Die Grundsätze des Datenschutzes aus Art. 5 DSGVO rücken immer wieder in den Fokus. Denn auch wenn zum Teil hochspezialisierte Fragen den Alltag des Datenschutzes bestimmen, fällt man auf diese immer wieder zurück. In diesem Beitrag widmen wir uns der Rechtmäßigkeit und den Besonderheiten dieses Grundsatzes.
Rechtmäßigkeit – was ist das?
Der Grundsatz der Rechtmäßigkeit ist in Art. 5 Abs. 1 lit. a) DSGVO etwas irreführend ausgedrückt.
„Personenbezogene Daten müssen
1) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);“
Gemeint ist, dass es zur Verarbeitung von personenbezogenen Daten einer Rechtsgrundlage bedarf. Erwägungsgrund 40 kann hier erklärend hinzugezogen werden, denn demnach gilt:
„Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, die sich aus dieser Verordnung oder – wann immer in dieser Verordnung darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten ergibt, so unter anderem auf der Grundlage, dass sie zur Erfüllung der rechtlichen Verpflichtung, der der Verantwortliche unterliegt, oder zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich ist.“
Das Erfordernis der Rechtmäßigkeit normiert somit das grundlegende Strukturprinzip der DSGVO – das Verbot mit Erlaubnisvorbehalt. Jede Verarbeitung ist verboten, wenn sie nicht durch eine entsprechende Rechtsgrundlage legitimiert bzw. erlaubt ist. Die einschlägigen Erlaubnistatbestände finden sich in Art. 6 und 9 DSGVO. Die Begrenzung der zugrundeliegenden Verarbeitungsmöglichkeiten unterstreicht den Charakter des Gesetzes, nämlich ob überhaupt Daten verarbeitet werden dürfen. Zudem bleibt zu berücksichtigen, dass durch Öffnungsklauseln die Möglichkeit seitens der Mitgliedstaaten besteht, weitere Rechtsgrundlagen im nationalen Recht zu verankern. So finden sich auch im deutschen Recht vereinzelt Rechtsgrundlagen zur Verarbeitung personenbezogener Daten im BDSG und anderen Spezialgesetzen.
Für wen gilt der Grundsatz?
Die Bindungswirkung des Grundsatzes der Rechtmäßigkeit gilt auch für Personen des Privatrechts und entfaltet somit seine Wirkung für alle Verantwortlichen. Durch die Verbindlichkeit für alle Verantwortlichen wird das verfassungsrechtliche Gebot vom Vorbehalt des Gesetzes verdeutlicht. Dieses Konstrukt aus dem öffentlichen Recht besteht grundsätzlich nur bei Grundrechtseingriffen im Verhältnis Staat zu Bürger, findet aber durch die Erforderlichkeit einer Rechtsgrundlage (die hier einer Ermächtigungsgrundlage sehr ähnlich ist) Eingang in das Zivilrecht. Durch die Datenverarbeitung wird in die Grundrechte der Betroffenen eingegriffen. Dieser Vorgang muss normativ flankiert sein, um einen rechtsfreien Raum in einem grundrechtsrelevanten Bereich zu verhindern. Die sonst geltende Informationserhebungsfreiheit des Zivilrechts wird daher zugunsten des Datenschutzes durch das Erfordernis der Rechtmäßigkeit der Verarbeitung eingeschränkt.
Bedeutung des Grundsatzes
Die Bedeutung des Grundsatzes der Rechtmäßigkeit wird unterstrichen, indem je Verarbeitungstätigkeit eine Rechtsgrundlage erfordert. Darüber hinaus dient die Rechtmäßigkeit auch vielen anderen Bestimmung der DSGVO, wie z.B. den Regelungen zur Berichtigung oder Löschung, welche sich auf die Pflichten des Verantwortlichen zur Bereitstellung der normierten Informationen und die Auskunftsrechte der Betroffenen beziehen.
Über den Autor
Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:
