Gesetze und Gesetzgebungsverfahren

Die Regelungskompetenzen im Datenschutzrecht liegen sowohl beim EU-Gesetzgeber als auch bei den Bundes- und den Landesgesetzgebern. Sie stellen sich im Einzelnen wie folgt dar:

Europäischer Gesetzgeber

Der europäische Gesetzgeber leitet seine Kompetenz zum Erlass datenschutzrechtlicher Regelungen aus Artikel 16 Absatz 2 des Vertrages über die Arbeitsweise der Europäischen Union ab. Dort ist bestimmt, dass das Europäische Parlament und der Rat Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten erlassen können.

Davon hat der europäische Gesetzgeber mit der 2016 verabschiedeten Datenschutzreform Gebrauch gemacht, mit der die Datenschutz-Grundverordnung  und für den Bereich der Prävention und Verfolgung von Straftaten und der Strafvollstreckung eine neue Datenschutz-Richtlinie beschlossen wurden.

Bundesgesetzgeber

Der Bundesgesetzgeber ist für Regelungen über den Datenschutz im nicht-öffentlichen Bereich zuständig. Dies betrifft insbesondere die Verarbeitung personenbezogener Daten durch Unternehmen. Dem Bundesgesetzgeber steht insoweit eine Gesetzgebungsbefugnis für das Recht der Wirtschaft nach Artikel 74 Absatz 1 Nummer 11 des Grundgesetzes  zu. Der Datenschutz ist eine Materie, der für den Bereich der Wirtschaft in Deutschland einheitlich zu regeln ist, damit keine Wettbewerbsverzerrungen entstehen und sich die Unternehmen nicht auf unterschiedliche Regelungen in einzelnen Bundesländern einstellen müssen. Daher wird der Datenschutz für den nicht-öffentlichen Bereich als Annex, also als Anhang oder begleitende Rechtsmaterie, zum Recht der Wirtschaft verstanden und dem Bundesgesetzgeber zugeordnet.

Auch bei öffentlich-rechtlichen Rechtsmaterien, für die dem Bundesgesetzgeber eine Gesetzgebungskompetenz zusteht (z. B. im Sozialrecht oder im Pass- und Meldewesen), wird der Datenschutz als ein Annex zu dem jeweiligen Rechtsgebiet gesehen. Daher sind auch in weiteren Bundesgesetzen datenschutzrechtliche Regelungen enthalten, die sich auf diese Annexkompetenz stützen.

Der Bundesgesetzgeber hat darüber hinaus die Regelungen zu treffen, die für die Zusammenarbeit der Datenschutzaufsichtsbehörden auf europäischer Ebene erforderlich sind. Dies leitet sich – ebenfalls als Annexkompetenz – insbesondere aus den Zuständigkeiten des Bundesgesetzgebers für die Übertragung von Hoheitsrechten auf die Europäische Union (Artikel 23 Absatz 1 Satz 2 Grundgesetz) und für auswärtige Angelegenheiten (Artikel 73 Absatz 1 Nummer 1 Grundgesetz) ab.

Letztlich besitzt der Bundesgesetzgeber die Regelungskompetenz für die Verarbeitung personenbezogener Daten durch seine Bundesbehörden.

Landesgesetzgeber

Dort, wo der Bundesgesetzgeber keine ausschließliche Gesetzgebungskompetenz (vgl. Artikel 73 Absatz 1 Grundgesetz) besitzt oder im Rahmen der konkurrierenden Gesetzgebungskompetenz (vgl. Artikel 74 Absatz 1 Grundgesetz), sind die Bundesländer für die Regelungen zum Datenschutz verantwortlich.

Der Freistaat Sachsen hat daher in verschiedenen landesrechtlichen Gesetzen und Rechtsverordnungen datenschutzrechtliche Bestimmungen erlassen. Die unmittelbar anwendbare Datenschutz-Grundverordnung wird durch die Regelungen des Sächsischen Datenschutzdurchführungsgesetzes ergänzt.