Interessen handeln, sodass Verarbeitungsvorgänge, die dem Schutz bzw. dem Erhalt des eigenen Lebens der betroffenen Person dienen, zumeist deren Willen entsprechen dürften. Schwieriger kann die Abwägung jedoch bei lebenswichtigen Interessen Dritter sein.75 Wegen des Schutzes der betroffenen Person ist hier eine enge Auslegung notwendig, die sowohl den mutmaßlichen Willen der betroffenen Person hinterfragt als auch die Stärke des Eingriffes berücksichtigt, um so die Erforderlichkeit der Datenverarbeitung feststellen zu können.76
4. Stiftungen, Vereinigungen, sonstige gemeinnützige Organisationen (lit. d)
24
Nach Abs. 2 lit. d wird es bestimmten Organisationen, die in den in Abs. 1 genannten Bereichen ohne Gewinnerzielungsabsicht tätig sind, ermöglicht, im Rahmen ihrer Tätigkeit Daten ihrer aktuellen oder ehemaligen Mitglieder sowie regelmäßig mit ihnen in Kontakt tretenden Personen (bspw. Spender, Interessierte) zu verarbeiten.77 Hintergrund ist, dass sich die Verarbeitung der Daten aufgrund der Funktionsausübung dieser sogenannten Tendenzbetriebe nicht vermeiden lässt, vielmehr zentrale Voraussetzung ihrer Aufgabenerfüllung ist.78 Eine Privilegierung besteht jedoch nur, sofern kein Erwerbszweck verfolgt wird, es sich folglich um eine gemeinnützige Tätigkeit handelt.79 Von der Ausnahmeregel werden zudem nur die internen Zwecke der Organisation erfasst (bspw. Mitgliederverwaltung), nicht jedoch zum Beispiel eine Offenlegung gegenüber Dritten, die vielmehr dem Einwilligungserfordernis (Abs. 1 lit. a) unterliegt.80
5. Öffentlich gemachte Daten (lit. e)
25
Ebenso können Daten verarbeitet werden, wenn diese durch die betroffene Person offensichtlich veröffentlicht wurden, eine betroffene Person mithin ausdrücklich auf den spezifischen Schutz ihrer sensitiven Daten und deren strengen Zweckgebundenheit verzichtet.81 Hierzu ist es jedoch notwendig, dass die Informationen nicht im individuell bestimmten Personenkreis (Familie, Suchtgruppen) gegeben wurden, sondern eine Mitteilung an die Allgemeinheit und damit einem individuell nicht bestimmbaren Personenkreis durch die betroffene Person erfolgt ist (frei zugängliche Bereiche des Internet).82 Es muss sich folglich um eine bewusste Entscheidung der betroffenen Person handeln.83 Ein besonderes Schutzbedürfnis der Daten wird dann ausgeschlossen, wobei sich deren weitere Verarbeitung aber weiterhin nach den allgemeinen Erlaubnisvorschriften richtet.84 Dabei setzt die Veröffentlichung im Sinne des Abs. 2 lit. e einen unzweideutigen und bewussten Willensakt der betroffenen Person voraus (bspw. Lebenslauf im Internet), wobei es sich nicht um eine zweckgerichtete Veröffentlichung handeln muss.85 Für die Annahme einer Veröffentlichung reicht hingegen das bloße „Dasein“ der Daten nicht aus, sodass die Teilnahme an öffentlichen Veranstaltungen noch nicht zwingendermaßen auf eine Veröffentlichung von Daten hindeutet.86 Vielmehr ist ein strenger Maßstab anzulegen, sodass bei Zweifeln der Ausnahmetatbestand keine Anwendung findet.87
6. Rechtsansprüche und Handlungen der Gerichte (lit. f)
26
Abs. 2 lit. f erlaubt außerdem die Verarbeitung der in Art. 9 DSGVO geschützten Daten ausnahmsweise dann, wenn diese für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden, d.h. das Tun oder Unterlassen aufgrund von Vertrag oder aus Gesetz verlangt wird (vgl. § 194 Abs. 1 BGB),88 wobei sowohl privatrechtliche als auch öffentlich rechtliche Ansprüche in Betracht kommen.89 Ebenso erfasst, wenn auch nicht extra genannt, ist die Verarbeitung der Daten zur Begründung eines Anspruchs.90 Dies gilt unabhängig davon, ob es sich beim Verantwortlichen um den Gläubiger oder Schuldner handelt, es also der Abwehr oder der Durchsetzung von Ansprüchen dient.91 Dem Recht des Einzelnen auf die effektive Durchsetzung seiner Rechte wird damit Vorrang gegeben, einer gesonderten Interessenabwägung im Rahmen des lit. f bedarf es insoweit nicht.92
27
Darüber hinaus ist auch die Verarbeitung bei Handlungen der Gerichte in Ausübung ihrer justiziellen Tätigkeit als erforderlich zu erachten. Das betrifft vor allem solche Informationen, deren Vorliegen erst die Feststellung einer Rechtsfolge ermöglichen.93
7. Erhebliches öffentliches Interesse (lit. g)
28
Bei Vorliegen eines erheblichen öffentlichen Interesses ermöglicht Abs. 2 lit. g DSGVO außerdem, durch Unions- oder mitgliedstaatliches Recht weitere Ausnahmen zu regeln, womit es keinen eigenen Erlaubnistatbestand beinhaltet, sondern die Umsetzung in eigenen Regelungen unter Beachtung der genannten Voraussetzungen durch nationales Recht oder Unionsrecht verlangt.94 Konkrete Regelungsbereiche werden dadurch nicht festgelegt, dürften aber vor allem im Bereich der öffentlichen Sicherheit oder der Gefahrenabwehr zu finden sein.95 Diese Möglichkeit sollte aber besonderen Ausnahmen vorbehalten sein und an die Zulässigkeit der Verarbeitung strenge Anforderungen gestellt werden.96 Zudem muss es sich um gesamtgesellschaftliche Interessen handeln, sodass Einzelinteressen nur dann als Grund in Betracht kommen, wenn diese auch zugleich ein Gesamtinteresse darstellen.97
8. Gesundheitsvorsorge, Arbeitsmedizin (lit. h)
29
Abs. 2 lit. h betrifft primär zunächst einmal die infrastrukturelle bzw. systematische Seite des Gesundheitswesens (vgl. ErwG 53 und 54). Erfasst wird die Verarbeitung von Daten im Rahmen des Gesundheits- und Sozialbereichs ebenso, wie die medizinische Diagnostik, die Gesundheitsvorsorge sowie der gesamte Bereich der Arbeitsmedizin zur Beurteilung der Arbeitsfähigkeit von Beschäftigten und die in diesem Zusammenhang möglichen Formen gesundheitsbezogener Handlungen (präventive, diagnostische, kurative sowie die Nachsorge).98 Dabei werden von der Ausnahmeregelung gegebenenfalls neben Gesundheitsdaten auch solche sensiblen Daten erfasst, die aus anderen Gründen einen Bezug aufweisen, beispielsweise bei der Verweigerung einer Behandlung aus religiösen Gründen.99
30
Die gesetzliche Anordnung der Verarbeitung bzw. die Erlaubnis zur Verarbeitung der Daten kann sich aus dem Unionsrecht oder dem Recht eines Mitgliedstaates ergeben. Darüber hinaus besteht jedoch auch die Möglichkeit, dass sich die Befugnis aus einem Vertrag mit einem Angehörigen eines Gesundheitsberufs ergibt, dies können sowohl Ärzte als auch das Personal bzw. die Ärzte aus Krankenhäusern sein.100
31
Überdies muss die Verarbeitung zu den in Abs. 2 lit. h genannten Zwecken im Interesse einzelner natürlicher Personen und der Gesellschaft erforderlich sein (vgl. ErwG 53 Satz 1). Die Verarbeitung muss also richtigerweise sowohl dem Schutz der betroffenen Person als auch dem Allgemeininteresse an einer hinreichenden Gesundheitsvorsorge gerecht werden.101
32
Die Ausnahmeregelung erfasst dann, neben den erforderlichen Verwaltungstätigkeiten, auch die Verarbeitung durch Abrechnungsstellen und Apotheken, findet jedoch über die Vorgabe in Abs. 3 eine Eingrenzung, indem der Umgang mit den Daten auf bestimmte Personen beschränkt wird.102 Nach Abs. 3 ist die Verarbeitung der Daten nur Fachpersonal, das einem Berufsgeheimnis oder einer sonstigen Geheimhaltungspflicht nach mitgliedstaatlichem Recht unterliegt, unter dessen Verantwortung zulässig.103 Dies betrifft zunächst einmal die in § 203 Abs. 1 Satz 1, Abs. 2 Nr. 1 StGB genannten Berufsgruppen, erfasst aber auch andere Berufsgruppen, sofern das Berufsgeheimnis sich auf sie erstreckt (bspw. private Krankenversicherungen).104
9. Öffentliche Gesundheit, schwerwiegende Gesundheitsgefahren (lit. i)
33
Abs. 2 lit. i erfasst demgegenüber die gefahrenrechtliche Komponente, wonach eine Datenverarbeitung