DSGVO - BDSG - TTDSG

12

Der bereits nach altem Recht häufig praktizierte Ansatz, dass Unternehmen ihre Verarbeitungsvorgänge auf mehrere Erlaubnistatbeständestützen, kann nach hier vertretener Ansicht auch unter der DSGVO beibehalten werden (siehe auch Art. 6 Rn. 21).23 Diese präventive Herangehensweise ermöglicht es, den Datenverarbeitungsvorgang auch bei Wegfall einer der verwendeten Erlaubnistatbestände in rechtmäßiger Weise fortzuführen.24 Sofern sich der Verantwortliche mehrerer Rechtsgrundlagen bedient, muss die betroffene Person aufgrund des Transparenzgrundsatzes (Rn. 16ff.) sowie des Gebots der Verarbeitung nach Treu und Glauben (Rn. 13ff.) hierüber informiert werden. Gleichwohl ist es ratsam, eine primäre Rechtsgrundlage für den jeweiligen Verarbeitungsvorgang festzulegen.25 Diese Festlegung sollte möglichst gewissenhaft erfolgen, damit der Verantwortliche im Rahmen seiner Rechenschaftspflicht (Rn. 40ff.) das Vorliegen der jeweiligen Voraussetzungen nachweisen kann.26 Zu berücksichtigen ist außerdem, dass sich aus den jeweiligen Erlaubnistatbeständen unterschiedliche Rechtsfolgen ergeben können, etwa zur Datenportabilität (vgl. Art. 20 Abs. 1 lit. a DSGVO), zum Widerspruchsrecht des Betroffenen (vgl. Art. 21 Abs. 1 Satz 1 DSGVO) oder in Hinblick auf den Widerruf der Einwilligung (vgl. Art. 7 Abs. 3 Satz 1 DSGVO).

13

Die deutsche Sprachfassung, gemäß der personenbezogene Daten nach Treu und Glauben verarbeitet werden müssen, ist insofern unglücklich, als es sich bei „Treu und Glauben“ um eines der schillerndsten Begriffspaare des deutschen Zivilrechts handelt.27 Gleichwohl verbietet sich aufgrund des Gebots der autonomen Auslegung europarechtlicher Begriffe jedweder Rückgriff auf die von der Rechtsprechung und Literatur entwickelten Grundsätze zu § 242 BGB.28 Vielmehr wird bei einem Vergleich mit der englischen Sprachfassung29 deutlich, dass im Rahmen des Art. 5 Abs. 1 lit. a Alt. 2 DSGVO die Gewährleistung einer „fairen“ Datenverarbeitunggemeint ist.30 Nichtsdestotrotz ist dieser Grundsatz vergleichsweise konturlos und nur schwer greifbar.31

14

Ein Verarbeitungsvorgang ist „fair“, wenn durch den Verantwortlichen oder Auftragsverarbeiter keine unzulässige Rechtsausübung zum Nachteil der betroffenen Person erfolgt.32 Ein Verstoß gegen das Fairnessgebotist etwa anzunehmen, wenn der Umfang der Verarbeitung personenbezogener Daten den durch den Verantwortlichen geweckten Erwartungen der betroffenen Person nicht entspricht.33 Überdies sollten Wertungen der Europäischen Grundrechtecharta Eingang in den Beurteilungsprozess finden.34 Konkret hat dies etwa zur Folge, dass der Betroffene im Falle seiner Einwilligungüber das Vorliegen etwaiger weiterer Erlaubnistatbestände informiert werden muss.35 Andernfalls könnte bei ihm der Eindruck entstehen, dass die Verarbeitung aufgrund der freien Widerruflichkeit der Einwilligung seiner alleinigen Entscheidungsgewalt unterstünde, obwohl sie in Wirklichkeit durch einen anderen Erlaubnistatbestand legitimiert werden könnte (siehe auch Art. 6 Rn. 39ff.).36

15

Der Grundsatz von Treu und Glauben bzw. einer „fairen“ Datenverarbeitung kommt zudem darin zum Ausdruck, dass im Rahmen der Abwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO die „ vernünftigen Erwartungen“37 der betroffenen Personen berücksichtigt werden müssen.38 Insbesondere die Frage, ob die betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird, muss sorgfältig beleuchtet und in die Abwägung eingestellt werden.39 Weiterhin findet der Fairnessgrundsatz im Kopplungsverbot des Art. 7 Abs. 4 DSGVO (siehe Art. 7 Rn. 85ff.) sowie in den Art. 13 Abs. 2, 14 Abs. 2 DSGVO, welche ausdrücklich an die Gewährleistung einer fairen Verarbeitung anknüpfen (vgl. auch Rn. 18), seinen konkreten Niederschlag. Darüber hinaus ist auch das Erfordernis der Berücksichtigung der im Beschäftigungsverhältnis bestehenden Abhängigkeit im Rahmen einer Einwilligung gem. § 26 Abs. 2 BDSG als Ausprägung des Fairnessgrundsatzes anzusehen.

16

In der Formulierung, dass personenbezogene Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen, kommt vorrangig die retrospektive Komponente des Transparenzgrundsatzeszum Ausdruck.40 Der betroffenen Person muss es folglich möglich sein, dem bereits stattfindenden Datenverarbeitungsvorgang Schritt für Schritt zu folgen.41 Durch ErwG 39 Satz 2 DSGVO, der ausdrücklich auch auf noch bevorstehende Verarbeitungen Bezug nimmt, wird eine hinzutretende prospektive Zielrichtungdes Transparenzgebotes deutlich.42 Diese soll den betroffenen Personen eine möglichst umfassende Kontrolle über ihre personenbezogenen Daten ermöglichen.43

17

Nach Maßgabe des ErwG 39 Satz 3 DSGVO müssen alle Informationen und Mitteilungen zur Verarbeitung der personenbezogenen Daten leicht zugänglich, verständlichsowie in klarer und einfacher Spracheabgefasst sein. Die der betroffenen Person zur Verfügung zu stellenden Informationen umfassen insbesondere:44

– die Identität des Verantwortlichen,

– die Zwecke der Verarbeitung,

– einen Hinweis auf das Recht der Betroffenen, eine Bestätigung und Auskunft darüber zu erhalten, welche sie betreffenden personenbezogenen Daten verarbeitet werden,

– die Information über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten sowie eine Aufklärung, wie diesbezügliche Rechte geltend gemacht werden können.

18

Eine Konkretisierungder sich aus dem Transparenzgebot ergebenden Informations- und Auskunftspflichten enthalten insbesondere die Art. 13, 14, 15 DSGVO:45

– Gemäß Art. 13 Abs. 1 DSGVO muss der Verantwortliche, der personenbezogene Daten bei der betroffenen Person erhebt, dieser zum Zeitpunkt der Erhebung eine Reihe von Informationen zur Verfügung stellen (siehe Art. 13 Rn. 7ff.). Nach Maßgabe des Art. 13 Abs. 2 DSGVO ist der Verantwortliche insbesondere auch zur Bereitstellung solcher Informationen verpflichtet, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten (siehe Art. 13 Rn. 17ff.). Dies umfasst beispielsweise die Dauer, für die die personenbezogenen Daten gespeichert werden (lit. a), oder das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (lit. d).

– Gemäß Art. 14 Abs. 1, 2 DSGVO trifft den Verantwortlichen eine entsprechende Verpflichtung auch dann, wenn er die personenbezogenen Daten nicht bei der betroffenen Person erhebt.

– Als Spiegelbild zu den Informationspflichten des Verantwortlichen ist auch das Auskunftsrecht der betroffenen Person gem. Art. 15 Abs. 1 DSGVO eine Ausprägung des Transparenzgrundsatzes.

19

Ebenso wie im Rahmen des Berichtigungsanspruchs (dazu Rn. 32) werfen die Informationspflichten des Verantwortlichen eine Reihe praktischer Probleme auf. Gerade Verantwortliche, die eine Vielzahl personenbezogener Daten verarbeiten, werden sich fragen müssen, auf welche Art und Weisesie ihren Informationspflichten Genüge tun wollen. Problematisch erscheint in diesem Zusammenhang auch, dass bereits vergleichsweise triviale und alltägliche Vorgänge – wie beispielsweise der Austausch von Visitenkarten46 – die umfangreiche Informationspflicht auslösen können.

20

Die individuelle Informierung jeder betroffenen Person im Zusammenhang mit der konkreten Datenerhebung (bspw. durch Zurverfügungstellung von Formblättern im konkreten Fall) ist unter Compliance-Gesichtspunkten zwar der sicherste Weg, jedoch erweist sich eine solche Vorgehensweise häufig als unpraktisch. Eine – in der Praxis vermehrt vorkommende – Sammlung aller Datenschutzinformationen in der Webseitendatenschutzerklärung kann sich aus Sicht des Verantwortlichen zwar als praktisch erweisen, genügt den Transparenzanforderungen der DSGVO jedoch ggf. nicht, da die betroffenen Personen in diesem Fall nicht proaktiv über die Datenerhebung informiert werden. Ein praxisnaher Kompromiss könnte darin bestehen, dass insbesondere bei umfang- oder risikoreichen Verarbeitungsvorgängen eine konkrete Information an die betroffenen Personen erfolgt, wohingegen im Übrigen an geeigneter Stelle – beispielsweise in einem Telefonat oder in der Fußzeile einer E-Mail – ein Hinweis auf die allgemeinere Darstellung in einer Webseitendatenschutzerklärung erfolgt.