David Klein - DS-GVO/BDSG

127

Ein Korrektiv ergibt sich aus § 3neben dem Merkmal der Erforderlichkeitinsoweit, als hierdurch nicht jede Form der Datenverarbeitung legitimiert wird, sondern nur solche Vorgänge erfasst sind, die in der Zuständigkeit der betreffenden Stelle liegen. Damit ergibt sich die Rechtmäßigkeit der Datenverarbeitung nicht bereits aus der Eigenschaft des Verantwortlichen als öffentliche Stelle, hinzutreten muss vielmehr ein Tätigwerden im Einklang mit der Zuständigkeitsordnung. Damit ist zugleich die Rechtmäßigkeit der Aufgabenerfüllung verlangt, was sich aber bereits aus der Bindung der Verwaltung an Recht und Gesetz ergibt.[240]

128

Wie nach Art. 6 Abs. 3kann die Zuständigkeit durch Recht gleich welchen Ranges begründet werden. Die Zuständigkeitszuweisung kann auf Gesetzes-, Verordnungs- oder Satzungsrecht beruhen. Auch müssen die Vorschriften hinreichend transparent insbesondere bezogen auf den Zweck der Datenverarbeitung ausgestaltet sein.

129

Für öffentliche Stellen im Allgemeinen geht das Handeln in Ausübung öffentlicher Gewalt regelmäßig mit dem Handeln im Rahmen der Zuständigkeitsordnung einher. Auch insoweit darf die öffentliche Stelle nicht über die Befugnisse, die ihr durch die Rechtsordnung eingeräumt sind, hinausgehen.

130

Eigenständige Bedeutung erhält der Fall des Handelns in Ausübung öffentlicher Gewalt wiederum für die Privaten, denen durch Gesetz oder aufgrund Gesetzes hoheitliche Befugnisse eingeräumt sind, womit sie als Beliehenezu öffentlichen Stellen werden. Auch für diese Variante gilt, dass die betreffenden Stellen an die Zuständigkeitsordnung gebunden sind und dem Grundsatz der Rechtmäßigkeit der Verwaltung unterfallen.

131

Der Erforderlichkeitsgrundsatz war bereits Gegenstand des § 13 Abs. 1 BDSG a.F. Die Bindung an die Erforderlichkeit der Datenerhebung besagt, dass auch öffentliche Stellen nur diejenigen Daten verarbeiten dürfen, die für die Aufgabenerfüllung vonnöten sind. Erforderlich ist damit nur die Verarbeitung derjenigen Daten, ohne deren Kenntnis die öffentliche Stelle die gestellte Aufgabe nicht vollständig, rechtmäßig oder in angemessener Zeit erfüllen könnte.[241]

132

Die Bindung an die Erforderlichkeit kann aber auch bedeuten, dass eine Datenerhebung, die für die Aufgabenerfüllung grundsätzlich notwendig sein mag, am vorrangigen Persönlichkeitsrecht des Betroffenen scheitern kann.[242] Insoweit hat auch bei einer Datenverarbeitung im Rahmen der Zuständigkeitsordnung stets eine Abwägungzwischen dem öffentlichen Interesse an der Datenverarbeitung und den schutzwürdigen Belangen des Betroffenen i.S. e. Verhältnismäßigkeitsprüfung zu erfolgen.[243]

133

Durch die Bindung an das Erfordernis der Erforderlichkeit ist regelmäßig auch eine Datenerhebung gleichsam auf Vorrat unzulässig, mag die Datenerhebung auch im Rahmen der Zuständigkeit erfolgen und mögen die Daten auch zu einem späteren Zeitpunkt benötigt werden können.[244]

134

Das Merkmal der Erforderlichkeit ist ein unbestimmter Rechtsbegriff, der in jedem Fall der Konkretisierung im Einzelfall bedarf.

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

(...)

– ErwG: 47, 48, 49

Literatur:

Art.-29-Datenschutzgruppe WP 217 vom 9.4.2014, S. 38; Calliess/Ruffert EUV/AEUV – Das Verfassungsrecht der Europäischen Union mit Europäischer Grundrechtecharta, 5. Aufl. 2016; Datenethikkommission (DEK) Gutachten v. 23.10.2019[245] ; Drewes Dialogmarketing nach der DSGVO ohne Einwilligung der Betroffenen, CR 2016, 721; Konferenz der unabhängigen Datenschutzaufsichtsbehörden (DSK) Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, Stand März 2019; Härting Datenschutz-Grundverordnung – Das neue Datenschutzrecht in der betrieblichen Praxis, 2016; Härting/Gössling/Dimov „Berechtigte Interessen“ nach der DSGVO, ITRB 2017, 169; Jacobs/Lange-Hausstein Datenschutzrechtliche Vorgaben des EuGH für Big Data und Direktmarketing Auswirkungen von EuGH, Urt. v. 19.10.2016 – Rs. C-582/14 – Breyer ./. BRD, ITRB 2017, 39–42; Kring/Marosi Ein Elefant im Porzellanladen – Der EuGH zu Personenbezug und berechtigtem Interesse, K&R 2016, 773; Piltz Die Datenschutz-Grundverordnung – Teil 1: Anwendungsbereich, Definitionen und Grundlagen der Datenverarbeitung, K&R 2016, 557; Schirmbacher Onlinemarketing nach der DSGVO – ein Annäherungsversuch Datenschutzrechtliche Anforderungen an E-Mail-Marketing, Tracking und Targeting, ITRB 2016, 274; Schleipfer Datenschutzkonformes Webtracking nach Wegfall des TMG, ZD 2017, 460; Schmitz ePrivacy-VO – unzureichende Regeln für klassische Dienste, ZRP 2017, 172; Weidert/Klar Datenschutz und Werbung – gegenwärtige Rechtslage und Änderungen durch die Datenschutz-Grundverordnung, BB 2017, 1858; Wybitul Welche Folgen hat die EU-Datenschutz-Grundverordnung für Compliance? CCZ 2016, 194.

135

Art. 6 Abs. 1 lit. fsteht gleichwertig[246] neben den anderen Erlaubnistatbeständen des Art. 6 Abs. 1. Dies gilt auch im Hinblick auf die Einwilligung nach Art. 6 Abs. 1 lit. aoder die Erlaubnis im Rahmen der Vertragsdurchführung entsprechend lit. b, ohne dass die Interessenabwägung die zum Teil spezielleren Vorgaben dieser Erlaubnistatbestände einhalten muss. So ist die Datenverarbeitung nach Art. 6 Abs. 1 lit. fdann zulässig, wenn die Verarbeitung zur Wahrung der berichtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist. Dies ist der Fall, sofern nicht die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, die den Schutz ihrer personenbezogenen Daten erfordern. Letzteres ist insbesondere dann zu berücksichtigen, wenn es sich bei der betroffenen Person um ein Kind handelt.

136

Aufgrund seiner Natur als offener Abwägungstatbestand stellt Art. 6 Abs. 1 lit. fden Auffangtatbestand im Erlaubniskatalog des Art. 6dar.[247] Damit einher geht die Schwierigkeit, die Reichweite des Erlaubnistatbestandes in Einklang mit den Vorgaben der Art. 7, 8 GRCh autonom korrekt zu bestimmen und den Erlaubnistatbestand nicht über Gebühr zu strapazieren.[248] Auf der anderen Seite hat wie auch schon unter der Vorgängerregelung in Art. 7 DSRL der Abwägungstatbestand die Aufgabe, die notwendige Flexibilität für wirtschaftlich gewollte und im Einklang mit den Grundrechten stehende Geschäftsmodelle zu ermöglichen.[249] Dennoch konnte sich der europäische Gesetzgeber nicht dazu durchringen, die in ihrer Anwendung komplexe Norm durch entsprechende Hilfestellungen für ihre Anwender klarer auszugestalten.[250]

137

Vor diesem Hintergrund und aufgrund der Tatsache, dass der bisherige Art. 7 lit. f im Wesentlichen der heutigen Vorschrift des Art. 6 Abs. 1 lit. fentspricht, können sowohl die Materialien der Art.-29-Datenschutzgruppe als auch die nationalen Leitlinien und Gesetze der Mitgliedstaaten als Abwägungskriterien im Rahmen der autonomen Auslegung mit herangezogen werden.[251] Dies bietet sich insbesondere im Hinblick auf das deutsche Recht an, wo die allgemeinen Erlaubnistatbestände der Interessenabwägung im alten BDSG durch eine Vielzahl von Regelungen aufgegriffen und umgesetzt wurden. Soweit dies nicht auch aufgrund der Öffnungsklauseln im Rahmen des BDSG n.F., etwa bezüglich des Scorings[252] und der Videoüberwachung,[253] konkret umgesetzt wurde, können zumindest auf Basis der historischen Entwicklung Anhaltspunkte für die Reichweite der Norm gefunden werden. Denn es ist nicht ersichtlich, dass etwas dagegen spricht auch die Erwägungen und Impulse des deutschen BDSG als Auslegungsparameter herauszuziehen. Inwiefern sie aufgegriffen und rechtlich relevant werden, muss die Rechtsprechung des EuGH zeigen.[254] Dadurch darf jedoch in keinem Fall das in ErwG 13 aufgestellte Ziel eines unionsweit gleichmäßigen Datenschutzniveaus unterlaufen werden.[255]