David Klein - DS-GVO/BDSG

12

Von den allgemeinen personenbezogenen Daten sind die besonderen Kategorien von Daten[39] und die personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten[40] zu unterscheiden.[41] Laut des ErwG 26 S. 5 gelten die Grundsätze des Datenschutzes nicht für anonyme Daten, die insofern das Gegenstück zu den personenbezogenen Daten bilden.[42]

13

Personenbezogene Daten sind nur solche Informationen, die sich auf eine bestimmte oder bestimmbare bzw. identifizierte oder identifizierbare natürliche Person beziehen. Die DS-GVO bezeichnet diese Person „betroffene Person“ und unterstellt diese durch die Betroffenenrechte einem besonderen Schutz. Im Umkehrschluss folgt daraus, dass nicht-personenbezogene Daten, also anonyme Daten nicht unter die DS-GVO fallen (vgl. dazu Rn. 43), wohl aber pseudonymisierte Daten, die bei Aufhebung der Pseudonymisierung zu einer Identifizierbarkeit führen.[43] Der Schutz anonymer Daten kann aber aus anderen Rechtsvorschriften folgen.[44] Wenngleich es sich bei der DS-GVO um eine Regelung des europäischen Datenschutzrechts handelt, fallen auch Nicht-EU-Bürger unter diese Begriffsdefinition, sofern ihre Daten im Geltungsbereich von Art. 3verarbeitet werden.[45] Dies folgt auch aus ErwG 14.

14

Die DS-GVO schützt, wie auch schon das BDSG a.F., ausschließlich natürliche Personen. So stellt ErwG 14 S. 2 klar, dass die DS-GVO nicht für die Verarbeitung personenbezogener Daten juristischer Personen und insbesondere als juristische Personen gegründete Unternehmen gilt. ErwG 14 S. 2 nennt dabei exemplarisch Name, Rechtsform und Kontaktdaten der juristischen Person. Demzufolge fallen juristische Personen und Personengemeinschaften, wie offene Handelsgesellschaften, aus dem Schutzbereich der Vorschrift heraus. Gleichwohl können die Mitgliedstaaten Regelungen hinsichtlich eines Unternehmenspersönlichkeitsschutzes erlassen – wie es etwa in Italien oder Luxemburg der Fall ist – [46], auch wenn dies von der DS-GVO nicht vorgesehen ist.[47] Zudem ist zu beachten, dass sich Informationen über eine juristische Person oder Personengruppe gleichsam auf eine identifizierte oder identifizierbare natürliche (Einzel-)Person beziehen können, z.B. im Falle einer Ein-Personen-Gesellschaft oder einer Ein-Mann-GmbH wodurch dann diese Information zu einem personenbezogenen Datum werden kann.[48]

15

Gleichwohl ist nicht zu übersehen, dass auch juristische Personen im Hinblick auf die Wahrung ihrer digitalen Souveränität schutzbedürftig sind.[49] Insoweit findet aber nicht die DS-GVO, sondern bereichsspezifische Regelungen wie etwa das Geschäftsgeheimnisgesetz (GeschGehG) als Umsetzung der RL 2016/943 Anwendung.[50]

16

Aus ErwG 27 S. 1 folgt, dass die DS-GVO nicht für die personenbezogenen Daten Verstorbener gilt. Insofern gibt es keinen „postmortalen Datenschutz“[51]. Gleichwohl bestimmt ErwG 27 S. 2, dass die Mitgliedstaaten Vorschriften für die Verarbeitung der personenbezogenen Daten Verstorbener vorsehen können. Darüber hinaus darf nicht außer Acht gelassen werden, dass auch Daten eines Verstorbenen womöglich einen Bezug zu einer lebenden Person haben und damit einen Personenbezug aufweisen können, wie etwa Angaben zum Vermögen des Erblassers oder Informationen hinsichtlich vererblicher Krankheiten des Verstorbenen.[52]

17

Datenschutzrechtlich ist hierbei insbesondere der sog. digitale Nachlass[53] von besonderer Relevanz. Hierbei stellt sich zum einen die Frage nach einer Vererbbarkeit von Daten und Kommunikationsinhalten, also wem die Daten und Inhalte, die in dem Account des verstorbenen Nutzers zu Lebzeiten generiert und gespeichert wurden, im Erbfall zustehen.[54] Zum anderen stellt sich in datenschutzrechtlicher Hinsicht die Frage nach der Rechtmäßigkeit einer Datenverarbeitung durch Freigabe und Übermittlung von Daten sowohl des Erblassers als auch der Kommunikationspartner an die Erben.[55] Die Diskussion um den digitalen Nachlass geriet insbesondere durch eine Klage von Eltern, die Zugang zum Facebook-Nutzerkonto ihrer verstorbenen Tochter und den darin enthaltenen Kommunikationsdaten begehrten,[56] in den Fokus.

18

Das LG Berlin stellte fest, dass auch ein digitaler Nachlass nach §§ 1922, 2047 Abs. 2, 2373 S. 2 BGB vererbbar sei[57] sowie dass das Datenschutzrecht ausgehend von § 3 BDSG a.F. zwar keine Anwendung auf die Daten der verstorbenen Tochter finden könne, im Hinblick auf die personenbezogenen Daten Dritter aber anwendbar sei.[58] Gleichwohl erfolge kein datenschutzrechtlich rechtfertigungsbedürftiger Eingriff in die Rechte Dritter, da die Eltern nach § 1922 BGB in die Rechtsposition ihrer Tochter eingetreten seien.[59] Das Datenschutzrecht stehe insofern hinter dem Erbrecht zurück.[60] Um unbillige Ergebnisse und Wertungswidersprüche zu vermeiden seien die Eltern als Erben aber als „Betroffene“ anzusehen, so dass ihnen ein Auskunftsanspruch nach § 34 BDSG a.F. zustehe.[61] Dementsprechend verpflichtete das LG Berlin Facebook dazu, den Eltern den Zugang zum Nutzerkonto zu gewähren.

19

Das KG Berlin ließ die Frage eines digitalen Erbes letztlich offen,[62] lehnte aber demgegenüber einen Auskunftsanspruch der Eltern unter Verweis auf einen Verstoß gegen das Fernmeldegeheimnis aus § 88 Abs. 1 und 3 TKG sowie Art. 10 GG ab.[63] Das Fernmeldegeheimnis schütze insofern als bereichsspezifisches Datenschutzrecht auch die Kommunikationsdaten Dritter, so dass den Eltern als insoweit „anderen“ mangels Erforderlichkeit nach § 88 Abs. 3 S. 1 TKG der Zugang zum Nutzerkonto ihrer Tochter versperrt sei.[64]

20

Der BGH[65] gewährte wiederum den Eltern als Erben ihrer Tochter den Zugang zum Nutzerkonto. Das Gericht führte dabei zunächst aus, dass das Fernmeldegeheimnis dem Zugangsbegehren nicht entgegenstehe, da die Eltern als Erben insoweit keine „anderen“ i.S.v. § 88 Abs. 3 S. 1 TKG seien.[66] Im Hinblick auf die datenschutzrechtliche Zulässigkeit der Zugangsgewährung differenziert der BGH wie folgt: Ein digitaler Nachlass, hier in Gestalt des Nutzungsvertrages als Accountverhältnis, ist vererbbar.[67] Die Anwendbarkeit der DS-GVO lässt der BGH offen, stellt aber fest, dass die datenschutzrechtlichen Belange der Erblasserin selbst im Falle einer Anwendbarkeit nicht betroffen seien, da sich die DS-GVO nach ErwG 27 nur auf die Daten lebender Personen erstrecke.[68] Die datenschutzrechtliche Zulässigkeit der Verarbeitung der personenbezogenen Daten der Kommunikationspartner durch die Übermittlung und Bereitstellung der Inhalte an die Erben folge dann aus Art. 6 Abs. 1 S. 1 lit. b und f.[69] Die Übermittlung und Bereitstellung von Inhalten auf dem Nutzerkonto der Erblasserin sei insoweit eine vertragliche Hauptleistungspflicht im Rahmen des Nutzervertrages zwischen Facebook und der Erblasserin und daher auch gegenüber den Erben erforderlich i.S.v. Art. 6 Abs. 1 S. 1 lit. b.[70] Der Eintritt des Erbfalls ändere an der datenschutzrechtlichen Beurteilung nichts, da Facebook weiterhin seiner Verpflichtung gegenüber dem nunmehr Berechtigten (den Erben) nachkomme, was eine Datenverarbeitung nach Art. 6 Abs. 1 S. 1 lit. b rechtfertige.[71] Ferner sei die Datenverarbeitung auch nach Art. 6 Abs. 1 S. 1 lit. f zulässig, da die berechtigten Interessen der Erben – im konkreten Fall die Geltendmachung eines vertraglichen Hauptleistungsanspruchs auf Zugangsgewährung zu den gespeicherten Inhalten sowie Abwehr von Schadensersatzansprüchen – die Interessen der Kommunikationspartner überwiegen zumal diese ihre personenbezogenen Daten freiwillig und selbstbestimmt übermittelt hätten und dabei auch mit dem Risiko einer Kenntnisnahme der Inhalte durch Dritte rechnen müssten.[72] Der BGH stellt somit klar, dass das datenschutzrechtliche Risiko, dass Dritte Zugang zu auf einem Nutzerkonto gespeicherten Kommunikationsinhalten erhalten, letztlich bei den Nutzern und Kommunikationspartnern liegt.[73]