Die kleine Reihe: Rechtsgrundlagen Teil 2 Verarbeitung zur Erfüllung eines Vertrags
Weiter geht es in unserer Themenreihe „Rechtsgrundlagen“ mit dem Thema
Verarbeitung von personenbezogenen Daten zur Erfüllung eines Vertrages und zur Durchführung vorvertraglicher Maßnahmen
Art. 6 Abs. 1 S.1 lit. b DSGVO legitimiert die Verarbeitungen dann, wenn sie entweder zur „Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“. Der Gesetzeswortlaut gibt hier auch schon die wichtigsten Punkte vor, die zu beachten sind.
Betroffene Person = Vertragspartner
Icon: Freepik
Auf die Rechtsgrundlage „Erfüllung eines Vertrages“ kann eine Datenverarbeitung nur dann gestützt werden, wenn die von der Verarbeitung betroffene Person auch der Vertragspartner des Vertrages ist, um dessen Durchführung es geht. Bei der betroffenen Person muss es sich also um eine natürliche Person handeln. Zumeist sind dies Fälle, in denen ein Unternehmen mit einem Verbraucher einen Vertrag schließt.
Nicht erforderlich ist es hingegen, dass der für die Datenverarbeitung Verantwortliche selbst Vertragspartei sein muss. Das heißt, Vertragspartei kann auch ein Dritter sein. Diese Konstellation kommt in der Praxis allerdings eher selten vor.
Sonderfall: Kontaktdaten von B2B-Ansprechpartnern
Vereinzelt kommt die Frage auf, ob auch die Verarbeitung von Kontaktdaten von B2B-Ansprechpartnern auf Art. 6 Abs. 1 S. 1 lit. b DSGVO gestützt werden kann. Hier lautet die Antwort: nein. Nur dann, wenn die Vertragsbeziehung zu der betroffenen Person selbst besteht, also z.B. bei einem Einzelkaufmann oder anderen Einzelpersonen (z.B. Selbstständige), kann die Verarbeitung der personenbezogenen Daten mit der Vertragserfüllung begründet werden. Wenn die Vertragsbeziehung dagegen z.B. zu einer GmbH, also einer juristischen Person, besteht, und es werden personenbezogene (Kontakt-)Daten von Mitarbeitern dieser GmbH verarbeitet, wäre Art. 6 Abs. 1 S. 1 lit f DSGVO (berechtigte Interessen) die „richtige“ Rechtsgrundlage, aufgrund derer der Verantwortliche die (Kontakt-)Daten dieser Mitarbeiter verarbeiten darf, soweit und solange es für die Geschäftsbeziehung zu dem „B2B-Partner“ (also z.B. zu der GmbH) erforderlich ist.
Durchführung vorvertraglicher Maßnahmen
Auch wenn ein Vertrag noch nicht abgeschlossen wurde, kann sich der Verantwortliche auf Art. 6 Abs. 1 S. 1 lit. b DSGVO stützen. Allerdings muss beachtet werden, dass vorvertragliche Maßnahmen die Verarbeitungen nur dann rechtfertigen können, wenn der Betroffene den ersten Schritt zum Vertragsschluss gemacht hat. Denn dem Wortlaut zufolge müssen die vorvertraglichen Maßnahmen „auf Anfrage der betroffenen Person erfolgen“. Ein anlassloses Anbieten von Leistungen kann also nicht auf die Durchführung vorvertraglicher Maßnahmen gestützt werden. Auch bei der Vertragsanbahnung muss auf der einen Seite eine natürliche Person stehen, deren Daten verarbeitet werden. In der Praxis spielt Art. 6 Abs. 1 S. 1 lit. b DSGVO für Datenverarbeitungen in der Angebotsphase eine wichtige Rolle.
Datenverarbeitung, aber nicht mehr als nötig
Zu guter Letzt ist noch zu beachten, dass die Daten nur dann verarbeitet werden dürfen, wenn sie zur Durchführung des Vertrages bzw. zur Anbahnung desselben erforderlich sind. Es muss also genau geprüft werden, welche Daten für die Erfüllung des Vertrages bzw. für die Durchführung vorvertraglicher Maßnahmen wirklich notwendig sind. Hier spiegelt sich nicht nur der Grundsatz der Datenminimierung wieder. Auch die Zweckbindung ist zu beachten. Vertraglich erforderliche Daten dürfen nicht einfach zu weiteren Zwecken, beispielsweise zu Marketingzwecken verarbeitet werden. Hierzu benötigen Sie eine gesonderte Rechtsgrundlage. Wo diese zu finden ist, haben wir in Teil 1 der „kleinen Reihe Rechtsgrundlagen“ am Beispiel des Newsletters beschrieben.
Rechtsgrundlagen – Teil 1 | Rechtsgrundlagen – Teil 3
