Ämter und Agenturen der Union. Stattdessen gilt gemäß Art. 2 Abs. 3 DSGVO die Verordnung (EG) Nr. 45/2001. Zudem lässt die Verordnung gemäß Art. 2 Abs. 4 DSGVO die Anwendung der sog. E-Commerce-Richtlinie 2000/31/EG unberührt. Da Art. 1 Abs. 5 lit. b E-Commerce-Richtlinie in Bezug auf Fragen des Datenschutzes auf die DSRL verweist, was gemäß Art. 94 Abs. 2 DSGVO als Verweis auf die DSGVO zu lesen ist, sind die E-Commerce-Richtlinie und die DSGVO für Dienste der Informationsgesellschaft nebeneinander anwendbar.13 Dieses Nebeneinander kann in der Praxis insbesondere dann zu Wertungswidersprüchen führen, wenn sich bezüglich eines Datenverarbeitungsvorgangs die datenschutzrechtlichen Pflichten und die Haftungsprivilegierungen aus Art. 12ff. E-Commerce-Richtlinie überlagern. Ob die Haftungsprivilegierungen auch für datenschutzrechtliche Pflichten gelten, ist umstritten.14
19
Die ePrivacy-Richtlinie 2002/58/EG hat als lex specialis gemäß Art. 95 DSGVO Vorrang gegenüber der DSGVO, soweit in der Richtlinie Pflichten festgelegt sind, die dasselbe Ziel verfolgen.
20
Zudem findet die Verordnung trotz Eröffnung des sachlichen Anwendungsbereichs keine Anwendung, wenn einer der Ausnahmetatbestände aus Art. 2 Abs. 2 DSGVO vorliegt.
21
So findet die Verordnung keine Anwendung, wenn die Verarbeitung im Rahmen einer Tätigkeit erfolgt, die nicht in den Anwendungsbereich des Unionsrechts fällt (Art. 2 Abs. 2 lit. a DSGVO) – also außerhalb der Zuständigkeiten der EU liegt, welche in Art. 3, 4 und 6 des Vertrags von Lissabon (AEUV) festgelegt sind. Dazu gehört unter anderem die nationale Sicherheit.15
22
Die Anwendung ist auch dann ausgeschlossen, wenn die Verarbeitung durch die Mitgliedstaaten im Rahmen der gemeinsamen Außen- und Sicherheitspolitik im Anwendungsbereich von Titel V Kapitel 2 des Vertrags über die EU (EUV) erfolgt (Art. 2 Abs. 2 lit. b DSGVO).
23
Ebenso findet die DSGVO keine Anwendung auf Datenverarbeitung durch zuständige Behörden, zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (Art. 2 Abs. 2 lit. d DSGVO).
24
Der relevanteste der Ausnahmetatbestände ist jedoch Art. 2 Abs. 2 lit. c DSGVO für Datenverarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. Dieser Ausnahmetatbestand wird entsprechend der Begrifflichkeit in vielen anderen Sprachfassungen („household activity“, „activité domestique“, „husha°llsverksamhet“) auch als „Haushaltsausnahme“ bezeichnet. Sie dient dazu, die private Grundrechtsausübung vor einer übermäßigen Regulierung zu schützen.16
25
In Erwägungsgrund 18 DSGVO wird klargestellt, dass eine Datenverarbeitung mit Bezug zu beruflichen und wirtschaftlichen Tätigkeiten nicht von der Ausnahme umfasst ist, so dass etwa die Verarbeitung von Daten in einem Familienbetrieb nicht von dem Ausnahmetatbestand erfasst wäre.
26
Ausnahmetatbestände sind als solche grundsätzlich restriktiv auszulegen.17 Was eine persönliche oder familiäre Tätigkeit ist, wird sich letztlich nach der Verkehrsanschauung richten.18 Persönliche Tätigkeiten im Sinne der Ausnahme sind solche, die der Selbstentfaltung und Freiheitsausübung in der Freizeit- oder im privaten Raum dienen.19 Zu dem typisch persönlichen bzw. familiären Bereich gehören Freizeit, Urlaub und privater Konsum.20 Eine Gewinnerzielungsabsicht schließt die Anwendbarkeit der Ausnahme nicht zwangsläufig aus, so dass die Datenverarbeitung im Rahmen eines privaten Verkaufs von der Ausnahme umfasst sein kann.21 Beispielhaft nennt Erwägungsgrund 18 DSGVO das Führen eines Schriftverkehrs oder eines Anschriftenverzeichnisses. Das Führen eines digitalen Adressbuchs in einer Internetanwendung kann somit ebenso von der Ausnahme erfasst sein wie die Nutzung von elektronischen Kommunikationsdiensten wie E-Mail oder Instant Messaging zu privaten Zwecken oder das Abspeichern von Urlaubsfotos, die andere Personen abbilden.22 Das Betreiben von digitalen Kameras (z.B. Überwachungskameras, sog. Dash-Cams und Drohnenkameras), die Bereiche außerhalb der privaten Sphäre des Betreibers erfassen, ist von der Ausnahme hingegen nicht gedeckt und fällt zumindest bei Speicherung der Bilddaten in den sachlichen Anwendungsbereich der DSGVO.23
27
Ausdrücklich nennt Erwägungsgrund 18 auch die Nutzung sozialer Netzwerke und sonstige Online-Tätigkeiten als weitere Beispiele, die von dieser Ausnahme umfasst sein können. Unklar ist, ob damit von der Lindqvist-Rechtsprechung des EuGH zur Vorgängervorschrift in Art. 3 Abs. 2 DSRL abgewichen werden soll.24 Der EuGH ging davon aus, dass die Veröffentlichung von personenbezogenen Daten im Internet, so dass diese einer unbegrenzten Zahl von Personen zugänglich gemacht werden, offensichtlich nicht zum Privat- oder Familienleben einer Person gehöre und dies von der Haushaltsausnahme daher nicht umfasst sei.25 Ob diese Einschätzung im Rahmen der Verordnung fortgilt, erscheint zumindest fraglich.
28
Die Richtlinie datiert aus dem Jahr 1995 und die Lindqvist-Entscheidung aus dem Jahre 2003. Das heute bekannteste soziale Netzwerk Facebook wurde erst danach im Jahr 2004 gegründet.26 Der Dienst Twitter existiert erst seit 2006. Bereits im Jahr 2012 gaben 71 % von 1008 befragten privaten Internetnutzern an, dass sie private Daten online abspeichern, um diese mit vielen Menschen auf einer Plattform zu teilen.27 In Erwägungsgrund 6 DSGVO erkennt der Unionsgesetzgeber zudem an, dass zunehmend natürliche Personen personenbezogene Daten im Internet weltweit zugänglich machen. Trotz dieser Feststellung hat sich der Gesetzgeber jedoch nicht dazu durchringen können, die Anwendbarkeit der Haushaltsausnahme für Veröffentlichungen im Internet klarzustellen.28
29
Zwar spricht einiges dafür, dass sich die Verkehrsanschauung so entwickelt hat, dass die (unbegrenzte) Veröffentlichung von Daten Dritter in einem sozialen Netzwerk und in anderen Onlinediensten von der Haushaltsausnahme umfasst sein kann. Einer Entscheidung des EuGH vom 14.2.2019 lässt sich jedoch entnehmen, dass dieser an seiner Lindqvist-Entscheidung festhält.29 Und auch die überwiegende Meinung in der Literatur geht davon aus, dass die Haushaltsausnahme in der Verordnung wie schon im Rahmen der Richtlinie „öffentlichkeitsfeindlich“ ist.30 Im Rahmen der Nutzung sozialer Netzwerke wird daraus die Konsequenz gezogen, dass diese Ausnahme nur greift, wenn der Kreis der Empfänger der Daten auf einen engen Familien- und Freundeskreis beschränkt wird.31
30
Eine Datenverarbeitung unterfällt auch nur dann der Haushaltsausnahme, wenn sie zur Ausübung einer Tätigkeit erfolgt, die ausschließlich persönlich oder familiär ist. Sobald eine Tätigkeit neben dem persönlich-familiären Bezug auch nur teilweise einen Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit hat, bleibt der sachliche Anwendungsbereich für die im Rahmen dieser Tätigkeit vorgenommene Datenverarbeitung eröffnet.32
Praxishinweis
Ebenso wie die Eröffnung des Anwendungsbereichs sind auch die Ausnahmen vom Anwendungsbereich auf eine bestimmte Verarbeitung (bzw. Tätigkeit) und nicht auf das Datum als solches bezogen.33 Der für die initiale Erhebung eines Datums geltende Rechtsrahmen bestimmt nicht zwangsläufig den Rechtsrahmen für jegliche zukünftige Verarbeitung dieses Datums. Ein im beruflichen Kontext erhobenes Datum kann daher von einer natürlichen Person zur Ausübung ausschließlich persönlicher Tätigkeiten außerhalb des Anwendungsbereichs der DSGVO verarbeitet werden. Umgekehrt gilt das gleiche. Entgegen einer weit verbreiteten Ansicht erscheinen sogar parallele Verarbeitungen eines Datums innerhalb und außerhalb des Anwendungsbereichs bzw. einer Ausnahme denkbar (z.B. Verwendung von ansonsten beruflich verwendeten Kontaktdaten für eine rein private Verabredung).34
31
Soweit eine natürliche Person die personenbezogenen Daten Dritter im Rahmen der Haushaltsausnahme