Datenschutzrecht für personennahe Dienstleistungen
Was gilt es bei der Erhebung und Verarbeitung personenbezogener Daten zu beachten?
Im BeDien-Workshop Datenschutzrecht für personennahe Dienstleistungen am 19. September 2019 informierte die Professorin Louisa Specht-Riemenschneider, Leiterin des Lehrstuhls für Bürgerliches Recht, Informations- und Datenrecht sowie der Forschungsstelle für Rechtsfragen neuer Technologien und Datenrecht der Universität Bonn, über die Grundlagen des deutschen und europäischen Datenschutzrechts sowie über die Spezifika der Datenverarbeitung bei personennahen Dienstleistungen.
Gleich zu Beginn des Workshops wurde klar: Alle Teilnehmerinnen und Teilnehmer sammeln und verarbeiten im Zuge ihres jeweiligen Projektes bzw. ihrer (zu entwickelnden) Dienstleistung personenbezogene Daten - somit gilt es, das geltende Datenschutzrecht zu wahren. Daten sind dann personenbezogen, wenn sie sich auf eine identifizierte oder eine identifizierbare natürliche Person beziehen (z.B. Name, Geburtsjahr, auch: IP-Adresse). Besonders zu schützen sind dabei sensible Daten wie beispielsweise politische Meinungen, genetische Daten oder biometrische Daten und Gesundheitsdaten.
Eine weitere Erkenntnis sorgte für einen Aha-Moment:
Laut DSGVO ist die Erhebung und Verarbeitung personenbezogener Daten grundsätzlich unzulässig !
Um dennoch Datenverarbeitungen, ohne die diverse Tätigkeitsfelder
und zahlreiche personennahe Dienstleistungen nicht umsetzbar wären, zu
ermöglichen, hält das Gesetz Ausnahmen
bereit.
Daten dürfen nicht verarbeitet werden, es sei denn :
- der/die Betroffene hat seine/ihre Einwilligung zur Datenverarbeitung gegeben (freiwillig, jederzeit widerrufbar)
- die Verarbeitung ist für die Erfüllung eines Vertrages , dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich (die Verarbeitung muss dabei zwingend notwendig für die Vertragserfüllung sein)
- eine rechtliche Verpflichtung erfordert die Verarbeitung (beispielsweise handelsrechtliche Aufzeichnungspflichten)
- die Wahrnehmung einer Aufgabe im öffentlichen Interesse erfordert die Verarbeitung (zum Beispiel Gefahrenabwehr, Staatsaufgaben, Sozialversicherung)
- die Datenverarbeitung ist zur Wahrung berechtigter Interessen erforderlich (nachvollziehbar für Dritte – die Interessenabwägung muss im Zweifel vor Gericht standhalten)
- lebenswichtige Interessen werden durch die Datenverarbeitung geschützt (beispielsweise bei Naturkatastrophen)
Um Daten zu verarbeiten, gilt es somit vorab zu klären, ob ein Vertrag, eine rechtliche Verpflichtung, das öffentliche Interesse oder eine berechtigte Interessenabwägung die Verarbeitung der Daten erfordern. Sollte dies nicht der Fall sein, ist die Einwilligung des/der Betroffenen einzuholen. Im Kreise der Workshop-Teilnehmenden zeigte sich, dass in einigen Fällen über die Vertragsoption Daten verarbeitet werden, in anderen eine Interessenabwägung vorgenommen oder Einwilligungen seitens der Betroffenen eingeholt werden.
Da in vielen Projekten der Förderlinie Personennahe Dienstleistungen Plattform-Architekturen zum Einsatz kommen, wurde dieses Thema im Workshop intensiv beleuchtet.
In zusammengefasster Form lässt sich festhalten, dass Plattformen , deren Gemeinsamkeit die Zurverfügungstellung einer Web-Intrastruktur ist, unter anderem die folgenden datenschutzrechtlichen Pflichten haben:
- Verantwortlichkeit klären: liegt eine gemeinsame Verantwortlichkeit mehrerer Institutionen oder ein Auftragsverhältnis (ein klarer Auftraggeber als Hauptverantwortlicher) vor?
- Zweck und Mittel der Datenvereinbarung festlegen und transparent machen
- Datenschutzerklärung bereitstellen (inkl. aller Aspekte der Art. 13-14 DSGVO)
- Voreinstellungen so tätigen, dass möglichst wenige Daten zu möglichst kleinen/konkreten Zwecken gespeichert werden ( Grundsatz der Datenminimierung )
- Recht auf Vergessen werden implementieren – Löschroutinen durchführen (beispielsweise einmal im Jahr)
- Recht auf Auskunft der Betroffenen beachten – in einem angemessenen Zeitraum antworten
- Social Plugins prüfen (2- oder 3-Klick-Lösung)
- Achtung bei Bewertungsfunktionen : Im Falle des Zueigenmachens der Bewertungen (beispielsweise durch redaktionelle Anpassungen/Kontrolle) haftet die Plattform für Rechtverletzungen durch ihre Nutzer!
Insgesamt machte der Workshop deutlich, dass das Datenschutzrecht neben zahlreichen Pflichten auch Chancen birgt, da es dazu anregt, sich mit Fragen auseinanderzusetzen, die den Projekterfolg insgesamt betreffen wie etwa: Welche Daten benötigen wir (wirklich) für unsere Dienstleistung? Zu welchem Zweck und auf welcher Grundlage wollen wir Daten verarbeiten? Wie können wir unsere Plattform möglichst nutzerfreundlich (datenminimierend) gestalten?
Der Workshop widmete sich diesen und weiteren Aspekten in anwendungsbezogener Weise. Wir danken Frau Professorin Specht-Riemenschneider ganz herzlich für ihr geballtes Wissen, ihren anschaulichen, lebendigen Input und ihre fundierten Antworten auf jede noch so kniffelige Frage!






