David Klein - DS-GVO/BDSG

138

Wie auch in Art. 6 Abs. 1 lit. fgab es unter der DSRL keine Spezifizierung des allgemeinen Abwägungstatbestandes. Zudem wurden anders als in Deutschland nicht in allen Mitgliedstaaten Konkretisierungen in die jeweiligen Umsetzungsgesetze aufgenommen. Dies führt dazu, dass sich in den Mitgliedstaaten bislang kein einheitliches Verständnis des Begriffs des berechtigten Interesses etabliert hat. Diese nationalen Unterschiede stellen eine Herausforderung für die autonome Auslegung des Art. 6 Abs. 1 lit. fdar.

139

Im Bereich des Gesundheitsdatenschutzesgilt Art. 6 Abs. 1 lit. fgem. Art. 9 Abs. 1, 2nicht.[256]

140

Ferner können sich Behörden für Datenverarbeitungen im Rahmen der Erfüllung ihrer Aufgabennicht auf die Regelungen in Art. 6 Abs. 1 lit. fstützen (siehe Art. 6 Abs. 1 S. 2). Der Gesetzgeber hat im Bereich des hoheitlichen Handelns vielmehr entsprechende Rechtsverordnungen zu schaffen, so dass Behörden in Ausübung dieser hoheitlichen Befugnisse wiederum auf die Erlaubnistatbestände der Art. 6 Abs. 1 lit. cbzw. ezurückgreifen können.[257]

141

Hat sich ein Verantwortlicher dafür entschieden, seine Verarbeitung auf einen bestimmten Erlaubnistatbestand zu stützen, so kann er grundsätzlich daneben auch weitere Erlaubnistatbestände anführen, solange er dies nur zuvor bestimmt.[258] Die Art.-29-Datenschutzgruppe geht demgegenüber in ihrem WP 259[259] davon aus, dass eine Datenverarbeitung zu einem bestimmten Zweck nur auf einen Zulässigkeitstatbestand gestützt werden kann. Der Verantwortliche muss insoweit einen Zulässigkeitstatbestand des Art. 6 Abs. 1für die Datenverarbeitung zu einem bestimmten Zweck vor der Verarbeitung auswählen und diese ausschließlich auf den ausgewählten Tatbestand stützen. Ein nachträgliches Zurückgreifen auf einen anderen Zulässigkeitstatbestand ist hiernach unzulässig. Gleichwohl kann, so auch die Art.-29-Datenschutzgruppe, eine Datenverarbeitung bestehend aus verschiedenen Verarbeitungsprozessen durch mehrere Erlaubnistatbestände legitimiert werden. Ebenfalls kann eine Datenverarbeitung zu mehreren Zwecken auf mehrere Zulässigkeitstatbestände gestützt werden. Letztlich will die Art.-29-Datenschutzgruppe wohl ein „Rosinenpicken“ verhindern, indem eine Datenverarbeitung nachträglich durch einen anderen Zulässigkeitstatbestand des Art. 6 Abs. 1als „back-up“ legitimiert werden soll. Insofern sollen anscheinend insbesondere Fallkonstellationen ausgeschlossen werden, in denen eine Einwilligung nach Art. 6 Abs. 1 lit. aunwirksam ist, die Datenverarbeitung aber dann über Art. 6 Abs. 1 lit. fim Rahmen einer Interessenabwägung legitimiert werden soll. Diese Auffassung ist allerdings weder mit der DS-GVO vereinbar noch steht sie im Einklang mit früheren Aussagen der Art.-29-Datenschutzgruppe: Denn zum einen erklärt Art. 6 Abs. 1eine Datenverarbeitung ausdrücklich für zulässig, wenn „mindestens“ einer der nachstehenden Bedingungen erfüllt ist und geht dadurch offensichtlich davon aus, dass eine Datenverarbeitung aufgrund mehrerer Zulässigkeitstatbestände rechtmäßig sein kann. Auch Art. 6 Abs. 1 lit. apostuliert explizit, dass eine Einwilligung für mehrere Zwecke erteilt werden kann und nicht auf eine Datenverarbeitung zu nur einem Zweck beschränkt ist. Insofern findet die Ansicht der Art.-29-Datenschutzgruppe keine Stütze im Wortlaut der Verordnung. Hinzu tritt, dass nach Art. 17 Abs. 1 lit. b im Falle des Widerrufs einer Einwilligung ein Löschanspruch der betroffenen Person nur dann besteht, wenn es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt. Daraus folgt, dass der Verordnungsgeber die Möglichkeit des Verantwortlichen neben der Einwilligung auch einen anderen Erlaubnistatbestand (z.B. Art. 6 Abs. 1 lit. f) heranzuziehen, ausdrücklich vorgesehen hat. Ferner räumt die Art.-29-Datenschutzgruppe durch ihre Sichtweise dem Einwilligungstatbestand im Verhältnis zu den anderen Zulässigkeitstatbeständen des Art. 6 Abs. 1praktisch einen Vorrang ein und setzt sich damit in Widerspruch zu ihrem WP 217[260] indem sie feststellt, dass „keine rechtliche Unterscheidung (…) vorgenommen und nicht vom Bestehen einer Rangfolge“[261] zwischen den Erlaubnistatbeständen ausgegangen werden kann. Denn es gebe „keinen Hinweis darauf, dass [die Interessenabwägung] nur in Ausnahmefällen angewendet werden sollte, und dem Text ist auch sonst nicht zu entnehmen, dass die spezielle Reihenfolge der sechs rechtlichen Voraussetzungen irgendeine rechtserhebliche Wirkung hat.“[262] Zudem nennt die Art.-29-Datenschutzgruppe als die „wichtigste Erkenntnis [der] Stellungnahme, dass die Einwilligung nicht die Hauptgrundlage, sondern nur eine von mehreren Rechtsgrundlagen für die Verarbeitung personenbezogener Daten darstellt.“[263] Zwar bezieht sich das WP 217 auf Art. 7 Abs. 1 lit. f DSRL, gleichwohl entspricht die Vorschrift im Wesentlichen dem heutigen Art. 6 Abs. 1 lit. f DS-GVO[264], so dass die Aussagen des WP 217 übertragbar sind und entsprechende Geltung beanspruchen. Das Gleiche gilt in diesem Zusammenhang selbstverständlich auch für Art. 6 Abs. 1 lit. f.[265] So kann der Verantwortliche z.B. transparent darstellen, dass er seine Verarbeitung auf Art. 6 Abs. 1 lit. fstützt sowie zusätzlich nach seiner Auffassung ein Erlaubnistatbestand z.B. nach Art. 6 Abs. 1 lit. bin Frage kommt. Wesentlich ist allerdings, dass die betroffene Person gem. Art. 13 Abs. 1 lit. c und d transparent über den jeweiligen Erlaubnistatbestand bzw. über die Einschlägigkeit mehrerer Erlaubnistatbestände und den Umstand informiert wird, warum ein Verantwortlicher der Überzeugung ist, dass seine Verarbeitung nach diesem Erlaubnistatbestand rechtmäßig ist. Insofern ist eine Legitimierung einer Datenverarbeitung durch mehrere Erlaubnistatbestände nur dann möglich, wenn der Verantwortliche über diese bereits im Rahmen der Information hinreichend transparent aufgeklärt hat. Nicht zulässig dürfte es sein, dass sich ein Verantwortlicher zur Rechtfertigung einer Datenverarbeitung etwa auf die Einwilligung beruft, im Falle ihres Widerrufs oder ihrer Unwirksamkeit dann aber einen anderen Erlaubnistatbestand (etwa Art. 6 Abs. 1 lit. f) „nachschiebt“.

142

Fraglich ist allerdings in der Praxis, inwieweit sich eine widerrufene Einwilligung auf die Interessenabwägung nach Art. 6 Abs. 1 lit. fund somit auf die Zulässigkeit der Datenverarbeitung auswirkt. Art. 17 Abs. 1 lit. b enthält insofern die Aussage, dass sofern eine betroffene Person ihre Einwilligung widerruft, dieser entgegenstehende Wille im Rahmen der Interessenabwägung zwar zu berücksichtigen ist, dies aber nicht zwangsläufig zu einem Überwiegen der Betroffeneninteressen führt, sondern vielmehr eine Interessenabwägung unter Berücksichtigung des Widerrufs notwendig ist. Hierbei ist es theoretisch möglich, dass die Interessen des Verantwortlichen die Interessen der betroffenen Person, trotz widerrufener Einwilligung, überwiegen und so die Datenverarbeitung rechtfertigen.

143

Als Anwendungsbeispiel ließe sich etwa an folgende Fallkonstellation denken: Verarbeitet etwa ein Anbieter von eLearning-Seminaren durch Aufzeichnung des Seminars die Daten der Teilnehmer, so kann der Anbieter als verantwortliche Stelle die Datenverarbeitung etwa auf Art. 6 Abs. 1 lit. a, bund fstützen. Eine Rechtfertigung nach Art. 6 Abs. 1 lit. bendet mit Vertragserfüllung. Sofern eine betroffene Person nunmehr ihre Einwilligung widerruft, folgt daraus nach Art. 6 Abs. 1 lit. bnoch keine Löschverpflichtung des Anbieters, sofern dieser seine Datenverarbeitung bereits von Anfang an auch auf Art. 6 Abs. 1 lit. fgestützt hat. Vielmehr sind die Voraussetzungen einer Interessenabwägung nach Art. 6 Abs. 1 lit. funter Berücksichtigung der Tatsache des Widerrufs und der sonstigen Interessenlage zu prüfen. Unter Umständen bleibt so nach der Systematik der DS-GVO der Widerruf der Einwilligung hinsichtlich der Frage nach der Rechtmäßigkeit der Datenverarbeitung und einer bestehenden Löschverpflichtung aufgrund des Widerrufs im Ergebnis ohne Bedeutung, weil eine Rechtfertigung nach Art. 6 Abs. 1 lit. fmöglich bleibt. Nach Art. 17 Abs. 1 lit. b führt also der Widerruf der Einwilligung nicht zwangsläufig zu einem Überwiegen der Interessen der betroffenen Person im Rahmen von Art. 6 Abs. 1 lit. f. Diese Fallkonstellation ist freilich nur denkbar, sofern die verantwortliche Stelle bereits bei Erhebung der personenbezogenen Daten sowohl Art. 6 Abs. 1 lit. aals auch lit. bund insbesondere lit. fausdrücklich als Erlaubnistatbestand benannt und darüber informiert hat.