Normtext wird auch nur der Vertrag, also zwei- oder mehrseitige Schuldverhältnisse, erwähnt. Datenverarbeitungen, die im Zusammenhang mit einer Auslobung als einem einseitigen Schuldverhältnis stehen, wären jedoch auch erfasst, wenn sich etwa aufgrund einer Auslobung Personen bei dem Auslobenden melden oder anmelden und ihre Daten sodann elektronisch verarbeitet werden.108 Auch einseitig verpflichtende (unentgeltliche) Verträge wie die nach Registrierung kostenlose Nutzung von Internetdiensten (Dienste der Informationsgesellschaft) werden erfasst. Eine Sonderregelung mit einem Erlaubnistatbestand für Beschäftigungsverhältnisse findet sich in § 26 BDSG, den der deutsche Gesetzgeber aufgrund der Öffnungsklausel des Art. 88 DSGVO schaffen durfte (siehe § 26 BDSG).
e) Einbeziehung von Daten Dritter
72
Die betroffene Person muss Vertragspartei sein oder durch eine Anfrage Anlass für die vorvertragliche Maßnahme gegeben haben. Denkbar und zulässig ist es aber auch, wenn eine betroffene Person einen Vertrag für einen Dritten (mit) schließt. So kann die Buchung einer Urlaubsreise über ein Online-Reisebüro auch die Angabe der Daten von Mitreisenden mit umfassen. Auch kann ein Beförderungsvertrag für einen Dritten abgeschlossen werden, dessen Name dann anzugeben ist, wenn dieser Rabatte in Anspruch nimmt, beispielsweise bei der Buchung einer Bahnfahrt unter Berücksichtigung einer Bahncard-Ermäßigung, weil die Berechtigung zu überprüfen ist.109 Bei der Angabe einer Versandadresse kann auch der Name beispielsweise eines Nachbarn angegeben werden, bei dem die Ware zugestellt werden soll.
f) Verarbeitung zu vertraglichem Sekundärzweck
73
Zu prüfen ist, ob mit dem Primärzweck der Datenverarbeitung im Vertragskontext auch Sekundärzwecke i.S. des Absatzes 4 verfolgt werden dürfen. Dazu gehört etwa die Übermittlung der fälligen, angemahnten und nicht ausgeglichenen Forderung an ein Inkassounternehmen.110 Wenn die vereinbarte Gegenleistung nicht erbracht ist, darf diese Datenverarbeitung zur Durchsetzung des Anspruchs erfolgen. Der Vertragszweck ist erst erfüllt, wenn die vertraglichen Leistungen beider Seiten erfüllt sind, was bei Nichterfüllung auch Datenverarbeitungen einschließt, die anerkanntermaßen zur Durchsetzung eines Anspruchs erforderlich sind.111
74
Wenn allerdings der Schuldner seine Zahlungsverpflichtungen vertragsgemäß erfüllt, kann der Darlehensgeber, der seine Darlehensforderungen an einen Dritten zediert, die Übermittlung der Daten des Darlehensnehmers nicht auf Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO stützen. Dieser Vorgang dient nicht der Durchsetzung von Leistungspflichten des Darlehensnehmers aus dem Vertrag, sondern hat die Realisierung des in der Forderung liegenden Vermögenswertes zum Gegenstand.112
3. Rechtliche Verpflichtung (lit. c)
a) Vorgängervorschriften in DSRl und BDSG a.F.
75
Bereits in Art. 7 lit. c DSRl fand sich ein wörtlich identischer Erlaubnistatbestand,113 nach dem die Verarbeitung dann erlaubt ist, wenn sie der Erfüllung einer den Verantwortlichen treffenden rechtlichen Verpflichtung dient. Diese Regelung wurde mit § 4 Abs. 1 BDSG a.F. in nationales Recht transformiert. Danach war die Erhebung, Verarbeitung und Nutzung personenbezogener Daten dann zulässig, soweit das BDSG a.F. oder eine andere Rechtsvorschrift dies erlaubte oder anordnete. Die „Anordnung“ war als „rechtliche Verpflichtung“ zu verstehen gewesen. Eine „Erlaubnis“ reicht für eine Legitimation nach Buchstabe c nicht mehr aus; vielmehr wird hiernach eine „rechtliche Verpflichtung“ verlangt, sodass Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO insoweit strenger als seine Vorgängernorm ist, wenn man die Möglichkeit des Ausweichens auf einen anderen Erlaubnistatbestand wie die aus Buchstabe e oder f außer Betracht lässt.
b) Rechtliche Verpflichtungen aus Unionsrecht oder dem Recht der Mitgliedstaaten
76
Den Mitgliedstaaten eröffnet sich mit Buchstabe c die Möglichkeit, Rechtspflichten durch mitgliedstaatliche Gesetze beizubehalten oder zu schaffen, die eine Rechtspflicht zur Datenverarbeitung vorsehen. Die näheren Voraussetzungen dafür werden in den Absätzen 2 und 3 geregelt (siehe Rn. 153ff.). In diesen spezifischen Bestimmungen dürfen aber keine sonstigen datenschutzrechtlichen Regelungen enthalten sein, wenn nicht eine Öffnungsklausel aus einer anderen Vorschrift der DSGVO dieses zulässt; es folgt aus der spezifischen Bestimmung allein die rechtliche Verpflichtung zur Verarbeitung. Über die Normierung einer Rechtspflicht zur Datenverarbeitung hinaus ergeben sich die datenschutzrechtlichen Anforderungen insoweit weiterhin aus der DSGVO.114
77
Die rechtliche Verpflichtung muss sich gemäß Absatz 3 Satz 1 aus dem Unionsrecht oder aus dem Recht eines Mitgliedstaates ergeben, dem der Verantwortliche unterworfen ist. Die Anforderungen an die spezifischen Bestimmungen, aus denen sich die Rechtspflicht ergibt, werden in Art. 6 Abs. 2 und 3 DSGVO näher beschrieben (Rn. 153ff.). Insofern kann sich eine Erlaubnis zur Verarbeitung personenbezogener Daten nicht allein aus Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO ergeben, sondern nur aufgrund dieser Vorschrift im Zusammenhang mit einer zur Datenverarbeitung verpflichtenden Rechtsvorschrift der Union oder eines Mitgliedstaates, dem der Verantwortliche unterworfen ist (Konkretisierungsermächtigung).115
78
Eine rechtliche Verpflichtung kann sich – wie auch unter der DSRl – aus allen verfassungsmäßigen Regelungen mit normativem Charakter ergeben, wozu alle Gesetze im materiellen Sinn zählen.116 Nicht nur aus Bundesgesetzen sowie aus den Parlamentsgesetzen der Bundesländer können sich rechtliche Verpflichtungen ergeben, sondern auch aus sich auf gesetzliche Ermächtigungen stützende Verordnungen117 sowie aus Satzungen einer Körperschaft, einer Stiftung oder einer Anstalt (siehe auch ErwG 41). Satzungen können allerdings nur rechtliche Verpflichtungen zur Verarbeitung der Daten ihrer Mitglieder vorsehen. Verwaltungsvorschriften wirken nur innerhalb der öffentlichen Verwaltung ohne Außenwirkung, sodass sich aus ihnen ebenso wenig wie aus Erlassen oder Richtlinien eine rechtliche Verpflichtung ergeben kann. Aus rechtsgeschäftlichen Verpflichtungen zur Verarbeitung folgt keine Erlaubnis nach Buchstabe c;118 hierfür kann Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO eine Erlaubnis enthalten.
79
Rechtliche Verpflichtungen, nach denen nicht im privaten, sondern im öffentlichen Interesse119 eine Verarbeitung auf der Grundlage der Erlaubnis nach Buchstabe c erfolgen darf, gibt es zahlreiche.120 Liegt eine gesetzliche Verpflichtung vor, verwandelt sich das Prinzip des Verbots mit Erlaubnisvorbehalt (siehe Rn. 4) in ein Gebot zur Datenverarbeitung unter Berücksichtigung datenschutzrechtlicher Implikationen. Erwähnt sei nur die Verpflichtung von Arbeitgebern, personenbezogene Daten von Beschäftigten an Sozialversicherungsträger zu übermitteln, von öffentlichen Stellen, über Honorarzahlungen Kontrollmitteilungen an Finanzbehörden zu senden und Zahlungen von Spendern und Sponsoren zur Veröffentlichung an Transparenzregister zu melden,121 von Unternehmen, Daten für Zwecke des Terrorlistenabgleichs zu verarbeiten;122 von Aktiengesellschaften, Daten von Aktionären etwa für Zwecke der Durchführung einer Hauptversammlung zu verarbeiten;123 die Daten der Halter von LKW, die mautpflichtig Bundesautobahnen und bestimmte Bundesstraßen befahren, werden nach §§ 3, 7 des Gesetzes über die Erhebung von streckenbezogenen Gebühren für die Benutzung von Bundesautobahnen und Bundesstraßen (BFStrMG) erfasst.124 Aufgrund einer EU-Verordnung125 sind Daten über die CO2-Emissionen von ab dem 1.1.2021 neu zugelassenen PKW mit fahrzeuginternen Überwachungseinrichtungen für den Kraftstoff- und/oder Stromverbrauch (On-Board Fuel Consumption Metering, OBFCM) zusammen mit der Fahrzeugidentifikationsnummer (FIN) zu erheben und von Herstellern bzw. Vertragshändlern, Werkstätten oder Technischen Überwachungseinrichtungen ab dem Jahr 2022 jeweils zum 1.4. an die Kommission zu übermitteln (Art. 9 Abs. 1 Hs. 1 DurchfVO 2021/392). Eine angestrebte Anonymisierung der Daten ist noch nicht realisiert.