DSGVO - Rechtskonforme Verarbeitung personenbezogener Daten

Geregelt werden die Bedingungen, unter welchen personenbezogene Daten unter dem Gesichtspunkt der Rechtmäßigkeit gemäß der Datenschutz Grundverordnung verarbeitet werden dürfen, in Art. 6 DSGVO

Rechtmäßigkeit der Verarbeitung

Mindestens eine der folgenden sechs Bedingungen muss erfüllt sein, um den Grundsatz der Rechtmäßigkeit zu erfüllen

•   Die betroffene Person muss der Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke zugestimmt haben.
•   Die Verarbeitung personenbezogener Daten ergibt sich aus einem Vertrag mit der betroffenen Person und ist erforderlich, um diesen erfüllen zu können, bzw. es sind die Daten erforderlich zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person.
•   Die Verarbeitung ist einer rechtlichen Verpflichtung des Verantwortlichen geschuldet
•   Um lebenswichtige Interessen der betreffenden Person oder anderer natürlicher Personen zu schützen
•   Die Verarbeitung der personenbezogenen Daten ist für die Wahrnehmung eine Aufgabe erforderlich, die im öffentlichen Interesse liegt, oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde
•   Die Verarbeitung ist zur Wahrung berechtigter Interessen des Verarbeiters oder eines Dritten erforderlich, sofern diese gegenüber den Interessen, Grundrechten und Grundfreiheiten der betreffenden Person überwiegen. Besonders schutzwürdig werden die personenbezogenen Daten von Kindern eingestuft.

Im Absatz 2 finden sich bezogen auf die oben farbig gekennzeichneten Bedingungen sog. Öffnungsklauseln. Hier können die EU Mitgliedsländer spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften vornehmen, d.h. spezifischere Anforderungen für die Verarbeitung bestimmen, bzw. sonstige Maßnahmen präziser bestimmen. (Z.B. kann das Mindestalter für ein Einwilligung von Kindern von 16 Jahren national auf 13 Jahre abgesenkt werden.)

Nachweise einer rechtskonformen Verarbeitung

Wichtig ist, dass der  Verarbeiter die Rechtmäßigkeit auch nachweisen kann. Besonders ist dann darauf zu achten, wenn die Verarbeitung der Daten zu einem anderen Zweck als dem unmittelbar vereinbarten erfolgt (s. Abs. 4). Das ist zwar ohnehin nur dann erlaubt, wenn die Verarbeitung mit dem ursprünglichen Zweck der Erhebung vereinbar ist und begründet werden kann.

•   Jede Verbindung zwischen den Zwecken der Verarbeitung und der Zweck der beabsichtigten Weiterverarbeitung
•   Der Zusammenhang, in welchem die personenbezogenen Daten erhoben wurden, insb. hinsichtlich des Verhältnisses des zwischen dem Verantwortlichen und der betroffenen Personen
•   Die Art der personenbezogenen Daten
•   Die möglichen Folgen der Weiterverarbeitung für die betroffenen Personen
•   Das Vorhandensein geeigneter Garantien, z.B. Verschlüsselung oder Pseudonymisierung

Der Gesetzestext der DSGVO, EU-Lex