Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Nach dem Gewaltmarsch durch Artikel 28 heute eine ganz kleine Etappe. Artikel 29 besteht aus einem einzigen Satz. Wenigstens ist er ein bisschen verschachtelt – so erkennt man, dass er zur DS-GVO gehört.

Datenverarbeitung nur nach Weisung

Es geht um eine Selbstverständlichkeit: Wer personenbezogene Daten verarbeitet und dabei einem Verantwortlichen oder einem Auftragsverarbeiter unterstellt ist, hat die Weisungen des Verantwortlichen zu befolgen. Außer: Nach EU- oder nationalem Recht werden Datenverarbeitungen vorgeschrieben.

Klar soweit?

Über ein, zwei, drei Problem(e) kann man grübeln beim Spazierengehen (wenn man möchte).

Hausaufgabe 1:

A arbeitet beim Auftragsverarbeiter B-GmbH. B-GmbH betreibt ein Rechenzentrum und ist unter anderem für den Verantwortlichen X-OHG tätig.  B und X haben natürlich einen Vertrag nach Art. 28 Abs. 3 abgeschlossen.

X weist A an, die Daten auf einen separaten Datenträger zu kopieren und ein Jahr zu archivieren. Im AV-Vertrag ist das nicht vorgesehen, B lehnt es ab und bietet der X-OHG eine Vertragsänderung gegen Aufpreis an. Muss A seinem Arbeitgeber B gehorchen oder der X-OHG (wegen Artikel 29)?

Hausaufgabe 2:

A arbeitet bei der B-GmbH in der Personalabteilung und hat Zugang unter anderem zur privaten Telefonnummer von X. X erlaubt A, die Nummer zu nutzen. Darf A? Oder muss sie/er vorher die Geschäftsführung fragen?

Hausaufgabe 3:

A arbeitet bei der B-GmbH. Die Geschäftsführung weist A an, Daten unter Verstoß gegen die DS-GVO nicht zu löschen, sondern zu veröffentlichen. Muss A? Darf A?

Immer noch alles klar oder Auflösungen gewünscht in der nächsten Runde?

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In seinem Urteil vom 18. Juni 2026 (Rs. C-484/24) hat sich der Europäische Gerichtshof (EuGH) zu mehreren zentralen Fragen zur Rechtmäßigkeit der Datenverarbeitung geäußert. Im Blickpunkt steht insbesondere Art. 6 DS-GVO. Das Urteil hält zudem mehr bereit, als es vielleicht beim ersten Lesen vermuten lässt. Daher widmen wir unseren heutigen Blog-Beitrag einigen wichtigen Punkten des Urteils.

Worum geht es in dem Urteil?

Im Ausgangsverfahren vor dem Landesarbeitsgericht Niedersachsen forderte ein Heizungs- und Klimatechnikbetrieb (NTH Haustechnik GmbH) von seiner ehemaligen Arbeitnehmerin, die zugleich mit dem Geschäftsführer der NTH verheiratet war, insgesamt einen Schadenersatz von 46.567,91€. Dies geht auf den Vorwurf zurück, dass die Beklagte, die die Geschäftsräume der NTH weiter betreten durfte, Gegenstände, die NTH als in ihrem Eigentum stehend beansprucht, auf eBay für eigene Rechnung für insgesamt 13.217,09€ veräußert hatte.

„Ermittelt“ wurden diese Verkäufe durch einen Beschäftigten der NTH welcher zudem der gemeinsame Sohn der Beklagten und des Geschäftsführers ist, indem er die Benutzerkennung und das Passwort für den eBay-Account seiner Mutter verwendete. An die Zugangsdaten war die NTH nach eigener Aussage gelangt, indem sie die Browserverläufe der Beklagten durchsucht und Zugriff auf einen auf dem Server der NTH angelegten Ordner mit der Bezeichnung „Family-Ordner“ genommen hatten. Dies wurde von der Beklagten bestritten, denn der Geschäftsführer habe das Mobiltelefon, dass auf den Namen des Unternehmens registriert war, verlustig gemeldet, um bei dem betreffenden Telefonbetreiber eine neue SIM-Karte (Subscriber Identity Module, Teilnehmeridentifikationsmodul) beantragt, was es dem Unternehmen ermöglicht habe, die mit diesem Telefon verbundene Telefonnummer zu nutzen, um auf der Plattform eBay das Passwort ihres privaten Kontos zu ändern und darauf zuzugreifen.

Das LAG Niedersachen schloss in der Folge eine rechtswidrige Datenerhebung seitens der NTH nicht aus. Allerdings setzte das Gericht das Verfahren aus, da es dem EuGH mehrere Fragen zur Auslegung der Normen der Datenschutz-Grundverordnung und insbesondere zu Art. 6 DS-GVO zur Entscheidung vorlegte.

Was hat der EuGH entschieden?

Der EuGH äußerst sich zuallererst zu den Fragen rund um die Herkunft von Beweisen und ob diese und gegebenenfalls in welchem Umfang durch Gerichte verarbeitet werden. Diese Aspekte wollen wir jedoch für unsere heutige Betrachtung aussparen. Nachgelesen werden können die Ausführungen unter den Rn. 47 bis 62 des Urteils.

In der Folge geht der EuGH dann dem Art. 6 DS-GVO nach. Hier richten sich die Ausführungen zunächst zu Art. 6 Abs. 1 UAbs. 1 lit. c) DS-GVO sowie Art. 6 Abs. 3 DS-GVO: „In Bezug auf Verarbeitungen, die auf die in Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO […] gestützt sind, stellt Art. 6 Abs. 3 Unterabs. 1 DSGVO klar, dass die Rechtsgrundlage für diese Verarbeitungen durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden muss.“ So weit so bekannt.

Weiter heißt es: „In Bezug auf Form und Inhalt dieser Rechtsgrundlage verlangt Art. 6 Abs. 3 DSGVO […], dass der Zweck dieser Verarbeitungen in dieser Rechtsgrundlage festgelegt werden muss, dass diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und dass sie in einem angemessenen Verhältnis zu diesem Ziel steht […] Dagegen geht weder aus Art. 6 Abs. 3 DSGVO noch aus einer anderen Bestimmung der DGSVO hervor, dass das mit dieser Rechtsgrundlage verfolgte Ziel in der Rechtsgrundlage im nationalen Recht angegeben werden muss, wobei unter „Ziel“ die allgemeinen Zwecke zu verstehen sind, die mit der betreffenden Verarbeitung verfolgt werden, und unter „Zweck“ die spezifischen und konkreten Anliegen dieser Verarbeitung zu verstehen sind“

Weiterhin konkretisiert der Gerichtshof die Anforderungen an die Rechtsgrundlage: „Allerdings hat der Gerichtshof […] abgeleitet […] dass jede Rechtsgrundlage, die einen Eingriff in das Recht auf Schutz personenbezogener Daten erlaubt, den Umfang der Beschränkung der Ausübung dieses Rechts, zu der sie führen kann, selbst festlegen muss […] Darüber hinaus hat der Gerichtshof […] entschieden, dass jeder Eingriff in das Recht auf Schutz personenbezogener Daten unter Wahrung des Grundsatzes der Verhältnismäßigkeit erfolgen muss, was voraussetzt, dass jede Regelung, die einen solchen Eingriff bewirkt, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsieht und Mindestanforderungen aufstellt, damit die Personen, deren personenbezogene Daten verarbeitet werden, über ausreichende Garantien verfügen, die einen wirksamen Schutz dieser Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang und jeder unrechtmäßigen Verwendung ermöglichen […] Insbesondere muss die Rechtsgrundlage für eine Datenverarbeitung angeben, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf, damit gewährleistet ist, dass der Eingriff auf das absolut Notwendige beschränkt wird“

Mit Blick auf das Ausgangsverfahren stellt der EuGH klar, dass die in Rede stehenden nationalen Rechtsvorschriften der §§ 138, 286, 355 ff. der Zivilprozessordnung die Anforderungen des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO im Lichte von Art. 8 Abs. 2 und Art. 52 Charta durchaus erfüllen können. Da die Regelungen doch sehr allgemein gefasst sind muss jedoch die gefestigte nationale Rechtsprechung herangezogen werden. Die Allgemeinheit der in Rede stehenden Bestimmungen führt aber eben nicht automatisch zu einer Unvereinbarkeit mit der DSGVO.  Die Normen sind jedoch nicht automatisch unvereinbar. Es wird allerdings Sache des Ausgangsgerichtes zu sein, die konkreten Anforderungen zu prüfen.  

In einer weiteren Vorlagefrage (Rn. 81 ff.) geht der EuGH der Thematik nach, ob Art. 17 Abs. 3 lit. e) DS-GVO dahin auszulegen ist, dass er eine alternative Rechtmäßigkeitsbedingung aufstellt, die bei einer Verarbeitung personenbezogener Daten erfüllt werden kann, damit diese mit Art. 5 Abs. 1 lit. a) DS-GVO in Einklang steht. Rechtmäßig in diesem Sinne bedeutet, dass bei einer Verarbeitung sämtliche in Kapitel II DSGVO festgelegten Grundsätze eingehalten und die in Kapitel III DSGVO festgelegten Rechte der betroffenen Personen beachtet werden.

Zunächst stellt der EuGH heraus, dass Art. 6 Abs. 1 UAbs. 1 DS-GVO eine „erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann“, enthält und dass Art. 17 Abs. 3 lit. e) DS-GVO, der eine Ausnahme vom Recht auf Löschung normiert, keine „eigenständige alternative Rechtmäßigkeitsbedingung aufstellt, auf die eine Verarbeitung personenbezogener Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, gestützt werden könnte“.

Art. 6 Abs. 1 UAbs. 1 DS-GVO enthält – und das ist die für die Praxis relevante Aussage – eine erschöpfende und abschließende Liste der alternativen Bedingungen für die Rechtmäßigkeit.  Die Ausführungen des EuGH sind nach hier vertretener Lesart so zu verstehen, dass die Rechtsgrundlagen des Art. 6 Abs. 1 UAbs. 1 DS-GVO in einem alternativen Verhältnis stehen und keiner Rechtsgrundlage, auch nicht der Einwilligung ein Vorrang einzuräumen ist. Und an dieser Stelle wird noch ein Hinweis aus der ersten Vorlagefrage relevant: „[…] ist darauf hinzuweisen, dass unter bestimmten Umständen für dieselbe Verarbeitung mehrere alternative Zulässigkeitsvoraussetzungen gelten können.“ Es ist also möglich, dass für einen Verarbeitungstatbestand potenziell mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 UAbs. 1 DS-GVO einschlägig sein können.

Welche Auswirkungen hat das Urteil für die Praxis?

Für die Praxis dürfte allen voran der bei uns dargestellte „erste“ Teil für Relevanz sorgen – womöglich abhängig davon, wie das Ausgangsgericht entscheiden wird. Die Frage nach den Anforderungen an die Rechtsgrundlage nach Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO spielt in weitaus mehr Fällen eine Rolle, als dies auf den ersten Blick vermuten lässt. Relevant könnte die Rechtsprechung vor allem mit Blick auf die IT-Sicherheitsgesetzgebung. Wir sind der Thematik u.a. bei der NIS-2-Richtlinie und dem Datenschutz schon einmal nachgegangen.

Die zweite Thematik war in der Praxis bisher weitestgehend schon bekannt. Der EuGH hat bereits in früheren urteilen von einem Alternativverhältnis der Rechtsgrundlagen in Art. 6 Abs. 1 UAbs. 1 DS-GVO gesprochen. Neu und ausdrücklich erwähnt der Gerichtshof nun, dass auch mehrere Rechtsgrundlagen nebeneinander vorliegen können, natürlich soweit die jeweiligen Voraussetzungen vorliegen.

Lesenswert ist in jedem Fall auch der „Rest“ des Urteils zum Punkt Beweisverwertung rechtswidrig erhobener Daten und dem Prüfumfang durch die Gerichte.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In einem früheren Beitrag sind wir bereits auf die Entscheidungsfreudigkeit des Europäischen Gerichtshofes (EuGH) und einige hieraus resultierenden Urteile vom 7. März 2024 eingegangenen. Neben den Entscheidungen zum Personenbezug hat der EuGH an diesem Tag noch eine weitere „Grundsatzentscheidung“ gefällt. In der Rechtssache C-740/22 wird u.a. der Begriff der Verarbeitung personenbezogener Daten adressiert. Mit der Entscheidung des EuGH und deren Auswirkungen wollen wir uns im nachfolgenden Beitrag befassen.

Was verstehen wir unter der Verarbeitung personenbezogener Daten?

Bevor wir jedoch näher auf die Entscheidung eingehen, richten wir unser Augenmerk vorab auf die gesetzlichen Grundlagen. Der Begriff der Verarbeitung personenbezogener Daten ist zunächst für die Anwendung des Datenschutzrechtes und mithin der DS-GVO ausschlaggebend. In Art. 2 Abs. 1 DS-GVO – welcher den sachlichen Anwendungsbereich der Datenschutz-Grundverordnung regelt – wird festgelegt, dass die DS-GVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, gilt. Durch die Schwierigkeiten der Bestimmung des Anwendungsbereiches sind wir bereits spaziert. Allem zum Trotz: Gemeinsamer Nenner der automatisierten und der nicht-automatisierten Verarbeitung ist die Verarbeitung personenbezogener Daten.

Doch was verstehen wir hierunter? Wie so häufig erleichtert ein Blick ins Gesetz vermeintlich die Rechtsfindung. Wenden wir also den Blick auf Art. 4 Nr. 2 DS-GVO so hält dieser, die folgende Legaldefinition von Verarbeitung bereit:

„Verarbeitung“ [meint] jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Zum besseren Verständnis sei noch auf Art. 4 Nr. 6 DSGVO verweisen, der ein Dateisystem als jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird, definiert.

Auch an dieser Stelle haben wir bei einem Spaziergang durch die DSGVO aber bereits festgestellt, verbleibt nach der Streichung von allem Überflüssigen und Inhaltslosen noch „Verarbeitung[meint] jeden […] Vorgang oder jede […] Vorgangsreihe im Zusammenhang mit personenbezogenen Daten“. Damit ist eigentlich klar, wir brauchen einen Vorgang oder eine Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Klar? Nun ja, nicht wirklich. Wie im Beispiel des Spaziergangs aufgegriffen gibt es schlicht und ergreifend Abgrenzungsschwierigkeiten: Wann beginnt eine Verarbeitung personenbezogener Daten?

An dieser Stelle kommt nun der EuGH ins Spiel…

Der Rechtssache C-740/22 liegt eine Vorlagefrage aus Finnland zugrunde, wobei das vorlegende Gericht wissen wollte, ob Art. 2 Abs. 1 DS-GVO und Art. 4 Nr. 2 der DS-GVO dahin auszulegen sind, dass eine mündliche Auskunft über möglicherweise verhängte oder bereits verbüßte Strafen in Bezug auf eine natürliche Person eine Verarbeitung personenbezogener Daten im Sinne der Verordnung darstellt.

Im Ergebnis bejaht der EuGH diese Frage: Hierbei verweist er zunächst auf die – oben bereits dargestellte – Definition aus Art. 4 Nr. 2 DSGVO. Insbesondere aus dem Ausdruck jeder Vorgang sei demnach zu entnehmen, dass der Unionsgesetzgeber den Begriff der Verarbeitung weit fassen wollte. Dies wird auch dadurch bekräftigt, dass die anschließende Aufzählung möglicher Vorgänge nicht abschließend ist.

Darüber hinaus umfasst die Aufzählung „u.a. die Offenlegung durch Übermittlung, die Verbreitung und „[jede] andere Form der Bereitstellung“, wobei diese Vorgänge automatisiert oder nicht automatisiert erfolgen können“. Der EuGH kommt daher zum (Zwischen-)Ergebnis, dass Art. 4 Nr. 2 DS-GVO keine Bedingungen an die Form der Verarbeitung stellt und das auch mündliche Übermittlungen erfasst sind. Zudem wird dies durch die Ziele der DS-GVO bestätigt, die ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personenbei der Verarbeitung personenbezogener Daten gewährleisten wollen und die „Möglichkeit, die Anwendung [der DS-GVO] dadurch zu umgehen, dass personenbezogene Daten mündlich statt schriftlich übermittelt werden, liefe diesem Ziel nämlich offensichtlich zuwider.“

Außerdem…

… kommt der EuGH noch auf Art. 2 Abs. 1 DS-GVO zu sprechen und hinterfragt, ob eine solche mündliche Verarbeitung in den – ebenfalls eingangs dargestellten – sachlichen Anwendungsbereich der DS-GVO fällt. Hierzu führt der EuGH weiter aus, dass die DS-GVO „genauso für die automatisierte, wie für die manuelle Verarbeitung personenbezogener Daten gilt, damit der Schutz, den [die DS-GVO] den von der Datenverarbeitung betroffenen Personen verleiht, nicht von den verwendeten Techniken abhängt und nicht ernsthaft Gefahr läuft, umgangen zu werden“. Und weiter: „Allerdings geht daraus ebenfalls hervor, dass [die DS-GVO] für manuelle Verarbeitungen personenbezogener Daten nur dann gilt, wenn die verarbeiteten Daten „in einer Datei gespeichert sind oder gespeichert werden sollen“.

Da die mündliche Übermittlung nicht als automatisierte Datenverarbeitung zu bewerten ist, ist erforderlich, dass die die Daten, die Gegenstand der Verarbeitung sind, in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Zu den Voraussetzungen gilt mit dem EuGH (vgl. Rs. C-25/17), dass grundsätzlich jede strukturierte Sammlung personenbezogener Daten einbezogen wird und mit dem Erfordernis nach bestimmten Kriterien strukturiert nur gemeint ist, dass die Daten über eine bestimmte Person leicht wiederauffindbar sind.

FAZIT

Es bleibt demnach festzuhalten, dass die mündliche Weitergabe von Informationen sehr wohl als Verarbeitung personenbezogener Daten im Sinne des Art. 4 Nr. 2 DS-GVO angesehen werden kann, da diese Verarbeitungen als nicht automatisierte Verarbeitungen einzustufen sind. Voraussetzung ist allerdings, dass die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Mögliche Sonderfälle wie z.B. nach § 26 Bundesdatenschutzgesetz für den Beschäftigtendatenschutz bleiben hiervon unberührt. Damit ist klar, dass nicht zwangsläufig jede Form der mündlichen Weitergabe bzw. Übermittlung oder andere Form der Verarbeitung eine Datenverarbeitung im Sinne der Art. 2 Abs. 1 DS-GVO und Art. 4 Nr. 2 DS-GVO darstellt. Richtigerweise ist der Begriff der Verarbeitung personenbezogener Daten zur Sicherstellung der Schutzziele der DS-GVO aber weit zu verstehen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Wer ist eigentlich für die Datenverarbeitungen verantwortlich? Diese, dem Grunde nach so einfach lautende Frage stellt Datenschützende nicht selten vor Schwierigkeiten. In der Praxis lässt sich auf den ersten Blick gar nicht so leicht beantworten wer sich für eine konkrete Verarbeitung personenbezogener Daten verantwortlich zeichnet und bedarf daher unter Umständen einer vertieften Prüfung. Das längst nicht alle datenschutzrechtlichen Verantwortlichkeiten klar sind zeigt auch das Urteil des Verwaltungsgerichts Wiesbaden vom 19.1.2022 – Az.: 6 K 361/21.WI. Das Gericht hat sich mit der Frage der datenschutzrechtlichen Zulässigkeit bei der Verwendung von Gesundheitsdaten im Rahmen der Vorträge von Rechtsanwältinnen und Rechtsanwälten in Gerichtsverfahren auseinandersetzen müssen.  Mit dem Inhalt des Urteils, den Entscheidungsgründen und der Bedeutung für die Praxis beschäftigt sich der nachfolgende Beitrag.  

Worum geht es?

Ursprünglich stritten die Parteien über arbeitsrechtliche Fragestellungen. Im Verlauf der Auseinandersetzung wurde zudem eine datenschutzrechtliche Komponente eingestreut, da die Arbeitnehmerseite die Ansicht vertrat, dass die prozessführende Rechtsanwältin des Arbeitgebers nicht zur Verwendung der Gesundheitsdaten des Arbeitnehmers im Prozess berechtigt gewesen sei. Konkrete hatte das Verfahren die Verwertung von vertraulichen Informationen aus einem Gespräch des betrieblichen Eingliederungsmanagements (beM) nach § 167 SGB IX zum Gegenstand. In dem arbeitsgerichtlichen Verfahren trug die Rechtsanwältin des Arbeitgebers unter anderem vor, dass im Rahmen des beM-Gesprächs eine mögliche Wiedereingliederung des Klägers, die Wiederaufnahme seiner Beschäftigung, ein ärztliches Attest und die Möglichkeit der Einrichtung eines Telearbeitsplatzes besprochen worden seien. Das Arbeitsgericht wies die Klage ab. Der Kläger legte anschließend Berufung ein und wandte sich zudem mit einer Beschwerde gegen die Verstöße der Rechtsanwältin durch den Vortrag der Gesundheitsdaten aus dem Arbeitsgerichtsprozess an die zuständige Datenschutzaufsichtsbehörde des Landes Niedersachsen.

Gegenstand der Beschwerde war die unbefugte Erhebung, Speicherung und Verwendung von höchstpersönlichen personenbezogenen, insbesondere gesundheitlichen und seine Schwerbehinderung betreffenden Daten. Die Rechtsanwältin habe sowohl mündlich in den Gerichtsterminen als auch in den eingereichten Schriftsätzen an das Arbeitsgericht mehrfach und umfangreich ohne die Zustimmung des Klägers aus dem beM- Gespräch zitiert. Die Aufsichtsbehörde folgte den Ausführungen nicht und teilte dem Kläger mit, dass die Verarbeitung personenbezogener Daten durch die Rechtsanwältin aus datenschutzrechtlicher Sicht nicht zu beanstanden sei. Weiter heißt es, die Verarbeitung personenbezogener Daten müsse nicht zwangsläufig auf die Einwilligung der betroffenen Person gestützt werden. Es solle durch den Datenschutz nicht bezweckt werden, dass die Rechtspflege zum Erliegen komme. Der Kläger habe selbst entsprechende personenbezogene Daten in den arbeitsgerichtlichen Prozess eingeführt, gegen die sich die Arbeitgeberin zu verteidigen habe. Dies begründe die Erforderlichkeit, konkrete Gesundheitsdaten zu verarbeiten, da sich andernfalls das Risiko, den Prozess zu verlieren, signifikant erhöhe. Gegen den Bescheid erhob der Kläger schließlich Klage vor dem VG Wiesbaden.

Was hat das Gericht entschieden?

Das VG Wiesbaden wies die Klage ab. Die Datenverarbeitung durch die Rechtsanwältin war und ist rechtmäßig zulässig. Nach Ansicht des Gerichtes sind Rechtsanwältinnen und Rechtsanwälte hinsichtlich ihres Vortrages in Gerichtsverfahren Verantwortliche im Sinne des Art. 4 Nr. 7 DS-GVO. Hiernach ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet […]. Rechtsanwälte sind nach § 1 Bundesrechtsanwaltsordnung (BRAO) unabhängige Organe der Rechtspflege. Der Rechtsanwalt ist gemäß § 3 Abs. 1 BRAO der berufene unabhängige Berater und Vertreter in allen Rechtsangelegenheiten. In dieser Eigenschaft verarbeitet er regelmäßig personenbezogene Daten im Rahmen des Mandats. Es handelt sich hierbei um eine berufsständisch verankerten unabhängige Tätigkeit. Rechtsanwältinnen und Rechtsanwälte sind daher datenschutzrechtlich selbst als Verantwortliche einzuordnen. Rechtsanwältinnen und Rechtsanwälte tragen selbst die Verantwortung für den Inhalt der Schriftsätze hinsichtlich Gestaltung und Haftung. Mithin entscheiden sie auch über den Zweck der Datenverarbeitung beim Inhalt des Vortrages.

Darüber hinaus war die gegenständliche Datenverarbeitung nach Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO i.V.m. Art. 9 Abs. 2 lit. f) DS-GVO auch rechtmäßig. Dies ist der Fall, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. In Betracht kommen hierbei rechtliche, wirtschaftliche oder ideelle Interessen. Im vorliegenden Fall liegt das Interesse der Rechtsanwältin laut Gericht darin, die vertragliche Verpflichtung mit ihrem Mandanten, der Arbeitgeberin, zu erfüllen. Dies umfasst die Prozessvertretung im arbeitsgerichtlichen Verfahren sowie entsprechende Vorträge. Die Rechtsanwältin erklärte sich zudem nicht im eigenen Namen über die Daten des Klägers, sondern als Vertreterin und im Namen der Partei über die ihr vom Mandanten zugetragenen Tatsachen. Bei den Äußerungen einer Rechtsanwältin oder eines Rechtsanwaltes im Prozess handelt es sich um Parteivortrag. Die Tätigkeit wäre unmöglich, wenn er nicht grundsätzlich das vortragen dürfte, was der Mandant mitteilt. Es besteht vielmehr sogar die Gefahr der Anwaltshaftung, wenn entgegen § 138 Abs. 2, Abs. 3 Zivilprozessordnung nicht der Vortrag der gegnerischen Partei bestritten und der Sachverhalt aus der Perspektive des Mandanten darstellt wird.

Auch die im Rahmen des Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO vorzunehmende Interessenabwägung zwischen dem berechtigten Interesse des Verantwortlichen bzw. einem Dritten (hier der Mandantschaft) an der Verarbeitung und dem Interesse des Klägers an der Vertraulichkeit seiner Daten geht nach Ansicht des VG Wiesbaden zu Gunsten der Rechtsanwältin aus. Die von der Rechtsanwältin verwendeten Daten sind weder falsch noch durch diese in rechtswidriger Weise beschafft. Gleiches gilt für die Gesundheitsdaten des Klägers, deren Verarbeitung nach Art. 9 Abs. 1 DS-GVO grundsätzlich untersagt ist. Nach Art. 9 Abs. 2 lit. f) DS-GVO gilt das Verbot dann nicht, wenn die Verarbeitung […] zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich [ist]. Diese Norm dient der Sicherung des Justizgewährleistungsanspruchs. Lässt sich ein rechtlicher Anspruch nur unter Verarbeitung besonderer Kategorien personenbezogener Daten, hier sensitiver Gesundheitsdaten, durchsetzen, so soll es hieran nicht scheitern. Das Datenschutzrecht soll die Durchsetzung von Rechten nicht unmöglich machen. Gleiches gilt vor dem Hintergrund der Waffengleichheit und des effektiven Rechtschutzes auch für die Abwehr von Ansprüchen.

FAZIT

Der Entscheidung des VG Wiesbaden kommt auf den ersten Blick unscheinbar daher, besonders für Rechtsanwältinnen und Rechtsanwälte dürfte sich allerdings eine hohe Praxisrelevanz entfalten. Zum einen führt das VG Wiesbaden in klarer Anwendung des Art. 4 Nr. 7 DS-GVO die Bestimmung des datenschutzrechtlich Verantwortlichen durch. Dieser kann mit Blick auf die Inhalte der Schriftsätze und Vorträge im Rahmen gerichtlicher Verfahren nur die prozessführende Rechtsanwältin bzw. der prozessführende Rechtsanwalt sein.

Darüber hinaus wird für Klarheit hinsichtlich der gegebenenfalls erforderlichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DS-GVO der Gegenseite gesorgt. Das Datenschutzrecht kann und will in diesen Konstellationen kein Hindernis für die legitime Rechtsdurchsetzung sein. Dieses Ergebnis muss insofern zwingend sein, als dass die Anwaltschaft ihre Stellung als unabhängiges Organ der Rechtspflege einnehmen kann. Im Rahmen einer möglicherweise erforderlichen Interesseabwägung bei der Datenverarbeitung ist jedoch stets auf die Eingriffsintensität und die Sensibilität der konkret zu verarbeitenden Daten zu achten. Von der Datenverarbeitung dürften nur solche personenbezogenen Daten erfasst werden, deren Vortrag für die gerichtliche Entscheidung letztendlich inhaltlich erforderlich sind. Zu berücksichtigen wird auch sein, ob der Betroffene vielleicht selbst die Daten in den Prozess eingebracht hat.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.