David Klein - DS-GVO/BDSG

165

Von besonderer Bedeutung ist Art. 9 Abs. 2 lit. ezudem im Rahmen der Anfertigung von Personenfotografien, wenn diese mittelbar Rückschlüsse auf besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1ermöglichen, z.B. wenn die abgebildete Person eine Brille trägt oder eine Gehhilfe benötigt oder ihre ethnische Herkunft auf einem Foto erkennbar ist. Fraglich ist hierbei, ob in diesen Fällen Art. 9überhaupt Anwendung findet und falls ja, ob eine Rechtfertigung nach Art. 9 Abs. 2 lit. ein Betracht kommt. Eine Rechtfertigung nach Art. 9 Abs. 2 lit. efordert einen eindeutigen und freien Willensakt der betroffenen Person, die betreffende Information gegenüber der Allgemeinheit preisgeben zu wollen. Ob davon auch bei der Anfertigung von Personenfotografien und bei Daten i.S.d. Art. 9 Abs. 1ausgegangen werden kann, ist fraglich, weil die betroffene Person die Information letztlich zwangsweise der Öffentlichkeit preisgibt (z.B. medizinische Notwendigkeit einer Seh- oder Gehhilfe). Insofern könnte die Freiwilligkeit der Veröffentlichung angezweifelt werden, weil die betroffene Person letztlich keine Wahl hat, ob sie die betreffende Information preisgibt oder nicht. Hinter Art. 9 Abs. 2 lit. esteht letztlich der Gedanke, dass die betroffene Person durch das Öffentlichmachen der Information auf den Schutz von Art. 9verzichtet. Von einem derartigen Verzicht auszugehen, nur weil sich die betroffene Person in der Öffentlichkeit zeigt, erscheint fraglich. Als Rechtfertigung käme damit nur noch eine Einwilligung nach Art. 9 Abs. 2 lit. ain Betracht, deren strenge Voraussetzungen hohe Anforderungen an Verantwortliche stellen. Vor diesem Hintergrund ist daher die Frage aufzuwerfen, ob Art. 9im Falle von Personenfotografien überhaupt Anwendung findet. Bei mittelbaren Hinweisen auf Daten i.S.v. Art. 9 Abs. 1(vgl. dazu bereits Rn. 26) wird daher einschränkend vor dem Hintergrund der Schutzzwecke von Art. 9[284] eine Auswertungsabsicht[285] anhand des Verarbeitungszusammenhangs gefordert, um den Anwendungsbereich von Art. 9nicht zu sehr auszuweiten. Die DSK hat insofern betont, dass eine eindeutige Identifizierung der betroffenen Person im Vordergrund stehen müsse, so dass letztlich erst eine besondere Zweckbestimmungdie Anwendbarkeit von Art. 9auslöst (vgl. dazu auch Rn. 26).[286] Insofern kann die Ansicht vertreten werden, dass Art. 9bei der Anfertigung von Personenfotografien nur dann Anwendung findet, wenn eine eindeutige Identifizierung der betroffenen Person intendiert ist und das Datum, dass Rückschlüsse auf Daten nach Art. 9 Abs. 1zulässt auch als solches verarbeitet werden soll (etwa um im Rahmen einer Studie zu Fehlsichtigkeit festzustellen, wie viele Brillenträger sich durchschnittlich in der Bevölkerung befinden).[287] In allen anderen Fällen fände dementsprechend Art. 6, insb. Art. 6 Abs. 1 S. 1 lit. f Anwendung. Unabhängig von der Frage einer Anwendbarkeit von Art. 6oder Art. 9sind in beiden Fällen die Informationspflichten entsprechend Art. 13und 14zu beachten.

166

Insofern lässt sich erkennen, dass den Betroffenen selbst in diesem Zusammenhang eine besondere Verantwortungtrifft, seine Privatsphäre-Einstellungen so einzurichten, dass nicht von einem Öffentlichmachen auszugehen ist. Entscheidend ist auch hier, ob der Kreis der Adressaten für den Betroffenen überschaubar war und ob er wusste und wollte, dass die Informationen für jedermann zugänglich sind.[288]

167

Bestehen Zweifel an der Veröffentlichung durch den Betroffenen ist der Ausnahmetatbestand nicht anwendbar.[289] In diesem Sinne ist fraglich, ob auch die Auswertung des Nutzerverhaltensbei Google, Twitter oder Facebook (etwa Suchanfragen, gelikte Beiträge etc.) als offensichtlich öffentlich gemachte Daten gelten können. Da Nutzer oftmals von der Erhebung ihrer Daten mangels hinreichender Transparenz keine Kenntnis besitzen, erscheint das Vorliegen eines Erlaubnistatbestands i.S.v. Art. 9 Abs. 2 lit. ebzw. aäußerst zweifelhaft (vgl. dazu bereits Rn. 47).

168

Darüber hinaus stellt sich die Frage, ob Art. 9 Abs. 2 lit. e entsprechende Anwendung auf eine Datenverarbeitung nach Art. 6 finden kann. Als Argument für eine entsprechende Anwendung kann insbesondere angeführt werden, dass wenn bereits eine Veröffentlichung sensibler Daten eine Rechtfertigung der Datenverarbeitung begründen kann, dies erst recht im Falle einer Datenverarbeitung i.R.v. Art. 6gelten müsse. Freilich stellt sich die Frage, ob derartige Fallgruppen in der Praxis nicht ohnehin aufgrund eines anderen Erlaubnistatbestandes des Art. 6zu rechtfertigen sind, etwa im Rahmen einer Interessenabwägung. In diesem Fall wäre für eine entsprechende Anwendung von Art. 9 Abs. 2 lit. ekein Raum.

169

Einen in praktischer Hinsicht äußerst bedeutsamen Ausnahmetatbestand enthält Art. 9 Abs. 2 lit. f:

„Für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dürfen sensitive Daten abweichend vom Verbotsgrundsatz des Art. 9 Abs. 1nach Art. 9 Abs. 2 lit. fverarbeitet werden. Die Regelung entspricht dabei Art. 8 Abs. 1 lit. e DSRL, wobei die DS-GVO nunmehr die „Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit“ miteinbezieht. Darüber hinaus ist ErwG 52zu beachten: Dadurch wird verdeutlicht, dass die DS-GVO ebenfalls im Falle der Verarbeitung sensibler Daten durch Gerichte und andere Justizbehörden sowie in einem Verwaltungsverfahren oder in einem außergerichtlichen Verfahren Anwendung findet.“[290]

170

Hintergrund der Regelung ist dabei die Sicherung der Effektivität der Rechtsdurchsetzungund des Justizgewährleistungsanspruchs(Art. 47 GRCh, Art. 20 Abs. 2 S. 2, Abs. 3 GG): Lässt sich ein geltend gemachter Anspruch oder die Ausübung oder Verteidigung von Rechtsansprüchen oder ein gerichtliches Verfahren nur durch die Verarbeitung personenbezogener Daten durchsetzen, so soll es daran nicht durch ein Verarbeitungsverbot scheitern.[291]

171

Der Begriff der „ Rechtsansprüche“ ist deshalb weit auszulegen und bezieht sich sowohl auf deren Geltendmachung, Ausübung oder Verteidigung als auch auf öffentlich-rechtliche wie auch privatrechtliche Rechtspositionen. Die Entstehungsgründe für Rechtsansprüche können vielfältig sein und sich dabei etwa aus vertraglichen Regelungen ergeben, aus rechtsgeschäftsähnlichen Schuldverhältnissen, aber auch aus schädigenden oder deliktischen Handlungen, die zu Schadenersatzansprüchen führen.[292] Ob der Verantwortliche in dem Rechtsverhältnis Gläubiger oder Schuldnerist, ist dabei unerheblich.[293]

172

Die Verarbeitung sensibler Daten nach Abs. 1muss weiterhin zur Durchsetzung von Rechtsansprüchen erforderlichsein. Hinsichtlich der Anforderungen an die Erforderlichkeit sind keine allzu strengen Maßstäbe zu stellen. Nicht jeder Tatsachenvortrag, der sensible Daten eines Betroffenen beinhalte, verstößt allein deswegen gegen Art. 9, wenn der Vortrag vom Gericht als unerheblich bewertet werde. Ausreichend ist vielmehr eine hinreichende Plausibilität der Erheblichkeit. Diese Grenze wird aber bei einer willkürlichen und bewussten Offenlegung von sensiblen Daten, die mit dem Streitstoff in keinerlei Verbindung stünden überschritten.[294]

173

Mit Blick auf die besondere Bedeutung des Art. 9ist für die Praxis aber dringend angeraten, die Verarbeitung sensibler Daten, insbesondere bei Weitergabe im Rahmen von Rechtsstreitigkeiten, sorgfältig zu prüfen.

174

In praktischer Hinsicht wird die Vorschrift somit immer dann relevant, wenn sensible Daten in dem o.g. Zusammenhang verarbeitet werden und für den Bestand von Rechtsansprüchen entscheidungserheblich sein können. Einen klassischen Anwendungsfall bildet etwa der Arzt, der eine Forderung gegenüber einem Patienten gerichtlich geltend macht. Daneben sind aber auch andere Fallgestaltungen denkbar: Geht es etwa in einem arbeitsrechtlichen Verfahren um die Frage eines Entschädigungsanspruchs eines Bewerbers wegen eines Verstoßes gegen das AGG durch den Arbeitgeber, so können dabei etwa Gesundheitsdaten oder politische Meinungen(z.B. im Rahmen des Fragerechts des Arbeitgebers nach bestimmten Krankheiten oder einer Parteizugehörigkeit im Bewerbungsgespräch)[295] verarbeitet werden. Auch im Falle von Streitigkeiten hinsichtlich einer Zahlungspflicht für Zusatzangebote im Rahmen der Nutzung einer Gesundheits-Appkann die Verarbeitung von sensiblen Daten, die im Rahmen der Gesundheits-Apps (z.B. Schrittzähler und Herzfrequenz) erhoben wurden, die Verarbeitung im o.g. Sinne erforderlich machen. Daneben kann lit. f bei der Übermittlung von Gesundheitsdaten durch private Versicherungsunternehmenzur Anwendung kommen, vgl. dazu bereits Rn. 93.