(weitere) Speicherung bestimmter Daten zu diesem Zweck für eine bestimmte Speicherfrist nach dem Austausch von Waren/Diensten/Zahlungen für die Vertragserfüllung erforderlich sein.26 Zwar verwendet der EDSA den Begriff der „vertraglichen Garantie“ (in der englischsprachigen Fassung: „contractual warranty“), doch ergibt sich nach hier vertretener Lesart aus dem Zusammenhang, dass hiermit wohl (auch) die Gewährleistung gemeint ist. Weitere Konkretisierungen im Hinblick auf die (nach seiner Ansicht) in diesem Zusammenhang zulässige Aufbewahrungszeit und etwa erforderliche (zusätzliche) Voraussetzungen für die weitere Aufbewahrung der Daten nimmt der EDSA nicht vor.
25
Nach hier vertretener Ansicht sprechen aber gute Gründe dafür, dass die weitere Aufbewahrung der relevanten Daten auf Basis von Art. 6 Abs. 1 lit. b DSGVO bis zum Ablauf der maßgeblichen Gewährleistungsfrist zulässig ist.27 Im Rahmen von Kaufverträgen gilt nach § 438 Abs. 1 Nr. 3 BGB für Mängelgewährleistungsansprüche z.B. in der Regel eine zweijähre Verjährungsfrist, die mit der Ablieferung der Sache beginnt. Andernfalls ließe sich die Aufbewahrung dieser Daten bis zum Ende der Gewährleistungsfrist wohl nur noch auf Art. 6 Abs. 1 lit. f DSGVO (Datenverarbeitung auf Basis einer Interessenabwägung) stützen oder der Verantwortliche müsste die Daten ggf. sogar vorher löschen.28 Es darf jedoch nach hier vertretener Ansicht nicht von ggf. entgegenstehenden Interessen der betroffenen Person abhängig sein, ob der Verantwortliche Daten zu diesem Zweck verarbeiten und gespeichert halten darf oder nicht. So kann sich der Verantwortliche ggf. nicht mehr effektiv verteidigen, wenn z.B. ein Kunde nach einer gewissen Zeit noch (unberechtigte) Gewährleistungsansprüche gegen ihn geltend macht, ihm aber keine entsprechenden Daten zu dem (abgewickelten) Geschäft mehr vorliegen.
26
Außerdem kann es nach hier vertretener Ansicht auch nach Beendigung des Vertrages noch zulässig sein, eine Datenverarbeitung auf Art. 6 Abs. 1 lit. b DSGVO zu stützen, wenn diese zur Erfüllung nachvertraglicher Sorgfaltspflichten erforderlich ist.29
27
Aus dem eindeutigen und klaren Wortlaut der Norm folgt zudem, dass eine Datenverarbeitung nur dann auf Art. 6 Abs. 1 lit. b Alt. 1 DSGVO gestützt werden kann, wenn ein Vertrag abgeschlossen wird/wurde. Entscheidend hierfür und Art. 6 Abs. 1 lit. b DSGVO zu Grunde liegend ist, dass sich die betroffene Person willentlich dazu entschieden hat, in eine (zivilrechtliche) Rechtsbeziehung mit dem Verantwortlichen zu treten.30 Hieraus folgt, dass der Begriff des „Vertrags“ i.S.d. Art. 6 Abs. 1 lit. b DSGVO so auszulegen ist, dass er auch rechtsgeschäftsähnliche Schuldverhältnisse (wie z.B. Gefälligkeitsverhältnisse, mitgliedschaftliche Beziehungen oder die Teilnahme an einem Preisausschreiben) umfasst.31 Allerdings ist der in der Praxis wohl wichtigste Fall der Datenverarbeitung im Rahmen eines rechtsgeschäftsähnlichen Schuldverhältnisses die Datenverarbeitung im Rahmen eines vorvertraglichen Schuldverhältnisses i.S.d. § 311 Abs. 2 BGB. Eben diese Datenverarbeitung ist in Art. 6 Abs. 1 lit. b Alt. 2 DSGVO gesondert geregelt und nur unter den dort genannten Voraussetzungen erlaubt.32
28
Bei einseitigen Schuldverhältnissen (wie z.B. der Auslobung oder dem Testament) ist zu unterscheiden: Wird das einseitige Schuldverhältnis durch die betroffene Person selbst begründet, handelt es sich nach hier vertretener Auffassung um einen Vertrag i.S.d. Art. 6 Abs. 1 lit. b DSGVO, da das Schuldverhältnis auf deren willentlicher Entscheidung beruht.33
29
Wird das einseitige Schuldverhältnis hingegen von einer anderen Person begründet, ist Art. 6 Abs. 1 lit. b DSGVO nach hier vertretener Auffassung i.d.R. nicht anwendbar – dies gilt zumindest dann, wenn die betroffene Person nicht frei entscheiden konnte, ob es in dieses Rechtsgeschäft (faktisch) mit „einbezogen“ wird.34 In diesem Fall kann die Datenverarbeitung aber ggf. durch andere Rechtsvorschriften erlaubt werden, z.B. durch Art. 6 Abs. 1 lit. f DSGVO („Verarbeitung auf Basis einer Interessenabwägung“).
30
Datenverarbeitungen im Rahmen von gesetzlichen Schuldverhältnissen können nicht auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, ggf. aber auf andere Erlaubnisnormen wie vor allem Art. 6 Abs. 1 lit. f DSGVO.35
Leitlinien des Europäischen Datenschutzausschusses
31
Der Europäische Datenschutzausschuss verlangt in seinen Leitlinien zur Verarbeitung personenbezogener Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO – grundsätzlich zu Recht –, dass der Vertrag, zu dessen Erfüllung die Datenverarbeitung erfolgt, wirksam sein muss.36 Um in diesem Zusammenhang seine Pflichten aus Art. 5 Abs. 2 DSGVO zu erfüllen, muss der Verantwortliche nach Ansicht des Europäischen Datenschutzausschusses sowohl die Existenz als auch die Wirksamkeit des Vertrages nachweisen.37
32
Des Weiteren muss die betroffene Person eine Partei des jeweiligen Vertrages sein, damit die Datenverarbeitung auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann. Nicht ausreichend ist es daher nach dem eindeutigen Wortlaut der Vorschrift, wenn zwei Parteien einen Vertrag abschließen, der die betroffene Person begünstigt, diese an dem Vertrag aber ansonsten nicht beteiligt ist. Demgegenüber ist es nicht erforderlich, dass auch der Verantwortliche Partei des Vertrages mit der betroffenen Person ist. Vielmehr kann der Vertrag, für den die Datenverarbeitung erforderlich ist, auch zwischen der betroffenen Person und einer anderen Person bzw. einem anderen Unternehmen geschlossen worden sein. Somit kann diese Vorschrift auch Datenverarbeitungen durch einen Verantwortlichen erlauben, dem eine bestimmte Aufgabe im Rahmen der Vertragserfüllung vom Vertragspartner der betroffenen Person übertragen wurde und in diesem Zusammenhang Daten dieser Person im Wege der Funktionsübertragung verarbeitet.38
Beispiele
Auf Art. 6 Abs. 1 lit. b Alt. 1 DSGVO können z.B. in der Regel Datenverarbeitungen im Rahmen der folgenden Aktivitäten gestützt werden:
– Ausfertigen eines Vertrages,
– Vertragsmanagement,
– Erbringung der vertraglich geschuldeten Leistungen,
– Erfüllung von Gewährleistungsansprüchen,
– Vertragsabwicklung,
– Vertragsbeendigung.
Nicht auf Art. 6 Abs. 1 lit. b Alt. 1 DSGVO können in der Regel z.B. Datenverarbeitungen im Rahmen der folgenden Aktivitäten gestützt werden:
– Vertragsverhandlungen,
– Verträge, an denen die betroffene Person nicht beteiligt ist.
b) Verarbeitung personenbezogener Daten zu Zwecken der Durchführung vorvertraglicher Maßnahmen
33
Die zweite Alternative im Rahmen des Art. 6 Abs. 1 lit. b DSGVO erlaubt die Verarbeitung personenbezogener Daten zur Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Hierdurch werden nach dem Erwägungsgrund 44 insbesondere Datenverarbeitungsaktivitäten erfasst, die für den geplanten Abschluss eines Vertrages erforderlich sind. Dies sind typischerweise Anfragen und Anträge im Rahmen des Vertragsanbahnungsverhältnisses.39 So kann z.B. die Angabe verschiedener persönlicher Daten bereits vor Vertragsabschluss erforderlich sein, damit die vertraglichen Leistungen berechnet werden können (z.B. bei einem Versicherungsvertrag) oder damit der Vertragspartner entscheiden kann, ob er einen Vertrag mit der betroffenen Person schließt oder nicht (so kann z.B. auch eine Bonitätsabfrage ggf. auf Art. 6 Abs. 1 lit. b Alt. 2 DSGVO gestützt werden).40
34
Auch wenn zu dem Zeitpunkt der Datenverarbeitung