DS-GVO/BDSG. David Klein

sein werden. Dann müssen die Daten allerdings gelöscht werden, sollte sich herausstellen, dass sie für die tatsächliche Vertragserfüllung nicht notwendig sind.[92]

      56

      Unter den Begriff der Anfrage fällt in diesem Zusammenhang auch eine Datenverarbeitung, die von der Gegenseite im Vorfeld eines möglichen Vertragsschlusses verlangt wird. Ein solches Verlangen ist immer dann gegeben, wenn der Betroffene in Kenntnis dieser Verarbeitung eine entsprechende Anfrage zum Abschluss eines Vertrages an den Anbieter übersandt hat.

      57

      Ferner fallen hierunter auch alle Verarbeitungstätigkeiten des Verantwortlichen, die in diesem Zusammenhang mit Daten vorgenommen werden die nicht vom Betroffenen selbst stammen. Hiervon losgelöst ist die Frage der Erforderlichkeit.

3. Die Erforderlichkeit der Datenverarbeitung

      58

Die Erforderlichkeit ist in Konsequenz zu dem zuvor Genannten ebenfalls weit zu verstehen. Sie ist eben gerade nicht auf die reine, zivilrechtliche Erfüllungshandlung bezogen, sondern muss vielmehr als für die Durchführung des gesamten Vertrages erforderlich verstanden werden.[93] Das Erforderlichkeitskriterium in Art. 6 Abs. 1 lit. b ist inhaltlich deckungsgleich mit der Erforderlichkeit in Art. 22 Abs. 2 lit. a. Insofern können die Anforderungen an die Erforderlichkeit einheitlich ausgelegt werden.

      59

Die Unterscheidung in diesem Bereich ist unscharf und bislang nicht zufriedenstellend erfolgt, wie auch die entsprechende Befassung der Art.-29-Datenschutzgruppe zu Art. 7 lit. b DSRL zeigt.[94] So soll eine Datenverarbeitung durch einen Autoversicherer in Bezug auf Zustand und Alter des zu versichernden Fahrzeugs im Rahmen einer vorvertraglichen Maßnahme „auf Anfrage“ der betroffenen Person erfolgen, da diese Verarbeitung notwendig für die Berechnung der Versicherungsbeiträge ist.[95] Andererseits soll die Einholung vergleichbarer Daten über den Betroffenen in Bezug auf den Abschluss einer Krankenversicherung dieser Ausnahme nicht unterfallen. Dass ganz offensichtlich in beiden Fällen der Anbieter diese Information benötigt, um überhaupt die Anfrage des Betroffenen beantworten zu können, lässt die Art.-29-Datenschutzgruppe außen vor.

      60

Eine sachliche Rechtfertigung für die Ungleichbehandlung gibt es in diesem Zusammenhang nicht. Man könnte zwar daran denken, dass „besondere Kategorien von personenbezogenen Daten“ restriktiver zu behandeln wären. Diese stellen tatsächlich – wie bisher, nun über Art. 9 erhöhte Anforderungen an die Verarbeitung. Eine „Anfrage“, die solche Daten enthält ist jedoch nicht nur bei Vorliegen einer Einwilligung möglich und somit nicht restriktiver zu behandeln als eine Anfrage, die Daten enthält, die die Privatsphäre der betroffenen Person nur unwesentlich berühren. Diese Erwägung spielt offensichtlich und ausweislich der Begründung in der vorher zitierten Stellungnahme der Art.-29-Datenschutzgruppe gerade keine Rolle. In der Opinion des EDPB zu Online-Verträgen sieht das EDPB zumindest die Anbahnungsphase nun ähnlich weit, solange die vorvertragliche Verarbeitung nicht dazu dient, eine unrechtmäßige Marketingkommunikation zu rechtfertigen oder die Verarbeitung alleine auf Initiative des Verantwortlichen oder eines Dritten erfolgt.[96]

      61

Das bedeutet, dass nicht nur die zuvor genannten vorvertraglichen Maßnahmen unter den geschilderten Voraussetzungen möglich sind, sondern auch die Durchführung und Abwicklung des Vertrages einschließlich der Geltendmachung der Sekundäransprüche im Falle einer Schlechterfüllung. Ansprüche im Zusammenhang mit der Mängelgewährleistung etwa sind so unmittelbar mit der Vertragserfüllung an sich verknüpft, dass eine Trennung zwischen Vertragserfüllung und Abwicklung fehlerhafter Verträge bzw. bei Schlechtleistung willkürlich erschiene.[97] Ein Verweis auf das legitime Interesse desjenigen, der bspw. Zahlungsansprüche geltend macht, macht die dogmatische Schwierigkeit einer Zersplitterung in verschiedene Rechtfertigungstatbestände im Rahmen des Art. 6 deutlich. So kann im Rahmen einer streitigen Auseinandersetzung durchaus Uneinigkeit darüber herrschen, ob ein Anspruch überhaupt besteht bzw. wie weit dieser reicht. Wäre nun die Datenverarbeitung durch den Anbieter der Leistung als Gegner des Betroffenen davon abhängig, dass der Anspruch auch tatsächlich besteht, weil im anderen Falle sein berechtigtes Interesse entfiele, wäre die Geltendmachung eines sich später als nichtbestehend herausstellenden Anspruchs und die damit verbundene notwendige Datenverarbeitung aus ex-post-Sicht rechtswidrig. Dass dieses Ergebnis nicht im Einklang mit der gesetzlichen Regelung stünde, liegt auf der Hand.

      62

Der deutsche Gesetzgeber hat das soeben beschriebene Risiko wohl erkannt und mit § 24 Abs. 1 Nr. 2 BDSG eine Regelung geschaffen, die der Frage, inwieweit die Durchsetzung von Sekundäransprüchen unter Art. 6 Abs. 1 lit. b fällt, in Deutschland ihre praktische Relevanz nimmt. Nach der auf die Öffnungsklausel in Art. 23 Abs. 1 gestützten[98] Vorschrift des § 24 Abs. 1 Nr. 2 BDSG ist jede Datenverarbeitung zulässig, die zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist. Davon umfasst ist auch die Abwicklung vertraglicher Gewährleistungs- und sonstiger Sekundäransprüche. In anderen Mitgliedstaaten ohne eine entsprechende nationale Regelung bleibt die Frage nach der Auslegung des Erforderlichkeitsbegriffs des Art. 6 Abs. 1 lit. b aber durchaus relevant.

      63

      

Vor diesem Hintergrund ist festzuhalten, dass eine Datenverarbeitung durch den Verantwortlichen in Konsequenz also dann erforderlich ist, wenn die Verarbeitung objektiv überprüfbar angebracht ist, um dem Verantwortlichen zu erlauben, von ihm für unerlässlich erachtete Informationen und organisatorische Abläufe mit den hierzu notwendigen personenbezogenen Daten des Betroffenen durchführen zu können. Ein Abstellen auf den Horizont des Verantwortlichen ist deswegen geboten, da nur dieser das rechtliche und wirtschaftliche Risiko einschätzen kann, das mit der späteren Erbringung seiner Leistung für den Betroffenen verbunden ist. Der Verantwortliche ist frei darin, die Regeln für die Inanspruchnahme seiner Leistung festzuschreiben, mithin im Rahmen der Vertragsautonomie Verträge anzubieten, die eine bestimmte Art der Datenverarbeitung als erforderlich statuieren.[99] Unter das Erforderlichkeitskriterium fallen etwa Verträge, bei denen Verantwortliche die Daten der Betroffenen verwenden um Inhalte individuell anzupassen oder Zusatzleistungen anzubieten.[100] Die durch den Vertragszweck determinierten Zwecke können nur unter der Voraussetzung des Art. 6 Abs. 4 zu anderen Zwecken weiter verarbeitet werden. Ferner muss die Datenverarbeitung auch insoweit erforderlich für die Vertragserfüllung sein, dass nicht einzelne Verarbeitungstätigkeiten abgespalten werden könnten, ohne dass die Vertragserfüllung nicht mehr möglich wäre: Können solche Verarbeitungstätigkeiten abgespalten werden, ist dies ein Indiz dafür, dass sie für die Vertragsdurchführung nicht notwendig sind.[101] Ein Koppelungsverbot besteht insoweit allerdings nicht.[102] Vielmehr kann ein Nutzer für sich entscheiden, ob und wie eine solche Datenverarbeitung für ihn akzeptabel ist oder nicht.[103]

      64

Gerade bei komplexen Geschäftsmodellen ist die Abgrenzung zwischen erforderlicher und optionaler Datenverarbeitung herausfordernd. Exemplarisch mag die Unterscheidung von Sozialen Netzwerken und der für die Inanspruchnahme dieser erforderlichen Datenverarbeitung sein. Die jeweilige Datenverarbeitung kann in einem Fall zwingend notwendig, im anderen unwesentlich sein. Bei professionellen Netzwerken, die primär dem beruflichen Austausch dienen sowie der Kontaktaufnahme