Rechtmäßigkeit im Sinne der DSGVO

Formen der rechtlichen Erlaubnis im Überblick

Um personenbezogene Daten zu verarbeiten, brauchen Sie eine rechtliche Erlaubnis. Im Datenschutz spricht man davon, dass eine passende Grundlage für die Verarbeitung von personenbezogenen Daten vorliegen muss, damit die Verarbeitung auch „rechtmäßig“ ist. 

Es kann vorkommen, dass Ihr Unternehmen für unterschiedliche Zwecke unterschiedliche Formen der rechtlichen Erlaubnis hat. 

Beispiel
Ein Unternehmen verarbeitet die E-Mail-Adresse einer Kundin für Werbezwecke (z. B. den Versand eines Newsletters) und zur Auftragsabwicklung. In diesem Fall könnten folgende Formen der rechtlichen Erlaubnis in Betracht kommen: 

• Für den Zwecke der Werbung: Einwilligung
• Für den Zweck der Auftragsabwicklung: Vertragserfüllung

Die DSGVO unterscheidet zwischen folgenden Formen:

• Rechtmäßige Verarbeitung von „normalen“ Daten
• Sonderfall: Rechtmäßige Verarbeitung sensibler Daten (auch „besondere Kategorien personenbezogener Daten“)
• Sonderfall: Rechtmäßige Verarbeitung strafrechtlich relevanter Daten

Rechtmäßige Verarbeitung von „normalen“ Daten 

Um personenbezogene Daten rechtmäßig verarbeiten zu können, benötigt Ihr Unternehmen eine rechtliche Erlaubnis. Laut DSGVO gibt es sechs Formen der rechtlichen Erlaubnis (andere Bezeichnungen sind etwa „rechtliche Grundlage“, „Erlaubnistatbestand):

• Einwilligung der betroffenen Person
• Vertragserfüllung
• Rechtliche Verpflichtung
• Schutz lebenswichtiger Interessen
• Wahrnehmung einer Aufgabe im öffentlichen Interesse
• Berechtigte Interessen

Sonderfall: Öffentliche Daten

Bei öffentlich verfügbaren Daten sind die Anforderungen an den Datenschutz im Regelfall weniger streng als nicht-öffentliche Daten. Zu den öffentlichen Daten gehören z. B.:

• Einträge im Telefonbuch
• Informationen aus Zeitungen, Fernsehen oder Radio
• Inhalte auf frei zugänglichen Websites
• Daten aus öffentlichen Registern (z. B. Firmenbuch, Grundbuch)

Man darf aber nicht einfach davon ausgehen, dass es keine schutzwürdigen Interessen mehr gibt, nur weil personenbezogene Daten schon veröffentlicht sind. Dass personenbezogene Daten öffentlich sind, ist nicht allein ein Grund, sie zu verarbeiten. Vielmehr benötigt der Verantwortliche auch hier eine rechtliche Erlaubnis.

Dabei ist auch zu berücksichtigen, für welchen Zweck die personenbezogenen Daten öffentlich gemacht wurden. So ist es beispielsweise zulässig, dass eine Kaufinteressentin die personenbezogenen Daten eines Grundstückseigentümers aus dem Grundbuch beschafft, um diesem zumindest einmalig ein Kaufangebot für das Grundstück zu schicken. Die rechtliche Erlaubnis wäre in diesem Fall ein berechtigtes Interesse.

Sonderfall: Rechtmäßige Verarbeitung von sensiblen Daten

Die Verarbeitung von sensiblen Daten $LINK BEGRIFFSBESTIMMUNGEN ist grundsätzlich verboten, da diese besondere Risiken für die betroffenen Personen birgt.

Beispiel
Erfassung einer Liste mit Notfallkontakten im Betrieb. Dabei wird es den Mitarbeiter:innen freigestellt anzugeben, in welcher Beziehung sie zum angegebenen Kontakt stehen. Gibt Herr A einen Kontakt mit dem Zusatz „Ehemann“ an, ergibt sich daraus die sexuelle Orientierung.

Allerdings ist die Verarbeitung sensibler Daten erlaubt, wenn eine der im Gesetz aufgezählten Ausnahmen vom Verarbeitungsverbot vorliegt. Für den Unternehmensalltag sind folgende Ausnahmen relevant:

• Vorliegen einer ausdrücklichen Einwilligung
• Vertragserfüllung im Gesundheits- und Sozialbereich
• Rechtliche Grundlage
• Triftige Interessen (Rechtsansprüche, Tendenzbetriebe, selbst veröffentliche Daten, lebenswichtige Interessen)

Vorliegen einer ausdrücklichen Einwilligung

Die DSGVO spricht bei sensiblen Daten von einer ausdrücklichen Einwilligung. Wenn Sie sich an die Empfehlungen zur Einwilligung halten, ist diese im Regelfall ohnedies ausdrücklich.

Vertragserfüllung im Gesundheits- und Sozialbereich

Bei den sensiblen Daten schränkt die DSGVO die Datenverarbeitung zur Vertragserfüllung auf den Gesundheits- und Sozialbereich ein. Das bedeutet, dass ein Vertrag zur Leistungserbringung zwischen betroffener Person und einem Angehörigen eines Gesundheitsberufs geschlossen werden muss, der einem gesetzlichen Berufsgeheimnis unterliegt. 

Beispiele
Ärzt:innen, Zahnärzt:innen, Sanitäter:innen, Hebammen, Psycholog:innen, Psychotherapeut:innen, medizinische Heilmasseur:innen.

Überdies ist eine Verarbeitung sensibler Daten auf dieser Grundlage nur für folgende Zwecke erlaubt:

• Gesundheitsvorsorge
• für die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich
• Arbeitsmedizin
• für die Beurteilung der Arbeitsfähigkeit des Mitarbeiters/der Mitarbeiterin
• für die medizinische Diagnostik

Beispiel
Eine Heilmasseurin verarbeitet Gesundheitsdaten ihrer Patient:innen (z. B. Angaben zu Muskelverspannungen, ärztliche Befunde, Therapiepläne), um eine individuell angepasste Massagebehandlung durchzuführen.

Die Verarbeitung erfolgt zur Erbringung einer Gesundheitsdienstleistung im Rahmen der therapeutischen Versorgung, die Heilmasseurin unterliegt einer Verschwiegenheitspflicht. Die Datenverarbeitung ist daher auf dieser rechtlichen Erlaubnis zulässig.

Rechtliche Grundlage

Die DSGVO sieht vor, dass auch rechtliche Grundlagen, welche die Verarbeitung sensibler Daten erlauben, nur in bestimmten Bereichen oder zu bestimmten Zwecken erlassen werden dürfen, wie insbesondere das Arbeitsrecht und die soziale Sicherheit.  Kollektivverträge und Betriebsvereinbarungen zählen ebenfalls als rechtliche Grundlage. Weitere Bereiche bzw. Zwecke sind: erhebliche öffentliche Interessen, individuelle Versorgung im Gesundheits- und Sozialbereich, öffentliche Gesundheit sowie öffentliche Archiv-, Forschungs- und statistische Zwecke.

Typischerweise werden im Arbeitsverhältnis folgende sensiblen Datenkategorien auf Grundlage des Arbeitsrechts verarbeitet: 

• Krankenstände (inklusive Kuraufenthalte)
• Gewerkschaftszugehörigkeit
• Status als begünstigter Behinderter
• Eignung oder Nichteignung einer nach gesetzlich verpflichtenden (Einstellungs-)Untersuchung (z. B. § 49 und § 50 Arbeitnehmerschutzgesetz)

Beispiel
Die Brandschutzbeauftragte ersucht die Personalabteilung um Übermittlung einer Liste jener Beschäftigten, die im Fluchtfall auf besondere Unterstützungsleistungen angewiesen sind. Dabei wird es sich vor allem um begünstigte Behinderte mit Mobilitäts- oder Wahrnehmungseinschränkungen handeln.

Triftige Interessen (Rechtsansprüche, Tendenzbetriebe, selbst veröffentliche Daten, lebenswichtige Interessen)

Die DSGVO anerkennt nur ganz wenige Fälle, wo die Verarbeitung sensibler Daten wegen berechtigter Interessen des Verantwortlichen zulässig ist: 

• Wenn es um die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen geht. Diese Rechtsansprüche dürfen aber nicht rein theoretisch sein, also z. B. muss ein Verfahren bereits konkret absehbar sein.
• Datenverarbeitung durch eine politische, weltanschauliche, religiöse oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht („Tendenzbetriebe“) im Rahmen ihrer rechtmäßigen Tätigkeit auf der Grundlage geeigneter Garantien, also z. B. Religionsgemeinschaften, caritative Vereine mit Anbindung an eine Kirche, Gewerkschaften oder politische Parteien.
• Die personenbezogenen Daten wurden durch die betroffene Person offensichtlich selbst öffentlich gemacht. Zur Verarbeitung öffentlicher Daten siehe $LINK.
• Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.
  

Sonderfall: Rechtmäßige Verarbeitung von strafrechtlich relevanten Daten

Als strafrechtlich relevant gelten laut österreichischem Datenschutzgesetz personenbezogene Daten

• zu gerichtlich oder verwaltungsbehördlich strafbare Handlungen
• zu gerichtlich oder verwaltungsbehördlich strafbare Unterlassungen
• zum Verdacht der Begehung von Straftaten
• über strafrechtliche Verurteilungen
• über vorbeugende Maßnahmen
  

Bei der Verarbeitung dieser Daten muss eine der folgenden Voraussetzungen vorliegen:

• ausdrückliche gesetzliche Ermächtigung
• Verpflichtung zur Verarbeitung
• bestehende gesetzliche Sorgfaltspflicht
• berechtigtes Interesse des Verantwortlichen oder eines Dritten
  • die Interessen der betroffenen Person müssen gewahrt werden
  • die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person am Schutz der personenbezogenen Daten dürfen nicht überwiegen

Beispiele

• Verarbeitung von Verwaltungsstrafen einzelner Mitarbeiter:innen aufgrund von Fahrten mit Dienstfahrzeugen
• Strafregisterbescheinigung mit Vorstrafen
• Aufzeichnung der Videoüberwachungsanlage, auf der man Tat und Täter:in erkennt

Zusammenfassende Darstellung zu rechtlicher Erlaubnis und Datenart

^{Quelle: Bearbeitete Fassung einer Tabelle aus Knyrim, Praxishandbuch Datenschutzrecht (4. Auflage). Verwendung mit freundlicher Bewilligung des MANZ Verlags.}

Zum Nachschlagen: Gesetzliche Bestimmungen zur Rechtmäßigkeit

• DSGVO Artikel 6 Absatz 1 Buchstabe a-f (Normale Formen der rechtlichen Erlaubnis)
• DSGVO Artikel 9 (Sonderform Sensible Daten)
• DSGVO Artikel 10 (Sonderform strafrechtlich relevante Daten)
• DSG § 4 Absatz 3 (Sonderform strafrechtlich relevante Daten)
  

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite