DS-GVO/BDSG. David Klein

ist der Verzicht auf einen Klarnamen kaum denkbar. Dadurch wird nicht nur das notwendige Vertrauen zwischen den Teilnehmern geschaffen, sondern dem Nutzer zudem die Möglichkeit gegeben sich selbst als Person unter dem Namen, den die Person im Beruf verwendet, vorzustellen. Ganz anders bewerten das Gerichte bei nicht-beruflichen Netzwerken, hier ist der Klarname gerade nicht erforderlich für die Teilnahme am Netzwerk.[104] Im Gegensatz dazu können auf der einen Plattform Inhalte primär mit Freunden und Familie geteilt werden, so dass ein „privates“ Profil ausreichend für die Datenverarbeitung ist; wirbt hingegen eine Plattform damit, ihren Nutzern die weltweite Verbreitung von Inhalten zu ermöglichen, dürfte ein solches „privates“ Profil dem Vertragszweck entgegenstehen.

4. Fallgruppen

      65

Demnach zulässig sind alle Datenverarbeitungsvorgänge, die unmittelbar im Zusammenhang mit der Erbringung der Leistung im zivilrechtlichen Sinne stehen, d.h. insbesondere zur Abwicklung von Zahlungen, auch die hierfür notwendige Übermittlung an Dritte, die Zusendung gekaufter Ware,[105] die Löschung von Rechten Dritter, die Aufnahme von Dritten als Zeugen, die Nennung von Dritten im Rahmen eines echten Vertrages zu Gunsten Dritter, ebenso wie die notwendige Verarbeitung von Daten im Rahmen einer Drittschadensliquidierung, die Übermittlung von Daten an eine Versicherung zur Befriedigung von Ansprüchen Dritter,[106] die Übermittlung von Vertragsdaten aus dem Grundgeschäft bei Abschluss eines selbstständigen Garantievertrages mit einem Dritten auf Betreiben des Betroffenen im Rahmen von Unternehmenstransaktionen, die Übermittlung von Daten der betroffenen Arbeitnehmer sofern ein Betriebsübergang stattfindet bzw. ein Asset-Deal einen bestimmten Unternehmensteil betrifft,[107] in dem die Arbeitnehmer verbleiben sollen,[108] Daten, die im Austausch gegen eine Leistung zur Verfügung gestellt werden[109] sowie die Datenverarbeitung im Rahmen einer Abtretung[110].

      66

Im Rahmen eines Anspruchs von Erben auf die Bereitstellung von Account-Informationen aus einem Online-Nutzungskonto soll ebenfalls Art. 6 Abs. 1 lit. b als Rechtsgrundlage herangezogen werden.[111] Diese Wertung überzeugt nicht. Das höchstpersönliche Recht auf informationelle Selbstbestimmung kann nicht durch einen Dritten – auch nicht im Wege der Gesamtrechtsnachfolge – wahrgenommen werden. Konsequent erscheint vielmehr eine Lösung über das berechtigte Interesse der Erben, das der BGH in diesem Fall auch als weitere Rechtsgrundlage bejaht hat.[112]

D. Art. 6 Abs. 1 lit. c

      67

      (1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

      . . .

c)	die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

      – ErwG: 40, 41, 45, 47

      Literatur:

      Siehe Hinweise zu Abs. 1.

I. Allgemeines: Zweck, Bedeutung, Systematik/Verhältnis zu anderen Vorschriften

      68

      Nach Art. 6 Abs. 1 lit. c ist eine Datenverarbeitung dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Die Regelung entspricht der Regelungsbefugnis nach Art. 7 Abs. 1 lit. c DSRL.

      69

Die DS-GVO entfaltet an dieser Stelle – wie auch bezüglich Art. 6 Abs. 1 lit. e – Richtliniencharakter,[113] indem sie den Mitgliedstaaten ermöglicht, eigene, spezifischere Regelungen zu treffen. Zugleich ist die Öffnung für mitgliedstaatliche Regelung notwendiger Ausdruck des Grundsatzes der Subsidiarität.[114] Dabei ist das Schutzniveau im Moment einer mitgliedstaatlichen Erweiterung nach wie vor grundsätzlich an dem der DS-GVO zu orientieren,[115] was vornehmlich durch den Hinweis auf die Erforderlichkeit der Datenverarbeitung zum Ausdruck kommt. Dennoch wird über die Erweiterungstatbestände der lit. c und e ein Einfallstor für die Begründung der Rechtmäßigkeit von Datenverarbeitungen auch durch mitgliedstaatliche Regelungen eröffnet.[116]

II. Verantwortlicher

      70

Der Systematik der DS-GVO folgend sind Verantwortliche i.S.d. lit. c sowohl öffentliche als auch nichtöffentliche Stellen.[117] Dass lit. c auf den Verantwortlichen abstellt, schließt die Rechtmäßigkeit einer Auftragsdatenverarbeitung nicht aus, jedoch muss die rechtliche Verpflichtung dem Verantwortlichen obliegen.[118] Da die Rechtmäßigkeit der Datenerhebung durch öffentliche Stellen zugleich regelmäßig an lit. e zu messen ist, entfaltet lit. c vorrangig eigenständige Wirkung für nichtöffentliche Verantwortliche.[119]

III. Rechtliche Verpflichtung

      71

Eine rechtliche Verpflichtung nach lit. c muss eine Verpflichtung kraft objektiven Rechts sein. Insbesondere reicht eine vertragliche Verpflichtung nicht aus, die im Übrigen lit. b unterfiele. Insoweit ist bspw. die französische („obligation légale“) und die englische („legal obligation“) Fassung eindeutiger, da die offene Formulierung „rechtliche Verpflichtung“ auch vertragliche Bindungen einbeziehen könnte; in der deutschen Fassung wird das Verständnis erst in Abgrenzung zu lit. b deutlich.[120]

      72

Nach Art. 6 Abs. 3 kann diese objektive rechtliche Verpflichtung sowohl auf Unionsrecht als auch auf mitgliedstaatlichem Recht beruhen. Gerade bei Letzterem sind keine besonderen Anforderungen an die Rangstufe des betreffenden Rechts zu stellen. Die rechtliche Verpflichtung kann auf Gesetzes-, Verordnungs- oder Satzungsrecht beruhen, bis hin zu Bestimmungen in für allgemeinverbindlich erklärten Tarifverträgen oder auch in Betriebsvereinbarungen.[121]

      73

Eine Einschränkung macht ErwG 41 dahingehend, dass wenn die mitgliedstaatliche Verfassungsordnung Anforderungen an die Qualität grundrechtsrelevanter Bestimmungen stellt, diese auf mitgliedstaatlicher Ebene einzuhalten sind. Im Zusammenspiel mit Abs. 3 wird damit aber deutlich, dass nationales Recht grds. für abweichende Datenschutzregelungen gegenüber der DS-GVO geöffnet werden kann. ErwG 45 formuliert weitere Voraussetzungen für derartige Vorschriften. So ist nicht für jede Verarbeitung ein eigenes Gesetz zu fordern, allerdings müssen die Vorschriften hinreichend transparent, insbesondere bezogen auf den Zweck der Datenverarbeitung, ausgestaltet sein.[122]

      74

Eine Verpflichtung i.S.d. lit. c ist auch dann anzunehmen, wenn es in der Hand des Verantwortlichen liegt, ob er sich der jeweiligen Verpflichtung unterwerfen will. So ist die Verpflichtung, im Falle der Teilnahme an einer öffentlichen Ausschreibung bestimmte Daten zu übermitteln, eine Verpflichtung i.S.d. lit. c, obgleich selbstverständlich keine Verpflichtung zur Teilnahme an der betreffenden Ausschreibung besteht.[123] Keine Verpflichtung i.S.d. lit. c dürfte anzunehmen sein, wenn die betreffende Vorschrift die Datenverarbeitung nur voraussetzt, aber selbst nicht anordnet. In derartigen Fällen ist aber eine Anwendung von Art. 6 Abs. 1 lit. e denkbar.