Deutsche Aufsichtsbehörden sagen mehrheitlich NEIN
Die deutschen Datenschutzbehörden lehnen eine Kombination aus verschiedenen Rechtsgrundlagen ab. Insbesondere soll eine Einwilligung nicht mit anderen Rechtsgrundlagen, wie etwa einem berechtigten Interesse, kombiniert werden können.
Wenn also etwa der Verantwortliche in seinen Informationspflichten sagt, er habe ein berechtigtes Interesse an der Datenverarbeitung, aber falls dem nicht so sei, würde er sich auf eine Einwilligung als Rechtsgrundlage stützen, soll das unzulässig sein. Denn der Betroffene wüsste sonst nicht genau, ob er die weitere Datenverarbeitung durch Widerruf beenden könne oder nicht.
Der Verantwortliche muss sich also nach dieser Ansicht für eine einzige Rechtsgrundlage entscheiden und kann diese nicht kumulativ einsetzen.
Hessischer Datenschutzbeauftragter: Vorsorgliche Einwilligung möglich
Interessant ist hierzu nun die Aussage der Hessischen Behörde. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat auf seiner Webseite eine FAQ-Liste veröffentlicht. Aufgrund „einer Flut von Anfragen beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI)“, wie es dort heißt.
Unter der Adresse https://datenschutz.hessen.de/infothek/häufig-gestellte-fragen-hgf können die Fragen und Antworten der Behörde abgerufen werden. Sicherlich nicht nur für hessische Verantwortliche eine interessante Lektüre.
Denn insbesondere fällt auf, dass der HBDI an ein paar Stellen von der sonst als überwiegenden Konsens unter den Datenschutzbehörden angesehenen Linie abweicht.
In den FAQ wird zum Thema „Einwilligung“ jedenfalls zu der Frage, ob eine solche vorsorglich eingeholt werden darf, wenn sich der Verantwortliche hinsichtlich des Vorliegens eines anderen Erlaubnistatbestandes nicht sicher ist, gesagt:
„Häufig kann es aber schwierig sein, die gesetzliche Grundlage für die Datenverarbeitung zweifelsfrei zu bestimmen oder deren Grenzen klar zu erfassen. In diesen Fällen ist es vor allem auf Grund der Sicherheit und Transparenz sowohl für verantwortliche Stellen als auch für betroffene Personen nicht schädlich, wenn vorsorglich eine Einwilligung eingeholt wird.“
Meine Meinung
Der HBDI geht also offenkundig davon aus, dass eine Verarbeitung aus Sicht des Verantwortlichen auf zwei Erlaubnistatbestände, wovon einer die Einwilligung ist, gestützt werden kann, wenn man unsicher ist, ob die eigentlich avisierte Rechtsgrundlage wirklich eingreift.
Damit vertritt der HBDI hier eine nicht ganz so strenge Auffassung, als die „Kollegen“, die in der Datenschutzkonferenz (DSK) eher gegenteiliges verlauten lassen.
So hat mir der Rheinland-Pfälzische Datenschutzbeauftragte auf einer Veranstaltung kürzlich zu dem Thema gesagt, dass er die Kumulation von Rechtsgrundlagen als unzulässig ansehe.
Ich befürworte die Sicht des HBDI hier ausdrücklich. In der Praxis gibt es tatsächlich viel Unsicherheit bei der Bestimmung der Rechtsgrundlage für bestimmte Datenverarbeitungen. Entscheidet man sich für eine und stellt sich diese Entscheidung später durch neuere Entwicklungen in Rechtsprechung und Verwaltungspraxis als falsch heraus, stellt das für den Verantwortlichen ein erhebliches Risiko dar, denn seine Datenverarbeitungen, die auf der sich als falsch herausgestellten Rechtsgrundlage fußen, sind dann allesamt rechtswidrig.
Es gibt für die strenge Sicht der Aufsichtsbehörden meiner Ansicht nach keine Grundlage in der Verordnung. Im Gegenteil. Der Wortlaut des Artikel 6 Absatz 1 DSGVO spricht umgekehrt für die Auffassung, dass Kumulationen von Rechtsgrundlagen möglich sind, denn dort heißt es:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:“
Also warum sollen dann nicht mehr als eine Rechtsgrundlage einschlägig sein und auch vom Verantwortlichen konkret herangezogen werden können?
Das Thema wird uns sicherlich noch eine ganze Weile beschäftigen. Meiner Ansicht nach sprechen aber die besseren Argumente für die Möglichkeit einer Auswahl mehrerer Rechtsgrundlagen.
Timo Schutt
Datenschutzberater
Fachanwalt für IT-Recht
DSGVO-Man
