David Klein - DS-GVO/BDSG

185

Hierbei soll der Umfang der personenbezogenen Daten der betroffenen Person jedoch auf interne Verwaltungsmaßnahmen einer solchen Unternehmensgruppe beschränkt sein. Typischerweise umfasst dies die Übermittlung von personenbezogenen Daten von Mitarbeitern bzw. Vertragspartnern von Konzerngesellschaften innerhalb eines Konzerns an eine zentrale Stelle. Um hier für bestimmte Aufgaben die notwendige Flexibilität zu besitzen, gerade nicht nur als Auftragsverarbeiter tätig zu sein, ist eine Rechtfertigung solcher Übermittlungen auch im Rahmen eines Transfers von personenbezogenen Daten zwischen Verantwortlichen notwendig.[349]

186

So ist etwa gerade im Bereich der Sicherstellung der Complianceim Konzern regelmäßig davon auszugehen, dass der Empfänger der personenbezogenen Daten diese für eigene Zwecke verarbeitet. Andernfalls ist es oftmals nicht möglich, die gesetzlichen Anforderungen an die Compliance vollständig zu erfüllen. Da es hierbei aber häufig an der Trennschärfe fehlt, was konkret noch in den Bereich der gesetzlichen Verpflichtung zu rechnen ist, kann sich eine Konzerngesellschaft in diesem Zusammenhang für die Übermittlung von personenbezogenen Daten nur unzureichend auf die Erlaubnistatbestände etwa aus Art. 6 Abs. 1 lit. cstützen. Durch die Klarstellung im ErwG 48 steht nunmehr ein weiterer Erlaubnistatbestand zur Verfügung, der jedenfalls in der Regel eine solche Datenübermittlung zulässt.[350]

187

Siehe Kommentierung zu § 26 BDSGn.F., siehe Kommentierung zu Art. 10 Rn. 6und 7, Anhang zu Art. 88sowie Kommentierung zu Art. 88.

188

Vgl. Kommentierung zu Art. 22.[351]

189

Siehe Kommentierung des § 4 BDSGn.F. im Anhang zu Art. 6.

190

Sofern der Anwendungsbereich der DS-GVO eröffnet ist, kann die Aufnahme von Personen per Kamera neben einer Einwilligung oder der Durchführung eines Vertrages insbesondere auch auf das berechtigte Interessegestützt werden. Bei der Interessenabwägung ist zu beachten, dass oftmals eine Vielzahl der Personen auf dem Bild nicht zu erkennen sind, so dass die Interessenabwägung in diesen Fällen zu Gunsten des Verantwortlichen ausfallen dürfte (zur Abgrenzung zwischen Direkt- und Dritterhebung bei Bildaufnahmen und den hieraus resultieren Informationspflichten Art. 13 Rn. 52, 101 f., Art. 14 Rn. 100).[352] Für die Veröffentlichung hingegen dürfte außerhalb des Anwendungsbereiches des KUG[353] das berechtigte Interesse dann nicht genügen, wenn der betroffenen Person nicht schon bei der Aufnahme unzweifelhaft klar war, wie und mit welcher Reichweite eine Veröffentlichung geplant ist. In diesen Fällen kann die betroffene Person nach Art. 21 Abs. 1 S. 1bezogen auf die Interessenabwägung ihr Widerspruchsrecht nur auf Gründe stützen, die sich „aus ihrer besonderen Situation“ ergeben. Selbst wenn sie diese darlegen kann, kann sich der Verantwortliche aber noch auf zwingende schutzwürdige Gründe zur Verwendung des Fotos in Form der Datenverarbeitung stützen.[354]

191

Zwar könnte angenommen werden, dass sofern eine Personenfotografie mittelbar Rückschlüsse auf besondere Kategorien personenbezogener Daten ermöglicht der Anwendungsbereich von Art. 9eröffnet ist, z.B. wenn die abgebildete Person eine Brille trägt oder eine Gehhilfe benötigt. Bei mittelbaren Hinweisen auf Daten i.S.v. Art. 9 Abs. 1wird jedoch eine einschränkende Auslegung des Art. 9vor dem Hintergrund seines Schutzzwecks diskutiert, der nur bei einer besonderen Zweckbestimmung einschlägig sein soll. Dies wäre etwa der Fall, wenn Fotografien getätigt werden, um im Rahmen einer Studie zur Fehlsichtigkeit festzustellen, wie viele Brillenträger sich durchschnittlich in der Bevölkerung befinden (vertiefend hierzu Art. 9 Rn. 165).

192

Die Datenethikkommission hat in ihrem Gutachten vor dem Hintergrund der risikoadäquaten Auslegung des geltenden Rechtsrahmens[355] die Szenarien Social Media Monitoring[356], Profilbildung[357] und Sprachassistenten[358] sowie an anderer Stelle das Crowd Sensing zu gemeinwohlorientierten Zwecken[359] bewertet.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gem. Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gem. Absatz 1 Buchstaben c und e wird festgelegt durch

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gem. Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gem. Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

– ErwG: 41, 45, 50, 55, 56

193

Die DSRL enthielt mit Art. 7 lit. c DSRL eine Vorläuferbestimmung.

194

Das BDSG a.F. enthielt keine Vorläuferbestimmung. Vielmehr nutzt das nationale Recht die Öffnungsklauseln, in dem es auf dieser Grundlage Regelungen insb. innerhalb des BDSG a.F. bzw. BDSG trifft.

195

Art. 6 Abs. 2sowie Abs. 3 S. 2und 3normieren eine allgemeine Öffnungsklausel zugunsten der Mitgliedstaaten.[360] Diese Öffnungsklausel bezieht sich auf die Rechtmäßigkeitstatbestände in Art. 6 Abs. 1 lit. cund e. Insbesondere bei Art. 6 Abs. 1 lit. ehandelt es sich um die Datenverarbeitung durch öffentliche Stellen. Auch die Verarbeitung zur Wahrnehmung einer rechtlichen Verpflichtung fällt in diesen Bereich, da sich diese unmittelbar aus einer Rechtsgrundlage ergibt, die das Unionsrecht oder mitgliedstaatliche Recht im öffentlichen Interesse vorsieht.[361] Nach Abs. 2und 3kommen dafür insb. die dort genannten unionsrechtlichen bzw. einzelstaatlichen Rechtsgrundlagen in Betracht.[362] Die allgemeinen Öffnungsklauseln erlauben es, die vielfältige Datenverarbeitung im öffentlichen Interesse im bereichsspezifischen nationalen Datenschutzrecht aufrechterhalten zu können.[363] Zu diesem Zweck enthält Art. 6 Abs. 2und Abs. 3 S. 2einen Regelungsauftragan die Mitgliedstaaten zur Schaffung mitgliedstaatlichen Rechts. Art. 6 Abs. 3 S. 3enthält demgegenüber eine fakultative Öffnungsklauselzum Erlass spezifischen mitgliedstaatlichen Rechts.[364] Vgl. dazu auch Rn. 216f.