Aufgabe auf die Befugnis geschlossen werden darf, wird f\u00fcr die Datenschutzaufsichtsbeh\u00f6rden aufgehoben. Sie d\u00fcrfen alles, was f\u00fcr die Erf\u00fcllung ihrer Aufgaben erforderlich ist.<\/p>\n Beh\u00f6rdliche Betretungsrechte unterliegen normalerweise strengen rechtsstaatlichen Voraussetzungen:<\/p>\n Keine einzige dieser Beschr\u00e4nkungen gilt f\u00fcr die Datenschutzaufsichtsbeh\u00f6rden. Diese haben schlicht die Befugnis, „Zugang zu den Gesch\u00e4ftsr\u00e4umen, einschlie\u00dflich aller Datenverarbeitungsanlagen und -ger\u00e4te, des Verantwortlichen und des Auftragsverarbeiters zu erhalten“ (Art. 58 I f DSGVO<\/a>). Nach der datenschutzrecchtlichen Kommentarliteratur d\u00fcrfen aufgrund dieser Norm auch Wohnungen betreten werden. Unangek\u00fcndigten Pr\u00fcfungen seien m\u00f6glich. Anhaltspunkte f\u00fcr einen Versto\u00df gegen die DSGVO m\u00fcssten nicht gegeben sein. Und Beschr\u00e4nkungen auf die \u00fcblichen Gesch\u00e4ftszeiten gebe es auch nicht. Einschr\u00e4nkungen ergeben sich aufgrund von \u00a7 29 III BDSG lediglich f\u00fcr Gruppen von Berufsgeheimnistr\u00e4gern. Doch selbst das wird von vielen Beh\u00f6rdenvertretern kritisiert.<\/p>\n Die Datenschutzaufsichtsbeh\u00f6rden haben die Befugnis, jederzeit Verarbeitungsbeschr\u00e4nkungen oder Verarbeitungsverbote auszusprechen (Art. 58 II f DSGVO<\/a>). Da so gut wie jedes Unternehmen auf die Verarbeitung personenbezogener Daten angewiesen ist, k\u00f6nnen die Datenschutzaufsichtsbeh\u00f6rden somit jeden Betrieb vor\u00fcbergehend oder endg\u00fcltig schlie\u00dfen. N\u00e4here Voraussetzungen, unter welchen Voraussetzungen die Aufsichtsbeh\u00f6rden solche Verbote aussprechen k\u00f6nnen, enth\u00e4lt die DSGVO nicht.<\/p>\n „Alle Staatsgewalt geht vom Volke aus“ (Art. 20 II 1 GG): Es ist ein Gebot demokratischer Legitimation, dass sich das Handeln von Verwaltungsbeh\u00f6rden mittelbar auf den Volkswillen zur\u00fcckf\u00fchren lassen muss. Das bedeutet, dass eine ununterbrochene Legitimationskette vom Volk \u00fcber das Parlament zur Regierung und von dieser bis zum letzten Amtswalter f\u00fchren muss. Die Mittel zur Herstellung demokratischer Legitimation sind die Rechtsaufsicht und die Fachaufsicht. Jeder Amtswalter ist deshalb der Weisungsgewalt eines gew\u00e4hlten Repr\u00e4sentanten des Volkes unterworfen. Der Repr\u00e4sentant selbst kann abgew\u00e4hlt, der Beh\u00f6rdenleiter entlassen werden (demokratische Verantwortlichkeit).<\/p>\n F\u00fcr die Datenschutzaufsichtsbeh\u00f6rden gilt dieses Gebot demokratischer Legitimation ihres Handelns nicht. Sie sind – wie vom EuGH gefordert<\/a> – „v\u00f6llig unabh\u00e4ngig“ (kritisch dazu Bull<\/em>, Die „v\u00f6llig unabh\u00e4ngige“ Aufsichtsbeh\u00f6rde<\/a>); Wolff<\/em>, Die \u00fcberforderte Aufsichtsbeh\u00f6rde<\/a>). Das hei\u00dft, sie sind aus der \u00fcbrigen Verwaltungsorganisation ausgegliedert. Das ist bei Beh\u00f6rden selten. Es trifft z.B. f\u00fcr die Bundesbank, die Europ\u00e4ische Zentralbank oder die Rechnungsh\u00f6fe zu. Diese haben aber eng umgrenzte Aufgabenbereiche wie die Sicherstellung von Preisstabilit\u00e4t oder Finanzkontrolle. Auf eine Beh\u00f6rde, die alle Rechte und Freiheiten nat\u00fcrlicher Personen sch\u00fctzen soll, trifft dieser Rechtfertigungsgrund f\u00fcr die Unabh\u00e4ngigkeit einer Beh\u00f6rde nicht mehr zu.<\/p>\n Die institutionelle Legitimation ist zwar durch die gesetzliche Errichtung der Aufsichtsbeh\u00f6rden noch gegeben. Und die personelle Legitimation wird durch Parlamentswahl des Leiters der Aufsichtsbeh\u00f6rde halbwegs sichergestellt. Eine Entlassung ist aber nicht m\u00f6glich. Vor allem aber findet eine sachlich-inhaltliche Legitimation nicht statt, weil die konkrete Aus\u00fcbung der Staatsgewalt ihrem Inhalt nach keiner Aufsicht der gew\u00e4hlten Regierung unterliegt. Dies lie\u00dfe sich vielleicht noch durch eine strenge Bindung an ein inhaltlich bestimmtes Gesetz ohne eigene Gestaltungsspielr\u00e4ume wettmachen. Die DSGVO gl\u00e4nzt aber nicht gerade durch Bestimmtheit ihrer Regelungen und strikt gebundene Rechtsanwendung.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n So unterliegen die Datenschutzaufsichtsbeh\u00f6rden als „gute“ Beh\u00f6rden nicht den f\u00fcr andere Beh\u00f6rden selbstverst\u00e4ndlichen rechtsstaatlichen Machtbegrenzungen. Und sie sind nicht demokratisch verantwortlich. Dies ist gef\u00e4hrlich, wie dieser Fall aus Rum\u00e4nien<\/a> zeigt. Es ist kein triftiger Grund ersichtlich, warum die Datenschutzaufsicht anders behandelt werden sollte als etwa die Atomaufsicht, die Lebensmittelkontrolle, der Seuchenschutz, der Immissionsschutz, die Eisenbahnaufsicht, die Jugendhilfe, die Heimaufsicht oder \u00e4hnliche \u00dcberwachungsinstanzen. Auch diese sind laufender demokratisch legitimierter Kontrolle unterworfen und nicht nur der (nachgelagerten) \u00dcberpr\u00fcfung durch Gerichte in konkreten Streitf\u00e4llen.<\/p>\n Die Eingriffsbefugnisse der Datenschutzaufsichtsbeh\u00f6rden sind beispiellos. Die H\u00f6he der Bu\u00dfgelder, die von ihnen verh\u00e4ngt werden k\u00f6nnen, ist im Vergleich zum \u00fcbrigen Ordnungswidrigkeitenrecht v\u00f6llig unverh\u00e4ltnism\u00e4\u00dfig und \u00fcbertrifft sogar die h\u00f6chstm\u00f6glichen Geldstrafen des Strafrechts. Die Aufsichtsbeh\u00f6rden haben Zugriff auf „alle“ Informationen und personenbezogenen Daten, die sie f\u00fcr ihre Aufgabenerf\u00fcllung brauchen. Sie haben Zugang zu allen R\u00e4umlichkeiten und Datenverarbeitungsanlagen des Datenverarbeiters. Und sie k\u00f6nnen Betriebe faktisch schlie\u00dfen, indem sie ihre Datenverarbeitung verbieten.<\/p>\n All diese beh\u00f6rdlichen Eingriffsbefugnisse werden gesetzlich nicht – wie bei anderen Ordnungsbeh\u00f6rden \u00fcblich – eingeschr\u00e4nkt, konkretisiert und spezifiziert.<\/p>\n Als w\u00e4re dies nicht schon rechtsstaatlich bedenklich genug, sind die Datenschutzaufsichtsbeh\u00f6rden dar\u00fcber hinaus auch noch „vollkommen unabh\u00e4ngig“. Sie unterliegen somit weder der Fachaufsicht noch der Rechtsaufsicht. In der Umsetzung des Datenschutzrechts sind sie daher weitestgehende frei. Mangels demokratischer Verantwortlichkeit ist die demokratische Legitimation des Handelns der Datenschutzaufsichtsbeh\u00f6rden h\u00f6chst zweifelhaft.<\/p>\n In Teil V der Blogserie wird dargelegt, was f\u00fcr eine seltsam privilegierte Sonderrolle den Datenschutzaufsichtsbeh\u00f6rden innerhalb der Staatsorganisation zugestanden wird. Datenschutzaufsichtsbeh\u00f6rden sind f\u00fcr die \u00dcberwachung der Anwendung der DSGVO zust\u00e4ndig. Es sind staatliche Beh\u00f6rden, die mit Zwangsgewalt ausgestattet sind und die dem B\u00fcrger im \u00dcber-Unter-Ordnungsverh\u00e4ltnis gegen\u00fcbertreten. Als Folge der Weite des Begriffs der „Personenbezogenheit“ von […]<\/p>\n","protected":false},"author":1949,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1],"tags":[],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4521"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/1949"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=4521"}],"version-history":[{"count":13,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4521\/revisions"}],"predecessor-version":[{"id":4919,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4521\/revisions\/4919"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=4521"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=4521"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=4521"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}I. Warnen, verwarnen und Geldbu\u00dfen verh\u00e4ngen<\/strong><\/h3>\n
\n
II. Zugang zu allen personenbezogenen Daten und Informationen<\/strong><\/h3>\n
\n
III. Zugang zu allen R\u00e4umlichkeiten und Datenverarbeitungsanlagen<\/strong><\/h3>\n
\n
IV. Verarbeitungsverbote<\/strong><\/h3>\n
V. Vollkommene Unabh\u00e4ngigkeit<\/strong><\/h3>\n
VI. Ergebnis<\/strong><\/h3>\n
Alle Teile der Blogserie „Datenschutz, das z\u00fcgellose Recht“:<\/strong><\/em><\/h2>\n
\n