Fachwissen Datenschutz - Datenverarbeitung

• Grundsätzliches Verbot
  Ohne eine gesetzliche Grundlage oder die Einwilligung der betroffenen Person dürfen personenbezogene Daten nicht verarbeitet werden. Dies dient dem Schutz der Privatsphäre und persönlichen Freiheit der Individuen.
  
  
• Ausnahmen vom Verbot
  Die DSGVO und andere relevante Datenschutzgesetze definieren spezifische Fälle, in denen die Verarbeitung personenbezogener Daten zulässig ist. Diese Ausnahmen beinhalten unter anderem die Verarbeitung für die Erfüllung eines Vertrags, die Einhaltung rechtlicher Verpflichtungen, den Schutz lebenswichtiger Interessen, die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Verfolgung legitimer Interessen des Verantwortlichen oder eines Dritten, sofern die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.

Ein zentraler Ausnahmefall ist die Einwilligung der betroffenen Person. Wenn eine Person ausdrücklich zustimmt, dass ihre personenbezogenen Daten für einen oder mehrere spezifische Zwecke verarbeitet werden dürfen, ist diese Verarbeitung rechtmäßig. Die Einwilligung muss freiwillig, informiert, eindeutig und nachweisbar erteilt werden.

Neben der Einwilligung gibt es weitere Rechtsgrundlagen für die Datenverarbeitung, wie etwa:

• Die Verarbeitung ist notwendig für die Erfüllung eines Vertrags mit der betroffenen Person oder für die Durchführung vorvertraglicher Maßnahmen.
• Die Verarbeitung ist notwendig zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt.
• Die Verarbeitung ist notwendig, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

Die Zulässigkeit einer Datenverarbeitung unter der Datenschutz-Grundverordnung (DSGVO) hängt von der Erfüllung mindestens einer der in Artikel 6 DSGVO definierten Rechtsgrundlagen ab. Diese Rechtsgrundlagen bieten einen Rahmen, innerhalb dessen personenbezogene Daten rechtmäßig verarbeitet werden dürfen:

Die Einwilligung stellt eine der zentralen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten unter der Datenschutz-Grundverordnung (DSGVO) dar. Eine wirksame Einwilligung muss bestimmte Kriterien erfüllen, um die Rechtmäßigkeit der Datenverarbeitung zu gewährleisten.

Kriterien für eine wirksame Einwilligung

• Freiwilligkeit
  Die Einwilligung muss freiwillig erteilt werden, ohne jeglichen Zwang oder unangemessenen Druck. Dies bedeutet, dass die betroffene Person eine echte Wahl haben muss, ob sie ihre Daten verarbeiten lassen möchte oder nicht.
  
  
• Eindeutigkeit
  Die Zustimmung muss durch eine klare affirmative Handlung erfolgen, die keine Zweifel an der Einwilligung der betroffenen Person lässt. Dies kann beispielsweise durch Ankreuzen eines Kästchens auf einer Website oder durch eine andere Form der expliziten Zustimmung geschehen.
  
  
• Informiertheit
  Die Person muss zum Zeitpunkt der Einwilligung über den Zweck der Datenverarbeitung, die Art der Daten, die verarbeitet werden, und über ihre Rechte, einschließlich des Rechts auf Widerruf der Einwilligung, vollständig informiert sein.
  
  
• Aktive Erteilung
  Die Einwilligung muss durch eine aktive Handlung der betroffenen Person erfolgen und darf nicht durch Schweigen, bereits angekreuzte Kästchen oder Inaktivität angenommen werden.

Einwilligungstext

Um diese Kriterien zu erfüllen, wird in der Praxis häufig ein Einwilligungstext verwendet, der genau spezifiziert, in welche Verarbeitungsvorgänge eingewilligt wird. Der Text sollte klar definieren:

• Gegenüber wem
  Die Identität des Verantwortlichen oder der Organisation, die die Daten verarbeitet.
  
  
• Zu welchem Zweck
  Der spezifische Zweck oder die Zwecke der Datenverarbeitung.
  
  
• Welche Daten
  Die spezifischen personenbezogenen Daten, die verarbeitet werden.
  
  
• Widerrufsrecht
  Informationen darüber, wie und dass die Einwilligung jederzeit für die Zukunft widerrufen werden kann.

Anwendungsbereich der Vertragsdurchführung

• Verkauf von Produkten oder Dienstleistungen
  Wenn für den Verkauf von Produkten oder die Erbringung von Dienstleistungen die Verarbeitung personenbezogener Daten erforderlich ist, kann sich die Verarbeitung auf die Notwendigkeit der Vertragsdurchführung stützen. Dies umfasst beispielsweise die Verarbeitung von Kundendaten zur Lieferung eines Produkts oder zur Bereitstellung einer Dienstleistung.
  
  
• Vorvertragliche Maßnahmen
  Auch die Verarbeitung personenbezogener Daten im Rahmen von vorvertraglichen Maßnahmen, wie etwa Anfragen zu Produkten oder Dienstleistungen, fällt unter diese Rechtsgrundlage.

Einschränkungen und Bedingungen

• Erforderlichkeit
  Die Verarbeitung muss für die Vertragsdurchführung oder die Durchführung vorvertraglicher Maßnahmen erforderlich sein. Es dürfen nur diejenigen personenbezogenen Daten verarbeitet werden, die für diese Zwecke unbedingt notwendig sind.
  
  
• Keine Nutzung für andere Zwecke
  Personenbezogene Daten, die für die Vertragsdurchführung erhoben wurden, dürfen nicht für andere Zwecke, wie beispielsweise Marketing, verarbeitet werden, es sei denn, es liegt eine separate Rechtsgrundlage oder Einwilligung für solche Verarbeitungstätigkeiten vor.

Die Verarbeitung ist notwendig zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt.

Die Verarbeitung ist notwendig, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

Die Verarbeitung ist notwendig für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

Schlüsselaspekte der Rechtsgrundlage "Berechtigte Interessen"

• Interessensabwägung
  Es muss eine sorgfältige Abwägung zwischen den berechtigten Interessen des Verantwortlichen oder eines Dritten und den Rechten und Freiheiten der betroffenen Person erfolgen. Die Interessen des Verantwortlichen können beispielsweise wirtschaftlicher Natur sein oder sich auf Sicherheitsaspekte beziehen, während die Rechte der betroffenen Person den Schutz ihrer personenbezogenen Daten umfassen.
  
  
• Erforderlichkeit
  Die Datenverarbeitung muss zur Wahrung der berechtigten Interessen notwendig sein. Dies bedeutet, dass, wenn das angestrebte Ziel auf eine andere, weniger eingreifende Weise erreicht werden kann, diese Alternative bevorzugt werden sollte.
  
  
• Widerspruchsrecht
  Den betroffenen Personen steht grundsätzlich das Recht zu, gegen die Verarbeitung ihrer Daten zu Zwecken, die aus berechtigten Interessen erfolgen, Widerspruch einzulegen. Dieses Recht muss den betroffenen Personen klar kommuniziert werden.

Beispielanwendung

Ein klassisches Beispiel für die Anwendung dieser Rechtsgrundlage ist der Versand von postalischer Werbung an bestehende Kundinnen und Kunden eines Unternehmens. Solange die betroffenen Personen nicht explizit widersprochen haben und die Werbung sich auf ähnliche Produkte oder Dienstleistungen bezieht, die sie bereits erworben haben, kann dies als berechtigtes Interesse des Unternehmens angesehen werden.

Wenn keine der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) anwendbar ist, muss die Datenverarbeitung unterbleiben.

Im E-Commerce ist die Einwilligung in den Versand von Newslettern ein gängiges Beispiel für die Anwendung der Rechtsgrundlage der Einwilligung gemäß der Datenschutz-Grundverordnung (DSGVO). Unternehmen nutzen Newsletter, um Kunden über neue Produkte, Sonderaktionen und andere relevante Informationen zu informieren. Diese Form der direkten Kommunikation erfordert jedoch, dass die Kunden zuvor explizit ihre Zustimmung gegeben haben.

Einwilligungsprozess

Kunden werden typischerweise gebeten, ein Kästchen zu markieren oder ihre E-Mail-Adresse in ein Formular einzugeben, um ihre Zustimmung zum Erhalt des Newsletters zu bestätigen. Dieser Prozess muss den Anforderungen der DSGVO entsprechen, indem er freiwillig, spezifisch, informiert und unmissverständlich ist.

Dokumentation der Einwilligung

Unternehmen müssen nachweisen können, dass eine gültige Einwilligung von den Empfängern erhalten wurde. Dies beinhaltet die Aufbewahrung von Aufzeichnungen über den Zeitpunkt und die Art und Weise der Einwilligung.

Widerrufsrecht

Empfänger von Newslettern müssen jederzeit die Möglichkeit haben, ihre Einwilligung zu widerrufen, typischerweise durch einen "Abmelden"-Link in jedem Newsletter.

Die Datenerhebung zur Durchführung von Verträgen ist ein zentrales Element des E-Commerce und wird durch die Datenschutz-Grundverordnung (DSGVO) unter der Rechtsgrundlage der Vertragsdurchführung legitimiert. Dies bedeutet, dass personenbezogene Daten, die für die Abwicklung und Durchführung eines Vertrags notwendig sind, erhoben und verarbeitet werden dürfen.

Beispiel aus der Praxis

Bei der Bestellung eines Produkts, wie einer Mikrowelle auf einer E-Commerce-Plattform, ist die Erhebung bestimmter personenbezogener Daten unerlässlich. Zu diesen Daten gehören:

• Name des Bestellers
  Zur eindeutigen Identifikation des Kunden.
  
  
• Lieferadresse
  Notwendig, um das Produkt zuzustellen und somit den Kaufvertrag zu erfüllen.

Datenschutzrechtliche Aspekte

• Erforderlichkeit
  Die erhobenen Daten müssen auf das für die Vertragserfüllung notwendige Maß beschränkt sein.
  
  
• Transparenz
  Kunden müssen darüber informiert werden, welche ihrer Daten erhoben werden und zu welchem Zweck.
  
  
• Sicherheit
  Unternehmen sind verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit der verarbeiteten Daten zu gewährleisten.

Die Verwendung von berechtigten Interessen als Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist ein wichtiger Aspekt der Datenschutz-Grundverordnung (DSGVO). Ein prägnantes Beispiel für die Anwendung berechtigter Interessen findet sich in Erwägungsgrund 47 der DSGVO, der besagt, dass dem Verantwortlichen ein berechtigtes Interesse an der Durchführung von Maßnahmen zur Verhinderung von Betrug zusteht, sofern die Datenverarbeitung hierfür unbedingt erforderlich ist.

Anwendungsbereiche berechtigter Interessen

• Betrugsprävention
  Die Nutzung von Trackingdaten zur Identifizierung atypischer Bestellvorgänge, wie die zeitgleiche Bestellung einer ungewöhnlich hohen Anzahl von Waren an dieselbe Adresse unter Verwendung verschiedener Kundenkonten, ist ein Beispiel, bei dem berechtigte Interessen zur Verhinderung von Betrug herangezogen werden können.
  
  
• Technisch notwendige Cookies
  Der Einsatz von Sessioncookies, die für das Funktionieren wesentlicher Website-Features wie Log-Ins in Kundenkonten oder die Aufrechterhaltung des Warenkorbs notwendig sind, fällt ebenfalls unter berechtigte Interessen. Diese Cookies sind essentiell für die Bereitstellung der vom Nutzer angeforderten Dienste und tragen zur Sicherheit und Effizienz der Website bei.