BVerwG: Verheddert im Auslegungsdickicht der DSGVO

Es stand zu befürchten: auch die Gerichte verheddern sich im Auslegungsdickicht der DSGVO. Dass jedoch ausgerechnet das BVerwG den Anfang machen würde, überrascht (und enttäuscht). Die Missverständnisse in seinem Urteil vom 27.9.2018 (Az. 7 C 5.17) betreffen gleich mehrere zentrale Verständnisfragen der DSGVO, insbesondere:

• die Regelungsermächtigungen der DSGVO für die Datenverarbeitung durch öffentliche Stellen (dazu 3. und 4.),
• die Voraussetzungen für die zweckändernde Weiterverarbeitung personenbezogener Daten (dazu 5.) und
• das Verhältnis von Datenschutzrecht und Presserecht (dazu 7.).

Es ist zu hoffen, dass dieses Urteil nicht die weitere Rechtsentwicklung prägen wird.

1. Sachverhalt

Es geht um den presserechtlichen Auskunftsanspruch eines Journalisten gegen das Landtagsamt des Freistaates Bayern. Der Journalist begehrte Auskunft über das Gehalt, das ein Landtagsabgeordneter seiner Ehefrau für ihre Tätigkeit als Sekretärin im häuslichen Abgeordnetenbüro gezahlt hatte (sog. "Verwandtenaffäre" des Bayerischen Landtags).

Im Ergebnis zu Recht, hält das BVerwG den Auskunftsanspruch für gegeben. Eine sehr gute Zusammenfassung des Urteils findet sich bei Piltz. Fragwürdig und irritierend ist die Begründung des Urteils in Bezug auf die datenschutzrechtlichen Fragen.

2. Presserechtlicher Auskunftsanspruch

Der Auskunftsanspruch des Journalisten beruht auf Art. 4 Bayerisches Pressegesetz, der in Voraussetzungen und Umfang nicht von den Regelungen anderer Landespressegesetze abweicht. Danach hat die Presse gegenüber Behörden ein Recht auf Auskunft, soweit nicht beamtenrechtliche oder sonstige gesetzliche Vorschriften eine Verschwiegenheitspflicht begründen.

Da eine Weitergabe der Gehaltsdaten durch die Landtagsverwaltung einen Eingriff in das Recht auf informationelle Selbstbestimmung des Landtagsabgeordneten und seiner Ehefrau darstellt, bedurfte es hierfür einer Ermächtigungsgrundlage. Gibt es eine solche Ermächtigungsgrundlage, die die Landtagsverwaltung zur Übermittlung der Gehaltsdaten berechtigt, entfällt die Verschwiegenheitspflicht.

3. Europarechtswidrigkeit von Art. 5 Abs. 1 Satz 1 Nr. 2 BayDSG?

Tatsächlich enthält Art. 5 Abs. 1 Satz 1 Nr. 2 Bayerisches Datenschutzgesetz eine einschlägige Übermittlungsnorm, die ähnlich auch im Bundesrecht (§ 25 Abs. 2 Nr. 2 BDSG) anzutreffen ist. Die Norm besagt:

"Eine Übermittlung personenbezogener Daten ist zulässig, wenn der Empfänger eine nicht öffentliche Stelle ist, diese Stelle ein berechtigtes Interesse an ihrer Kenntnis glaubhaft darlegt und die betroffene Person kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat; dies gilt auch, soweit die Daten zu anderen Zwecken als denjenigen, zu denen sie erhoben wurden, übermittelt werden."

a) Ansatz des BVerwG

Statt dem bayerischen Gesetzgeber für diese vorausschauende Regelung zu danken, erklärt das BVerwG die Norm für europarechtswidrig. In Verkennung des Wortlautes und des Bedeutungsgehaltes der Norm meint das BVerwG, der Landesgesetzgeber wolle mit dieser Bestimmung an Art. 6 Abs. 1 lit. f DSGVO anknüpfen und für öffentliche Stellen nutzbar machen. Auf den Erlaubnistatbestand des berechtigten Interesses könne sich eine öffentliche Stelle (wegen Art. 6 Abs. 1 Unterabs. 2 DSGVO) aber nicht berufen.

b) Anders:  Wortlaut & Systematik der DSGVO

Bereits das Wortlautverständnis irritiert: in Art. 6 Abs. 1 Unterabs. 2 DSGVO untersagt das Unionsrecht lediglich, dass sich Behörden auf überwiegende Interessen des Verantwortlichen oder eines Dritten berufen, wenn sie Verarbeitungen in Erfüllung ihrer Aufgaben wahrnehmen. Die DSGVO verlangt damit, wie ErwGr 47 Satz 5 bestätigt, dass Datenverarbeitungen durch Behörden nicht unmittelbar auf eine unionsrechtliche Generalklausel gestützt werden, sondern der Ausgestaltung durch den nationalen Gesetzgeber vorbehalten bleiben sollen. Eine Sperrwirkung, die es dem nationalen Gesetzgeber verwehren würde, auch berechtigte Interessen Dritter als Tatbestandsmerkmal behördlicher Datenverarbeitungen aufzugreifen (wie etwa auch in § 4 Abs.1 Nr. 3 BDSG) ist der Regelung dagegen weder nach dem Wortlaut noch nach ihrer Systematik zu entnehmen.

c) Zugrundeliegende DSGVO-Öffnungsklausel

Es ist kaum erklärlich, warum das BVerwG nicht erkennt, dass durch Art. 5 Abs. 1 Satz 1 Nr. 2 BayDSG die Öffnungsklausel des Art. 6 Abs. 3 DSGVO in Anspruch genommen wird. Wie von Art. 6 Abs. 3 Satz 4 DSGVO verlangt, verfolgt die Norm ein öffentliches Interesse. Es besteht ein öffentliches Interesse daran, dass Behörden auf Anfragen von Pressevertretern wahrheitsgemäße Aussagen machen. Dieses öffentliche Interesse gründet nach der Rechtsprechung des BVerfG in der Pressefreiheit, aber auch im Informationsinteresse der Öffentlichkeit:

"Erst der prinzipiell ungehinderte Zugang zu Informationen versetzt die Presse in den Stand, die ihr in der freiheitlichen Demokratie zukommende Funktion wirksam wahrzunehmen [...]. Sinn und Zweck der daraus prinzipiell folgenden Auskunftspflichten [...] ist es, der Presse zu ermöglichen, umfassend und wahrheitsgetreu Informationen über Geschehnisse von öffentlichem Interesse im staatlichen Bereich zu erhalten und dadurch in die Lage versetzt zu werden, die Öffentlichkeit entsprechend zu unterrichten. Auf diese Weise können die Bürgerinnen und Bürger zutreffende und umfassende Informationen über tatsächliche Vorgänge und Verhältnisse, Missstände, Meinungen und Gefahren erhalten, die ihnen sonst verborgen bleiben würden, aber Bedeutung für eine abgewogene Beurteilung der für die Meinungsbildung essenziellen Fragen haben könnten." [BVerfG, Beschl. v. 27.7.2015 - 1 BvR 1452/13 -, Rz 14 (Hervorhebungen hinzugefügt)]

Die streitgegenständliche Norm ermöglicht es öffentlichen Stellen unter anderem, diesem öffentlichen Interesse entsprechend zu handeln. Je nach Konstellation wird man dies

• wie beim presserechtlichen Auskunftsanspruch als nähere Ausgestaltung der Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder
• etwa beim proaktiven, nicht in Art. 5 GG, sondern im Rechtsstaatsprinzip wurzelnden Informationshandeln öffentlicher Stellen (BVerfG, Urt. vom 2.3.1977, Az. 2 BvE 1/76, BVerfGE 44, 125) als Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe (Art. 6 Abs. 1 lit. e Alt. 1 DSGVO)

ansehen müssen.

d) Zwingende Interessenabwägung

Einleuchtend ist, dass Art. 5 Abs. 1 Satz 1 Nr. 2 BayDSG einen Verhältnismäßigkeitsmaßstab für die Prüfung der Rechtmäßigkeit von Datenübermittlungen an nicht-öffentliche Stellen benötigt. Hierfür verwendet die Norm zwar Begrifflichkeiten des Art. 6 Abs. 1 lit. f DSGVO. Dies bedeutet aber nicht, dass der Landesgesetzgeber hier an die DSGVO "anknüpft" oder gar ihren Wortlaut wiederholt. Vielmehr müssen die öffentlichen Stellen prüfen, ob das Interesse des potentiellen Datenempfängers auch im Lichte öffentlicher Interessen gerechtfertigt ist (was bei einem presserechtlichen Auskunftsanspruch grundsätzlich der Fall ist) und ob nicht ausnahmsweise Rechte des Betroffenen entgegenstehen.

Die Behörde hat hier also nicht etwa ein "eigenes" berechtigtes Interesse (in der Terminologie des BVerwG: "eigennützige" Aufgaben) oder ein "fremdes" berechtigtes Interesse (in der Terminologie des BVerwG: "fremdnützige" Aufgaben) zu prüfen, sondern die Frage,

ob das glaubhaft gemachte Interesse des potentiellen Datenempfängers auch im öffentlichen Interesse besteht.

Es lässt sich sicherlich darüber streiten, ob der Wortlaut der Norm geglückt ist. Der Hinweis in der amtlichen Überschrift ("zu Art. 6 Abs. 2 bis 4 DSGVO") macht allerdings hinreichend deutlich, dass es hier um öffentliche Interessen geht.

e) Kein Regelungsverbot durch DSGVO

Weder in Art. 6 Abs. 1 Unterabs. 2 noch in Art. 6 Abs. 3 DSGVO verbietet das Unionsrecht jedenfalls die Nutzung unbestimmter Rechtsbegriffe oder datenschutzrechtlicher Generalklauseln, wie das BVerwG meint, wenn es den Übermittlungstatbestand des BayDSG als umfassenden Auffangtatbestand verwirft, der das Erfordernis einer gesonderten Ermächtigungsgrundlage überspiele (BVerwG, a.a.O., Rn. 26).

Besonders ärgerlich ist, dass das Urteil des BVerwG zu einem Ergebnis kommt, das die Bundesregierung in den jahrelangen Verhandlungen zur DSGVO durch die Ausgestaltung der DSGVO gerade hatte verhindern wollen:

a) Kernanliegen Deutschlands

Die Aufrechterhaltung des hohen Datenschutzniveaus im öffentlichen Bereich war ein Kernanliegen Deutschlands in den Verhandlungen zur DSGVO. Lange Zeit stand deshalb sogar eine Aufspaltung der DSGVO in eine Verordnung für den privaten Bereich und eine Richtlinie für den öffentlichen Bereich im Raum. Welche Erwägungen dabei eine Rolle gespielt haben, lässt sich zum Beispiel diesem Dokument der italienischen Ratspräsidentschaft von Juli 2014 entnehmen.

b) Möglichkeit strengerer Anforderungen an Datenverarbeitung durch öffentliche Stellen

In der Sache geht es darum, dass die Datenverarbeitung durch öffentliche Stellen präziser und damit auch vorhersagbarer geregelt sein sollte als die Datenverarbeitung durch Private. Da dies von der DSGVO nicht geleistet wird, ist es erforderlich, dass die Rechtsgrundlagen der behördlichen Datenverarbeitung weiterhin durch nationales Recht geregelt werden. Deutschland konnte der DSGVO daher erst zustimmen, nachdem in den Ratsverhandlungen relativ weite Regelungsermächtigungen für die Datenverarbeitung durch öffentliche Stellen erzielt worden waren, die auch in den Trilogverhandlungen erhalten blieben.

Dass später einmal eine datenschutzrechtliche Norm des nationalen Rechts, mit der die Datenverarbeitung der Verwaltung gesteuert werden soll und die spezifischer als die DSGVO ist und die gerade deswegen ein höheres Datenschutzniveau bietet, aus formalen Gründen für europarechtswidrig erklärt wird, sollte durch die weiten Öffnungsklauseln der DSGVO für den öffentlichen Bereich gerade verhindert werden.

Zu den vielen ungeklärten Fragen des Verwaltungsdatenschutzrechts im Mehrebenensystem der EU siehe aktuell Reimer, Verwaltungsdatenschutzrecht, in: DÖV 2018, 881. Zur Reichweite der Öffnungsklauseln immer noch lesenswert Kühling/Martini, Die DS-GVO und das nationale Recht.

Ein weiterer Streitpunkt bei den Verhandlungen zur Datenschutz-Grundverordnung, der durch das Urteil des BVerwG wieder aufgerufen wird, war die Zulässigkeit der zweckändernden Weiterverarbeitung.

Die Übermittlung von Gehaltsdaten eines Landtagsabgeordneten durch die Landtagsverwaltung an die Presse ist offensichtlich eine Verarbeitung zu einem anderen Zweck als demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden. Eine solche zweckändernde Weiterverarbeitung ist gemäß Art. 6 Abs. 4 DSGVO mit Einwilligung des Betroffenen, aufgrund einer Rechtsvorschrift der EU oder eines Mitgliedstaates oder bei Vorliegen von Kompatibilität zulässig.

a) Historische Kontroverse

Das BVerwG verkennt die Bedeutung der Zweckänderungsvorschrift. Ihm fehlen offenbar die erforderlichen Hintergrundinformationen über das Zustandekommen des Art. 6 Abs. 4 DSGVO. In den Verhandlungen zur DSGVO standen sich zwei Modelle gegenüber:

• • Kompatibilitätsmodell: Nach Art. 6 Abs. 1 lit. b der RL 95/46/EG war eine Weiterverarbeitung personenbezogener Daten zulässig, wenn sie in einer Weise erfolgte, die mit der ursprünglichen Zweckbestimmung "vereinbar" (= "kompatibel") war (zur Auslegung mit Beispielen siehe Art. 29-Gruppe, WP 203 vom 2. April 2013, S. 21 ff., 36 ff. und 56 ff.).
  • Zweckänderungsmodell: Nach §§ 14 Abs. 2, 28 Abs. 2 und 3 BDSG a.F. war die Zweckänderung unter anderem zur Abwehr von Gefahren für die öffentliche Sicherheit, zur Verfolgung von Straftaten, zur Wahrung berechtigter Interessen der verantwortlichen Stelle, zur Wahrung berechtigter Interessen eines Dritten, bei allgemein zugänglichen Daten, zur Durchführung wissenschaftlicher und in bestimmten Fällen zu Werbezwecken zulässig - in der Regel nach Maßgabe von Interessenabwägungen. Hier eine Übersicht über die früheren Zweckänderungstatbestände des BDSG a.F.

b) Ansatz der DSGVO

Deutschland konnte sich in den Verhandlungen zur DSGVO mit seinem Wunsch, das Zweckänderungsmodell in der DSGVO zu verankern, nicht durchsetzen. Daher gelten für zweckändernde Weiterverarbeitungen nunmehr die in Art. 6 Abs. 4 DSGVO geregelten Kompatibilitätskriterien. Allerdings ist eine Weiterverarbeitung - wie gesagt - auch mit Einwilligung des Betroffenen oder aufgrund einer Rechtsvorschrift zulässig.

c) Wahre Funktion der bayerischen Übermittlungsnorm

Art. 5 Abs. 1 Satz 1 Nr. 2 BayDSG ist eine solche Rechtsvorschrift im Sinne von Art. 6 Abs. 4 DSGVO. Sie dient

• zum einen einem wichtigen Ziel des allgemeinen öffentlichen Interesses im Sinne von Art. 23 Abs. 1 lit. e DSGVO (dem Informationsinteresse der Allgemeinheit),
• zum anderen den Rechten und Freiheiten anderer Personen im Sinne von Art. 23 Abs. 1 lit. i DSGVO (namentlich dem Interesse von Journalisten).

Das BVerwG verneint hingegen ohne nähere Prüfung, dass es sich bei der landesrechtlichen Norm um eine Rechtsvorschrift im Sinne von Art. 6 Abs. 4 handelt - auch hier mit der Begründung, es werde nur der Wortlaut von Art. 6 Abs. 1 lit. f DS-GVO wiederholt.

Die daraufhin folgende Argumentation des BVerwG mutet seltsam an:

a) Keine DSGVO-konforme Übermittlungsnorm

Wie gesagt, lehnt das BVerwG es ab, die landesrechtliche Übermittlungsvorschrift des Art. 5 Abs. 1 Satz 1 Nr. 2 BayDSG

• • als Gesetz zur Inanspruchnahme der Öffnungsklausel des Art. 6 Abs. 3 DSGVO aufgrund öffentlichen Interesses oder
  • als Gesetz zur Inanspruchnahme der Öffnungsklausel des Art. 6 Abs. 4 DSGVO zur Legitimierung der zweckändernden Weiterverarbeitung

anzusehen. Es tut dies mit der Begründung, die landesrechtliche Norm übernehme den Wortlaut des für nicht-öffentliche Stellen unanwendbaren Art. 6 Abs. 1 lit. f DSGVO.

b) Rechtsgedanke aus verbotenem Rechtfertigungsgrund

Nachdem das BVerwG zu diesen Erkenntnissen gekommen ist, wendet es ebendiesen Art. 6 Abs. 1 lit. f DSGVO aber entsprechend bzw. analog an:

"Ist diese Entscheidung allerdings dem Grunde nach durch den Gesetzgeber getroffen worden, steht einer Übertragung der dort formulierten materiellen Anforderungen zur gebotenen inhaltlichen Ausformung der Datenverarbeitung, die grundlegenden datenschutzrechtlichen Anforderungen genügt, nichts entgegen."

Auf die Idee, den Grundgedanken einer Norm, deren Geltung für öffentliche Stellen durch die DSGVO gerade ausgeschlossen wurde, auf die Datenverarbeitung durch öffentliche Stellen "zur Konkretisierung" eines presserechtlichen Auskunftsanspruchs entsprechend anzuwenden, muss man erst mal kommen.

Leider enthält das Urteil des BVerwG schließlich keinerlei Ausführungen zur hier eigentlich zentralen Kernfrage, dem Verhältnis des Datenschutzrechtes zur Pressefreiheit.

a) Keine Anwendbarkeit des Datenschutzrechts bei Medienprivileg

Durchaus diskussionsbedürftig wäre grundlegend bereits, ob die Übermittlung personenbezogener Daten zur Erfüllung eines presserechtlichen Anspruchs überhaupt dem Datenschutzrecht unterfällt. Denn gemäß dem in Art. 38 Abs. 1 Satz 2 BayDSG landesrechtlich fortgeführten und entsprechend Art. 85 DSGVO  erweiterten "Medienprivileg" gelten für  Verarbeitungen zu journalistischen Zwecken nur Kapitel I, Art. 5 Abs. 1 Buchst. f, Art. 24 und 32, Kapitel VIII, X und XI DSGVO.

Art. 6 DS-GVO gilt somit nicht.

b) Presserechtlicher Auskunftsanspruch

Wenn für den Empfang personenbezogener Daten durch einen Journalisten die Geltung des Datenschutzrechts auf der Grundlage von Art. 85 DSGVO ausgeschlossen ist, stellt sich unter Berücksichtigung des umfassenden Verarbeitungsbegriffs der DSGVO unvermeidbar die Frage, ob diese Freistellung des Datenempfangs von datenschutzrechtlichen Verpflichtungen nicht auch zum umfassenden Schutz der Presse gegenüber behördlichen Behinderungen bereits der Datenübermittlung zu Gute kommen muss. Denn wenn der presserechtliche Anspruch des Journalisten besteht, muss spiegelbildlich ja auch eine Pflicht der Behörde zur Übermittlung angenommen werden.

Der bei jeder staatlichen Offenlegung privater Lebensumstände gebotene Schutz personenbezogener Daten wird somit ausschließlich und unmittelbar durch die - freilich revisionsrichterlich nicht uneingeschränkt überprüfbaren - landesrechtlich in Art. 4 Abs. 2 Satz 2 BayPrG festgelegten Grenzen des presserechtlichen Auskunftsanspruchs gewährleistet. Zu den dort genannten „sonstigen gesetzlichen Vorschriften“, die einer Auskunftserteilung entgegenstehen können, zählen alle (grundrechtlichen) Bestimmungen, die Privatpersonen gegen die Offenbarung ihrer Verhältnisse durch staatliche Stellen schützen, insbesondere das Grundrecht auf informationelle Selbstbestimmung.

c) Grenze:  Interessenabwägung

Damit fordert das auf Grund des Regelungsauftrags in Art. 85 DSGVO insoweit unverändert fortgeltende Presserecht unmittelbar eine Abwägung zwischen dem Informationsinteresse der Allgemeinheit und individuellen Geheimhaltungsinteressen. Eines systematisch brüchigen Rückgriffs auf das allgemeine Datenschutzrecht oder gar vermeintlicher Rechtsgedanken und materieller Anforderungen der DSGVO hätte es daher auch nach dem 25. Mai 2018 nicht bedurft.

Auch zu der Frage, ob Art. 5 Abs. 1 Satz 1 Nr. 2 BayDSG nicht als Rechtsvorschrift im Sinne von Art. 86 DSGVO anzusehen sein könnte, enthält das BVerwG-Urteil keine Ausführungen. Nach Art. 86 DSGVO können personenbezogene Daten in amtlichen Dokumenten, die sich im Besitz einer Behörde befinden, von der Behörde gemäß dem Recht des Mitgliedstaats, dem die Behörde unterliegt, offengelegt werden, um den Zugang der Öffentlichkeit zu amtlichen Dokumenten mit dem Recht auf Schutz personenbezogener Daten gemäß DSGVO in Einklang zu bringen.

Das BVerwG fällt am Ende ganz losgelöst von seiner unbefriedigenden systematischen Analyse eine richtige Entscheidung, indem es ein berechtigtes Interesse des Journalisten an der Informationsübermittlung bejaht. Mit Blick auf die Garantie der institutionellen Eigenständigkeit der Presse und das Verbot einer publizistischen Relevanzprüfung sei mehr nicht zu fordern. Dem stünde "nur" ein Eingriff in die Sozialsphäre der Betroffenen gegenüber, der gerechtfertigt sei.

a) Falscher Verdacht der Europarechtswidrigkeit

Die eigentliche Gefahr des Urteils des BVerwG besteht darin, dass hier leichtfertig von der DSGVO ausdrücklich erlaubte spezialgesetzliche Regelungen des nationalen Gesetzgebers dem Verdacht der Europarechtswidrigkeit ausgesetzt werden.

b) Rechtsunsicherheit mit "Salto rückwärts"

Die ohnehin bereits große Rechtsunsicherheit wird dabei in doppelter Weise befördert:

• • Zum einen wird der auch von den Datenschutzaufsichtsbehörden befeuerten Diskreditierung nationalen Datenschutzrechts Vorschub geleistet.
  • Zum anderen ist nichts gewonnen, wenn nach Unzulässigerklärung bereichsspezifischen (und im Zweifel präziseren) Rechts die allgemeinen Generalklauseln der DSGVO analog angewendet werden.

Die Folge wird neben großer Rechtsunsicherheit eine von Zufälligkeiten abhängige Einzelfalljurisprudenz und eine weitere Stärkung der demokratisch nur schwach legitimierten aufsichtsbehördlichen Auslegungspraxis gegenüber dem Gesetzgeber sein.