Wann ist die Rechtsgrundlage “Vertragserfüllung” die richtige Wahl?

Nach Art. 6 Abs. 1 Buchstabe b DSGVO ist die Verarbeitung personenbezogener Daten zulässig, soweit sie zur Vertragserfüllung erforderlich ist.

Der Europäische Datenschutzausschuss (EDSA) hat nun seine Endfassung der Leitlinie, die sich mit der Erbringung von Online-Diensten für die betroffenen Personen befassen, veröffentlicht. Aus diesem Papier kann man aber auch allgemeine Anforderungen an diese Rechtsgrundlage herauslesen.

In den neuen Leitlinien wird klargestellt, dass es zur Beurteilung der Erforderlichkeit nicht allein darauf ankommt, was im Vertrag vereinbart wurde. Vielmehr müssen die Grundsätze der Sparsamkeit, Fairness und Transparenz berücksichtigt werden. Maßgeblich ist also nicht der subjektive Wille, sondern die Frage, ob die Datenverarbeitung für die vertraglichen Leistungen tatsächlich notwendig ist. Kreativen Vertragsgestaltungen, um die Daten des Vertragspartners nutzen zu können, ist damit jedenfalls mit Blick auf die Rechtsgrundlage Vertragserfüllung der Boden entzogen. Es hilft demnach auch nicht, die Datenverarbeitung ausdrücklich in den AGB zu verankern: Das allein berechtigt nicht dazu, sich auf die Rechtsgrundlage der Vertragserfüllung stützen zu können.

Und: Wenn der Vertrag beendet ist, ist die Datenverarbeitung auf der Rechtsgrundlage Vertragserfüllung auch beendet. Nach der EDSA-Leitlinie soll es auch nicht möglich sein, die Verarbeitung der personenbezogenen Daten auf eine andere Rechtsgrundlage umzustellen. In solchen Fällen muss man also vorher überlegen, ob nicht andere Rechtsgrundlagen (z.B. die Einwilligung oder das berechtigte Interesse) die geeigneteren Rechtsgrundlage sind.