Rechtsgebiet
Datenschutz
Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Die Wahl entscheidet über mehr als die Zulässigkeit. An ihr hängen der Widerruf, der Widerspruch, die Informationspflichten und die Frage, ob sich der Zweck später noch ändern lässt. Danach folgt die fortlaufende Pflege dieses Zustands, und sie fällt umso leichter, je gründlicher am Anfang gearbeitet wurde.
Die Wahl der Rechtsgrundlage entscheidet mehr als die Zulässigkeit
Ob eine Verarbeitung zulässig ist, wird als die eine Frage behandelt, die am Anfang steht und danach erledigt ist. Art. 6 Abs. 1 DSGVO verlangt eine von sechs Bedingungen. Welche es wird, wirkt über die Zulässigkeit hinaus.
Sechs Grundlagen und was aus ihnen folgt
Art. 6 Abs. 1 Buchst. a DSGVO. Jederzeit widerruflich nach Art. 7 Abs. 3 DSGVO. Der Widerruf muss so einfach sein wie die Erteilung. Auf dieses Recht ist nach Art. 13 Abs. 2 Buchst. c DSGVO hinzuweisen. Für eine spätere Zweckänderung steht die Vereinbarkeitsprüfung des Art. 6 Abs. 4 DSGVO nicht zur Verfügung, weil die Vorschrift die Einwilligung ausdrücklich ausnimmt.
Art. 6 Abs. 1 Buchst. b DSGVO. Erfasst ist, was für die Erfüllung des Vertrags erforderlich ist, darunter fallen auch vorvertragliche Maßnahmen auf Anfrage der betroffenen Person. Ein Widerrufs- oder Widerspruchsrecht besteht insoweit nicht. Was der Vertrag nicht braucht, ist von ihm nicht gedeckt.
Art. 6 Abs. 1 Buchst. c DSGVO. Die Verpflichtung muss den Verantwortlichen treffen. Ihre Rechtsgrundlage liegt nach Art. 6 Abs. 3 DSGVO im Unions- oder mitgliedstaatlichen Recht. Kein Widerspruch. Die Aufbewahrungsfrist ergibt sich hier aus der Vorschrift selbst und nicht aus einer Abwägung.
Art. 6 Abs. 1 Buchst. d DSGVO. Erfasst sind die lebenswichtigen Interessen der betroffenen Person oder einer anderen natürlichen Person, also Leib und Leben. Weder ein Widerrufs- noch ein Widerspruchsrecht ist hier einschlägig. Die Rechtsgrundlage ist für Ausnahmefälle gedacht und ersetzt keine zuvor mögliche Einwilligung.
Art. 6 Abs. 1 Buchst. e DSGVO. Sie ermöglicht die Verarbeitung zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt. Für öffentliche Stellen hat diese Rechtsgrundlage besondere Bedeutung, weil sie sich regelmäßig nicht auf Buchst. f stützen können. Die erforderliche Rechtsgrundlage ergibt sich nach Art. 6 Abs. 3 DSGVO aus dem Unions- oder mitgliedstaatlichen Recht. Dieses kann nach Art. 6 Abs. 2 DSGVO durch spezifischere Regelungen ergänzt werden, wie sie insbesondere die Landesdatenschutzgesetze und das jeweilige Fachrecht vorsehen. Gegen eine Verarbeitung auf dieser Grundlage besteht ein Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO.
Art. 6 Abs. 1 Buchst. f DSGVO. Verlangt eine Abwägung. Die Abwägung ist zu dokumentieren. Nach Art. 21 Abs. 1 DSGVO besteht ein Widerspruchsrecht aus Gründen der besonderen Situation. Für Behörden in Erfüllung ihrer Aufgaben steht die Grundlage nach Art. 6 Abs. 1 UAbs. 2 DSGVO nicht zur Verfügung.
Der Aufwand liegt in der Umsetzung
Was nach der Zulässigkeitsprüfung noch zu tun bleibt, wird regelmäßig unterschätzt. Die Umsetzung datenschutzrechtlicher Maßnahmen erfordert Planung, Pragmatismus, Commitment und ein fortlaufendes Monitoring. Ansonsten schleichen sich im Alltag Fehler ein.
Datenschutz hat damit zwei Facetten. Die erste ist die saubere Festlegung am Anfang, also Rechtsgrundlage, Zweck und Umfang einer Verarbeitung. Die zweite ist die Pflege dieses Zustands über die Jahre. Wer am Anfang gründlich arbeitet, hat es mit der Pflege leichter, weil jede Frage danach auf eine dokumentierte Entscheidung trifft und nicht auf eine Lücke.
Begehung eines Arbeitsplatzes
Ein Büro wie jedes andere? Vielleicht nicht ganz. Klicken Sie ins Bild, um Verstöße zu finden.
0 von 7 Verstößen gefunden.
Neun Stellen im Raum sind anklickbar. An sieben ist etwas zu beanstanden, an zwei nicht.
Herzlichen Glückwunsch – alles gefunden!
Praxisfragen dazu
Vorfälle und Anfragen
Rechtsgrundlage und Zulässigkeit
Wir haben etwas vor
Datenschutz gehört in ein neues Vorhaben von Anfang an und nicht in die Abnahme.
Automatisierte Einzelentscheidung
Eine Vorauswahl bleibt nicht schon deshalb von der Entscheidung getrennt, weil eine Person die letzte Entscheidung trifft.
Besondere Kategorien von Daten
Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung.
Transfer Impact Assessment
Die DSGVO verwendet den Begriff „Transfer Impact Assessment“ nicht.
Datenschutz-Folgenabschätzung
Eine Folgenabschätzung nach Art. 35 DSGVO ist keine Formsache am Ende eines Vorhabens.
Verträge und Verantwortlichkeit
Auftragsverarbeitungsverträge prüfen
Ob eine Auftragsverarbeitung vorliegt, entscheidet sich an den Zwecken und Mitteln und nicht am Vertragstyp.
Gemeinsame Verantwortlichkeit
Jede Gesellschaft einer Gruppe ist eine eigene verantwortliche Stelle.
Betriebsvereinbarung als Rechtsgrundlage
§ 87 Abs. 1 Nr. 6 BetrVG regelt die Mitbestimmung des Betriebsrats, Art. 6 DSGVO die Zulässigkeit der Verarbeitung.
Laufende Pflichten und Nachweise
Verzeichnis der Verarbeitungstätigkeiten
Die Herausforderung eines Verzeichnisses der Verarbeitungstätigkeiten liegt meist nicht in seiner erstmaligen Erstellung, sondern in der kontinuierlichen Aktualisierung.
Informationspflichten
Die Informationspflicht entsteht mit der Erhebung personenbezogener Daten und setzt kein Vertragsverhältnis voraus.
Einwilligungsformulare
Die Einwilligung ist eine von sechs Rechtsgrundlagen und die einzige, die jederzeit entfallen kann.
Löschkonzept und Aufbewahrung
Löschpflichten hängen nicht von einem Löschungsverlangen ab, sondern ergeben sich unmittelbar aus dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DSGVO.
Systeme im Einsatz
Microsoft 365
Ob Microsoft 365 eingesetzt werden darf, ist in den meisten Unternehmen längst entschieden.
Personalmanagement-Systeme
Ein Personalmanagement-System ist datenschutzrechtlich so gut wie sein Berechtigungskonzept.
Videoüberwachung
Maßstab für private Videoüberwachung ist Art. 6 Abs. 1 Buchst. f DSGVO und nicht § 4 BDSG.
Cookies und Tracking
§ 25 Abs. 1 TDDDG betrifft den Zugriff auf die Endeinrichtung und gilt unabhängig davon, ob dabei personenbezogene Daten anfallen.
Bereichsspezifische Vorgaben
Gesundheitswesen
Neben Art. 9 DSGVO steht mit § 203 StGB eine eigenständige, strafbewehrte Pflicht.
Schulen
Eine Schule ist datenschutzrechtliche Verantwortliche.
E-Sport und Gaming
Vier Fragen bestimmen die Praxis im E-Sport.
Forschung
Die Einwilligung ist im Forschungsvorhaben selten die tragfähigste Grundlage, weil sie widerruflich ist.
Angrenzende Themen
Microsoft 365 Copilot
Nach dem EuGH darf eine Vorschrift nach Art. 88 Abs. 1 DSGVO die Bedingungen des Art. 6 DSGVO nicht bloß wiederholen.
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt dafür Kriterien statt einer Liste.
ChatGPT
Die Stelle, die die Aufgabe stellt, entscheidet über Zweck und Mittel und ist damit nach Art. 4 Nr. 7 DSGVO verantwortlich, auch wenn das Konto privat ist.
SOC und SIEM
Ein System zur Auswertung sicherheitsrelevanter Ereignisse verarbeitet in großem Umfang Daten über das Verhalten von Beschäftigten, und zwar als Nebenwirkung seines Zwecks.
Claude
Der bei der Einführung festgelegte Zweck begrenzt nach Art. 5 Abs. 1 Buchst. b DSGVO jede spätere Verwendung.
KI datenschutzkonform einsetzen
Training und Nutzung sind zwei Verarbeitungen mit je eigener Rechtsgrundlage.
KI und Mitbestimmung
Für § 87 Abs. 1 Nr. 6 BetrVG genügt die objektive Eignung zur Überwachung, vorausgesetzt die Daten lassen sich einzelnen Beschäftigten zuordnen.
KI-Governance
Die Rollen sind nicht frei zu verteilen, weil mehrere Vorschriften ihren Adressaten selbst benennen.
Transkription und Besprechungsassistenten
Die Aufnahme des nichtöffentlich gesprochenen Wortes ist nach § 201 Abs. 1 Nr. 1 StGB strafbar, wenn sie unbefugt erfolgt.
Häufige Fragen
Reicht eine Einwilligung nicht immer?
Sie ist die aufwendigste der sechs Grundlagen und nicht die sicherste. Nach Art. 7 Abs. 3 DSGVO ist sie jederzeit widerruflich. Der Widerruf muss so einfach sein wie die Erteilung. Dazu kommt, dass nach Art. 6 Abs. 4 DSGVO die Vereinbarkeitsprüfung für eine spätere Zweckänderung gerade dort nicht zur Verfügung steht, wo die Verarbeitung auf einer Einwilligung beruht.
Können wir die Rechtsgrundlage später wechseln?
Für dieselbe Verarbeitung nicht. Die Grundlage wird vor der Verarbeitung festgelegt und ist nach Art. 13 Abs. 1 Buchst. c DSGVO Gegenstand der Information. Ein Wechsel nach einem Widerruf oder einem Widerspruch entzöge dem betroffenen Recht seine Wirkung. Für eine Weiterverarbeitung zu einem anderen Zweck gilt der eigene Maßstab des Art. 6 Abs. 4 DSGVO.
Wir sind eine Behörde. Was ändert sich?
Das berechtigte Interesse steht nicht zur Verfügung. Nach Art. 6 Abs. 1 UAbs. 2 DSGVO gilt Buchst. f nicht für die Verarbeitung durch Behörden in Erfüllung ihrer Aufgaben. In Betracht kommen dann vor allem Buchst. c und e, deren Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO im Unions- oder mitgliedstaatlichen Recht liegen muss.
Genügt es, die Maßnahmen einmal festzulegen?
Nein. Art. 24 Abs. 1 S. 2 DSGVO verlangt, die Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren. Der Nachweis nach Art. 5 Abs. 2 DSGVO bezieht sich auf den Zustand im Zeitpunkt der Prüfung und nicht auf den Zeitpunkt der Einführung.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.