David Klein - DS-GVO/BDSG

18

Nach Art. 5 Abs. 1 lit. aVar. 1 müssen personenbezogene Daten „auf rechtmäßige Weise“ verarbeitet werden.

19

In Bezug auf die Formulierung „in rechtmäßiger Weise“ kann von einem weiten oder einem engen Verständnis ausgegangen werden. Bei einem engen Verständnis ist die Voraussetzung gemeint, dass entweder eine Einwilligung der betroffenen Person vorliegt oder eine anderweitige Rechtsgrundlage für die Verarbeitung existiert.[20] Es wird vertreten, diesem engen Verständnis trage auch ErwG 40 Rechnung.[21] Dort heißt es: „Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, die sich aus dieser Verordnung oder – wann immer in dieser Verordnung darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten ergibt…“. Rechtmäßigkeit in diesem Sinne bedeute also, dass für die betreffende Verarbeitung eine ausreichende Rechtsgrundlage im Unionsrecht oder im unionsrechtlich zulässigen mitgliedstaatlichen Recht existiert.

20

Geht man dagegen von einem weiten Verständnis von „in rechtmäßiger Weise“ aus, muss es nicht nur eine Rechtsgrundlage für die Verarbeitung geben, sondern es müssen bei der Verarbeitung auch alle zusätzlichen Anforderungen und Pflichten beachtet werden, die sich aus der DS-GVO oder aus dem nach der DS-GVO zulässigen nationalen Recht ergeben. In diesem weiten Sinne wäre eine Verarbeitung schon dann nicht „rechtmäßig“, wenn für sie zwar eine ausreichende Rechtsgrundlage existiert, aber der Verantwortliche etwa seine Informationspflichten aus Art. 13und 14nicht erfüllt.[22]

21

Aus dem Wortlaut der Norm lässt sich nicht entnehmen, ob von einem engen oder weiten Begriffsverständnis auszugehen ist. Beide Ansichten haben zunächst gemeinsam, dass für eine rechtmäßige Datenverarbeitung eine legitimierende Rechtsgrundlage, also entweder eine Einwilligung oder ein gesetzlicher Erlaubnistatbestand, vorliegen muss. Insofern bedeutet das Prinzip der Rechtmäßigkeit mindestens, dass für jede Verarbeitung eine ausreichende Rechtsgrundlage besteht.[23] In Bezug auf weitere Voraussetzungen der Rechtmäßigkeit ist zu differenzieren. Sind die zusätzlichen Anforderungen und Pflichten, die sich aus der DS-GVO oder aus dem nach der DS-GVO zulässigen nationalen Regelungen ergeben, so elementar, dass sie die Datenverarbeitung tragen, schlägt die Verletzung dieser Vorgaben auf die materielle Rechtmäßigkeit der Datenverarbeitung durch. Die Verarbeitung personenbezogener Daten erfolgt dann nicht mehr „in rechtmäßiger Weise“. Liegt die Verarbeitung außerhalb der jeweiligen Rechtsgrundlage ist sie in jedem Fall unrechtmäßig. Wird etwa in einem gesetzlichen Erlaubnistatbestand ein Verarbeitungszweck bestimmt, dann ist eine Verarbeitung jenseits dieses Zwecks nicht mehr von der Rechtsgrundlage gedeckt und damit unrechtmäßig.[24]

22

Soweit von einer Datenverarbeitung mehrere Personen betroffenen sind, hat die Datenverarbeitung jeder einzelnen Person gegenüber rechtmäßig zu sein. Eine Datenverarbeitung wird dann gegen den Grundsatz der Rechtmäßigkeit verstoßen, wenn durch sie ohne die notwendige Legitimation in die Rechte Dritter eingegriffen wird. Dies macht insbesondere Art. 15 Abs. 4 deutlich, der die Herausgabe einer Kopie im Rahmen eines Auskunftsanspruchs der betroffenen Person dann einschränkt, wenn die Herausgabe einer Kopie die Rechte und Freiheiten anderer Personen beeinträchtigt. Werden bspw. Kopien von E-Mails oder Tonaufnahmen einer Servicehotline im Rahmen der Auskunft nach Art. 15als Kopie an die betroffene Person übermittelt, muss überprüft werden, ob diese auch personenbezogene Daten Dritter enthalten. Ist dies der Fall, darf die Übermittlung dieser Daten nur stattfinden, soweit nicht in die Rechte und Freiheiten der Dritten eingegriffen wird. Soweit die Rechte Dritter von der Übermittlung der Daten betroffen sind, genügt die Übermittlung dieser Daten an die betroffene Person nicht dem Grundsatz der Rechtmäßigkeit, soweit die Datenverarbeitung nicht durch einen Erlaubnistatbestand der DS-GVO legitimiert werden kann. Dies gilt es im Einzelfall zu prüfen.

23

Damit basiert das Datenschutzrecht weiterhin auf dem Verbotsprinzip[25], wonach jede Datenverarbeitung legalisiert werden muss. Die Zulässigkeit der Datenverarbeitung ergibt sich nach der DS-GVO aus den Art. 6–11sowie aus Art. 22(automatisierte Einzelentscheidung) und Art. 44 ff.(Drittlandstransfer).

24

Die Rechtsgrundlage kann sich neben der DS-GVO auch, bei Vorhandensein einer entsprechenden Öffnungsklausel, aus dem Recht der Union oder des Mitgliedstaats ergeben. Aus der Perspektive des Unionsrechts bedarf es für diese Rechtsgrundlage keines parlamentarischen Rechtsakts. Nach ErwG 41 bleiben davon Anforderungen gem. der Verfassungsordnung des betreffenden Mitgliedstaates unberührt. Im nationalen deutschen Recht greift an dieser Stelle die Wesentlichkeitstheorie. Danach müssen Regelungen, die wesentlich für die Verwirklichung von Grundrechten sind, durch den Parlamentsgesetzgeber verabschiedet werden.[26] Im deutschen Recht muss daher eine Regelung, die wesentlich in das Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG eingreift, auf einer Rechtsgrundlage in Form eines Parlamentsgesetzes beruhen.[27]

25

Da der Grundsatz der Rechtmäßigkeit der Sache nach so etwas wie einen Vorbehalt des Gesetzes normiert, ist er vor allem für den Bereich der Datenverarbeitung unter Privaten nach deutschem Rechtsverständnis zwar bemerkenswert, aber durch § 4 BDSG a.F. auf einfacher Rechtsgrundlage schon eingeführt gewesen.[28]

26

Eine nicht unwesentliche Zahl von Zulässigkeitsregelungen des BDSG a.F. ist in der DS-GVO nicht spezifiziert. Zu nennen sind die Vorschriften über die Videoüberwachung[29], zum Einsatz mobiler personenbezogener Speicher- und Verarbeitungsmedien oder über automatisierte Abrufverfahren. Da die DS-GVO nicht mehr zwischen Stellen, die Daten für eigene Zwecke geschäftsmäßig zur Datenübermittlung in personenbezogener bzw. anonymisierter Form und der Markt- und Meinungsforschung speichern trennt, sind auch die für die verschiedenen Bereiche bestehenden Sonderregelungen entfallen. Ebenfalls nicht mehr speziell angesprochen werden die Zulässigkeit der personalisierten Werbung und die Profilbildung durch Scoring. Die Erlaubnisse hierfür müssen durch die Interessenabwägung des Art. 6 Abs. 1 lit. fbeurteilt werden. Teilweise wurden Spezifikationen der Zulässigkeit des BDSG a.F. über die Öffnungsklauseln der DS-GVO in §§ 22 bis 31 BDSG n.F. beibehalten. Damit wird in den im BDSG n.F. geregelten Vorschriften zusätzliche Rechtssicherheit geschaffen.

27

Gemäß Art. 5 Abs. 1 lit. aVar. 2 müssen personenbezogene Daten nach Treu und Glauben verarbeitet werden. Der Grundsatz Treu und Glauben findet sich in Konvention Nr. 108 des Europarates, ist in Art. 8 Abs. 2 S. 1 der Europäischen-Grundrechtecharta verbürgt und wurde durch Art. 6 Abs. 1 der DSRL i.V.m. ErwG 38 DSRL ausgefüllt.

28

Auch wenn das Gebot von Treu und Glauben unter der DS-GVO inhaltlich schwer zu fassen ist[30], verbietet es sich einfach, auf den im deutschen nationalen Recht bestimmten Begriff von Treu und Glauben zurückzugreifen. Ein solches Vorgehen widerspricht dem unionsrechtlichen Grundsatz, dass das Unionsrecht eine eigenständige Rechtsordnung aufstellt, „nach der sich die Befugnisse, Rechte und Pflichten der Rechtssubjekte sowie die zur Feststellung und Ahndung etwaiger Rechtsverletzungen erforderlichen Verfahren bestimmen.“[31]. Der Begriff von Treu und Glauben muss autonom für die DS-GVO als EU-Norm ausgelegt werden. Es kann nicht die Absicht des Gesetzgebers der EU gewesen sein, in Art. 5 Abs. 1 lit. aVar. 2 die vielseitigen Bedeutungsinhalte zu implementieren, die sich im Laufe der Zeit in der deutschen Rechtsordnung mit dem Begriff von Treu und Glauben entwickelt haben.[32]