über sie verarbeitet werden. Das unterstreicht wiederum der ErwG 47, der davon ausgeht, dass bei einer Abwägung zu prüfen ist, „ob eine betroffene Person zum Zeitpunkt der Datenerhebung und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“. Wieder wird hier der Grundsatz der Transparenz deutlich, nach dem erwartet wird, dass die betroffene Person entsprechend der Anforderungen aus Art. 13, 14 DSGVO über die Verarbeitung ihrer Daten informiert ist. Diese wertausfüllende Anforderung wird bei der Abwägung zu berücksichtigen sein.
120
Bei der Abwägung gilt es weiter zu prüfen, ob die Verarbeitung wirklich erforderlich ist und ob Daten von Kindern verarbeitet werden, die eines besonderen Schutzes bedürfen. Keineswegs führt aber allein die Tatsache, dass die betroffene Person ein Kind ist, schon zu der Annahme, dass bei der Abwägung mit den Interessen des Verantwortlichen das des Kindes stets überwiegt, sodass die Verarbeitung dann ohne weitere Erwägungen unzulässig wäre.207 Gleichwohl muss der Verantwortliche sorgfältig abwägen, ob er die Daten eines Kindes ohne Einbeziehung der Eltern und deren Zustimmung aufgrund einer Interessenabwägung verarbeiten darf. Dabei sind das Alter des Kindes und die Art der Daten zu berücksichtigen. Die Wertung des Art. 8 DSGVO ist zu beachten. Danach wird die Verarbeitung der Daten von Kindern, die das 16. Lebensjahr vollendet haben, weniger problematisch sein, als die von noch jüngeren Kindern. Als Kind im Kontext des Art. 6 DSGVO werden mit den Entwürfen von Kommission und Parlament alle Personen anzusehen sein, die das 18. Lebensjahr noch nicht vollendet haben (Art. 4 Nr. 18 DSGVO-E).208
121
Außerdem ist zu beachten, dass Behörden eine Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 Satz 2 DSGVO dann nicht auf den Buchstaben f stützen können, wenn die Verarbeitung der Erfüllung ihrer Aufgaben dient.209 Hierfür wäre eine Erlaubnis in Art. 6 Abs. 1 UAbs. 1 lit. c bis lit. e DSGVO zu prüfen. In ErwG 47 Satz 4 wird dementsprechend darauf hingewiesen, dass „es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen“, sodass die Behörden auch hiermit bei der Datenverarbeitung in Erfüllung ihrer Aufgaben auf Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO in Verbindung mit einer Aufgabenzuweisung aus einem Fachgesetz als Erlaubnisnorm verwiesen werden.
122
Bei einem fiskalischen Handeln treten Behörden wie Personen des Privatrechts auf. Schließen sie bei privatrechtlichen Hilfsgeschäften Verträge (etwa Kauf- oder Mietverträge), die die Verarbeitung personenbezogener Daten erfordern, dann werden sie eine Erlaubnis in Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO finden können. Nur dann, wenn die Datenverarbeitung nicht der Aufgabenerfüllung dient, nicht zur Erfüllung einer rechtlichen Verpflichtung oder im Zusammenhang mit einer Vertragserfüllung steht, wenn ein berechtigtes Interesse die Datenverarbeitung erforderlich macht und Interessen der betroffenen Personen demgegenüber nicht überwiegen, könnte sich auch eine Behörde bei der Verarbeitung auf die Erlaubnis aus Buchstabe f stützen.210
123
Auch eine Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht auf der Grundlage einer Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO möglich. Als lex specialis geht Art. 9 DSGVO als Erlaubnistatbestand für die Verarbeitung besonderer Kategorien personenbezogener Daten vor. In Art. 9 DSGVO findet sich eine vergleichbare Regelung mit einer Abwägungsoption nicht.
124
Anwaltskanzleien haben Zugang zu Gerichtsakten. Darin enthaltene personenbezogene Daten sind nicht öffentlich zugänglich und genießen eine besondere Schutzbedürftigkeit. Deswegen dürfen die Anschriften der in der (Insolvenz-)Akte genannten Personen, zu denen zudem kein Kontakt bestand, von der Rechtsanwaltskanzlei nicht unter Berufung auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO für Mandantenakquise (Marketingzwecke) verwendet werden.211
e) Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten
125
Personenbezogene Daten dürfen verarbeitet werden, wenn dies für die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten an der Verarbeitung von Daten erforderlich ist. Dieser Erlaubnisgrund kann auch herangezogen werden, wenn ein rechtsgeschäftliches oder rechtsgeschäftsähnliches Schuldverhältnis besteht oder ein solches angestrebt wird und sich eine Verarbeitungserlaubnis damit aus Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO ergeben würde, die Daten aber nicht für den Vertragszweck, sondern für einen anderen Zweck verarbeitet werden sollen, beispielsweise für das Direktmarketing (siehe Rn. 109). Wenn ein Erlaubnistatbestand für den geänderten Zweck einschlägig ist, bedarf es keines Kompatibilitäts- bzw. Vereinbarkeitstests gem. Art. 6 Abs. 4 DSGVO (Rn. 166).
126
Anders als noch nach Art. 7 DSRl und § 28 Abs. 1 Satz 1 Nr. 2 BDSG a.F. ist die Norm nicht auf das Interesse des Verantwortlichen beschränkt. Während unter dem BDSG a.F. Interessen Dritter außer im Fall der Übermittlung und Nutzung bei einer Zweckänderung (§ 28 Abs. 2 Nr. 2 lit. a BDSG a.F.) grundsätzlich nicht geltend gemacht werden konnten, werden nun die Interessen Dritter ausdrücklich mit genannt. Danach darf der Verantwortliche eine Erlaubnis für seine Datenverarbeitung damit begründen, dass sie im Interesse eines Dritten erfolgt. Damit werden aber Dritte nicht (schon) zu Verantwortlichen;212 sie erhalten dementsprechend auch nicht die Daten aufgrund des Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. Will der Verantwortliche Daten übermitteln, braucht dieser Verarbeitungsvorgang eine eigene, neu zu prüfende Erlaubnis, die auf einer Einwilligung der betroffenen Person, aber auch auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützt werden könnte. Auch der Dritte bräuchte für die mit der der Übermittlung erfolgende Verarbeitung eine eigene Erlaubnis.213
127
Das Merkmal des „berechtigten Interesses“ wird in der Verordnung nicht definiert. ErwG 47 wiederholt in Satz 1 lediglich den Normtext, wenn es dort heißt, dass „die Rechtmäßigkeit der Verarbeitung ... durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein (kann), sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen“. Wenig erhellend wird ergänzt, dass „dabei“ – damit dürfte der Abwägungsprozess gemeint sein – „die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen“ sind.
128
Das Interesse an der Verarbeitung kann sich darauf beziehen, dass die Verarbeitung personenbezogener Daten eine notwendige Handlung ist, um beispielsweise geschäftsmäßig wirtschaftliche, politische, religiöse, humanitäre, ökologische oder sonstige Ziele zu verfolgen,214 für die die Datenverarbeitung das Mittel zum Zweck ist. Die Datenverarbeitung kann aber auch selbst der Zweck sein, wenn diese Daten etwa das Gut darstellen, das anderen zur Verfügung gestellt, vermietet oder verkauft wird. Darunter würden Adresshändler, Bewertungsplattformen (wie mein prof.de) oder Auskunfteien fallen, die nach früherem Recht in § 29 BDSG a.F. ihren Erlaubnistatbestand fanden. Diese Differenzierung der Datenverarbeitung zwischen der Verarbeitung zu eigenen (§ 28 BDSG a.F.) und zu fremden Zwecken (§ 29 BDSG a.F.) kennt die DSGVO nicht mehr.
129
Als berechtigt darf jedes Interesse des Verantwortlichen angesehen werden, soweit es von der Rechtsordnung nicht missbilligt wird.215 Zu nennen wären rechtliche, tatsächliche, wirtschaftliche oder ideelle Interessen eines Verantwortlichen oder eines Dritten an der Verarbeitung der personenbezogenen Daten.216 Auch die Verfolgung der grundrechtlich durch Art. 9 Abs. 3 GG geschützten Koalitionsfreiheit durch Werbung von neuen Mitgliedern der Gewerkschaften gehört zu den anzuerkennenden Interessen.217 Ein berechtigtes Interesse muss auf einen konkreten Verarbeitungs- oder Nutzungszweck gerichtet sein. Berechtigt ist das Interesse also nur, wenn die Verarbeitung legitim und rechtmäßig ist. Der ErwG 47 und die nachfolgenden ErwG 48