4. Juni 2020
Verbraucherschützer gegen Facebook
Der BGH sollte kürzlich eigentlich einen jahrelang andauernden Rechtsstreit beenden, in […]
Ist „Vertragserfüllung“ aus Art. 6 DSGVO eine immer greifende Rechtsgrundlage zur Datenverarbeitung? Grundsätzlich ist die Datenerhebung und Bearbeitung von Daten nur unter ganz bestimmten Umständen möglich. Aus Art. 6 Abs. 1 Buchstabe b DSGVO ergibt sich eine Rechtsgrundlage, deren Anwendung nicht immer so leicht nachzuvollziehen und deren Fälle nicht immer eindeutig sind.
Was sagt Art. 6 Abs. 1 Buchstabe b DSVO zur Vertragserfüllung?
Dort heißt es, dass die Verarbeitung von personenbezogenen Daten zulässig ist, soweit sie zur Vertragserfüllung erforderlich ist.
Der Europäische Datenschutzausschuss (EDSA) stellt in ihren Leitlinien klar, dass die Verarbeitung von Daten im Online-Bereich nicht immer auf diese Rechtsgrundlage zu stützen ist.
Nicht nur der Vertrag ist maßgeblich
Die Leitlinien verdeutlichen, dass zur Beurteilung der Erforderlichkeit nicht nur darauf ankommt, was im Vertrag vereinbart wurde.
Zusätzlich dazu müssen vor allem auch die Grundsätze aus Art. 5 DSGVO hinreichende Berücksichtigung finden. Die Grundsätze der Sparsamkeit, Fairness und Transparenz müssen bei der Inanspruchnahme des Art. 6 DSGVO miteinfließen und dürfen nicht vernachlässigt werden.
Insoweit ist nicht der subjektive Wille der Vertragspartner maßgeblich, sondern vielmehr die Frage, ob die Datenverarbeitung zwangsläufig notwendig ist, um die vertraglichen Leistungen zu gewährleisten und die Pflichten darauf zu erfüllen.
Nicht ausschlaggebend ist es, wenn die Datenverarbeitung ausdrücklich in den AGB geregelt und verankert ist. Wenn der Vertrag verendet ist, ist die Datenverarbeitung auf der Rechtsgrundlage der Vertragserfüllung ebenfalls beendet.
Umstellung auf andere Rechtsgrundlage nicht möglich
Die Umstellung auf eine andere Rechtsgrundlage, um personenbezogene Daten weiterhin zu bearbeiten, ist ebenfalls nicht möglich. In diesen Fällen kann jedoch eine andere Rechtsgrundlage greifen, wie etwa die Einwilligung oder das berechtigte Interesse.
Der EDSA benannte in seinen Leitlinien Beispiele, die schwerlich mit der Rechtsgrundlage aus Art. 6 Abs. 1 Buchstabe b DSGVO in Einklang zu bringen sind:
- Reine Service-Verbesserungen
- Online-verhaltensbezogene Werbung: kein notwendiges Element für Online-Dienstleistungen; auch dann nicht, wenn dadurch indirekt die Erbringung der Dienstleistung finanziert würde; diesbezügliche Cookies etwa bedürfen (nicht nur) nach Ansicht der EDSA einer vorherigen Einwilligung des Betroffenen
- Die Personalisierung von Inhalten: zwar zur Vertragserfüllung mitunter erforderlich; es kommt dabei aber entscheidend auf die Art der Dienstleistung, die Erwartungen der betroffenen Person auch unter Berücksichtigung der Art und Weise wie der Service beworben werde, sowie auf die Frage an, ob der Service auch ohne Personalisierung erbracht werden könnte.
Eindeutiger Fall der Pflicht zur Vertragserfüllung
Will man ein Produkt online bestellen und bezahlen, ist die Erhebung bestimmter Daten zwingende Voraussetzung, um den Kaufvorgang abzuschließen. Ohne Name, Adresse und Zahlungsdaten des Bestellers kann das bestellte Produkt nicht auf den Weg zum Besteller gebracht werden. In diesen Fällen ist die vorherige Einwilligung in die Datenverarbeitung personenbezogener Daten durch den Verkäufer nicht einzuholen. In Fällen dieser Art ist die Verbreitung der Daten zur Erfüllung des Kaufvertrags erforderlich im Sinne des Art. 6 Abs. 1 Buchstabe b DSGVO.
Fazit
Man sollte sich nicht unbedacht auf die Rechtsgrundlage der Vertragserfüllung stützen. Die Gefahr, dass die darauffolgende Datenverarbeitung unzulässig und damit unwirksam ist, ist nicht gering. Die so gewonnen Daten sind zu löschen und oftmals kann es zu Abmahnungen und Bußgeldern kommen.
Wir helfen Ihnen!
Bei Fragen zum Datenschutzrecht können Sie sich gerne an unsere Kanzlei wenden. Wir helfen Ihnen kompetent und umfassend bei allen Belangen rund um die DSGVO.
Wir bieten unter anderem ein DSGVO Website Update zum Festpreis und einen Online-Fragebogen an, mit dem Sie erfahren, ob Ihr Unternehmen fit im Bereich DSGVO ist.
