verfasst von Sebastian Schulz
Das Verbotsprinzip ist das Fundamentalprinzip des deutschen wie auch des europäischen Datenschutzrechts. Beim Umgang mit personenbezogenen Daten ist zunächst erst einmal alles verboten, es sei denn, der Datenverarbeiter kann sich auf eine Einwilligung der betroffenen Person oder auf einen gesetzlichen Erlaubnistatbestand stützen. Hinsichtlich der zweitgenannten Gruppe führt die ab Mai 2018 gültige EU-Datenschutzgrundverordnung (DS-GVO) das bislang geltende Recht im Wesentlichen fort. Neben der Zulässigkeit der Datenverarbeitung zu Vertragszwecken wird für privatrechtliche Datenverarbeiter auch weiterhin eine Verarbeitung auf Grundlage der sog. allgemeinen Interessenabwägungsklausel der Normalfall sein. Artikel 6 Absatz 1 Buchstabe f DS-GVO als die hier einschlägige Norm führt hierzu aus, dass eine Datenverarbeitung rechtmäßig ist, wenn folgende Bedingung erfüllt ist:
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Am Rande einer Diskussionsrunde zur DS-GVO in der vergangenen Woche erbat ein Teilnehmer von einem Vertreter einer Datenschutzaufsichtsbehörde einen Hinweis, in welchen Fällen man denn nach Wertung der Aufsichtsbehörden vom Vorliegen berechtigter Interessen ausgehen könne. Diese Frage scheint mir in dreifacher Hinsicht falsch gestellt.Erstenshandelt es sich bei der Frage, ob ein berechtigtes Interesse vorliegt, nicht um eine Wertungsfrage. Zweitens wird über eine so gestellte Frage suggeriert, die Entscheidung, einem Grundrechtsträger, hier dem Datenverarbeiter, die Berechtigung seiner Interessen zuzugestehen, obliege hierzulande einer Behörde. Mein Grundrechtsverständnis ist da ein Anderes (und ich kenne Art. 83 GG). Und drittens ist die Frage nach der Berechtigung der Interessen des Datenverarbeiters typischerweise gar nicht die entscheidende.
Wie aber hat eine Prüfung der allgemeinen Interessenabwägungsklausel zu erfolgen?
Im Rahmen der Prüfung, ob eine Datenverarbeitung auf Grundlage der allgemeinen Abwägungsklausel für zulässig erachtet werden kann, ist zunächst das Interesse des Verantwortlichen auf Grundlage der Zweckbestimmung zu bestimmen. Den Zweck der Verarbeitung kann und muss jeder Datenverarbeiter autonom festlegen (möglichst schriftlich), und zwar bevor überhaupt ein einziges Datum verarbeitet wurde. Daher auch der Begriff Zweckveranlasser. Aus dem Zweck folgt dann das Interesse. In Betracht kommen bspw. rechtliche, wirtschaftliche oder ideelle Interessen. Ist das Interesse ermittelt, ist sodann normativ zu bestimmen, ob dieses Interesse gegen die Rechtsordnung der EU, des jeweiligen Mitgliedstaates oder gegen datenschutzrechtliche Grundsätze (Art. 5) einschließlich des Gebots von Treu und Glauben verstößt. Ist dies nicht der Fall und steht insbesondere kein weniger eingriffsintensives Mittel zur Verwirklichung des Interesses des Verantwortlichen zur Verfügung (z.B. eine Verarbeitung anonymisierter Daten) wird das Interesse des Verantwortlichen regelmäßig auch berechtigt im Sinne von Artikel 6 Absatz 1 Buchstabe f DS-GVO sein. Diese verobjektivierte Betrachtung hat gerade angesichts der zahlreichen unterschiedlichen Rechtskulturen Europas offensichtliche Vorzüge gegenüber einer wertenden, stark subjektiv geprägten und damit regelmäßig intendierten Bestimmung der „Berechtigung“ und trägt zugleich dem grundrechtlichen Gebot einer möglichst niedrigschwelligen Bestimmung der „berechtigten“ Interessen Rechnung. Und: Ein grundsätzlich weites Verständnis eines berechtigten Interesses unterminiert auch nicht die Rechte der betroffenen Person, da die eigentliche Rechtmäßigkeitsprüfung erst auf Ebene der Abwägung stattfindet.
Den berechtigten Interessen des Verantwortlichen dürfen nach dem Wortlaut von Artikel 6 Absatz 1 Buchstabe f DS-GVO keine überwiegenden Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person entgegenstehen. Ein bloßes Tangieren der Rechte der betroffenen Person macht die Datenverarbeitung nicht unzulässig. Bei gleichwertigen Interessen darf eine Verarbeitung stattfinden. Der Wortlaut der Norm verlangt, anders als im Falle des Verantwortlichen, nicht nach berechtigten Interessen, so dass zunächst grundsätzlich auch „illegitime“ Interessen, d.h. in der Sache verwerfliche oder zu missbilligende Interessen durch die betroffene Person in die Abwägung eingebracht werden können. Macht ein Unternehmer durch wiederkehrende Massenabmahnungen auf sich aufmerksam, kann dieser gleichwohl ein Interesse am Unterbleiben der Veröffentlichung seines Namens im Internet haben. Im Rahmen der Abwägung werden diese Interessen dem Informationsinteresse von Branchenkreisen allerdings nur dann überwiegen, wenn mit der Veröffentlichung eine Prangerwirkung einhergeht.
Die für beide Seiten bestimmten Interessen sind sodann zu gewichten. Die zum bislang geltenden Recht entwickelten Faktoren der Gewichtung behalten dabei auch in Ansehung der DS-GVO ihre Gültigkeit, wobei künftig dem Ausfluss europäischer Grundfreiheiten und -rechte besondere Bedeutung zukommt. Einzubeziehen sind u.a. alle relevanten Grundrechtsbezüge, die Eingriffsintensität, die Art der verarbeiteten Daten, die Art der Betroffenen, mögliche Aufgaben oder Pflichten, die Zwecke der Datenverarbeitung, Maßnahmen der Datensicherheit, usw. Hier braucht es Kreativität genauso wie ein besonnenes Judiz. Hat die betroffene Person Daten öffentlich gemacht, genießen diese Daten grundsätzlich einen geringeren Schutz. Orientiert an der Zweckbestimmung der (geplanten) Verarbeitung ist in die Abwägung jedoch der Umstand einzubeziehen ist, ob die betroffene Person diese Daten freiwillig veröffentlicht hat, sie hierzu infolge einer gesetzlichen Vorgabe verpflichtet war oder ob die Veröffentlichung durch eine öffentliche Stelle aufgrund gesetzlicher Anordnung erfolgte.
Je höher sich das in der Verarbeitung liegende Risiko für die Rechte und Grundfreiheiten der betroffenen Person darstellt, umso höher ist der Rechtfertigungszwang des Verantwortlichen. Ob ein Interesse berechtigt ist, ist am Ende somit zwar eine notwendige, für die Zulässigkeitsprüfung aber noch nicht hinreichende Frage.