Auf ein gutes Datenschutzjahr 2024

Abbildung 1

Philipp Quiel
Schriftleitung
Datenschutz-Berater

Sehr geehrte Leserinnen und Leser,

ich wünsche Ihnen allen ein gutes Datenschutzjahr 2024. Die hohe Anzahl an Veröffentlichungen der Datenschutzbehörden, Urteilen von nationalen Gerichten und Entscheidung vom EuGH aus 2023 deuten darauf hin, dass es 2024 sicherlich auch nicht langweilig wird. Ende 2019 meinten Einige bereits, dass die DSGVO-Vorgaben schon zeitnah von den allermeisten Unternehmen umgesetzt sein werden und es für Rechtsanwälte und Datenschutz-Berater nicht mehr so viel Arbeit geben wird. Heute ist klar, dass es auf absehbare Zeit weiterhin viel Arbeit im Bereich des klassischen Datenschutzrechts geben wird. Es wird eher komplizierter und neue Vorgaben aus anderen Digital-Gesetzen kommen hinzu.

2023 hat der EuGH bspw. entschieden, dass viel häufiger besondere Kategorien personenbezogener Daten verarbeitet werden, als dies noch vor der Entscheidung in der Rechtssache Meta vs. Bundeskartellamt angenommen wurde. Für die Praxis entstehen dadurch viele Herausforderungen. Man wird wohl bei einer Bestellung in einer Online-Apotheke davon ausgehen müssen, dass so eine Apotheke im Rahmen der Abwicklung von Bestellungen häufig Gesundheitsdaten zu seinen Kunden verarbeitet. Die aus meiner Sicht eigentlich schlüssigen Argumentationsansätze gegen so ein weites Verständnis (bspw. durch Abstellen auf eine nicht vorhandene Verarbeitungsabsicht und des im Einzelfall nicht immer vorhandenen Diskriminierungspotenzials) sind leider in der Regel nicht mehr wirklich starke Argumente. Für uns Datenschutzrecht’ler bedeutet dies, dass wir entweder die Entscheidung akzeptieren und anwenden oder neue Argumente gegen das Vorliegen besonderer Kategorien personenbezogener Daten finden müssen. Es wird jedenfalls nicht helfen, die alten Ansichten trotz gegenteiliger EuGH-Entscheidungen zu wiederholen und unter Berufung auf „das darf doch so nicht sein“ für ein engeres Verständnis der besonderen Kategorien personenbezogener Daten zu argumentieren. EuGH-Bashing hilft auch nicht und führt nur zu Frustrationen, ohne dass sich das rechtliche Ergebnis verändert.

Aus meiner Sicht war es trotzdem sehr misslich, dass der Gerichtshof im Wesentlichen die Ansicht der europäischen Datenschutzbehörden mit Blick auf die Rechtsgrundlage für die vertragliche Erforderlichkeit gemäß Art. 6 Abs. 1 lit. b DSGVO übernommen hat. Diese Rechtsgrundlage kann jetzt im laufenden Vertragsverhältnis nur dann herangezogen werden, wenn der Hauptgegenstand des Vertrags nicht ohne die konkrete Datenverarbeitung erfüllt werden kann. Ich gehörte zu denjenigen, die in Art. 6 Abs. 1 lit. b DSGVO eine für alle Vertragsparteien faire Gestaltungsmöglichkeit der Verantwortlichen sahen. Der Gestaltungsspielraum ist sicherlich nicht in Gänze verschwunden. Man wird jedoch auch akzeptieren müssen, dass der Anwendungsbereich der Rechtsgrundlage deutlich kleiner geworden ist. Eventuell können Verantwortliche nun durch auf datenschutzrechtliche Aspekte fokussierte Vertragsgestaltung weiterhin einen erheblichen Bestandteil von Datenverarbeitungen im Vertragsverhältnis rechtfertigen. Das wäre aus meiner Sicht auch fair für die betroffenen Personen, die durch die strengen Vorgaben aus dem AGB-Recht schon auch indirekt im Bereich Datenschutz gut geschützt sind.

Im Kontext der vertraglichen Erforderlichkeit wird es auch spannend zu beobachten sein, wie das erwartete, neue Beschäftigtendatenschutzgesetz in Deutschland ausgestaltet wird. Schließlich hat der EuGH auch indirekt entschieden, dass die Vorgaben aus § 26 Abs. 1 Satz 1 BDSG dem entsprechen, was in Art. 6 Abs. 1 lit. b DSGVO bereits geregelt ist. Wenn man sich vergegenwärtigt, dass also erforderlich für die „Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung“ so auch durch Art. 6 Abs. 1 lit. b DSGVO abgedeckt ist, dann scheint die Rechtsgrundlage aus der DSGVO doch noch ein bisschen mehr Spielraum zu lassen, als man vielleicht zunächst vermutet.

2024 wird aus datenschutzrechtlicher Sicht jedenfalls sicherlich nicht langweilig. Ich wünsche Ihnen für das neue Jahr viele kreative Argumentationsansätze und starke Nerven, wenn einmal wieder eine EuGH-Entscheidung die Datenschutzwelt auf den Kopf zu stellen scheint.

Ihr

Philipp Quiel