Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Die Norm erfasst damit sowohl die Vertragsanbahnung als auch die Durchführung eines Vertrags.[69] Durch den Umstand, dass der Betroffene im Falle einer Rechtfertigung über Art. 6 Abs. 1 lit. b entweder Vertragspartei ist oder Anlass für die Durchführung der vorvertraglichen Maßnahmen gegeben hat und somit (zivilrechtlich) eine von seinem Willen getragene Erklärung abgegeben hat, enthält der Erlaubnistatbestand des Art. 6 Abs. 1 lit. b zumindest indirekt ein voluntatives Element des Betroffenen, das entsprechend zu berücksichtigen ist.
39
Art. 6 Abs. 1 lit. b entspricht fast wortwörtlich der Regelung in Art. 7 lit. b der Richtlinie 95/46/EG.[70] In der Handhabung des Erlaubnistatbestands ergeben sich im Hinblick auf die erweiterten Dokumentations- und Informationspflichten allerdings Änderungen durch die DS-GVO.
40
Verarbeitungstätigkeiten von personenbezogenen Daten, die auf einem Vertragsverhältnis oder einer Vertragsanbahnung auf Anfrage der betroffenen Person vor Inkrafttreten der DS-GVO beruhen, müssen zum Zeitpunkt der Geltung der DS-GVO entsprechend auf ihre Rechtmäßigkeit geprüft werden.[71] Während eine solche Rechtmäßigkeit in vielen Fällen auch künftig gegeben sein dürfte, wird im Bereich der Gesundheitsdaten die Beschränkung der Erlaubnistatbestände im Rahmen des Art. 9 zu berücksichtigen sein.
41
Im Verhältnis zu den anderen Erlaubnistatbeständen ist in der Regel davon auszugehen, dass kein weiterer Erlaubnistatbestand parallel existiert. Die Einwilligung nach Art. 6 Abs. 1 lit. a dürfte für dieselben Verarbeitungstätigkeiten die Art. 6 Abs. 1 lit. b abdeckt, nicht verwendbar sein.[72] Die Freiwilligkeit würde bei der Einwilligung fehlen, da die Datenverarbeitung nach dem Wortlaut in Art. 6 Abs. 1 lit. b gerade „notwendig“ und nicht disponibel ist. Die Verarbeitung der Daten zur Erfüllung rechtlicher Verpflichtungen nach Art. 6 Abs. 1 lit. c wiederum dürfte neben Art. 6 Abs. 1 lit. b in der Regel keinen Anwendungsbereich finden, da Art. 6 Abs. 1 lit. b eine gewisse Disponibilität der Datenverarbeitung voraussetzt, was Art. 6 Abs. 1 lit. c gerade nicht zulässt.[73] Das berechtigte Interesse schließlich ist zwar nicht grundsätzlich gesperrt, da der Erlaubnistatbestand in Art. 6 Abs. 1 lit. f weiter ist als Art. 6 Abs. 1 lit. b, gleichwohl aber dogmatisch nicht parallel zu verwenden. Ansonsten liefe das Widerspruchsrecht der Betroffenen in diesen Fällen immer ins Leere.
II. Kommentierung
42
Die Rechtfertigung für eine Datenverarbeitung zur Erfüllung eines Vertrages ist eine der zentralen Erlaubnistatbestände im Rahmen der wirtschaftlichen Betätigung nichtöffentlicher Verantwortlicher.[74] Umso schwerer wiegt, dass der europäische Gesetzgeber versäumt hat ein wesentliches Problem der Vorgängerregelung anzugehen: Es gibt weder ein einheitliches europäisches Vertrags- oder gar Zivilrecht, noch eine Definition des Begriffs der Vertragserfüllung.[75] Dennoch stützt sich Art. 6 Abs. 1 lit. b auf zivilrechtliche Begriffe als Anknüpfungspunkt für die Rechtmäßigkeit einer Datenverarbeitung, die in den Mitgliedstaaten unterschiedlich ausgelegt und verstanden werden können.[76] Die gebotene autonome Auslegung des Begriffs der Vertragserfüllung als zentraler Begriff eines europäischen Zivilrechts im Rahmen der DS-GVO wirkt daher fehl am Platze und schafft darüber hinaus unnötig Rechtsunsicherheit.[77]
1. Erfüllung eines Vertrages
43
Wegen der fehlenden Definition des Begriffs der Vertragserfüllung muss im Rahmen der autonomen Auslegung[78] bestimmt werden, welcher rechtlichen Einordnung die Erfüllung eines Vertrages datenschutzrechtlich unterliegt und welche Rechtsbeziehungen unter den Begriff des Vertrages i.S.d. DS-GVO subsumiert werden bzw. werden sollen.
a) Erfüllung
44
In Bezug auf den Begriff der Erfüllung ist unklar, ob hier untechnisch die praktische Durchführung, als jede Rechtshandlung in Zusammenhang mit der Abwicklung (zur Erfüllung aber auch sonstigen Erledigung, z.B. durch Rücktritt) eines wie auch immer gearteten vertraglichen Schuldverhältnisses gemeint ist, oder tatsächlich an einen nicht existenten, einheitlichen europäischen zivilrechtlichen Erfüllungsbegriff anzuknüpfen ist.
45
Im Interesse einer einheitlichen Auslegung des Begriffs dürfte wohl auf eine weite Begriffsbestimmung abzustellen sein, so dass unter den Erfüllungsbegriff jegliche Handlung zu subsumieren ist, die entweder rechtlich oder tatsächlich durch die Vertragspartei, die die entsprechende Datenverarbeitung vornimmt, in irgendeiner Form erbracht wird, um ihre eigenen oder fremden Verpflichtungen aus dem Vertragsverhältnis zu erbringen.[79] Dies umfasst neben der tatsächlichen Erfüllung der Hauptleistungspflichten damit auch Nebenleistungspflichten sowie Handlungen, die diesen unmittelbar vorgelagert bzw. notwendig sind, um den Verpflichtungen der Partei zu genügen.[80]
b) Vertrag
46
Im Hinblick auf die Auslegung des Begriffs des Vertrags muss das zuvor Gesagte ebenso gelten.[81] Die bisherigen Verordnungs- und Richtlinientexte, die den Begriff des „Vertrags“ auf europäischer Ebene zum Gegenstand haben, enthalten weder entsprechende Definitionen noch eine klare Abgrenzung. In der Rom-I-Verordnung etwa ist der verwandte Begriff des vertraglichen Schuldverhältnisses nicht definiert; in der Verbraucherrechte-Richtlinie fehlt ebenso ein tauglicher Anknüpfungspunkt. Der Begriff des „Vertrags“ muss jedenfalls auch fehlerhafte bzw. nichtige Vertragsverhältnisse umfassen, um diese nicht aus dem Geltungsbereich des Art. 6 Abs. 1 lit. b auszunehmen. Letzteres würde zu unbefriedigenden Ergebnissen führen, da der Verantwortliche etwa bei einer ex-tunc-Nichtigkeit eines Vertrages plötzlich seiner Erlaubnis für die Verarbeitung in der Vergangenheit beraubt wäre. Ob in einem solchen Fall – z.B. der Anfechtung wegen Irrtums – eine Verarbeitung alternativ auf ein berechtigtes Interesse des Verantwortlichen nach Art. 6 Abs. 1 lit. f gestützt werden könnte, wäre dann wiederum Frage des Einzelfalls und würde den Verantwortlichen unverschuldet dem Risiko aussetzen, personenbezogene Daten ohne entsprechende Erlaubnis verarbeitet zu haben, selbst wenn der Betroffene selbst Anlass dafür gegeben hat, dass der Verantwortliche diese Verarbeitung vorgenommen hat.[82]
47
Bereits hieran wird deutlich, dass eine trennscharfe Unterscheidung zwischen Vertrag, quasivertraglichen oder vertragsähnlichen Schuldverhältnissen nicht zielführend ist. Um
