Rechtsgebiet
Datenschutz
Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Die Wahl entscheidet über mehr als die Zulässigkeit. An ihr hängen der Widerruf, der Widerspruch, die Informationspflichten und die Frage, ob sich der Zweck später noch ändern lässt. Danach folgt die fortlaufende Pflege dieses Zustands, und sie fällt umso leichter, je gründlicher am Anfang gearbeitet wurde.
Die Wahl der Rechtsgrundlage entscheidet mehr als die Zulässigkeit
Ob eine Verarbeitung zulässig ist, wird als die eine Frage behandelt, die am Anfang steht und danach erledigt ist. Art. 6 Abs. 1 DSGVO verlangt eine von sechs Bedingungen. Welche es wird, wirkt über die Zulässigkeit hinaus.
Sechs Grundlagen und was aus ihnen folgt
Art. 6 Abs. 1 Buchst. a DSGVO. Jederzeit widerruflich nach Art. 7 Abs. 3 DSGVO. Der Widerruf muss so einfach sein wie die Erteilung. Auf dieses Recht ist nach Art. 13 Abs. 2 Buchst. c DSGVO hinzuweisen. Für eine spätere Zweckänderung steht die Vereinbarkeitsprüfung des Art. 6 Abs. 4 DSGVO nicht zur Verfügung, weil die Vorschrift die Einwilligung ausdrücklich ausnimmt.
Art. 6 Abs. 1 Buchst. b DSGVO. Erfasst ist, was für die Erfüllung des Vertrags erforderlich ist, dazu vorvertragliche Maßnahmen auf Anfrage der betroffenen Person. Weder Widerruf noch Widerspruch, dafür eine enge Grenze. Was der Vertrag nicht braucht, ist von ihm nicht gedeckt.
Art. 6 Abs. 1 Buchst. c DSGVO. Die Verpflichtung muss den Verantwortlichen treffen. Ihre Rechtsgrundlage liegt nach Art. 6 Abs. 3 DSGVO im Unions- oder mitgliedstaatlichen Recht. Kein Widerspruch. Die Aufbewahrungsfrist ergibt sich hier aus der Vorschrift selbst und nicht aus einer Abwägung.
Art. 6 Abs. 1 Buchst. d DSGVO. Erfasst sind die lebenswichtigen Interessen der betroffenen Person oder einer anderen natürlichen Person, also Leib und Leben. Weder Widerruf noch Widerspruch. Die Grundlage bleibt der Ausnahmelage vorbehalten. Sie ersetzt keine Einwilligung, die sich vorher hätte einholen lassen.
Art. 6 Abs. 1 Buchst. e DSGVO. Die tragende Grundlage einer öffentlichen Stelle, weil Buchst. f für sie ausgeschlossen ist. Voraussetzung ist eine Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt. Ihre Rechtsgrundlage liegt nach Art. 6 Abs. 3 DSGVO im Unions- oder mitgliedstaatlichen Recht, und dort sind nach Art. 6 Abs. 2 DSGVO spezifischere Bestimmungen zulässig. Davon machen die Landesdatenschutzgesetze und das Fachrecht Gebrauch. Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO.
Art. 6 Abs. 1 Buchst. f DSGVO. Verlangt eine Abwägung. Die Abwägung ist zu dokumentieren. Nach Art. 21 Abs. 1 DSGVO besteht ein Widerspruchsrecht aus Gründen der besonderen Situation. Für Behörden in Erfüllung ihrer Aufgaben steht die Grundlage nach Art. 6 Abs. 1 UAbs. 2 DSGVO nicht zur Verfügung.
Der Aufwand liegt in der Umsetzung
Was nach der Zulässigkeitsprüfung noch zu tun bleibt, wird regelmäßig unterschätzt. Die Umsetzung datenschutzrechtlicher Maßnahmen erfordert Planung, Pragmatismus, Commitment und ein fortlaufendes Monitoring. Ansonsten schleichen sich im Alltag Fehler ein.
Datenschutz hat damit zwei Facetten. Die erste ist die saubere Festlegung am Anfang, also Rechtsgrundlage, Zweck und Umfang einer Verarbeitung. Die zweite ist die Pflege dieses Zustands über die Jahre. Wer am Anfang gründlich arbeitet, hat es mit der Pflege leichter, weil jede Frage danach auf eine dokumentierte Entscheidung trifft und nicht auf eine Lücke.
Begehung eines Arbeitsplatzes
Ein Büro wie jedes andere? Vielleicht nicht ganz. Klicken Sie ins Bild, um Verstöße zu finden.
0 von 7 Verstößen gefunden.
Neun Stellen im Raum sind anklickbar. An sieben ist etwas zu beanstanden, an zwei nicht.
Herzlichen Glückwunsch – alles gefunden!
Praxisfragen dazu
Vorfälle und Anfragen
Rechtsgrundlage und Zulässigkeit
Wir haben etwas vor
Datenschutz gehört in ein neues Vorhaben von Anfang an und nicht in die Abnahme.
Automatisierte Einzelentscheidung
Eine Vorauswahl ist keine Vorstufe der Entscheidung, wenn die Auswahl ihr maßgeblich folgt.
Besondere Kategorien von Daten
Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung.
Transfer Impact Assessment
Die Verordnung kennt den Begriff Transfer Impact Assessment nicht.
Datenschutz-Folgenabschätzung
Eine Folgenabschätzung nach Art. 35 DSGVO ist keine Formsache am Ende eines Vorhabens.
Verträge und Verantwortlichkeit
Auftragsverarbeitungsverträge prüfen
Ob eine Auftragsverarbeitung vorliegt, entscheidet sich an den Zwecken und Mitteln und nicht am Vertragstyp.
Gemeinsame Verantwortlichkeit
Jede Gesellschaft einer Gruppe ist eine eigene verantwortliche Stelle.
Betriebsvereinbarung als Rechtsgrundlage
Die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG entscheidet, ob der Betriebsrat mitzureden hat.
Laufende Pflichten und Nachweise
Verzeichnis der Verarbeitungstätigkeiten
Die Herausforderung eines Verzeichnisses der Verarbeitungstätigkeiten liegt meist nicht in seiner erstmaligen Erstellung, sondern in der kontinuierlichen Aktualisierung.
Informationspflichten
Die Informationspflicht entsteht mit der Erhebung personenbezogener Daten und setzt kein Vertragsverhältnis voraus.
Einwilligungsformulare
Die Einwilligung ist eine von sechs Rechtsgrundlagen und die einzige, die jederzeit entfallen kann.
Löschkonzept und Aufbewahrung
Löschpflichten hängen nicht von einem Löschungsverlangen ab, sondern ergeben sich unmittelbar aus dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 Buchst.
Systeme im Einsatz
Microsoft 365
Ob Microsoft 365 eingesetzt werden darf, ist in den meisten Unternehmen längst entschieden.
Personalmanagement-Systeme
Ein Personalmanagement-System ist datenschutzrechtlich so gut wie sein Berechtigungskonzept.
Videoüberwachung
Maßstab für private Videoüberwachung ist Art. 6 Abs. 1 Buchst.
Cookies und Tracking
§ 25 Abs. 1 TDDDG betrifft den Zugriff auf die Endeinrichtung und gilt unabhängig davon, ob dabei personenbezogene Daten anfallen.
Bereichsspezifische Vorgaben
Angrenzende Themen
Microsoft 365 Copilot
Nach dem EuGH darf eine Vorschrift nach Art. 88 Abs. 1 DSGVO die Bedingungen des Art. 6 DSGVO nicht bloß wiederholen.
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt dafür Kriterien statt einer Liste.
ChatGPT
Die Stelle, die die Aufgabe stellt, entscheidet über Zweck und Mittel und ist damit nach Art. 4 Nr. 7 DSGVO verantwortlich, auch wenn das Konto privat ist.
SOC und SIEM
Ein System zur Auswertung sicherheitsrelevanter Ereignisse verarbeitet in großem Umfang Daten über das Verhalten von Beschäftigten, und zwar als Nebenwirkung seines Zwecks.
Claude
Der bei der Einführung festgelegte Zweck begrenzt nach Art. 5 Abs. 1 Buchst.
KI datenschutzkonform einsetzen
Training und Nutzung sind zwei Verarbeitungen mit je eigener Rechtsgrundlage.
KI und Mitbestimmung
Für § 87 Abs. 1 Nr. 6 BetrVG genügt die objektive Eignung zur Überwachung, vorausgesetzt die Daten lassen sich einzelnen Beschäftigten zuordnen.
KI-Governance
Die Rollen sind nicht frei zu verteilen, weil mehrere Vorschriften ihren Adressaten selbst benennen.
Transkription und Besprechungsassistenten
Die Aufnahme des nichtöffentlich gesprochenen Wortes ist nach § 201 Abs. 1 Nr. 1 StGB strafbar, wenn sie unbefugt erfolgt.
Häufige Fragen
Reicht eine Einwilligung nicht immer?
Sie ist die aufwendigste der sechs Grundlagen und nicht die sicherste. Nach Art. 7 Abs. 3 DSGVO ist sie jederzeit widerruflich. Der Widerruf muss so einfach sein wie die Erteilung. Dazu kommt, dass nach Art. 6 Abs. 4 DSGVO die Vereinbarkeitsprüfung für eine spätere Zweckänderung gerade dort nicht zur Verfügung steht, wo die Verarbeitung auf einer Einwilligung beruht.
Können wir die Rechtsgrundlage später wechseln?
Für dieselbe Verarbeitung nicht. Die Grundlage wird vor der Verarbeitung festgelegt und ist nach Art. 13 Abs. 1 Buchst. c DSGVO Gegenstand der Information. Ein Wechsel nach einem Widerruf oder einem Widerspruch entzöge dem betroffenen Recht seine Wirkung. Für eine Weiterverarbeitung zu einem anderen Zweck gilt der eigene Maßstab des Art. 6 Abs. 4 DSGVO.
Wir sind eine Behörde. Was ändert sich?
Das berechtigte Interesse steht nicht zur Verfügung. Nach Art. 6 Abs. 1 UAbs. 2 DSGVO gilt Buchst. f nicht für die Verarbeitung durch Behörden in Erfüllung ihrer Aufgaben. In Betracht kommen dann vor allem Buchst. c und e, deren Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO im Unions- oder mitgliedstaatlichen Recht liegen muss.
Genügt es, die Maßnahmen einmal festzulegen?
Nein. Art. 24 Abs. 1 S. 2 DSGVO verlangt, die Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren. Der Nachweis nach Art. 5 Abs. 2 DSGVO bezieht sich auf den Zustand im Zeitpunkt der Prüfung und nicht auf den Zeitpunkt der Einführung.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.