Die Verordnung 2016/679 des Parlaments von Europa sowie des Rates vom 27. April 2016 zum Schutz der Menschen bei der Verarbeitung von personenbezogenen Daten, zur Aufhebung der Richtlinie 95/46/EG der Datenschutz-Grundverordnung und zum freien Datenverkehr hat verschiedene Vorschriften zum Schutz der natürlichen Personen bei der Verarbeitung der personenbezogenen Daten und zum freien Verkehr der Daten zur Aufgabe.
Das allgemeine Datenschutzrecht
Am 25. Mai 2018 wurde die Verordnung 2016/679 des Europäischen Parlaments und vom 27. April 2016 zum Schutz der natürlichen Personen bei der Verarbeitung von personenbezogenen Daten und zum freien Datenverkehr als geltendes Grundrecht in sämtlichen Mitgliedstaaten der Europäischen Union veröffentlicht. Das Ziel der Verordnung (EU) 2016/679 war dabei ein gleichwertiger Schutz für die Freiheiten und Rechte von natürlichen Personen bei der Datenverarbeitung ihrer Daten in sämtlichen Mitgliedstaaten nach dem geltenden Erwägungsgrund 10. Der Gesetzgeber der Union hat sich für die Handlungsform der Verordnung entschieden, damit in der Union ein gleichmäßiges Niveau des Datenschutzes für natürliche Personen garantiert ist, was der Erwägungsgrund 13 charakterisiert. Personenbezogene Daten sollten daher sicher sein.
Dabei sieht die Verordnung (EU) 2016/679 sieht eine Reihe von Einschränkungen für den nationalen Gesetzgeber vor. Gleichzeitig enthält die Verordnung 2016/679 genaue, an alle Mitgliedstaaten gerichtete Aufträge zur Regelung. Hieraus ergibt sich die gesetzliche Datenerhebung im nationalen Recht des Datenschutzes.
Obwohl die DSGVO eine direkte Geltung erlangt, bedarf diese in vielen Bereichen der Durchführung in das innerstaatliche Recht (beispielsweise die Errichtung einer Aufsichtsbehörde gemäß dem geltenden Art. 51 Abs. 1 iVm Art. 54 Abs. 1 lit. a der DSGVO). Zudem enthält die DSGVO Spielräume, welche als Öffnungsklauseln bezeichnet werden und die freiwillig von den Mitgliedstaaten verwendet werden können. Während die erforderliche Durchführung der DSGVO vorwiegend im neuen Datenschutzgesetz erfolgt, werden die Klauseln für die Öffentlichkeit nur zu einem geringen Teil im neuen Datenschutzgesetz direkt geregelt. Dabei handelt es sich um Spielräume, welche im neuen Gesetz nicht bewusst geregelt werden, weil die DSGVO schon eine Grundregel beinhaltet, die – als genereller Ansatz –im nationalen Recht ebenfalls übernommen wird (nach Art. 8 Abs. 1 DSGVO betreffs der Altersgrenze für die Bewilligung eines Kindes bezüglich der Arbeiten der Informationsgesellschaft). Der vorherrschende Teil der Öffnungsklauseln fällt allerdings nicht in den Bereich der generellen Angelegenheiten des Datenschutzes und daher werden diese nicht im neuen Datenschutzgesetz geregelt. Jedoch kann – wenn nötig – in speziellen Materiengesetzen eine passende Festlegung erfolgen (zum Beispiel nach Art. 88 und 23 der DSGVO).
Aus jenen Gründen sind umfangreiche Änderungen im innerstaatlichen Recht des Datenschutzes nötig, welche durch die Erlassung des neuen Datenschutzgesetzes vorgenommen werden sollen. Dies entspricht den allgemeinen unionsrechtlichen Regelungen für Rechtsakte – nur die bedingungslos erforderlichen Ausführungen der Verordnung im staatlichen Recht sollten durchgeführt werden, weil die Verordnung in die sonstigen Teile ohnehin unmittelbar gilt und ein darüber hinaus reichendes Abschreiben von Teilen der Verordnung unter Rücksichtnahme auf das Transformations-Verbot der Union nicht zulässig ist. Betreffs der ausnahmsweise bejahten Transformation wird auf den Erwägungsgrund 8 der Datenschutzgrundverordnung verwiesen. Wenn in der DSGVO Kennzeichen oder Einschränkungen aller Anleitungen durch das Recht der EU-Staaten vorgesehen sind, können die Staaten Teile dieser Verordnung in das eigene nationale Recht aufnehmen, wenn dies notwendig ist, um die Verbundenheit zu wahren und die nationalen Vorschriften für die Personen, für welche sie gelten, verständlicher zu gestalten.
Zudem ist im Datenschutzgesetz 2000 zugleich der Rahmenbeschluss 2008/977/JI über den Schutz der personenbezogenen Daten, welche im Rahmen der justiziellen und der polizeilichen Zusammenarbeit in Strafsachen zu berücksichtigen sind, umgesetzt. Jener Rahmenbeschluss wird durch die Richtlinie (EU) 2016/680 zum Schutz der natürlichen Personen bei der Verarbeitung von personenbezogenen Daten durch die verantwortlichen Behörden zum Zweck der Ermittlung, Verhütung, Aufdeckung und der Verfolgung von Straftaten sowie zum freien Verkehr von Daten und zur Auflösung des Rahmenbeschlusses 2008/977/JI, ABl. Nr. L 119 vom 4.5.2016, aufgehoben.
Die Nutzung der Daten zur Verfolgung von Straftaten
Für die Bearbeitung personenbezogener Daten auf dem Gebiet der justiziellen Kooperation in Strafsachen sowie der polizeilichen Zusammenarbeit gilt derzeit noch der Beschluss 2008/977/JI des Rates. Schnelle technische Entwicklungen, die Globalisierung und jene Tatsache, dass in einem noch nie dagewesenen Umfang die personenbezogenen Daten verarbeitet werden, sind der Hintergrund für die Neuregelung des Datenschutzes auf der Ebene der Union.
Für den Bereich erfolgt diese Neuregelung durch die Richtlinie (EU) 2016/680 des Parlaments von Europa sowie des Rates vom 27. April 2016 zum Schutz der natürlichen Personen bei der Verarbeitung von personenbezogenen Daten durch die verantwortlichen Behörden zum Zweck der Ermittlung, Verhütung, Verfolgung oder der Aufdeckung von Straftaten sowie der Strafvollstreckung.
Der Datenaustausch nach Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 des Parlaments sowie des Rates vom 27. April 2016 zum Schutz von natürlichen Menschen bei der Bearbeitung personenbezogener Daten durch die verantwortlichen Behörden zum Zweck der Ermittlung, Verhütung, Verfolgung und Aufdeckung von Straftaten oder der Strafvollstreckung und zum freien Datenverkehr und zur Auflösung des Beschlusses 2008/977/JI (ABl. L 119 vom 4.5.2016) des Rates stehen jene bei der Umsetzung, Entwicklung und Anwendung des Schengen-Besitzstands verknüpften Staaten den Mitgliedstaaten der Union gleich. Andere Staaten gelten zugleich als Drittstaaten. So können auch bei kleineren Delikten wie dem Erschleichen von Produkten und Dienstleistungen und somit den Verstoß gegen § 265a StGB normiert oder das nicht einhalten der Abfallrahmenrichtlinie 2008/98/EG ein Datenaustausch nach nach Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 gestatten.