Mit der DSGVO kamen weitreichende Anforderungen an Unternehmen, wie personenbezogene Daten zu verarbeiten sind. Wir zeigen, worauf es bei einer rechtmäßigen Datenverarbeitung ankommt.
Die Datenschutzgrundverordnung stellt verschiedene Prinzipien heraus, die bei der Datenverarbeitung zwingend zu beachten sind. Dazu gehören neben den in Art. 5 DSGVO genannten Prinzipien der Grundsatz der Rechtmäßigkeit in Art. 6 DSGVO, die Vorgaben zu Einwilligungen nach Art. 7, 8 DSGVO sowie weitere Prinzipien in Art. 9-11 DSGVO. Hinzu treten aufgrund vorhandener Öffnungsklauseln nationale Regelungen.
Diese Prinzipien gilt es durch verschiedene Maßnahmen abzusichern: die technische Absicherung gemäß Art. 25-32 DSGVO, die Dokumentations- und Nachweispflicht, die Beachtung der Rechte betroffener Personen nach Art. 12-23 DSGVO, organisatorische Absicherungen des Unternehmens gemäß Art. 24-31, 35-36 DSGVO, die Einhaltung von Standards und Zertifizierungen gemäß Art. 40-43 DSGVO sowie – soweit erforderlich – die Überwachung durch den Datenschutzbeauftragten gemäß Art. 37-39 DSGVO.
Die wesentlichen Prinzipien der Datenverarbeitung haben – analog den Prinzipien des BDSG – Eingang in Art. 5 DSGVO gefunden und wurden in weiteren gesetzlichen Regelungen konkretisiert. Daraus ergeben sich folgende Grundsätze:
Die Verarbeitung soll auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise erfolgen.
Die Verarbeitung darf nur für im Vorhinein festgelegte Zwecke erfolgen. Eine Weiterverarbeitung in einer nicht mit dem ursprünglichen Zweck zu vereinbarenden Weise ist unzulässig. Erfolgt im Laufe der Verarbeitung eine Zweckänderung, löst dies für Unternehmen eine Prüfungspflicht nach Art. 6 Abs. 4 DSGVO aus, die auch zu dokumentieren ist. Als Prüfungskriterien sind bei dieser Vereinbarkeitsprüfung insbesondere die Verbindung zwischen Erhebungszweck und Weiterverarbeitung, der Zusammenhang der Datenerhebung, die Art der personenbezogenen Daten, mögliche Folgen der Weiterverarbeitung für die betroffene Person und vorhandene Garantien (z. B. Verschlüsselung oder Pseudonymisierung) zu berücksichtigen. Wurde eine Einwilligung auch für weiterverarbeitende Zwecke eingeholt, müssen nach Erwägungsgrund 32 alle Zwecke von der Einwilligung umfasst sein.
Die Verarbeitung muss dem Zweck angemessen sein und auf das notwendige Maß beschränkt bleiben.
Die verarbeiteten Daten müssen richtig und auf dem aktuellen Stand sein. Unrichtige Daten müssen unverzüglich berichtigt oder gelöscht werden.
Eine Speicherung personenbezogener Daten darf nur so lange erfolgen, wie es für den betreffenden Zweck erforderlich ist.
Das verarbeitende Unternehmen muss für ausreichenden Schutz gegen unbefugte oder unrechtmäßige Verarbeitung, Zerstörung oder Schädigung sorgen.
Die Einhaltung der vorstehenden Prinzipien muss der Verantwortliche nachweisen können. Aus Art. 5 Abs. 2 DSGVO sowie Art. 24 DSGVO ergibt sich das Erfordernis eines umfassenden Datenschutz-Management-Systems. Die Regelungen zur Rechenschaftspflicht begründen eine Beweislastumkehr: Betroffene Unternehmen müssen nachweisen können, dass sie konform der datenschutzrechtlichen Anforderungen gehandelt haben. Dazu gehören eine Datenschutzpolicy mit benanntem Verantwortlichen sowie ein dokumentiertes Datenschutz-Risikomanagement mit abgeleiteten Maßnahmen und internen Audits.
Wie bereits die Datenschutzrichtlinie und das Bundesdatenschutzgesetz beruht auch die DSGVO auf dem Prinzip des Verbots der Datenverarbeitung mit Erlaubnisvorbehalt (vgl. Erwägungsgrund 40). Danach ist die Verarbeitung personenbezogener Daten unzulässig, es sei denn, die Voraussetzungen eines Erlaubnistatbestands aus Art. 6 Abs. 1 DSGVO sind erfüllt. Die Datenverarbeitung ist rechtmäßig, wenn
Für Unternehmen am wichtigsten sind Art. 6 Abs. 1 lit. a) und b) DSGVO: Eine Verarbeitung ist einerseits mit einer Einwilligung zulässig, deren Voraussetzungen Art. 7 DSGVO konkretisiert, andererseits, wenn sie zur Vertragserfüllung erforderlich ist. Bei der Verarbeitung zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b) DSGVO muss der Verantwortliche prüfen und sicherstellen, dass die Verarbeitung dafür tatsächlich erforderlich ist. Der Umfang zulässiger Verarbeitungsvorgänge ergibt sich insbesondere aus der vertraglichen Leistungsbestimmung; auch eine im Rahmen vorvertraglicher Verhandlungen veranlasste Verarbeitung ist zulässig.
Bei Art. 6 Abs. 1 lit. f) DSGVO ist eine Interessenabwägung vorzunehmen, soweit berechtigte Interessen des Verantwortlichen oder eines Dritten die Datenverarbeitung erforderlich machen. Bei personenbezogenen Daten von Kindern sind deren Interessen dabei in besonderem Maße zu berücksichtigen. Ein berechtigtes Interesse kann etwa die Datenübermittlung im Konzernverbund sein (Erwägungsgrund 48) oder – unter engen Voraussetzungen – das Direktmarketing (Erwägungsgrund 47), wobei eine Verarbeitung zu diesem Zweck gleichwohl an eine wettbewerbsrechtlich erforderliche Einwilligung geknüpft bleiben kann.
Das berechtigte Interesse des Unternehmens tritt zurück, wenn die betroffene Person nach Art. 21 DSGVO der Verarbeitung widersprochen hat. Unternehmen müssen die betroffene Person zwingend über ihr Widerspruchsrecht informieren (Art. 21 Abs. 4 DSGVO). Sobald widersprochen wurde, entfällt die Rechtmäßigkeit der Verarbeitung für die Zukunft – ein grundsätzlicher Widerspruch kann insbesondere für Werbung und Profiling erklärt werden. Eine Einschränkung erfährt das Widerspruchsrecht nur, soweit ein zwingendes schutzwürdiges Interesse des Verantwortlichen besteht.
Die Datenverarbeitung ist gemäß Art. 6 Abs. 1 lit. a) DSGVO immer dann zulässig, wenn eine Einwilligung der betroffenen Person vorliegt. Die Voraussetzungen sind in Art. 7 DSGVO geregelt und gehen über die früheren Anforderungen des BDSG hinaus.
Die betroffene Person muss zunächst über Zweck und Umfang der Verarbeitung sowie über den Verantwortlichen informiert werden. Anschließend ist eine freiwillige, eindeutige Bestätigungshandlung erforderlich, die auch mündlich oder elektronisch erklärt werden kann, aber dauerhaft nachweisbar sein muss. Sogenannte Opt-Out-Verfahren sind nach Erwägungsgrund 32 ausgeschlossen; auch Schweigen, Untätigkeit oder vorausgefüllte Checkboxen führen zu keiner wirksamen Einwilligung. Die Einwilligung muss widerrufbar sein, und für verschiedene Zwecke sind separate Einwilligungen erforderlich.
Der Einwilligungstext muss unmissverständlich und in klarer, einfacher Sprache abgefasst sein. Freiwilligkeit fehlt insbesondere, wenn Druck ausgeübt wird oder ein Kopplungsgeschäft im Sinne von Art. 7 Abs. 4 DSGVO vorliegt – etwa, wenn die Vertragserfüllung von zusätzlicher Datenpreisgabe abhängig gemacht wird. Auch bei einem Über- und Unterordnungsverhältnis wie einem Beschäftigungsverhältnis ist die Freiwilligkeit besonders zu prüfen.
Vereinbaren Sie eine kostenlose Erstberatung – wir finden gemeinsam die passende Lösung.
Kostenlose Erstberatung vereinbaren