DS-GVO/BDSG. David Klein
Читать онлайн книгу.
Erlaubnis wie etwa einer Einwilligung.
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
| a) | (...) |
| b) | die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; (…). |
– ErwG: 44
– BDSG n.F.: § 24
Literatur:
European Data Protection Board Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects (Version 2.0, 8 October 2019); Tavanti Datenverarbeitung zu Werbezwecken nach der Datenschutz-Grundverordnung (Teil 2). RDV 2016, 295; Wendehorst/von Westphalen Das Verhältnis zwischen Datenschutz-Grundverordnung und AGB-Recht, NJW 2016, 3745.
I. Einordnung und Hintergrund
38
Gemäß Art. 6 Abs. 1 lit. b ist eine Datenverarbeitung dann rechtmäßig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Die Norm erfasst damit sowohl die Vertragsanbahnung als auch die Durchführung eines Vertrags.[69] Durch den Umstand, dass der Betroffene im Falle einer Rechtfertigung über Art. 6 Abs. 1 lit. b entweder Vertragspartei ist oder Anlass für die Durchführung der vorvertraglichen Maßnahmen gegeben hat und somit (zivilrechtlich) eine von seinem Willen getragene Erklärung abgegeben hat, enthält der Erlaubnistatbestand des Art. 6 Abs. 1 lit. b zumindest indirekt ein voluntatives Element des Betroffenen, das entsprechend zu berücksichtigen ist.
39
Art. 6 Abs. 1 lit. b entspricht fast wortwörtlich der Regelung in Art. 7 lit. b der Richtlinie 95/46/EG.[70] In der Handhabung des Erlaubnistatbestands ergeben sich im Hinblick auf die erweiterten Dokumentations- und Informationspflichten allerdings Änderungen durch die DS-GVO.
40
Verarbeitungstätigkeiten von personenbezogenen Daten, die auf einem Vertragsverhältnis oder einer Vertragsanbahnung auf Anfrage der betroffenen Person vor Inkrafttreten der DS-GVO beruhen, müssen zum Zeitpunkt der Geltung der DS-GVO entsprechend auf ihre Rechtmäßigkeit geprüft werden.[71] Während eine solche Rechtmäßigkeit in vielen Fällen auch künftig gegeben sein dürfte, wird im Bereich der Gesundheitsdaten die Beschränkung der Erlaubnistatbestände im Rahmen des Art. 9 zu berücksichtigen sein.
41
Im Verhältnis zu den anderen Erlaubnistatbeständen ist in der Regel davon auszugehen, dass kein weiterer Erlaubnistatbestand parallel existiert. Die Einwilligung nach Art. 6 Abs. 1 lit. a dürfte für dieselben Verarbeitungstätigkeiten die Art. 6 Abs. 1 lit. b abdeckt, nicht verwendbar sein.[72] Die Freiwilligkeit würde bei der Einwilligung fehlen, da die Datenverarbeitung nach dem Wortlaut in Art. 6 Abs. 1 lit. b gerade „notwendig“ und nicht disponibel ist. Die Verarbeitung der Daten zur Erfüllung rechtlicher Verpflichtungen nach Art. 6 Abs. 1 lit. c wiederum dürfte neben Art. 6 Abs. 1 lit. b in der Regel keinen Anwendungsbereich finden, da Art. 6 Abs. 1 lit. b eine gewisse Disponibilität der Datenverarbeitung voraussetzt, was Art. 6 Abs. 1 lit. c gerade nicht zulässt.[73] Das berechtigte Interesse schließlich ist zwar nicht grundsätzlich gesperrt, da der Erlaubnistatbestand in Art. 6 Abs. 1 lit. f weiter ist als Art. 6 Abs. 1 lit. b, gleichwohl aber dogmatisch nicht parallel zu verwenden. Ansonsten liefe das Widerspruchsrecht der Betroffenen in diesen Fällen immer ins Leere.
II. Kommentierung
42
Die Rechtfertigung für eine Datenverarbeitung zur Erfüllung eines Vertrages ist eine der zentralen Erlaubnistatbestände im Rahmen der wirtschaftlichen Betätigung nichtöffentlicher Verantwortlicher.[74] Umso schwerer wiegt, dass der europäische Gesetzgeber versäumt hat ein wesentliches Problem der Vorgängerregelung anzugehen: Es gibt weder ein einheitliches europäisches Vertrags- oder gar Zivilrecht, noch eine Definition des Begriffs der Vertragserfüllung.[75] Dennoch stützt sich Art. 6 Abs. 1 lit. b auf zivilrechtliche Begriffe als Anknüpfungspunkt für die Rechtmäßigkeit einer Datenverarbeitung, die in den Mitgliedstaaten unterschiedlich ausgelegt und verstanden werden können.[76] Die gebotene autonome Auslegung des Begriffs der Vertragserfüllung als zentraler Begriff eines europäischen Zivilrechts im Rahmen der DS-GVO wirkt daher fehl am Platze und schafft darüber hinaus unnötig Rechtsunsicherheit.[77]
1. Erfüllung eines Vertrages
43
Wegen der fehlenden Definition des Begriffs der Vertragserfüllung muss im Rahmen der autonomen Auslegung[78] bestimmt werden, welcher rechtlichen Einordnung die Erfüllung eines Vertrages datenschutzrechtlich unterliegt und welche Rechtsbeziehungen unter den Begriff des Vertrages i.S.d. DS-GVO subsumiert werden bzw. werden sollen.
a) Erfüllung
44
In Bezug auf den Begriff der Erfüllung ist unklar, ob hier untechnisch die praktische Durchführung, als jede Rechtshandlung in Zusammenhang mit der Abwicklung (zur Erfüllung aber auch sonstigen Erledigung, z.B. durch Rücktritt) eines wie auch immer gearteten vertraglichen Schuldverhältnisses gemeint ist, oder tatsächlich an einen nicht existenten, einheitlichen europäischen zivilrechtlichen Erfüllungsbegriff anzuknüpfen ist.
45
Im Interesse einer einheitlichen Auslegung des Begriffs dürfte wohl auf eine weite Begriffsbestimmung abzustellen sein, so dass unter den Erfüllungsbegriff jegliche Handlung zu subsumieren ist, die entweder rechtlich oder tatsächlich durch die Vertragspartei, die die entsprechende Datenverarbeitung vornimmt, in irgendeiner Form erbracht wird, um ihre eigenen oder fremden Verpflichtungen aus dem Vertragsverhältnis zu erbringen.[79] Dies umfasst neben der tatsächlichen Erfüllung der Hauptleistungspflichten damit auch Nebenleistungspflichten sowie Handlungen, die diesen unmittelbar vorgelagert bzw. notwendig sind, um den Verpflichtungen der Partei zu genügen.[80]
b) Vertrag
46
Im