Wann dürfen meine Daten verarbeitet werden?

Die Verarbeitung Ihrer Daten ist zur Vorbereitung oder für die Erfüllung eines Vertrags mit Ihnen notwendig. Die Vertragserfüllung ist wohl überhaupt der häufigste Rechtfertigungsfall für eine Datenverarbeitung. Ihr Vertragspartner oder sein Subunternehmer (z. B. Versanddienstleister, Zahlungsdienstleister, ein von der Hausverwaltung beauftragtes Handwerksunternehmen usw.) sollen damit die mit der Erfüllung eines Vertrags verbundenen Datenverarbeitungen vornehmen können. Die Datenverarbeitung muss aber mit der Erfüllung einer wesentlichen vertraglichen Leistung im Zusammenhang stehen. Ungewöhnliche vom Vertragspartner entworfene Klauseln sollen keine Rechtsgrundlage für eine Datenverarbeitung bieten.

Der Verantwortliche ist aufgrund einer gesetzlichen (nicht vertraglichen) Pflicht zur Verarbeitung der Daten verpflichtet. Diese Rechsgrundlage kann sich aus dem EU-Recht, aus dem nationalen Recht oder etwa auch aus einem Kollektivertrag ergeben. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt sein. Wenn in einem Gesetz also bestimmte Handlungen vorgeschrieben werden, sind auch die damit zusammenhängenden Datenverarbeitungen rechtlich gedeckt.

Die Verarbeitung ist erforderlich, um Ihre lebenswichtigen Interessen oder einer anderen natürlichen Person zu schützen. So können Daten etwa in medizinischen Notfällen oder in anderen Situationen, in denen Sie nicht ohnehin Ihre Zustimmung geben können, verarbeitet werden. In solchen Notfällen werden zumeist auch medizinische Daten verarbeitet und übermittelt.

Die Verarbeitung ist für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt, oder für eine Tätigkeit im Rahmen der Ausübung öffentlicher Gewalt erforderlich. Die Aufgabe muss dem für die Datenverarbeitung Verantwortlichen übertragen worden sein. Dieser Rechtfertigungsgrund kann herangezogen werden, wenn es keine gesetzliche Grundlage gibt oder etwa eine private Körperschaft mit einer hoheitlichen Aufagbe beauftragt wurde.

Art 6 Abs 1 lit f Datenschutz-Grundverordnung (DSGVO) enthält eine "Generalklausel" zur Rechtfertigung von legitimen Datenverarbeitungen, die nicht unter einen der oben genannten Fälle fallen. In diesem Fall muss die Datenverarbeitung notwendig sein, um die berechtigten Interessen des Verantwortlichen oder eines Dritten zu schützen. Diese berechtigten Interessen müssen allerdings gegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person abgewogen werden. Das gilt insbesondere bei betroffenen Personen, die minderjährig sind.

Zu den berechtigten Interessen können neben rein "rechtlichen" Interessen auch tatsächliche, wirtschaftliche oder ideelle Interessen zählen. Beispiele für typische berechtigte Interessen sind:

• Verhütung von Betrug und Missbrauch
• IT-Sicherheit
• Wahrnehmung des Rechts auf Meinungs- und Informationsfreiheit (auch in den Medien und in der Kunst)
• Verarbeitung für Forschungszwecke
• usw.

So kann auch eine Einsparung von Kosten durch eine Datenverarbeitung ein berechtigtes (wirtschaftliches) Interesse sein, doch kann dies nicht das einzige Kriterium sein und muss immer eine umfassende Interessensawägung vorgenommen werden.