Unser heutiger Beitrag soll ein recht aktuelles Urteil des Bundesarbeitsgericht (BAG) vom 8. Mai 2025 (8 AZR 209/21) näher beleuchten. Dieses Urteil des BAG hat bereits in den vergangenen Wochen die datenschutzrechtliche Welt beschäftigt. Hierbei standen laut Pressemitteilung des BAG insbesondere Fragen rund um Datenverarbeitungen nach § 26 Abs. 4 Bundesdatenschutzgesetz (BDSG) im Zusammenhang mit Betriebsvereinbarungen und den Schadenersatz eines Beschäftigten nach Art. 82 DS-GVO aufgrund unzulässiger Datenübermittlungen innerhalb einer Konzerngruppe im Blickpunkt. Ein guter Bericht findet sich hier. Nunmehr wurde auch der Volltext des Urteils veröffentlicht.

Ein Blick in die Urteilsbegründung lohnt sich eben doch!

Viel spannender für die datenschutzrechtliche Praxis sind die Ausführungen des BAG ab Randziffer 16. Hier heißt es zunächst: „Die Verarbeitung dieser vorgenannten personenbezogenen Daten zu Testzwecken in Workday ist nicht nach Art. 88 Abs. 1 DSGVO iVm. § 26 Abs. 1 BDSG zulässig. § 26 Abs. 1 BDSG hat unangewendet zu bleiben.“ Noch einmal zum auf der Zunge zergehen lassen: „§ 26 Abs. 1 BDSG hat unangewendet zu bleiben.“

Zur Verdeutlichung, § 26 Abs. 1 Satz 1 BDSG umfasst als Grundtatbestand mehrere Regelungstatbestände: „Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist […].“ Auf Satz 2 verzichten wir an dieser Stelle, dieser enthält Vorgaben zur Datenverarbeitung zur Aufdeckung von Straftaten.

Und wie geht es nun weiter?

Wir erinnern uns zurück: Der Europäische Gerichtshof (EuGH) hat sich in seiner Entscheidung vom 30. März 2023 (Rs. C-34/21) mit der Vereinbarkeit des § 23 Abs. 1 Satz 1 Hessischen Datenschutz- und Informationssicherheitsgesetz (HDSIG) und der Datenschutz-Grundverordnung, insbesondere natürlich Art. 88 Abs. 1 DS-GVO, befasst und diese verneint (wir berichteten). Seitdem ist in der Literatur umstritten, ob dieses Urteil Ausstrahlungswirkung auf den wortgleichen § 26 Abs. 1 BDSG hat.

Nunmehr hat sich das BAG in seinem Urteil offenkundig mit der Rechtslage befasst. Es führt hierzu weiter aus: „§ 26 Abs. 1 BDSG erfüllt nicht die Voraussetzungen der Öffnungsklausel des Art. 88 DSGVO. Spezifischere Vorschriften iSv. Art. 88 Abs. 1 DSGVO sind nur gegeben, wenn sie sich nicht auf eine Wiederholung der Bestimmungen der Datenschutz-Grundverordnung beschränken, sondern einen zum normierten Bereich passenden Regelungsgehalt haben, der sich von den allgemeinen Regeln der Datenschutz-Grundverordnung unterscheidet.“

Und weiter: „Zudem müssen sie auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person iSv. Art. 88 Abs. 2 DSGVO umfassen […] Diese Anforderungen erfüllt § 26 Abs. 1 Satz 1 BDSG schon deshalb nicht, weil es an Schutzmaßnahmen iSv. Art. 88 Abs. 2 DSGVO fehlt.“

Das BAG spricht klar von einer Unanwendbarkeit des § 26 Abs. 1 BDSG, kommt aber bei den vertieften Ausführungen zu der Darstellung, dass „lediglich“ § 26 Abs. 1 Satz 1 BDSG die Anforderungen des Art. 88 Abs. 1 DS-GVO nicht erfüllt. Letzteres könnte in der Anwendung konsequent sein, da auch die vom EuGH zitierte Entscheidung beispielsweise nicht die Regelungen zur Aufdeckung von Straften adressiert.  

Das BAG führt zudem weiter aus, dass nationale Vorschriften, zur Gewährleistung des Schutzes der Rechte und Freiheiten von Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext, die nicht die Voraussetzungen und Grenzen des Art. 88 Abs. 1 und 2 DS-GVO beachten, unangewendet bleiben müssen, es sei denn die Rechtsvorschriften stellen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DS-GVO dar. Dies war in dem zugrundeliegenden Sachverhalt nicht gegeben.

Fazit

War nach dem Urteil des EuGH zum HDSIG noch umstritten, ob es eine Ausstrahlungswirkung des Urteils auf § 26 Abs. 1 Satz 1 BDSG gibt, verdichten sich nun mit dem Urteil des BAG die Anzeichen, dass Verantwortliche bei der Bewertung von Fragen rund um Datenverarbeitungen im Beschäftigungskontext auf Art. 6 Abs. 1 UAbs. lit. b) oder f) DS-GVO zurückgreifen müssen. Eventuell wird künftig sogar noch einmal der Plan nach einem Beschäftigtendatenschutzgesetz aus der Schublade geholt.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In einem vorangegangenen Beitrag haben wir uns mit einem Auszug aus dem aktuellen Tätigkeitsbericht des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI) und der dort aufgeworfenen Frage befasst, ob Art. 32 DS-GVO als taugliche Rechtsgrundlage im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO in Betracht kommt. Befasst haben wir uns insbesondere mit der Frage der Anforderungen an die Rechtsgrundlagen im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO. Kurzzusammenfassung: Es bedarf keiner unmittelbaren Datenverarbeitungsverpflichtung wie Sie beispielsweise der LfDI fordert, sondern es genügt in diesem Sinne eine Festlegung des Verarbeitungszwecks, nicht jedoch eine unmittelbare und ausdrückliche Spezifizierung der jeweiligen Datenverarbeitung.

Offen gelassen haben wir bis dato die (Folge-)Überlegung, ob Art. 32 DS-GVO die gestellten Anforderungen an eine belastbare Rechtsgrundlage zur Datenverarbeitung erfüllt. Dieser Thematik wollen wir uns im heutigen Beitrag einmal näher widmen.

Welche Anforderungen an die Rechtsgrundlagen gelten überhaupt?

Wie bereits dargestellt, ergeben sich die näheren Anforderungen an die potenzielle Rechtsgrundlage aus Art. 6 Abs. 2 und Abs. 3 DS-GVO. Es muss sich gemäß Art. 6 Abs. 3 UAbs. 1 DS-GVO um eine rechtliche Verpflichtung aus dem Unionsrecht oder aus dem Recht eines Mitgliedstaates, dem der Verantwortliche unterworfen ist, handeln. Zwingend erforderlich ist jedenfalls dass die Rechtsgrundlagen gemäß Art. 6 Abs. 3 UAbs. 2 Satz 1 DS-GVO einen Zweck der Verarbeitung festlegen.

Bei den jeweiligen mitgliedstaatlichen und nationalen Rechtsgrundlagen ist sodann zu prüfen, welche inhaltlichen Anforderungen an diese zu stellen sind. Dies umfasst im Sinne des Art. 6 Abs.3 UAbs. 2 Satz 2 DS-GVO, insbesondere welche spezifischeren Vorgaben durch die jeweilige Rechtsgrundlage gegebenenfalls gemacht werden. Schließlich muss die jeweilige Norm gemäß Art. 6 Abs. 3 UAbs. 2 Satz 3 DS-GVO ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

Erfüllt nun Art. 32 DS-gVO diese Anforderungen?

Nach Art. 32 DS-GVO treffen der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. An dieser Stelle entbrennt nunmehr ein Streit darüber, ob Art. 32 DS-GVO eine solche Rechtsgrundlage im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO ist.

Dies wird von Teilen der Literatur insbesondere unter Verweis und Vergleich auf Art. 17 RL 95/46/EG abgelehnt, da Art. 32 Abs. 1 DS-GVO lediglich die Sicherheit der Verarbeitung betreffen würde, und primär dazu dienen soll, den Schutz vor äußeren Einwirkungen und hier insbesondere vor rechtswidrigen Zugriffen Dritter zu verhindern. Die Datensicherheit sei unabhängig von Frage der Zulässigkeit der Verarbeitung personenbezogener Daten zu beurteilen, weshalb die Rechtmäßigkeit einer Datenverarbeitung nicht mit Art. 32 DS-GVO geregelt wird. Auf diesen Zug wollte auch der LfDI aufspringen: „Es ist zweifelhaft, ob Art. 32 DS-GVO eine rechtliche Pflicht nach Art. 6 Abs. 1 Satz 1 Buchst.c) DS-GVO begründet. Er verpflichtet die verantwortlichen Stellen nicht unmittelbar dazu, personenbezogene Daten zu verarbeiten.“ I

n der Literatur wird zudem regelmäßig ausgeführt, dass Maßnahmen der Datensicherheit regelmäßig sowieso unter Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO zu subsumieren seien. Diese Argumentation vom Ergebnis her mag jedoch nicht überzeugen. Ein Anschlussproblem entsteht zudem für Behörden (Anm.: der Wortlaut spricht nicht von öffentlichen Stellen per se), die sich aufgrund von Art. 6 Abs. 1 UAbs. 2 DS-GVO  in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung nicht auf den Tatbestand des berechtigten Interesses nach Abwägung berufen dürfen.

Gegen die aufgezeigte Annahme spricht zudem, dass auch Art. 17 RL 95/46/EG nicht explizit geregelt hat, welche Datenverarbeitungen im Zusammenhang mit der Datensicherheit vorzunehmen sind, dies wie soeben dargestellt im Rahmen des Art. 6 Abs. 3 UAbs. 2 Satz 1 DS-GVO jedoch auch nicht gefordert wird.

Darüber hinaus kann man eine mögliche Intention des Gesetzgebers aus Art. 32 DS-GVO selbst entnehmen.  Aufgrund der ausdrücklichen Normierung der Pseudonymisierung in den Regelbeispielen des Art. 32 Abs. 1 DS-GVO kann die Überlegung angestellt werden, dass der Gesetzgeber selbst davon ausging, dass Art. 32 Abs. 1 DS-GVO eine taugliche Rechtsgrundlage im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO darstellt.

Dies folgt aus der Tatsache, dass in Art. 4 Nr. 5 DS-GVO die Pseudonymisierung als Verarbeitung personenbezogener Daten in einer Weise beschrieben wird, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Mithin wird in Art. 32 Abs. 1 lit. a) DS-GVO bereits selbst beispielhaft auf eine Maßnahme verweisen, die ihrerseits die Verarbeitung personenbezogener Daten bedingt.

Die überzeugenderen Argumente sprechen nach hier vertretener Ansicht dafür, dass Art. 32 Abs. 1 DS-GVO eine taugliche Rechtsgrundlage im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO darstellen kann.

Inhaltliche Anforderungen Art. 32 DS-GVO

Nun sind Verantwortliche (und Auftragsverarbeiter) durch Art. 32 DS-GVO zur Umsetzung (unter Berücksichtigung der Abwägungsfaktoren) geeigneter technischer und organisatorischer Maßnahmen verpflichtet. Das Feld der potenziellen Sicherheitsmaßnahmen ist breit. In aller erster Linie ist an die Kontrolle von Zugriffen auf Systeme oder Daten durch eine möglichst umfassende Protokollierung zu denken. Hinzutreten „klassische“ Maßnahmen wie der Betrieb einer Firewall oder Einsatz von Antiviren-Software. In Betracht kommen ferner teils komplexe Sicherheitslösungen wie Intrusion Detection Systeme (IDS), Security Information and Event Management Systeme (SIEM-Systeme) und sogenannte Deep Packet Inspection. Daneben verdienen auch regelmäßige Schwachstellen Scans und Penetrationstests Beachtung.  Weiterhin sind sogenannte Honeypots denkbar. Ebenfalls können Data Loss Prevention Systeme genutzt werden.

Die Palette der möglichen Maßnahmen ist also sehr breit. Von den jeweils zu treffenden Maßnahmen wird letztendlich auch die Prüfung der Erforderlichkeit abhängen. Generell können hier aber wohl Überlegungen zur Pseudonymisierung und zur Verschlüsselung greifen. Weitere Steuerungen sind über die Festlegung von Löschfristen und Zugriffsberechtigungen möglich.

Fazit

Abschließen, soweit man dies sagen möchte, lässt sich der Streit um die Funktion von Art. 32 DS-GVO als Rechtsgrundlage nicht. Möglicherweise bedarf es auch keiner abschließenden Klärung. Verantwortlichen ist es nach hier Vertretern Ansicht jedenfalls möglich sich auf Art. 32 DS-GVO (in Verbindung mit Art. 6 Abs. 1 UAbs. 1 lit. c) DS-GVO) zur Verarbeitung personenbezogener Daten für Maßnahmen der Datensicherheit zu berufen.

Nichts desto stehts zumindest nicht-öffentlichen Stellen offensichtlich noch Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO als potenzielle Rechtsgrundlage zur Verfügung. Hier bestehen jedoch zwei Hindernisse: Zum einen sind die Anforderungen an diesen Tatbestand nicht bereits erfüllt, sofern der Verantwortliche ein berechtigtes Interesse vorweisen kann, sondern es bedarf jeweils noch eine entsprechenden Interessenabwägung – welche selbstverständlich auch zu dokumentieren ist. Zum anderen besteht das Risiko, dass sich Verantwortliche in der Praxis mit potenziellen Widerspruchsrechten von betroffenen auseinandersetzen müssen. Natürlich kann das Widerspruchsrecht kein rechtliches Argument sein, aber auf jeden Fall eine praktische Erwägung.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In unserem vor kurzem erschienen Blog-Beitrag zur NIS-2-Richtlinie und dem Datenschutz haben wir unter anderem das Thema der Verarbeitung personenbezogener Daten zur beziehungsweise durch die Umsetzung der durch die NIS-2-Richtlinie geforderten Maßnahmen aufgeworfen. Dieses Thema soll im heutigen Beitrag einmal vertieft werden, denn der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI) bespricht in seinem 40. Tätigkeitsbericht den Einsatz von Schadsoftware-Scannern (vgl. S. 60 f.) und die damit einhergehende Verarbeitung personenbezogener Daten. Hierbei widmet sich der LfDI – zumindest kurzzeitig – auch der Frage, ob Art. 32 DS-GVO als rechtliche Verpflichtung im Sinne des Art. 6 Abs. 1 UAbs. 1 lit, c), Abs. 3 DS-GVO in Frage kommt. Doch der Reihe nach.

Art. 32 DS-GVO adressiert die Datensicherheit

Ähnlich wie bei besagten Normen in der NIS-2-Richtlinie verpflichtet Art. 32 DS-GVO Verantwortliche zur Umsetzung technischer und organisatorischer Maßnahmen, wenngleich der Schutzweck der DS-GVO im Vergleich zur NIS-2-Richtlinie ein anderer ist. Das Feld der in Betracht kommenden Maßnahmen ist sehr weit zu fassen. In aller erster Linie ist an die Kontrolle von Zugriffen auf Systeme oder Daten durch eine möglichst umfassende Protokollierung zu denken. In Betracht kommen ferner teils komplexe Sicherheitslösungen wie Intrusion Detection Systeme (IDS), Security Information and Event Management Systeme (SIEM-Systeme) und sogenannte Deep Packet Inspection. Nicht selten weisen die im Rahmen dieser Maßnahmen verarbeiteten Daten einen Personenbezug auf. Hierunter zählen allen voran Log- und Protokolldaten aber ebenso Daten, die den Netzwerkverkehr betreffen.

… oder nicht?

Wie sich zeigt, ist die Umsetzung von relevanten Sicherheitsmaßnahmen selbst kaum ohne die Verarbeitung personenbezogener Daten möglich. Es darf daher durchaus die Frage nach der (datenschutzrechtlichen) Zulässigkeit aufgeworfen werden. Mit Blick auf die genannten Anforderungen aus der DS-GVO und der NIS-2-Richtlinie kann man durchaus auf die Idee kommen als Rechtsgrundlage zur Verarbeitung der im Rahmen der zu treffenden Sicherheitsmaßnahmen anfallenden personenbezogenen Daten auf die Erfüllung einer rechtlichen Verpflichtung im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c) DS-GVO abzustellen. Schauen wir uns hierzu die Norm einmal genauer an:

„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: […] die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;“

Zum besseren Verständnis kann beziehungsweise muss man zudem Art. 6 Abs. 3 DS-GVO hinzulesen:

„Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

1. Unionsrecht oder
2. das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX.

Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.“

An dieser Stelle beginnen die Überlegungen, ob Art. 32 DS-GVO als eben eine solche belastbare Rechtsgrundlage im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO in Betracht kommen kann, insbesondere, ob die Anforderungen an die Rechtsgrundlag nach Art. 6 Abs. 3 DS-GVO erfüllt werden.

Vertiefte Auseinandersetzung, eher nein.

Der LfDI führt zur der Thematik aus: „Den Einsatz von Systemen der IT-Sicherheit auf Art. 6 Abs. 1 Satz 1 Buchst. c) DS-GVO in Verbindung mit Art. 32 DS-GVO zu stützen, halten wir für problematisch. Es ist zweifelhaft, ob Art. 32 DS-GVO eine rechtliche Pflicht nach Art. 6 Abs. 1 Satz 1 Buchst. c) DS-GVO begründet. Er verpflichtet die verantwortlichen Stellen nicht unmittelbar dazu, personenbezogene Daten zu verarbeiten. Die in einer Vorschrift des objektiven Rechts vorgesehene „rechtliche Verpflichtung“ muss sich zumindest nach einer Ansicht unmittelbar auf die Datenverarbeitung beziehen. Allein der Umstand, dass Verantwortliche, um irgendeine rechtliche Verpflichtung erfüllen zu können, auch personenbezogene Daten verarbeiten müssen, reicht hiernach nicht aus (LSG Hessen BeckRS 2020, 1442, Rn 13).“

Alles in allem wirken die Ausführungen etwas „dünn“. Der LfDI nimmt ohne weitere Begründung an, dass es nach Art. 6 Abs. 3 DS-GVO erforderlich ist, dass die in Betracht kommende Vorschrift einen unmittelbaren Datenverarbeitungsbezug aufweisen muss. Dies ist aber – wie auch im Nebensatz erwähnt – durchaus umstritten und keines Falles eine gesicherte Auffassung. Für die Annahme eines nur mittelbaren Datenverarbeitungsbezuges beziehungsweise eines weiten Verständnisses kann hier zum Beispiel Erwägungsgrund 45 der DS-GVO herangezogen werden: Dieser konkretisiert die Anforderungen an die Rechtsgrundlagen, arbeitet dabei ausdrücklich mit Formulierungen, die ebenfalls für einen Ermessensspielraum sprechen.  Mit Blick auf Art. 6 Abs. 3 UAbs. 2 Satz 1 DS-GVO ist zudem vielmehr erforderlich, dass der Zweck der Verarbeitung in der jeweiligen Rechtsgrundlage festgelegt wird.

Der durch den LfDI zitierten Entscheidung des Landessozialgerichtes (LSG) Hessen ist zu entnehmen, dass die rechtliche Verpflichtung dadurch gekennzeichnet wird, dass sich die in einer Vorschrift des objektiven Rechts normierte Verpflichtung unmittelbar auf die Datenverarbeitung beziehen muss und allein der Umstand, dass ein Verantwortlicher zur Erfüllung einer rechtlichen Verpflichtung auch personenbezogene Daten verarbeiten muss, nicht ausreicht. Als Beispiel nennt das Gericht sodann § 20 Zehntes Buch Sozialgesetzbuch (SGB X). Die Norm selbst enthält bei näherer Betrachtung jedoch keine Erlaubnis zur Datenverarbeitung, sondern normiert als rechtliche Verpflichtung den Amtsermittlungsgrundsatz. Ein Datenschutzbezug wird erst durch die konkretisierenden Befugnisnormen der §§ 67 ff. SGB X hergestellt. Der Datenschutzbezug entspringt daher gerade nicht aus der spezifischen Rechtsnorm.

Wenn man weiter umschaut und eine Entscheidung des Verwaltungsgerichtshof Mannheim (VGH Mannheim, Beschl. v. 15.2.2019 – 1 S 188/19, BeckRS 2020, 2625.) heranzieht, entspricht beispielsweise § 86 Verwaltungsgerichtsordnung (VwGO) in Verbindung mit § 99 VwGO den Anforderungen des Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO. Hieraus folgt eine Verpflichtung von Behörden zur Vorlage von Urkunden oder Akten, zur Übermittlung elektronischer Dokumente und zur Erteilung von Auskünften. Der Zweck der Datenverarbeitung wird in § 86 VwGO selbst nicht erwähnt, ebenso wenig erfolgt eine konkrete Bezugnahme zu einer Datenverarbeitung. Dennoch soll die Pflicht die geforderten Voraussetzungen erfüllen. Es ist also gar nicht so einfach.

Fazit

Es bleibt festzuhalten, dass die Rechtslage so eindeutig wie vielleicht im Tätigkeitsbericht des LfDI dargestellt, sich in der Praxis nicht abzeichnet. Apropos Praxis: Warum ist dieser Streit vielleicht entscheidend? Die einfache Antwort: Art. 6 Abs. 1 UAbs. 1 lit.c) hat gegenüber lit. f) DS-GVO sowohl rechtliche (Stichwort Interessenabwägung) als auch praktische Vorteile (Stichwort Widerspruchsrecht). Abschließend lässt sich die Diskussion in unserem Blog-Beitrag heute aber nicht auflösen. Gerne widmen wir uns in einem folgenden Beitrag noch der Frage, ob Art. 32 DS-GVO vielleicht doch nicht als Rechtsgrundlage in Betracht kommt, weil der Zweck der Norm ein anderer ist, nämlich die Herstellung der Datensicherheit (und ja, das ist eine andere Frage im Vergleich, ob ein unmittelbarer Datenverarbeitungsbezug vorliegen muss).

An dieser Stelle sei aber noch erwähnt, dass die Herausforderungen in der Praxis sich nicht allein in der Bestimmung der belastbaren Rechtsgrundlage ergötzen. Vielmehr kommt insbesondere auch der Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e) DS-GVO zum Tragen. Man wird sich zwangsläufig damit beschäftigten müssen, wie weit der Grundsatz reicht beziehungsweise wie weit er ausgereizt werden darf. Ganz konkret: Wie lange dürfen die Daten aufgrund zukünftiger Bedürfnisse (zum Beispiel: Fehlersuche, Angriffserkennung, …) erfasst werden. Insbesondere bei den sogenannten Logfiles gehen die Rechtsansichten weit auseinander.

Ebenfalls interessant ist natürlich die Erfüllung der Informationspflichten nach Artt. 12 – 14 DS-GVO. Hier muss wohl zu Recht hinterfragt werden, wie viel an Information denn überhaupt geschuldet ist oder mit anderen Worten: Wie viel muss ich als Verantwortlicher tatsächlich offenlegen?

Ein allerletzter Hinweis sei noch gestattet: Die weiteren Ausführungen des LfDI an dieser Stelle im Tätigkeitsbericht betreffen den Rückgriff öffentlicher Stellen für Maßnahmen der IT-Sicherheit auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO und das Verhältnis zwischen Art. 6 Abs. 1 UAbs. 2 DS-GVO zu Art. 6 Abs. 1 UAbs. 1 lit. e) DS-GVO. Dies sind ebenfalls rechtlich und praktisch interessante Fragestellungen. Diesen wollen wir in einem (Folge-)Folgebeitrag vertiefen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Viel wird in den letzten Wochen und Monaten über die NIS-2-Richtlinie gesprochen und berichtet. Doch was genau regelt diese Richtlinie eigentlich? Welche Ziele verfolgt Sie? Und was hat das alles mit Datenschutz zu tun? Diesen Fragen soll sich der heutige Blog-Beitrag widmen.

Der aktuelle „Umsetzungsstand“

Mit der Richtlinie (EU) 2022/2555 des Europäischen Parlamentes und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) verfolgt die EU allem voran das Ziel der Harmonisierung und Stärkung der Cybersicherheit in Deutschland. Da es sich bei der NIS-2-Richtlinie um eine Richtlinie und beispielsweise im Vergleich zur DS-GVO nicht um eine Verordnung handelt, ist noch eine Umsetzung der vorgaben in nationales Recht erforderlich. So weit, so gut.

Die aktuelle Lage zur Umsetzung der NIS-2-Richtlinie in Deutschland ist vorsichtig ausgedrückt eher bescheiden. Die Umsetzungsfrist ist bereits am 17. Oktober 2024 ausgelaufen, ohne dass es auf Bundesebene zur einer Umsetzung gekommen ist. Es lag zwar ein Referentenentwurf eines Umsetzungsgesetzes, das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), vor. Dieser Entwurf ist jedoch den Neuwahlen der Deutschen Bundesregierung und dem Diskontinuitätsprinzip „zum Opfer“ gefallen. Eine Umsetzung wird nun vermutlich erst im 2. Halbjahr 2025 erfolgen. Die Bundesrepublik wird aufgrund eines Vertragsverletzungsverfahren aber ziemlich sicher zu Kasse gebeten werden. 

In einigen Bundesländern dagegen wurden die Vorgaben in entsprechenden Landesgesetzen ratifiziert. Als Beispiel kann hier auf das Sächsische Informationssicherheitsgesetz des Freistaates Sachsen verweisen werden.

NIS-2-Richtlinie und Datenschutz

Unabhängig von der aktuellen Situation rund um die Umsetzung der Vorgaben der NIS-2-Richtlinie in Deutschland lohnt sich ein Blick in die Regelungen der Richtlinie. Viele Regelungen dienen in erster Linie den gesetzten Zielen, allen voran der Stärkung der Cybersicherheit. Hierfür sind insbesondere die verschärften Vorgaben zu den Risikomanagementmaßnahmen im Bereich der Cybersicherheit (Art. 21 NIS-2-RL) sowie die Berichtspflichten (Art. 23 NIS-2-RL) und die Nutzung der europäischen Schemata für die Cybersicherheitszertifizierung (Art. 24 NIS-2-RL) zu nennen.

Den Fokus möchten wir im Folgenden auf die Risikomanagementmaßnahmen legen. Nach Art. 21 Abs. 1 NIS-2-RL müssen die gesetzlichen Adressaten der Regelungen (sogenannte wesentliche und wichtige Einrichtungen) „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen“, „um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten“.

Anschließend werden in Art. 21 Abs. 2 NIS-2-RL Maßnahmen gelistet, die von den verantwortlichen Einrichtungen mindestens umzusetzen sind. Hierzu gehören unter anderem Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme; Maßnahmen zur Bewältigung von Sicherheitsvorfällen; Maßnahmen zur Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement; Maßnahmen zur Sicherheit der Lieferkette; grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit; Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung sowie die Verwendung von Lösungen zur Multi-Faktor-Authentisierung.

An dieser Stelle können wir nun eine Brücke zum Datenschutz schlagen – es gibt noch weitere Anknüpfungspunkte, die wir heute aber außer Acht lassen wollen. Mit Blick auf die gelisteten Maßnahmen wird deutlich, dass die Umsetzung zahlreicher dieser Maßnahmen nicht ohne die Verarbeitung personenbezogener Daten auskommen wird, vielmehr noch wird die Datenverarbeitung sogar teilweise essentieller Bestandteil sein. Jedoch erfordert die Verarbeitung personenbezogener Daten stets die Einhaltung der Grundsätze aus Art. 5 DS-GVO, insbesondere das Vorliegen einer belastbaren Rechtsgrundlage. An dieser Stelle lohnt sich ein weiterer Blick ins Gesetz, genauer gesagt in Erwägungsgrund 121 Satz 1 NIS-2-RL:

„Die Verarbeitung personenbezogener Daten durch wesentliche und wichtige Einrichtungen in dem zur Gewährleistung der Sicherheit von Netz- und Informationssystemen erforderlichen und verhältnismäßigen Umfang könnte auf der Grundlage als rechtmäßig angesehen werden, dass diese Verarbeitung einer rechtlichen Verpflichtung entspricht, der der Verantwortliche gemäß Artikel 6 Absatz 1 Buchstabe c und Artikel 6 Absatz 3 der Verordnung (EU) 2016/679 [Anm.: DS-GVO] unterliegt.“ Und in Satz 2 heißt es weiter: „Die Verarbeitung personenbezogener Daten könnte auch für berechtigte Interessen erforderlich sein, die von wesentlichen und wichtigen Einrichtungen sowie von Anbietern von Sicherheitstechnologien und -diensten, die im Namen dieser Einrichtungen handeln, gemäß Artikel 6 Absatz 1 Buchstabe f der Verordnung (EU) 2016/679 [Anm.: DS-GVO] wahrgenommen werden […]“.

Für die zur Umsetzung der Maßnahmen nach der NIS-2-RL verpflichteten Unternehmen bedeutet dies, dass zwischen der Rechtsgrundlage Art. 6 Abs. 1 UAbs. 1 lit. c), Abs. 3 DS-GVO i.V.m. mit der Pflicht zur Umsetzung der entsprechenden Maßnahme oder Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO unterschieden werden muss. In der Praxis bedeutet dies eine Differenzierung zwischen dem Verhältnismäßigkeitsgrundsatz und Bestimmtheitserfordernis des Art. 6 Abs. 1 UAbs. 1 lit. c) DS-GVO und der Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO und dem damit einhergehenden Widerspruchsrecht. Für öffentliche verantwortliche Stellen lohnt sich zudem ein Blick Art. 6 Abs. 1 UAbs. 2 DS-GVO.

Zudem sind die Vorgaben im Rahmen der datenschutzrechtlichen Rechenschaftspflicht, zum Beispiel Erfüllung der Informationspflichten nach Art. 13 und 14 DS-GVO oder Führung des Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DS-GVO, zu berücksichtigen.  

Verpflichtung trotz nichtumsetzung?

Mit einer spannenden Anschlussfrage zu diesem Thema setzt sich Dr. Jens Eckhardt in der Podcast-Folge „NIS-2: Erfüllung einer Rechtspflicht ohne Rechtspflicht“ bei Otto Schmidt live – der Podcast auseinander: Dürfen die Datenverarbeitungen wie oben beschrieben trotz Nichtumsetzung der NIS-2-RL überhaupt verarbeitet werden? Reinhören lohnt sich.

Fazit

Trotz aktueller Nichtumsetzung der NIS-2-RL in nationales Recht durch die Bundesrepublik Deutschland sind verantwortliche Stelle gut beraten, sich mit den Anforderungen und deren Umsetzung auseinanderzusetzen – denn: Aufgeschoben ist nicht aufgehoben. Hierbei müssen zwingend die datenschutzrechtlichen Implikationen berücksichtigt werden. Wer noch mehr über das Thema erfahren will, hat die Möglichkeit das Aufeinandertreffen von Sicherheitsbedürfnis und Datenschutz in meinem Werk „Verarbeitung personenbezogener Daten zum Schutz gegen Cyber-Angriffe“ erschienen im Oldenburger Verlag für Wirtschaft, Informatik und Recht nachzulesen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Hinein ins Vergnügen – oder wie immer Sie diesen Artikel empfinden. Jedenfalls gehört er sicher zu den bekanntesten und am häufigsten zitierten innerhalb der DS-GVO. Schließlich finden sich hier die Rechtsgrundlagen aka Erlaubnistatbestände, täglich Brot für alle Verantwortlichen und ihre Datenschutzbeauftragten. Deshalb eine kleine Gedächtnisübung und -prüfung zur Auflockerung des Spaziergangs: Buchstabe (a) betrifft? Buchstabe (b) befasst sich mit? (c)? (d)? – bis wohin?

Absatz 1

Mit der Einwilligung befassen uns bei den nächsten Wanderzielen (Art. 7 und Art. 8) gleich noch ausführlicher. Deshalb laufen wir am Buchstaben (a) einfach vorbei. Bei der Datenverarbeitung für die Durchführung und Anbahnung von Verträgen (b) ist wichtig und wird gelegentlich in der Praxis übersehen, dass unbedingt die betroffene Person (potentielle) Vertragspartei sein muss. Bei einem Vertragsschluss mit einer GmbH hilft (b) deshalb nicht für die Speicherung der Personalien der Geschäftsführung. Insoweit muss auf (c), (e) oder (f) zurückgegriffen werden.

Buchstabe (c) erlaubt Datenverarbeitung zur Erfüllung rechtlicher Verpflichtungen des Verantwortlichen – also nicht rechtlicher Pflichten Dritter. Durch dieses sehr kleine Schlüsselloch wird das gesamte Recht der Europäischen Union und aller Mitgliedstaaten wichtig als riesengroßer Quell möglicher Datenverarbeitungen. Wenn zum Beispiel die Aufbewahrungsfristen für Arbeitszeitbelege im Mitgliedstaat A bei zwei Jahren und Mitgliedstaat B bei zehn Jahren liegen, unterscheidet sich die rechtmäßige Datenverarbeitung trotz Datenschutz-Grundverordnung zwischen den Staaten ganz erheblich. Das Recht von Drittstaaten taugt nicht als Rechtspflicht nach (c), siehe Absatz 3 Satz 1.

Buchstabe (d) ist überflüssig, weil es Buchstaben (f) gibt. Wenn lebenswichtige Interessen von Menschen geschützt werden müssen, können die gegenläufigen Interessen der Betroffenen nie überwiegen. Die Einschränkung von (f) für Behörden schadet insoweit nicht: Entweder gehört der Lebensschutz zu den Behördenaufgaben, dann (e), oder nicht, dann (f).

Buchstabe (e) ist in der zweiten Variante („Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde“) klar und in der ersten Variante („Wahrnehmung einer Aufgabe … die im öffentlichen Interesse liegt“) seltsam. Dürfen wir etwa alle Daten verarbeiten, wenn es im öffentlichen Interesse liegt? Wahrscheinlich ist es so nicht gemeint und die DS-GVO hat auch an dieser Stelle Löschpotenzial.

Der wichtige Buchstabe (f) schließlich erlaubt Verarbeitungen immer dann, wenn die gegenläufigen Interessen der Betroffenen nicht überwiegen – bei gleichstarken Interessen also: Datenverarbeitung erlaubt. Satz 2 wird manchmal missverstanden: Auch Behörden dürfen sich auf (f) berufen, allerdings nicht, wenn sie als Behörde, also hoheitlich handeln. Eine Stadtverwaltung darf ihren pensionierten Beschäftigten also Weihnachtskarten an die Wohnanschrift senden, solange diese nicht ablehnen. Aber sie darf nicht ohne gesetzliche Grundlage deren Wohnungsgrundriss speichern, weil man das im Brandfall vielleicht mal brauchen könnte. Ob eine Datenverarbeitung durch das berechtigte Interesse erlaubt ist, bereitet in der Praxis manchmal Kopfzerbrechen. Hilfreich für die Abwägung der Betroffenen-Interessen ist oft: Einfach mal einige Menschen aus der betroffenen Gruppe fragen.

Während Absatz 1 zur Datenschutz-Grundausbildung gehört, werden die Folge-Absätze 2 bis 4 seltener gelesen. Deshalb an dieser Stelle die Bitte: Tun Sie es doch gleich jetzt einmal!

Absatz 2

Absatz 2 am besten danach sofort wieder vergessen. Aus ihm ergibt sich gar nichts – das aber so richtig kompliziert.

Absatz 3

Absatz 3 ist sehr inhaltsarm; am wichtigsten wohl noch die schon erwähnte Festlegung in Satz 1: Pflichten im Sinne von Absatz 1 Buchstaben (c) und (e) kommen nur aus dem Recht der Europäischen Union und der Mitgliedstaaten, also nicht zum Beispiel aus brasilianischem Recht. Alles andere versteht sich von selbst und wäre auch so, wenn Absatz 3 nach dem ersten Satz enden würde.

Absatz 4

Dann aber Absatz 4 – der hat es in sich. Oder sagen wir mal: Vielleicht. Die noch ungeklärte Frage ist, ob Absatz 4 als eigene Rechtsgrundlage für Datenverarbeitungen mit Zweckänderung funktioniert, oder ob immer noch zusätzlich eine Grundlage aus Absatz 1 benötigt wird. Also: Macht Absatz 4 die Zweckänderung leichter oder schwerer? Diskutiert wird das momentan vor allem mit Blick auf die (massenhaften) Zweckänderungen, wenn KI-Systeme mit Datenbeständen trainiert werden. Was meinen Sie? Der Gesetzgeber könnte es natürlich klarstellen – aber das ist sehr unwahrscheinlich. Positiv gesehen: Die Entscheidung bleibt den Datenschützern überlassen, und letztlich dem EuGH.

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der Data Act als ein Baustein der europäischen Datenstrategie wurde bereits im vergangenen Jahr durch den Rat der Europäischen Union verabschiedet und ist zum 11. Januar 2024 in Kraft getreten. Ähnlich wie beispielsweise bereits bei der DS-GVO gilt zunächst eine Übergangsfrist, sodass der Data Act erst ab dem 12. September 2025 vollumfänglich anzuwenden sein wird. Der Data Act enthält dabei insbesondere Vorschriften bezüglich der Weitergabe von Daten von Unternehmen an Verbraucher sowie zwischen Unternehmen und scheint damit auf dem ersten Blick im Widerspruch mit der DS-GVO zu stehen. Doch ist dem wirklich so?

Ziele des Data Acts

Die Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung sowie zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828 – kurz Data Act oder Datenverordnung (auch Datengesetz) zielt auf eine bessere Nutzung von Daten als Wirtschaftsgut sowie auf eine Förderung eines wettbewerbsfähigen Datenmarktes hin. Nutzerinnen und Nutzer von vernetzten Geräten und Produkten sollen darüber entscheiden können, wie mit dem gewonnenen Daten umzugehen ist, an deren Entstehung sie maßgeblich mitgewirkt haben.

Der Data Act betrifft demnach vor allem Hersteller von vernetzten Produkten (Art. 2 Nr. 5 Data Act) wie zum Beispiel IoT-Geräte sowie Anbieter verbundener Dienste (Art. 2 Nr. 6 Data Act) wie zum Beispiel Anwendungen zu smarten Geräten wie Fitness-Uhren.

Eine zentrale Pflicht ergibt sich aus Art. 3 Abs. 1 des Data Acts, wonach vernetzte Produkte und verbundene Dienste so konzipiert und hergestellt bzw. erbracht werden, dass die Produktdaten und verbundenen Dienstdaten – einschließlich der für die Auslegung und Nutzung dieser Daten erforderlichen relevanten Metadaten – standardmäßig für den Nutzer einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind. Nach Art. 5 Abs. 1 des Data Acts sind diese Daten auf Verlangen des Nutzers oder der Nutzerin einem Dritten zur Verfügung zu stellen.

Die Regelungen des Data Acts umfassen sowohl personenbezogene als auch nicht-personenbezogene Daten und sollen mit einem derart umfassenden Anwendungsbereich den Nutzerinnen und Nutzern insbesondere vereinfachte Wechselmöglichkeiten zwischen Diensten bieten. Damit stellt sich jedoch zeitgleich die Frage, inwiefern die Regelungen des Data Acts möglicherweise im Widerspruch zu denen der DS-GVO stehen.

Steht der Data Act im Widerspruch zur DS-GVO?

Mit einem Blick auf Erwägungsgrund 7 zum Data Act wird schnell deutlich: Die Regelungen der DS-GVO bleiben durch den Data Act unberührt und beide Rechtsakte sind unabhängig voneinander anzuwenden: „Die vorliegende Verordnung ergänzt das Unionsrecht zum Schutz personenbezogener Daten und zum Schutz der Privatsphäre, insbesondere die Verordnungen (EU) 2016/679 [DS-GVO, Anm. d. Autors] […], und lässt es unberührt. Keine Bestimmung dieser Verordnung sollte dahingehend angewandt oder ausgelegt werden, dass das Recht auf den Schutz personenbezogener […] abgeschwächt oder eingeschränkt wird.“

Zudem ist Erwägungsgrund 7 zum Data Act zu entnehmen, dass Verarbeitungen personenbezogener Daten zur Umsetzung der Anforderungen aus dem Data Act einer Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO und gegebenenfalls nach Art. 9 Abs. 2 DS-GVO erfordern. Hierbei ist jedoch zu beachten, dass der Data Act als solcher selbst keine Rechtsgrundlage zur Verarbeitung personenbezogener Daten darstellt. Für den Fall, dass ein Nutzer im Sinne des Data Acts von einer betroffenen Person im Sinne der DS-GVO abweicht, schlägt Erwägungsgrund 7 zum Data Act die Anonymisierung personenbezogener Daten vor.

Auch in den weiteren Erwägungsgründen und Artikeln des Data Acts wird auf die Regelungen der DS-GVO verwiesen und auf deren uneingeschränkte Geltung hingewiesen. So zum Beispiel in Erwägungsgrund 8 mit Verweis auf die Grundsätze der Datenminimierung und des Datenschutzes durch Technikgestaltung, in Art. 5 Abs. 8 bezüglich der Rechte betroffener Personen oder in Art. 6 Abs. 2 lit. b) hinsichtlich der Regelungen zu Profiling. Im Übrigen sind die Datenschutz-Aufsichtsbehörden gemäß Art. 37 Abs. 3 des Data Acts auch hinsichtlich des Schutzes personenbezogener Daten im Anwendungsbereich des Data Acts zuständig. Die Regelungen der DS-GVO in Kapitel VI und in Kapitel VII finden sinngemäß Anwendung. Gemäß Art. 40 Abs. 4 des Data Acts gilt dies ebenfalls für den anzulegenden Bußgeldrahmen.

Fazit

Die Regelungen des Data Acts zeigen deutlich auf, dass durch die Datenstrategie der Europäischen Union in keinem Fall eine Einschränkung des Rechts auf informationelle Selbstbestimmung erfolgen soll. Die Normen der DS-GVO finden auch in Umsetzung der Anforderungen des Data Acts uneingeschränkte Anwendung. Für Unternehmen, die in den Anwendungsbereich des Data Acts fallen, kann hierbei ein nicht zu vernachlässigendes Spannungsfeld entstehen, das unter anderem gemeinsam mit dem Datenschutzbeauftragten erörtert werden sollte. Der Zeitraum bis zum 12. September 2025 sollte in jedem effektiv zur Vorbereitung genutzt werden.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der vorliegende Beitrag befasst sich mit der Reichweite des Rechts auf Löschung gemäß Art. 17 Abs. 1 DS-GVO. Hintergrund ist ein Sachverhalt, mit dem sich das Oberlandesgericht Naumburg (Beschl. v. 11.1.2023, Az. Wx 5 14/22) befassen musste. In dem Fall ging es (kurz umrissen) um ein Unternehmen, dessen Gesellschafter die Löschung bzw. Schwärzung ihrer Unterschriften in einer von ihnen eingereichten Gesellschafterliste und auf einer Grundstücksurkunde beantragten.

Bereits am 10. Oktober 2022 wandten sich die Gesellschafter an das zuständige Registergericht und beantragten unter Berufung auf Art. 17 DS-GVO die Schwärzung ihrer Unterschriften in den jeweiligen Dokumenten. Der Antrag wurde kurz darauf vom Gericht abgewiesen, wogegen die Beteiligten Beschwerde einlegten. Diesmal stützten sie sich jedoch auf das Recht auf informationelle Selbstbestimmung. Das Registergericht legte die Beschwerde daraufhin dem Oberlandesgericht Naumburg zur Entscheidung vor.

Die Entscheidung im Einzelnen

Das Oberlandesgericht Naumburg stellte in seiner Entscheidung fest, dass Art. 17 Abs. 1 DS-GVO aufgrund der Ausnahmevorschrift des Art. 17 Abs. 3 lit. b) DS-GVO (Widerruf der Einwilligung, Fehlen einer Rechtsgrundlage) im Registerwesen keine Anwendung findet.

Das Gericht argumentiert, dass Art. 17 Abs. 1 DS-GVO anwendbar ist, wenn „die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“ und stellt klar, dass die Tätigkeit zur Erfüllung von Publizitätspflichten seitens des Hoheitsträgers zur Ausübung ihrer hoheitlichen Befugnisse gehört. Zudem stellt die Ausübung ebenjener Tätigkeit eine im öffentlichen Interesse liegende Aufgabe im Sinne des Art. 17 Abs. 3 lit. b) DS-GVO dar.

Das Gericht hat zudem auf vergangene Urteile verweisen, in denen bereits vor der DS-GVO klargestellt wurde, dass die Registerpublizität dem Persönlichkeitsschutz vorrangig ist (Europäischer Gerichtshof, Urt. v. 9.3.2017 – C-398/15). Zuletzt stellt das Oberlandesgericht fest, dass sich ein Löschungsanspruch auch aus dem Grundrecht auf informationelle Selbstbestimmung der Beteiligten nicht ableiten lässt, da Dokumente, die bereits im Registerordner eingestellt sind, zum Schutz der Registerwahrheit grundsätzlich nicht verändert werden können. Aus diesem Grund ist es nicht die Aufgabe des Registergerichts, nachträglich in freigegebene Dokumente einzugreifen.

Fazit

Das Urteil zeigt, dass die Reichweite des Rechts auf Vergessenwerden oder zumindest das Recht auf Löschung durchaus begrenzt ist. Art. 17 Abs. 3 lit. a) bis e) DS-GVO geben einen gewissen, wenn auch sehr abstrakten Aufschluss darüber. Es ist jedoch genau diese Abstraktion, die es vielen Betroffenen deutlich erschwert zu bestimmen, ob sie nun ein Recht auf Löschung ihrer Daten haben oder nicht. Auch die Gerichte tun sich zu Teilen bei derartigen Fragestellungen schwer.

Welche Gründe auch immer eine Person dazu führen, die Unterschrift aus der offiziellen Gesellschafterurkunde löschen zu lassen, insbesondere wenn die Gesellschaft noch existiert – für diesen Fall schafft das aktuelle Urteil Gewissheit und stellt klar, dass die Registerpublizität in diesem Fall sogar einen höheren Rang hat als der Schutz der Persönlichkeit.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.