bezieht sich sowohl auf die Daten selbst, als auch auf die Verfahrensschritte und die erlaubten Speicherzeiträume.[125]
2. Beispiele nach deutschem Recht
76
Nach nationalem Recht finden sich schon jetzt zahlreiche Vorschriften zur Zulässigkeit von Datenverarbeitungen. Es ist wohl zutreffend, dass die Öffnungsklausel nach Art. 6 Abs. 1 lit. c i.V.m. Abs. 3 eine „ganz erhebliche Breitenwirkung“[126] im nationalen Recht zeitigt. Dabei ist es selbstverständlich, dass Art. 6 Abs. 1 lit. c auch für bereits erlassenes Recht gelten muss, das in Einklang mit der DS-GVO steht.[127]
77
Banken dürfen zum Zweck der Risikominimierung bei Kreditvergaben personenbezogene Daten verarbeiten (§ 10 Abs. 2 KWG). Inhaber von Beherbergungsstätten sind verpflichtet, personenbezogene Daten von Gästen zu erheben und ggf. weiterzuleiten (§ 30 Abs. 4 BMG). Auch bestehen Meldepflichten des Arbeitgebers im Rahmen der Sozialversicherung (bspw. § 28a SGB IV) und bezüglich der Einhaltung gesetzlicher Bestimmungen etwa bezogen auf den Mindestlohn (§ 17 Abs. 1 MiLoG).
78
Öffentliche Stellen sind nach §§ 11 GewO zur Erhebung personenbezogener Daten insbesondere zur Feststellung der Zuverlässigkeit Gewerbetreibender befugt. Zugleich bestehen – begrenzte – Pflichten zur Weitergabe personenbezogener Daten an Dritte bspw. im Rahmen des Informationsrechts (§ 5 IFG Bund, §§ 9 f. IFG NRW[128]).
79
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
. . .
| d) | die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; |
I. Allgemeines: Zweck, Bedeutung, Systematik/Verhältnis zu anderen Vorschriften
80
Art. 6 Abs. 1 lit. d erklärt die Datenverarbeitung für zulässig, wenn diese zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich ist. Hier wird zu verlangen sein, dass die Datenverarbeitung unumgänglich ist, um die Beeinträchtigung der entsprechenden Interessen abzuwenden.[129] Die Regelung entspricht im Wesentlichen der Regelungsbefugnis nach Art. 7 Abs. 1 lit. d DSRL, erfasst nunmehr aber auch Interessen anderer natürlicher Personen neben denen der Betroffenen.
II. Verantwortlicher
81
Art. 6 Abs. 1 lit. d bezieht sich nicht explizit auf einen Verantwortlichen. Allerdings muss auch im Falle des lit. d eine Stelle vorhanden sein, die die betreffende Datenverarbeitung vornimmt. Hier ist dann wiederum keine Unterscheidung gegeben; Verantwortliche nach lit. d können sowohl öffentliche als auch nichtöffentliche Stellen sein.[130]
III. Lebenswichtige Interessen
82
Der Begriff „lebenswichtige Interessen“ lässt zusammen mit dem Umstand, dass nach lit. d die Verarbeitung stets zugunsten natürlicher Personen erlaubt sein soll, erkennen, dass es sich um höchstpersönliche Rechtsgüter handeln muss. Gemeint sind alle wesentlichen Interessen im Bereich des Gesundheitsschutzes. Namentlich erwähnt ErwG 122 die körperliche Unversehrtheit und das Leben. Allerdings ist anzunehmen, dass hierzu keine Lebensgefahr erforderlich ist; vielmehr genügt bereits, wenn ein unmittelbarer Bezug zu Leben und Gesundheit von Menschen gegeben ist.[131]
83
Beispielhaft zu nennen ist mit ErwG 46 zugleich die Überwachung und Eindämmung von Epidemien und humanitären Notlagen infolge von durch Natur und Mensch verursachten Katastrophenlagen. Damit ist die Situation der Corona-Pandemie sowohl bez. des Schutzes körperlicher Unversehrtheit und Leben als auch bez. der Pandemieeindämmung ein klassischer Anwendungsfall von lit. d. Erfasst sein könnte aufgrund des weiten Wortlauts und des jedenfalls auch präventiven Charakters der Datenerhebung die vorbeugende Bekämpfung von Terrorgefahren.[132] Allerdings liegt es näher, die Vorschrift insoweit restriktiv auszulegen[133] und bspw. Fälle wie Fluggastdatenerhebungen zur vorbeugenden Terrorbekämpfung nicht unter lit. d zu fassen, es sei denn, dass deutliche Erkenntnisse für konkrete Gefährdungen von Menschen vorliegen.[134] Nicht ausreichend sind jedenfalls – wenn auch existentielle – Geschäftsinteressen natürlicher Personen.[135]
IV. Betroffener oder Dritter
84
Erfasst sind Datenverarbeitungen zugunsten der durch die Datenverarbeitung betroffenen Person sowie – in Erweiterung zu Art. 7 Abs. 1 lit. d. DSRL – auch zugunsten Dritter. Die vorgenannte Ergänzung geht auf eine Initiative des Rates zurück.[136] Gerade im letzteren Fall kommt der Grundsatz „Lebensschutz vor Datenschutz“ zum Tragen, da insbesondere bei Datenverarbeitungen zugunsten von der Verarbeitung nicht betroffener Dritter Rechte des Betroffenen beschränkt werden können.
V. Notwendigkeit fehlender Einwilligungsfähigkeit?
85
Nicht eindeutig ist, ob die Datenverarbeitung nach lit. d nur dann zum Tragen kommt, wenn die betroffene Person nicht in der Lage ist, ihre Einwilligung zu erklären, und insoweit von einer mutmaßlichen Einwilligung auszugehen ist. So wird bezgl. der Daten i.S.d. Art. 9 Abs. 1 (rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person) die Verarbeitung nach Art. 9 Abs. 2 lit. c auch zum Schutz lebenswichtiger Interessen nur dann ausnahmsweise erlaubt, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben. Aus der Einschränkung nach Art. 9 Abs. 2 lit. c lässt sich schließen, dass der Gesetzgeber das Eingreifen von Art. 6 Abs. 1 lit. d nicht von der Nichteinholbarkeit der Einwilligung abhängig machen wollte.[137] Dennoch erscheint es naheliegend, in Fällen, in denen eine Einwilligung nicht eingeholt werden konnte, nach dem mutmaßlichen Willen des Betroffenen zu fragen.[138] Die Frage dürfte aber hypothetischer Natur sein; bei Betroffenheit lebenswichtiger Interessen sind nur wenige Fälle denkbar, in denen eine mutmaßliche Einwilligung nicht anzunehmen ist. In Betracht kommen hier allenfalls Fälle erkennbarer Suizidabsichten. Hier mag es vertretbar sein, davon auszugehen, dass die lebenswichtigen Interessen stets die Risiken einer Gefährdung der Privatsphäre überwiegen.[139]
