ZAP-2019-21

Verfassungsrecht/Verwaltungsrecht Fach 19, Seite 941
Datenschutz: Kommunalebene
Hinweis:
Behörden ist deshalb anzuraten hier entsprechende „neue“ Maßnahmenpläne zu erstellen, die durch
den mandatierten Rechtsanwalt auch im Rahmen einer streitigen Auseinandersetzung eingesehen
und bewertet werden können. Datenschutzrechtliche Strukturdefizite sind dann bei der juristischen
Gesamtbeurteilung mit zu berücksichtigen.
III.
Umsetzung der DSGVO
1. Rechtmäßigkeit der Erhebung und Verarbeitung personenbezogener Daten
Nach Art. 6 Abs. 1 DSGVO ist die Erhebung und Verarbeitung personenbezogener Daten nur rechtmäßig,
wenn einer der dort genannten Voraussetzungen (Art. 6 Abs. 1a bis f) gegeben ist.
Bei der DSGVO handelt es sich um ein sog. Verbot mit Erlaubnisvorbehalt: Dies bedeutet – alles ist
verboten, sofern es nicht ausdrücklich erlaubt ist. Eine Rechtmäßigkeit für die Erhebung und Verarbeitung
personenbezogener Daten liegt also nur dann vor, wenn entweder die Einwilligung des Betroffenen
gegeben ist oder aber das Gesetz dies ausdrücklich zulässt. Ist beides nicht gegeben, ist jegliche
Form der Erhebung und Verarbeitung personenbezogener Daten unrechtmäßig. Hiervon gibt es
keine Ausnahme.
a) Einwilligung
Die „Champions-League-Lösung“ ergibt sich aus Art. 6 Abs. 1a DSGVO, wonach die betroffene Person
ihre Einwilligung in die Erhebung und Verarbeitung personenbezogener Daten erteilen kann. Von
überragender Bedeutung ist dabei aber, dass für den Einwilligenden der Zweck deutlich erkennbar sein
muss. Erfolgt außerhalb des vereinbarten Zwecks die Erhebung und Verarbeitung personenbezogener
Daten, so ist auch diese rechtswidrig.
Praxistipp:
Auch wenn der Gesetzgeber für die Einwilligung keine Schriftform verlangt, so ist dies aber schon aus
Beweiszwecken dringend zu empfehlen. Direkte inhaltliche Anforderungen an die Einwilligung macht der
Gesetzgeber im Übrigen aber direkt nicht.
Wichtig ist nur, dass die Einwilligung aus Sicht des objektivierten Empfängerhorizonts verständlich,
leicht zugänglich sein und vor allem den Zweck der Einwilligung erkennen lassen muss. Der Einwilligende
muss auch wissen, dass er seine einmal erteilte Einwilligung zum späteren Zeitpunkt auch
widerrufen kann.
Für die Einwilligungen, die vor dem 25.5.2018 erteilt wurden, kommt es für die Wirksamkeit darauf an, ob
diese schon damals DSGVO konform gewesen sind. Denn Einwilligungen erledigen sich im Übrigen nicht
durch bloßen Zeitablauf (BGH NJW-RR 2018, 486). In der Praxis geht man davon aus, dass zumindest für
solche Einwilligungen, die nicht älter als zwei Jahre sind, diese Vorgehensweise opportun ist.
Praxistipp:
Beruft sich die Behörde also auf eine solche ggf. auch schon ältere Einwilligung, so ist zu prüfen, ob diese
zum damaligen Zeitpunkt bereits den Anforderungen der DSGVO entspricht. Dabei kann auch den Umständen,
wie die Einwilligungserklärung zustande gekommen ist, eine entscheidende Bedeutung zukommen.
Der Mandant ist hier also entsprechend zu befragen. Dies nicht nur im Hinblick auf mögliche weitere
Tatbestände, wie z.B. diejenige nach dem AGG.
ZAP Nr. 21 7.11.2019 1143