David Klein - DS-GVO/BDSG

76

Nach nationalem Recht finden sich schon jetzt zahlreiche Vorschriften zur Zulässigkeit von Datenverarbeitungen. Es ist wohl zutreffend, dass die Öffnungsklausel nach Art. 6 Abs. 1 lit. ci.V.m. Abs. 3eine „ganz erhebliche Breitenwirkung“[126] im nationalen Recht zeitigt. Dabei ist es selbstverständlich, dass Art. 6 Abs. 1 lit. cauch für bereits erlassenes Recht gelten muss, das in Einklang mit der DS-GVO steht.[127]

77

Banken dürfen zum Zweck der Risikominimierung bei Kreditvergaben personenbezogene Daten verarbeiten (§ 10 Abs. 2 KWG). Inhaber von Beherbergungsstätten sind verpflichtet, personenbezogene Daten von Gästen zu erheben und ggf. weiterzuleiten (§ 30 Abs. 4 BMG). Auch bestehen Meldepflichten des Arbeitgebers im Rahmen der Sozialversicherung (bspw. § 28a SGB IV) und bezüglich der Einhaltung gesetzlicher Bestimmungen etwa bezogen auf den Mindestlohn (§ 17 Abs. 1 MiLoG).

78

Öffentliche Stellen sind nach §§ 11 GewO zur Erhebung personenbezogener Daten insbesondere zur Feststellung der Zuverlässigkeit Gewerbetreibender befugt. Zugleich bestehen – begrenzte – Pflichten zur Weitergabe personenbezogener Daten an Dritte bspw. im Rahmen des Informationsrechts (§ 5 IFG Bund, §§ 9 f. IFG NRW[128]).

79

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

. . .

80

Art. 6 Abs. 1 lit. derklärt die Datenverarbeitung für zulässig, wenn diese zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich ist. Hier wird zu verlangen sein, dass die Datenverarbeitung unumgänglich ist, um die Beeinträchtigung der entsprechenden Interessen abzuwenden.[129] Die Regelung entspricht im Wesentlichen der Regelungsbefugnis nach Art. 7 Abs. 1 lit. d DSRL, erfasst nunmehr aber auch Interessen anderer natürlicher Personen neben denen der Betroffenen.

81

Art. 6 Abs. 1 lit. dbezieht sich nicht explizit auf einen Verantwortlichen. Allerdings muss auch im Falle des lit. d eine Stelle vorhanden sein, die die betreffende Datenverarbeitung vornimmt. Hier ist dann wiederum keine Unterscheidung gegeben; Verantwortliche nach lit. d können sowohl öffentliche als auch nichtöffentliche Stellen sein.[130]

82

Der Begriff „lebenswichtige Interessen“ lässt zusammen mit dem Umstand, dass nach lit. d die Verarbeitung stets zugunsten natürlicher Personen erlaubt sein soll, erkennen, dass es sich um höchstpersönliche Rechtsgüter handeln muss. Gemeint sind alle wesentlichen Interessen im Bereich des Gesundheitsschutzes. Namentlich erwähnt ErwG 122 die körperliche Unversehrtheit und das Leben. Allerdings ist anzunehmen, dass hierzu keine Lebensgefahr erforderlich ist; vielmehr genügt bereits, wenn ein unmittelbarer Bezug zu Leben und Gesundheit von Menschen gegeben ist.[131]

83

Beispielhaft zu nennen ist mit ErwG 46 zugleich die Überwachung und Eindämmung von Epidemien und humanitären Notlagen infolge von durch Natur und Mensch verursachten Katastrophenlagen. Damit ist die Situation der Corona-Pandemie sowohl bez. des Schutzes körperlicher Unversehrtheit und Leben als auch bez. der Pandemieeindämmung ein klassischer Anwendungsfall von lit. d. Erfasst sein könnte aufgrund des weiten Wortlauts und des jedenfalls auch präventiven Charakters der Datenerhebung die vorbeugende Bekämpfung von Terrorgefahren.[132] Allerdings liegt es näher, die Vorschrift insoweit restriktiv auszulegen[133] und bspw. Fälle wie Fluggastdatenerhebungen zur vorbeugenden Terrorbekämpfung nicht unter lit. d zu fassen, es sei denn, dass deutliche Erkenntnisse für konkrete Gefährdungen von Menschen vorliegen.[134] Nicht ausreichend sind jedenfalls – wenn auch existentielle – Geschäftsinteressen natürlicher Personen.[135]

84

Erfasst sind Datenverarbeitungen zugunsten der durch die Datenverarbeitung betroffenen Person sowie – in Erweiterung zu Art. 7 Abs. 1 lit. d. DSRL – auch zugunsten Dritter. Die vorgenannte Ergänzung geht auf eine Initiative des Rates zurück.[136] Gerade im letzteren Fall kommt der Grundsatz „Lebensschutz vor Datenschutz“ zum Tragen, da insbesondere bei Datenverarbeitungen zugunsten von der Verarbeitung nicht betroffener Dritter Rechte des Betroffenen beschränkt werden können.

85

Nicht eindeutig ist, ob die Datenverarbeitung nach lit. d nur dann zum Tragen kommt, wenn die betroffene Person nicht in der Lage ist, ihre Einwilligung zu erklären, und insoweit von einer mutmaßlichen Einwilligung auszugehen ist. So wird bezgl. der Daten i.S.d. Art. 9 Abs. 1(rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person) die Verarbeitung nach Art. 9 Abs. 2 lit. cauch zum Schutz lebenswichtiger Interessen nur dann ausnahmsweise erlaubt, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben. Aus der Einschränkung nach Art. 9 Abs. 2 lit. clässt sich schließen, dass der Gesetzgeber das Eingreifen von Art. 6 Abs. 1 lit. dnicht von der Nichteinholbarkeit der Einwilligung abhängig machen wollte.[137] Dennoch erscheint es naheliegend, in Fällen, in denen eine Einwilligung nicht eingeholt werden konnte, nach dem mutmaßlichen Willen des Betroffenen zu fragen.[138] Die Frage dürfte aber hypothetischer Natur sein; bei Betroffenheit lebenswichtiger Interessen sind nur wenige Fälle denkbar, in denen eine mutmaßliche Einwilligung nicht anzunehmen ist. In Betracht kommen hier allenfalls Fälle erkennbarer Suizidabsichten. Hier mag es vertretbar sein, davon auszugehen, dass die lebenswichtigen Interessen stets die Risiken einer Gefährdung der Privatsphäre überwiegen.[139] Verweigert der Betroffene die Einwilligung ausdrücklich, und ist die Verweigerung nicht situativ unbeachtlich, wird dem Recht auf informationelle Selbstbestimmung der Vorrang zu geben sein. Zugleich geht eine tatsächliche – wirksam erteilte – Einwilligung der mutmaßlichen Einwilligung vor.[140]

86

Für ein Eingreifen zugunsten anderer natürlicher Personen kann es dagegen auf die Einwilligung des Betroffenen nicht ankommen. Hier muss der Schutz des Dritten das Datenschutzinteresse des Betroffenen nach entsprechender Abwägung regelmäßig überwiegen. Ein Korrektiv besteht in diesen Fällen insoweit, als – wie im Weiteren ausgeführt – ErwG 46 S. 3 das Eingreifen des lit. d zugunsten Dritter nur dann als gegeben erachtet, wenn kein speziellerer Ermächtigungstatbestand zur Verfügung steht. Die fehlende Einwilligung des Betroffenen muss auch dann unbeachtlich sein, wenn neben ihm zugleich Dritte geschützt werden sollen.[141]

87

ErwG 46 bringt in S. 2 („Personenbezogene Daten sollten grundsätzlich nur dann aufgrund eines lebenswichtigen Interesses einer anderen natürlichen Person verarbeitet werden, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann.“) zum Ausdruck, dass Art. 6 Abs. 1 lit. dnur dann zum Tragen kommen soll, wenn kein anderer Rechtfertigungstatbestand eingreift,[142] wobei nach dem Wortlaut des ErwG 46 diese Subsidiarität nur bei Verarbeitungen zugunsten Dritter zum Tragen kommen soll. Dies können Ermächtigungen gestützt auf lit. c und e sein, aber auch bspw. der Ausnahmetatbestand nach Art. 49 Abs. 1 lit. f. Vorrangig dürfte insoweit auch Art. 9 Abs. 2 lit. csein, in Fällen der Pandemiebekämpfung auch Art. 9 Abs. 2 lit. hund i.