Kitabı oxu: «Praxishandbuch DSGVO»

II. Gesetzliche Erlaubnisvorschriften

11

Im Folgenden sollen nun die in der Datenverarbeitungspraxis von Unternehmen wichtigsten Rechtsgrundlagen, die in der DSGVO oder im BDSG enthalten sind und auf deren Grundlage sich die Verarbeitung personenbezogener Daten stützen lässt, näher erläutert werden.

1. Verarbeitung personenbezogener Daten zu Zwecken der Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen

12

Einer der wichtigsten Zwecke, für den in der Praxis personenbezogene Daten verarbeitet werden, ist die Begründung, Durchführung und Beendigung von Verträgen – und dies nicht nur, wenn die Verarbeitung von personenbezogenen Daten der wesentliche Gegenstand der Leistungserbringung ist. So ist es in den meisten Fällen allein schon erforderlich zu wissen, wer die Vertragsparteien sind; personenbezogene Daten können erforderlich sein, um die Vertragsparameter bestimmen zu können (so z.B. bei Versicherungsverträgen) etc.

13

Vor diesem Hintergrund enthält die DSGVO – wie auch schon die Datenschutzrichtlinie 95/46/EG – eine Erlaubnisvorschrift, die die Verarbeitung personenbezogener Daten im Rahmen einer Vertragsbeziehung zu rechtfertigen vermag. So besagt Art. 6 Abs. 1 lit. b DSGVO, dass die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn die „Verarbeitung [...] für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“.

14

Mithin enthält diese Vorschrift zwei voneinander zu unterscheidende Erlaubnistatbestände, die alternativ nebeneinander stehen:

 1. Die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich, dessen Vertragspartei die betroffene Person ist.

 2. Die Verarbeitung ist zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.

Leitlinien des Europäischen Datenschutzausschusses

15

Der Europäische Datenschutzausschuss12 hat Leitlinien für die Verarbeitung personenbezogener Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO im Zusammenhang mit der Erbringung von Onlinediensten gegenüber betroffenen Personen veröffentlicht.13 Zwar beziehen sich diese Leitlinien insbesondere auf Onlinedienste. Doch lassen sich gerade die allgemeinen Ausführungen zu Art. 6 Abs. 1 lit. b DSGVO auch auf die „Offline-Welt“ übertragen.

16

Unternehmen, die personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeiten wollen, ist zu empfehlen, die Leitlinien des Europäischen Datenschutzausschusses aufmerksam durchzuarbeiten und – wenn möglich – diese auch zu befolgen. Zwar besitzt der Europäische Datenschutzausschuss keine Kompetenz, die DSGVO rechtsverbindlich auszulegen, so dass durchaus auch eine Abweichung von diesen Leitlinien datenschutzrechtlich zulässig oder gar geboten sein kann, zumal die Datenschutzaufsichtsbehörden insbesondere nach dem Inkrafttreten der DSGVO relativ strenge Positionen vertreten. Die Kompetenz, die DSGVO rechtsverbindlich auszulegen, verbleibt bei den Gerichten, insbesondere dem EuGH, die nicht an die Leitlinien des Europäischen Datenschutzausschusses gebunden sind. Doch ist mit großer Sicherheit davon auszugehen, dass die deutschen Datenschutzaufsichtsbehörden – ebenso wie die Behörden in den anderen EU-Mitgliedstaaten – die DSGVO grundsätzlich so auslegen und anwenden werden, wie es der Europäische Datenschutzausschuss in den jeweiligen Leitlinien ausgeführt hat, zumal diese eine gewisse Bindungswirkung gegenüber den nationalen Datenschutzaufsichtsbehörden entfalten.14 Somit besteht eine beträchtliche Rechtssicherheit, dass zumindest die Datenschutzaufsichtsbehörden eine Datenverarbeitung nicht beanstanden werden, soweit sich das verantwortliche Unternehmen dabei an die Leitlinien und anderen Vorgaben des Europäischen Datenschutzausschusses gehalten hat.

17

Möchte ein Unternehmen hingegen von den Leitlinien des Europäischen Datenschutzausschusses abweichen, sollte dies datenschutzrechtlich zuvor geprüft und die tatsächlichen Gründe sowie die rechtlichen Argumente hierfür dokumentiert werden.

a) Verarbeitung personenbezogener Daten zu Zwecken der Vertragserfüllung

18

Der Begriff der Vertragserfüllung ist weit zu verstehen und nicht mit dem zivilrechtlichen Begriff der Vertragserfüllung gleichzusetzen. Vielmehr umfasst der Begriff der Vertragserfüllung i.S.d. Art. 6 Abs. 1 lit. b DSGVO bereits den Vertragsabschluss selbst, der der eigentlichen Vertragserfüllung zeitlich vorgelagert ist.15 Auch wenn dies in der Literatur teilweise vertreten wird, gehören die Anbahnung und die Verhandlung eines Vertrages nicht zur Vertragserfüllung i.S.d. Art. 6 Abs. 1 lit. b DSGVO.16 So unterscheidet die DSGVO in Art. 6 Abs. 1 lit. b DSGVO zwischen der Durchführung vorvertraglicher Maßnahmen einerseits und der Vertragserfüllung andererseits und legt hierfür unterschiedliche Verarbeitungsvoraussetzungen fest. Vor diesem Hintergrund müssen die fraglichen Datenverarbeitungsaktivitäten nach hier vertretener Ansicht zumindest unmittelbar mit dem Vertragsabschluss im Zusammenhang stehen, damit sie auf Art. 6 Abs. 1 lit. b Alt. 1 DSGVO gestützt werden können – dies ist bei der Anbahnung und der Verhandlung eines Vertrages aber eben nicht der Fall.17

19

Weiterhin umfasst der Begriff der Vertragserfüllung die Herbeiführung des vertraglich geschuldeten Leistungserfolgs,18 die Vertragsänderung, die Abwicklung des Vertrages, also auch die Anfechtung, Beendigung bzw. Kündigung und die sonstige Ausübung eines Gestaltungsrechts, sowie die Erfüllung von Nebenpflichten und sekundären Pflichten, allen voran von Mängelgewährleistungsansprüchen.19

Leitlinien des Europäischen Datenschutzausschusses

20

Nach Auffassung des Europäischen Datenschutzausschusses („EDSA“) vermag Art. 6 Abs. 1 lit. b DSGVO grundsätzlich keine Datenverarbeitung nach vollständiger Beendigung des Vertrages zu rechtfertigen, z.B. zu Zwecken der Erfüllung von Aufbewahrungspflichten.20 Hierfür sei regelmäßig eine andere Rechtsgrundlage erforderlich. Die Speicherung zur Erfüllung von Aufbewahrungspflichten muss nach Ansicht des EDSA demzufolge z.B. i.d.R. auf Art. 6 Abs. 1 lit. c DSGVO („Erfüllung einer rechtlichen Verpflichtung“) i.V.m. mit der nationalen Rechtsvorschrift gestützt werden, die die jeweilige Aufbewahrungspflicht begründet (z.B. § 257 HGB und § 147 AO). Die Verarbeitung personenbezogener Daten im Zusammenhang mit dem durch die Kündigung ausgelösten Verwaltungsaufwand, wie z.B. der Rücksendung von Waren oder Rückzahlungen, könne hingegen auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden.21

21

Außerdem sei es nach Auffassung des EDSA generell unzulässig, zu einer neuen Rechtsgrundlage „zu wechseln“, wenn die Datenverarbeitung nicht mehr auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann, weil die betroffene Person ihre Daten ggf. nur deshalb zur Verfügung gestellt habe, weil sie davon ausgegangen sei, dass deren Verarbeitung ein notwendiger Teil der Vertragsbeziehung sei.22 Ausnahmsweise sei es allerdings zulässig, Daten für bestimmte spezifische Zwecke auch nach Vertragsbeendigung weiterzuverarbeiten, so z.B. zur Erfüllung von Aufbewahrungspflichten oder Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. In diesem Fall müssten Verantwortliche hierfür eine (gesonderte) Rechtsgrundlage bestimmen und die betroffenen Personen vor Beginn der Datenverarbeitung über diese Datenverarbeitung und die Dauer der weiteren Aufbewahrung im Einklang mit den Transparenzanforderungen der DSGVO (insb. aus Art. 13 bzw. 14 DSGVO) informieren.23

22

Unklar bleibt, ob es sich bei dieser Information nach Auffassung des EDSA um ein konstitutives Zulässigkeitserfordernis handelt, also die Weiterverarbeitung nach Beendigung des Vertrages nur dann zulässig ist, wenn der Verantwortliche die betroffene Person hierüber vor Beginn der Verarbeitung informiert hat. Eine solche Auslegung wäre nach hier vertretener Meinung allerdings nicht mit Art. 6 DSGVO vereinbar, zumal die Erfüllung der Informationspflichten gem. Art. 13 bzw. Art. 14 DSGVO nach hier vertretener Ansicht keine Rechtmäßigkeitsvoraussetzung für die Datenverarbeitung ist.24

23

Aber auch gegen die restriktive Auffassung des EDSA an sich, dass eine Datenverarbeitung nach Beendigung eines Vertrages nur ausnahmsweise auf eine andere Rechtsgrundlage gestützt werden könne, wenn Art. 6 Abs. 1 lit. b DSGVO diese nicht mehr zu rechtfertigen vermag, bestehen nach hier vertretener Auffassung zumindest ernsthafte Zweifel, da die einzelnen Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO nach hier vertretener Meinung gleichberechtigt nebeneinanderstehen25 und die Auffassung des EDSA auch nur schwer mit der Erlaubnis in Einklang zu bringen ist, personenbezogene Daten unter den in Art. 6 Abs. 4 DSGVO statuierten Voraussetzungen zu einem anderen Zweck weiterzuverarbeiten.

24

Achtung: Von den geschilderten Fällen zu unterscheiden ist – wohl auch nach Ansicht des EDSA – die Verarbeitung personenbezogener Daten zu Zwecken der Gewährleistung. So dürfen personenbezogene Daten zu diesem Zweck auch dann noch auf Basis von Art. 6 Abs. 1 lit. b DSGVO verarbeitet werden, wenn die Hauptleistungspflichten, z.B. die Erbringung der jeweiligen Dienste gegen Bezahlung eines Entgelts, bereits vollständig erfüllt wurden, da auch die Gewährleistung selbst einen Teil der Vertragserfüllung darstellt. So kann wohl auch nach Auffassung des EDSA die (weitere) Speicherung bestimmter Daten zu diesem Zweck für eine bestimmte Speicherfrist nach dem Austausch von Waren/Diensten/Zahlungen für die Vertragserfüllung erforderlich sein.26 Zwar verwendet der EDSA den Begriff der „vertraglichen Garantie“ (in der englischsprachigen Fassung: „contractual warranty“), doch ergibt sich nach hier vertretener Lesart aus dem Zusammenhang, dass hiermit wohl (auch) die Gewährleistung gemeint ist. Weitere Konkretisierungen im Hinblick auf die (nach seiner Ansicht) in diesem Zusammenhang zulässige Aufbewahrungszeit und etwa erforderliche (zusätzliche) Voraussetzungen für die weitere Aufbewahrung der Daten nimmt der EDSA nicht vor.

25

Nach hier vertretener Ansicht sprechen aber gute Gründe dafür, dass die weitere Aufbewahrung der relevanten Daten auf Basis von Art. 6 Abs. 1 lit. b DSGVO bis zum Ablauf der maßgeblichen Gewährleistungsfrist zulässig ist.27 Im Rahmen von Kaufverträgen gilt nach § 438 Abs. 1 Nr. 3 BGB für Mängelgewährleistungsansprüche z.B. in der Regel eine zweijähre Verjährungsfrist, die mit der Ablieferung der Sache beginnt. Andernfalls ließe sich die Aufbewahrung dieser Daten bis zum Ende der Gewährleistungsfrist wohl nur noch auf Art. 6 Abs. 1 lit. f DSGVO (Datenverarbeitung auf Basis einer Interessenabwägung) stützen oder der Verantwortliche müsste die Daten ggf. sogar vorher löschen.28 Es darf jedoch nach hier vertretener Ansicht nicht von ggf. entgegenstehenden Interessen der betroffenen Person abhängig sein, ob der Verantwortliche Daten zu diesem Zweck verarbeiten und gespeichert halten darf oder nicht. So kann sich der Verantwortliche ggf. nicht mehr effektiv verteidigen, wenn z.B. ein Kunde nach einer gewissen Zeit noch (unberechtigte) Gewährleistungsansprüche gegen ihn geltend macht, ihm aber keine entsprechenden Daten zu dem (abgewickelten) Geschäft mehr vorliegen.

26

Außerdem kann es nach hier vertretener Ansicht auch nach Beendigung des Vertrages noch zulässig sein, eine Datenverarbeitung auf Art. 6 Abs. 1 lit. b DSGVO zu stützen, wenn diese zur Erfüllung nachvertraglicher Sorgfaltspflichten erforderlich ist.29

27

Aus dem eindeutigen und klaren Wortlaut der Norm folgt zudem, dass eine Datenverarbeitung nur dann auf Art. 6 Abs. 1 lit. b Alt. 1 DSGVO gestützt werden kann, wenn ein Vertrag abgeschlossen wird/wurde. Entscheidend hierfür und Art. 6 Abs. 1 lit. b DSGVO zu Grunde liegend ist, dass sich die betroffene Person willentlich dazu entschieden hat, in eine (zivilrechtliche) Rechtsbeziehung mit dem Verantwortlichen zu treten.30 Hieraus folgt, dass der Begriff des „Vertrags“ i.S.d. Art. 6 Abs. 1 lit. b DSGVO so auszulegen ist, dass er auch rechtsgeschäftsähnliche Schuldverhältnisse (wie z.B. Gefälligkeitsverhältnisse, mitgliedschaftliche Beziehungen oder die Teilnahme an einem Preisausschreiben) umfasst.31 Allerdings ist der in der Praxis wohl wichtigste Fall der Datenverarbeitung im Rahmen eines rechtsgeschäftsähnlichen Schuldverhältnisses die Datenverarbeitung im Rahmen eines vorvertraglichen Schuldverhältnisses i.S.d. § 311 Abs. 2 BGB. Eben diese Datenverarbeitung ist in Art. 6 Abs. 1 lit. b Alt. 2 DSGVO gesondert geregelt und nur unter den dort genannten Voraussetzungen erlaubt.32

28

Bei einseitigen Schuldverhältnissen (wie z.B. der Auslobung oder dem Testament) ist zu unterscheiden: Wird das einseitige Schuldverhältnis durch die betroffene Person selbst begründet, handelt es sich nach hier vertretener Auffassung um einen Vertrag i.S.d. Art. 6 Abs. 1 lit. b DSGVO, da das Schuldverhältnis auf deren willentlicher Entscheidung beruht.33

29

Wird das einseitige Schuldverhältnis hingegen von einer anderen Person begründet, ist Art. 6 Abs. 1 lit. b DSGVO nach hier vertretener Auffassung i.d.R. nicht anwendbar – dies gilt zumindest dann, wenn die betroffene Person nicht frei entscheiden konnte, ob es in dieses Rechtsgeschäft (faktisch) mit „einbezogen“ wird.34 In diesem Fall kann die Datenverarbeitung aber ggf. durch andere Rechtsvorschriften erlaubt werden, z.B. durch Art. 6 Abs. 1 lit. f DSGVO („Verarbeitung auf Basis einer Interessenabwägung“).

30

Datenverarbeitungen im Rahmen von gesetzlichen Schuldverhältnissen können nicht auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, ggf. aber auf andere Erlaubnisnormen wie vor allem Art. 6 Abs. 1 lit. f DSGVO.35

Leitlinien des Europäischen Datenschutzausschusses

31

Der Europäische Datenschutzausschuss verlangt in seinen Leitlinien zur Verarbeitung personenbezogener Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO – grundsätzlich zu Recht –, dass der Vertrag, zu dessen Erfüllung die Datenverarbeitung erfolgt, wirksam sein muss.36 Um in diesem Zusammenhang seine Pflichten aus Art. 5 Abs. 2 DSGVO zu erfüllen, muss der Verantwortliche nach Ansicht des Europäischen Datenschutzausschusses sowohl die Existenz als auch die Wirksamkeit des Vertrages nachweisen.37

32

Des Weiteren muss die betroffene Person eine Partei des jeweiligen Vertrages sein, damit die Datenverarbeitung auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann. Nicht ausreichend ist es daher nach dem eindeutigen Wortlaut der Vorschrift, wenn zwei Parteien einen Vertrag abschließen, der die betroffene Person begünstigt, diese an dem Vertrag aber ansonsten nicht beteiligt ist. Demgegenüber ist es nicht erforderlich, dass auch der Verantwortliche Partei des Vertrages mit der betroffenen Person ist. Vielmehr kann der Vertrag, für den die Datenverarbeitung erforderlich ist, auch zwischen der betroffenen Person und einer anderen Person bzw. einem anderen Unternehmen geschlossen worden sein. Somit kann diese Vorschrift auch Datenverarbeitungen durch einen Verantwortlichen erlauben, dem eine bestimmte Aufgabe im Rahmen der Vertragserfüllung vom Vertragspartner der betroffenen Person übertragen wurde und in diesem Zusammenhang Daten dieser Person im Wege der Funktionsübertragung verarbeitet.38

Beispiele

Auf Art. 6 Abs. 1 lit. b Alt. 1 DSGVO können z.B. in der Regel Datenverarbeitungen im Rahmen der folgenden Aktivitäten gestützt werden:

 – Ausfertigen eines Vertrages,

 – Vertragsmanagement,

 – Erbringung der vertraglich geschuldeten Leistungen,

 – Erfüllung von Gewährleistungsansprüchen,

 – Vertragsabwicklung,

 – Vertragsbeendigung.

Nicht auf Art. 6 Abs. 1 lit. b Alt. 1 DSGVO können in der Regel z.B. Datenverarbeitungen im Rahmen der folgenden Aktivitäten gestützt werden:

 – Vertragsverhandlungen,

 – Verträge, an denen die betroffene Person nicht beteiligt ist.

b) Verarbeitung personenbezogener Daten zu Zwecken der Durchführung vorvertraglicher Maßnahmen

33

Die zweite Alternative im Rahmen des Art. 6 Abs. 1 lit. b DSGVO erlaubt die Verarbeitung personenbezogener Daten zur Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Hierdurch werden nach dem Erwägungsgrund 44 insbesondere Datenverarbeitungsaktivitäten erfasst, die für den geplanten Abschluss eines Vertrages erforderlich sind. Dies sind typischerweise Anfragen und Anträge im Rahmen des Vertragsanbahnungsverhältnisses.39 So kann z.B. die Angabe verschiedener persönlicher Daten bereits vor Vertragsabschluss erforderlich sein, damit die vertraglichen Leistungen berechnet werden können (z.B. bei einem Versicherungsvertrag) oder damit der Vertragspartner entscheiden kann, ob er einen Vertrag mit der betroffenen Person schließt oder nicht (so kann z.B. auch eine Bonitätsabfrage ggf. auf Art. 6 Abs. 1 lit. b Alt. 2 DSGVO gestützt werden).40

34

Auch wenn zu dem Zeitpunkt der Datenverarbeitung noch nicht feststehen kann, ob am Ende tatsächlich ein Vertrag geschlossen wird oder nicht, muss die Maßnahme, in deren Rahmen die Daten verarbeitet werden, aber auf den Abschluss eines Vertrages zielen.41 Reine Informationsanfragen fallen daher nicht in den Anwendungsbereich dieser Vorschrift.

35

Zudem muss die vorvertragliche Maßnahme auf Anfrage der betroffenen Person erfolgen, so z.B. im Rahmen einer Anfrage der betroffenen Partei über Vertragskonditionen. Eine taugliche Anfrage kann jede Initiative der betroffenen Person sein; eine Willenserklärung der betroffenen Person ist hierfür nicht erforderlich.42 Nicht zulässig ist es hingegen auf Basis dieser Vorschrift, wenn ein Verantwortlicher auf eigenen Entschluss Daten über potenzielle Kunden verarbeitet und sie dann ggf. zu Werbezwecken sogar anspricht.43

36

Art. 6 Abs. 1 lit. b Alt. 2 DSGVO erfordert nicht, dass der Verantwortliche der zukünftige Vertragspartner ist. Auch die Anfrage der betroffenen Person muss sich nach dem Wortlaut der Vorschrift nicht direkt an den Verantwortlichen gerichtet haben. Somit kann diese Vorschrift auch Datenverarbeitungen durch einen Verantwortlichen erlauben, der für den potenziellen Vertragspartner der betroffenen Person vorvertragliche Maßnahmen erbringt und in diesem Zusammenhang Daten dieser Person im Wege der Funktionsübertragung verarbeitet.44

c) Erforderlichkeit der Datenverarbeitung für die genannten Zwecke

37

Weitere Voraussetzung dafür, dass eine Datenverarbeitung auf eine der beiden Erlaubnisalternativen des Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann, ist, dass die Datenverarbeitung für den jeweiligen Zweck auch erforderlich ist.

aa) „Erforderlichkeit“ einer Datenverarbeitung allgemein

38

Ob eine Datenverarbeitung für den jeweiligen Zweck erforderlich ist, lässt sich ganz generell anhand der Datenschutzgrundsätze gem. Art. 5 DSGVO ermitteln. So müssen – dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO folgend – personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.

39

Auch wenn dieser Grundsatz keine Legaldefinition des Begriffs der „Erforderlichkeit“ beinhaltet, lassen sich aus ihm dessen wesentliche Elemente entnehmen: Zunächst ist der Begriff objektiv zu bestimmen; die personenbezogenen Daten müssen also objektiv dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Mithin schließt der Erforderlichkeitsgrundsatz auch im Rahmen der DSGVO eine Datenerhebung „ins Blaue hinein“ aus. Allerdings ist es dem Verantwortlichen unbenommen, die Zwecke einer Datenverarbeitung – im Rahmen des gesetzlich Erlaubten – selbst festzulegen und damit den zulässigen Umfang der Datenverarbeitung maßgeblich zu bestimmen.

40

Entscheidend für die Erforderlichkeit einer Datenverarbeitung ist also, ob sie für den verfolgten Zweck objektiv geboten ist (dann erforderlich) oder nicht (dann nicht erforderlich). Damit eine Datenverarbeitung für den verfolgten Zweck objektiv geboten ist, muss zwischen der beabsichtigten Datenverarbeitung und dem Datenverarbeitungszweck ein unmittelbarer sachlicher Zusammenhang bestehen.45 Ein solcher Zusammenhang ist jedenfalls dann gegeben, wenn der verfolgte Zweck ohne die Datenverarbeitung nicht erreicht werden könnte. Umstritten ist, ob Datenverarbeitungen auch dann als erforderlich anzusehen sind, wenn sie (nur) objektiv sinnvoll oder objektiv tauglich sind, um den verfolgten Zweck zu erreichen.46

Achtung

Der EuGH hat im Hinblick auf die Erforderlichkeit einer Datenverarbeitung gem. Art. 7 lit. f Datenschutzrichtlinie 95/46/EG („Verarbeitung auf Basis einer Interessenabwägung“) entschieden, dass sich die Ausnahmen und Einschränkungen im Hinblick auf den Schutz personenbezogener Daten gem. Art. 8 und Art. 7 GrCG auf das absolut Notwendige beschränken müssen.47 Teilweise wird dies in der datenschutzrechtlichen Literatur dahingehend ausgelegt, dass eine Datenverarbeitung für den verfolgten Zweck auch auf Basis der DSGVO ganz generell nur dann erforderlich sei, wenn ohne sie der Zweck nicht (rechtmäßig) erreicht werden könnte.48 Dies entspricht wohl auch dem Verständnis des Europäischen Datenschutzausschusses.49 Zudem scheint der EuGH die Erforderlichkeit der Datenverarbeitung an deren Verhältnismäßigkeit zu knüpfen.50

41

Unklar ist zudem, ob die Erforderlichkeit einer Datenverarbeitung nach der DSGVO und insbesondere ihrem Art. 5 Abs. 1 lit. c DSGVO auch bedingt, dass es keine Alternative zu der bestehenden/geplanten (Gestaltung der) Datenverarbeitung gibt, mit der der verfolgte Zweck ebenso erreicht werden könnte, bei der aber zugleich weniger Daten oder diese weniger „intensiv“ verarbeitet werden.51 Eine ausdrückliche Regelung hierzu beinhaltet die DSGVO jedenfalls nicht.

42

Nach hier vertretener Auffassung lässt eine „mildere“ Alternative die Erforderlichkeit einer bestehenden/geplanten Datenverarbeitung nur dann entfallen, wenn die Einführung/Durchführung dieser Alternative dem Verantwortlichen objektiv zuzumuten ist.52 So besagt der korrespondierende Erwägungsgrund zu Art. 5 DSGVO – Erwägungsgrund 39 –, dass personenbezogene Daten nur verarbeitet werden dürfen sollten, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Zwar erfasst diese Regelung ausdrücklich wohl nur die Frage, ob überhaupt personenbezogene Daten zu einem bestimmten Zweck verarbeitet werden dürfen oder nicht. Doch wenn Erwägungsgrund 39 festlegt, dass ein Verantwortlicher auch dann (überhaupt) personenbezogene Daten verarbeiten dürfen sollte, wenn er den Zweck auch ohne die Verarbeitung personenbezogener Daten erreichen könnte, ihm dies aber (nur) nicht zumutbar ist, muss auch die Verarbeitung von „mehr“ personenbezogenen Daten zulässig sein, wenn einem Verantwortlichen eine weniger „intensive“ Alternative nicht zumutbar ist. Mit anderen Worten: Wenn Erwägungsgrund 39 die Frage, ob überhaupt personenbezogene Daten verarbeitet werden dürfen, mit einem objektiven Zumutbarkeitskriterium für den Verantwortlichen verknüpft, muss dies auch für den Umfang der Datenverarbeitung gelten.

43

Welche Kriterien bei der Prüfung,53 ob eine schonendere Alternative für den Verantwortlichen objektiv zumutbar ist, zu berücksichtigen sind, bemisst sich nach dem jeweiligen Einzelfall. I. d. R. werden nach hier vertretener Ansicht u.a. die folgenden Kriterien zu berücksichtigen sein: (zusätzlicher/ersparter) Aufwand für den Verantwortlichen, der mit der Einführung/Durchführung dieser Alternative verbunden ist (z.B. an Zeit, Arbeit und Kosten), (nach-/vorteilhafte) Folgen der Alternative für den Verantwortlichen, die Bedeutung der Datenverarbeitung/des Verarbeitungszwecks für den Verantwortlichen, Vor- und Nachteile für die betroffenen Personen, insb. inwieweit die Alternative datenschutzschonender ist54 etc. Bei der Prüfung ist nach hier vertretener Ansicht die grundsätzliche Organisationsform und Arbeitsweise des Verantwortlichen zugrunde zu legen und dann nach den Gesamtumständen im Einzelfall zu beurteilen, ob eine schonendere Alternative objektiv zumutbar wäre.55

Achtung

Der EuGH hat – wie oben bereits dargestellt – im Hinblick auf die Erforderlichkeit einer Datenverarbeitung gem. Art. 7 lit. f Datenschutzrichtlinie 95/46/EG („Verarbeitung auf Basis einer Interessenabwägung“) entschieden, dass sich die Ausnahmen und Einschränkungen im Hinblick auf den Schutz personenbezogener Daten gem. Art. 8 und Art. 7 GrCG auf das absolut Notwendige beschränken müssen.56 Mithin sei nach Auffassung des EuGH zu prüfen, ob das berechtigte Interesse, also der verfolgte Zweck, vernünftigerweise ebenso wirksam mit weniger in die Grundrechte und Grundfreiheiten der betroffenen Person, vor allem nach Art. 7 und 8 GRCh, eingreifenden Mitteln erreicht werden könne.57 Nach hier vertretener Lesart kann aus diesen und den sich daran anschließenden Ausführungen aber nicht entnommen werden, dass – wenn es derartige Mittel gibt – diese nach Ansicht des EuGH auch zwingend unter allen Umständen eingesetzt werden müssen, damit die Datenverarbeitung erforderlich sein kann. Unter welchen Umständen eine Pflicht dazu nach Auffassung des EuGH besteht, geht nach hiesigem Verständnis aus dem Urteil nicht hervor, da es für Ausführungen hierzu auch keinen Anlass gab.58 Eine generelle Pflicht, zwingend das jeweils „schonendste“ Mittel einzusetzen, würde nach hier vertretener Ansicht jedenfalls gegen den (allgemeinen) Verhältnismäßigkeitsgrundsatz (vgl. hierzu z.B. Erwägungsgrund 4 S. 2, Art. 52 Abs. 1 S. 2 GRCh) und ggf. auch gegen die unternehmerische Freiheit nach Art. 16 GRCh verstoßen.

Leitlinien des Europäischen Datenschutzausschusses

44

Auch wenn der Europäische Datenschutzausschuss sich in seinen Leitlinien zur Verarbeitung personenbezogener Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO schwerpunktmäßig mit der Frage der Erforderlichkeit einer Datenverarbeitung beschäftigt, bleibt es unklar, ob die europäischen Datenschutzaufsichtsbehörden einen ähnlichen wie den hier vertretenen oder einen strengeren Ansatz verfolgen.59

45

So führt der Europäische Datenschutzausschuss aus, dass in einem ersten Schritt auf objektiver Basis die jeweils durch eine Datenverarbeitung verfolgten Zwecke zu bestimmen seien. Im Anschluss daran sei in einem zweiten Schritt zu prüfen, ob realistische, weniger eingreifende Mittel existieren, um das jeweils verfolgte Ziel zu erreichen. Ist dies der Fall, ist die Datenverarbeitung nach Ansicht des Europäischen Datenschutzausschusses nicht erforderlich.60

46

Existieren schonendere Alternativen, müssen Verantwortliche nach hier vertretener Lesart der Leitlinien diese also nur dann einführen, wenn sie auch „realistisch“ sind. Leider enthalten die Leitlinien keine Hinweise darauf, wann eine schonendere Alternative „realistisch“ ist. Ganz generell verweist der Europäische Datenschutzausschuss in diesem Zusammenhang an vielen Stellen auf ein Toolkit des Europäischen Datenschutzbeauftragten zur Beurteilung der Erforderlichkeit von Maßnahmen, die das Grundrecht auf Schutz personenbezogener Daten einschränken.61 Doch richtet sich dieses Toolkit an die EU-Organe und beschäftigt sich zuvorderst mit der Frage, unter welchen Voraussetzungen Maßnahmen erforderlich sind, die das Recht auf Schutz personenbezogener Daten gem. Art. 8 GRCh einschränken. Deshalb lassen sich diese Ausführungen nach hier vertretener Ansicht zumindest nicht unmittelbar auf die vorliegende Frage übertragen.

46a

Darüber hinaus hat sich der Europäische Datenschutzausschuss auch im Rahmen seiner Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte mit der Erforderlichkeit einer Datenverarbeitung beschäftigt – und zwar im Hinblick auf die Videoüberwachung auf Basis von Art. 6 Abs. 1 lit. f DSGVO. Allerdings gehen nach hier vertretener Lesart auch aus diesen Leitlinien die genauen Voraussetzungen, unter denen ein Verantwortlicher nach Auffassung des EDSA eine schonendere Alternative einsetzen muss, nicht eindeutig hervor. Zwar könnte eventuell geschlussfolgert werden, dass der EDSA dort die Auffassung vertritt, dass ein Verantwortlicher (nur) dann schonendere Alternativen einsetzen muss, wenn diese „vernünftig“ sind.62 Doch bleibt es jedenfalls offen, wann schonendere Alternativen nach Ansicht des EDSA „vernünftig“ sind.

46b

Um zu ermitteln, ob im Einzelfall (überhaupt) weniger eingreifende, „schonendere“ Alternativen zu der bestehenden/geplanten Datenverarbeitung existieren, sollten Unternehmen vor diesem Hintergrund jedenfalls prüfen, ob die verfolgten Zwecke auch durch die Verarbeitung nicht-personenbezogener Daten, von weniger Daten,63 von weniger granularen oder von aggregierten Daten,64 von pseudonymisierten Daten,65 eine weniger „eingreifende“ Art und/oder eine geringere Frequenz der Datenverarbeitung66 erreicht werden könnten. Außerdem sollten Unternehmen, die Daten aus anderen Quellen erheben (wollen), prüfen, inwieweit eine Erhebung der personenbezogenen Daten bei der betroffenen Person möglich ist.67 Ebenso sollte untersucht werden, inwiefern die einzusetzende/eingesetzte Technologie state-of-the-art im Hinblick auf Datenvermeidung und -minimierung ist.68 In Abhängigkeit vom jeweiligen Einzelfall können aber auch noch andere Faktoren eine Rolle spielen.69

46c

Existieren weniger eingreifende, „schonendere“ Alternativen, bedeutet das nach hier vertretener Ansicht – wie oben erläutert – aber nicht automatisch, dass diese auch (anstelle der bestehenden/geplanten Datenverarbeitung) eingeführt werden müssen, damit die Datenverarbeitung erforderlich für den jeweils verfolgten Zweck sein kann. Eine solche Pflicht besteht nach hiesiger Auffassung nur unter den oben in Rn. 42f. genannten Bedingungen – insbesondere muss die Einführung/Durchführung der schonenderen Alternative dem Verantwortlichen objektiv zumutbar sein. Zur Reduzierung etwaiger Haftungsrisiken, wenn Datenschutzaufsichtsbehörden oder Gerichte der hier vertretenen Auffassung nicht vollumfänglich folgen sollten, ist Unternehmen – insbesondere vor dem Hintergrund des oben dargestellten Urteils des EuGH – aber zu empfehlen, den hier verfolgten Ansatz jedenfalls nicht „bis zum Anschlag“ auszureizen und wichtige/kritische Datenverarbeitungen ggf. mit den zuständigen Datenschutzaufsichtsbehörden abzustimmen.70

46d

Auf jeden Fall sollte sichergestellt werden, dass der Kreis der Personen, die Zugriff auf die personenbezogenen Daten erhalten, auf diejenigen beschränkt ist, die in Ausübung ihrer Aufgaben auf diese Daten zugreifen müssen.71

Praxishinweis

Unternehmen sollten insbesondere vor dem Hintergrund der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO die Prüfung von (schonenderen) Alternativen dokumentieren, ebenso wie die Gründe, warum das Unternehmen sich im Ergebnis für eine bestimmte Gestaltung der Datenverarbeitung entschieden hat und ggf. mögliche, schonendere Alternativen nicht eingeführt wurden/werden konnten.

46e

Sind personenbezogene Daten für den Zweck, für den sie verarbeitet werden, nicht mehr erforderlich, dürfen Verantwortliche sie für diesen grundsätzlich nicht mehr verarbeiten. Sofern die Daten nicht noch zulässigerweise für einen anderen Zweck verarbeitet werden dürfen, sind sie nach Maßgabe von Art. 17 DSGVO grundsätzlich zu löschen.72

bb) Erforderlichkeit einer Datenverarbeitung für die in Art. 6 Abs. 1 lit. b DSGVO genannten Zwecke

47

Auf den Fall der Datenverarbeitung auf Basis von Art. 6 Abs. 1 lit. b DSGVO angewandt, haben die generellen Ausführungen zur Erforderlichkeit einer Datenverarbeitung die folgenden Konsequenzen: Welche Daten auf welche Weise auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO im konkreten Einzelfall verarbeitet werden dürfen, folgt maßgeblich aus den konkreten Inhalten des (beabsichtigten) Vertrages. Für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, ist die Datenverarbeitung erforderlich, wenn sie zur Erfüllung der Pflichten oder der Wahrnehmung von Rechten aus dem Vertrag objektiv geboten ist.73 Jedenfalls werden die Kontaktdaten der Vertragsparteien für die Erfüllung eines solchen Vertrages erforderlich sein, ebenso wie die Daten über den wesentlichen Inhalt des Vertrages und die zur Kontrolle der ordnungsgemäßen Abwicklung (z.B. Rechnungsstellung und Lieferung) erforderlichen Daten.74 Darüber hinaus kann im Einzelfall aber noch die Verarbeitung einer Vielzahl weiterer Daten für den genanten Zweck erforderlich sein, so z.B. von Bonitätsabfragen, sofern eine Partei ein Kreditrisiko übernimmt, Bankdaten oder Lieferadressen.75

Leitlinien des Europäischen Datenschutzausschusses

48

Der Europäische Datenschutzausschuss („EDSA“) hat sich in seinen Leitlinien zur Datenverarbeitung gem. Art. 6 Abs. 1 lit. b DSGVO schwerpunktmäßig mit der Frage der Erforderlichkeit der Datenverarbeitung für die Vertragserfüllung auseinandergesetzt. Demnach müsse die Datenverarbeitung objektiv für den grundlegenden und einvernehmlich durch den Verantwortlichen und die betroffene Person anerkannten Vertragszweck erforderlich sein, damit sie auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann. Entscheidend sei das gemeinsame Verständnis vom wesentlichen Vertragszweck.76 Zur Ermittlung dieses Zwecks könnten u.a. die folgenden Kriterien dienen: 1. Art und besondere Merkmale der vertraglichen Leistungen, 2. Beweggründe und wesentliche Elemente des Vertrages, 3. Erwartungen der Vertragsparteien und 4. vernünftige Erwartungen einer durchschnittlichen betroffenen Person.77 Erforderlich sei die Datenverarbeitung, wenn der Vertrag – unter Zugrundelegung dieses Vertragszwecks – ohne die Datenverarbeitung nicht erfüllt werden könne.78

49

Somit vertritt der EDSA wohl grundsätzlich ein (sehr) restriktives Verständnis von der Erforderlichkeit einer Datenverarbeitung für die Erfüllung eines Vertrages, welches nach hier vertretener Ansicht vor dem Hintergrund der obigen Ausführungen zur Erforderlichkeit einer Datenverarbeitung auch zu streng ist – und für viele Unternehmen, die Daten auf dieser Grundlage verarbeiten, zu Schwierigkeiten führen dürfte. Dennoch sollten Unternehmen die Leitlinien des EDSA aus Gründen der Haftungsvermeidung – soweit wie möglich – einhalten, da der EDSA die DSGVO zwar nicht rechtsverbindlich auszulegen vermag, aber davon auszugehen ist, dass zumindest die (nationalen) Datenschutzaufsichtsbehörden den Ausführungen des EDSA folgen werden.

50

Ein (gewisser) Raum zum Argumentieren könnte sich für Praktiker aber aus den Ausführungen des EDSA ergeben, wie das gemeinsame Verständnis vom wesentlichen Vertragszweck zu ermitteln sei. Dieses hänge nicht nur von der Sicht des Verantwortlichen, sondern auch von der angemessenen Sicht einer durchschnittlichen betroffenen Person bei Vertragsschluss ab. Für die angemessene Sicht einer durchschnittlichen betroffenen Person kann es nach Ansicht des EDSA wohl auch eine Rolle spielen, wie ein Dienst angepriesen und beworben wird. Es sei mithin die Frage zu stellen, ob ein normaler Nutzer des Dienstes vernünftigerweise erwarten würde, dass in Anbetracht der Art des Dienstes die geplante Datenverarbeitung erfolgt, um den Vertrag zu erfüllen, dessen Vertragspartei er ist.79 Vor dem Hintergrund dieser Ausführungen könnte es für Verantwortliche ggf. in einem gewissen (engen) Rahmen möglich sein, die Person so zu informieren bzw. zu bewerben, dass es ihrer Vorstellung/Erwartung entspricht, dass eine bestimmte Datenverarbeitung vernünftigerweise auch unter Berücksichtigung der Natur des Dienstes erfolgt – und damit ggf. argumentiert werden kann, dass die Datenverarbeitung auch unter Anlegung der strengen Maßstäbe des EDSA auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann.

51

Außerdem können sich gewisse Ansatzpunkte für Praktiker auch dadurch bieten, dass der EDSA sein grundsätzlich strenges Verständnis von der Erforderlichkeit an einer Stelle wohl etwas großzügiger handhabt. Zwar könne Art. 6 Abs. 1 lit. b DSGVO nur Datenverarbeitungen rechtfertigen, die erforderlich für die Erfüllung eines Vertrages sind, wohingegen die Vorschrift nicht automatisch alle sonstigen Aktivitäten rechtfertigen könne, die durch die Nichterfüllung ausgelöst würden. Ebenso finde sie nicht automatisch auf alle anderen Vorkommnisse im Rahmen der Erfüllung des Vertrages Anwendung. Allerdings könnten bestimmte Aktivitäten vernünftigerweise im Rahmen einer normalen Vertragsbeziehung vorhersehbar und erforderlich sein und auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, wie z.B. die Versendung von offiziellen Mahnungen oder die Speicherung von Daten für eine bestimmte Zeit zu Zwecken der Gewährleistung.80 Diese Liste an Beispielen ist aber nicht abschließend. Mithin können Unternehmen ggf. auch bei anderen Datenverarbeitungen argumentieren, dass sie die (strengen) Vorgaben des EDSA einhalten, weil diese vernünftigerweise im Rahmen einer normalen Vertragsbeziehung vorhersehbar und erforderlich sind.

52

Nicht ausreichend, um sich auf Art. 6 Abs. 1 lit. b DSGVO berufen zu können, sei es nach den weiteren Ausführen des EDSA hingegen, wenn der Verantwortliche die Datenverarbeitung in dem jeweiligen Vertrag, z.B. in den Nutzungsbedingungen, regele, diese aber für die eigentliche Vertragserfüllung nicht erforderlich, sondern nur nützlich für den Verantwortlichen (und ggf. dessen Geschäftmodell) ist.81 So sollte der Verantwortliche im Rahmen eines Onlinedienstes z.B. nachweisen können, inwieweit der Hauptgegenstand des Einzelvertrages mit der betroffenen Person tatsächlich nicht erfüllt werden kann, wenn die jeweilige Datenverarbeitung nicht erfolgen würde.82 Wenn mehrere verschiedene Dienste, die eigentlich auch einzeln/getrennt voneinander erbracht werden könnten, in einem Vertrag zusammengefasst würden, müsse zudem für jeden einzelnen dieser Dienste separat geprüft werden, ob die Datenverarbeitung für den einzelnen von der betroffenen Person aktiv gewünschten Dienst erforderlich ist oder nicht. Soweit dies nicht der Fall ist, könne die Datenverarbeitung nur auf eine andere Rechtsgrundlage als Art. 6 Abs. 1 lit. b DSGVO gestützt werden.83

53

In diesem Zusammenhang beschäftigt sich der EDSA auch konkret mit einigen relevanten Fallgruppen. So soll im Rahmen von Onlinediensten die Verarbeitung personenbezogener Daten zu Zwecken der Bildung von Profilen über die Vorlieben und den Lebensstil des Webseitenbesuchers, zu Zwecken der Verbesserung des Dienstes, zur Betrugsprävention und im Rahmen des Online Behavioral Advertising84 i.d.R. nicht auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden können, wohingegen die Datenverarbeitung zu Zwecken der Personalisierung von Angeboten unter gewissen Umständen auf diese Rechtsvorschrift gestützt werden können soll.85

54

Allerdings sind die Ausführungen des EDSA auch an dieser Stelle mit einiger Vorsicht anzuwenden, zumal sie – wie oben bereits erläutert – teilweise sehr strenge Positionen enthalten, die nicht allesamt den hier vertretenen Ansichten entsprechen. So sind sie (zum Teil auch notwendigerweise) sehr abstrakt, vage und pauschal gehalten, gerade im Hinblick auf die soeben erwähnten Fallgruppen. Die Leitlinien entbinden einen Verantwortlichen daher nicht von einer Prüfung des jeweiligen Einzelfalls. Auf der anderen Seite kann vor diesem Hintergrund eine konkrete Datenverarbeitung – auch trotz gegenteiliger Ausführungen in den Leitlinien – zulässig sein, und zwar nicht nur, weil die Leitlinien keinen verbindlichen Charakter haben,86 sondern auch, weil im Einzelfall bestimmte Umstände vorliegen, die ein Abweichen von den (pauschalen) Leitlinien rechtfertigen.

Praxishinweis

Ob eine Datenverarbeitung zur Vertragserfüllung erforderlich ist, bestimmt sich also maßgeblich auch anhand der Gestaltung des jeweiligen Dienstes bzw. Produkts und den vertraglichen Rechten und Pflichten. Möchte ein Unternehmen Daten auf Basis von Art. 6 Abs. 1 lit. b DSGVO verarbeiten, sind insbesondere die Beschreibung des Dienstes bzw. des Produktes sowie die vertraglichen Rechte und Pflichten so zu formulieren, dass sie die Datenverarbeitung auf Basis von Art. 6 Abs. 1 lit. b DSGVO ermöglichen. Dies stellt einerseits eine Herausforderung dar, zumal die bloße Beschreibung von Datenverarbeitungen im Vertrag zumindest nach Ansicht der europäischen Datenschutzaufsichtsbehörden diese nicht zu rechtfertigen vermag. Dennoch ergeben sich hier für Unternehmen – trotz der genannten Einschränkungen – gewisse Gestaltungsspielräume. Außerdem kann es ggf. sinnvoll/notwendig sein, dass das Unternehmen betroffene Personen vor dem Hintergrund der Ausführungen unter Rn. 50 vor dem Vertragsschluss über „besondere Eigenschaften“ des Produktes/Dienstes informiert bzw. diese bewirbt, so dass damit verbundene Datenverarbeitungen von der betroffenen Person schon bei Vertragsschluss auch unter Berücksichtigung der Natur des Dienstes erwartet werden.

55

Sollten bestimmte Daten oder Datenverarbeitungen für die Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen nicht erforderlich in dem vorgenannten Sinne sein, kann der Verantwortliche aber gleichwohl ein berechtigtes Interesse an deren Verarbeitung haben, woraufhin die Datenverarbeitung ggf. auf Art. 6 Abs. 1 lit. f („Verarbeitung auf Basis einer Interessenabwägung“) DSGVO gestützt werden kann.

Praxishinweis

Bei der Gestaltung von Datenverarbeitungsprozessen ist aus Gründen der Rechts- und Investitionssicherheit – auch vor dem Hintergrund von Art. 25 Abs. 1 DSGVO – zu empfehlen, einen möglichst datenschonenden Ansatz zu wählen. Zudem ist damit zu rechnen, dass sich auch zukünftig Gerichte mit dieser Frage beschäftigen werden. Diese Rechtsprechung sollte genau beobachtet und – soweit diese einschlägig und belastbar ist – eingehalten werden.

2. Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung

56

Ebenfalls sehr praxisrelevant ist die Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung. Diese bisher schon in der Datenschutzrichtlinie 95/46/EG enthaltene Erlaubnisnorm findet sich nunmehr in Art. 6 Abs. 1 lit. c DSGVO.

57

Demnach ist die Verarbeitung personenbezogener Daten zulässig, „wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt.“

58

Nach dem ausdrücklichen Wortlaut der Norm muss es sich um eine „rechtliche Verpflichtung“ handeln, der der Verantwortliche unterliegt. Dies bedeutet mithin, dass die Verarbeitung zu Zwecken der Erfüllung vertraglicher Verpflichtungen nicht auf Art. 6 Abs. 1 lit. c DSGVO gestützt werden kann.87 Die rechtliche Verpflichtung kann sich nach Art. 6 Abs. 3 S. 1 DSGVO und Erwägungsgrund 45 entweder aus dem Unionsrecht oder aus dem Recht des jeweiligen Mitgliedstaates ergeben. Hierbei ist es erforderlich, dass das EU-Recht bzw. das Recht des Mitgliedstaates den Verantwortlichen verpflichtet, eine bestimmte Datenverarbeitung vorzunehmen – eine bloße Erlaubnis ohne entsprechende Verpflichtung ist hierfür hingegen – dem ausdrücklichen Wortlaut der Norm folgend – nicht ausreichend.88

59

Aus formeller Sicht kann eine rechtliche Verpflichtung grundsätzlich in jeder Rechtsnorm der EU bzw. des Mitgliedstaates enthalten sein/statuiert werden, vorausgesetzt, dass diese Norm eine unmittelbare Außenwirkung besitzt. Normen mit unmittelbarer Außenwirkung sind auf EU-Ebene insbesondere Verordnungen – z.B. auch die DSGVO selbst – und auf mitgliedstaatlicher Ebene insbesondere Gesetze, Rechtsverordnungen und Satzungen.89 Auch aus normativen Teilen von Tarifverträgen und aus Betriebsvereinbarungen können sich nach hier vertretener Ansicht rechtliche Verpflichtungen i.S.d. Art. 6 Abs. 1 lit. c DSGVO ergeben.90 Nicht als taugliche Grundlagen in Betracht kommen hingegen z.B. interne Verwaltungsvorschriften.91 Inwiefern behördliche Anordnungen als rechtliche Verpflichtungen i.S.d. Art. 6 Abs. 1 lit. c DSGVO anzusehen sind, ist umstritten.92

60

Darüber hinaus müssen die Rechtsnormen aber auch inhaltliche Anforderungen erfüllen, um als taugliche Grundlage i.S.d. Art. 6 Abs. 1 lit. c DSGVO dienen zu können. Diese sind in Art. 6 Abs. 3 DSGVO und dem dazugehörigen Erwägungsgrund 45 festgelegt. Demnach muss die jeweilige Rechtsgrundlage nicht zwangsläufig eine datenschutzrechtliche Erlaubnisnorm im klassischen Sinne sein, in der sowohl die zu verarbeitenden Daten(arten), die Verarbeitungszwecke als auch die weiteren Details zur Datenverarbeitung (z.B. Speicherdauer) geregelt sind. Ausreichend ist es nach Art. 6 Abs. 3 S. 2 DSGVO vielmehr, wenn eine Rechtsgrundlage den Zweck der Verarbeitung festlegt. Dem jeweiligen Gesetzgeber steht es nach Art. 6 Abs. 3 S. 3 DSGVO aber frei, weitergehende Vorgaben zur Datenverarbeitung zu machen. Hierbei ist es der EU bzw. den Mitgliedstaaten nach Art. 6 Abs. 2 und Art. 6 Abs. 3 S. 3 DSGVO auch erlaubt, die Anforderungen an die Datenverarbeitung für eine bestimmte Datenverarbeitungssituation zu konkretisieren – z.B. im Hinblick auf die zu verarbeitenden Datenarten, welche Personen betroffen sein dürfen etc. Bereits bestehende mitgliedstaatliche Regelungen, die diese Anforderungen erfüllen, dürfen nach Art. 6 Abs. 2 DSGVO beibehalten werden.

61

Als Rechtsgrundlagen i.S.d. Art. 6 Abs. 1 lit. c DSGVO kommen im deutschen Recht z.B. die folgenden Normen in Betracht: § 257 HGB und § 147 AO („Aufbewahrungspflicht bzgl. bestimmter Unterlagen“), § 18 KWG („Offenlegung der wirtschaftlichen Verhältnisse des Kreditnehmers“), §§ 4,8 und 11 GwG („Pflichten nach dem GwG, insb. Identifizierung des Vertragspartners“), § 93 AO („Auskunft über steuerlich relevante Sachverhalte“), sozialversicherungsrechtliche Regelungen im SGB sowie melderechtliche Vorschriften im Meldegesetz.93

62

In jedem Fall erlaubt Art. 6 Abs. 1 lit. c DSGVO eine Datenverarbeitung nur insoweit, wie diese erforderlich ist, um die jeweilige rechtliche Verpflichtung zu erfüllen.94

Praxishinweis

Nimmt ein Verantwortlicher an, dass er einer rechtlichen Verpflichtung unterliegt und er zu deren Erfüllung personenbezogene Daten verarbeiten muss, sollte er zunächst überprüfen, ob die Rechtsnorm, aus der sich die Verpflichtung ergibt, eine taugliche Rechtsgrundlage i.S.d. Art. 6 Abs. 1 lit. c DSGVO ist. So ist z.B. davon auszugehen, dass es hierzu immer mehr Stellungnahmen von Datenschutzaufsichtsbehörden und Entscheidungen von Gerichten geben wird. Stellt eine solche Rechtsnorm keine taugliche Rechtsgrundlage i.S.d. Art. 6 Abs. 1 lit. c DSGVO dar, kann der Datenumgang ggf. auch auf eine andere Erlaubnisalternative im Rahmen des Art. 6 Abs. 1 DSGVO gestützt werden, insb. auf Art. 6 Abs. 1 lit. f DSGVO („Datenverarbeitung auf Basis einer Interessenabwägung“).

Die Anforderungen an die Verarbeitung personenbezogener Daten zu Zwecken der Erfüllung rechtlicher Verpflichtungen können infolge der Öffnungsklausel in Art. 6 Abs. 2 und 3 DSGVO zwischen den einzelnen EU-Mitgliedstaaten voneinander abweichen. Dies ist insbesondere zu berücksichtigen, wenn eine Datenverarbeitung (durch mehrere Verantwortliche) in unterschiedlichen EU-Mitgliedstaaten erfolgt und diese einheitlich gestaltet werden soll.

3. Verarbeitung personenbezogener Daten auf Basis einer Interessenabwägung

63

Der in der Praxis wohl wichtigste Erlaubnistatbestand ist in Art. 6 Abs. 1 lit. f DSGVO normiert.95 Demnach darf ein Verantwortlicher personenbezogene Daten auch dann verarbeiten, wenn „die Verarbeitung [...] zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich [ist], sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt“.

64

Die Bedeutung dieser Vorschrift nimmt vor allem dadurch noch weiter zu, als einige im BDSG a.F. enthaltene spezielle Erlaubnisnormen für bestimmte Verarbeitungssituationen in der DSGVO nicht mehr enthalten sind und sich die Zulässigkeit der Datenverarbeitung in diesen Fällen nunmehr nach Art. 6 Abs. 1 lit. f DSGVO richtet – so z.B. in den wohl meisten Fällen die Verarbeitung personenbezogener Daten zum Zwecke der Werbung.96 Dabei ist es wichtig festzuhalten, dass es sich bei Art. 6 Abs. 1 lit. f DSGVO aus rechtlicher Sicht nicht um einen (subsidiären) Auffangtatbestand bzw. eine Generalklausel handelt,97 welche(r) die Datenverarbeitungen nur dann erlauben kann, wenn die übrigen Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO nicht erfüllt sind. Vielmehr steht Art. 6 Abs. 1 lit. f DSGVO gleichberechtigt neben den anderen in Art. 6 Abs. 1 DSGVO enthaltenen Erlaubnisalternativen, mit denen er sich teilweise auch überschneiden kann.98

65

Rein faktisch betrachtet werden Datenverarbeitungen aber (sehr wohl) vor allem dann auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden, wenn die übrigen Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO nicht erfüllt sind. Deshalb erscheint es angemessen, Art. 6 Abs. 1 lit. f DSGVO in rein tatsächlicher Hinsicht als Auffangtatbestand zu bezeichnen, zumal auch dessen tatbestandliche Voraussetzungen offen ausgestaltet sind und die Vorschrift bei positivem Ausgang der Interessenabwägung grundsätzlich sämtliche denkbaren Datenverarbeitungsvorgänge im Anwendungsbereich der DSGVO – mit Ausnahme der Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO99 und von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten i.S.d. Art. 10 DSGVO100 – zu rechtfertigen vermag.

66

Dass die DSGVO eine solche (tatsächliche) Auffangnorm enthält, ist auch wichtig und notwendig, weil sie vor dem Hintergrund der unüberschaubaren Vielzahl an unterschiedlichen Datenverarbeitungsaktivitäten und immer neuer technischer Innovationen faktisch nicht alle Datenverarbeitungssituationen konkret regeln kann.

67

Entscheidend für die Zulässigkeit einer Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO sind die Umstände des jeweiligen Einzelfalls.

68

Konkretisiert werden die notwendigerweise wenig bestimmten Tatbestandsvoraussetzungen des Art. 6 Abs. 1 lit. f DSGVO in den Erwägungsgründen 47–49.

69

Damit ein Verantwortlicher personenbezogene Daten auf Art. 6 Abs. 1 lit. f DSGVO stützen kann, müssen drei Voraussetzungen erfüllt sein:101

 1. Der Verantwortliche oder ein Dritter müssen berechtigte Interessen an der Verarbeitung personenbezogener Daten haben.

 2. Die (geplante) Verarbeitung muss zur Wahrung dieser berechtigten Interessen erforderlich sein.

 3. Die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, dürfen die berechtigten Interessen des Verantwortlichen/Dritten nicht überwiegen.

a) Berechtigte Interessen des Verantwortlichen oder eines Dritten

70

Ein berechtigtes Interesse i.S.d. Art. 6 Abs. 1 lit. f DSGVO ist jedes (rechtliche, wirtschaftliche oder ideelle) Interesse, das von der Rechtsordnung nicht missbilligt wird.102 Das BVerwG verlangt in diesem Zusammenhang, dass die Interessen schutzwürdig und objektiv begründbar sein müssen.103

71

Die Erwägungsgründe 47–49 enthalten einige Beispiele für berechtigte Interessen i.S.d. Art. 6 Abs. 1 lit. f DSGVO:

 – Verhinderung von Betrug,

 – Direktwerbung,

 – Verarbeitung personenbezogener Daten innerhalb einer Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten,104

 – Verarbeitung personenbezogener Daten durch Behörden, Computer-Notdienste (Computer Emergency Response Teams – CERT, beziehungsweise Computer Security Incident Response Teams – CSIRT), Betreiber von elektronischen Kommunikationsnetzen und -diensten sowie durch Anbieter von Sicherheitstechnologien und -diensten zur Gewährleistung der Netz- und Informationssicherheit.105

72

Diese Aufzählung ist freilich nicht abschließend. Grundsätzlich kann insoweit auch auf die bereits zu § 28 Abs. 1 S. 1 Nr. 2 BDSG a.F. bzw. Art. 7 lit. f der Datenschutzrichtlinie 95/46/EG gebildeten Fallgruppen zurückgegriffen werden, da Art. 6 Abs. 1 lit. f DSGVO die entsprechende Regelung der Datenschutzrichtlinie 95/46/EG in Art. 7 lit. f übernimmt.106 Als berechtigte Interessen kommen daher z.B. auch in Betracht:107

 – Verarbeitung von Kundendaten im Rahmen von CRM-Systemen,108

 – Verarbeitung personenbezogener Daten im Rahmen einer Funktionsübertragung,109

 – Verarbeitung personenbezogener Daten zu Compliance-Zwecken,

 – Durchführung einer Due Diligence,

 – Verarbeitung personenbezogener Daten für etwaige Rückrufaktionen,

 – Bonitätsprüfungen von (zukünftigen) Kunden,110

 – Unternehmensübergang,

 – Forderungsabtretung,

 – Warnsysteme (unternehmensintern und innerhalb von Branchen, z.B. der Banken- und Versicherungsbranche).

73

Infolge des Wegfalls zuvor im BDSG a.F. enthaltener Spezialregelungen richtet sich aber auch die datenschutzrechtliche Zulässigkeit der Videoüberwachung öffentlich-zugänglicher Räume,111 des Adresshandels und der geschäftsmäßigen Datenerhebung und -speicherung zum Zwecke der Übermittlung – also des Datenhandels –112 i.d.R. nach Art. 6 Abs. 1 lit. f DSGVO. So liegt auch in diesen Fällen i.d.R. ein berechtigtes Interesse vor.113

74

Nach dem ausdrücklichen Wortlaut von Art. 6 lit. f DSGVO ist es unerheblich, ob ein solches berechtigtes Interesse auf Seiten des Verantwortlichen für die Datenverarbeitung oder auf Seiten eines Dritten besteht.

b) Erforderlichkeit einer Datenverarbeitung zur Wahrung der berechtigten Interessen

75

Zweite Voraussetzung dafür, dass eine Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, ist, dass die (geplante) Datenverarbeitung erforderlich zur Wahrung des jeweiligen berechtigten Interesses ist. Dies ist der Fall, wenn die Datenverarbeitung hierfür objektiv geboten ist.114 Der EuGH hat in diesem Zusammenhang noch zur „Vorgängervorschrift“ des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG entschieden, dass sich die Verarbeitung auf das absolut Notwendige beschränken müsse. Mithin sei zu prüfen, ob das berechtigte Interesse vernünftigerweise ebenso wirksam mit weniger in die Grundrechte und Grundfreiheiten der betroffenen Person, vor allem nach Art. 7 und 8 GRCh, eingreifenden Mitteln erreicht werden könne.115

c) Keine überwiegenden Interessen/Rechte der betroffenen Person am Ausschluss der Datenverarbeitung

76

Schließlich ist die Verarbeitung personenbezogener Daten zu Zwecken der Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten aber nur dann zulässig, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

77

Mithin erfordert Art. 6 Abs. 1 lit. f DSGVO eine Abwägung zwischen dem berechtigten Interesse des Verantwortlichen bzw. des Dritten auf der einen Seite und den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, auf der anderen Seite. Aus dem Wortlaut der Vorschrift ergibt sich im Hinblick auf die Interessenabwägung Folgendes:

 – Die Regel besteht darin, dass die Verarbeitung personenbezogener Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zulässig ist, wenn sie zur Wahrung eines berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich ist. Nur im Ausnahmefall ist sie unzulässig: wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.116

 – Die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, müssen das berechtigte Interesse des Verantwortlichen/des Dritten überwiegen. Wiegen also die Interessen auf beiden Seiten gleich schwer, ist die Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO zulässig.117

78

Welche Umstände bei der Interessenabwägung auf Seiten der betroffenen Personen zu berücksichtigen sind, bemisst sich nach dem jeweiligen Einzelfall.

79

Jedenfalls sind nach Erwägungsgrund 47 DSGVO die vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen. Je „näher“ die Beziehung der betroffenen Person zu dem Verantwortlichen ist, desto eher überwiegen die berechtigten Interessen des Verantwortlichen. So besagt Erwägungsgrund 47 DSGVO nach hier vertretener Auffassung, dass eine Datenverarbeitung z.B. auf Basis von Art. 6 Abs. 1 lit f. DSGVO zulässig sein kann, wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht.

80

Insbesondere sind nach dem Erwägungsgrund 47 DSGVO aber auch die vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen, also ob die betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Kann die betroffene Person dies, spricht das eher für die Zulässigkeit der Datenverarbeitung; kann die betroffene Person das nicht, spricht dies eher gegen die Zulässigkeit der Datenverarbeitung.118 Mithin kommt der Transparenz auch an dieser Stelle eine wichtige Bedeutung zu.119

81

Die Aufzählung von Faktoren im Erwägungsgrund 47 DSGVO ist aber nicht abschließend. So sind gem. Art. 6 Abs. 1 lit. f DSGVO auch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, im Rahmen der Interessenabwägung zu berücksichtigen. So wirken die Grundrechte nach der EU-Grundrechtecharta hier ausnahmsweise auch in privatrechtliche Verhältnisse hinein.120 Damit sind im Rahmen der Interessenabwägung insbesondere auch Art. 7 und 8 GRCh zu berücksichtigen.

82

Weitere Umstände, die bei der Interessenabwägung ggf. zu berücksichtigen sein können, sind z.B.:121

 – allgemeine Zugänglichkeit oder nicht öffentliche Zugänglichkeit der zu verarbeitenden Daten,122

 – Diskriminierungspotenzial/Sensibilität der zu verarbeitenden Daten,

 – Zugehörigkeit der Daten zur „privaten“ oder zur „beruflichen“ Sphäre der betroffenen Person,

 – wirtschaftliches Interesse der betroffenen Person am Ausschluss der Datenverarbeitung,

 – Stärke des berechtigten Interesses des Verantwortlichen/des Dritten,

 – Stärke der entgegenstehenden Interessen bzw. Rechte der betroffenen Person,123

 – Alter und Erfahrenheit der betroffenen Person; so sind bei Kindern besonders strenge Maßstäbe anzulegen,

 – Art der verarbeiteten Daten,124

 – Modalitäten der Verarbeitung, wie die Zugriffsmöglichkeiten auf die verarbeiteten Daten.125

83

Die Interessenabwägung ist dabei nach hier vertretener Ansicht nicht aus subjektiver Sicht des Verantwortlichen, sondern aus objektiver Sicht vorzunehmen126 – allerdings auf Basis der Erkenntnismöglichkeiten des Verantwortlichen.127 Dabei ist darauf zu achten, dass die Interessenabwägung mit der notwendigen Seriosität durchgeführt wird, da die Zulässigkeit der Datenverarbeitung durch Art. 6 Abs. 1 lit. f DSGVO nicht (quasi) in das Belieben des Verantwortlichen gestellt werden darf.128 Die Datenverarbeitung ist zulässig, wenn kein Grund zu der Annahme besteht, dass die Interessen der betroffenen Person am Ausschluss der Verarbeitung überwiegen.129

84

Unklar ist, ob im Rahmen von Art. 6 Abs. 1 lit. f DSGVO nur eine summarische, typisierte Abwägung erforderlich ist oder ob (im Hinblick auf jede einzelne betroffene Person) eine dezidierte und umfassende Einzelfallbetrachtung zu erfolgen hat, bei der die (konkreten) Interessen und Erwartungen der einzelnen von der Datenverarbeitung betroffenen Person zu berücksichtigen sind.130

85

Auch wenn der Wortlaut von Art. 6 Abs. 1 lit. f DSGVO wohl eher für eine solche Einzelfallbetrachtung spricht, muss diese Anforderung – gerade wenn viele Personen von derselben Datenverarbeitung betroffen sind – nach hier vertretener Ansicht pragmatisch eher im Sinne einer summarischen, typisierten Abwägung betrachtet werden.131 Mithin hat in solchen Fällen i.d.R. eine Abwägung zwischen den berechtigten Interessen des Verantwortlichen bzw. eines Dritten einerseits und den objektivierten, regelmäßigen Interessen/Belangen der betroffenen Personen andererseits zu erfolgen.132 So wäre eine derartige Einzelfallprüfung wie sie oben beschrieben wird – wenn viele betroffene Personen von demselben Sachverhalt erfasst sind133 – mit erheblichem und in der Praxis nur sehr selten vertretbarem Aufwand durchzuführen. Dies würde wiederum dazu führen, dass Art. 6 Abs. 1 lit. f DSGVO in der Praxis (in vielen Fällen) faktisch ins Leere liefe.134 Dies kann jedoch auch vom Verordnungsgeber nicht gewollt sein, der gem. Art. 1 Abs. 1 DSGVO nicht nur natürliche Personen bei der Verarbeitung ihrer Daten, sondern auch den freien Verkehr personenbezogener Daten schützen will. Für diese Auffassung sprechen dann auch Erwägungsgrund 47 S. 1 („vernünftige Erwartungen der betroffenen Personen“)135 sowie die systematische Auslegung der DSGVO. So hat die betroffene Person nach Art. 21 Abs. 1 DSGVO das Recht, bei Vorliegen besonderer Gründe der Verarbeitung ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zu widersprechen.136 Somit stellt dieses Recht sicher, dass auch die Interessen der betroffenen Person im atypischen Einzelfall gewahrt werden.

86

Handelt es sich bei einer betroffenen Person um ein Kind, ist jedenfalls nach Art. 6 Abs. 1 lit. f a.E. DSGVO eine (besonders) gründliche Interessenabwägung vorzunehmen.

87

Verantwortlich für die Durchführung der Interessenabwägung ist der Verantwortliche. Verarbeitet ein Verantwortlicher personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, trägt er das „Irrtumsrisiko“, dass etwa ein mit der Angelegenheit befasstes Gericht bei der Interessenabwägung zu einem anderen Ergebnis kommt und entscheidet, dass eine Datenverarbeitung nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann.137

Praxishinweis

In der Rechtsprechung und in den Stellungnahmen der Datenschutzaufsichtsbehörden werden sich schnell immer weitere Fallgruppen mit Datenverarbeitungsaktivitäten bilden, die auf Art. 6 Abs. 1 lit. f DSGVO bzw. eben nicht auf diese Erlaubnisvorschrift gestützt werden können. Möchte ein Unternehmen personenbezogene Daten auf dieser Rechtsgrundlage verarbeiten, ist diesem dringend zu empfehlen, zuvor zu prüfen, ob und unter welchen Voraussetzungen es anerkannt ist, dass die entsprechende Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. Ganz generell sollte die Interessenabwägung aus Nachweisgründen und zur Erfüllung der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO dokumentiert werden.

Standpunkte der deutschen Datenschutzaufsichtsbehörden und des Europäischen Datenschutzausschusses

88

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat einen Beschluss getroffen, inwiefern Kundendaten im Rahmen von Asset Deals an den Erwerber auf Basis von Art. 6 Abs. 1 S. 1 lit. f i.V.m. Abs. 4 DSGVO übertragen werden dürfen, und hierzu Fallgruppen gebildet.138 Auch wenn dieser Beschluss nicht rechtsverbindlich ist, sollten Unternehmen diesen – soweit möglich – im Fall von Asset Deals zur Vermeidung etwaiger Haftungsrisiken zumindest berücksichtigen.

88a

Der Europäische Datenschutzausschuss hat sich zudem im Zusammenhang mit Art. 25 DSGVO („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) zur Datenverarbeitung auf Basis von Art. 6 Abs. 1 lit. f DSGVO geäußert. So nennt er in seinen Guidelines 4/2019 on Article 25 Data Protection by Design and by Default u.a. das Vorhandensein von Maßnahmen und Schutzvorkehrungen („measures and safeguards“), um die negativen Auswirkungen der Datenverarbeitung auf Basis berechtigter Interessen für die betroffenen Personen abzumildern, als ein mögliches Schlüsselelement zur Erfüllung der Pflichten nach Art. 25 DSGVO.139

Achtung

Die betroffene Person hat unter bestimmten Voraussetzungen das Recht, gem. Art. 21 DSGVO Widerspruch gegen die Verarbeitung ihrer Daten, die auf Basis von Art. 6 Abs. 1 lit. f DSGVO erfolgt, einzulegen. Ein solcher Widerspruch kann ggf. zur Folge haben, dass der Verantwortliche die davon betroffenen Daten nicht mehr verarbeiten darf. Siehe ausführlich hierzu Kap. 6 Rn. 568ff., insbesondere auch zu den insoweit bestehenden Informationspflichten und zu weiteren Modalitäten.

4. Verarbeitung personenbezogener Daten zu Zwecken der Werbung

89

Die DSGVO beinhaltet – anders als das BDSG a.F. in § 28 Abs. 3–5 BDSG a.F. – keine Sondervorschriften für die Verarbeitung personenbezogener Daten zu Zwecken der Werbung. Damit richtet sich deren Zulässigkeit also nach den allgemeinen Erlaubnisvorschriften gem. Art. 6 Abs. 1 DSGVO.140

90

Der Begriff der „Werbung“ ist dabei weit zu verstehen und lehnt sich an Art. 2 lit. a der Richtlinie über irreführende und vergleichende Werbung an.141 Demnach ist „Werbung“ jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen, zu fördern.

91

Einerseits kann die Verarbeitung personenbezogener Daten zu Zwecken der Werbung auf eine Einwilligung der betroffenen Person gestützt werden. Die Voraussetzungen für die Wirksamkeit einer Einwilligung werden ausführlich unter Rn. 243ff. erläutert. Zudem werden in Kap. 17 Rn. 125ff. die speziellen Anforderungen an Einwilligungen zu Werbezwecken im Bereich des Customer-Relationship-Management erläutert, insbesondere vor dem Hintergrund der sich aus der ePrivacy-Richtlinie 2002/58/EG ergebenden Besonderheiten.

92

Holt der Verantwortliche keine entsprechende Einwilligung von der betroffenen Person ein oder erfasst die eingeholte Einwilligung die geplante Verarbeitung der Daten nicht, kann der Verantwortliche deren Verarbeitung zu Werbezwecken aber ggf. auch auf gesetzliche Erlaubnisvorschriften stützen. Zumindest in bestimmten Einzelfällen ist es denkbar, eine solche Datenverarbeitung auf Art. 6 Abs. 1 lit. b DSGVO zu stützen.142 In den weitaus meisten Fällen kommt als gesetzliche Rechtsgrundlage insoweit allerdings Art. 6 Abs. 1 lit. f DSGVO („Datenverarbeitung auf Basis einer Interessenabwägung“) in Betracht, soweit es sich bei der betroffenen Person um kein Kind handelt.143 So besagt auch Erwägungsgrund 47 ausdrücklich, dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann.144

93

Damit eröffnet die DSGVO Werbetreibenden Datenverarbeitungs- und Nutzungsmöglichkeiten, ohne eine entsprechende Einwilligungserklärung der betroffenen Person einholen zu müssen. So enthält Art. 6 Abs. 1 lit. f DSGVO auch keine § 28 Abs. 3 S. 2 BDSG a.F. entsprechende Beschränkung der Datenkategorien (auf die sogenannten Listendaten), die zu Zwecken der Werbung verarbeitet werden dürfen. Vielmehr erlaubt die Vorschrift – sofern die Tatbestandsvoraussetzungen erfüllt sind – die Verarbeitung sämtlicher Datenkategorien (mit Ausnahme der besonderen Kategorien personenbezogener Daten, deren Verarbeitung sich zuvorderst nach Art. 9 DSGVO (wohl i.V.m. Art. 6 Abs. 1 DSGVO)145 richtet, und von Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10 DSGVO).

94

Aus der Formulierung in Erwägungsgrund 47 DSGVO, dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann, kann nicht nur entnommen werden, dass Direktwerbung ein berechtigtes Interesse i.S.d. Art. 6 Abs. 1 lit. f DSGVO sein kann.146 Vielmehr bestehen nach hier vertretener Ansicht gute Argumente, dass aus dieser Formulierung eventuell auch entnommen werden kann, dass die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung auch ohne Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. f DSGVO grundsätzlich zulässig ist (die Interessenabwägung also grundsätzlich zugunsten des Verantwortlichen/Dritten ausgeht) – wobei dies allerdings stets im Einzelfall zu prüfen ist und von der jeweils konkreten Werbemaßnahme abhängt –, wenn:

 – die Datenverarbeitung erforderlich zur Durchführung der Direktwerbung ist,

 – die Datenverarbeitung zu Werbezwecken für die betroffene Person vernünftigerweise zu erwarten war (z.B. durch eine entsprechende Information auf der Website, über die die zu verarbeitenden Daten erhoben wurden, typische Akzeptanz in der jeweiligen Sozialsphäre)147 und

 – ein „Näheverhältnis“ zwischen dem Verantwortlichen und der betroffenen Person besteht, wobei nach Erwägungsgrund 47 DSGVO ein solches Näheverhältnis bestehen kann, wenn die betroffene Person ein Kunde des Verantwortlichen ist.148

95

Auch wenn eine betroffene Person selbst mit einem gewerblichen Händler/Anbieter in Kontakt tritt, kann ggf. eine entsprechende vernünftige Erwartungshaltung sowie ein ausreichendes Näheverhältnis bestehen.149 Ebenso kann die Verarbeitung von Daten zu Werbezwecken, die ein Verantwortlicher von einem anderen Verantwortlichen – z.B. einem Datenhändler – erhält, nach hier vertretener Ansicht ggf. auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.150 In diesem Fall ist dann aber besonders sorgfältig zu prüfen, ob in der jeweiligen Konstellation nicht doch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, zumal die Datenschutzaufsichtsbehörden Erlaubnisvorschriften bei der Verarbeitung personenbezogener Daten zu Zwecken der Werbung i.d.R. restriktiv auslegen.

96

Allerdings ist in diesem Zusammenhang stets zu beachten, dass die werbliche Ansprache einer betroffenen Person in vielen Fällen, z.B. bei E-Mail- und telefonischer Werbung, nicht durch die DSGVO geregelt wird. So geht die Datenschutzrichtlinie in der elektronischen Kommunikation 2002/58/EG der DSGVO nach Art. 95 DSGVO unter den dort genannten Voraussetzungen vor. In Deutschland wurde diese Richtlinie u.a. in § 7 UWG umgesetzt, der u.a. die werbliche Ansprache mittels E-Mail und Telefonanrufen regelt. Vor diesem Hintergrund haben die in § 7 UWG enthaltenen Regelungen, die der Umsetzung der genannten Richtlinie dienen – z.B. das grundsätzliche Zustimmungserfordernis zu telefonischer und elektronischer Direktwerbung –, nach hier vertretener Ansicht Vorrang vor den allgemeinen Regelungen der DSGVO, z.B. in Art. 6 DSGVO.151

97

Dafür, dass die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung in vielen Fallkonstellationen auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, steht den betroffenen Personen – quasi im Gegenzug – im Fall der Verarbeitung ihrer Daten zu Zwecken des Direktmarketing ein Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO zu. Über dieses Recht hat der Verantwortliche die betroffene Person gem. Art. 13 Abs. 2 lit. b DSGVO zum Zeitpunkt der Datenerhebung bzw. gem. Art. 14 Abs. 2 lit. c DSGVO innerhalb der in Art. 14 Abs. 3 DSGVO normierten Frist zu informieren. Übt die betroffene Person dieses Recht aus, darf der Verantwortliche keine Daten der betroffenen Person mehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO für Werbezwecke verarbeiten.

Stellungnahmen der deutschen Datenschutzaufsichtsbehörden

98

Die deutschen Datenschutzaufsichtsbehörden haben bereits mehrere Stellungnahmen zur Verarbeitung personenbezogener Daten für Werbezwecke veröffentlicht – insbesondere die „Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung (DS-GVO)“.152

99

In dieser Orientierungshilfe erläutern die deutschen Datenschutzaufsichtsbehörden ausführlich sowohl die nach ihrer Ansicht bestehenden allgemeinen Anforderungen an die Verarbeitung personenbezogener Daten zu Zwecken der Werbung als auch die besonderen Voraussetzungen für bestimmte Fallgruppen der Werbung, z.B. für die Datenerhebung anlässlich von Preisausschreiben, Beipack-Werbung, Freundschafts- und Empfehlungswerbung, Nutzung von E-Mailadressen von Bestandskunden etc.

100

Hierbei vertreten die Datenschutzaufsichtsbehörden i.d.R. relativ strenge Positionen. Zwar ist z.B. auch nach Ansicht der Behörden postalische Werbung gegenüber Kunden im Nachgang zu einer Bestellung ohne weitere Selektion oder bei Vornahme einer Selektion, die keinen weiteren Erkenntnisgewinn mit sich bringt, grundsätzlich auf Basis von Art. 6 Abs. 1 lit. f DSGVO zulässig.153 Sollte sich durch die Selektion allerdings ein Erkenntnisgewinn ergeben, wäre die Datenverarbeitung hingegen ohne Einwilligung regelmäßig unzulässig. Ebenso könnten die Profilbildung sowie Verhaltensprognosen- bzw. -analysen, die zu zusätzlichen Erkenntnissen führen, i.d.R. nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.154

101

Allerdings wird die Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden in der datenschutzrechtlichen Literatur – zu Recht – als zumindest teilweise zu restriktiv kritisiert, weil darin z.B. keine hinreichende Unterscheidung getroffen werde, ob sich die Werbung an Verbraucher oder an Unternehmer richte und das Profiling zu Zwecken der Werbung auf Basis von Art. 6 Abs. 1 lit. f DSGVO sowie die Freundschaftswerbung zu pauschal als unzulässig erachtet werde.155

102

Für Unternehmen, die personenbezogene Daten zu Werbezwecken verarbeiten wollen, ergibt sich vor diesem Hintergrund die folgende Empfehlung: In einem ersten Schritt sollte das jeweilige Unternehmen die Orientierungshilfe der Datenschutzkonferenz dahingehend prüfen, ob sie Hinweise für die geplante Form der Datenverarbeitung zu Werbezwecken enthält. Soweit möglich, sollte das Unternehmen diese Hinweise zur Vermeidung etwaiger Haftungsrisiken einhalten. Auch wenn die deutschen Datenschutzaufsichtsbehörden die DSGVO nicht rechtsverbindlich auslegen dürfen, ist mit großer Sicherheit davon auszugehen, dass sie das in dieser Orientierungshilfe geäußerte Verständnis grundsätzlich auch im Einzelfall (z.B. bei der Prüfung der Zulässigkeit der Datenverarbeitung) ihrer Auslegung der DSGVO zugrunde legen und ggf. auf dieser Basis Bußgelder verhängen werden. Allerdings wäre ein etwa damit (im Anschluss) befasstes Gericht an diese Auslegung nicht gebunden.

103

Sollte das Unternehmen eine Verarbeitung beabsichtigen, die von den Hinweisen der Datenschutzaufsichtsbehörden abweicht, sollte das Unternehmen im Einzelfall prüfen, ob die Datenverarbeitung entgegen diesen Hinweisen (doch) auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. So sind die Ausführungen in der Orientierungshilfe auch nach hier vertretener Ansicht teilweise zu pauschal – insbesondere im Hinblick auf die Profilbildung sowie die Verhaltensanalyse und -prognose – und dabei dann auch zu restriktiv. So kann es sein, dass bei der geplanten Verarbeitung ein Ausnahmefall besteht, der eine Abweichung von den pauschalen und grundsätzlichen Ausführungen rechtfertigt – unter Umständen sogar auch nach Ansicht der Datenschutzaufsichtsbehörden. Deshalb sollten Unternehmen in einem solchen Fall insbesondere den Grad der Abweichung von den Hinweisen der Datenschutzaufsichtsbehörden sowie die (tatsächlichen) Umstände des Einzelfalls ermitteln und dokumentieren, die die Abweichung rechtfertigen könnten, und auf dieser Basis dann im Einzelfall die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO durchführen.

104

Angesichts der großen Vielzahl an unterschiedlichen Fallgestaltungen bei der Verarbeitung von personenbezogenen Daten zu Werbezwecken und dem begrenzten Umfang dieses Buches kann an dieser Stelle nicht konkret auf einzelne Fallgestaltungen eingegangen werden. In Kapitel 17 finden sich in diesem Zusammenhang aber konkrete Ausführungen zu den besonders praxisrelevanten Themen des „Web Tracking und Online Advertising“ und des „Customer Relationship Management“.

5. Verhältnis der Alternativen des Art. 6 Abs. 1 DSGVO zueinander

105

Die verschiedenen in Art. 6 Abs. 1 DSGVO enthaltenen Erlaubnistatbestände stehen ausweislich des Wortlauts der Vorschrift („wenn mindestens eine der nachstehenden Bedingungen“) gleichberechtigt nebeneinander. Das bedeutet insbesondere, dass keine dieser Alternativen eine Sperrwirkung gegenüber den anderen in Art. 6 Abs. 1 DSGVO enthaltenen Alternativen entfalten kann. Mit anderen Worten: Sind die tatbestandlichen Voraussetzungen einer Alternative erfüllt, kann eine nicht von dieser Alternative erlaubte Datenverarbeitung dennoch durch eine der anderen Alternativen erlaubt werden. So darf z.B. ein Verantwortlicher personenbezogene Daten im Zusammenhang mit einem Vertrag mit der betroffenen Person verarbeiten, wenn dies nicht zur Erfüllung dieses Vertrages erforderlich ist – und damit die Voraussetzungen des Art. 6 Abs. 1 lit. b DSGVO nicht erfüllt sind –, aber z.B. seine berechtigten Interessen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. In diesem Fall wäre die Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO zulässig.156

106

Dies gilt nach hier vertretener Ansicht grundsätzlich ebenso im Verhältnis zwischen einer Einwilligung i.S.d. Art. 6 Abs. 1 lit. a DSGVO und den übrigen „gesetzlichen Erlaubnistatbeständen“, da die Einwilligung nur eine der in Art. 6 Abs. 1 DSGVO aufgeführten Bedingungen ist, die die Verarbeitung personenbezogener Daten zu rechtfertigen vermag.157 Solange eine dieser Bedingungen erfüllt ist, ist die Datenverarbeitung zulässig. Für die Praxis bedeutet dies, dass eine Datenverarbeitung nach hier vertretener Ansicht auch dann auf Art. 6 Abs. 1 lit. b–f DSGVO gestützt werden kann, wenn eine eingeholte Einwilligung unwirksam oder ein bestimmter Datenverarbeitungsvorgang von dieser nicht erfasst ist. Allerdings können die Umstände des Einzelfalls, warum eine eingeholte Einwilligung eine (geplante) Datenverarbeitung nicht erlauben kann, bei der Interessenabwägung im Rahmen des Art. 6 Abs. 1 lit. f DSGVO – und damit bei der Frage, ob die Daten auf Basis dieser Vorschrift (weiter-)verarbeitet werden dürfen – berücksichtigt werden. Dies gilt insbesondere für den Fall, dass eine betroffene Person ihre Einwilligung widerrufen hat.158

Standpunkte der deutschen Datenschutzaufsichtsbehörden und des Europäischen Datenschutzausschusses

107

Die deutschen Datenschutzaufsichtsbehörden scheinen „dem Nebeneinander“ von gesetzlichen Erlaubnistatbeständen und einer Einwilligung eher skeptisch gegenüberzustehen. So könne es z.B. gegen Treu und Glauben verstoßen, wenn ein Verantwortlicher sich auf eine gesetzliche Erlaubnisnorm berufe, wenn die betroffene Person ihre Einwilligung widerrufen habe. Damit wäre in diesem Fall bei der betroffenen Person durch die Einholung der Einwilligung der (falsche) Eindruck erweckt worden, dass die Verarbeitung ihrer Daten ihrem Wahlrecht unterliege.159

108

Auch der Europäische Datenschutzausschuss vertritt hierzu in seinen Leitlinien zur Einwilligung einen restriktiven Standpunkt. So sei es „gegenüber der betroffenen Person ein in höchstem Maß missbräuchliches Verhalten, ihr zu sagen, dass die Daten auf der Grundlage der Einwilligung verarbeitet werden, wenn tatsächlich eine andere Rechtsgrundlage zugrunde gelegt wird“. Deshalb könne ein Verantwortlicher nicht von einer Einwilligung zu einer anderen Grundlage wechseln. So müssten sich die Verantwortlichen vor der Erhebung der Daten entscheiden, auf welche Rechtsgrundlage sie die Verarbeitung stützen wollen, und die betroffenen Personen hierüber im Rahmen ihrer Informationspflichten informieren.160

109

Die Ausführungen des Europäischen Datenschutzausschusses beziehen sich nach hier vertretener Lesart allerdings (nur) auf den „nachträglichen Wechsel der Rechtsgrundlage“, also – überspitzt formuliert – ein Verantwortlicher, wenn die betroffene Person ihre Einwilligung widerruft oder sich herausstellt, dass diese unwirksam ist, dann prüft, ob er die Verarbeitung eventuell noch auf eine andere Rechtsgrundlage stützen könnte, um die Verarbeitung fortsetzen zu können. Mithin lässt sich diesen Ausführungen nach hier vertretener Ansicht nicht entnehmen, dass es der Europäische Datenschutzausschuss auch ablehnt, eine Verarbeitung von Anfang an (teilweise) sowohl auf eine Einwilligung als auch auf eine Rechtsgrundlage zu stützen (z.B. im Sinne einer Backup-Lösung).

Praxishinweis

Unternehmen sollten deshalb nur dann eine Einwilligung einholen, wenn die Datenverarbeitung nicht rechtssicher auf eine gesetzliche Erlaubnisnorm gestützt werden kann. Soll die Datenverarbeitung dennoch (z.B. im Sinne einer Backup-Lösung) sowohl auf gesetzliche Erlaubnistatbestände als auch auf eine Einwilligung gestützt werden, sollte das Unternehmen die betroffene Person über diesen Umstand transparent informieren, so dass bei dieser eben nicht der (falsche) Eindruck entsteht, dass sie die Datenverarbeitung „in der Hand habe“ – und sich der Verantwortliche nicht „nachträglich“ auf eine andere Rechtsgrundlage berufen muss.161

6. Verhältnis zwischen besonders praxisrelevanten nationalen Vorschriften und der DSGVO

110

Die Zulässigkeit der Verarbeitung personenbezogener Daten ist allerdings nicht abschließend in der DSGVO geregelt. So enthält die DSGVO mehrere Öffnungsklauseln, die es der EU bzw. den EU-Mitgliedstaaten unter bestimmten Voraussetzungen erlauben, nationale Regelungen zur Zulässigkeit einer Datenverarbeitung zu erlassen, so z.B. in Art. 6 Abs. 2 und 3, in Art. 9 Abs. 2 lit. b und lit. g – lit. j und Abs. 4 DSGVO.162

111

Der deutsche Gesetzgeber hat von vielen dieser Öffnungsklauseln Gebrauch gemacht und entsprechende nationale Regelungen erlassen. Für privatwirtschaftliche Unternehmen befinden sich die wichtigsten nationalen Regelungen zur Zulässigkeit der Datenverarbeitung in Deutschland im BDSG und dort in den §§ 22–31 BDSG. Allerdings enthalten auch noch eine Vielzahl anderer Gesetze (einzelne) Vorschriften hierzu, z.B. die Sozialgesetzbücher, die Landesdatenschutzgesetze, das Gesundheitsdiagnostikgesetz etc. Diese regeln größtenteils aber (nur) spezielle Situationen, in denen personenbezogene Daten verarbeitet werden, oder die Datenverarbeitung durch bestimmte Verantwortliche.

112

Dieses Kapitel konzentriert sich im Folgenden auf das für privatwirtschaftliche Unternehmen besonders praxisrelevante Thema des Verhältnisses zwischen den nationalen Vorschriften zur Videoüberwachung öffentlich zugänglicher Räume gem. § 4 BDSG, zum Scoring/zu Bonitätsauskünften gem. § 31 BDSG sowie aus dem Kunsturhebergesetz einerseits und der DSGVO anderseits – und somit auf die Frage, welche Vorschriften ein Unternehmen in der jeweiligen Situation beachten muss.163 Zur nationalen Regelung der Verarbeitung von Beschäftigtendaten in § 26 BDSG finden sich ausführliche Erläuterungen insbesondere in Kap. 15 und unter Rn. 237ff.

a) Videoüberwachung öffentlich zugänglicher Räume gem. § 4 BDSG

113

Der deutsche Gesetzgeber hat die Zulässigkeit der Videoüberwachung öffentlich zugänglicher Räume in § 4 BDSG geregelt.164 Nach § 4 Abs. 1 S. 1 BDSG ist die Beobachtung mittels optisch-elektronischer Einrichtungen wie Videokameras insbesondere nur dann zulässig, soweit sie zur Aufgabenerfüllung öffentlicher Stellen, zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen.165 Die Verwendung der mittels Videoüberwachung gewonnenen Daten ist sodann in § 4 Abs. 3 BDSG geregelt und erfordert insbesondere eine (weitere) Interessenabwägung. Außerdem enthält § 4 BDSG vor allem weitere Hinweis-, Informations- und Löschpflichten.

114

Allerdings hat das Bundesverwaltungsgericht entschieden, dass § 4 Abs. 1 S. 1 BDSG zumindest im Hinblick auf die Videoüberwachung öffentlich zugänglicher Räume durch private Stellen europarechtswidrig sei, da diese Regelung nicht auf die in Art. 6 Abs. 2 und 3 DSGVO enthaltenen Öffnungsklauseln gestützt werden könne. Mithin könne die Videoüberwachung derartiger Räume durch private Stellen ganz regelmäßig nur auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgen.166 Auch die deutschen Datenschutzaufsichtsbehörden sind der Ansicht, dass sich die Zulässigkeit der Videoüberwachung durch nichtöffenliche Stellen ganz regelmäßig an Art. 6 Abs. 1 lit. f DSGVO bemisst.167 Nicht ausdrücklich entschieden hat das Bundesverwaltungsgericht hingegen, ob auch die weiteren Vorgaben des § 4 BDSG in Abs. 1 S. 2 und Abs. 2 bis Abs. 5 europarechtswidrig sind oder nicht, so dass insoweit Rechtsunsicherheit verbleibt.

115

Unternehmen sollten daher verfolgen, ob der bundesdeutsche Gesetzgeber § 4 BDSG infolge der Entscheidung des Bundesverwaltungsgerichts anpasst bzw. sich (andere) Gerichte auch zur Europarechtskonformität der übrigen Bestimmungen äußern. Wenn Unternehmen in der Zwischenzeit Haftungsrisiken vermeiden wollen, sind sie infolge des missratenen Versuchs des Gesetzgebers, die in § 6b BDSG a.F. enthaltenen Regelungen zur Videoüberwachung möglichst unverändert in das neue BDSG zu überführen, gezwungen, (selbständig) zu prüfen, welche der weiteren in § 4 BDSG enthaltenen Bestimmungen europarechtskonform sind und damit befolgt werden müssen/dürfen und welche Bestimmungen europarechtswidrig sind und damit nicht befolgt werden sollten.168

116

Hier empfiehlt sich ein pragmatisches Vorgehen. Demnach sollten Unternehmen auch die Videoüberwachung öffentlich zugänglicher Räume grundsätzlich nur noch auf Art. 6 Abs. 1 lit. f DSGVO stützen,169 da dieser Anwendungsvorrang vor dem europarechtswidrigen § 4 Abs. 1 S. 1 BDSG besitzt. Zudem sollten Unternehmen die Hinweise des Europäischen Datenschutzausschusses170 und der deutschen Datenschutzaufsichtsbehörden zur Videoüberwachung beachten.171 Insbesondere sind bei der Videoüberwachung öffentlich zugänglicher Räume dann auch (vollumfänglich) die Informationspflichten nach Art. 13 DSGVO zu erfüllen.172 Auch der bereits genannten Entscheidung des Bundesverwaltungsgerichts sowie einer Entscheidung des EuGH lassen sich Aussagen zu den Faktoren für die Zulässigkeit der Videoüberwachung auf Basis von Art. 6 Abs. 1 lit. f DSGVO entnehmen.173

117

Nur soweit sich ein Unternehmen bei der Videoüberwachung auf eine (andere) in § 4 BDSG enthaltene, gegenüber der DSGVO vorteilhafte Bestimmung bzw. auf eine in der DSGVO enthaltene, gegenüber § 4 BDSG vorteilhafte Bestimmung stützen möchte, sollte dann im Einzelfall geprüft werden, inwieweit die jeweilige Bestimmung des § 4 BDSG europarechtskonform ist oder nicht.174 Von der hier erläuterten Videoüberwachung öffentlich zugänglicher Räume ist im Übrigen die Videoüberwachung am Arbeitsplatz zu unterscheiden. Die Zulässigkeit der Datenverarbeitung im Rahmen einer solchen Videoüberwachung richtet sich zuvorderst nach § 26 BDSG, zu der auch ausgeprägte Rechtsprechung der Arbeitsgerichte existiert.175

b) Scoring und Bonitätsauskünfte gem. § 31 BDSG

118

In § 31 BDSG hat der deutsche Gesetzgeber spezielle Regelungen im Hinblick auf das Scoring, also die Verwendung eines Wahrscheinlichkeitswerts über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person, erlassen. Der Sinn und Zweck dieser nationalen Sondervorschrift besteht darin, den Wirtschaftsverkehr zu schützen. Insbesondere sollen die Funktionsfähigkeit der Wirtschaft, die auf die Ermittlung der Kreditwürdigkeit und die Erteilung von Bonitätsauskünften angewiesen sei, sowie Verbraucher vor Überschuldung geschützt werden.176

119

Dabei ist zu beachten, dass es sich bei § 31 BDSG wohl um keine eigenständige gesetzliche Erlaubnisnorm handelt, die allein die Verarbeitung personenbezogener Daten in diesem Zusammenhang erlauben kann. So umfasst die Vorschrift allein vom Wortlaut her schon nicht (direkt) die Bildung des Scorewertes oder die Einmeldung von Daten bei einer Auskunftei.177 Allerdings knüpft § 31 Abs. 1 BDSG die Verwendung eines Scorewertes an bestimmte Voraussetzungen, die bereits bei der Bildung dieses Wertes zu berücksichtigen sind, so dass § 31 BDSG indirekt auch Anforderungen für die Einmeldung von Daten und für die Bildung des Scorewertes aufstellt.178 Grundsätzlich richtet sich die Zulässigkeit der mit der Einmeldung und der Bildung des Scorewertes verbundenen Datenverarbeitung aber nach Art. 6 DSGVO.179 Wurden die Daten ursprünglich zu anderen Zwecken erhoben, sind auch die Anforderungen an die Zweckänderung gem. Art. 6 Abs. 4 DSGVO zu beachten.180

120

Aber auch die mit der Verwendung des Scorewertes verbundene Datenverarbeitung kann wohl nicht ausschließlich auf § 31 BDSG gestützt werden. Vielmehr richtet sich wohl auch deren Zulässigkeit zunächst einmal nach den allgemeinen Erlaubnisvorschriften, i.d.R. nach Art. 6 Abs. 1 lit. a, b, c oder f DSGVO.181 Übernimmt eine Vertragspartei z.B. ein Kreditrisiko, kann die Verwendung des Scorewertes an sich – soweit keine Einwilligung der betroffenen Person vorliegt – z.B. gegebenenfalls auf Art. 6 Abs. 1 lit. b oder auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.182 Werden dabei allerdings die Anforderungen des § 31 BDSG nicht eingehalten, darf der Scorewert (dennoch) nicht verwendet werden.183

121

§ 31 Abs. 1 BDSG enthält dabei die grundlegenden Voraussetzungen, unter denen ein Scorewert verwendet werden darf, die kumulativ vorliegen müssen:

 1. Die Vorschriften des Datenschutzrechts müssen (insbesondere bei der Einmeldung und Berechnung des Scorewertes) eingehalten worden sein, i.d.R. die Anforderungen an die Einwilligung oder Art. 6 Abs. 1 lit. b bzw. f ggf. i.V.m. Abs. 4 DSGVO.184

 2. Die zur Berechnung des Wahrscheinlichkeitswertes genutzten Daten müssen unter Zugrundelegung eines wissenschaftlich anerkannten mathematischstatistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sein.

 3. Für die Berechnung des Wahrscheinlichkeitswertes dürfen nicht ausschließlich Anschriftendaten genutzt worden sein.

 4. Im Fall der Nutzung von Anschriftendaten muss die betroffene Person vor Berechnung des Wahrscheinlichkeitswertes über die vorgesehene Nutzung dieser Daten unterrichtet worden sein, wobei die Unterrichtung zu dokumentieren ist.

122

§ 31 Abs. 2 S. 1 BDSG enthält sodann noch besondere, zu den Voraussetzungen gem. § 31 Abs. 1 BDSG hinzutretende Anforderungen für den Fall, dass der zu verwendende Scorewert über die Zahlungsfähig- und Zahlungswilligkeit einer natürlichen Person von einer Auskunftei berechnet wurde und dabei auch Daten über Forderungen mit einbezogen wurden.185 Die Zulässigkeit der Verarbeitung von anderen bonitätsrelevanten Daten, wie z.B. von Positivdaten, richtet sich gem. § 31 Abs. 2 S. 2 BDSG, auch zum Zwecke des Scorings, nach den (allgemeinen) Vorgaben der DSGVO.186

123

Zusätzlich können in diesem Zusammenhang auch noch die Vorgaben des Art. 22 DSGVO, also das Recht der betroffenen Person, keinen automatisierten Entscheidungen im Einzelfall unterworfen zu werden, zu beachten sein.187

124

Inwiefern der deutsche Gesetzgeber neben Art. 6 DSGVO und Art. 22 DSGVO auf nationaler Ebene noch spezielle Regelungen zum Scoring/zu Bonitätsauskünften einführen durfte, ist hochgradig umstritten.188 In einem Referentenentwurf für das „neue“ BDSG beriefen sich die Verfasser auf eine Regelungsbefugnis aus Art. 6 Abs. 4 DSGVO i.V.m. Art. 23 Abs. 1 lit. e DSGVO.189 In der finalen Gesetzesbegründung findet sich diese Passage aber nicht mehr. Vielmehr gibt der Gesetzgeber hier keine spezielle Öffnungsklausel mehr an, auf die er sich bei der Regelung beruft.

125

Teilweise wird vertreten, dass sich zumindest eine gewisse Regelungsbefugnis für die Mitgliedstaaten auch noch aus Art. 22 Abs. 2 lit. b DSGVO ergeben könne.190 Allerdings bezieht sich diese Öffnungsklausel nur auf automatisierte Entscheidungen im Einzelfall gem. Art. 22 Abs. 1 DSGVO und nicht auf das hiervon zu unterscheidende Scoring bzw. die hiervon zu unterscheidende Bonitätsauskunft.191 Eine Befugnis der Mitgliedstaaten, Art. 6 Abs. 1 lit. f DSGVO („Datenverarbeitung infolge einer Interessenabwägung“) weiter zu spezifizieren, scheidet wohl auch aus.192 Teilweise wird daher vertreten, dass sich in der DSGVO keine Öffnungsklausel für spezielle Regelungen in diesem Bereich auf nationaler Ebene befinde und dies auch dem Willen des Verordnungsgebers entspreche.193 Andere Autoren sind ebenfalls der Auffassung, dass sich in der DSGVO keine entsprechende Öffnungsklausel befinde, es sich bei den Regelungen zum Scoring aber auch zuvorderst um verbraucherschützende Vorschriften handeln würde und sie deshalb auf eine Befugnis aus diesem Bereich gestützt werden könnten.194 Weitere Autoren sind der Ansicht, dass § 31 BDSG auf die in Art. 23 Abs. 1 lit. i („Sicherstellung des Schutzes der betroffenen Person oder der Rechte und Freiheiten anderer Personen“) und lit. e („Sicherstellung des Schutzes sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats [...]“) DSGVO enthaltenen Öffnungsklauseln gestützt werden könne.195

126

Auch wenn somit derzeit noch nicht entschieden ist, ob der deutsche Gesetzgeber überhaupt befugt war, die Vorgaben an die Datenverarbeitung in § 31 BDSG zu erlassen oder ob diese Regelungen europarechtswidrig sind, sollten sich Unternehmen bei der Verwendung von Scorewerten und Bonitätsauskünften zur Vermeidung etwaiger Haftungsrisiken zumindest bis auf Weiteres an die Vorgaben aus § 31 BDSG halten.

127

So kann die Einhaltung der Vorgaben aus § 31 BDSG auch maßgeblich dazu beitragen, dass eine Interessenabwägung im Rahmen von Art. 6 Abs. 1 lit. f DSGVO („Verarbeitung infolge einer Interessenabwägung“), der – soweit die Regelungsbefugnis der Mitgliedstaaten abgelehnt wird – die Verwendung derartiger Daten in vielen Fällen regeln würde, zugunsten des Unternehmens ausgeht.196

128

Allerdings besitzt vorliegende Frage dennoch eine hohe praktische Relevanz: So könnte die Verwendung von Scorewerten geringeren Anforderungen unterliegen, wenn Unternehmen in diesem Zusammenhang nur die Vorgaben aus Art. 6 Abs. 1 lit. f DSGVO (bzw. einer anderen Erlaubnisvorschrift aus Art. 6 Abs. 1 DSGVO) und nicht auch die aus § 31 BDSG beachten müssten.

129

Endgültige Klarheit wird hier wahrscheinlich erst eine Entscheidung des EuGH bringen. Unternehmen, die Scorewerte oder Bonitätsauskünfte verwenden wollen, sollten jedenfalls prüfen, ob in der Zwischenzeit relevante Hinweise der Datenschutzaufsichtsbehörden bzw. Gerichtsentscheidungen ergangen sind.

c) Verhältnis zwischen dem Kunsturhebergesetz und der DSGVO

130

Hoch umstritten ist in der Praxis ebenfalls das Verhältnis zwischen dem KUG und der DSGVO, insbesondere Art. 6 Abs. 1 lit. f DSGVO. Diese Frage, mit der sich auch bereits mehrere deutsche Gerichte auseinandergesetzt haben, ist insbesondere für die Fragen relevant, unter welchen Voraussetzungen Bildnisse, wie z.B. Foto- und Videoaufnahmen von Menschen,197 angefertigt und verwendet, insbesondere veröffentlicht, werden dürfen, welche Anforderungen an eine Einwilligung und deren Widerrufbarkeit zu stellen und welche Informationspflichten insoweit zu erfüllen sind.198

131

Aufgrund der Vielzahl an unterschiedlichen Meinungen können an dieser Stelle nur die wesentlichen Grundzüge der Thematik im Hinblick auf die Zulässigkeit der Anfertigung und Verwendung von Bildnissen erläutert werden:

132

Das KUG regelt in §§ 22 und 23 nur die Verbreitung und die öffentliche Zurschaustellung199 von Bildnissen.200 Daher bemisst sich jedenfalls im Übrigen die Zulässigkeit der Anfertigung und Verwendung von Bildnissen nach allgemeiner Ansicht nach den Regelungen der DSGVO – insbesondere z.B. die Zulässigkeit der Aufnahme des Bildnisses und dessen Speicherung auf einem Datenträger.201

Achtung

Im Hinblick auf Verarbeitungen zu journalistischen Zwecken (sowie ggf. weiteren Zwecken, wie z.B. künstlerischen und literarischen) können die Bundesländer ggf. (weitgehende) Ausnahmen von der Anwendbarkeit der DSGVO oder Abweichungen von den Regelungen der DSGVO vorgesehen haben. Insbesondere können deshalb ggf. auch Art. 6 und 7 DSGVO nicht anwendbar sein. Daher ist auch bei den weiteren Ausführungen stets zu berücksichtigen, dass die DSGVO insoweit ggf. gar nicht anwendbar sein kann.

133

Hinsichtlich der Zulässigkeit der Verbreitung und der öffentlichen Zurschaustellung von Bildnissen werden dann viele unterschiedliche Ansichten vertreten:

134

Nach einer Ansicht verdrängen §§ 22 und 23 KUG die DSGVO – und zwar unabhängig davon, für welchen Zweck das Bildnis genutzt wird, da der bundesdeutsche Gesetzgeber auf Grundlage der in Art. 85 Abs. 1 DSGVO („Abwägung des Rechts auf den Schutz personenbezogener Daten gemäß der DSGVO mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit durch nationale Vorschriften der Mitgliedstaaten“) enthaltenen Öffnungsklausel befugt sei, hierzu eine nationale gesetzliche Regelung zu erlassen bzw. beizubehalten.202 Teilweise wird allerdings einschränkend vertreten, dass die hier relevante Öffnungsklausel nicht Art. 85 Abs. 1 DSGVO, sondern Art. 85 Abs. 2 DSGVO sei und das KUG der DSGVO daher nur dann vorgehe, wenn das Bildnis zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken genutzt werde – ansonsten gelte die DSGVO, z.B. wenn das Bildnis für PR- oder Werbezwecke verwendet wird.203 Der BGH hat in diesem Zusammenhang festgestellt, dass die DSGVO (jedenfalls) im journalistischen Bereich der Anwendbarkeit der §§ 22, 23 KUG im Hinblick auf die Beurteilung der Zulässigkeit der Bildveröffentlichung nicht entgegenstehe.204

135

Nach einer anderen Ansicht findet das KUG – ganz unabhängig vom Zweck, für den die Bildnisse verarbeitet werden – keine Anwendung mehr, da das KUG auf keine der in der DSGVO enthaltenen Öffnungsklauseln gestützt werden könne, zumal dem Bundesgesetzgeber auch die Gesetzgebungsbefugnis für den Bereich der Presse fehle und er damit auch die Verbreitung und öffentliche Zurschaustellung von Bildnissen zu journalistischen Zwecken gar nicht regeln dürfe.205 Somit werden nach dieser Auffassung auch die Verarbeitung und öffentliche Zurschaustellung von Bildnissen von Menschen umfassend durch die DSGVO geregelt, wobei aber ggf. die Haushaltsausnahme in Art. 2 Abs. 2 lit. c DSGVO zu beachten ist.

136

Unternehmen ist vor diesem Hintergrund zu empfehlen, die gesetzgeberischen Aktivitäten in diesem Bereich sowie die Rechtsprechung zu diesem Thema genau zu verfolgen, die (hoffentlich) zu einer Klärung dieser für die Praxis hoch relevanten Frage führen werden. In der Zwischenzeit sollten Unternehmen prüfen, ob weitere Datenschutzaufsichtsbehörden Stellungnahmen oder Hinweise zu dieser Thematik veröffentlicht haben. Ganz generell lassen sich nach derzeitigem Stand die folgenden Empfehlungen geben:

 – Für alle Verarbeitungsaktivitäten, die schon gar nicht in den generellen Anwendungsbereich der §§ 22 und 23 KUG fallen – insbesondere die Aufnahme und Speicherung von Bildnissen –, müssen sich Unternehmen grundsätzlich nach den Vorgaben der DSGVO richten.

 – Soweit Bildnisse verbreitet oder öffentlich zur Schau gestellt werden, müssen Unternehmen für sich die Frage beantworten, wie risikoaffin sie sind. Um sämtliche Haftungsrisiken zu vermeiden, müssen Unternehmen die im jeweiligen Fall relevanten Anforderungen der §§ 22 und 23 KUG sowie der DSGVO miteinander vergleichen und jeweils die strengeren Anforderungen einhalten.206

 – Ist das Unternehmen hingegen bereit, gewisse rechtliche Risiken zu akzeptieren, kann das Unternehmen – vor dem Hintergrund und auf Basis der bisher ergangenen Rechtsprechung – im Hinblick auf die Zulässigkeit der Verbreitung und öffentlichen Zurschaustellung eines Bildnisses nach dem Verwendungszweck differenzieren: Erfolgt die Verbreitung oder öffentliche Zurschaustellung zu journalistischen Zwecken, kann es sich insoweit nach §§ 22 und 23 KUG richten – sofern in diesem Fall nicht ohnehin die Landespresse- bzw. Landesmediengesetze anwendbar sind.207 Ebenso könnten Verantwortliche sich ggf. nach §§ 22 und 23 KUG richten, wenn die Verbreitung oder öffentliche Zurschaustellung wissenschaftlichen, künstlerischen oder literarischen Zwecken dient. Erfolgt die Verbreitung oder öffentliche Zurschaustellung hingegen zu anderen Zwecken, z.B. zu gewerblichen Zwecken, zu PR- oder zu Werbezwecken, kann sich das Unternehmen auch im Hinblick auf die Verbreitung und öffentliche Zurschaustellung der Bildnisse nach den Vorgaben der DSGVO richten. In den meisten Fällen wird sich die Zulässigkeit der Datenverarbeitung dann wohl nach Art. 6 Abs. 1 lit. f DSGVO bemessen, wobei das Unternehmen im Rahmen der erforderlichen Interessenabwägung aber auch die bisher zu §§ 22 und 23 KUG ergangene Rechtsprechung berücksichtigen sollte.208 Allerdings verbleibt insoweit das Risiko, dass ein Gericht zur Anwendbarkeit des jeweils anderen Gesetzes kommt und das Unternehmen die spezifischen Anforderungen dieses Gesetzes im Einzelfall nicht einhält. Dieses Risiko ist aber wiederum dadurch begrenzt, dass die §§ 22 und 23 KUG und die maßgeblichen Erlaubnisvorschriften der DSGVO durchaus Gemeinsamkeiten aufweisen und Verantwortliche die jeweils anderen Vorschriften – soweit diese Gemeinsamkeiten reichen – quasi automatisch miterfüllen – gerade wenn der Verantwortliche die Vorgaben der §§ 22 und 23 KUG einhält.209

7. Zweckänderung – Verarbeitung personenbezogener Daten zu einem anderen Zweck

137

Hat ein Verantwortlicher personenbezogene Daten für einen bestimmten Zweck erhoben, darf er sie grundsätzlich auch nur für diesen Zweck verarbeiten. Dies folgt aus dem in Art. 5 Abs. 1 lit. b DSGVO normierten Prinzip der Zweckbindung. Möchte ein Verantwortlicher personenbezogene Daten auch für andere Zwecke verwenden, muss eine der drei folgenden Bedingungen erfüllt sein, damit die Zweckänderung rechtmäßig ist (vgl. Erwägungsgrund 50 i.V.m. Art. 6 Abs. 4 DSGVO):

 1. Eine (spezielle) Rechtsvorschrift der EU oder eines Mitgliedstaates zum Schutz der in Art. 23 Abs. 1 DSGVO genannten Ziele (z.B. nationale Sicherheit, Landesverteidigung etc. (siehe Rn. 139ff.)) erlaubt die Verarbeitung der personenbezogenen Daten zu einem anderen Zweck.

 2. Die betroffene Person hat in die Verarbeitung ihrer Daten zu dem anderen Zweck eingewilligt.

 3. Die Weiterverarbeitung erfolgt zu einem Zweck, der gem. Art. 6 Abs. 4 DSGVO mit dem Zweck, für den die Daten ursprünglich erhoben wurden, vereinbar ist.

138

Alternativ kann der Verantwortliche die personenbezogenen Daten für den neuen Zweck, für die er die Daten verarbeiten möchte, auch noch neu erheben, sofern dies datenschutzrechtlich zulässig ist.

a) Zweckänderung auf Basis einer Rechtsvorschrift

139

Zunächst ist eine Zweckänderung zulässig, wenn eine (spezielle) Rechtsvorschrift (i) der EU oder (ii) eines Mitgliedstaates zum Schutz der in Art. 23 Abs. 1 DSGVO genannten Ziele die Verarbeitung der personenbezogenen Daten zu einem anderen Zweck erlaubt.

140

Der bundesdeutsche Gesetzgeber hat von dieser Öffnungsklausel in §§ 23 und 24 BDSG Gebrauch gemacht.210 Außerdem hat er für den Fall der Videoüberwachung öffentlich zugänglicher Räume gem. § 4 Abs. 3 S. 2 BDSG besondere Regelungen zur Zweckänderung getroffen.

Nationale Regelungen in Deutschland

1. § 24 BDSG: Zweckänderung

141

Der deutsche Gesetzgeber hat in § 24 BDSG eine Erlaubnis für die Verarbeitung von Daten zu einem anderen Zweck normiert. § 24 Abs. 1 BDSG regelt die Verarbeitung „normaler“ personenbezogener Daten durch nicht-öffentliche Stellen, wie privatwirtschaftliche Unternehmen, zu einem anderen Zweck und § 24 Abs. 2 BDSG die Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO.211

142

Nach § 24 Abs. 1 BDSG dürfen Verantwortliche212 personenbezogene Daten zu einem anderen Zweck als dem, für welchen sie erhoben wurden, verarbeiten, wenn

 1. die Verarbeitung zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist oder

 2. sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist.

143

Ist eine dieser beiden Bedingungen erfüllt, ist zudem noch eine Interessenabwägung vorzunehmen. Nur wenn die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung nicht überwiegen, ist die Zweckänderung nach § 24 Abs. 1 BDSG zulässig.

144

Mithin ist es hier nicht wie bei der Zweckänderung auf Basis eines Kompatibilitätstests nach Art. 6 Abs. 4 DSGVO erforderlich, dass der Zweck, für den die Daten weiterverarbeitet werden, mit dem Ursprungszweck, für den die Daten erhoben wurden, vereinbar ist.

145

Die Datenverarbeitung zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit sowie zur Verfolgung von Straftaten wird insbesondere dann relevant, wenn ein Verantwortlicher Daten, die er für eigene Zwecke erhoben hat, nun für die genannten Zwecke aufbewahrt und sie an die für den Schutz dieser Güter zuständigen Behörden übermittelt.213

146

Im Hinblick auf die Tatbestandsmerkmale der Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche kann auf die Ausführungen zu Art. 9 Abs. 2 lit. f DSGVO verwiesen werden.214 Zu beachten ist hierbei aber, dass der Anwendungsbereich des § 24 Abs. 1 Nr. 2 BDSG auf zivilrechtliche Ansprüche beschränkt ist.

147

Es ist allerdings zweifelhaft, ob § 24 Abs. 1 BDSG europarechtskonform ist, da umstritten ist, ob für beide in § 24 Abs. 1 BDSG genannten Alternativen eine entsprechende Öffnungsklausel existiert.215 Zumindest für § 24 Abs. 1 Nr. 1 BDSG wird dies aber wohl überwiegend angenommen.216 § 24 Abs. 1 Nr. 2 BDSG wird demgegenüber deutlich kritischer betrachtet.217 Vor allem wenn eine geplante Zweckänderung auf § 24 Abs. 1 Nr. 2 BDSG gestützt werden soll, ist Unternehmen vor diesem Hintergrund zu empfehlen, genau zu prüfen, ob diese eventuell auch auf eine andere Rechtsgrundlage gestützt werden kann. Andernfalls sollten Unternehmen, wenn die Weiterverarbeitung zu einem anderen Zweck eine gewisse Relevanz aufweist, diese – wenn möglich und praktisch durchführbar – mit den zuständigen Datenschutzaufsichtsbehörden abstimmen und in jedem Fall prüfen, ob in der Zwischenzeit relevante Rechtsprechung oder Hinweise der Datenschutzaufsichtsbehörden hierzu ergangen sind. Endgültige Klarheit wird in diesem Fall wahrscheinlich erst eine Entscheidung des EuGH bringen können.

2. § 4 Abs. 3 S. 3 BDSG: Zweckänderung bei Videoüberwachung öffentlich zugänglicher Räume

148

Zudem hat der deutsche Gesetzgeber auch in § 4 Abs. 3 S. 3 BDSG eine Erlaubnis zur Zweckänderung im Hinblick auf Daten normiert, die im Rahmen einer Videoüberwachung öffentlich zugänglicher Räume erhoben wurden. Diese dürfen demnach – unabhängig vom ursprünglich verfolgten Zweck –auch zum Zweck der Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten weiterverarbeitet werden.218 Allerdings ist in diesem Zusammenhang zu beachten, dass das Bundesverwaltungsgericht entschieden hat, dass zumindest § 4 Abs. 1 S. 1 BDSG europarechtswidrig sei (siehe Rn. 114). Auch für andere Bestimmungen des § 4 BDSG wird zumindest in der datenschutzrechtlichen Literatur vertreten, dass diese europarechtswidrig seien. Im Hinblick auf die Regelung der Zweckänderung in § 4 Abs. 3 S. 3 BDSG sprechen nach hier vertretener Ansicht aber gute Gründe dafür, dass diese Regelung europarechtskonform ist.219

149

Umstritten ist, inwieweit sich auch aus Art. 6 Abs. 1 DSGVO eine Erlaubnis zur Weiterverarbeitung personenbezogener Daten zu einem anderen Zweck ergeben kann. Teilweise wird vertreten, dass auch Art. 6 Abs. 1 lit. f DSGVO („Verarbeitung auf Basis einer Interessenabwägung“) eine Zweckänderung rechtfertigen könne.220 Teilweise wird einschränkend vertreten, dass im Rahmen von Art. 6 Abs. 1 DSGVO eine Zweckänderung nur auf die in lit. c („Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt“) und lit. e („Verarbeitung zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“) normierten Tatbestandsalternativen gestützt werden könne.221

150

Auch wenn nach hier vertretener Ansicht – insbesondere vor dem Hintergrund des Wortlauts von Art. 6 Abs. 4 DSGVO – durchaus gute Argumente dafür sprechen, dass die Verarbeitung bereits erhobener personenbezogener Daten zu einem anderen Zweck auch auf Basis von Art. 6 Abs. 1 lit. f DSGVO erfolgen kann, empfiehlt es sich für Unternehmen, aus Gründen der Haftungsvermeidung eine Zweckänderung nur dann auf Art. 6 Abs. 1 lit. f DSGVO zu stützen, wenn keine andere Alternative diese zu rechtfertigen vermag. So ist davon auszugehen, dass zumindest die Datenschutzaufsichtsbehörden wohl eher einer restriktiveren Auslegung von Art. 6 Abs. 4 DSGVO folgen werden.

b) Zweckänderung auf Basis einer Einwilligung

151

Des Weiteren kann die Weiterverarbeitung personenbezogener Daten zu anderen Zwecken ausweislich des Wortlauts von Art. 6 Abs. 4 DSGVO auch auf die Einwilligung der betroffenen Person gestützt werden. Die Voraussetzungen, die eine Einwilligung erfüllen muss, um wirksam zu sein, werden unter Rn. 243ff. ausführlich beschrieben.

c) Zweckänderung auf Basis des Kompatibilitätstests gem. Art. 6 Abs. 4 DSGVO

152

Nach Art. 6 Abs. 4 DSGVO ist die Weiterverarbeitung personenbezogener Daten für einen anderen Zweck schließlich auch dann erlaubt, wenn dieser andere Zweck mit dem Zweck, für den die Daten erhoben wurden, vereinbar ist.

153

Ist dies der Fall, erlaubt Art. 6 Abs. 4 DSGVO i.V.m. Erwägungsgrund 50 S. 2 DSGVO die Weiterverarbeitung der personenbezogenen Daten zu einem anderen Zweck nach hier vertretener Ansicht auf Basis derselben Rechtsgrundlage, die die Verarbeitung der Daten zu dem ursprünglichen Zweck erlaubt.222 Mit anderen Worten: Ist der neue Zweck, für den personenbezogene Daten weiterverarbeitet werden sollen, mit dem Zweck, für den die Daten ursprünglich erhoben wurden, vereinbar, benötigt der Verantwortliche für die Weiterverarbeitung nach hier vertretener Ansicht keine gesonderte Rechtsgrundlage.223 Diese Auffassung wird auch vom Bundesbeauftragten für Datenschutz und Informationsfreiheit in seinem Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche geteilt.224 Dabei kann die relevante Rechtsgrundlage (auf die zunächst die originäre Verarbeitung und dann bei Zweckvereinbarkeit auch die Weiterverarbeitung gestützt wird) nach Maßgabe von Erwägungsgrund 50 DSGVO auch von der EU (außerhalb der DSGVO) oder dem jeweiligen Mitgliedstaat erlassen worden sein.

Praxishinweis

In der datenschutzrechtlichen Literatur wird die hier vertretene Ansicht teilweise bestritten und – insbesondere aus systematischen und gesetzgebungshistorischen Gründen – eine gesonderte Rechtsgrundlage für die Weiterverarbeitung der personenbezogenen Daten zu einem anderen Zweck gefordert.225 Auch wenn diese Auffassung nach hier vertretener Auffassung nicht mit dem Wortlaut des Erwägungsgrundes 50 S. 2 DSGVO und dem Konzept der Zweckvereinbarkeit226 in Einklang zu bringen ist, sollten Unternehmen, wenn sie personenbezogene Daten zu einem anderen Zweck weiterverarbeiten möchten, vor diesem Hintergrund zur Erhöhung der Rechtssicherheit möglichst sicherstellen, dass diese Weiterverarbeitung (auch) auf eine gesonderte Rechtsgrundlage gestützt werden kann.

154

Entscheidend für die Zulässigkeit der Zweckänderung auf Basis des Kompatibilitätstests ist die Antwort auf die Frage, ob der neue und der bisherige Zweck miteinander vereinbar sind. Um diese Frage zu beantworten, gibt Art. 6 Abs. 4 DSGVO dem Verantwortlichen fünf Kriterien an die Hand, die er bei der Prüfung der Vereinbarkeit berücksichtigen muss:

 1. jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

 2. den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

 3. die Art der personenbezogenen Daten, insbesondere, ob besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO verarbeitet werden,

 4. die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

 5. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können.

155

Erwägungsgrund 50 präzisiert diese fünf Kriterien weiter. Demnach sollte der Verantwortliche insbesondere auch die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten prüfen. Die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke sollte nach Erwägungsgrund 50 DSGVO als vereinbarer und rechtmäßiger Verarbeitungsvorgang gelten.

156

Diese Liste mit Kriterien ist allerdings nicht abschließend. So muss der Verantwortliche auch alle weiteren im Einzelfall relevanten Kriterien berücksichtigen.227 In der Praxis ist allerdings zu erwarten, dass sich die Prüfung weitestgehend auf die genannten Kriterien beschränkt und nur in atypischen Fällen weitere Kriterien zu berücksichtigen sind. Ob die Weiterverarbeitung erwartbar war und zwei Zwecke miteinander vereinbar sind, ist nach hier vertretener Auffassung aus objektiver Sicht zu beurteilen.228

157

Sind die Zwecke miteinander vereinbar, darf der Verantwortliche die personenbezogenen Daten für den neuen Zweck weiterverarbeiten.

Praxishinweis

Unternehmen sollten – insbesondere vor dem Hintergrund der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO – die Grundlage, auf der die Zweckänderung erfolgt, dokumentieren. Erfolgt die Zweckänderung auf Basis eines Kompatibilitätstests i.S.d. Art. 6 Abs. 4 DSGVO, sollten Unternehmen in diesem Zusammenhang auch diesen Test dokumentieren.

d) Weitere datenschutzrechtliche Pflichten im Fall der Zweckänderung

158

Verarbeitet ein Verantwortlicher personenbezogene Daten zu einem anderen Zweck weiter als dem, für den sie erhoben wurden, sind hierbei wie bei der originären Verarbeitung personenbezogener Daten die Vorgaben der DSGVO einzuhalten. So sind die betroffenen Personen insbesondere nach Art. 13 Abs. 3 DSGVO bzw. Art. 14 Abs. 4 DSGVO über die Verarbeitung ihrer Daten zu einem anderen Zweck zu informieren.229

8. Verarbeitung besonderer Kategorien personenbezogener Daten

159

Die Verarbeitung besonderer Kategorien personenbezogener Daten unterliegt – wie schon nach der Datenschutzrichtlinie und dem BDSG a.F. – besonders strikten Verarbeitungsvoraussetzungen. Diese sind grundsätzlich in Art. 9 DSGVO geregelt. Demnach ist die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO grundsätzlich verboten und nur dann ausnahmsweise erlaubt, wenn die Voraussetzungen mindestens einer der in Art. 9 Abs. 2 DSGVO enthaltenen Alternativen erfüllt sind. Zudem müssen wohl auch noch die Anforderungen des Art. 6 Abs. 1 DSGVO erfüllt sein, damit die Verarbeitung solcher Daten rechtmäßig ist (siehe hierzu Rn. 170ff.).

a) Besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO)

160

Zu den besonderen Kategorien personenbezogener Daten gehören die in Art. 9 Abs. 1 DSGVO aufgezählten Datenkategorien:

 – personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen,

 – genetische Daten i.S.d. Art. 4 Nr. 13 DSGVO,230

 – biometrische Daten i.S.d. Art. 4 Nr. 14 DSGVO zur eindeutigen Identifizierung einer natürlichen Person,231

 – Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO232 und

 – Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

161

Diese Kategorien von Daten bedürfen eines besonders strikten Schutzes durch die DSGVO, da – so Erwägungsgrund 51 – im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können.

162

Wie schon Art. 8 der Datenschutzrichtlinie 95/46/EG, unterscheidet Art. 9 DSGVO seinem Wortlaut nach grundsätzlich nicht zwischen unterschiedlichen Verwendungszusammenhängen, bei denen die Daten verwendet werden. Mit anderen Worten: Wird ein bestimmtes Datum verarbeitet, das zu einer der in Art. 9 Abs. 1 DSGVO aufgezählten Kategorien gehört, finden nach dem Wortlaut von Art. 9 DSGVO die strikten Vorschriften des Art. 9 DSGVO über die Verarbeitung besonderer Kategorien personenbezogener Daten Anwendung – und zwar unabhängig von dem Zusammenhang bzw. der Situation, in dem/der sie verarbeitet werden. Somit könnte z.B. schon die Verarbeitung der Information, dass eine Person Alkohol trinkt, oder eines Bildes, auf dem ein Brillenträger abgebildet ist, – als Gesundheitsdaten – ganz generell den strikten Voraussetzungen des Art. 9 DSGVO unterliegen.233

163

Auch aus Erwägungsgrund 51 S. 3 ergibt sich nichts anderes. Dieser stellt im Hinblick auf die Verarbeitung von Fotos klar, dass diese nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten anzusehen ist, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Doch bedeutet dies nicht, dass Art. 9 DSGVO vor diesem Hintergrund restriktiv auszulegen wäre. Vielmehr handelt es sich hierbei (lediglich) um einen Hinweis, dass die Begriffsdefinition der biometrischen Daten in Art. 4 Nr. 14 DSGVO nicht sämtliche Fotos erfasst.

164

Allerdings scheint sich in diesem Zusammenhang eine pragmatischere Sichtweise durchzusetzen, die den Sinn und Zweck der Regelung mehr in den Vordergrund stellt.

165

Demnach ist zwischen Daten, die unmittelbar sensible Informationen enthalten (wie z.B. Diagnosen im Hinblick auf den Gesundheitszustand) einerseits und Daten, die lediglich mittelbar sensible Informationen beinhalten (wie z.B. das Foto eines Brillenträgers) – aus denen die sensible Information also erst noch abgeleitet werden muss – andererseits, zu unterscheiden.234 Während Daten, die unmittelbar sensible Informationen enthalten, stets als besondere Kategorie personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO einzuordnen sind, hängt dies nach hier vertretener Ansicht bei Daten, die lediglich mittelbar sensible Informationen enthalten, vom Verwendungszusammenhang ab. So entsteht das besondere Diskriminierungspotenzial dieser Daten nach hier vertretener Ansicht erst durch den jeweiligen Verwendungszusammenhang, nämlich wenn die Daten genau im Hinblick auf die „dahinterstehenden“ sensiblen Informationen verarbeitet werden (z.B. die Sehschwäche des Brillenträgers).

165a

Folglich sollten auch nur solche Verarbeitungen von Daten, die nur mittelbare sensible Informationen beinhalten, den strikten Anforderungen des Art. 9 DSGVO unterliegen, bei denen gerade der (dahinterstehende) sensible Teil des Informationsgehalts verwendet/ausgewertet/abgeleitet wird. Werden solche Daten bei der jeweiligen Datenverarbeitung hingegen nicht auf ihre „dahinterstehenden“ sensiblen Informationen hin verwendet/ausgewertet (z.B. bei der bloßen Verwendung des Bildes eines Brillenträgers), sollte die Datenverarbeitung den Voraussetzungen für die Verarbeitung „normaler“ Daten, z.B. nach Art. 6 Abs. 1 DSGVO, unterliegen, da sich das Diskriminierungspotenzial, das den besonderen Schutz durch Art. 9 DSGVO rechtfertigt, hier eben nicht realisiert.235

165b

Entscheidend für die Abgrenzung ist nach hier vertretener Auffassung der objektive Verwendungszusammenhang236 und nicht – wie teilweise auch vertreten wird – die subjektive Auswertungsabsicht, also die Absicht, die zu verarbeitenden Daten im Hinblick auf den „dahinterstehenden“ sensiblen Teil auszuwerten.237 So lässt sich die Auswertungsabsicht oftmals nicht zuverlässig ermitteln, wodurch eine nicht hinnehmbare Rechtsunsicherheit entstünde. Dies könnte im Ergebnis auch dazu führen, dass Daten, denen ein besonders hohes Diskriminierungspotenzial innewohnt, ggf. nicht ausreichend geschützt würden.238 Gegebenenfalls kann die subjektive (bestehende oder fehlende) Auswertungsabsicht – sofern diese bekannt ist – aber bei der Ermittlung des objektiven Verwendungszusammenhangs zu berücksichtigen sein.239

Standpunkte des Europäischen Datenschutzausschusses und der deutschen Datenschutzaufsichtsbehörden

166

Der Europäische Datenschutzausschuss hat in seinen „Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte“ im Hinblick auf die Verarbeitung von Videoaufnahmen ausgeführt, dass der Anwendungsbereich des Art. 9 DSGVO (nur dann) eröffnet sei, wenn diese verarbeitet werden, „um besondere Datenkategorien abzuleiten“.240 Allerdings lässt sich aus den Leitlinien wohl nicht ganz eindeutig entnehmen, ob der EDSA diese Ausführungen vor dem Hintergrund macht, dass (i) in den Videoaufnahmen neben den besonderen Kategorien personenbezogener Daten auch eine Vielzahl „normaler“, nicht sensibler personenbezogener Daten enthalten sind und die Verarbeitung der Videoaufnahmen aus diesem Grund nicht per se, sondern nur unter der genannten Bedingung den besonders strikten Anforderungen des Art. 9 DSGVO unterliegen soll oder (ii) in den Aufnahmen (typischerweise) nur mittelbar sensible Informationen enthalten sind (z.B. das Bild eines Brillenträgers oder eines Rollstuhlfahrers) und der Anwendungsbereich von Art. 9 Abs. 1 DSGVO deshalb eingeschränkt sei. Für letzteres spricht aber wohl der unmittelbare räumliche/textliche Zusammenhang der Ausführungen zu der oben genannten einschränkenden Bedingung, da der EDSA direkt vor ihnen die eben genannten Beispiele für mittelbar sensible Informationen (Bild eines Brillenträgers oder eines Rollstuhlfahrers) nennt und erklärt, dass es sich bei diesen Angaben nicht per se um besondere Kategorien personenbezogener Daten handeln würde.

166a

Ebenso lässt sich aus dem Wortlaut der Leitlinien nach hier vertretener Lesart nicht eindeutig entnehmen, ob der EDSA dem Kriterium („verarbeitet, um besondere Datenkategorien abzuleiten“) ein objektives oder ein subjektives Verständnis zugrunde legt, also ob es für die Qualifizierung der Daten als sensible Daten i.S.d. Art. 9 Abs. 1 DSGVO nach Ansicht des EDSA darauf ankommt, dass die Daten objektiv auf den „dahinterstehenden“ sensiblen Teil ihrer Information hin verarbeitet/ausgewertet werden oder ob es darauf ankommt, dass eine entsprechende Auswertungsabsicht des Verantwortlichen besteht (siehe hierzu oben Rn. 165).241 Eventuell lässt sich aus den vom EDSA in dem Zusammenhang gegebenen Beispielen entnehmen, dass auch der EDSA insoweit den objektiven Verwendungszusammenhang als entscheidendes Abgrenzungskriterium ansieht und die subjektive Auswertungsabsicht nur ein Indiz dafür sei. Ganz generell bleibt es zudem abzuwarten, ob der Europäische Datenschutzausschuss diese im Hinblick auf die Videoüberwachung getroffenen Aussagen auch bei anderen Verarbeitungsszenarien so beibehalten wird.

167

Die deutschen Datenschutzaufsichtsbehörden haben zumindest anerkannt, dass nicht jede mittelbare Angabe zu den besonderen Kategorien personenbezogener Daten den besonders strikten Verarbeitungsvoraussetzungen für besondere Kategorien personenbezogener Daten unterliegen soll.242 Eine dogmatische Begründung für diese Auffassung liefert die Datenschutzkonferenz in ihrem Kurzpapier zu den besonderen Kategorien personenbezogener Daten allerdings nicht.

Praxishinweis

Möchten Unternehmen rechtliche Risiken in diesem Zusammenhang vollständig vermeiden, sollten sie auch mittelbare Informationen über eine in Art. 9 Abs. 1 DSGVO aufgeführte Kategorie als besondere Kategorie personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO auffassen, bis diese pragmatische Sichtweise von den europäischen/deutschen Datenschutzaufsichtsbehörden ausdrücklich und losgelöst von einzelnen Verarbeitungsszenarien bestätigt wurde und sich ggf. eine gefestigte Rechtsprechung etabliert hat. Besitzt die Verarbeitung solcher Daten für das Unternehmen eine wichtige Bedeutung, könnte es ggf. auch überlegenswert sein, die Einordnung der Daten vor deren Verarbeitung mit der zuständigen Aufsichtsbehörde abzustimmen.

168

Soweit vor dem Hintergrund des Wortlauts von Art. 9 Abs. 1 DSGVO und des Erwägungsgrundes 51 entgegen der hier vertretenen Ansicht auch solche Datenverarbeitungen unter Art. 9 DSGVO gefasst werden, bei denen nicht gerade der „dahinterstehende“ sensible Teil des Informationsgehalts verwendet/ausgewertet/abgeleitet wird, sollte der Umstand, dass Daten nur mittelbar „sensible“ Informationen beinhalten und die Datenverarbeitung nicht im Hinblick auf diesen Teil erfolgt, aber jedenfalls dadurch berücksichtigt werden, dass die Voraussetzungen für die Verarbeitung der Daten in Art. 9 Abs. 2 DSGVO entsprechend pragmatisch ausgelegt werden.243

168a

Eventuell kann die hier im Hinblick auf Daten, die nur mittelbar sensible Informationen enthalten, vertretene Auffassung auch auf sogenannte Mischdatensätze übertragen werden, also Datensätze, die sowohl besondere Kategorien personenbezogener Daten, als auch „normale“, nicht sensible personenbezogene Daten enthalten.244 In diesem Fall würden derartige Datensätze nur dann in den Anwendungsbereich von Art. 9 DSGVO fallen, wenn die Datensätze gerade im Hinblick auf die in ihnen enthaltenen sensiblen Daten hin verarbeitet, z.B. diese ausgewertet werden.245 Möchten Unternehmen diesem Ansatz folgen, ist dies allerdings aufgrund der insoweit noch ungeklärten Rechtslage mit rechtlichen Risiken verbunden, insbesondere weil Art. 9 DSGVO keine entsprechende ausdrückliche Regelung hierzu/Einschränkung enthält und Einschränkungen des Anwendungsbereichs von Art. 9 DSGVO teilweise wohl auch generell abgelehnt werden.246 Vor diesem Hintergrund kann es deshalb ggf. sinnvoll sein, diesem Ansatz für Mischdatensätze erst dann zu folgen, wenn sich in der datenschutzrechtlichen Literatur eine gefestigte, diesen Ansatz unterstützende Auffassung gebildet hat oder sich Datenschutzaufsichtsbehörden bzw. (weitere) Gerichte entsprechend geäußert haben.

b) Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten

169

Die Verarbeitung besonderer Kategorien personenbezogener Daten ist gem. Art. 9 Abs. 1 DSGVO grundsätzlich verboten. Allerdings muss auch die Verarbeitung solcher Daten unter gewissen Voraussetzungen zulässig sein – aufgrund der besonderen Sensibilität der Daten und ihres besonderen Diskriminierungspotenzials aber unter besonders strikten.

170

Umstritten ist in diesem Zusammenhang, ob die Verarbeitung besonderer Kategorien personenbezogener Daten dabei allein auf Art. 9 Abs. 2 DSGVO gestützt werden kann (ggf. in Verbindung mit der jeweiligen nationalen oder europäischen Rechtsvorschrift, sofern Art. 9 Abs. 2 DSGVO nur eine Öffnungsklausel enthält) oder ob zusätzlich dazu auch noch die Anforderungen des Art. 6 Abs. 1 DSGVO erfüllt sein müssen.247

171

Der Europäische Datenschutzausschuss, die deutschen Datenschutzaufsichtsbehörden, der bundesdeutsche Gesetzgeber und Teile der datenschutzrechtlichen Literatur gehen davon aus, dass Art. 9 Abs. 2 DSGVO nur Ausnahmen vom generellen Verarbeitungsverbot enthalte bzw. die allgemeinen Rechtmäßigkeitsanforderungen des Art. 6 Abs. 1 DSGVO lediglich erhöhe (indem zusätzliche Anforderungen an die Verarbeitung statuiert werden).248 Damit die Verarbeitung besonderer Kategorien personenbezogener Daten rechtmäßig ist, müssten damit sowohl zumindest eine Tatbestandsalternative des Art. 9 Abs. 2 DSGVO als auch eine Tatbestandsalternative des Art. 6 Abs. 1 DSGVO kumulativ erfüllt sein.249 Begründet wird diese Auffassung insbesondere mit dem Wortlaut des Erwägungsgrundes 51 S. 5, nach dem „zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung [...] die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten [sollten]“.

172

Teilweise wird in der datenschutzrechtlichen Literatur hingegen aber auch die Ansicht vertreten, dass Art. 9 Abs. 2 DSGVO Erlaubnistatbestände enthalte, die die Verarbeitung besonderer Kategorien personenbezogener Daten (eigenständig) rechtfertigen könnten. Sofern Art. 9 Abs. 2 DSGVO (nur) Öffnungsklauseln beinhalte, könne die Datenverarbeitung auf die jeweilige nationale bzw. europäische Rechtsnorm gestützt werden, die diese Öffnungsklausel ausfülle.250 Mithin würde Art. 9 Abs. 2 DSGVO nach dieser Auffassung Art. 6 Abs. 1 DSGVO als lex specialis verdrängen. Begründet wird die Auffassung insbesondere damit, dass Art. 9 Abs. 2 DSGVO die Verarbeitung besonderer Kategorien personenbezogener Daten spezifisch regele251 und Erwägungsgrund 51 S. 5, der von den Befürwortern der anderen Ansicht als eines der Hauptargumente angeführt wird, zuvorderst klarstelle, dass bei der Verarbeitung besonderer Kategorien personenbezogener Daten neben den Anforderungen aus Art. 9 Abs. 2 DSGVO auch die allgemeinen Rechtmäßigkeitsanforderungen, insbesondere diejenigen aus Art. 5 DSGVO, einzuhalten seien.252

173

In der Praxis dürfte dieser Streit allerdings eher geringe Auswirkungen haben, da die beiden Ansichten wohl in den meisten in der Praxis vorkommenden Fallkonstellationen zu demselben Ergebnis führen werden. So werden in (fast) allen Fällen, in denen die besonders strikten Voraussetzungen des Art. 9 Abs. 2 DSGVO erfüllt sind, zugleich auch diejenigen des Art. 6 Abs. 1 DSGVO erfüllt sein.253 Vor diesem Hintergrund werden in der Folge die Voraussetzungen des Art. 9 Abs. 2 DSGVO gesondert und losgelöst von den Voraussetzungen des Art. 6 Abs. 1 DSGVO dargestellt. Die Voraussetzungen des Art. 6 Abs. 1 DSGVO werden in den Rn. 11ff. erläutert.

Praxishinweis

Um etwaige Haftungsrisiken zu vermeiden, sollten Unternehmen davon ausgehen, dass für die Rechtmäßigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten sowohl die Voraussetzungen des Art. 9 Abs. 2 DSGVO als auch die des Art. 6 Abs. 1 DSGVO erfüllt sein müssen.

c) Voraussetzungen für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 2 DSGVO)

174

Die für die Unternehmenspraxis wichtigsten Fälle, in denen gem. Art. 9 Abs. 2 DSGVO das in Art. 9 Abs. 1 DSGVO normierte Verbot der Verarbeitung besonderer Kategorien nicht gilt, werden im Folgenden erläutert:

aa) Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)

175

Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt. Eine solche Einwilligung muss zunächst sämtliche in Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a und Art. 7 DSGVO genannten Anforderungen erfüllen.254 Zudem muss die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO „ausdrücklich“ erfolgen. Demzufolge ist eine konkludente Einwilligung in diesem Zusammenhang ausgeschlossen. Außerdem muss die betroffene Person darüber informiert werden, dass (auch) „sensible“ Daten verarbeitet werden. Hierbei empfiehlt es sich zur besseren Verständlichkeit für die betroffene Person, keine juristisch abstrakten Begriffe, wie z.B. „besondere Kategorien personenbezogener Daten“ zu verwenden, sondern die konkret verarbeiteten Kategorien zu beschreiben, z.B. „Daten über Ihre Gesundheit“. Schließlich muss sich die Zustimmung der betroffenen Person zur Verarbeitung ihrer Daten im Rahmen der Einwilligung gerade auch/eindeutig auf die Verarbeitung der „sensiblen“ Daten beziehen.255

176

Allerdings erlaubt Art. 9 Abs. 2 lit. a DSGVO den Mitgliedstaaten, Bereiche/Situationen festzulegen, in denen die betroffene Person nicht wirksam in die Verarbeitung ihrer Daten einwilligen darf, z.B. um sie vor „Drucksituationen“ zu schützen. In diesem Fall kann eine Datenverarbeitung dann nur auf die anderen in Art. 9 Abs. 2 DSGVO enthaltenen Alternativen gestützt werden.256

bb) Beschäftigungs- und Sozialschutzkontext (Art. 9 Abs. 2 lit. b DSGVO)

177

Des Weiteren ist die Verarbeitung von besonderen Kategorien personenbezogener Daten gem. Art. 9 Abs. 2 DSGVO in lit. b nicht untersagt, wenn sie erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann. Voraussetzung hierfür ist, dass die Verarbeitung nach dem EU-Recht, dem Recht des jeweiligen Mitgliedstaates oder einer Kollektivvereinbarung – wozu gem. Erwägungsgrund 155 DSGVO auch Betriebsvereinbarungen gehören – nach dem Recht des jeweiligen Mitgliedstaates, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist.257

Nationale Regelungen in Deutschland

1. § 26 Abs. 3 und 4 BDSG: Verarbeitung „sensibler“ Daten für Zwecke des Beschäftigungsverhältnisses

178

Der deutsche Gesetzgeber hat von dieser Möglichkeit Gebrauch gemacht und in § 26 Abs. 3 und 4 BDSG die Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO für Zwecke des Beschäftigungsverhältnisses speziell geregelt.258

2. Sozialgesetzbücher

178a

Zudem hat der deutsche Gesetzgeber von der Öffnungklausel im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Bereich des Rechts der sozialen Sicherheit und des Sozialschutzes Gebrauch gemacht. So finden sich insoweit viele spezielle an Art. 9 Abs. 2 lit. b DSGVO anknüpfende Vorschriften in den Sozialgesetzbüchern.259

3. § 22 Abs. 1 Nr. 1 lit. a BDSG: Verarbeitung „sensibler“ Daten im Kontext des Rechts der sozialen Sicherheit und des Sozialschutzes

179

Des Weiteren erlaubt § 22 Abs. 1 Nr. 1 lit. a BDSG die Verarbeitung dieser sensiblen Daten durch öffentliche und nicht-öffentliche Stellen, soweit sie erforderlich ist, um die aus dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte auszuüben und den diesbezüglichen Pflichten nachzukommen. Voraussetzung hierfür ist allerdings, dass der Verantwortliche nach Maßgabe von § 22 Abs. 2 BDSG angemessene und spezifische (technische und organisatorische) Maßnahmen zur Wahrung der Interessen der betroffenen Person getroffen hat. § 22 Abs. 2 S. 2 BDSG enthält in diesem Zusammenhang eine beispielhafte Aufzählung von möglichen Maßnahmen, wie z.B. die an den Verarbeitungsvorgängen Beteiligten zu sensibilisieren, technische und organisatorische Sicherheitsmaßnahmen zu implementieren und die Daten zu pseudonymisieren oder zu verschlüsseln.260 Bei § 22 Abs. 1 Nr. 1 lit. a BDSG handelt es sich wohl um eine (sehr allgemein formulierte) Auffangnorm. So gehen nach § 1 Abs. 2 BDSG andere Rechtsvorschriften des Bundes über den Datenschutz dem BDSG vor, so z.B. auch die datenschutzrechtlichen Regelungen im SGB, die wohl den größten Teil der Datenverarbeitungen in diesem Bereich regeln.

180

In der datenschutzrechtlichen Literatur ist zudem umstritten, ob die Norm überhaupt bestimmt genug und damit europarechtskonform ist und Datenverarbeitungen auf sie gestützt werden können oder nicht. So gibt sie im Kern nur den Wortlaut von Art. 9 Abs. 2 lit. b DSGVO wieder, gibt aber z.B. selbst keine (speziellen, konkreten) zulässigen Verarbeitungszwecke in dem von Art. 9 Abs. 2 lit. b DSGVO eröffneten Rahmen vor.261 Andererseits wird vertreten, dass die (bloße) Wiederholung von Regelungen der DSGVO vorliegend vor dem Hintergrund des Erwägungsgrundes 8 zulässig sei.262 Demnach dürfen Mitgliedstaaten, wenn in der DSGVO Präzisierungen oder Einschränkungen ihrer Vorschriften durch das Recht der Mitgliedstaaten vorgesehen sind, Teile der DSGVO in ihr nationales Recht aufnehmen, soweit dies erforderlich ist, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen. Auch eine weitere Konkretisierung der Verarbeitungszwecke ist nach Ansicht einiger Autoren nicht erforderlich.263

181

Unternehmen ist vor diesem Hintergrund zu empfehlen, genau zu prüfen, ob eine geplante Datenverarbeitung eventuell auch auf eine andere Rechtsgrundlage gestützt werden kann. Ist dies nicht der Fall, sollten Unternehmen Datenverarbeitungen, die eine gewisse Relevanz aufweisen und auf diese Rechtsgrundlage gestützt werden sollen, – wenn möglich und praktisch durchführbar – mit den zuständigen Datenschutzaufsichtsbehörden abstimmen und in jedem Fall prüfen, ob in der Zwischenzeit relevante Rechtsprechung oder Hinweise der Datenschutzaufsichtsbehörden hierzu ergangen sind. Endgültige Klarheit wird in diesem Fall wahrscheinlich erst eine Entscheidung des EuGH bringen können.

cc) Offenkundig öffentliche Daten (Art. 9 Abs. 2 lit. e DSGVO)

182

Nach Art. 9 Abs. 2 lit. e DSGVO ist es nicht untersagt, besondere Kategorien personenbezogener Daten zu verarbeiten, die die betroffene Person offensichtlich öffentlich gemacht hat. Hiervon sind Daten umfasst, die entweder von der betroffenen Person selbst freiwillig öffentlich zugänglich gemacht wurden oder bei denen dies zumindest von ihr freiwillig veranlasst oder freiwillig bewusst akzeptiert wurde.264 In diesem Fall bedürfen diese Daten nach der gesetzgeberischen Wertung keines besonderen Schutzes mehr. Kann nur ein Teil der Öffentlichkeit auf die Daten zugreifen, z.B. im Rahmen einer geschlossenen Benutzergruppe, sind die Voraussetzungen des Art. 9 Abs. 2 lit. e DSGVO hingegen nicht erfüllt.265

dd) Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte (Art. 9 Abs. 2 lit. f DSGVO)

183

Nach Art. 9 Abs. 2 lit. f DSGVO ist die Verarbeitung besonderer Kategorien personenbezogener Daten nicht verboten, wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist.266 In diesem Zusammenhang ist es nach Erwägungsgrund 52 unerheblich, ob die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen in einem Gerichtsverfahren, in einem Verwaltungsverfahren oder in einem außergerichtlichen Verfahren erfolgt. Zudem ist es unerheblich, ob der Verantwortliche Gläubiger oder Schuldner des Rechtsanspruchs ist.267

184

Auch wenn Vorschriften über die Verarbeitung „sensibler“ Daten grundsätzlich restriktiv auszulegen sind, erlaubt Art. 9 Abs. 2 lit. f DSGVO nach hier vertretener Auffassung auch die Verarbeitung besonderer Kategorien personenbezogener Daten zur Prüfung und Vorbereitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Diese Phasen sind der Geltendmachung, Ausübung oder Verteidigung notwendigerweise vorgelagert. Wäre die Datenverarbeitung zu diesen Zwecken nicht erlaubt, wäre Art. 9 Abs. 2 lit. f DSGVO faktisch gegenstandslos. Vor diesem Hintergrund erlaubt Art. 9 Abs. 2 lit. f DSGVO nach hier vertretener Ansicht außerdem die Verarbeitung solcher Daten zu Zwecken der Begründung des jeweiligen Anspruchs.268

185

Auch bei der Datenverarbeitung zur Verteidigung gegen Rechtsansprüche ist es nach hier vertretener Auffassung nicht erforderlich, dass bereits eine Auseinandersetzung stattfindet, für die die Daten benötigt werden. Vielmehr ist es ausreichend, wenn es hinreichend wahrscheinlich ist, dass eine solche stattfindet.

Praxishinweis

Soweit sich Unternehmen auf die hier vertretene, (etwas) weitergehende Auslegung von Art. 9 Abs. 2 lit. f DSGVO berufen möchten, ist etwas Vorsicht geboten, da die Verarbeitung zu diesen Zwecken nicht ausdrücklich in Art. 9 Abs. 2 lit. f DSGVO geregelt wird und sich hierzu – soweit ersichtlich – auch noch keine gefestigte (befürwortende) Ansicht in der Literatur gebildet hat.

ee) Erlaubnis durch das Recht der Union oder des Mitgliedstaates aus Gründen eines erheblichen öffentlichen Interesses (Art. 9 Abs. 2 lit. g DSGVO)

186

Art. 9 Abs. 2 lit. g DSGVO enthält eine Öffnungsklausel. Demnach gilt das Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten nicht, wenn die Verarbeitung auf der Grundlage des EU-Rechts oder des Rechts eines Mitgliedstaates, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.269

186a

Nach Auffassung des EuGH kann sich ein solches öffentliches Interesse – zumindest bei der Verarbeitung von Daten durch Suchmaschinenbetreiber – auch aus Art. 11 GRCh (bzgl. des Zugangs von Nutzern zu Informationen) ergeben und zur Rechtmäßigkeit einer solchen Datenverarbeitung durch den Suchmaschinenbetreiber führen – und das (infolge einer „primärrechtskonformen Auslegung“)270 wohl auch dann, wenn die übrigen Zulässigkeitsvoraussetzungen, wie z.B. des Art. 10 DSGVO oder aus Art. 5 Abs. 1 lit. c–e DSGVO, nicht erfüllt sind.271 Gerade infolge dieser Entscheidung kann Art. 9 Abs. 2 lit. g DSGVO für die Verarbeitung besonderer Kategorien personenbezogener Daten durch Suchmaschinenbetreiber eine wichtige Rolle spielen. Außerdem kann die Argumentation des EuGH ggf. auch auf andere Verarbeitungssituationen übertragbar sein, wie z.B. die Verarbeitung personenbezogener Daten im Rahmen bestimmter Websites, insb. mit journalistischem Inhalt.272 Darüber hinaus bleibt es abzuwarten, ob sich ein solches öffentliches Interesse z.B. auch aus anderen Grundrechten nach der GRCh ergeben und Art. 9 Abs. 2 lit. g DSGVO dann ggf. auch Datenverarbeitungen in einem solchen Zusammenhang rechtfertigen kann.273

Nationale Regelungen in Deutschland

§ 22 Abs. 1 Nr. 1 lit. d BDSG: Verarbeitung „sensibler“ Daten aus Gründen eines erheblichen öffentlichen Interesses

187

Der deutsche Gesetzgeber hat im Rahmen des 2. DSAnpUG EU von dieser Ermächtigung Gebrauch gemacht und in § 22 Abs. 1 Nr. 1 lit. d BDSG spezielle Vorgaben für die Verarbeitung besonderer Kategorien personenbezogener Daten in diesem Zusammenhang erlassen.274 Demnach dürfen derartige Daten verarbeitet werden, wenn dies aus Gründen eines erheblichen öffentlichen Interesses zwingend erforderlich ist und soweit die Interessen des Verantwortlichen an der Datenverarbeitung [...] die Interessen der betroffenen Person überwiegen.

188

Als Anwendungsbeispiele für diese Norm nennt der Gesetzgeber in seiner Gesetzesbegründung z.B. die Zusammenarbeit zwischen nichtöffentlichen und öffentlichen Stellen bei der Terrorismusbekämpfung, die Verarbeitung solcher Daten im Rahmen von Präventions- und Deradikalisierungsprogrammen im Bereich des religiös motivierten Extremismus sowie im Fall von Pandemien und im Katastrophenschutz.275 Ggf. dürfen diese Daten dann gem. § 24 Abs. 2 BDSG auch an die Sicherheitsbehörden weitergeleitet werden.276 Die geschäftsmäßige Verarbeitung von besonderen Kategorien personenbezogener Daten durch einen Verantwortlichen im Rahmen eigener gewerblicher Geschäftsmodelle könne hingegen nicht auf § 22 Abs. 1 Nr. 1 lit. d BDSG gestützt werden.277 Möchte ein Verantwortlicher eine Datenverarbeitung auf diese Norm stützen, muss er zudem nach Maßgabe von § 22 Abs. 2 BDSG angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorsehen.278