die Zusendung gekaufter Ware,[105] die Löschung von Rechten Dritter, die Aufnahme von Dritten als Zeugen, die Nennung von Dritten im Rahmen eines echten Vertrages zu Gunsten Dritter, ebenso wie die notwendige Verarbeitung von Daten im Rahmen einer Drittschadensliquidierung, die Übermittlung von Daten an eine Versicherung zur Befriedigung von Ansprüchen Dritter,[106] die Übermittlung von Vertragsdaten aus dem Grundgeschäft bei Abschluss eines selbstständigen Garantievertrages mit einem Dritten auf Betreiben des Betroffenen im Rahmen von Unternehmenstransaktionen, die Übermittlung von Daten der betroffenen Arbeitnehmer sofern ein Betriebsübergang stattfindet bzw. ein Asset-Deal einen bestimmten Unternehmensteil betrifft,[107] in dem die Arbeitnehmer verbleiben sollen,[108] Daten, die im Austausch gegen eine Leistung zur Verfügung gestellt werden[109] sowie die Datenverarbeitung im Rahmen einer Abtretung[110].
66
Im Rahmen eines Anspruchs von Erben auf die Bereitstellung von Account-Informationen aus einem Online-Nutzungskonto soll ebenfalls Art. 6 Abs. 1 lit. b als Rechtsgrundlage herangezogen werden.[111] Diese Wertung überzeugt nicht. Das höchstpersönliche Recht auf informationelle Selbstbestimmung kann nicht durch einen Dritten – auch nicht im Wege der Gesamtrechtsnachfolge – wahrgenommen werden. Konsequent erscheint vielmehr eine Lösung über das berechtigte Interesse der Erben, das der BGH in diesem Fall auch als weitere Rechtsgrundlage bejaht hat.[112]
67
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
. . .
| c) | die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; |
– ErwG: 40, 41, 45, 47
Literatur:
Siehe Hinweise zu Abs. 1.
I. Allgemeines: Zweck, Bedeutung, Systematik/Verhältnis zu anderen Vorschriften
68
Nach Art. 6 Abs. 1 lit. c ist eine Datenverarbeitung dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Die Regelung entspricht der Regelungsbefugnis nach Art. 7 Abs. 1 lit. c DSRL.
69
Die DS-GVO entfaltet an dieser Stelle – wie auch bezüglich Art. 6 Abs. 1 lit. e – Richtliniencharakter,[113] indem sie den Mitgliedstaaten ermöglicht, eigene, spezifischere Regelungen zu treffen. Zugleich ist die Öffnung für mitgliedstaatliche Regelung notwendiger Ausdruck des Grundsatzes der Subsidiarität.[114] Dabei ist das Schutzniveau im Moment einer mitgliedstaatlichen Erweiterung nach wie vor grundsätzlich an dem der DS-GVO zu orientieren,[115] was vornehmlich durch den Hinweis auf die Erforderlichkeit der Datenverarbeitung zum Ausdruck kommt. Dennoch wird über die Erweiterungstatbestände der lit. c und e ein Einfallstor für die Begründung der Rechtmäßigkeit von Datenverarbeitungen auch durch mitgliedstaatliche Regelungen eröffnet.[116]
II. Verantwortlicher
70
Der Systematik der DS-GVO folgend sind Verantwortliche i.S.d. lit. c sowohl öffentliche als auch nichtöffentliche Stellen.[117] Dass lit. c auf den Verantwortlichen abstellt, schließt die Rechtmäßigkeit einer Auftragsdatenverarbeitung nicht aus, jedoch muss die rechtliche Verpflichtung dem Verantwortlichen obliegen.[118] Da die Rechtmäßigkeit der Datenerhebung durch öffentliche Stellen zugleich regelmäßig an lit. e zu messen ist, entfaltet lit. c vorrangig eigenständige Wirkung für nichtöffentliche Verantwortliche.[119]
III. Rechtliche Verpflichtung
71
Eine rechtliche Verpflichtung nach lit. c muss eine Verpflichtung kraft objektiven Rechts sein. Insbesondere reicht eine vertragliche Verpflichtung nicht aus, die im Übrigen lit. b unterfiele. Insoweit ist bspw. die französische („obligation légale“) und die englische („legal obligation“) Fassung eindeutiger, da die offene Formulierung „rechtliche Verpflichtung“ auch vertragliche Bindungen einbeziehen könnte; in der deutschen Fassung wird das Verständnis erst in Abgrenzung zu lit. b deutlich.[120]
72
Nach Art. 6 Abs. 3 kann diese objektive rechtliche Verpflichtung sowohl auf Unionsrecht als auch auf mitgliedstaatlichem Recht beruhen. Gerade bei Letzterem sind keine besonderen Anforderungen an die Rangstufe des betreffenden Rechts zu stellen. Die rechtliche Verpflichtung kann auf Gesetzes-, Verordnungs- oder Satzungsrecht beruhen, bis hin zu Bestimmungen in für allgemeinverbindlich erklärten Tarifverträgen oder auch in Betriebsvereinbarungen.[121]
73
Eine Einschränkung macht ErwG 41 dahingehend, dass wenn die mitgliedstaatliche Verfassungsordnung Anforderungen an die Qualität grundrechtsrelevanter Bestimmungen stellt, diese auf mitgliedstaatlicher Ebene einzuhalten sind. Im Zusammenspiel mit Abs. 3 wird damit aber deutlich, dass nationales Recht grds. für abweichende Datenschutzregelungen gegenüber der DS-GVO geöffnet werden kann. ErwG 45 formuliert weitere Voraussetzungen für derartige Vorschriften. So ist nicht für jede Verarbeitung ein eigenes Gesetz zu fordern, allerdings müssen die Vorschriften hinreichend transparent, insbesondere bezogen auf den Zweck der Datenverarbeitung, ausgestaltet sein.[122]
74
Eine Verpflichtung i.S.d. lit. c ist auch dann anzunehmen, wenn es in der Hand des Verantwortlichen liegt, ob er sich der jeweiligen Verpflichtung unterwerfen will. So ist die Verpflichtung, im Falle der Teilnahme an einer öffentlichen Ausschreibung bestimmte Daten zu übermitteln, eine Verpflichtung i.S.d. lit. c, obgleich selbstverständlich keine Verpflichtung zur Teilnahme an der betreffenden Ausschreibung besteht.[123] Keine Verpflichtung i.S.d. lit. c dürfte anzunehmen sein, wenn die betreffende Vorschrift die Datenverarbeitung nur voraussetzt, aber selbst nicht anordnet. In derartigen Fällen ist aber eine Anwendung von Art. 6 Abs. 1 lit. e denkbar.
1. Erforderlichkeit
75
Art. 6 Abs. 1 lit. c stellt die Erfüllung der rechtlichen Verpflichtung zur Verarbeitung personenbezogener Daten unter den Vorbehalt der Erforderlichkeit. Letztlich appelliert die Norm hier an das Erfordernis der Verhältnismäßigkeit insbesondere mitgliedstaatlicher Erlaubnisnormen, durch die verhindert werden soll, dass alleine die Normierung eines hinreichenden Verarbeitungszwecks zu einer zu breiten Datenerhebung verleiten soll.[124] Damit geht aber das Merkmal der Erforderlichkeit nicht über die Anforderungen hinaus, die nach deutschem Recht an grundrechtsbeschränkende Gesetze oder sonstige Vorschriften zu stellen sind. Darüber hinaus ist zu beachten, dass die Erlaubnis
