Sind mehrere Rechtsgrundlagen zeitgleich erlaubt?

Wer fremde, personenbezogene Daten erheben, speichern oder verarbeiten möchte, benötigt dazu u.a. einen Zweck und eine passende Rechtsgrundlage bzw. einen Erlaubnistatbestand.

Kann sich der Datenverarbeiter auf mehrere Rechtsgrundlagen für ein- und denselben Zweck stützen?

Ein Beispiel:

Der Veranstalter möchte die Daten seiner Teilnehmer auch zu Werbezwecken verwenden. Hier kommen als Rechtsgrundlagen in Betracht:

• Die Einwilligung
• Das berechtigte Interesse

Der Veranstalter will „auf Nummer sicher“ gehen, und stützt sich auf die Einwilligung und das berechtigte Interesse: Denn sollte im Streitfall ein Gericht feststellen, dass eine oder beiden Rechtsgrundlagen nicht zutreffen würde, müsste er die Daten nicht löschen, da er ja noch eine zweite Rechtsgrundlage quasi als „Fallschirmlösung“ haben würde.

Ist das zulässig?

Leider gibt es keine klare Antwort… wie so oft gibt es zwei gegensätzliche Meinungen, d.h. es müssen letztlich die Gerichte entscheiden.

Was aber spricht für welche Meinung?

Meinung 1: Nur eine Rechtsgrundlage

Dafür, dass der Veranstalter sich auf eine Rechtsgrundlage konzentrieren bzw. beschränken muss, sprechen die für jede Rechtsgrundlage unterschiedlichen Folgen:

• Der Betroffene hat das Recht auf Datenübertragung nur bei einer Einwilligung (siehe Art. 20 Abs. 1 Buchstabe a DSGVO), nicht aber, wenn sich der Veranstalter im Beispiel auf das berechtigte Interesse beruft.
• Bei einer Einwilligung als Rechtsgrundlage hat der Betroffene das Recht auf Widerruf, beim berechtigten Interesse das Recht auf Widerspruch.
• Es kann ggf. unterschiedliche Informationspflichten (vgl. Art. 13 DSGVO) geben.

Meinung 2: Mehrere Rechtsgrundlagen

Für die Meinung, dass man sich durchaus auf mehrere Rechtsgrundlagen stützen darf, solange die Voraussetzungen jeweils erfüllt sind, spricht der Wortlaut des Art. 6 DSGVO. Dort heißt es „mindestens eine der nachstehenden Bedingungen“. Hieraus kann man lesen, dass es eben mehrere Rechtsgrundlagen parallel geben kann.

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg hat in einem Ratgeber zum Beschäftigtendatenschutz eine Empfehlung gegeben:

„Wird eine Einwilligung parallel zu einem gesetzlichen Erlaubnistatbestand eingeholt, sollte die betroffene Person aus Gründen der Fairness darüber informiert werden, dass eine Verarbeitung ihrer personenbezogenen Daten trotz Widerruf der Einwilligung auf der Grundlage einer gesetzlichen Erlaubnisnorm möglich sein kann.“

Damit ist das Problem aber noch nicht gelöst:

Wann sollte diese Information erfolgen? Schon bei der Datenerhebung, und/oder erst wenn der Betroffene seine Einwilligung widerrufen will? Muss der Betroffene dann nach seinem Widerruf nochmal ausdrücklich einen Widerspruch formulieren? Oder müsste nicht der Widerruf zugleich als Widerspruch verstanden werden?

So oder so:

Tatsache ist, dass der Betroffene keine Nachteile bzw. Erschwernisse erleiden darf, nur weil der Veranstalter in unserem Beispiel oben gleich mehrere Rechtsgrundlagen aus dem Hut zaubert.

Und:

Sollte der Datenverarbeiter sich der Meinung anschließen, er dürfe sich auf mehrere Rechtsgrundlagen stützen, muss er umso sorgfältiger und eindeutiger seine Datenschutzhinweise formulieren: Es darf nicht dem Betroffenen auferlegt werden, mühsam herausfinden zu müssen, welche Rechte er hat.

Was tun?

Wenn Sie auf Nummer sicher gehen wollen, beschränken Sie sich auf eine Rechtsgrundlage.

Wenn Sie sich auf mehrere Rechtsgrundlagen stützen, dann sorgen Sie dafür, dass der Betroffene unschwer erkennen kann, zu welchem Zweck welche mehrere Rechtsgrundlagen greifen sollen und welche Rechte für welchen Fall bestehen.

Von der “Fallschirmlösung” á là “Ich bin mit nicht sicher, ob die Einwilligung wirksam ist, also stütze ich mich gleich noch auf das berechtigte Interesse” rate ich aufgrund der derzeit kaum vorhersehbaren Rechtsfolgen ab.