Lerneinheiten zur Zulässigkeit der Verarbeitung personenbezogener Daten

1. Rechtsgrundlagen der Datenverarbeitung nach der DSGVO

Zur Wiederholung: Der dem europäischen Datenschutzrecht immanente Grundsatz des Verbots mit Erlaubnisvorbehalt (s.o.) regelt, dass jede Verarbeitung personenbezogener Daten im Anwendungsbereich der DSGVO grundsätzlich verboten ist, sofern nicht eine gesetzliche Legitimation des Datenumgangs vorliegt.

Der zentrale Katalog mit Erlaubnistatbeständen findet sich in Art. 6 Abs. 1 DSGVO. Wer personenbezogene Daten einer natürlichen Person verarbeiten möchte, muss vor allem in diesem Katalog nach einer passenden Rechtsgrundlage suchen.

Übersicht 11: Rechtsgrundlagen nach der DSGVO

2. Einwilligung des Betroffenen

Die für das Datenschutzrecht zentrale Möglichkeit der Rechtfertigung einer Datenverarbeitung stellt die Einwilligung des Betroffenen dar. Nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO ist die Verarbeitung daher unter folgender Voraussetzung zulässig:

„Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;“

Ist der Betroffene mit der Verarbeitung seiner persönlichen Daten zu bestimmten Zwecken einverstanden, besteht keine Gefahr einer Verletzung seines Rechts auf informationelle Selbstbestimmung – vielmehr stellt die Einwilligung gerade den Kern der Selbstbestimmung über die „eigenen“ Daten dar. Die Einwilligung stellt allerdings keinen Verzicht auf dieses Grundrecht selbst dar, sondern lediglich einen Verzicht auf seine Ausübung.

2.1. Einwilligung des Betroffenen: Voraussetzungen

Der Verordnungsgeber stellt allerdings einige Anforderungen an die Wirksamkeit einer datenschutzrechtlichen Einwilligung. Gemäß Art. 4 Nr. 11 DSGVO handelt es sich bei der Einwilligung in diesem Sinne um „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

Die dadurch aufgestellten Voraussetzungen an eine wirksame Einwilligung erhöhen dadurch gleichermaßen die Anforderungen für den Verantwortlichen, der den Betroffenen umfassend über die (geplante) Verarbeitung informieren muss. Nur dann hat der Betroffene überhaupt die Möglichkeit, in informierter Weise über die Erteilung einer Einwilligung zu entscheiden.

Übersicht 12: Voraussetzungen einer wirksamen Einwilligung

2.2. Freiwilligkeit

Besondere Herausforderungen stellen sich im Hinblick auf das Merkmal der Freiwilligkeit der Einwilligung, wenn diese im Rahmen sozialer Abhängigkeitsverhältnisse erteilt werden soll. Verlangt ein Arbeitgeber von seinen Arbeitnehmern die Erteilung ihrer Einwilligung in die Verarbeitung personenbezogener Daten zu Zwecken des Beschäftigungsverhältnisses (z.B. zur Führung einer Personalakte), könnte fraglich sein, ob der Betroffene (= der Arbeitnehmer) tatsächlich eine freie Wahl hat, ob er einwilligt oder nicht. Denn eine Verweigerung der Einwilligungserteilung könnte – zumindest nach der Vorstellung des Arbeitnehmers – potentiell negative Auswirkungen auf das Arbeitsverhältnis zeitigen, sodass dieser sich zur Erteilung gezwungen sehen könnte. Unter Geltung der alten Rechtslage wurde daher vereinzelt bezweifelt, ob eine Einwilligung in solchen Fällen überhaupt möglich ist.

Letztlich stellt sich diese Frage nach neuer Rechtslage nicht mehr, da der Arbeitgeber die Datenverarbeitung über andere Erlaubnistatbestände legitimieren kann und daher nicht auf die Einwilligung des Arbeitnehmers angewiesen ist. Gleichwohl verdeutlicht dieses Fallbeispiel, dass eine datenschutzrechtliche Einwilligung zu ihrer Wirksamkeit gewisse inhaltliche (materielle) Voraussetzungen erfüllen muss.

2.3. Formale Voraussetzungen

Besondere Herausforderungen stellen sich im Hinblick auf das Merkmal der Freiwilligkeit der Einwilligung, wenn diese im Rahmen sozialer Abhängigkeitsverhältnisse erteilt werden soll. Verlangt ein Arbeitgeber von seinen Arbeitnehmern die Erteilung ihrer Einwilligung in die Verarbeitung personenbezogener Daten zu Zwecken des Beschäftigungsverhältnisses (z.B. zur Führung einer Personalakte), könnte fraglich sein, ob der Betroffene (= der Arbeitnehmer) tatsächlich eine freie Wahl hat, ob er einwilligt oder nicht. Denn eine Verweigerung der Einwilligungserteilung könnte – zumindest nach der Vorstellung des Arbeitnehmers – potentiell negative Auswirkungen auf das Arbeitsverhältnis zeitigen, sodass dieser sich zur Erteilung gezwungen sehen könnte. Unter Geltung der alten Rechtslage wurde daher vereinzelt bezweifelt, ob eine Einwilligung in solchen Fällen überhaupt möglich ist.

Letztlich stellt sich diese Frage nach neuer Rechtslage nicht mehr, da der Arbeitgeber die Datenverarbeitung über andere Erlaubnistatbestände legitimieren kann und daher nicht auf die Einwilligung des Arbeitnehmers angewiesen ist. Gleichwohl verdeutlicht dieses Fallbeispiel, dass eine datenschutzrechtliche Einwilligung zu ihrer Wirksamkeit gewisse inhaltliche (materielle) Voraussetzungen erfüllen muss.

2.4. Widerruf

Art. 7 Abs. 3 S. 1 DSGVO erlaubt es dem Betroffenen, seine Einwilligung jederzeit zu widerrufen. Der Widerruf gilt mit Wirkung für die Zukunft (ex nunc), die Zulässigkeit bereits erfolgter Verarbeitungsvorgänge wird durch einen Widerruf daher nicht berührt (vgl. Art. 7 Abs. 3 S. 2 DSGVO).

3. Weitere Lerneinheiten

Weitere Lerneinheiten zu diesem Kapitel finden Sie im Hauptkurs.