Auslegung im Sinne der Richtlinien des EDSA mit der Folge führen, dass die Verarbeitung der Verbraucherdaten sich dann nicht auf Buchstabe b stützen kann, soweit sie nicht objektiv zur Abwicklung des Vertrags gehören und dafür objektiv nicht erforderlich sind.104 Wie weit die auch von der DIRL verfolgte Verknüpfung von nationalem Schuldrecht mit dem europäischen Datenschutzrecht wirkt, ist Gegenstand einer noch laufenden Diskussion, an deren Ende die Aushebelung des Kopplungsverbotes stehen könnte.105 Unklar ist insbesondere, wie weit die Einwilligung in die weitere Verarbeitung etwa für Marketingzwecke auch von Dritten, denen die Daten übermittelt werden, unter AGB-rechtlichen Erwägungen gehen darf. Es sei schließlich darauf hingewiesen, dass sich ein datenschutzrechtlicher Erlaubnistatbestand für die Verarbeitung „überschießender“, als Gegenleistung verlangter Daten in der DIRL (ErwG 38) und im Umsetzungsgesetz nicht finden lässt. § 327q BGB spricht dafür, dass der Gesetzgeber von einer datenschutzrechtlichen Einwilligung ausgeht, die widerrufen werden kann.
64
Bei einem Kauf im Fernabsatz wären der Name und die Anschrift des Käufers, die Art und Menge des gekauften Artikels, die Zahlungsweise, die Versandangaben und in diesem Zusammenhang ggf. die Kontoverbindung erforderlich, um den Kauf abzuwickeln (Basisdaten). Wird die Gegenleistung per Nachnahme erbracht, bedarf es der Erhebung von Bankdaten nicht; ihre Erhebung und Verarbeitung wären für die Abwicklung des rechtsgeschäftlichen Schuldverhältnisses nicht erforderlich. Weiterer Attribute (personenbezogene Daten) bedarf es in der Regel nicht, um die Abwicklung vorzunehmen, wenn nicht besondere Umstände vorliegen (Altersverifikation, Abgabebedingungen). Insofern ist die Feststellung, was erforderlich ist, objektivierbar. Werden weitere Angaben über den Käufer erhoben und verarbeitet, die im Zusammenhang mit dem Vertragsverhältnis nicht erforderlich sind, ergibt sich die Zulässigkeit nicht aus Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Sie dürfen dann nur mit Einwilligung (Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO) oder aufgrund einer Interessenabwägung (Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) verarbeitet werden. Zur Frage eines Konditionenmissbrauchs gem. § 19 Abs. 1 GWB, wie ihn das Bundeskartellrecht wegen unangemessener Datenverarbeitung durch Plattformanbieter annimmt, ist hier nicht Stellung zu nehmen.
65
Im Einzelnen wird der erforderliche Umfang davon abhängig sein, was die Vertragsparteien an Rechten und Pflichten vereinbart haben und was sich als (Haupt- und Neben-)Zweck aus dem Vertrag ergibt. Dabei ist zu beachten, dass die Verarbeitung von Daten, die nicht unmittelbar dem Vertragsverhältnis dienen, aber aus der Sicht der einen Partei für sie nützlich sein könnte, etwa um auch auf anderen Kommunikationskanälen Kontakt aufnehmen zu können oder andere für die werbliche Ansprache und Profilbildung nützliche Daten zu erhalten, als „nicht erforderlich“ anzusehen ist. Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO scheidet hier als Erlaubnistatbestand aus. Geprüft werden könnte alternativ eine Erlaubnis aus Buchstabe f.
66
Erforderlich ist die Datenverarbeitung aufgrund einer Erlaubnis nach Buchstabe b – und im Zusammenhang mit einem Rechtsgeschäft nicht etwa nach Buchstabe c – auch, wenn die Verarbeitung zur Erfüllung einer gesetzlichen und auf Rechtspflicht der einen Partei notwendig ist. Dürfen bestimmte Produkte wie Alkoholika oder Computerspiele nach dem Jugendschutzgesetz nur an Personen ab einem bestimmten Alter verkauft werden oder entwicklungsbeeinträchtigende Angebote über Medien nach dem Jugendmedienschutzstaatsvertrag nicht unter einem bestimmten Alter verbreitet werden, so ist im Fernabsatz die Erhebung des Alters etwa durch eine Altersverifikation eine Pflicht. Die Verträge könnten zwar auch ohne Verarbeitung von Daten nach einer Altersverifikation geschlossen und erfüllt werden, was aber Jugendschutzvorschriften verletzen und damit einen Pflichtverstoß darstellen würde. Die Erhebung des Alters kann vom Vertragszweck auch gedeckt sein, wenn das Datum benötigt wird, um die korrekte Identifizierung einer Person bei Namensgleichheit zu ermöglichen.106
b) Verarbeitung einer E-Mail-Adresse
67
Bittet ein Interessent ausdrücklich um Zusendung eines digitalen Katalogs an seine E-Mail-Adresse zur Information über Produkte oder Dienstleistungen, über die möglicherweise ein Vertrag geschlossen wird, so ist die Speicherung der E-Mail-Adresse erforderlich, um die elektronische Zusendung möglich zu machen. Diese Verarbeitung ist auf Buchstabe b zu stützen, weil dadurch die von der betroffenen Person veranlasste vorvertragliche Maßnahme der Zusendung möglich ist (siehe Rn. 56). Eine Einwilligung in die Speicherung und Nutzung der E-Mail-Adresse ist dafür nicht erforderlich. Kommt es dann in der Folge zu einem Vertragsschluss, bei dem die Erfüllung nicht elektronisch an die E-Mail-Adresse der betroffenen Person erfolgt, dann dürfen die für die Vertragsabwicklung erforderlichen Daten wie Datum des Vertragsschlusses, Angaben zum Vertragsgegenstand, ggf. Postanschrift für eine Warenzustellung, Zahlungsfrist, Zahlungsweise ggf. mit Kreditkarten- oder Kontoangaben und Zahlungsweise ebenfalls aufgrund der Erlaubnis aus Buchstabe b – also ohne Einwilligung – gespeichert werden, solange dieses erforderlich ist.
68
Nach erfolgter elektronischer Zusendung eines digitalen Katalogs entfällt die Erforderlichkeit und somit auch die Erlaubnis einer weiteren Speicherung der E-Mail-Adresse. Die E-Mail-Adresse ist für den Vertragszweck der Erfüllung beispielsweise durch die Herstellung eines Gegenstands, der Überlassung zur Miete oder Pacht oder der Übereignung beim Kauf nicht mehr erforderlich. Sie könnte aber für Zwecke des Direktmarketings nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO weiter gespeichert werden. Die Ansprache über diesen elektronischen Kommunikationskanal dürfte wegen der damit verbundenen Belästigung nach § 7 Abs. 2 Nr. 3 UWG nur aufgrund einer ausdrücklichen wettbewerbsrechtlichen Einwilligung erfolgen. Nach Vertragsschluss wäre eine Ansprache unter Verwendung der „elektronischen Post“ lauterkeitsrechtlich nur dann zulässig, wenn die kumulativen Bedingungen des § 7 Abs. 3 UWG erfüllt sind und eine unzumutbare Belästigung damit ausgeschlossen werden kann. Auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO dürfte die Verarbeitung dann also nicht allein gestützt werden.
c) Übermittlung an Dritte zur Vertragserfüllung
69
Die Übermittlung von Kundendaten an Dritte ist gem. Buchstabe b dann zulässig, wenn nur dadurch die Vertragspflichten erfüllt werden können. Das ist etwa dann der Fall, wenn eine Ware gekauft wird, die beim Hersteller nach den vertraglichen Spezifikationen hergestellt und von diesem direkt an den Käufer bzw. Auftraggeber geschickt werden soll. Auch ein Reisebüro muss die Daten des buchenden Kunden an die Fluggesellschaft und das Hotel senden, um die Leistung dort zu reservieren. Die Übermittlung ist nach Art. 49 Abs. 1 lit. b DSGVO selbst in ein Drittland dann erlaubt, wenn es weder einen Angemessenheitsbeschluss (Art. 45 Abs. 3 DSGVO) noch eine sonstige Garantie nach Art. 46 DSGVO gibt.
d) Auslegung des Begriffs „Vertrag“
70
Der Normtext nennt als Erlaubnistatbestand neben der „Durchführung vorvertraglicher Maßnahmen“ die Erforderlichkeit der Verarbeitung zur „Erfüllung eines Vertrages“. Auch ErwG 44 stellt auf die „Erfüllung“ ab: „Die Verarbeitung von Daten sollte als rechtmäßig gelten, wenn sie für die Erfüllung oder den geplanten Abschluss eines Vertrags erforderlich ist.“ Damit kann nicht nur das Erfüllungsgeschäft gemeint sein, sondern auch das Verpflichtungsgeschäft sowie Änderungs- und Aufhebungsverträge oder die Abwicklung des Vertragsverhältnisses etwa bei einer Anfechtung, Kündigung oder sonstigen Ausübung eines Gestaltungsrechts. Mangels eines unionseinheitlichen schuldrechtlichen Verständnisses von „Vertrag“ kann es bei dieser Auslegung keine Orientierung an einer verordnungskonformen Auslegung geben. Die Besonderheiten des deutschen Abstraktionsprinzips schlagen hier bei der Auslegung durch. Das Ergebnis kann daher nur so lauten, dass jede erforderliche Datenverarbeitung, die in Zusammenhang mit einem Vertragsverhältnis und seinen Haupt- und Nebenpflichten steht, von der Erlaubnis nach Buchstabe