Mit Wirkung zum 25. Mai 2018 endete die Übergangsfrist zur Umsetzung der Daten­schutzgrundverordnung (EU) 2016/679 vom 27. April 2016 (DSGVO). Damit gilt ab dem 25. Mai 2018 die DSGVO. Anlässlich dessen sind im Bundesministerium für Wirtschaft und Energie (BMWE) vermehrt datenschutzrechtliche Anfragen hier betreuter Unternehmen eingegangen. Vor diesem Hintergrund hat sich das BMWE mit der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zu der Frage abgestimmt, ob die DSGVO im Anwendungsbereich des Sicherheits­überprüfungsgesetzes (SÜG) greift.

Ausweislich § 1 Absatz 1 SÜG soll das SÜG die Voraussetzungen und das Verfahren der Sicherheitsüberprüfung (inkl. Wiederholungsüberprüfungen) sowie den Schutz von Verschlusssachen umfassend regeln. Um diesem Regelungsziel gerecht zu werden, regelte das SÜG vor Inkrafttreten der DSGVO auch datenschutzrechtliche Fragen. Diese spezifischen Regeln ließen für eine Anwendung des allgemeinen Bundesdaten-schutzgesetzes (BDSG) in der Satellitendatensicherheit nur in­soweit Raum, als dass § 36 Absatz 2 SÜG gezielt auf ausgewählte Regeln verwies. Das SÜG war insofern bisher als ein bereichsspezifisches Datenschutzvollsystem angelegt.

Die DSGVO findet auf das SÜG keine Anwendung. Dessen Regelungsbereiche unterfallen nicht dem Anwendungsbereich des Gemeinschaftsrechts. Nach dem Inkraft­treten der DSGVO wurde auch das nationale Bundesdatenschutzgesetz umfassend neu strukturiert und geregelt (s. Artikel 1 des Datenschutzanpassungs- und Umsetzungs­gesetzes (EU-DS-AnpUG-EU) vom 30. Juni 2017 - BGBl. 2017, Teil I, Nr. 44, S. 2097 ff). Zugleich wurden einige Datenschutzregeln des SÜG angepasst (vgl. Artikel 5 EU-DS-AnpUG-EU). Der – unter Einschluss datenschutzrechtlicher Aspekte – umfassende Geltungsanspruch des SÜG besteht unangetastet fort. § 36 Absatz 1 SÜG n.F. enthält abschließende Regelungen zur Anwendung des BDSG n.F. Bestimmte, dort genannte Regelungen des BDSG n.F. werden für unanwendbar, andere für entsprechend an­wendbar erklärt (vgl. § 36 Absatz 1 Nummer 1 und 2 SÜG n.F.).

Mit der Geltung der DSGVO sowie den damit verbundenen Änderungen des BDSG n.F ändert sich auch nichts an der Zuständigkeit für die datenschutz-rechtliche Kontrolle im Bereich des Sicherheitsüberprüfungsrechts. Die BfDI kontrolliert sowohl bei öffentlichen als auch nichtöffentlichen Stellen (Privat­firmen) die Einhaltung der datenschutzrechtlichen Vorschriften im An­wendungsbereich des SÜG (vgl. § 36a Abs. 2 Satz 1 SÜG n.F.).

Für die Einhaltung datenschutzrechtlicher Vorschriften außerhalb des Anwendungs­bereichs des SÜG sowie die Überwachung der DSGVO sind die datenschutzrechtlichen Aufsichtsbehörden der Länder zuständig (vgl. § 40 BDSG n.F.). Die Geltung des all­gemeinen betrieblichen Datenschutzes außerhalb des Anwendungsbereichs des SÜG hingegen bleibt hiervon auch in vom BMWE in der Satellitendatensicherheit betreuten Unternehmen unberührt.

Die betreuten Unternehmen setzen die spezifischen datenschutzrechtlichen Vorgaben des SÜG ebenso wie die allgemeinen Vorgaben außerhalb des SÜG grundsätzlich eigenverantwortlich um. Bei Fragen von allgemeiner Bedeutung kann sich im Regelungsumfang des SÜG ggf. eine Abstimmung mit BMWE und BfDI anbieten. Ein Anspruch hierauf besteht nicht.