Wann dürfen personenbezogene Daten verarbeitet werden?

Die Verarbeitung von personenbezogenen Daten ist nach der DSGVO nur dann rechtmäßig, wenn eine Einwilligung der betroffenen Person oder eine andere, insbesondere in Art. 6 DSGVO normierte Ausnahme vorliegt (Verbot mit Erlaubnisvorbehalt). In Ihrer Datenschutzerklärung müssen Sie außerdem die Rechtsgrundlage angeben, auf die Sie sich bei einer Datenverarbeitung stützen. Die praktisch relevantesten Erlaubnistatbestände nach Art. 6 DSGVO sind:

1. Einwilligung des Betroffenen, welche den Anforderungen der Art. 7, 8 DSGVO entspricht (Art. 6 Abs. 1 Satz 1 lit. a)
2. für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen (Art. 6 Abs. 1 Satz 1 lit. b)
3. zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, wenn keine schutzwürdigen Interessen des Betroffenen überwiegen (Art. 6 Abs. 1 Satz 1 lit. f.)

1. „Einwilligung“

Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO 

„jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. 

Bei der Einholung einer Einwilligung der betroffenen Person sind folgende Voraussetzungen zu beachten:

• Die Einwilligung muss sich auf einen bestimmten Fall (Art 4 Nr. 11 DSGVO, keine „Pauschaleinwilligung“) und auf einen bestimmten Verarbeitungszweck beziehen (Art. 6 Abs. 1 Satz 1 lit. a)
• Die Einwilligung muss freiwillig erteilt werden. Der Einwilligende muss eine echte und freie Wahl haben und in der Lage sein, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden (Art. 4 Nr. 11, 7 Abs. 4 DSGVO). Der Betroffene muss also ausreichend über die Reichweite der Einwilligung informiert gewesen sein, insbesondere auch über die Zwecke der Datenverarbeitung. Außerdem müssen Sie hier das neue sog. „Kopplungsverbot“ beachten, Art. 7 Abs. 4 DSGVO: Hier ist zwar juristisch sehr umstritten, wie weit es wirklich greift. Doch um sicher zu gehen, empfehlen wir Ihnen, zukünftig eine Vertragserfüllung, z.B. eine Gratis-Leistung, nicht mehr von einer Einwilligung in die werbliche Datenverarbeitung abhängig zu machen.
• Der Verantwortliche muss das Vorliegen einer Einwilligungserklärung nachweisen können (Art. 7 Abs. 1 DSGVO)
• Der Einwilligungstext muss klar formuliert sein
• Der Text muss gut zugänglich sein (Art. 7 Abs. 2 DSGVO)
• Sie müssen deutlich auf die Widerrufsmöglichkeit hingewiesen haben (Art. 7 Abs. 3 Satz 3 DSGVO)
• Achten Sie darauf, dass in Art. 8 DSGVO die Bedingungen für die Einwilligung eines Kindes gesondert geregelt sind. Die Einwilligung eines Kindes bis zum vollendeten 16. Lebensjahr steht unter dem Vorbehalt der Zustimmung seiner gesetzlichen Vertreter.

Gelten die bisher eingeholten Einwilligungen weiterhin? 

Zwar müssen Einwilligungen, die Sie sich in der Vergangenheit eingeholt haben, den Grundsätzen der neuen DSGVO entsprechen. Tun sie dies nicht, müssen Sie sie erneut einholen. Doch bestehende Einwilligungen müssen Sie i.d.R. nicht neu einholen, wenn Sie sich an das bislang geltende Recht gehalten haben. Die einzige Problematik könnte dann auftreten, wenn die bereits eingeholte Einwilligung in die Datenverarbeitung an andere Erklärungen gekoppelt war – hier besteht, wie bereits oben erläutert, Rechtsunsicherheit.

2. „Für die Erfüllung eines Vertrages“

Im Hinblick auf die personenbezogenen Daten von Kunden oder anderen Vertragspartnern ist die Verarbeitung nicht selten bereits zur Erfüllung eines Vertrags erforderlich und damit gesetzlich erlaubt. Es kommt im Einzelfall auf den konkret abgeschlossenen Vertrag und die hieraus resultierenden Pflichten an, wann Sie welche Daten auf Grundlage dieser Erlaubnisnorm verarbeiten dürfen. Achten Sie jedoch auf den Grundsatz der Datenminimierung und den Grundsatz der Zweckbindung: Verarbeiten Sie also nur Daten, die wirklich für die Vertragserfüllung notwendig sind.

3. „Zur Durchführung vorvertraglicher Maßnahmen auf Anfrage des Betroffenen“

Hierunter fallen alle Informationen, die vor dem Abschluss eines Vertrages ausgetauscht werden, z.B., wenn Interessenten mehr Informationen über Ihre Leistungen anfragen, wenn Sie einen Kostenvoranschlag erstellen oder wenn Sie die Kreditwürdigkeit potenzieller Kunden überprüfen möchten. Sie haben jedoch nur das Recht, die Daten so lange zu speichern, wie noch nicht klar ist, dass der Vertrag auch zustande kommt. Hat Ihr Interessent Ihnen abgesagt, müssen Sie die gespeicherten Daten auch wieder löschen.

Tipp: Hochautomatisierte Abmahnkanzleien spüren bestehende Datenschutzlücken in Sekunden auf und strafen Sie mit saftigen Bußgeldern ab! Mit dem Abmahnschutz unserer Datenschutzpakete bieten wir Ihnen nicht nur Sicherheit, sondern auch die Gewissheit, dass Sie im Falle einer Abmahnung nicht allein sind. Hier klicken & mehr erfahren.

4. „Zur Wahrung berechtigter Interessen erforderlich“

Diese Erlaubnisnorm wird in Zukunft besonders wichtig werden. Sie ermöglicht die Datenverarbeitung ohne Einwilligung der Betroffenen, wenn eine ausführliche Interessenabwägung im Einzelfall zu Ihren Gunsten ausfällt. Unter einem „berechtigten Interesse“ versteht man Ihr rechtliches, tatsächliches, wirtschaftliches oder ideelles Interesse, das von der Rechtsordnung anerkannt wird. Wenn klar ist,  welchen Zweck Sie mit der Verarbeitung verfolgen, müssen Sie prüfen, ob die Interessen bzw. Grundrechte und EU-Grundfreiheiten des Betroffenen auf Schutz seiner personenbezogenen Daten weniger Gewicht haben als Ihr Interesse. Diese Interessenabwägung müssen Sie für jede einzelne Datenverarbeitung gesondert vornehmen, bei der Sie sich auf diese Erlaubnis stützen möchten. Sie sollten diese Interessenabwägung auch intern dokumentieren.

Näheres zum berechtigten Interesse findet sich im „Erwägungsgrund 47“ zur DSGVO. Danach ist vor allem zu prüfen,

„ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“

Wenn also jedem klar ist, dass die Daten so, wie Sie sie verarbeiten, auch üblicherweise genutzt werden, spricht das für Ihr überwiegendes berechtigtes Interesse.

Als Beispiel für ein berechtigtes Interesse nennt der Erwägungsgrund etwa die Situation, dass die betroffene Person Ihr Kunde ist oder in Ihren Diensten steht. Auch kann die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung möglich sein. Es ist aber juristisch nicht eindeutig geklärt, welche Form der Direktwerbung danach erlaubt sein kann und welche nicht. Daher sollte man sich nicht darauf stützen, wenn man etwa per Kaltakquise potenzielle Neukunden anspricht. Allerdings spricht vieles dafür, dass die E-Mail-Werbung ohne eine Einwilligung zumindest bei Bestandskunden in Grenzen zulässig ist. So ist dies auch im weiterhin geltenden Wettbewerbsrecht geregelt.

Sofern Sie sich auf diese Erlaubnisnorm berufen, müssen Sie die Betroffenen verständlich und umfassend über die geplante Datenverarbeitung informieren und sie auf ihr Widerspruchsrecht hinweisen.

Sonderfall: Wann dürfen Sie Daten Ihrer Mitarbeiter speichern?

Die Daten Ihrer Mitarbeiter dürfen Sie speichern, sofern dies für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist, § 26 Abs. 1 S. 1 BDSG in der Fassung ab dem 25. Mai 2018. Wann dies der Fall ist, muss aber letztlich immer anhand der Umstände des Einzelfalls bestimmt werden, wobei es auf eine Abwägung zwischen den Arbeitgeber- und Arbeitnehmerinteressen ankommt. Auch die Speicherung auf Grundlage von Kollektivvereinbarungen ist zulässig, sofern hier angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person (Art. 88 As. 2 DSGVO) getroffen wurden. Das Problem: Diese gesetzlichen Erlaubnistatbestände sind recht schwammig formuliert und bringen durchaus Rechtsunsicherheit mit sich.

Zusätzlich eine Einwilligung des Arbeitnehmers einzuholen, wird in den meisten Fällen vor Gericht keinen Bestand haben. Solange es nämlich um das konkrete Arbeitsverhältnis geht, besteht eine Abhängigkeit zwischen Arbeitgeber und Arbeitnehmer, sodass eine erteilte Einwilligung im Zweifel nicht als freiwillig gilt. Lediglich bei gewissen Vereinbarungen betreffend Zusatzleistungen – z.B. Nutzung eines Diensthandys oder Aufnahme in die Geburtstagsliste – dürften Einwilligungen wirksam sein. Daher gilt: Verarbeiten Sie nur so wenige Daten Ihrer Mitarbeiter wie absolut notwendig.