David Klein - DS-GVO/BDSG

109

Soweit gem. § 22 Abs. 1 Nr. 1 lit. b BDSG n.F. eine Datenverarbeitung auch zulässig ist, „diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal dem Berufsgeheimnis unterliegt“ sind auch die Erfüllungsgehilfen der genannten Gesundheits- und Heilberufe erfasst.[207]

110

§ 22 Abs. 1 Nr. 1 lit. b BDSG n.F. entspricht also im Wesentlichen § 13 Abs. 2 Nr. 7 und § 28 Abs. 7 BDSG a.F. Zu Inhalt und Reichweite des Berufsgeheimnisses sowie den Geheimhaltungspflichten (vgl. die Ausführungen unter Rn. 225).

111

§ 22 Abs. 1 Nr. 1 lit. c BDSG n.F.setzt Art. 9 Abs. 2 lit. ium. Insofern macht der deutsche Gesetzgeber in zulässiger Form von der Öffnungsklausel Gebrauch, indem er ergänzend zu den in § 22 Abs. 2 BDSG n.F. genannten Maßnahmen die berufsrechtlichen und strafrechtlichen Vorgaben zur Wahrung des Berufsgeheimnisses unter den Begriff der spezifischen Schutzmaßnahmen miteinbezieht. Dadurch macht der Gesetzgeber deutlich, dass § 22 Abs. 1 Nr. 1 lit. c nicht die besonderen Vorschriften zur Einhaltung des Berufsgeheimnisses verdrängt.[208] Vielmehr ist die Vorschrift dahingehend anzuwenden, dass Personen, die einem Berufsgeheimnis unterliegen, dieses auch im Falle der Erforderlichkeit einer Datenverarbeitung einzuhalten haben.[209] Die Vorschrift soll es letztlich öffentlichen und nichtöffentlichen Stellen ermöglichen ihren gesetzlichen Produktbeobachtungspflichten nachzukommen auch wenn damit eine Verarbeitung sensibler Daten einhergeht.[210]

112

§ 22 Abs. 1 Nr. 1 lit. d wurde infolge des 2. DSAnpUG eingefügt und entspricht § 22 Abs. 1 Nr. 2 lit. a.[211] Insofern gewinnen auch nichtöffentliche Stellen einen Erlaubnistatbestand hinzu, da § 22 Abs. 1 Nr. 2 lit. a ursprünglich nur für öffentliche Stellen galt.

113

Das Erfordernis einer Interessenabwägung in § 22 Abs. 1 Nr. 1 lit. d BDSG n.F.setzt die Vorgaben aus Art. 9 Abs. 2 lit. gsachgerecht um. § 22 Abs. 1 Nr. 1 lit. d, Nr. 2 lit. a–c BDSG n.F. entsprechen dabei § 13 Abs. 1 Nr. 1, 5, 6 und 9 BDSG a.F.

114

Zunächst wird in § 22 Abs. 1 Nr. 1 lit. d BDSG n.F. das erhebliche öffentliche Interesse wiederholt. Die Verarbeitung muss demnach der Allgemeinheit als solcher und nicht einzelner partikularen oder, privaten Interessen dienen. Zudem muss das öffentliche Interesse „zwingend“ erforderlich sein. Um diese Voraussetzungen zu erfüllen, muss eine besondere Qualifikation vorliegen. Dies kann z.B. der Wahrung der Freiheitsrechte, der Wahrung der Rechtstaatlichkeit, der Strafverfolgung, der Finanzverwaltung zum Zweck der Steuergerechtigkeit, die Wahrung oder der Sicherstellung der öffentlichen Gesundheit und Gesundheitsfürsorge.[212]

115

Ein erhebliches öffentliches Interesse nach § 22 Abs. 1 Nr. 1 lit. d BDSG n.F. ist insbesondere dann anzunehmen, wenn biometrische Daten zum Zwecke der eindeutigen Identifizierung der betroffenen Person verarbeitet werden.[213] Zwar mutet der Begriff des „öffentlichen Interesses“ generalklauselartig an, wird aber gleichwohl durch das zwingende Erfordernis der Datenverarbeitung sachgerecht eingeschränkt. Zur Reichweite und Inhalt des Begriffs des öffentlichen Interesse vgl. Art. 9 Abs. 2 lit. g[214].

116

Nach § 22 Abs. 1 Nr. 2 lit. c BDSG n.F.ist aus zwingenden Gründen der Verteidigung oder der Erfüllung über- oder zwischenstaatlicher Verpflichtungen einer öffentlichen Stelle des Bundes auf dem Gebiet der Krisenbewältigung oder Konfliktverhinderung oder für humanitäre Maßnahmen ebenfalls eine Verarbeitung besonderer Kategorien personenbezogener Daten zulässig.

117

Diese Erlaubnisse nach § 22 Abs. 1 Nr. 2 BDSG n.F. sind nur im Rahmen einer Interessenabwägungzulässig, da nach Art. 9 Abs. 2 lit. gdie Verarbeitung in einem angemessenen Verhältnis zu dem verfolgten Zweck stehen und den Wesensgehalt des Rechts auf Datenschutz wahren muss.[215] Fallgestaltungen, bei denen das Interesse des Betroffenen in den vorgenannten Fällen überwiegt, sind nur bedingt ersichtlich. Bereits die Regelung in Art. 9 Abs. 2 lit. g, wonach bei einem erheblichen öffentlichen Interesse gleichwohl der Wesensgehalt des Datenschutzes gewahrt werden muss, ist begrifflich und auch normativ vage und bietet in Bezug auf den Datenschutz kaum einen materiellen Mehrwert.[216]

118

Die Reglung des § 22 Abs. 2 BDSG n.F.setzt die Forderung aus Art. 9 Abs. 2 lit. b, gund ium, die geeignete Garantien für die Grundrechte und die Interessen bzw. angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interesse der Betroffenen Person notwendig machen.[217] Auch § 26 Abs. 3 S. 3 BDSG n.F. verweist für individualarbeitsrechtlich notwendige Verarbeitung sensibler Daten nach Art. 9 Abs. 1auf § 22 Abs. 2 BDSG n.F. Notwendig sind angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person. Im Rahmen einer Risikobeurteilung werden in § 22 Abs. 2 BDSG n.F. zehn spezifische technische und organisatorische Maßnahmen als Beispiele aufgeführt. Diese konkretisieren insoweit die Anforderungen an ein Datensicherheitsmanagement gem. Art. 25[218] und Art. 32[219]. Die Nennung aller Fälle des Abs. 1zeigt insbesondere, dass es für eine datenschutzkonforme Datenverarbeitung als angemessene Schutzmaßnahme nicht ausreicht, dass die in Abs. 1benannten Personen einer beruflichen oder gesetzlichen Geheimhaltungspflicht unterliegen.[220] Vielmehr sind unter den Voraussetzungen des Abs. 2darüber hinausgehende Schutzmaßnahmen entsprechend den Anforderungen aus Art. 25, 32erforderlich.[221]

119

Art. 9stellt in seiner Systematik ein Verbot mit Erlaubnisvorbehalt dar.[222]

So sieht Art. 9 Abs. 2für die dort näher konkretisierten Verarbeitungskontexte (abschließende) Ausnahmen vom Verbotsgrundsatz des Art. 9 Abs. 1vor.

120

Mit Blick auf den Schutzzweck der Regelung ist allerdings zu beachten, dass durch einen extensiven Gebrauch der Ausnahmevorschriften nicht der grundsätzliche Verbotscharakter der Vorschrift und damit die Grundentscheidung des Verordnungsgebers unterlaufen wird. Es bedarf daher einer restriktiven Interpretation und Auslegungder Ausnahmetatbestände des Art. 9 Abs. 2.[223]

121

Darüber hinaus darf in der Anwendbarkeit eines Ausnahmetatbestands kein Freibrief für eine Datenverarbeitung gesehen werden. Vielmehr sind neben den Anforderungen des Art. 9 Abs. 1und 2die sonstigen Grundsätze, etwa aus Art. 5, 6, 7und 8, zu beachten. Dies wird ausdrücklich durch ErwG 51 S. 5 klargestellt.[224]

122

Als Ausnahme vom grundsätzlichen Verarbeitungsverbot des Art. 9 Abs. 1nennt Art. 9 Abs. 2 lit. azunächst die Einwilligung[225].

123

Danach gilt Art. 9 Abs. 1nicht, wenn die betroffene Person in die Verarbeitung der personenbezogenen Daten für einen oder mehrere festgelegte Zwecke eingewilligt hat. Der strenge Maßstab des Art. 9hinsichtlich der Zulässigkeit einer Verarbeitung sensibler Daten wird bereits daraus ersichtlich, dass Art. 9 Abs. 2 lit. aanders als etwa Art. 6 Abs. 1 lit. aund Art. 7eine ausdrücklicheEinwilligung des Betroffenen erfordert.[226] Art. 9 Abs. 2 lit. animmt daher die Anforderungen von Art. 6 Abs. 1 S. 1 lit. a in sich auf, ist aber hinsichtlich seiner Voraussetzungen strenger. Insofern scheiden etwa schlüssige Handlungen oder konkludente Einwilligungen als taugliche Einwilligung i.S.d. s Art. 9 Abs. 2 lit. aaus.[227] Hinsichtlich der Anforderungen an eine wirksame Einwilligung ist im Rahmen von Art. 9insbesondere an eine Einwilligung als sog. „ Mandated Choice“[228] zu denken, bei dem die betroffene Person sowohl die Einwilligung als auch deren Verweigerung aktiv zum Ausdruck bringen muss (etwa durch Anwählen eines „Ja“ oder „Nein“-Feldes) und nicht passiv die Einwilligung durch Nicht-Setzen eines Häkchens im Rahmen eines Ankreuzfeldes verweigern kann, vgl. dazu Kommentierung in Art. 4 Nr. 11 Rn. 213. Eine derartige Ausgestaltung der Einwilligung trägt zwar den Schutzinteressen der betroffenen Person in hohem Maße Rechnung, wird aber in der Praxis oftmals unpraktikabel sein.