Kann nach einer unwirksamen Einwilligung die Rechtsgrundlage gewechselt werden?

Wie bereits in einem früheren Artikel in unserem Blog besprochen wird sich vor Gericht weiterhin mit der Frage auseinandergesetzt, ob bei Verdacht auf oder Vorliegen einer unwirksamen Einwilligung in eine Datenverarbeitung ein Wechsel der Rechtsgrundlage möglich ist – und somit die Datenverarbeitung über diesen Kunstgriff weiterhin rechtmäßig sein könne.

Diese Situation kann für einen datenschutzrechtlich Verantwortlichen von entscheidender Bedeutung sein, um die bereits erhobenen Daten „retten“ zu können und sie trotz Unwirksamkeit der für die Verarbeitung erteilten Einwilligung nicht löschen zu müssen.

Rechtsprechung des EuGH

So hatte sich unter anderem auch der EuGH in der viel diskutierten Entscheidung vom 4. Juli 2023 (Meta Plattforms / Facebook Deutschland vs. Bundeskartellamt, EuGH, Urt. v. 4.7.2023 – C‑252/21) auch mit dieser Fragestellung zu beschäftigen und festgestellt:

„Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt, ist eine solche Verarbeitung gleichwohl gerechtfertigt, wenn sie eine der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f genannten Voraussetzungen in Bezug auf die Erforderlichkeit erfüllt. In diesem Zusammenhang sind die in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist […].“ (Rz. 92 und 93).

Demnach lässt der EuGH den Wechsel der Rechtsgrundlage der Datenverarbeitung grundsätzlich zu, sofern sich die Datenverarbeitung auf die weiteren in Art. 6 Abs. 1 DSGVO aufgeführten, eng zu interpretierenden Regelungen stützen lässt. Denkbar sind hier etwa die Rechtsgrundlagen der erforderlichen Datenverarbeitung zur Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO) oder zur Wahrung eines berechtigten Interesses (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Lässt sich der Vorgang mit keinem in Art. 6 Abs. 1 DSGVO aufgeführten Tatbestand rechtfertigen, wird die Datenverarbeitung dagegen als unzulässig erachtet.

Auch das Urteil des Bundesverwaltungsgerichts Österreich (BVwG, Urt. v. 28.9.2023, GZ: W256 2227693-1/44E9) schlägt in dieselbe Kerbe bzw. folgt dem EuGH:

„Der Ansicht der belangten Behörde, eine ungültige Einwilligungserklärung bewirke in jedem Fall eine unrechtmäßige Datenverarbeitung und mache eine Überprüfung sonstiger Rechtsgrundlagen entbehrlich, kann – wie bereits im Erkenntnis vom 31. August 2021 näher erläutert wurde – nicht gefolgt werden […].“

Wechsel der Rechtsgrundlage: Pro-Argumente

Welche Gründe könnten für diese Auslegung sprechen? Bereits der Wortlaut von Art. 6 Abs. 1 DSGVO legt nahe, dass mehrere Rechtsgrundlagen gleichzeitig für dieselbe Datenverarbeitung herangezogen werden können. Die Vorschrift besagt: „mindestens einer der nachstehenden Bedingungen“. Dies deutet darauf hin, dass eine Datenverarbeitung auf mehrere Legitimationsgründe gestützt werden kann und diese wohl im Zweifel auch ausgetauscht werden können.

Auch die Formulierung in Art. 17 Abs. 1 lit. b DSGVO zum Recht auf Löschung untermauert diese Interpretation. Danach sind personenbezogene Daten zu löschen, sofern eine betroffene Person ihre Einwilligung widerruft und es „an einer anderweitigen Rechtsgrundlage für die Verarbeitung“ fehlt.

Hieraus ist der Gedanke abzulesen, dass nach Widerruf der Einwilligung ggf. eine andere Rechtsgrundlage für diese Datenverarbeitung herangezogen werden könne, die dann der Löschung entgegenstünde.

Allerdings ist diese Situation auf den Widerruf der Einwilligung bezogen und ist nicht ohne Weiteres auf die Fälle anwendbar, in denen die Einwilligung von vornherein fehlte bzw. rechtswidrig ist.

Diese Argumente überzeugen jedoch – zumindest nach persönlicher Auffassung – nicht. Denn sie führen zu Intransparenz und unterhöhlen die Grundgedanken der DSGVO, da auch eine rechtswidrige Datenverarbeitung nicht im Nachgang durch eine andere Rechtsgrundlage geheilt werden kann.

Wechsel der Rechtsgrundlage: Contra-Argumente

So ist in Art. 5 Abs. 1 lit. a DSGVO zunächst als Grundsatz für die Verarbeitung personenbezogener Daten festgelegt, dass diese „in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden“ müssen. Grundsätzlich dürfte es für eine betroffene Person jedoch nicht nachvollziehbar sein, wenn ihre personenbezogenen Daten bei einer unwirksamen Einwilligung in eine Datenverarbeitung trotzdem (auf Basis einer anderen Rechtsgrundlage) verarbeitet werden. Dass der betroffenen Person zunächst suggeriert wird, die Datenverarbeitung hinge von ihrer freien Entscheidung ab, führt nach hier vertretener Ansicht dazu, dass der Rückgriff auf eine andere Rechtsgrundlage als die Einwilligung dem Transparenzprinzip widerspricht. Dies gilt insbesondere dann, wenn der Person mitgeteilt wurde, dass ihre Daten ohne ihre erteilte Einwilligung nicht verarbeitet bzw. bei einem Widerruf gelöscht werden. Letztlich wäre es paradox, die Datenverarbeitung neben der jederzeit widerrufbaren Einwilligung parallel auf eine weitere Rechtsgrundlage zu stützen, so dass die Einwilligung praktisch wirkungslos wäre.

Einzige Möglichkeit, eine Einwilligung als zusätzliche Rechtsgrundlage zu der originär geplanten Datenverarbeitung einzuholen, könnte sich bei Zweckänderungen ergeben. Gemäß des Prinzips der Zweckbindung in Art. 5 Abs. 1 lit. b DSGVO dürfen personenbezogenen Daten nur „für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden“. In Art. 6 Abs. 4 DSGVO wird wiederum die Voraussetzungen für eine Änderung des Zwecks geregelt. Zudem wird nach herrschender Meinung davon ausgegangen, dass eine neue Rechtsgrundlage für den neuen Zweck benötigt wird, wofür eine Einwilligung genutzt werden könnte (Beispiel: Personenbezogene Daten werden im Rahmen eines Vertrags erhoben. Später möchte der Verantwortliche die E-Mail-Adresse – bislang nur zur Kommunikation über den Vertrag verwendet – zu Werbezwecken nutzen und fragt dafür die Einwilligung ab). Konsequenterweise wäre in diesen Fällen eine isolierte, neue Datenverarbeitung anzunehmen, die die datenschutzrechtlichen Anforderungen erfüllen muss, d. h. auch transparent, nachvollziehbar und rechtmäßig sein muss. Doch auch in dieser Situation ist abzuwägen, inwiefern durch eine neue Datenverarbeitung auf Basis einer neuen Rechtsgrundlage den Grundsätzen der Speicherbegrenzung und Datenminimierung entsprochen werden kann, da durch diesen Kniff die Verarbeitung der ursprünglich erhobenen Daten sowohl im Hinblick auf die Dauer als auch ggfs. im Hinblick auf den Umfang verändert, also auch ausgeweitet wird.

Fazit

Zu berücksichtigen ist – neben der Gefahr, dass sich betroffene Personen beschweren, wenn Daten trotz Unwirksamkeit ihrer Einwilligung (weiter)verarbeitet werden –, dass sie auch gemäß Art. 13 DSGVO über die Rechtsgrundlagen zu informieren sind. Hier wäre sodann ein erneutes Aufleben der Informationspflichten zu prüfen.

Wenn die ursprüngliche Datenverarbeitung auf die Einwilligung gestützt war und später auf das berechtigte Interesse gestützt wird, wären auch die damals erteilten Datenschutzhinweise gem. Art. 13 DSGVO fehlerhaft oder falsch. Theoretisch wäre hier auch ein Verstoß gegen die Grundsätze der DSGVO anzudiskutieren. Vor diesem Hintergrund ist ein Wechsel der Rechtsgrundlage in der Praxis als kritisch zu betrachten.