DS-GVO/BDSG. David Klein

Kring/Marosi Ein Elefant im Porzellanladen – Der EuGH zu Personenbezug und berechtigtem Interesse, K&R 2016, 773; Piltz Die Datenschutz-Grundverordnung – Teil 1: Anwendungsbereich, Definitionen und Grundlagen der Datenverarbeitung, K&R 2016, 557; Schirmbacher Onlinemarketing nach der DSGVO – ein Annäherungsversuch Datenschutzrechtliche Anforderungen an E-Mail-Marketing, Tracking und Targeting, ITRB 2016, 274; Schleipfer Datenschutzkonformes Webtracking nach Wegfall des TMG, ZD 2017, 460; Schmitz ePrivacy-VO – unzureichende Regeln für klassische Dienste, ZRP 2017, 172; Weidert/Klar Datenschutz und Werbung – gegenwärtige Rechtslage und Änderungen durch die Datenschutz-Grundverordnung, BB 2017, 1858; Wybitul Welche Folgen hat die EU-Datenschutz-Grundverordnung für Compliance? CCZ 2016, 194.

I. Einordnung und Hintergrund

      135

Art. 6 Abs. 1 lit. f steht gleichwertig[246] neben den anderen Erlaubnistatbeständen des Art. 6 Abs. 1. Dies gilt auch im Hinblick auf die Einwilligung nach Art. 6 Abs. 1 lit. a oder die Erlaubnis im Rahmen der Vertragsdurchführung entsprechend lit. b, ohne dass die Interessenabwägung die zum Teil spezielleren Vorgaben dieser Erlaubnistatbestände einhalten muss. So ist die Datenverarbeitung nach Art. 6 Abs. 1 lit. f dann zulässig, wenn die Verarbeitung zur Wahrung der berichtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist. Dies ist der Fall, sofern nicht die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, die den Schutz ihrer personenbezogenen Daten erfordern. Letzteres ist insbesondere dann zu berücksichtigen, wenn es sich bei der betroffenen Person um ein Kind handelt.

      136

Aufgrund seiner Natur als offener Abwägungstatbestand stellt Art. 6 Abs. 1 lit. f den Auffangtatbestand im Erlaubniskatalog des Art. 6 dar.[247] Damit einher geht die Schwierigkeit, die Reichweite des Erlaubnistatbestandes in Einklang mit den Vorgaben der Art. 7, 8 GRCh autonom korrekt zu bestimmen und den Erlaubnistatbestand nicht über Gebühr zu strapazieren.[248] Auf der anderen Seite hat wie auch schon unter der Vorgängerregelung in Art. 7 DSRL der Abwägungstatbestand die Aufgabe, die notwendige Flexibilität für wirtschaftlich gewollte und im Einklang mit den Grundrechten stehende Geschäftsmodelle zu ermöglichen.[249] Dennoch konnte sich der europäische Gesetzgeber nicht dazu durchringen, die in ihrer Anwendung komplexe Norm durch entsprechende Hilfestellungen für ihre Anwender klarer auszugestalten.[250]

      137

Vor diesem Hintergrund und aufgrund der Tatsache, dass der bisherige Art. 7 lit. f im Wesentlichen der heutigen Vorschrift des Art. 6 Abs. 1 lit. f entspricht, können sowohl die Materialien der Art.-29-Datenschutzgruppe als auch die nationalen Leitlinien und Gesetze der Mitgliedstaaten als Abwägungskriterien im Rahmen der autonomen Auslegung mit herangezogen werden.[251] Dies bietet sich insbesondere im Hinblick auf das deutsche Recht an, wo die allgemeinen Erlaubnistatbestände der Interessenabwägung im alten BDSG durch eine Vielzahl von Regelungen aufgegriffen und umgesetzt wurden. Soweit dies nicht auch aufgrund der Öffnungsklauseln im Rahmen des BDSG n.F., etwa bezüglich des Scorings[252] und der Videoüberwachung,[253] konkret umgesetzt wurde, können zumindest auf Basis der historischen Entwicklung Anhaltspunkte für die Reichweite der Norm gefunden werden. Denn es ist nicht ersichtlich, dass etwas dagegen spricht auch die Erwägungen und Impulse des deutschen BDSG als Auslegungsparameter herauszuziehen. Inwiefern sie aufgegriffen und rechtlich relevant werden, muss die Rechtsprechung des EuGH zeigen.[254] Dadurch darf jedoch in keinem Fall das in ErwG 13 aufgestellte Ziel eines unionsweit gleichmäßigen Datenschutzniveaus unterlaufen werden.[255]

      138

      Wie auch in Art. 6 Abs. 1 lit. f gab es unter der DSRL keine Spezifizierung des allgemeinen Abwägungstatbestandes. Zudem wurden anders als in Deutschland nicht in allen Mitgliedstaaten Konkretisierungen in die jeweiligen Umsetzungsgesetze aufgenommen. Dies führt dazu, dass sich in den Mitgliedstaaten bislang kein einheitliches Verständnis des Begriffs des berechtigten Interesses etabliert hat. Diese nationalen Unterschiede stellen eine Herausforderung für die autonome Auslegung des Art. 6 Abs. 1 lit. f dar.

      139

Im Bereich des Gesundheitsdatenschutzes gilt Art. 6 Abs. 1 lit. f gem. Art. 9 Abs. 1, 2 nicht.[256]

      140

Ferner können sich Behörden für Datenverarbeitungen im Rahmen der Erfüllung ihrer Aufgaben nicht auf die Regelungen in Art. 6 Abs. 1 lit. f stützen (siehe Art. 6 Abs. 1 S. 2). Der Gesetzgeber hat im Bereich des hoheitlichen Handelns vielmehr entsprechende Rechtsverordnungen zu schaffen, so dass Behörden in Ausübung dieser hoheitlichen Befugnisse wiederum auf die Erlaubnistatbestände der Art. 6 Abs. 1 lit. c bzw. e zurückgreifen können.[257]

II. Kommentierung

1. Legitimierung durch mehrere Erlaubnistatbestände

      141

Hat sich ein Verantwortlicher dafür entschieden, seine Verarbeitung auf einen bestimmten Erlaubnistatbestand zu stützen, so kann er grundsätzlich daneben auch weitere Erlaubnistatbestände anführen, solange er dies nur zuvor bestimmt.[258] Die Art.-29-Datenschutzgruppe geht demgegenüber in ihrem WP 259[259] davon aus, dass eine Datenverarbeitung zu einem bestimmten Zweck nur auf einen Zulässigkeitstatbestand gestützt werden kann. Der Verantwortliche muss insoweit einen Zulässigkeitstatbestand des Art. 6 Abs. 1 für die Datenverarbeitung zu einem bestimmten Zweck vor der Verarbeitung auswählen und diese ausschließlich auf den ausgewählten Tatbestand stützen. Ein nachträgliches Zurückgreifen auf einen anderen Zulässigkeitstatbestand ist hiernach unzulässig. Gleichwohl kann, so auch die Art.-29-Datenschutzgruppe, eine Datenverarbeitung bestehend aus verschiedenen Verarbeitungsprozessen durch mehrere Erlaubnistatbestände legitimiert werden. Ebenfalls kann eine Datenverarbeitung zu mehreren Zwecken auf mehrere Zulässigkeitstatbestände gestützt werden. Letztlich will die Art.-29-Datenschutzgruppe wohl ein „Rosinenpicken“ verhindern, indem eine Datenverarbeitung nachträglich durch einen anderen Zulässigkeitstatbestand des Art. 6 Abs. 1 als „back-up“ legitimiert werden soll. Insofern sollen anscheinend insbesondere Fallkonstellationen ausgeschlossen werden, in denen eine Einwilligung nach Art. 6 Abs. 1 lit. a unwirksam ist, die Datenverarbeitung aber dann über Art. 6 Abs. 1 lit. f im Rahmen einer Interessenabwägung legitimiert werden soll. Diese Auffassung ist allerdings weder mit der DS-GVO vereinbar noch steht sie im Einklang mit früheren Aussagen der Art.-29-Datenschutzgruppe: Denn zum einen erklärt Art. 6 Abs. 1 eine Datenverarbeitung ausdrücklich für zulässig, wenn „mindestens“ einer der nachstehenden