Anwendung von Art. 2 Abs. 2 lit c DSGVO für soziale Medien unter gleichzeitiger Berücksichtigung der EuGH-Urteile Lindqvist78 und Buivids.79 Für Veröffentlichungen in sozialen Netzwerken kann daher mit der Art.-29-Datenschutzgruppe zunächst festgehalten werden, dass die DSGVO natürlich auf Betreiber von sozialen Medien Anwendung findet und auf Nutzer, wenn diese soziale Medien zu gewerblichen Zwecken nutzen.80 Insofern ist einzig der objektiv erkennbare Zweck der Nutzung ausschlaggebend. Für die Nutzung zu privaten Zwecken gilt die Haushaltsausnahme, soweit objektiv erkennbar ein privater Zweck verfolgt wird, z.B. der Post eines Fotos von einer privaten Feier. Eine Rückausnahme ist nur dann zu machen, wenn der Empfängerkreis völlig unbegrenzt ist und über den Nutzerkreis des sozialen Netzwerks hinaus frei im Internet abrufbar ist.
c) Geografische Einschränkung der Haushaltsausnahme
25
Für die Verwendung von Videokameras durch Private zu nicht erwerbswirtschaftlichen Zwecken außerhalb der eigenen Wohnung bzw. des eigenen Grundstücks wird diskutiert, ob und wann hierbei die Haushaltsausnahme greift und die Anwendbarkeit des Datenschutzrechts ausschließt. Anwendungsfälle, in denen dieser Streit relevant wird, sind die Videoüberwachung über die Grenzen des eigenen Grundstücks hinaus in den öffentlichen Verkehrsraum, die Verwendung von Dashcams,81 also Kameras, die in Autos verbaut sind, um den Straßenverkehr aufzunehmen, die Verwendung von Kameradrohnen oder der Einsatz von Wildkameras.82 Der EuGH-Rechtsprechung zur Videoüberwachung folgend, die von einem privaten Grundstück aus auch den öffentlichen Verkehrsraum erfasste und für die der EuGH den Anwendungsbereich des europäischen Datenschutzrechts für eröffnet ansieht,83 wird vertreten, die Haushaltsausnahme sei nicht mehr einschlägig, sobald der öffentliche Raum betroffen sei,84 also faktisch die Grenzen des eigenen Grundstücks überschritten werde.85 Dies führt für private Videoüberwachung, den Einsatz von Kameradrohnen, Dashcams und Wildkameras zur Anwendbarkeit der DSGVO, wenn diese außerhalb der eigenen Wohnung bzw. des eigenen Grundstücks erfolgt und läuft auf eine nicht in Art. 2 Abs. 2 lit. c DSGVO vorgesehene geografische Bestimmung des persönlichen/familiären Bereichs hinaus. In der Konsequenz kann das nur bedeuten, dass auch private Foto- und Filmaufnahmen in der Öffentlichkeit, einschließlich des „privaten Schnappschusses“ von der Haushaltsausnahme ausgenommen werden. Für die Praxis ist diese EuGH-Rechtsprechung ähnlich wie die Rechtsprechung zur Einschränkung der Haushaltsausnahme im Internet und in sozialen Medien verbindlich und problematisch zugleich.
26
Dass Privatpersonen als Verantwortliche etwa die umfassenden Pflichten aus Art. 12ff. DSGVO erfüllen müssten, erscheint bizarr. Der Ansatz einer geografischen Bestimmung des persönlichen/familiären Raums im Sinn des Art. 2 Abs. 2 lit. c DSGVO überzeugt daher nicht. Die Reichweite der Houshold Exemption sollte nicht geografisch bestimmt werden,86 sondern danach, ob sich für einen objektiven verständigen Dritten anhand des subjektiven Handlungszwecks die Datenverarbeitung als ausschließlich zu persönlichen/familiären Zwecken darstellt.87 Der Betroffenheit des öffentlichen Raums kann dabei Indizwirkung zukommen, die gegen den persönlichen/familiären Zweck spricht, sie kann aber nicht zu einem pauschalen Ausschluss der Haushaltsausnahme und damit der zwingenden Anwendbarkeit der DSGVO führen.88 Dieses Verständnis ergibt sich bei näherer Betrachtung schon aus der Entstehungsgeschichte der Haushaltsausnahme, welche insb. auf Art. 7 und Art. 8 GRCh sowie Art. 8 EMRK zurückgeht.89 Innerhalb von Art. 7 GRCh sowie Art. 8 EMRK ist anerkannt, dass sich die „Privatsphäre“, da wo vernünftigerweise der Schutz der Privatheit erwartet werden kann,90 auch in den öffentlichen Raum erstrecken kann.91 Selbst wenn der persönliche/familiäre Bereich geografisch zu bestimmen wäre, endet er jedenfalls nicht an der Grundstücksgrenze.92 Das Verlassen des eigenen Grundstücks mit einem Gerät zur Erhebung personenbezogener Daten allgemein und Kameras im speziellen oder die Erhebung personenbezogener Daten außerhalb der Grenzen des eigenen Grundstücks kann daher allenfalls Indizwirkung haben, die gegen das Vorliegen der Haushaltsausnahme und für die Anwendbarkeit der DSGVO spricht.
4. Strafrecht und Gefahrenabwehr (Abs. 2 lit. d)
27
Die Verarbeitung personenbezogener Daten zum Zweck der Prävention und Aufklärung von Straftaten, zur Strafvollstreckung sowie zur Gefahrenabwehr (repressive und präventive Tätigkeiten) durch dafür zuständige Behörden fallen nicht in den Anwendungsbereich der DSGVO. Hierfür gelten insbesondere die parallel zur DSGVO verabschiedete Richtlinie 2016/68093 sowie die Richtlinie 2016/68194 bzw. deren Umsetzung im Recht der Mitgliedstaaten. Von der Ausnahme in Art. 2 Abs. 2 lit. d DSGVO werden auch Ordnungswidrigkeiten erfasst. Die Ansicht, nach der „reine Ordnungswidrigkeiten“ nicht erfasst würden,95 überzeugt nicht. Zum einen sind die Grenzen zwischen Straftaten und Ordnungswidrigkeiten insbesondere im bereichsspezifischen besonderen Strafrecht oft fließend und regelmäßig im Ermittlungsverfahren nicht zuverlässig zu ziehen. Zudem ist der Begriff Straftat ein unionsautonom und nicht nach Definition im mitgliedstaatlichen Recht auszulegender Rechtsbegriff.96 Der Rückgriff auf die Differenzierung zwischen Straftaten und Ordnungswidrigkeiten im deutschen Recht oder dem Recht anderer Mitgliedstaaten läuft daher dem mit der DSGVO verfolgten Zweck der Vereinheitlichung des Datenschutzrechts diametral entgegen und entspricht nicht der Regelungsintention des europäischen Gesetzgebers. Art. 2 Abs. 2 lit. d DSGVO schließt auch die Datenverarbeitung zur Strafvollstreckung und zur Gefahrenabwehr vom Anwendungsbereich der DSGVO aus. Beide Begriffe sind unionsrechtlich autonom auszulegen.97 Der Begriff der Strafverfolgung erfasst sowohl die Strafvollstreckung im engeren Sinne (§§ 449ff. StPO) als auch den Strafvollzug in einem weiteren Verständnis.98 Der Begriff der Gefahrenabwehr umfasst – vergleichbar dem Begriff der öffentlichen Sicherheit im deutschen Recht – den Schutz vor Straftaten und den Schutz von bedeutenden Rechtsgütern.99
28
Zuständige Behörde im Sinn der Norm ist gemäß Art. 3 Abs. 7 Richtlinie 2016/680 die Stelle, der die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten, die Strafvollstreckung und die Abwehr von Gefahren für die öffentliche Sicherheit übertragen ist. Dies sind insbesondere die Polizeibehörden des Bundes und der Länder sowie Strafverfolgungs- und -vollstreckungsbehörden. Soweit Behörden andere Zwecke als Prävention, Strafermittlung, Strafvollstreckung oder Gefahrenabwehr verfolgen, richtet sich die Zulässigkeit damit verbundener Verarbeitung personenbezogener Daten nach der DSGVO.100 Ebenfalls nicht von der Ausnahme erfasst werden Tätigkeiten von Behörden zu Zwecken gemäß Art. 2 Abs. 2 lit. d DSGVO unter offenkundiger Verletzung von Zuständigkeitsregelungen.101 Das ist etwa der Fall, wenn ein Polizeibeamter unter offensichtlicher Überschreitung seiner Kompetenzen eine KFZ-Halterabfrage durchführt, um die Kontaktdaten der Halterin aus privaten Motiven zu erhalten.102 Die Verarbeitung personenbezogener Daten durch Gerichte und Justizbehörden im Rahmen ihrer judikativen Funktionen fällt in den Anwendungsbereich der DSGVO und wird nicht von der Ausnahme gemäß Art. 2 Abs. 2 lit. d DSGVO erfasst.103 Gemäß Art. 55 Abs. 3 DSGVO ist die Kontrolle der Datenverarbeitung durch Gerichte und Justizbehörden im Bereich justizielle Tätigkeit von der Zuständigkeit der Aufsichtsbehörden ausgenommen (siehe Art. 55 Rn. 10ff.). Die Mitgliedstaaten können jedoch speziellere Regelungen zur Datenverarbeitung durch die Justiz erlassen, die soweit die Anwendung der DSGVO ausschließen (zur Datenschutzaufsicht über Justizbehörden siehe Art. 55 Rn. 10).104
5. Datenverarbeitung durch Einrichtungen und Organe der Union (Abs. 3)
29
Die Verarbeitung personenbezogener Daten durch Organe, Einrichtungen, Ämter und Agenturen der Union fällt gemäß Art. 2 Abs. 3 DSGVO nicht in den Anwendungsbereich der DSGVO. Für diese Datenverarbeitungen galt ursprünglich die Verordnung 45/2001.105 Die Verordnung 45/2001 und andere Rechtsakte der Union über die Verarbeitung personenbezogener Daten sollen nach der rechtlich nicht zwingenden Regelung106 in Art. 2 Abs. 3 Satz 2 DSGVO an die DSGVO angepasst und in deren Lichte ausgelegt werden.107 Zu diesem Zweck wurde inzwischen die Verordnung 2018/1725108 verabschiedet.