id="ulink_d0139382-212c-5036-b2c4-7b92f55ba94f">Art. 12 Abs. 2 S. 2 DSGVO erweitert die Rechtsfolge des Art. 11 Abs. 2 S. 2 DSGVO sogar noch und erlaubt dem Verantwortlichen darüber hinaus auch, sich zu weigern, einem Antrag der betroffenen Person nachzukommen, wenn diese ihre in Art. 21 und 22 DSGVO enthaltenen Betroffenenrechte wahrnehmen möchte (Widerspruchsrecht und Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt).357
ee) Bereitstellung identifizierender Merkmale durch die betroffene Person
235
Möchte die betroffene Person ihre Rechte aber dennoch ausüben, obwohl der Verantwortliche sie nicht (mehr) identifizieren kann, gibt ihr Art. 11 Abs. 2 S. 2 Hs. 2 DSGVO das Recht, dem Verantwortlichen zusätzliche Informationen zur Ermöglichung ihrer Identifizierung zur Verfügung zu stellen, damit der Verantwortliche der betroffenen Person die über sie verarbeiteten Daten (wieder) zuordnen kann.358 Auf diese Möglichkeit ist die betroffene Person – z.B. im Rahmen der Unterrichtung nach Art. 11 Abs. 2 S. 1 DSGVO – hinzuweisen.359 Ist sodann eine Identifizierung möglich, muss der Verantwortliche den Rechten der betroffenen Person nach Art. 15–22 DSGVO nachkommen.360
Praxishinweis
Kann sich ein Unternehmen auf Art. 11 Abs. 2 S. 2 DSGVO berufen, muss es rechtzeitig geeignete Verfahren einrichten, um den Rechten der betroffenen Personen nach Art. 15–20 DSGVO und – aufgrund der Bezugnahme auf Art. 11 Abs. 2 DSGVO in Art. 12 Abs. 2 S. 2 DSGVO – auch gem. Art. 21 und 22 DSGVO nachkommen zu können, wenn diese entsprechende Zusatzinformationen zu ihrer Identifizierung vorlegen. Die Annahme solcher Zusatzinformationen darf durch das Unternehmen gem. Erwägungsgrund 57 S. 2 nicht verweigert werden.361
11. Besondere Verarbeitungssituationen
236
Im Hinblick auf besondere Verarbeitungssituationen enthält die DSGVO in Art. 85–91 zudem spezielle Öffnungsklauseln, die es der EU und/oder den Mitgliedstaaten erlauben, spezielle Regelungen für diese Situationen zu erlassen. Teilweise wird es der EU bzw. den Mitgliedstaaten in diesem Zusammenhang auch erlaubt, spezielle Regelungen zur Zulässigkeit der Datenverarbeitung für den jeweiligen besonderen Zweck zu erlassen.
237
Dies gilt insbesondere für die folgenden Verarbeitungssituationen:
– Verarbeitung zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken (Art. 85 DSGVO),362
– Zugang der Öffentlichkeit zu amtlichen Dokumenten (Art. 86 DSGVO),363
– Verarbeitung einer nationalen Kennziffer oder anderer Kennzeichen von allgemeiner Bedeutung (Art. 87 DSGVO),364
– Datenverarbeitung im Beschäftigungskontext (Art. 88 DSGVO).365
Nationale Regelungen in Deutschland
238
Der deutsche Gesetzgeber hat von dieser Ermächtigung in Art. 88 DSGVO Gebrauch gemacht und die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses in § 26 BDSG speziell geregelt.366
239
Erlassen die EU oder die Mitgliedstaaten keine speziellen Regelungen auf Grundlage dieser Öffnungsklauseln, gelten die allgemeinen Vorgaben der DSGVO im Hinblick auf die Zulässigkeit der Datenverarbeitung, also insbesondere die Vorgaben aus Art. 6ff. und ggf. auch Art. 9 DSGVO.
240
Art. 89 Abs. 1 DSGVO enthält zudem noch den Vorbehalt, dass die Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person gem. der DSGVO unterliegt.367
12. Zulässigkeit der Verarbeitung personenbezogener Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden
241
Seitdem die DSGVO anwendbar ist, also seit dem 25.5.2018, ist die Verarbeitung personenbezogener Daten im Rahmen ihres Anwendungsbereichs nur noch dann rechtmäßig, wenn sie nach den Vorgaben der DSGVO zulässig ist. Dies gilt auch für die Verarbeitung von „Altdaten“, die vor jenem Zeitpunkt erhoben wurden. So diente die zweijährige Übergangsphase zwischen Inkrafttreten und Anwendbarkeit der DSGVO gerade auch dazu, ggf. notwendige Anpassungen vorzunehmen bzw. Maßnahmen zu treffen, damit die Verarbeitung (auch) den Vorgaben der DSGVO entspricht.
13. Sanktionierung
242
Verstöße gegen die Vorgaben aus Art. 6 und Art. 9 DSGVO können nach Art. 83 Abs. 5 lit. a DSGVO mit Geldbußen von bis zu 20 Mio. EUR oder im Fall eines Unternehmens von bis zu vier Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher der Beträge höher ist – geahndet werden.368
12 Siehe zur Funktion und Organisation sowie den Aufgaben des Europäischen Datenschutzausschusses ausführlich Kap. 16 Rn. 14f. 13 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-b-adopted_after_public_consultation_de.pdf. 14 Siehe z.B. Kühling/Buchner/Dix, Art. 70 DSGVO Rn. 10. 15 So z.B. auch Laue/Kremer/Kremer, § 2 Rn. 30; Plath/Plath, Art. 6 DSGVO Rn. 11. 16 So für die Anbahnung Plath/Plath, Art. 6 DSGVO Rn. 11. 17 So auch Laue/Kremer/Kremer, § 2 Rn. 30. 18 Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 33; Taeger weist zu Recht darauf hin, dass hiervon – der deutschen Besonderheit des Abstraktionsprinzips folgend – sowohl das Erfüllungs- als auch das Verpflichtungsgeschäft umfasst ist, Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 59. 19 Siehe z.B. Plath/Plath, Art. 6 DSGVO Rn. 11; Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 59; Gola/Schulz, Art. 6 DSGVO Rn. 28; a.A. im Hinblick auf die Beendigung des Vertrages: Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 6 DSGVO Rn. 30; siehe hierzu auch die Ausführungen des Europäischen Datenschutzausschusses, der die Auffassung vertritt, dass nur Datenverarbeitungen, die zur Erfüllung des Vertrages erforderlich sind, auf diese Rechtsgrundlage gestützt werden können. Auf sonstige Maßnahmen, die durch eine Nichterfüllung ausgelöst werden, oder auf andere Vorkommnisse bei der Erfüllung eines Vertrages sei sie jedoch nicht automatisch anwendbar, siehe Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 13. Die Verarbeitung personenbezogener Daten zu Zwecken der Erfüllung von Gewährleistungsansprüchen oder einer Garantie kann aber wohl auch nach Auffassung des EDSA ggf. auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, Europäischer Datenschutzausschuss, a.a.O., S. 13. 20