Der Grundsatz der Rechtmäßigkeit ist entscheidend für die Verarbeitung personenbezogener Daten. Dieser Artikel beleuchtet die Debatte um das „Verbot mit Erlaubnisvorbehalt“ und erklärt die verschiedenen Rechtsgrundlagen nach DSGVO, wie die Einwilligung oder das berechtigte Interesse. Im Folgenden soll die rechtliche Systematik und deren praktische Bedeutung für die Datenverarbeitung verdeutlicht werden.
Was bedeutet das Verbot mit Erlaubnisvorbehalt im Datenschutz?
Der Grundsatz der Rechtmäßigkeit gemäß Art. 5 Abs. 1 lit. a DSGVO, der in Art. 6 DSGVO konkretisiert wird, ist eine der zentralen Regeln der Datenverarbeitung. Allgemein wird formuliert, dass nach der DSGVO jede Verarbeitung personenbezogener Daten verboten ist, es sei denn, sie wird ausdrücklich erlaubt. Diese Systematik, die als „Verbot mit Erlaubnisvorbehalt“ bezeichnet wird, setzt voraus, dass für jede Verarbeitung mindestens eine der in Art. 6 Abs. 1 DSGVO abschließend genannten Bedingungen erfüllt sein muss.
Diese Regelung setzt Art. 8 Abs. 2 S. 1 der Europäischen Grundrechte-Charta (GRCh) um. Dieser gewährleistet Betroffenen, dass ihre personenbezogenen Daten nur mit ihrer Einwilligung oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen. Erwägungsgrund 40 der DSGVO ergänzt, dass für die Rechtmäßigkeit entweder eine Einwilligung oder eine anderweitige Rechtsgrundlage für die Verarbeitung existieren muss.
Warum wird das Prinzip „Verbot mit Erlaubnisvorbehalt“ kritisiert?
In der juristischen Literatur gibt es Kritik an der Formulierung „Verbot mit Erlaubnisvorbehalt“. So argumentiert der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Prof. Dr. Alexander Roßnagel, in seinem Aufsatz „Kein „Verbotsprinzip“ und kein „Verbot mit Erlaubnisvorbehalt“ im Datenschutzrecht (NJW 2019, 1) wie folgt:
„Die Regelung in Art. 6 Abs. 1 DSGVO folgt dem verfassungsrechtlichen Prinzip des Gesetzesvorbehalts. Dieses besagt, dass Grundrechtseingriffe nur dann erfolgen dürfen, wenn der Gesetzgeber sie durch ein Gesetz zugelassen hat.“
Das Datenschutzrecht geht keinen Sonderweg
Dies sei also kein datenschutzrechtlicher Sonderweg. Eine Datenverarbeitung sei nicht per se verboten. Vielmehr fordere der Gesetzgeber eine Ausgestaltung, welche Verarbeitungen gesellschaftlich erwünscht sind. Roßnagel führt weiter aus, dass ein echtes Verarbeitungsverbot in der DSGVO anders formuliert ist, wie Art. 9 Abs. 1 DSGVO bei sensiblen Daten zeigt:
„Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.“
Ein solches explizites Verbot wäre überflüssig, wenn der DSGVO bereits ein allgemeines Verbot zugrunde läge.
„Verbotsprinzip“ trifft es nicht
Der Begriff „Verbot mit Erlaubnisvorbehalt“ passe also nicht, da dieser eine behördliche Einzelfallgenehmigung impliziert, die hier nicht vorliegt. Stattdessen schlägt er vor, von einem „Erlaubnisprinzip“ zu sprechen, da das Datenschutzrecht Grundrechtseingriffe in weitem Rahmen erlaubt.
Welche Rechtsgrundlagen für die Datenverarbeitung gibt es?
Eine Rechtsgrundlage ist eine Vorschrift, die staatliches Handeln legitimiert, was auf nationaler Ebene aus dem Rechtsstaatsprinzip folgt. Die möglichen Rechtsgrundlagen für eine Datenverarbeitung nach der DSGVO ergeben sich aus Art. 6 Abs. 1 DSGVO. Demnach ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn eine der folgenden Bedingungen erfüllt ist:
- wenn eine Einwilligung der betroffenen Person vorliegt,
- wenn sie zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist,
- wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist,
- zum Schutze lebenswichtiger Interessen,
- wenn sie zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erforderlich ist oder
- wenn sie nach einer Interessenabwägung auf ein berechtigtes Interesse gestützt werden kann.
Darf eine Datenverarbeitung auf mehrere Rechtsgrundlagen gestützt werden?
Die Frage, ob eine Verarbeitung auf mehrere Rechtsgrundlagen gestützt werden kann, wird überwiegend bejaht. Der Wortlaut „mindestens eine“ in Art. 6 Abs. 1 DSGVO deutet darauf hin, ebenso wie Art. 17 Abs. 1 lit. b DSGVO, der bei Widerruf einer Einwilligung die Fortführung der Verarbeitung auf anderer Rechtsgrundlage vorsieht. Auch der EuGH ging bereits davon aus, dass mehrere Erlaubnistatbestände kumulativ vorliegen können.
Der Europäische Datenschutzausschuss (EDSA) stellt jedoch klar, dass dies nur für unterschiedliche Verarbeitungszwecke gilt: Ein Unternehmen kann Kundendaten für verschiedene Zwecke verarbeiten, die auf mehr als einer Rechtsgrundlage basieren. Widerruft eine Person ihre Einwilligung, bedeutet dies daher z. B. nicht zwangsläufig, dass der Verantwortliche die Daten löschen muss. Dies gilt allerdings nur, wenn die „neue“ Verarbeitung für einen anderen Zweck auf Basis einer anderen Rechtsgrundlage (z. B. Vertragserfüllung) erfolgen darf. Wichtig ist, dass jede Änderung der Rechtsgrundlage transparent kommuniziert wird.
Wie verhalten sich Einwilligung und berechtigtes Interesse zueinander?
Besonders kritisch ist das Zusammenspiel von Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO). Der EDSA vertritt hierzu eine klare Meinung: Es ist nicht gestattet, rückwirkend das berechtigte Interesse als Rechtsgrundlage heranzuziehen, wenn die ursprüngliche Einwilligung ungültig war oder widerrufen wurde. Ein solches Vorgehen wird als „in höchstem Maße missbräuchlich“ bezeichnet. Ein Verantwortlicher muss bereit sein, die Verarbeitung zu beenden, wenn die betroffene Person ihre Einwilligung widerruft.
Die deutsche Datenschutzkonferenz (DSK) formuliert etwas unkonkreter, dass ein willkürliches Wechseln zwischen Einwilligung und anderen Rechtsgrundlagen unzulässig ist, da die Grundsätze von Fairness und Transparenz beachtet werden müssen. Ein Wechsel wird zwar nicht gänzlich ausgeschlossen, dürfte sich in der Praxis aber aufgrund der strengen Vorgaben des EDSA als äußerst problematisch erweisen.
Welche Rolle spielen nationale Gesetze als Rechtsgrundlage?
Obwohl die DSGVO einen einheitlichen Rechtsrahmen schaffen soll, enthält sie rund 70 Öffnungsklauseln, die den Mitgliedstaaten eigene nationale Regelungen ermöglichen. Dies führt daher teilweise zu einem „Flickenteppich“ statt zu Einheitlichkeit. Die Mitgliedstaaten können und müssen in bestimmten Bereichen eigene Gesetze erlassen, die jedoch stets im Einklang mit der DSGVO stehen müssen. Ein Beispiel ist Art. 88 DSGVO, der nationale Regelungen zum Beschäftigtendatenschutz erlaubt.
Diese nationalen Gesetze müssen hohe Anforderungen erfüllen, um die Grundrechte der Betroffenen zu wahren. So verlangt Art. 88 Abs. 2 DSGVO für den Beschäftigtendatenschutz angemessene und besondere Maßnahmen, wie Vorschriften über die Transparenz der Verarbeitung oder die Überwachung am Arbeitsplatz. Ob die nationalen Regelungen, wie der deutsche Beschäftigtendatenschutz, diesen europarechtlichen Vorgaben genügen, ist Gegenstand von Verfahren vor dem Europäischen Gerichtshof. U.a. hat der EuGH am im Jahr 2023 entschieden (Az. C-34/21), dass § 23 des hessischen Landesdatenschutzgesetzes (HDSIG) gegen Europarecht verstößt, da es sich dabei um keine gegenüber den europarechtlichen Regelungen „spezifischere Vorschrift“ im Sinne des Art. 88 DSGVO handele.
Die Wahl der korrekten Rechtsgrundlage bleibt eine zentrale Herausforderung im Datenschutz
Die Diskussion um das „Verbot mit Erlaubnisvorbehalt“ zeigt, wie tief die rechtstheoretischen Grundlagen der DSGVO reichen. Obwohl der Begriff umstritten ist, bleibt die praktische Konsequenz dieselbe: Jede Verarbeitung personenbezogener Daten bedarf einer validen Rechtsgrundlage wie der Einwilligung oder dem berechtigten Interesse. Die korrekte Identifizierung und Anwendung dieser Grundlagen sind entscheidend.
Zukünftige Entscheidungen des EuGH, insbesondere zu den nationalen Öffnungsklauseln, werden weiterhin für mehr Klarheit sorgen. Für Verantwortliche bedeutet dies, die Entwicklungen genau zu beobachten und die eigene Datenverarbeitungspraxis stets kritisch zu hinterfragen, um die Konformität mit der DSGVO und dem Datenschutz sicherzustellen.
Vom Amtsgericht erhielt ich die Auskunft, das die Datenschutz-Grundverordnung nicht für Gerichte gelten würde, und somit auch nicht Art. 5 Abs. 1 DSGVO einhalten müssen.
Eine Daten-Weitergabe an Dritte, ohne Notwendig und ohne Rechtsgrundlage ist unzulässig.
Muss ein Amtsgericht die Datenschutz-Grundverordnung der Fairness und Transparenz (Art. 5 DS-GVO nicht beachten?
Für die Tätigkeit der Gerichte und anderer Justizbehörden findet die DSGVO zwar durchaus grundsätzlich Anwendung (siehe EG 20), etwas anderes gilt jedoch für die Tätigkeit der Strafverfolgungsbehörden, auf die die DSGVO nicht anwendbar ist (siehe Art. 2 Abs. 2 lit. d DSGVO). „Behörden“ in diesem Sinne meint auch die Strafjustiz.
Soweit die DSGVO in dem von Ihnen angesprochenen Verfahren keine Anwendung findet, gelten auch die Grundprinzipien des Datenschutzes gem. Art. 5 DSGVO nicht.
Natürlich gibt es aber durchaus datenschutzrechtliche Regelungen auch für diese Bereiche. Die geltenden Regelungen zum Datenschutz finden sich zum einen in der RL (EU) 2016/680 vom 27.04.2016 und in der StPO, hier im 8. Buch, niedergelegt in den §§ 474 bis 500 StPO. Darüber hinaus finden sich Vorschriften in weiteren Gesetzen, wie beispielsweise im OWiG oder in der StVG. Stellt man auf die Regelungen der RL (EU) 2016/680 ab, so ist in der Tat festzustellen, dass der von Ihnen angesprochene Transparenzgrundsatz gem. Art. 5 Abs. 1 dort nicht enthalten ist (siehe Art. 4 der RL).
Ggf. finden Sie weitere Ausführungen zu den anwendbaren Rechtsvorschriften in Ihrem Fall in der Datenschutzerklärung des zuständigen Amtsgerichts.
Sind die von Betroffenen geltenden machenden Rechte, auch als Rechtsgrundlagen zu verstehen? Ich meine, sobald eine Person ein Auskunftsanspruch stellt, findet eine Datenverarbeitung zum Zwecke des Auskunftsanspruchs statt.
Wie in dem Artikel erwähnt, bedarf es für eine Verarbeitung von personenbezogenen Daten immer einer Rechtsgrundlage aus Art. 6 DSGVO. Die Rechtsgrundlage für die von Ihnen erwähnten Verarbeitungen, nämlich für solche, die im Zusammenhang mit der Geltendmachung von Betroffenenrechten stehen, ergibt sich jeweils aus Art. 6 Abs. 1 lit. c DSGVO i.V.m. der dann einschlägigen Vorschrift, also z.B. hinsichtlich des Auskunftsanspruchs ist es Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 15 DSGVO.