Die kleine Reihe: Rechtsgrundlagen Teil 3 Rechtliche Verpflichtung
Während wir uns in Teil 2 der „kleinen Reihe Rechtsgrundlagen“ mit der Datenverarbeitung im Zuge der Vertragserfüllung und vorvertraglicher Maßnahmen auseinandergesetzt haben, widmen wir uns in Teil 3 dem Thema:
Datenverarbeitung zur Erfüllung einer rechtlichen Verpflichtung
Geregelt ist dieser Fall in Art. 6 Abs. 1 lit. c) DSGVO. Diese Rechtsgrundlage spiegelt grundsätzlich unser „normales“ Rechtsverständnis wider: Wenn man eine Vorgabe laut Gesetz erfüllen muss, kann es nicht verboten sein, die zur Erfüllung notwendigen Daten zu verarbeiten. Darin stecken drei wichtige Voraussetzungen, die wir im Folgenden kurz skizzieren:
Rechtliche Verpflichtung
Kern der Vorschrift ist natürlich die Rechtsnorm, die zu einer Datenverarbeitung verpflichtet. Eine solche Norm kann sich sowohl aus dem EU-Recht, als auch aus den nationalen Gesetzen ergeben. An die Rechtsnorm sind allerdings ein paar Bedingungen geknüpft: So muss die Verpflichtung zur Datenverarbeitung klar, präzise und vorhersehbar in der Norm festgelegt worden sein. Zudem müssen die Zwecke der Datenverarbeitung bereits in der Norm benannt werden. Weiterhin muss durch Erfüllung der Norm ein im öffentlichen Interesse liegendes Ziel verfolgt werden. Durch die Nutzung des Begriffs der „Rechtsvorschrift“ in Art. 6 Abs. 1 lit. c) DSGVO wird zudem deutlich, dass Verpflichtungen aus Rechtsgeschäften (Verträgen) von dem Erlaubnistatbestand gerade nicht umfasst sind. Vielmehr braucht es eine tatsächliche Rechtsnorm, also beispielsweise eine konkrete gesetzliche Regelung.
Erforderlichkeit
Ähnlich wie bei Art. 6 Abs. 1 lit. b) DSGVO findet man auch in Art. 6 Abs. 1 lit. c) das Merkmal der Erforderlichkeit als Voraussetzung. Dementsprechend dürfen auch bei Erfüllung einer Rechtsvorschrift, die den o.g. Voraussetzungen genügt, nicht mehr Daten verarbeitet werden als unbedingt zur Durchführung der rechtlichen Verpflichtung notwendig sind. Außerdem dürfen Daten nicht länger gespeichert werden als zur Erfüllung erforderlich.
Adressat der Rechtsvorschrift
Die Rechtsvorschrift, die die Datenverarbeitung vorschreibt, muss dann noch den Verantwortlichen treffen. Der Erlaubnistatbestand gilt beispielsweise nicht für eine Datenverarbeitung, die der Unterstützung eines Dritten zur Pflichterfüllung dient.
Beispiele aus der Praxis
Tatsächlich gibt es aufgrund der oben beschriebenen Bedingungen an die Rechtsnorm in der Praxis nur relativ wenige Rechtsvorschriften, die über den Art. 6 Abs. 1 lit. c) DSGVO als Rechtsgrundlage für die Datenverarbeitung herangezogen werden können. Typische Beispiele sind hier die Aufbewahrungspflichten aus dem Handels- und Steuerrecht (z.B. § 257 HBG, § 147 AO) sowie Pflichten des Arbeitgebers zur Mitteilung von personenbezogenen Beschäftigtendaten an Sozialversicherungen und Finanzbehörden (z.B. § 28a SGB IV, § 165 SGB VII, § 93 AO).
Eigner: Eucalyp
Fazit
Art. 6 Abs. 1 lit. c) DSGVO ist ein in der Praxis durchaus wichtiger Erlaubnistatbestand, der vor allem die vielen erforderlichen Organisationsvorgänge, die vorrangig in der Personal- und Buchhaltungsabteilung zu finden sind, legitimiert. Zu beachten ist, dass Art. 6 Abs. 1 lit. c) DSGVO niemals allein für die Rechtmäßigkeit der Datenverarbeitung herangezogen werden kann. Es ist immer eine zweite, konkrete Rechtsgrundlage notwendig, die die eigentliche Datenverarbeitung verpflichtend regelt (z.B. der § 257 HGB).
