Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht.
80
Insbesondere sind nach dem Erwägungsgrund 47 DSGVO aber auch die vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen, also ob die betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Kann die betroffene Person dies, spricht das eher für die Zulässigkeit der Datenverarbeitung; kann die betroffene Person das nicht, spricht dies eher gegen die Zulässigkeit der Datenverarbeitung.118 Mithin kommt der Transparenz auch an dieser Stelle eine wichtige Bedeutung zu.119
81
Die Aufzählung von Faktoren im Erwägungsgrund 47 DSGVO ist aber nicht abschließend. So sind gem. Art. 6 Abs. 1 lit. f DSGVO auch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, im Rahmen der Interessenabwägung zu berücksichtigen. So wirken die Grundrechte nach der EU-Grundrechtecharta hier ausnahmsweise auch in privatrechtliche Verhältnisse hinein.120 Damit sind im Rahmen der Interessenabwägung insbesondere auch Art. 7 und 8 GRCh zu berücksichtigen.
82
Weitere Umstände, die bei der Interessenabwägung ggf. zu berücksichtigen sein können, sind z.B.:121
– allgemeine Zugänglichkeit oder nicht öffentliche Zugänglichkeit der zu verarbeitenden Daten,122
– Diskriminierungspotenzial/Sensibilität der zu verarbeitenden Daten,
– Zugehörigkeit der Daten zur „privaten“ oder zur „beruflichen“ Sphäre der betroffenen Person,
– wirtschaftliches Interesse der betroffenen Person am Ausschluss der Datenverarbeitung,
– Stärke des berechtigten Interesses des Verantwortlichen/des Dritten,
– Stärke der entgegenstehenden Interessen bzw. Rechte der betroffenen Person,123
– Alter und Erfahrenheit der betroffenen Person; so sind bei Kindern besonders strenge Maßstäbe anzulegen,
– Art der verarbeiteten Daten,124
– Modalitäten der Verarbeitung, wie die Zugriffsmöglichkeiten auf die verarbeiteten Daten.125
83
Die Interessenabwägung ist dabei nach hier vertretener Ansicht nicht aus subjektiver Sicht des Verantwortlichen, sondern aus objektiver Sicht vorzunehmen126 – allerdings auf Basis der Erkenntnismöglichkeiten des Verantwortlichen.127 Dabei ist darauf zu achten, dass die Interessenabwägung mit der notwendigen Seriosität durchgeführt wird, da die Zulässigkeit der Datenverarbeitung durch Art. 6 Abs. 1 lit. f DSGVO nicht (quasi) in das Belieben des Verantwortlichen gestellt werden darf.128 Die Datenverarbeitung ist zulässig, wenn kein Grund zu der Annahme besteht, dass die Interessen der betroffenen Person am Ausschluss der Verarbeitung überwiegen.129
84
Unklar ist, ob im Rahmen von Art. 6 Abs. 1 lit. f DSGVO nur eine summarische, typisierte Abwägung erforderlich ist oder ob (im Hinblick auf jede einzelne betroffene Person) eine dezidierte und umfassende Einzelfallbetrachtung zu erfolgen hat, bei der die (konkreten) Interessen und Erwartungen der einzelnen von der Datenverarbeitung betroffenen Person zu berücksichtigen sind.130
85
Auch wenn der Wortlaut von Art. 6 Abs. 1 lit. f DSGVO wohl eher für eine solche Einzelfallbetrachtung spricht, muss diese Anforderung – gerade wenn viele Personen von derselben Datenverarbeitung betroffen sind – nach hier vertretener Ansicht pragmatisch eher im Sinne einer summarischen, typisierten Abwägung betrachtet werden.131 Mithin hat in solchen Fällen i.d.R. eine Abwägung zwischen den berechtigten Interessen des Verantwortlichen bzw. eines Dritten einerseits und den objektivierten, regelmäßigen Interessen/Belangen der betroffenen Personen andererseits zu erfolgen.132 So wäre eine derartige Einzelfallprüfung wie sie oben beschrieben wird – wenn viele betroffene Personen von demselben Sachverhalt erfasst sind133 – mit erheblichem und in der Praxis nur sehr selten vertretbarem Aufwand durchzuführen. Dies würde wiederum dazu führen, dass Art. 6 Abs. 1 lit. f DSGVO in der Praxis (in vielen Fällen) faktisch ins Leere liefe.134 Dies kann jedoch auch vom Verordnungsgeber nicht gewollt sein, der gem. Art. 1 Abs. 1 DSGVO nicht nur natürliche Personen bei der Verarbeitung ihrer Daten, sondern auch den freien Verkehr personenbezogener Daten schützen will. Für diese Auffassung sprechen dann auch Erwägungsgrund 47 S. 1 („vernünftige Erwartungen der betroffenen Personen“)135 sowie die systematische Auslegung der DSGVO. So hat die betroffene Person nach Art. 21 Abs. 1 DSGVO das Recht, bei Vorliegen besonderer Gründe der Verarbeitung ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zu widersprechen.136 Somit stellt dieses Recht sicher, dass auch die Interessen der betroffenen Person im atypischen Einzelfall gewahrt werden.
86
Handelt es sich bei einer betroffenen Person um ein Kind, ist jedenfalls nach Art. 6 Abs. 1 lit. f a.E. DSGVO eine (besonders) gründliche Interessenabwägung vorzunehmen.
87
Verantwortlich für die Durchführung der Interessenabwägung ist der Verantwortliche. Verarbeitet ein Verantwortlicher personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, trägt er das „Irrtumsrisiko“, dass etwa ein mit der Angelegenheit befasstes Gericht bei der Interessenabwägung zu einem anderen Ergebnis kommt und entscheidet, dass eine Datenverarbeitung nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann.137
Praxishinweis
In der Rechtsprechung und in den Stellungnahmen der Datenschutzaufsichtsbehörden werden sich schnell immer weitere Fallgruppen mit Datenverarbeitungsaktivitäten bilden, die auf Art. 6 Abs. 1 lit. f DSGVO bzw. eben nicht auf diese Erlaubnisvorschrift gestützt werden können. Möchte ein Unternehmen personenbezogene Daten auf dieser Rechtsgrundlage verarbeiten, ist diesem dringend zu empfehlen, zuvor zu prüfen, ob und unter welchen Voraussetzungen es anerkannt ist, dass die entsprechende Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. Ganz generell sollte die Interessenabwägung aus Nachweisgründen und zur Erfüllung der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO dokumentiert werden.
Standpunkte der deutschen Datenschutzaufsichtsbehörden und des Europäischen Datenschutzausschusses
88
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat einen Beschluss getroffen, inwiefern Kundendaten im Rahmen von Asset Deals an den Erwerber auf Basis von Art. 6 Abs. 1 S. 1 lit. f i.V.m. Abs. 4 DSGVO übertragen werden dürfen, und hierzu Fallgruppen gebildet.138 Auch wenn dieser Beschluss nicht rechtsverbindlich ist, sollten Unternehmen diesen – soweit möglich – im Fall von Asset Deals zur Vermeidung etwaiger Haftungsrisiken zumindest berücksichtigen.
88a
Der Europäische Datenschutzausschuss hat sich zudem im Zusammenhang mit Art. 25 DSGVO („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) zur Datenverarbeitung auf Basis von Art. 6 Abs. 1 lit. f DSGVO geäußert. So nennt er in seinen Guidelines 4/2019 on Article 25 Data Protection by Design and by Default u.a. das Vorhandensein von Maßnahmen und Schutzvorkehrungen („measures and safeguards“), um die negativen Auswirkungen der Datenverarbeitung auf Basis berechtigter Interessen für die betroffenen Personen abzumildern, als ein mögliches Schlüsselelement zur Erfüllung der Pflichten nach Art. 25 DSGVO.139
Achtung
Die betroffene Person hat unter bestimmten Voraussetzungen das Recht, gem.