Menü
Sind Sie darauf vorbereitet, die Verarbeitung von personenbezogenen Daten zu rechtfertigen?
Ja. Es gilt der Grundsatz der Rechtmäßigkeit – ohne Rechtgrundlage darf keine Verarbeitung von personenbezogenen Daten erfolgen und ohne einen Ausnahmetatbestand ist die Verarbeitung von besonderen Kategorien personenbezogener Daten sogar verboten. In Art. 6 Abs. 1 DSGVO sind die möglichen Rechtsgrundlagen (Erlaubnistatbestände) für eine Verarbeitung von personenbezogenen Daten aufgeführt. Art. 9 Abs. 2 DSGVO enthält alle Vorgaben für die Verarbeitung von besonderen Kategorien.
Die DSGVO bestimmt sechs Rechtsgrundlagen, wonach die Verarbeitung von personenbezogenen Daten erfolgen darf. In der Praxis sind für kleine Unternehmen folgende vier Erlaubnistatbestände regelmäßig relevant.
Im Unternehmensalltag spielen folgende Erlaubnistatbestände die größte Rolle:
Die Verarbeitung kann auf Grundlage einer Einwilligung erfolgen. Die Einwilligung muss durch die betroffene Person für einen oder mehrere bestimmte Zwecke erteilt worden sein.
Die Verarbeitung ist für die Erfüllung eines mit der betroffenen Person geschlossenen Vertrags oder für die Durchführung vorvertraglicher Maßnahmen erforderlich, d. h. bereits zur Anbahnung und Verhandlung eines Vertragsverhältnisses können die erforderlichen Daten verarbeitet werden.
Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung aus Gesetzen, der der Verantwortliche unterliegt. Beispiel: Datenspeicherung und -archivierung zur Erfüllung von handels- und steuerrechtlichen Aufbewahrungspflichten
Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, z. B. im Fall eines lebensbedrohlichen Unfalls.
Die Verarbeitung erfolgt zur Wahrnehmung öffentlicher Aufgaben bzw. in Ausübung öffentlicher Gewalt. Diese Rechtsgrundlage ist für die öffentlichen Stellen (Behörden) und für privatwirtschaftlich Tätige relevant, soweit ihnen öffentliche Aufgaben übertragen wurden.
Die Verarbeitung erfolgt zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten. Es ist eine Interessenabwägung erforderlich. Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Besonderes Gewicht haben dabei Daten von Kindern. Die Betroffenen haben zudem nach Art. 21 Abs. 1 DSGVO gegen die Datenverarbeitung ein Widerspruchsrecht.
Es ist gar nicht so einfach, die richtige Rechtsgrundlage zu finden. Am einfachsten ist es, wenn die Datenverarbeitung auf einen Vertrag oder auf ein Gesetz gestützt werden kann.
Sowohl im Geschäftsalltag als auch intern gegenüber den Beschäftigten erfolgt in vielen Fällen die Datenverarbeitung im Zusammenhang mit einem Vertragsverhältnis.
Kundengeschäft: Sie verkaufen Ihre Ware an Ihre Kunden und benötigen hierfür deren Namen und Kontaktdaten. Auch Zahlungsdaten werden i. d. R. verarbeitet, sofern es sich nicht um ein Bargeschäft handelt. Sie verarbeiten somit die für die Durchführung des Vertrags erforderlichen Daten gemäß Art. 6 Abs. 1 b DSGVO rechtmäßig. Auch ist bereits die Datenerfassung und -verarbeitung mit dem ersten Kontakt Ihrer Kunden, die Interesse an der Ware haben, hiervon gedeckt.
Arbeitsverhältnis: Gegenüber Ihren Beschäftigten nehmen Sie ebenfalls Daten zur Durchführung des Arbeitsverhältnisses auf und verarbeiten diese rechtmäßig auf Grundlage des Arbeitsvertrags.
Eine „Einwilligung“ ist zwar schnell eingeholt. Zu ihrer Wirksamkeit sind jedoch folgende Voraussetzungen zu beachten:
Das „berechtigte Interesse“ ist ebenfalls geeignet, um eine Datenverarbeitung zu rechtfertigen. Jedoch ist in diesem Rahmen eine Interessenabwägung vorzunehmen und zu dokumentieren. Ob ein berechtigtes Interesse die Verarbeitung rechtfertigen kann, müssen Sie als Verantwortlicher anhand einer Abwägung zwischen Ihren Interessen und den Interessen der von der Verarbeitung Betroffenen beurteilen. Eine Interessenabwägung gehört eher zum juristischen Handwerk, das kleine Unternehmen ohne Rechtsabteilung nicht unbedingt beherrschen. Gleichwohl muss eine Interessenabwägung sorgfältig erfolgen und dokumentiert werden, damit die vorgesehene Verarbeitung nicht auf tönernen Füßen, sondern einem belastbaren Fundament steht.
Es liegt ein berechtigtes Interesse auf Ihrer Seite als Verantwortlicher oder aufseiten eines Dritten vor.
Die Datenverarbeitung muss zwingend erforderlich zur Wahrung dieses Interesses sein.
Die Abwägung zwischen den eigenen Interessen und den Interessen der von der Datenverarbeitung Betroffenen fällt zu Ihren Gunsten aus. Die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person dürfen Ihre Interessen an der Datenverarbeitung nicht überwiegen.
Unter das berechtigte Interesse fallen vielfältige Interessen des Verantwortlichen oder Dritten. Hierzu zählt jedes wirtschaftliche oder ideelle oder rechtliche Interesse an der Datenverarbeitung.
Beispiele:
Auf der zweiten Stufe ist zu klären, ob die vorgesehene konkrete Datenverarbeitung tatsächlich erforderlich ist, um das berechtigte Interesse zu wahren. Es darf hierfür kein milderes und gleich effektives Mittel zur Verfügung stehen. Die Verarbeitung muss auf das notwendige Maß beschränkt sein.
Zunächst sind die Interessen, Grundrechte, Grundfreiheiten des Betroffenen zu ermitteln, die der Verarbeitung entgegenstehen könnten.
Zu berücksichtigen sind unter anderem die Rechte aus der EU-Grundrechtecharta (EU-GRCh) und dem Grundgesetz der BRD (GG):
Recht auf Achtung des Privat- und Familienlebens und der Kommunikation (Art. 7 EU-GRCh)
Auch andere Freiheiten und Interessen der betroffenen Personen sind zu berücksichtigen, beispielsweise:
Dann erfolgt die eigentliche Abwägung der beiderseitigen Interessen gegeneinander. Dabei ist ein besonderes Augenmerk auf die Ausgestaltung der Datenverarbeitung und deren Auswirkungen für die betroffene Person zu richten.
Zu berücksichtigen sind bei der Abwägung insbesondere:
Die Interessenabwägung sollten Sie schriftlich dokumentieren.
Gesetze oder andere rechtliche Grundlagen können sich ändern, erneuert werden, ganz wegfallen oder durch den Europäischen Gerichtshof für nicht anwendbar oder nichtig erklärt werden. Ebenso könnten Ihre Rechtsgrundlagen aus Unwissen schlichtweg falsch in Ihrem Verzeichnis der Verarbeitungstätigkeiten (VVT) und in Ihren Datenschutzhinweisen eingetragen worden sein. Eine Änderung kann z. B. auch vorliegen, wenn Sie eine Datenverarbeitung bislang auf ein berechtigtes Interesse gestützt haben, weil es keine andere gesetzliche Grundlage für diese Verarbeitung gab, und der Gesetzgeber nachträglich einen gesetzlichen Rahmen dafür geschaffen hat.
Eine regelmäßige Überprüfung (z. B. mindestens jährlich) der zugeordneten Rechtsgrundlagen im VVT ist daher zu empfehlen. Neben einer regelmäßigen Überprüfung sollten die Rechtsgrundlagen immer dann geprüft und angepasst werden, wenn sich Gesetze oder Ihre Geschäftsprozesse geändert haben oder neue gesetzliche Verordnungen umzusetzen sind.
Wenn die Aufsichtsbehörde anfragt, sollten Sie die entsprechende Rechtsgrundlage der jeweiligen Datenverarbeitung dokumentiert haben, um so die Rechtmäßigkeit der Verarbeitung nachweisen zu können. Hierfür bietet sich die Erfassung im Verzeichnis der Verarbeitungstätigkeiten (VVT) an.
Die Information über die jeweilige Rechtsgrundlage der Verarbeitung ist außerdem Bestandteil von Datenschutzhinweisen und einer betroffenen Person vor der Datenverarbeitung mitzuteilen. Wie Sie über die Rechtsgrundlage in den Datenschutzhinweisen informieren können, erfahren Sie im Basiswissen Informationspflichten.