die Durchführung des gesamten Vertrages erforderlich verstanden werden.[93] Das Erforderlichkeitskriterium in Art. 6 Abs. 1 lit. b ist inhaltlich deckungsgleich mit der Erforderlichkeit in Art. 22 Abs. 2 lit. a. Insofern können die Anforderungen an die Erforderlichkeit einheitlich ausgelegt werden.
59
Die Unterscheidung in diesem Bereich ist unscharf und bislang nicht zufriedenstellend erfolgt, wie auch die entsprechende Befassung der Art.-29-Datenschutzgruppe zu Art. 7 lit. b DSRL zeigt.[94] So soll eine Datenverarbeitung durch einen Autoversicherer in Bezug auf Zustand und Alter des zu versichernden Fahrzeugs im Rahmen einer vorvertraglichen Maßnahme „auf Anfrage“ der betroffenen Person erfolgen, da diese Verarbeitung notwendig für die Berechnung der Versicherungsbeiträge ist.[95] Andererseits soll die Einholung vergleichbarer Daten über den Betroffenen in Bezug auf den Abschluss einer Krankenversicherung dieser Ausnahme nicht unterfallen. Dass ganz offensichtlich in beiden Fällen der Anbieter diese Information benötigt, um überhaupt die Anfrage des Betroffenen beantworten zu können, lässt die Art.-29-Datenschutzgruppe außen vor.
60
Eine sachliche Rechtfertigung für die Ungleichbehandlung gibt es in diesem Zusammenhang nicht. Man könnte zwar daran denken, dass „besondere Kategorien von personenbezogenen Daten“ restriktiver zu behandeln wären. Diese stellen tatsächlich – wie bisher, nun über Art. 9 erhöhte Anforderungen an die Verarbeitung. Eine „Anfrage“, die solche Daten enthält ist jedoch nicht nur bei Vorliegen einer Einwilligung möglich und somit nicht restriktiver zu behandeln als eine Anfrage, die Daten enthält, die die Privatsphäre der betroffenen Person nur unwesentlich berühren. Diese Erwägung spielt offensichtlich und ausweislich der Begründung in der vorher zitierten Stellungnahme der Art.-29-Datenschutzgruppe gerade keine Rolle. In der Opinion des EDPB zu Online-Verträgen sieht das EDPB zumindest die Anbahnungsphase nun ähnlich weit, solange die vorvertragliche Verarbeitung nicht dazu dient, eine unrechtmäßige Marketingkommunikation zu rechtfertigen oder die Verarbeitung alleine auf Initiative des Verantwortlichen oder eines Dritten erfolgt.[96]
61
Das bedeutet, dass nicht nur die zuvor genannten vorvertraglichen Maßnahmen unter den geschilderten Voraussetzungen möglich sind, sondern auch die Durchführung und Abwicklung des Vertrages einschließlich der Geltendmachung der Sekundäransprüche im Falle einer Schlechterfüllung. Ansprüche im Zusammenhang mit der Mängelgewährleistung etwa sind so unmittelbar mit der Vertragserfüllung an sich verknüpft, dass eine Trennung zwischen Vertragserfüllung und Abwicklung fehlerhafter Verträge bzw. bei Schlechtleistung willkürlich erschiene.[97] Ein Verweis auf das legitime Interesse desjenigen, der bspw. Zahlungsansprüche geltend macht, macht die dogmatische Schwierigkeit einer Zersplitterung in verschiedene Rechtfertigungstatbestände im Rahmen des Art. 6 deutlich. So kann im Rahmen einer streitigen Auseinandersetzung durchaus Uneinigkeit darüber herrschen, ob ein Anspruch überhaupt besteht bzw. wie weit dieser reicht. Wäre nun die Datenverarbeitung durch den Anbieter der Leistung als Gegner des Betroffenen davon abhängig, dass der Anspruch auch tatsächlich besteht, weil im anderen Falle sein berechtigtes Interesse entfiele, wäre die Geltendmachung eines sich später als nichtbestehend herausstellenden Anspruchs und die damit verbundene notwendige Datenverarbeitung aus ex-post-Sicht rechtswidrig. Dass dieses Ergebnis nicht im Einklang mit der gesetzlichen Regelung stünde, liegt auf der Hand.
62
Der deutsche Gesetzgeber hat das soeben beschriebene Risiko wohl erkannt und mit § 24 Abs. 1 Nr. 2 BDSG eine Regelung geschaffen, die der Frage, inwieweit die Durchsetzung von Sekundäransprüchen unter Art. 6 Abs. 1 lit. b fällt, in Deutschland ihre praktische Relevanz nimmt. Nach der auf die Öffnungsklausel in Art. 23 Abs. 1 gestützten[98] Vorschrift des § 24 Abs. 1 Nr. 2 BDSG ist jede Datenverarbeitung zulässig, die zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist. Davon umfasst ist auch die Abwicklung vertraglicher Gewährleistungs- und sonstiger Sekundäransprüche. In anderen Mitgliedstaaten ohne eine entsprechende nationale Regelung bleibt die Frage nach der Auslegung des Erforderlichkeitsbegriffs des Art. 6 Abs. 1 lit. b aber durchaus relevant.
63
Vor diesem Hintergrund ist festzuhalten, dass eine Datenverarbeitung durch den Verantwortlichen in Konsequenz also dann erforderlich ist, wenn die Verarbeitung objektiv überprüfbar angebracht ist, um dem Verantwortlichen zu erlauben, von ihm für unerlässlich erachtete Informationen und organisatorische Abläufe mit den hierzu notwendigen personenbezogenen Daten des Betroffenen durchführen zu können. Ein Abstellen auf den Horizont des Verantwortlichen ist deswegen geboten, da nur dieser das rechtliche und wirtschaftliche Risiko einschätzen kann, das mit der späteren Erbringung seiner Leistung für den Betroffenen verbunden ist. Der Verantwortliche ist frei darin, die Regeln für die Inanspruchnahme seiner Leistung festzuschreiben, mithin im Rahmen der Vertragsautonomie Verträge anzubieten, die eine bestimmte Art der Datenverarbeitung als erforderlich statuieren.[99] Unter das Erforderlichkeitskriterium fallen etwa Verträge, bei denen Verantwortliche die Daten der Betroffenen verwenden um Inhalte individuell anzupassen oder Zusatzleistungen anzubieten.[100] Die durch den Vertragszweck determinierten Zwecke können nur unter der Voraussetzung des Art. 6 Abs. 4 zu anderen Zwecken weiter verarbeitet werden. Ferner muss die Datenverarbeitung auch insoweit erforderlich für die Vertragserfüllung sein, dass nicht einzelne Verarbeitungstätigkeiten abgespalten werden könnten, ohne dass die Vertragserfüllung nicht mehr möglich wäre: Können solche Verarbeitungstätigkeiten abgespalten werden, ist dies ein Indiz dafür, dass sie für die Vertragsdurchführung nicht notwendig sind.[101] Ein Koppelungsverbot besteht insoweit allerdings nicht.[102] Vielmehr kann ein Nutzer für sich entscheiden, ob und wie eine solche Datenverarbeitung für ihn akzeptabel ist oder nicht.[103]
64
Gerade bei komplexen Geschäftsmodellen ist die Abgrenzung zwischen erforderlicher und optionaler Datenverarbeitung herausfordernd. Exemplarisch mag die Unterscheidung von Sozialen Netzwerken und der für die Inanspruchnahme dieser erforderlichen Datenverarbeitung sein. Die jeweilige Datenverarbeitung kann in einem Fall zwingend notwendig, im anderen unwesentlich sein. Bei professionellen Netzwerken, die primär dem beruflichen Austausch dienen sowie der Kontaktaufnahme zwischen den Teilnehmern aufgrund gleicher oder ähnlicher beruflicher Interessen und zur Geschäftsanbahnung, ist der Verzicht auf einen Klarnamen kaum denkbar. Dadurch wird nicht nur das notwendige Vertrauen zwischen den Teilnehmern geschaffen, sondern dem Nutzer zudem die Möglichkeit gegeben sich selbst als Person unter dem Namen, den die Person im Beruf verwendet, vorzustellen. Ganz anders bewerten das Gerichte bei nicht-beruflichen Netzwerken, hier ist der Klarname gerade nicht erforderlich für die Teilnahme am Netzwerk.[104] Im Gegensatz dazu können auf der einen Plattform Inhalte primär mit Freunden und Familie geteilt werden, so dass ein „privates“ Profil ausreichend für die Datenverarbeitung ist; wirbt hingegen eine Plattform damit, ihren Nutzern die weltweite Verbreitung von Inhalten zu ermöglichen, dürfte ein solches „privates“ Profil dem Vertragszweck entgegenstehen.
4. Fallgruppen
65
Demnach zulässig sind alle Datenverarbeitungsvorgänge, die unmittelbar im Zusammenhang mit der Erbringung der Leistung im zivilrechtlichen Sinne stehen,
