Praxistipp: Grundsätze des Datenschutzrechts

1. Die wirksame Einwilligung

Ein Erlaubnistatbestand für die Verarbeitung personenbezogener Daten ist die Einwilligung der betroffenen Person.

Anforderungen an die Einwilligung:

Eindeutig, für den konkreten Fall, freiwillig, informiert, unmissverständlich (ErwGr. 32 DSGVO)

• Eindeutig: die Einwilligung nutzt eine klare und einfache Sprache und ist eindeutig wahrnehmbar
• Informiert: Die betroffene Person muss abschätzen können, welche Auswirkungen die Erteilung einer Einwilligung für sie hat, sie muss die Umstände der Datenverarbeitung sowie die Tragweite ihrer Einwilligung eindeutig und klar erkennen können.
  • Sie benötigt Kenntnis
    • der Arten von Daten welche verarbeitete werden
    • dem Verarbeitungszweck
    • von der verantwortlichen datenverarbeitenden Stelle und deren Erreichbarkeit
    • darüber, an welche Dritten die Daten im Falle der Übermittlung weitergegeben werden

• Freiwilligkeit: zwischen Betroffenem und Datenverarbeiter darf kein „klares Ungleichgewicht“bestehen, sodass es „in Anbetracht aller Umstände in dem speziellen Fall unwahrscheinlich ist“, dass die Einwilligung freiwillig erteilt worden ist

• Für den konkreten Fall (Zweckgebundenheit): personenbezogene Daten dürfen danach stets nur für festgelegte, eindeutigeund legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden

• Unmissverständlich: die Einwilligung muss ausdrücklich durch eine bestätigende Handlung erfolgen.

• Nachweispflicht: Der Verantwortliche muss die erteilte Einwilligung nachweisen können

• Widerrufbarkeit: die Einwilligung muss frei widerruflich sein und der Betroffene muss hierüber auch informiert werden

2. Verarbeitung zur Erfüllung eines Vertrags

Die Legitimationsgrundlage für die Verarbeitung ist ein Vertrag mit der betroffenen Person.

Ferner ist die Datenverarbeitung nur im Rahmen der Erforderlichen zulässig. Eine Datenverarbeitung ist erforderlich, wenn sie zur Erfüllung von Pflichten oder zur Wahrnehmung von Rechten aus einem mit der betroffenen Person geschlossenen Vertrag vorgenommen und hierfür benötigt wird. Es muss ein unmittelbarer Zusammenhang zu dem konkreten Zweck des Vertragsverhältnisses vorliegen

Beispiel: Marketing und Kundenbindung

Die Verarbeitung von Kundendaten zu Zwecken des Marketings und der Kundenbindung kann grundsätzlich nicht auf einen Vertrag gestützt werden. Ein einschlägiger Erlaubnistatbestand kann stattdessen die Einwilligung der betroffenen Person oder die Wahrnehmung berechtigter Interessen sein. Der Erlaubnistatbestand der Erfüllung eines Vertrags ist nur in Ausnahmefällen einschlägig. Ein solcher kann in der Verarbeitung von Kontaktdaten liegen, um Informationsmaterialien zu versenden, die von der betreffenden Person selbst im Vorfeld eines möglichen Vertragsschlusses angefordert worden sind.

3. Verarbeitung zur Erfüllung rechtlicher Verpflichtungen

Die Verarbeitung personenbezogener Daten, kann erlaubt sein, wenn die Datenverarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der für die Verarbeitung Verantwortliche unterliegt. Eine rechtliche Verpflichtung, die eine Erlaubnis zur Datenverarbeitung bietet, muss sich aus dem EU-Recht oder dem Recht des entsprechenden Mitgliedstaates ergeben.

Dazu gehören insbesondere folgende Verpflichtungen:

• Pflichten zur Einholung von Auskünften und zur Erhebung von Kundendaten
• Aufzeichnungs- und Dokumentationspflichten
• Aufbewahrungs- und Speicherpflichten
• Auskunfts- und Herausgabepflichten

4. Verarbeitung zur Wahrung lebenswichtiger Interessen

Eine Erlaubnis zur Wahrung lebenswichtiger Interessen ist nur in Notsituationen einschlägig und räumt diesen Vorrang vor dem Schutz personenbezogener Daten ein. Diese Erlaubnis kommt nur in solchen Fällen zur Anwendung, in denen die Datenverarbeitung nicht auf eine andere Rechtsgrundlage gestützt werden kann.

Beispiele: Verarbeitungen zu humanitären Zwecken einschließlich der Überwachung von Epidemien und deren Ausbreitung; humanitäre Notfälle, insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen

5. Verarbeitung zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt

Dieser Erlaubnistatbestand ist auf behördliche oder staatlich veranlasst Datenverarbeitungsvorgänge begrenzt. Eine Berufung auf diesen Erlaubnistatbestand durch Privatpersonen ist nur möglich, wenn ihnen die Befugnis des Zugriffs auf personenbezogene Daten im öffentlichen Interesse oder im Rahmen der Ausübung öffentlicher Gewalt übertragen worden ist.

6. Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten

Ein weiterer Erlaubnistatbestand liegt in dem Überwiegen von berechtigten Interessen des Verantwortlichen oder eines Dritten. Das Vorliegen der hierfür notwendigen Voraussetzungen erfolgt mittels einer Drei-Schritt-Prüfung

1. Stufe: Liegt zum Zeitpunkt der Verarbeitung ein berechtigtes Interesse des Verantwortlichen oder Dritten, dem die Daten übermittelt werden vor?
2. Stufe: Ist die Datenverarbeitung zur Verwirklichung dieses berechtigten Interesses erforderlich?
3. Stufe: Überwiegen die berechtigten Interessen des Verantwortlichen oder Dritten gegenüber den sich ggf. gegen die Verarbeitung richtenden Interessen der betroffenen Person?