Für die Verarbeitung von personenbezogenen Daten stellt die europäische Datenschutz-Grundverordnung (DSGVO) einige zentrale Grundsätze auf. Dazu gehört, dass solche Daten nur nach „Treu und Glauben“ verarbeitet werden dürfen. Manch ein Verantwortlicher dürfte überrascht sein, welche Folgen diese unscheinbar wirkende Pflicht in der Datenschutzpraxis mit sich bringt.
Treu und Glauben als unbestimmter Rechtsbegriff
Im Vergleich zu den übrigen Grundsätzen des Art. 5 DSGVO handelt es sich bei der Verarbeitung nach Treu und Glauben um einen schwer zu greifenden, unbestimmten Rechtsbegriff.
Für ein besseres Verständnis hilft ein Blick in die originale englische Fassung der DSGVO. Dort spricht der Gesetzgeber von „fairness“ (und nicht etwa von „performance in good faith“), in der deutschen Fassung übersetzt mit Verarbeitung nach „Treu und Glauben“.
Hierunter kann allgemein ein den Regeln des Zusammenlebens entsprechendes, anständiges und gerechtes Verhalten gegenüber dem Betroffenen verstanden werden. So z.B. auch, dass bei der Verarbeitung personenbezogener Daten darauf zu achten ist, dass Betroffene nicht zu Unrecht benachteiligt werden und angemessen Rücksicht auf die Rechte und Interessen der Betroffenen zu nehmen ist. Eine faire Datenverarbeitung ist also eine „anständige“.
Achtung: Die Bezeichnung Treu und Glauben im Sinne der DSGVO ist nicht zu verwechseln mit dem gleichnamigen Grundsatz und Auffangtatbestand aus dem Bürgerlichen Gesetzbuch (§ 242 BGB). Dort dient dieser Grundsatz zwar auch als gesetzliches Korrektiv, allerdings handelt es sich bei der DSGVO um ein europäisches Gesetz. Daraus folgt, dass jegliche darin enthaltene Grundsätze und Begriffe nach europäischen Maßstäben zu interpretieren sind.
Konsequenzen des Grundsatzes von Treu und Glauben in der Praxis
Vorrang der Direkterhebung
Aus dem Grundsatz von Treu und Glauben lässt sich u. a. ableiten, dass zwischen der datenverarbeitenden Stelle und dem Betroffenen ein Machtgleichgewicht erhalten bleiben muss. Um dies zu gewährleisten, ist eine Direkterhebung grundsätzlich der Erhebung bei einem Dritten vorzuziehen. Dies bedeutet, dass personenbezogene Daten – wenn möglich und sinnhaft – primär direkt bei Betroffenen, anstatt bei einer dritten unbeteiligten Stelle, erhoben werden sollten. Denn im Falle einer Direkterhebung haben Betroffene mehr Einfluss auf die Datenverarbeitung, da sie aktiv bestimmen können, welche personenbezogene Daten sie preisgeben und somit der gesamte Verarbeitungsvorgang nachvollziehbarer wird.
Will der Verantwortliche Daten auf indirektem Wege bei einer dritten Stelle erheben, muss es dafür sachliche Gründe geben. Sollte der Verantwortliche dennoch personenbezogene Daten auf indirektem Wege erhoben haben, so unterliegt er der Informationspflicht gem. Art. 14 DSGVO. Er muss die Betroffenen somit über die Verarbeitung und ihre Rechte in Kenntnis setzen. Hierdurch wird zwar nicht die fehlende Mitwirkung des Betroffenen ersetzt, jedoch können Betroffene die Verarbeitung gleichermaßen nachvollziehen, wie wenn sie bei einer Direkterhebung gem. Art. 13 DSGVO über den Umfang und die Gesamtumstände der Verarbeitung informiert werden.
Überwiegendes berechtigtes Interesse
Art. 6 Abs. 1 lit. f) DSGVO bietet eine Rechtsgrundlage zur Verarbeitung personenbezogener Daten, wenn der Verantwortliche ein überwiegendes berechtigtes Interesse an der Datenverarbeitung hat. Um zu begründen, dass das Verarbeitungsinteresse des Verantwortlichen gegenüber den Rechten und Interessen von Betroffenen überwiegt, bedarf es einer Interessenabwägung. Bei jener Interessenabwägung hat der Grundsatz nach Treu und Glauben große Bedeutung.
Im Erwägungsgrund Nr. 47 der DSGVO wird dahingehend näher konkretisiert, dass insbesondere die „vernünftigen Erwartungen der betroffenen Personen“ zu berücksichtigen sind. Der Verantwortliche darf also grundsätzlich keine Datenverarbeitungen vornehmen, mit denen ein vernünftiger Betroffener nicht rechnen konnte. Dies betrifft etwa die Frage der Branchenüblichkeit.
Beispiel: Ein Käufer kann unter Umständen damit rechnen, dass ein Verkäufer nach Abschluss eines Kaufes zu ähnlichen Waren wirbt. Der Betroffene kann jedoch unter gleichen Umständen nicht damit rechnen, dass der Verantwortliche seine Daten an Dritte weiterverkauft.
Hinsichtlich der Erwartungshaltung ist insbesondere das Verhältnis zwischen dem Verantwortlichen und dem Betroffenen wesentlich. Gerade bei Verhältnissen wie einem Beschäftigtenverhältnis, dem eine natürliche Hierarchie und damit Abhängigkeitsverhältnis zu eigen ist, ist umso mehr Rücksicht darauf zu nehmen, was der Arbeitnehmer vernünftigerweise erwarten darf. Je höher der Machtunterschied, desto weniger ist dem Betroffenen zuzumuten und desto restriktiver ist das überwiegende berechtigte Interesse zu verwenden.
Einwilligung
Der Grundsatz nach Treu und Glauben schlägt sich ebenfalls im Rahmen der Einwilligung nieder. Betroffen sind insbesondere die Voraussetzungen der Freiwilligkeit und des Kopplungsverbotes im Sinne von Art. 7 Abs. 4 DSGVO.
Wie bereits erläutert, soll der Grundsatz von Treu und Glauben ein Ungleichgewicht zwischen dem Verantwortlichen und den Betroffenen verhindern und die Mitwirkung der Betroffenen an der Datenverarbeitung stärken. Deshalb ist eine Einwilligung unter anderem nur wirksam, wenn sie freiwillig, also frei von Drohung und Zwang, erteilt wurde. Wenn der Verantwortliche seine Verarbeitung durch eine Einwilligung rechtfertigen will, müssen Betroffene gemäß Erwägungsgrund Nr. 42 DSGVO eine „echte oder freie Wahl haben“. Anders ausgedrückt: Es muss möglich sein, eine Einwilligung nicht zu erteilen, ohne dadurch Nachteile erleiden zu müssen.
Um auf die zuvor beschriebene vernünftige Erwartungshaltung zurückzukommen, so schlägt sich diese Denkweise auch auf das Kopplungsverbot von Einwilligungserklärungen nieder. Demnach dürfen Betroffene nicht gezwungen werden, beim Abschluss eines Vertrages weiteren Verarbeitungen zuzustimmen, die für die Erfüllung dieses Vertrages nicht erforderlich sind bzw. mit denen die betroffene Person unter vernünftiger Erwartungshaltung nicht rechnet, die Betroffenen dabei nicht über die weitere Verwendung ihrer personenbezogenen Daten aufgeklärt wurden und damit keine Einwilligung hierfür abgegeben haben.
Diesem Umstand gilt es bei der Beurteilung, ob eine Einwilligung freiwillig erteilt wurde, in größtmöglichem Umfang Rechnung zu tragen, um eine Verarbeitung nach Treu und Glauben zu gewährleisten.
Fazit: Grundsätze sollten nicht unterschätzt werden
Die begrifflich so schwer zu fassende und geradezu harmlos wirkende Verarbeitung nach Treu und Glauben führt in der Datenschutzpraxis zu ernst zu nehmenden Konsequenzen. Soll das Machtverhältnis zwischen verantwortlicher Stelle und Betroffenen möglichst ebenbürtig ausgestaltet werden, sind zahlreiche Abwägungen bei der Datenverarbeitung durchzuführen. Im Zweifelsfall ist der Rat eines Datenschutzexperten bzw. des Datenschutzbeauftragten im Unternehmen einzuholen.