David Klein - DS-GVO/BDSG

64

Gerade bei komplexen Geschäftsmodellen ist die Abgrenzung zwischen erforderlicher und optionaler Datenverarbeitung herausfordernd. Exemplarisch mag die Unterscheidung von Sozialen Netzwerkenund der für die Inanspruchnahme dieser erforderlichen Datenverarbeitung sein. Die jeweilige Datenverarbeitung kann in einem Fall zwingend notwendig, im anderen unwesentlich sein. Bei professionellen Netzwerken, die primär dem beruflichen Austausch dienen sowie der Kontaktaufnahme zwischen den Teilnehmern aufgrund gleicher oder ähnlicher beruflicher Interessen und zur Geschäftsanbahnung, ist der Verzicht auf einen Klarnamen kaum denkbar. Dadurch wird nicht nur das notwendige Vertrauen zwischen den Teilnehmern geschaffen, sondern dem Nutzer zudem die Möglichkeit gegeben sich selbst als Person unter dem Namen, den die Person im Beruf verwendet, vorzustellen. Ganz anders bewerten das Gerichte bei nicht-beruflichen Netzwerken, hier ist der Klarname gerade nicht erforderlich für die Teilnahme am Netzwerk.[104] Im Gegensatz dazu können auf der einen Plattform Inhalte primär mit Freunden und Familie geteilt werden, so dass ein „privates“ Profil ausreichend für die Datenverarbeitung ist; wirbt hingegen eine Plattform damit, ihren Nutzern die weltweite Verbreitung von Inhalten zu ermöglichen, dürfte ein solches „privates“ Profil dem Vertragszweck entgegenstehen.

65

Demnach zulässig sind alle Datenverarbeitungsvorgänge, die unmittelbar im Zusammenhang mit der Erbringung der Leistung im zivilrechtlichen Sinne stehen, d.h. insbesondere zur Abwicklung von Zahlungen, auch die hierfür notwendige Übermittlung an Dritte, die Zusendung gekaufter Ware,[105] die Löschung von Rechten Dritter, die Aufnahme von Dritten als Zeugen, die Nennung von Dritten im Rahmen eines echten Vertrages zu Gunsten Dritter, ebenso wie die notwendige Verarbeitung von Daten im Rahmen einer Drittschadensliquidierung, die Übermittlung von Daten an eine Versicherung zur Befriedigung von Ansprüchen Dritter,[106] die Übermittlung von Vertragsdaten aus dem Grundgeschäft bei Abschluss eines selbstständigen Garantievertrages mit einem Dritten auf Betreiben des Betroffenen im Rahmen von Unternehmenstransaktionen, die Übermittlung von Daten der betroffenen Arbeitnehmer sofern ein Betriebsübergang stattfindet bzw. ein Asset-Deal einen bestimmten Unternehmensteil betrifft,[107] in dem die Arbeitnehmer verbleiben sollen,[108] Daten, die im Austausch gegen eine Leistung zur Verfügung gestellt werden[109] sowie die Datenverarbeitung im Rahmen einer Abtretung[110].

66

Im Rahmen eines Anspruchs von Erben auf die Bereitstellung von Account-Informationen aus einem Online-Nutzungskonto soll ebenfalls Art. 6 Abs. 1 lit. bals Rechtsgrundlage herangezogen werden.[111] Diese Wertung überzeugt nicht. Das höchstpersönliche Recht auf informationelle Selbstbestimmung kann nicht durch einen Dritten – auch nicht im Wege der Gesamtrechtsnachfolge – wahrgenommen werden. Konsequent erscheint vielmehr eine Lösung über das berechtigte Interesse der Erben, das der BGH in diesem Fall auch als weitere Rechtsgrundlage bejaht hat.[112]

67

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

. . .

– ErwG: 40, 41, 45, 47

Literatur:

Siehe Hinweise zu Abs. 1.

68

Nach Art. 6 Abs. 1 lit. cist eine Datenverarbeitung dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Die Regelung entspricht der Regelungsbefugnis nach Art. 7 Abs. 1 lit. c DSRL.

69

Die DS-GVO entfaltet an dieser Stelle – wie auch bezüglich Art. 6 Abs. 1 lit. e– Richtliniencharakter,[113] indem sie den Mitgliedstaaten ermöglicht, eigene, spezifischere Regelungen zu treffen. Zugleich ist die Öffnung für mitgliedstaatliche Regelung notwendiger Ausdruck des Grundsatzes der Subsidiarität.[114] Dabei ist das Schutzniveau im Moment einer mitgliedstaatlichen Erweiterung nach wie vor grundsätzlich an dem der DS-GVO zu orientieren,[115] was vornehmlich durch den Hinweis auf die Erforderlichkeit der Datenverarbeitung zum Ausdruck kommt. Dennoch wird über die Erweiterungstatbestände der lit. c und e ein Einfallstor für die Begründung der Rechtmäßigkeit von Datenverarbeitungen auch durch mitgliedstaatliche Regelungen eröffnet.[116]

70

Der Systematik der DS-GVO folgend sind Verantwortliche i.S.d. lit. c sowohl öffentliche als auch nichtöffentliche Stellen.[117] Dass lit. c auf den Verantwortlichen abstellt, schließt die Rechtmäßigkeit einer Auftragsdatenverarbeitung nicht aus, jedoch muss die rechtliche Verpflichtung dem Verantwortlichen obliegen.[118] Da die Rechtmäßigkeit der Datenerhebung durch öffentliche Stellen zugleich regelmäßig an lit. e zu messen ist, entfaltet lit. c vorrangig eigenständige Wirkung für nichtöffentliche Verantwortliche.[119]

71

Eine rechtliche Verpflichtung nach lit. c muss eine Verpflichtung kraft objektiven Rechts sein. Insbesondere reicht eine vertragliche Verpflichtung nicht aus, die im Übrigen lit. b unterfiele. Insoweit ist bspw. die französische („obligation légale“) und die englische („legal obligation“) Fassung eindeutiger, da die offene Formulierung „rechtliche Verpflichtung“ auch vertragliche Bindungen einbeziehen könnte; in der deutschen Fassung wird das Verständnis erst in Abgrenzung zu lit. b deutlich.[120]

72

Nach Art. 6 Abs. 3kann diese objektive rechtliche Verpflichtung sowohl auf Unionsrecht als auch auf mitgliedstaatlichem Recht beruhen. Gerade bei Letzterem sind keine besonderen Anforderungen an die Rangstufe des betreffenden Rechts zu stellen. Die rechtliche Verpflichtung kann auf Gesetzes-, Verordnungs- oder Satzungsrecht beruhen, bis hin zu Bestimmungen in für allgemeinverbindlich erklärten Tarifverträgen oder auch in Betriebsvereinbarungen.[121]

73

Eine Einschränkung macht ErwG 41 dahingehend, dass wenn die mitgliedstaatliche Verfassungsordnung Anforderungen an die Qualität grundrechtsrelevanter Bestimmungen stellt, diese auf mitgliedstaatlicher Ebene einzuhalten sind. Im Zusammenspiel mit Abs. 3wird damit aber deutlich, dass nationales Recht grds. für abweichende Datenschutzregelungen gegenüber der DS-GVO geöffnet werden kann. ErwG 45 formuliert weitere Voraussetzungen für derartige Vorschriften. So ist nicht für jede Verarbeitung ein eigenes Gesetz zu fordern, allerdings müssen die Vorschriften hinreichend transparent, insbesondere bezogen auf den Zweck der Datenverarbeitung, ausgestaltet sein.[122]

74

Eine Verpflichtung i.S.d. lit. c ist auch dann anzunehmen, wenn es in der Hand des Verantwortlichen liegt, ob er sich der jeweiligen Verpflichtung unterwerfen will. So ist die Verpflichtung, im Falle der Teilnahme an einer öffentlichen Ausschreibung bestimmte Daten zu übermitteln, eine Verpflichtung i.S.d. lit. c, obgleich selbstverständlich keine Verpflichtung zur Teilnahme an der betreffenden Ausschreibung besteht.[123] Keine Verpflichtung i.S.d. lit. c dürfte anzunehmen sein, wenn die betreffende Vorschrift die Datenverarbeitung nur voraussetzt, aber selbst nicht anordnet. In derartigen Fällen ist aber eine Anwendung von Art. 6 Abs. 1 lit. edenkbar.

75

Art. 6 Abs. 1 lit. cstellt die Erfüllung der rechtlichen Verpflichtung zur Verarbeitung personenbezogener Daten unter den Vorbehalt der Erforderlichkeit. Letztlich appelliert die Norm hier an das Erfordernis der Verhältnismäßigkeit insbesondere mitgliedstaatlicher Erlaubnisnormen, durch die verhindert werden soll, dass alleine die Normierung eines hinreichenden Verarbeitungszwecks zu einer zu breiten Datenerhebung verleiten soll.[124] Damit geht aber das Merkmal der Erforderlichkeit nicht über die Anforderungen hinaus, die nach deutschem Recht an grundrechtsbeschränkende Gesetze oder sonstige Vorschriften zu stellen sind. Darüber hinaus ist zu beachten, dass die Erlaubnis zur Datenverarbeitung gleichzeitig durch den Umfang der gesetzlichen Verpflichtung begrenzt wird; diese Begrenzung bezieht sich sowohl auf die Daten selbst, als auch auf die Verfahrensschritte und die erlaubten Speicherzeiträume.[125]