David Klein - DS-GVO/BDSG

33

Mit dem Widerruf entfällt die Rechtmäßigkeit einer Datenverarbeitung i.S.d. Art. 6 Abs. 1 lit. a. Vom Zeitpunkt des erklärten Widerrufs an ist die Verarbeitung personenbezogener Daten damit nicht mehr legitimiert und zulässig, sofern sich die Verarbeitung nicht noch auf eine andere Legitimation stützen kann. Der Widerruf wirkt im Ergebnis ex nunc.[68] Der Widerruf einer Einwilligung kann in Ausnahmefällen auch andere Rechtfertigungsgründe entfallen lassen. Widerruft etwa ein Betroffener seine Einwilligung, die er ursprünglich für die Bewerbung mit elektronischer Post erteilt hat, für die Zukunft bezogen auf „den Erhalt jeglicher Werbung“, so kann der Verantwortliche den Betroffenen nicht aufgrund eines berechtigten Interesses weiterhin nach Art. 6 Abs. 1 lit. fper Briefpost bewerben. Immerhin hat der Betroffene hiergegen ausdrücklich widersprochen. Ferner muss der Verantwortliche prüfen, ob die weitere Verarbeitung eine Zweckänderung zum Gegenstand hat, die gesondert durchgeführt werden muss und bei der – im Rahmen der Interessenabwägung – eine widerrufene Einwilligung unter Umständen zu berücksichtigen ist. Ein absolutes (Weiter-)Verarbeitungsverbot nach Widerruf einer Einwilligung wird in Art. 6 Abs. 1 lit. aallerdings nicht normiert. Zur Dokumentation der Rechtmäßigkeit der Verarbeitung von personenbezogenen Daten des Betroffenen bis zum Widerruf und der damit einhergehenden Dokumentationspflicht des Verantwortlichen können Informationen zur Erteilung, Verarbeitung und Widerruf der Einwilligung auch nach Erlöschen der Einwilligung verarbeitet werden.

34

Nach einem Widerruf sind die davon berührten Daten gem. Art. 17 Abs. 1 lit. b zu löschen, sofern sich ihre Verarbeitung nicht noch auf einen anderen Rechtfertigungsgrund stützen kann.

35

Bei einem Verstoß im Rahmen des Art. 6 Abs. 1 lit. akommt gem. Art. 83 Abs. 1, Abs. 5 das nach der DS-GVO höchst mögliche Bußgeld in Höhe von bis zu 20 Mio. EUR „oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs“ in Betracht.

36

Der Verstoß kann sich hierbei aus verschiedenen Anknüpfungstatbeständen des Art. 83 Abs. 5 ergeben. Denkbar sind u.a. Verstöße gegen die Einwilligungsbedingungen des Art. 6(Art. 83 Abs. 5 lit. a), aber auch Verletzungen der Informationspflichten der Art. 13 Abs. 2 lit. c und Art. 14 Abs. 2 lit. d (Art. 83 Abs. 5 lit. b) und die mangelnde Dokumentation der Einwilligung nach Art. 5 Abs. 2 DS-GVO.

37

Die maximal mögliche Bußgeldhöhe erscheint geboten, weil die Einwilligung die Rechtmäßigkeit der grundsätzlich verbotenen Verarbeitung personenbezogener Daten begründet und ohne die Rechtmäßigkeit ein schwerwiegender Eingriff in das Recht auf informationelle Selbstbestimmung vorliegen kann. Ein solcher persönlichkeitsrechtlicher Eingriff ist grundsätzlich verboten und bedarf ausnahmslos einer Erlaubnis wie etwa einer Einwilligung.

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

– ErwG: 44

– BDSG n.F.: § 24

Literatur:

European Data Protection Board Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects (Version 2.0, 8 October 2019); Tavanti Datenverarbeitung zu Werbezwecken nach der Datenschutz-Grundverordnung (Teil 2). RDV 2016, 295; Wendehorst/von Westphalen Das Verhältnis zwischen Datenschutz-Grundverordnung und AGB-Recht, NJW 2016, 3745.

38

Gemäß Art. 6 Abs. 1 lit. bist eine Datenverarbeitung dann rechtmäßig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Die Norm erfasst damit sowohl die Vertragsanbahnung als auch die Durchführung eines Vertrags.[69] Durch den Umstand, dass der Betroffene im Falle einer Rechtfertigung über Art. 6 Abs. 1 lit. bentweder Vertragspartei ist oder Anlass für die Durchführung der vorvertraglichen Maßnahmen gegeben hat und somit (zivilrechtlich) eine von seinem Willen getragene Erklärung abgegeben hat, enthält der Erlaubnistatbestand des Art. 6 Abs. 1 lit. bzumindest indirekt ein voluntatives Element des Betroffenen, das entsprechend zu berücksichtigen ist.

39

Art. 6 Abs. 1 lit. bentspricht fast wortwörtlich der Regelung in Art. 7 lit. b der Richtlinie 95/46/EG.[70] In der Handhabung des Erlaubnistatbestands ergeben sich im Hinblick auf die erweiterten Dokumentations- und Informationspflichten allerdings Änderungen durch die DS-GVO.

40

Verarbeitungstätigkeiten von personenbezogenen Daten, die auf einem Vertragsverhältnis oder einer Vertragsanbahnung auf Anfrage der betroffenen Person vor Inkrafttreten der DS-GVO beruhen, müssen zum Zeitpunkt der Geltung der DS-GVO entsprechend auf ihre Rechtmäßigkeit geprüft werden.[71] Während eine solche Rechtmäßigkeit in vielen Fällen auch künftig gegeben sein dürfte, wird im Bereich der Gesundheitsdaten die Beschränkung der Erlaubnistatbestände im Rahmen des Art. 9zu berücksichtigen sein.

41

Im Verhältnis zu den anderen Erlaubnistatbeständen ist in der Regel davon auszugehen, dass kein weiterer Erlaubnistatbestand parallel existiert. Die Einwilligung nach Art. 6 Abs. 1 lit. adürfte für dieselben Verarbeitungstätigkeiten die Art. 6 Abs. 1 lit. babdeckt, nicht verwendbar sein.[72] Die Freiwilligkeit würde bei der Einwilligung fehlen, da die Datenverarbeitung nach dem Wortlaut in Art. 6 Abs. 1 lit. bgerade „notwendig“ und nicht disponibel ist. Die Verarbeitung der Daten zur Erfüllung rechtlicher Verpflichtungen nach Art. 6 Abs. 1 lit. cwiederum dürfte neben Art. 6 Abs. 1 lit. bin der Regel keinen Anwendungsbereich finden, da Art. 6 Abs. 1 lit. beine gewisse Disponibilität der Datenverarbeitung voraussetzt, was Art. 6 Abs. 1 lit. cgerade nicht zulässt.[73] Das berechtigte Interesse schließlich ist zwar nicht grundsätzlich gesperrt, da der Erlaubnistatbestand in Art. 6 Abs. 1 lit. fweiter ist als Art. 6 Abs. 1 lit. b, gleichwohl aber dogmatisch nicht parallel zu verwenden. Ansonsten liefe das Widerspruchsrecht der Betroffenen in diesen Fällen immer ins Leere.

42

Die Rechtfertigung für eine Datenverarbeitung zur Erfüllung eines Vertrages ist eine der zentralen Erlaubnistatbestände im Rahmen der wirtschaftlichen Betätigung nichtöffentlicher Verantwortlicher.[74] Umso schwerer wiegt, dass der europäische Gesetzgeber versäumt hat ein wesentliches Problem der Vorgängerregelung anzugehen: Es gibt weder ein einheitliches europäisches Vertrags- oder gar Zivilrecht, noch eine Definition des Begriffs der Vertragserfüllung.[75] Dennoch stützt sich Art. 6 Abs. 1 lit. bauf zivilrechtliche Begriffe als Anknüpfungspunkt für die Rechtmäßigkeit einer Datenverarbeitung, die in den Mitgliedstaaten unterschiedlich ausgelegt und verstanden werden können.[76] Die gebotene autonome Auslegung des Begriffs der Vertragserfüllung als zentraler Begriff eines europäischen Zivilrechts im Rahmen der DS-GVO wirkt daher fehl am Platze und schafft darüber hinaus unnötig Rechtsunsicherheit.[77]