Kurzbeitrag : Anwendung der DS-GVO bei Parlamenten, Fraktionen, Abgeordneten und politischen Parteien : aus der RDV 6/2018, Seite 317 bis 320
I. Das geltende nationale Recht
Mit einem Beschluss vom 5. 9. 2018 hat die DSK (Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder) zur Anwendung der DS-GVO bei Verarbeitungen von Parlamenten und deren Organe sich wie folgt positioniert:
- Soweit Datenverarbeitungen von Parlamenten (auch deren Organe einschließlich der Abgeordneten) den parlamentarischen Kerntätigkeiten zuzuordnen sind, findet die DS-GVO keine Anwendung.
- Parlamente (auch deren Organe einschließlich der Abgeordneten) unterliegen bei der Ausübung originär parlamentarischer Kerntätigkeiten nur dann datenschutzrechtlichen Vorgaben und der Aufsicht der Aufsichtsbehörde, wenn sich dies aus einer klaren gesetzlichen Regelung ergibt.
- Die Einordnung von Tätigkeiten der Parlamente (auch deren Organe einschließlich der Abgeordneten) als verwaltende und fiskalische in Abgrenzung zur parlamentarischen Kerntätigkeit bedarf jeweils einer Bewertung im Einzelfall.
- Soweit keine gesetzlichen Grundlagen für die parlamentarische Kerntätigkeit bestehen, wäre eine Datenschutzordnung des Parlaments zu empfehlen, die sich an der DS-GVO orientieren sollte. Eine Beratung durch die Aufsichtsbehörde sollte in jedem Fall unbenommen bleiben.
- Parteien als nicht-öffentliche Stellen sind grundsätzlich Normadressaten der DS-GVO und unterliegen damit der Aufsicht der Aufsichtsbehörden. Eine mögliche Berücksichtigung ihres besonderen Status im Rahmen der Gesetzesanwendung bleibt unberührt.
Der Beschluss der DSK geht davon aus, dass die DS-GVO bei der Verarbeitung personenbezogener Daten im Rahmen parlamentarischer Tätigkeit, d.h. namentlich für solche von Fraktionen und Abgeordneten, nicht zur Anwendung kommt. Bedeutung hat er zunächst für den Bund, da hierzu Regelungen im Bundesdatenschutzgesetz nicht enthalten sind.
Anders ist die Situation bei den Bundesländern, die durchweg für die Landesparlamente entsprechende Bereichsausnahmen geschaffen haben.
So heißt es in § 2 Abs. 2 NDSG wie folgt: „ Der Landtag, seine Mitglieder, die Fraktionen sowie ihre jeweiligen Verwaltungen und Beschäftigten unterliegen nicht den Bestimmungen dieses Gesetzes, soweit sie bei der Wahrnehmung parlamentarischer Aufgaben personenbezogene Daten verarbeiten und dabei die vom Landtag erlassene Datenschutzordnung anzuwenden haben.“
Gleichermaßen lautet § 2 LDSG Rh.-Pf. in Abs. 2: „(2) Der Landtag, seine Gremien, seine Mitglieder, die Fraktionen sowie deren Verwaltungen und deren Beschäftigte unterliegen nicht den Bestimmungen dieses Gesetzes, soweit sie in Wahrnehmung parlamentarischer Aufgaben personenbezogene Daten verarbeiten. Der Landtag erlässt insoweit unter Berücksichtigung seiner verfassungsrechtlichen Stellung und der Grundsätze dieses Gesetzes eine Datenschutzordnung.“
In der ausführlichen Gesetzesbegründung (LT-Drs. 17/ 5703) heißt es dann wie folgt: „Nach dieser Regelung sollen der Landtag, seine Gremien, seine Mitglieder, die Fraktionen sowie deren Verwaltungen und deren Beschäftigte wie bisher den Bestimmungen dieses Gesetzes nicht unterliegen, soweit diese in Wahrnehmung parlamentarischer Aufgaben personenbezogene Daten verarbeiten. Das trägt der besonderen verfassungsrechtlichen Stellung des Landtags Rechnung. Die Geltung dieses Gesetzes für die vom Landtag ebenfalls wahrgenommenen Verwaltungstätigkeiten bleibt unberührt. Zu diesen zählen insbesondere die wirtschaftlichen Angelegenheiten des Landtags im Sinne des Art. 85 Abs. 3 Satz 1 der Landesverfassung, die Personalverwaltung, die Ausübung des Hausrechts und der Polizeigewalt gemäß Art. 85 Abs. 3 Satz 4 der Landesverfassung und die Ausführung des Landeshaushaltsgesetzes einschließlich des Haushaltsplanes, die Gewährung von Leistungen nach dem Abgeordnetengesetz sowie die Ausführung des Fraktionsgesetzes und der §§ 60a bis 60c des Landeswahlgesetzes (LWahlG) vom 24. November 2004 (GVBl. S. 520) BS 1110-1, zuletzt geändert durch Gesetz vom 22. November 2015 (GVBl. S. 479) durch die Präsidentin oder den Präsidenten des Landtags.
Mit der in Satz 2 vorgesehenen Regelung, wonach sich der Landtag unter Berücksichtigung seiner verfassungsrechtlichen Stellung und der Grundsätze dieses Gesetzes eine Datenschutzordnung gibt, werden die gesetzlichen Voraussetzungen für den Erlass der auch im Rahmen der Wahrnehmung parlamentarischer Aufgaben notwendigen datenschutzrechtlichen Regelungen beibehalten. Danach ist es Aufgabe des Landtags, insoweit Vorschriften zu erlassen, die sowohl den Erfordernissen der Unabhängigkeit des Parlaments und seinen Informationsrechten als auch dem Schutz personenbezogener Daten betroffener Personen Rechnung tragen. Die Vorgaben der Datenschutz-Grundverordnung finden insoweit keine Berücksichtigung, da diese nicht für Verarbeitungen personenbezogener Daten im Rahmen von Tätigkeiten außerhalb des Anwendungsbereichs des Unionsrechts gilt (Art. 2 Abs. 2 Buchst. a DS-GVO). Die verfassungsrechtlich garantierte Stellung des Parlaments und seiner Mitglieder im System der Gewaltenteilung gebietet es, die parlamentarische Tätigkeit des Landtags, seiner Gremien, seiner Mitglieder und der Fraktionen von dem Anwendungsbereich der Datenschutz-Grundverordnung auszunehmen. Die besondere Stellung der regionalen Parlamente im Regelungsbereich des Datenschutzes ergibt sich aus der unmittelbaren Wahl ihrer Mitglieder durch das Volk (vgl. Art. 20 des Grundgesetzes sowie Art. 74 der Landesverfassung) und aus der Rechtsstellung ihrer Mitglieder als freie Abgeordnete (vgl. die Art. 38, 46 und 47 des Grundgesetzes sowie die Art. 79, 93, 94 und 95 der Landesverfassung), die keiner staatlichen Fremdkontrolle unterliegen. Zudem gewährleistet der Grundsatz der Parlamentsautonomie, dass der Landtag seine Aufgaben und Funktionen unabhängig von den anderen Verfassungsorganen, insbesondere der Exekutive, wahrnehmen kann (siehe BVerfGE 94, 351 (369); 96, 264 (278 f.); 112, 118 (140); Magiera, in: Sachs, GG, 7. Aufl. 2014, Art. 40 Rn. 1; Perne, in: Brocker/Droege/Jutzi, Verfassung für Rheinland-Pfalz, 1. Aufl. 2014, Art. 85 Rn. 5). Die nach der Datenschutz-Grundverordnung vorgesehene Datenschutzaufsicht widerspricht dieser besonderen verfassungsrechtlich garantierten Stellung der regionalen Parlamente, soweit sie parlamentarische Tätigkeiten wahrnehmen.
§ 2 Abs. 5 LDSG Baden-Württemberg formuliert dagegen im gleichen Sinne den Anwendungsbereich des Gesetzes in positiver Form: „Dieses Gesetz gilt für den Landtag sowie unbeschadet des Abs. 1 Nummer 3 für die Gerichte nur, soweit sie in Verwaltungsangelegenheiten tätig werden.“
Ebenso verfährt Schleswig-Holstein in § 2 Abs. 5 LDSG: Dieses Gesetz gilt für den Landtag sowie unbeschadet des Abs. 1 Nummer 3 für die Gerichte nur, soweit sie in Verwaltungsangelegenheiten tätig werden.
Zu der entsprechenden Regelung in § 5 Abs. 2 LDSG N.-W. (= Für den Landtag gelten die Verordnung (EU) 2016/679 und Teil 2 dieses Gesetzes, soweit er Verwaltungsaufgaben wahrnimmt) erläutert die Gesetzesbegründung (Lt-Drs. 17/1981, S. 134) wie folgt: „Ausnahmen gelten wie bisher für die Gerichte, die Staatsanwaltschaften, den Landesrechnungshof und die Staatlichen Rechnungsprüfungsämter sowie den Landtag, soweit diese Stellen keine Verwaltungsaufgaben wahrnehmen. Speziell für den Landtag wird darüber hinaus die Anwendbarkeit der DS-GVO erklärt, da die Tätigkeit eines Parlaments eigentlich nicht Gegenstand des Unionsrechtes ist. Es bleibt dem Landtag unter Berücksichtigung seiner verfassungsrechtlichen Stellung überlassen, im Rahmen seiner Autonomie gegebenenfalls eine Datenschutzordnung zu erlassen.
II. Rechtliche Basis der Ausnahme
Die Ausnahme von der Anwendung der DS-GVO bei der eigentlichen parlamentarischen Arbeit dienenden Verarbeitungen personenbezogener Daten ergibt sich aus der in Art. 2 lit. a DS-GVO geregelten „deklaratorischen“ Ausnahme vom Geltungsbereich der DS-GVO für Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen. Nach Art. 4 Abs. 2 S. 1 des EU-Vertrages (EUV) achtet die Union die nationale Identität, die in ihren grundlegenden politischen und verfassungsmäßigen Strukturen zum Ausdruck kommt. Dazu gehört das verfassungsmäßige Prinzip der Gewaltenteilung. Ordnet man unter Beachtung dieses Grundsatzes den innerparlamentarischen Datenschutz diesen dem Unionsrecht grundsätzlich entzogenen Strukturen zu, hat der Beschluss der DSK seine Basis, wobei das Gewaltenteilungsprinzip als eine ungeschriebene Ausnahme vom Anwendungsbereich der datenschutzrechtlichen Regelungen generell bzw. zumindest hinsichtlich der datenschutzrechtlichen Aufsicht im parlamentarischen Bereich Wirkung entfalten muss.
So stellte der BT-Ausschuss für Wahlprüfung, Immunität und Geschäftsordnung in seiner 39. Sitzung am 25.04.2017 wie folgt fest: „Die DS-GVO darf die innerstaatliche Gewaltenteilung, die ein allen Verfassungen der EU-Mitgliedstaaten immanentes Prinzip ist, nicht aushebeln. Dies folgt aus Art. 2 Abs. 2 lit. a DS-GVO, wonach Verarbeitungen personenbezogener Daten im Rahmen von Tätigkeiten aus dem Anwendungsbereich der DS-GVO und der nationalen Umsetzungsgesetze ausgenommen sind, die nicht in den Anwendungsbereich des Unionsrechts fallen. Alle Kontrollrechte und weiteren Befugnisse, welche die Exekutive in Gestalt der Datenschutzbeauftragten auf Bundes-und Landesebene aufgrund europarechtlicher Zuweisung erhält, darf sie nur im Rahmen des verfassungsrechtlich Zulässigen ausüben. Ausgenommen von der datenschutzrechtlichen Kontrolle nach der DS-GVO und dem BDSG-neu ist daher die legislative Arbeit der deutschen Parlamente. Dazu gehört insbesondere die Tätigkeit des Präsidiums und des Ältestenrates, der Ausschusssekretariate, der Fraktionen und Gruppen sowie der Abgeordnetenbüros – sowohl des Bundestages als auch der Landesparlamente.“
Der Ausschuss für Wahlprüfung, Immunität und Geschäftsordnung stellte damit in jedem Falle eine Ausnahme von der Kontrollzuständigkeit der Aufsichtsbehörde für den parlamentarischen Bereich fest. Wie in der bisherigen Praxis kann es aber auch zukünftig im Rahmen einer verfassungskonformen Interpretation der datenschutzrechtlichen Vorgaben bei einem Kooperationsverhältnis zwischen Aufsichtsbehörde und Parlament bleiben, ohne dass Kontrollbefugnisse ausgeübt werden.
In der Literatur wird – entgegen oben aufgezeigter Gesetzesbegründungen und der Auffassung der DSK – zum Teil davon ausgegangen, dass diese Ausnahme für die Aufsicht der Exekutive über die Legislative gilt, jedoch die Geltung der materiellen datenschutzrechtlichen Vorgaben auch im parlamentarischen Bereich unberührt lässt. Die Tätigkeit der Abgeordneten und der Fraktionen würde daher einem ähnlichen Regelungssystem unterliegen, wie es für die richterliche Tätigkeit gilt. Nach Art. 55 Abs. 3 DS-GVO und § 9 Abs. 2 BDSG ist diese lediglich von der Aufsicht ausgenommen. Dennoch sind die datenschutzrechtlichen Regelungen bei Ausübung der richterlichen Tätigkeit anzuwenden und im Wege der Selbstkontrolle zu beachten. Ob die unterschiedliche Auffassung irgendwann die Rechtsprechung beschäftigen wird, bleibt abzuwarten.
* Der Autor ist Ehrenvorsitzender der Gesellschaft für Datenschutz und Datensicherheit e.V., Bonn.