Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 345

140

Ist ein berechtigtes Interesse zu bejahen, dann ist durch Abwägung zu prüfen, ob entgegenstehende Interessen bestehen können. Dabei geht es nicht um Befindlichkeiten einer Einzelperson, sondern um objektivierbare Interessen betroffener Personen. Mit Ausnahme der italienischen und deutschen Übersetzung von ErwG 47 („vernünftige Erwartungen der betroffenen Person“), werden in den anderen Sprachfassungen der DSGVO die Interessen der von einer Verarbeitung typischerweise betroffenen Personen (im Plural: „reasonable expectations of data subjects“) genannt. Gefragt wird summarisch also danach, welche regelmäßigen Erwartungen in einer betroffenen Personengruppe zu berücksichtigen sein werden.245 Diese Betrachtung schließt nicht aus, dass im Einzelfall auch einer Interessenwahrung einer Einzelperson eine besondere Bedeutung im Abwägungsprozess zukommt. Ansonsten steht einer betroffenen Person gerade bei einer pauschalen Abwägung die Möglichkeit des zu einer Einzelfallbetrachtung führenden Widerspruchs nach Art. 21 Abs. 1 Satz 1 DSGVO offen (Rn. 152).

141

Die Prüfung hat streng zu erfolgen, um diese Vorschrift nicht zum Einfallstor für eine in das Belieben des Verantwortlichen gestellte Erlaubnisnorm werden zu lassen. Die Tatsache, dass die Prüfung, ob Interessen der betroffenen Person der Verarbeitung entgegenstehen könnte, vom Verantwortlichen vorgenommen wird, darf nicht zu der Annahme verleiten, dass damit die Abwägung zu einem lediglich formalen Akt verkommt, der den Verantwortlichen komfortabel zu einem von ihm angestrebten Ergebnis verhilft und den Datenschutz dadurch zur Disposition des Datenverarbeiters stellt. Vielmehr ist der Verantwortliche gehalten, unter Berücksichtigung des Grundrechtsschutzes aus Art. 7 und 8 GRCh auch einfachgesetzlich die Persönlichkeitsrechte der betroffenen Personen zu wahren. Die Grundsätze aus Art. 5 DSGVO verpflichten den Verantwortlichen, die Verarbeitung in rechtmäßiger Weise und nach Treu und Glauben zu einem legitimen246 Zweck vorzunehmen (Art. 5 Abs. 1 lit. a DSGVO) und darüber Rechenschaft abzulegen (Art. 5 Abs. 2 DSGVO; Accountability).

142

Die Abwägung erfolgt nach diesem Grundsatz und entsprechend dem risikobasierten Ansatz der DSGVO in der Eigenverantwortung des Verantwortlichen; sie muss indes für den Datenschutzbeauftragten, die Aufsichtsbehörde und die betroffene Person nachvollziehbar, transparent und überzeugend sein. Orientierungshilfen und Leitlinien mögen den Verantwortlichen bei der Abwägung unterstützen. Vorgaben dazu, wie das Ergebnis einer Abwägung nach Buchstabe f im Einzelfall auszusehen hat, dürfen weder die Verfasser von Orientierungshilfen und Leitlinien noch der mitgliedstaatliche Gesetzgeber machen. Auch der Europäische Datenschutzausschuss (Art. 70 Abs. 1 lit. e DSGVO) wird nur Leitlinien und Empfehlungen formulieren können, die dem Verantwortlichen als Orientierungshilfe bei der Abwägung zu dienen vermögen. Die in dem Berichtsentwurf des Europäischen Parlaments vom 16.1.2013 in Art. 6 Abs. 1a, 1b und 1c DSGVO-E noch vorhandenen Regelbeispiele sind dementsprechend in der Schlussfassung der DSGVO gestrichen worden; auch die Überlegung, der Kommission die Befugnis zu delegierten Rechtsakten zu geben, mit denen die Abwägungskriterien näher ausgestaltet werden sollten, setzte sich nicht durch. Eine Überprüfung der Abwägung ist den Aufsichtsbehörden und den Gerichten vorbehalten. Die Notwendigkeit, einen durchaus offenen Tatbestand zu formulieren, trifft hier auf die in der DSGVO eingebauten Instrumente der Eigen-, Selbst- und Fremdkontrolle.

143

ErwG 47 mahnt, dass auf jeden Fall „das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen (ist), wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.

144

Allerdings wird vertreten, dass die Darlegungslast hinsichtlich des Überwiegens des Interesses der betroffenen Personen gegenüber dem Interesse des Verantwortlichen bei der betroffenen Person liege247 und dann, wenn hierzu nichts dargelegt werde, die im Interesse des Verantwortlichen liegende Datenverarbeitung schon zulässig sei. Es sei an der betroffenen Person, darzulegen, dass ihre Interessen höher als die des Verantwortlichen wiegen.248 Dieser Ansicht kann nicht gefolgt werden. Vielmehr muss bereits der Verantwortliche sorgfältig prüfen, ob Interessen der betroffenen Person der Verarbeitung entgegenstehen könnten und gegenüber seinen Interessen überwiegen.249 Die betroffene Person kann dann, wenn eine Abwägung gegen ihre Interessen erfolgt, ihr Widerspruchsrecht aus Art. 21 Abs. 1 Satz 1 DSGVO ausüben (siehe Rn. 152).

145

Denkbar ist, dass im Rahmen eines Vertragsverhältnisses, bei dem die hierfür erforderliche Verarbeitung nach Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO zulässig ist, eine weitere Datenverarbeitung durch die die Hauptleistung erbringende Vertragspartei auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützt werden kann, wenn etwa ein Kundenprofil erstellt werden soll. In der gehobenen Hotellerie werden Wünsche, Bedarfe und Vorlieben von Hotelgästen auch über den Aufenthaltszeitraum hinaus gespeichert, um das Wohlbefinden der Gäste auch bei einem wiederholten Aufenthalt sicherstellen zu können und die Kunden auf diese Weise zu binden. Mit dieser Ausrichtung an der Serviceorientierung ließe sich die Erlaubnis zur Datenspeicherung mit einer am Kundeninteresse – und somit auch im Interesse des Hotels als dem Verantwortlichen – orientierten Speicherung der Daten in einem Customer Relationship Management-System (CRM) auch aus Buchstabe f ableiten.250

146

Das Abwägungsgebot besagt: Es darf kein Grund zu der Annahme bestehen, dass Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen. Wird das Interesse einer betroffenen Person daran, dass keine Datenverarbeitung erfolgt, als gleichwertig eingeschätzt, steht dieses einer Verarbeitung im Interesse des Verantwortlichen nicht entgegen.251 Es sollen im Prinzip mittels Abwägung nur unverhältnismäßige Folgen für den Betroffenen vermieden werden.252

147

Nach dem Normtext selbst wird dem „berechtigten Interesse“ des Verantwortlichen ein „Interesse“ der betroffenen Personen gegenübergestellt. Es muss sich danach weder um ein „berechtigtes“ Interesse253 noch nach dem § 28 Abs. 1 Satz 1 Nr. 2 BDSG a.F. um ein „schutzwürdiges“ Interesse handelt. Daraus wird geschlossen, dass auch „illegitime“ Interessen grundsätzlich geschützt sein können, etwa das Interesse eines sog. Abmahnanwalts, nicht mit seinem Namen als solchem öffentlich im World Wide Web bezeichnet zu werden.254

148

Das möglicherweise der Verarbeitung entgegenstehende Interesse muss sich nicht allein auf die Wahrung der Privatsphäre oder auf den Schutz der informationellen Selbstbestimmung beziehen. Auch hier können ideelle oder wirtschaftliche Interessen anerkannt werden.255 Der Verantwortliche hat danach eine am Verhältnismäßigkeitsgrundsatz orientierte Abwägung zwischen seinen berechtigten Interessen auf der einen und den Interessen des Betroffenen auf der anderen Seite vorzunehmen. Danach muss also a) beim Verantwortlichen ein berechtigtes Interesse bestehen, zu dessen Wahrung die Datenverarbeitung b) erforderlich sein muss, c) Interessen der betroffenen Person zumindest berührt sein, ohne d) gegenüber den berechtigten Interessen des Verantwortlichen zu überwiegen. Nach diesem Zulässigkeitstatbestand kann die Erhebung, Verarbeitung und Nutzung also selbst dann zulässig sein, wenn die Interessen der betroffenen Person zwar berührt sind, eine Interessenabwägung aber ergibt, dass die Interessen des Verantwortlichen höher wiegen oder zu den Interessen der betroffenen Person gleichwertig sind. Danach ist die Datenverarbeitung regelmäßig zulässig, wenn den für eine Datenverarbeitung sprechenden berechtigten Interessen ein solches Gewicht zukommt, dass die Belange der betroffenen Person demgegenüber zurücktreten müssen.

149

Grundsätzlich gelten die zu § 28 Abs. 1 Satz 1 Nr. 2 BDSG a.F. herangezogenen Abwägungskriterien auch weiter. Bei der Abwägung werden zahlreiche Faktoren sowohl auf Seiten des Verantwortlichen wie auf derjenigen der betroffenen Person zu berücksichtigen sein. Zu ihnen zählen die Art der personenbezogenen Daten, der mit der Verarbeitung verfolgte Zweck, die Legitimität und Intensität des Eingriffs der Verarbeitung in Grundfreiheiten und -rechte, die Gewährleistung der Datensicherheit und die – unter Umständen von der betroffenen Person selbst hergestellte – öffentliche Zugänglichkeit256 der Daten. Der die DSGVO prägende „risikobasierte Ansatz“ führt dazu, dass vom Verantwortlichen die Abwägung sorgfältig vorzunehmen ist und eine von ihm als zulässig angesehene Datenverarbeitung umso sorgfältiger begründet und dokumentiert werden muss, je eher Zweifel an der zu seinen Gunsten erfolgten Abwägung aufkommen können.257 Zu prüfen ist mit dem ErwG 47, ob eine betroffene Person zum Zeitpunkt der Datenverarbeitung und angesichts der Umstände, unter denen sie erfolgt, „vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“. Zu bewerten ist also die vernünftige Erwartungshaltung der betroffenen Person, die neben anderen Gesichtspunkten ein Indiz für die Zulässigkeit der Verarbeitung sein kann. Wird im Rahmen der dem Verantwortlichen obliegenden Informationspflichten der Zweck der Datenverarbeitung genau bezeichnet und zugesagt, dass die Daten beispielsweise nicht für Werbezwecke verarbeitet werden, dann bestehen beim Betroffenen auch entsprechende Erwartungen, die nicht durch eine Abwägung zugunsten des Verantwortlichen enttäuscht werden dürfen.258 Auch unter diesem Gesichtspunkt kommt der gem. Art. 13 und 14 DSGVO vom Verantwortlichen herzustellenden Transparenz eine besondere Bedeutung zu.

150

Ein besonderes Augenmerk hat der abwägende Verantwortliche nach dem grammatikalisch misslungenen 2. Hs. von Buchstabe f auf die Interessen von Kindern zu richten (siehe auch Rn. 120). Danach sind mögliche entgegenstehende Interessen von betroffenen Personen besonders dann sorgfältig zu prüfen, wenn es sich bei ihnen um Kinder handelt, die die DSGVO unter einen besonderen Schutz stellt. Die Tatsache, dass die betroffene Person ein Kind ist, schließt nicht von vornherein aus, dass die Abwägung stets oder regelmäßig gegen die Rechtmäßigkeit einer auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützten Datenverarbeitung spricht.259 Der Sorgfaltsmaßstab wird aber erhöht, um die Belange von Kindern besonders aufmerksam zu berücksichtigen.260