dies im öffentlichen Interesse liegen.174 Neben öffentlichen Stellen sind damit auch nichtöffentliche Stellen adressiert, die eine Datenverarbeitung im öffentlichen Interesse durchführen und dabei den Anforderungen der Absätze 3 und 4 entsprechen.175 Diese nichtöffentlichen Stellen, die im öffentlichen Interesse Daten verarbeiten, müssen auch keine Beliehenen sein;176 es muss aber eine im öffentlichen Interesse liegende Aufgabe durch Gesetz festgelegt sein und wahrgenommen werden.177
c) Aufgabenwahrnehmung in Ausübung öffentlicher Gewalt
102
Bei der zweiten Alternative der Wahrnehmung einer Aufgabe, die in Ausübung öffentlicher Gewalt erfolgt, müssen Hoheitsrechte gegeben sein, die einer öffentlichen Stelle, typischerweise Behörden, oder die nichtöffentlichen Stellen (Beliehene) übertragen wurden (vgl. § 3 BDSG Rn. 6). Der Begriff der „Ausübung öffentlichen Gewalt“ scheint nicht deckungsgleich zu sein mit dem Begriff der „Ausübung hoheitlicher Befugnisse“ wie er in Art. 49 Abs. 3 DSGVO und in ErwG 145 verwendet wird, der den Adressatenkreis enger zieht, als es bei Buchstabe e der Fall ist. Der Begriff der „öffentlichen Gewalt“ ist weder in der DSGVO noch sonst im Unionsrecht definiert. Der EuGH entschied in einem wettbewerbsrechtlichen Kontext, dass es sich um öffentliche Gewalt handelt, wenn es sich bei einer Tätigkeit um einen im Allgemeininteresse stehenden Auftrag handelt, der zu den wesentlichen Staatsaufgaben gehört.178 Weil die Ausübung öffentlicher Gewalt stets auch im öffentlichen Interesse erfolgt, werden die beiden Alternativen weitgehend deckungsgleich sein.179
d) Weitere Anforderungen
103
Wie bei dem Erlaubnistatbestand aus Buchstabe c sind weitere Anforderungen an diesen mit fachspezifischen Vorschriften verknüpften Erlaubnistatbestand in Absatz 3 enthalten. Anders als der Erlaubnistatbestand nach Buchstabe c hat Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO die hoheitlichen Aufgaben im Blick, die durch Behörden des Bundes, der Länder und Gemeinden, durch öffentlich-rechtliche Körperschaften oder durch Beliehene erfüllt werden (funktionaler Ansatz).180 Auszugehen ist von einer durch Gesetz beschriebenen und einer Behörde oder auch einer privatrechtlich organisierten Stelle als Verantwortlichem übertragenen hoheitlichen Aufgabe. Eine solche liegt nicht vor, wenn die öffentliche Stelle sich im Wettbewerb mit privaten Unternehmen befindet, selbst wenn diese privatwirtschaftliche Tätigkeit im öffentlichen Interesse erfolgt.181
104
Wenn zur Aufgabenerfüllung besondere Kategorien personenbezogener Daten verarbeitet werden müssen, so enthalten dafür Art. 9 Abs. 2 lit. g und lit. i DSGVO entsprechende Verweise auf das fachspezifische Recht, wobei die Verarbeitung derartiger besonders schützenswerter Daten durch die öffentliche Hand ein erhebliches öffentliches Interesse voraussetzt (Art. 9 Rn. 28ff.).
105
Zu beachten ist schließlich Art. 17 Abs. 3 lit. b bis d DSGVO, die von der Pflicht zur Löschung dann suspendieren, wenn die Erlaubnis zur Verarbeitung aufgrund eines öffentlichen Interesses erfolgt, wie etwa nach Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO.
6. Berechtigte Interessen des Verantwortlichen oder Dritter (lit. f)
a) Bedeutung der Norm
106
Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO ist nicht die Generalklausel des Datenschutzrechts,182 kein Auffangtatbestand,183 keine Auffangvorschrift184 und auch kein Ausnahmetatbestand,185 der nur dann ausnahmsweise herangezogen würde, wenn andere Erlaubnisnormen tatbestandsmäßig nicht in Betracht kommen.186 Vielmehr handelt es sich bei der Erlaubnis nach Buchstabe f um einen selbstständigen und keineswegs nur nachrangigen Erlaubnistatbestand. Kommen mehrere Erlaubnisse aus Art. 6 Abs. 1 UAbs. 1 DSGVO in Betracht, ggf. Buchstabe e in Verbindung mit dem Fachrecht, dann kann es praxisgerecht sein, die Verarbeitung auf Buchstabe f zu stützen. In der Praxis wird dem Erlaubnistatbestand Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO eine überragende Bedeutung zukommen.187
b) Anwendbarkeit bei Unternehmensveräußerung
107
Eine Interessenabwägung als Erlaubnistatbestand kommt – wie jede andere, die nach dem Grundsatz des Verbots mit Erlaubnisvorbehalt (siehe dazu Rn. 3ff.) zunächst verbotene Datenverarbeitung legitimierende Norm – nur dann in Betracht, wenn überhaupt eine Datenverarbeitung, die auch eine Übermittlung erfasst (Art. 4 Nr. 2 DSGVO), vorliegt. Bei einer Unternehmensveräußerung in Form des Share Deals mit der Folge der Verschmelzung des verantwortlichen Unternehmens mit einer Gesamtrechtsnachfolge (§ 20 UmwG), bei der sich nur der Rechtsträger ändert und der Rechtsnachfolger vollständig in die Rechtsstellung des Rechtsvorgängers eintritt, findet durch diesen umwandlungsrechtlichen Vorgang datenschutzrechtlich betrachtet gar keine Datenverarbeitung statt, sodass die DSGVO hierfür nicht heranzuziehen ist und eine Erlaubnis für etwas, was nicht stattfindet, nicht benötigt wird.188 Dieses war auch die herrschende Ansicht bei Geltung des BDSG a.F.189
108
Anders verhält es sich, wenn wie bei einem Asset Deal einzelne Unternehmensteile (Singularsukzession) an einen Dritten verkauft werden. Ist Gegenstand der Transaktion (auch oder nur) ein Bestand an personenbezogenen Kundendaten, so liegen Verarbeitungen (aus Verkäufersicht eine Übermittlung und aus Käufersicht eine Erhebung) vor, die einer datenschutzrechtlichen Erlaubnis bedürfen.190 Diese kann in Art. 6 Abs. 1 UAbs. 1 lit. b bzw. lit. f DSGVO gefunden werden.191
109
Soweit von der gesellschaftsrechtlichen Übertragung personenbezogene Daten aus laufenden, nicht abgeschlossenen Vertragsbeziehungen betroffen sind, wäre eine Erlaubnis aus Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO naheliegend. Die DSK geht nach einem Beschluss vom 24.5.2020 – bei Ablehnung der Aufsichtsbehörden von Berlin und Sachsen – davon aus, dass es in diesen Fällen einer zivilrechtlichen Genehmigung (§ 415 BGB/Schuldübernahme) bedarf, die dann auch als „datenschutzrechtliche Zustimmung zum Übergang der erforderlichen Daten“ angesehen wird.192 Ob die DSK mit dem Begriff der „Zustimmung“, der in der DSGVO sonst nur in Art. 8 Abs. 1 Satz 2 und Abs. 2 DSGVO verwendet wird, um die zustimmende Haltung zu einer Einwilligung eines Kindes auszudrücken,193 die Einwilligung meint, ist kaum denkbar,194 weil auch von der „Wahrung der Gegeninteressen der Kunden“ die Rede ist, auf die es bei einer Einwilligung – oder „Zustimmung“ – nicht ankommen kann. Welche rechtliche Bedeutung dem Begriff hier zukommen soll, wird offen gelassen. Eine „informierte Einwilligung“ soll bei „Kundendaten der Kategorie Art. 9 Abs. 1 DSGVO“ erforderlich sein. Da jede Einwilligung „in informierter Weise“ zu erteilen ist (Art. 4 Nr. 11 DSGVO), liegt es nahe, dass in diesem Fall die „ausdrückliche Einwilligung“ gemeint sein sollte. Die betroffenen Personen sind spätestens bei der ersten Nutzung195 der Daten über die Herkunft der Daten und – wie stets bei einer auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützten Verarbeitung für Zwecke des Direktmarketing – auf das Widerspruchsrecht nach Art. 21 Abs. 1 und 2 DSGVO hinzuweisen. Diese Information verbunden mit dem Widerrufsrecht sollte auch den Anforderungen des § 415 Abs. 1 BGB genügen, weil mit der Erklärung des Widerspruchs die Genehmigung der Schuldübernahme verweigert wird.
110
Die DSK geht weiter davon aus, dass Daten solcher Bestandskunden, zu denen seit mehr als drei Jahren keine Vertragsbeziehungen bestehen, „nur wegen gesetzlicher Aufbewahrungsfristen genutzt werden“ dürfen. Bestand innerhalb der letzten drei Jahre eine Vertragsbeziehung oder bestehen Vertragsanbahnungsverhältnisse mit dem Übertragenden, dann dürfen die Daten an den Übernehmer auf der Grundlage des Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO übertragen werden, wenn den Betroffenen die Möglichkeit eines Widerspruchs eingeräumt wird,196 wobei die Widerspruchsfrist großzügig bemessen sein soll – genannt werden „als Beispiel“ sechs Wochen. Von dieser Widerspruchslösung