12
Die Erlaubnistatbestände des Art. 6 DSGVO können nur in der Zusammenschau mit weiteren Vorschriften der DSGVO zu einer rechtmäßigen Verarbeitung führen. So sind die Grundsätze aus Art. 5 DSGVO stets mit zu berücksichtigen. Im Zusammenhang mit dem Erlaubnistatbestand der Einwilligung sind die Anforderungen an die Wirksamkeit der Einwilligung aus Art. 4 Nr. 11 und Art. 7 DSGVO zu beachten. Bei der im Zusammenhang mit der Anbahnung oder Durchführung eines Vertragsverhältnisses erforderlichen Verarbeitung der Daten von Kindern, die das 16. Lebensjahr nicht vollendet haben, ist zu bedenken, dass die Sorgeberechtigten gem. Art. 8 DSGVO ihre Einwilligung geben müssen, wenn ein Anbieter von Diensten in der Informationsgesellschaft die Vertragsdaten oder weitere Daten verarbeiten will, die nicht für den Vertragszweck erforderlich sind (siehe Art. 8 Rn. 24ff.).
13
Gehören die zu verarbeitenden Daten zu einer besonderen Kategorie von Daten, ist Art. 9 DSGVO heranzuziehen. Sollen die Daten in einen Drittstaat übermittelt werden, so hängt die Zulässigkeit der Datenverarbeitung davon ab, dass in einer zweiten Stufe der Zulässigkeitsprüfung die Anforderungen aus Art. 44 DSGVO erfüllt werden können (siehe Art. 44 Rn. 14ff.). Will eine Behörde personenbezogene Daten für hoheitliche Zwecke verarbeiten, so hat sie Art. 6 Abs. 1 UAbs. 2 DSGVO zu beachten, der eine auf UAbs. 1 lit. f gestützte Verarbeitung ausschließt.
2. Entstehungsgeschichte und bisherige Regelung
14
Eine mit Art. 6 Abs. 1 DSGVO vergleichbare Regelung fand sich in Art. 7 DSRl, in der ebenfalls das Verbot mit Erlaubnisvorbehalt vorgesehen und Erlaubnistatbestände genannt wurden.26
3. Regelungszweck
15
Die Vorschrift führt die zentralen Erlaubnistatbestände auf, aufgrund derer die Rechtmäßigkeit der Verarbeitung personenbezogener Daten gegeben sein kann. Anders noch als das BDSG a.F. wird im Normtext nicht zwischen verschiedenen Phasen der Datenverarbeitung differenziert, sodass unter „Datenverarbeitung“ nach der Legaldefinition des Art. 4 Nr. 2 DSGVO alle Phasen einer Verarbeitung einschließlich der Erhebung und Übermittlung zu verstehen sind, für die es jeweils eine Erlaubnis geben muss. Weitere Erlaubnisse können sich bei besonderen Kategorien aus Art. 9 Abs. 2 DSGVO ergeben. Daneben ist Art. 5 DSGVO zu beachten, der nicht nur die Rechtmäßigkeit der Verarbeitung voraussetzt, sondern auch weitere Anforderungen nennt, wie die Daten zu verarbeiten sind.27
4. Normadressaten
16
Anders als noch im BDSG a.F. wird in der DSGVO grundsätzlich und im Wesentlichen nicht zwischen öffentlichen Stellen und nichtöffentlichen Stellen unterschieden; eine Ausnahme gibt es dort, wo aus verfassungsrechtlichen Gründen ein Eingriff durch eine hoheitliche Stelle auf einer Rechtsgrundlage beruhen muss, die hinreichend bestimmt ist (siehe Buchstaben c und e). Weil das bei der auf einer Abwägung von Interessen beruhenden Erlaubnis gem. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO nicht der Fall ist, sieht UAbs. 2 vor, dass dieser Erlaubnistatbestand nicht für die von Behörden in Erfüllung ihrer hoheitlichen Aufgaben vorgenommene Verarbeitung gilt (siehe Rn. 121f.). Siehe zu der Frage, ob und ggf. in welchem Umfang hoheitliche Stellen ihre Datenverarbeitung auf eine Einwilligung stützen können, die Kommentierung zu Art. 7 Rn. 21ff.28
17
Sich nicht auf die Erlaubnis aus Art. 6 Abs. 1 UAbs. 1 lit. e Alt. 2 DSGVO können sich die nicht-öffentlichen Verantwortlichen (Private) berufen, weil dieser Erlaubnistatbestand denjenigen vorbehalten ist, bei denen „die Verarbeitung ... für die Wahrnehmung einer Aufgabe erforderlich (ist), die ... in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“.
18
Die Erlaubnistatbestände können auch von Institutionen der Strafverfolgung und des Justizvollzugs sowie von den für die Gefahrenabwehr zuständigen Behörden nicht in Anspruch genommen werden, für die Art. 8 RL (EU) 2016/680 bzw. die mitgliedstaatlichen Umsetzungsgesetze einschlägig sind. Das wären in Deutschland §§ 45ff. BDSG und die einschlägigen Umsetzungsgesetze, die zumeist Bestandteil der Datenschutzgesetze der Länder sind. Die Organe der Europäischen Union finden Erlaubnistatbestände in Art. 5 VO (EG) 45/2001.
19
Ansonsten folgt aus der nunmehr weitgehend einheitlichen Regelung für öffentliche und nicht-öffentliche Verantwortliche, dass sowohl die nicht-öffentlichen wie die öffentlichen Verantwortlichen – unter vorgenannter Einschränkung – ihre Erlaubnis für die jeweils beabsichtigte Datenverarbeitung dem Art. 6 Abs. 1 UAbs. 1 DSGVO zu entnehmen haben, wenn die Tätigkeit des Verantwortlichen (Art. 4 Nr. 7 DSGVO) im Lichte des Art. 2 Abs. 2 DSGVO in den sachlichen Anwendungsbereich der Verordnung fällt. Neben den Verantwortlichen sind auch die Auftragsverarbeiter, die betroffenen Personen, die Aufsichtsbehörden, die Mitgliedstaaten und die Union Adressaten von Vorschriften der DSGVO.
II. Erlaubnistatbestände (Abs. 1)
20
Ist der Anwendungsbereich der DSGVO eröffnet, so finden sich die zentralen Erlaubnistatbestände in Art. 6 Abs. 1 U Abs. 1 DSGVO. Der Verantwortliche hat für jede Phase der Verarbeitung, die in der Legaldefinition des Art. 4 Nr. 2 DSGVO aufgeführt wird, und für den jeweiligen mit der Verarbeitung verfolgten Zweck die Erlaubnis anhand der Tatbestandsmerkmale der in Betracht gezogenen Erlaubnisnorm zu prüfen. Die Rechtmäßigkeit der Verarbeitung ist in allen vom Gesetz genannten Phasen (Art. 4 Nr. 2 DSGVO) vom Vorliegen einer Erlaubnis abhängig, auch schon die Erhebung von Daten (Art. 5 Abs. 1 lit. b DSGVO). Es wird aufgrund der Rechtsprechung des Bundesverfassungsgerichts auch unter der DSGVO und im Lichte des Art. 8 GRCh davon ausgegangen werden können, dass „ungezielt und allein technikbedingt zunächst miterfasste“ und „unmittelbar nach der Signalaufbereitung technisch wieder spurenlos ausgesonderte“ Daten vom Verbot nicht erfasst werden.29
21
Art. 6 Abs. 1 UAbs. 1 erklärt es ausdrücklich für denkbar, dass mehrere Erlaubnisnormen nebeneinander bestehen können („mindestens eine der nachstehenden Bedingungen“ muss erfüllt sein). Auch Art. 17 Abs. 1 lit. b DSGVO ist ein Argument dafür, dass die Verarbeitung auf mehrere Erlaubnistatbestände, zumindest auf einen Erlaubnistatbestand neben der Einwilligung, gleichzeitig gestützt werden kann. Dies hat auch der EuGH in der Rechtssache Fashion-ID bestätigt.30 So kann nach dem Widerruf einer Einwilligung das Recht auf Löschung verwehrt werden, wenn die Erlaubnis zur Verarbeitung auch aus einer anderen Erlaubnis folgt.31
22
Erfolgt die Datenverarbeitung zur Erfüllung einer Rechtspflicht (lit. c), so wird dies oft auch im Interesse des Verantwortlichen liegen (lit. f).32 Der gleiche Erlaubnisgrund kann auch herangezogen werden, wenn die rechtmäßig verarbeiteten Daten zu einem anderen Zweck verarbeitet werden sollen, was nur bei der Erlaubnis aufgrund einer Einwilligung nicht möglich wäre.
23
Bei allen Erlaubnistatbeständen von lit. b bis lit. f ist das „übergeordnete Prinzip“33 der Erforderlichkeit zu beachten. Erforderlich ist die Datenverarbeitung nur, wenn eine Aufgabe oder ein Zweck ohne Verarbeitung der personenbezogenen Daten nicht oder nicht in zumutbarer Weise erfüllt werden kann (dazu näher Rn. 57ff.).
1. Einwilligung (lit. a)
24
An erster Stelle der Erlaubnistatbestände, aber keineswegs mehr so besonders hervorgehoben, wie es in § 4 Abs. 1 BDSG