Datenschutz und Vertrag E-Book

Hendric König

• Herausgeber: Fachmedien Recht und Wirtschaft
• Kategorie: Fachliteratur
• Serie: Datenschutz-Berater
• Sprache: Deutsch

Seitenzahl: 244

Veröffentlichungsjahr: 2024

Beschreibung

Die Verarbeitung personenbezogener Daten ist nach Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO rechtmäßig, wenn sie "für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist […] erforderlich [ist]". Nach Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO ist die Verarbeitung rechtmäßig, wenn sie "zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen." Die Untersuchung widmet sich der Bestimmung des Anwendungsbereichs dieser Regelungen. Wesentliches Anliegen ist dabei die Systematisierung und Strukturierung des Tatbestands. Entsprechend werden für jedes Tatbestandsmerkmal verschiedene Auslegungsmöglichkeiten dargestellt, diskutiert und bewertet. Ausgangspunkt ist dabei stets das europäische Datenschutzrecht. Vor diesem Hintergrund werden verschiedene praxisrelevante Fragen behandelt. So wird beispielsweise untersucht, welche Rechtsverhältnisse der Vertragsbegriff erfasst und welche Verarbeitungssituationen unter den Begriff der Erfüllung fallen. Ebenso wird ermittelt, was unter einer vorvertraglichen Maßnahme zu verstehen ist und welche Anforderungen an die Anfrage der betroffenen Person zu stellen sind. Einen Schwerpunkt der Arbeit bildet die Auslegung des Kriteriums der Erforderlichkeit. In diesem Zusammenhang wird auch das Verhältnis von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO zur datenschutzrechtlichen Einwilligung thematisiert.

Leseprobe

Datenschutz und Vertrag

Zum Anwendungsbereich von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO

Hendric König

Fachmedien Recht und Wirtschaft | dfv Mediengruppe | Frankfurt am Main

Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

ISBN 978-3-8005-1961-3

© Deutscher Fachverlag GmbH, Fachmedien Recht und Wirtschaft, Mainzer Landstr. 251, 60326 Frankfurt am Main, [email protected] www.ruw.de Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.

Druck: Beltz Grafische Betriebe GmbH, 99947 Bad Langensalza

Vorwort

Die Rechts- und Wirtschaftswissenschaftliche Fakultät der Universität Bayreuth hat diese Arbeit im Sommersemester 2024 als Dissertation angenommen. Literatur und Rechtsprechung sind bis Ende April 2024 berücksichtigt. Die Arbeit ist unter anderem neben Beschäftigungen als Wissenschaftlicher Mitarbeiter im Bereich Datenschutzrecht in verschiedenen internationalen Großkanzleien entstanden.

Mein herzlicher Dank gilt Herrn Richter des Bundesverfassungsgerichts Prof. Dr. Heinrich Amadeus Wolff für die herausragende Betreuung. Er hat eine Befassung mit dem Verhältnis von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO und der datenschutzrechtlichen Einwilligung angeregt, mir bei der Bearbeitung größte wissenschaftliche Freiheit eingeräumt und mich stets gefördert. Herrn Prof. Dr. Martin Schmidt-Kessel danke ich für die rasche Erstattung des Zweitgutachtens und für viele bereichernde fachliche Diskussionen, vor allem während meines Studiums.

Großer Dank gilt meinen Freunden, die mich während der Erstellung und vor allem bei der Überarbeitung des Manuskripts unterstützt haben.

Schließlich danke ich meinen Eltern. Sie haben mir meine Ausbildung ermöglicht.

Bayreuth, im November 2024

Hendric König

Inhaltsübersicht

Vorwort

Teil 1: Einführung

A. Problemstellung

B. Untersuchungsgegenstand und Forschungsansatz

C. Gang der Untersuchung

Teil 2: Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO

A. Vertrag

B. Vertragspartei

C. Erfüllung

D. Erforderlichkeit

Teil 3: Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO

A. Durchführung vorvertraglicher Maßnahmen

B. Auf Anfrage der betroffenen Person

C. Erforderlichkeit

Teil 4: Zusammenfassung

A. Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO

B. Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO

Literaturverzeichnis

Inhaltsverzeichnis

Vorwort

Teil 1: Einführung

A. Problemstellung

B. Untersuchungsgegenstand und Forschungsansatz

C. Gang der Untersuchung

Teil 2: Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO

A. Vertrag

I. Autonom oder Verweis?

1. Verweis auf das Recht der Mitgliedstaaten

a. Kein einheitliches Begriffsverständnis

b. Fehlende Definition

2. Unionsautonome Auslegung

a. Rechtsvereinheitlichung als Zielsetzung

b. Umkehrschluss aus Art. 6 Abs. 2, 3 DSGVO

c. Erwägungsgrund 10 S. 3 DSGVO

d. Erwägungsgrund 40 DSGVO

II. Begriffsbestimmung

1. Überblick

2. Kriterien des EuGH

a. Art. 7 Nr. 1 lit. a Brüssel Ia-VO

b. Art. 1 Abs. 1 S. 1 Rom I-VO

3. Anknüpfungspunkte

a. Schwierigkeiten und Chancen

b. Freiwilligkeit

aa. Normzweck

bb. Abgrenzung zu Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO

cc. Freiwilligkeit der betroffenen Person

c. Verpflichtung

aa. Art. 28 Abs. 3 UAbs. 1 S. 1, Abs. 4 DSGVO

bb. Art. 40 Abs. 3 S. 2, Art. 42 Abs. 2 S. 2 DSGVO

cc. Art. 13 Abs. 2 lit. e DSGVO

dd. Kein Widerrufsrecht

ee. Kein Widerspruchsrecht

ff. Vertragserfüllung und Verpflichtung

d. Zwischenergebnis

III. Ausgewählte Rechtsverhältnisse

1. Gefälligkeitsverhältnisse

2. Einseitig verpflichtende Rechtsgeschäfte

3. Verträge unter Kontrahierungszwang

4. Mitgliedschaften

5. Geschäftsführung ohne Auftrag

6. Verfügende Verträge

7. Zwischenergebnis

IV. Wirksamkeit

1. Wirksamkeit als Voraussetzung

2. Bestimmung der Wirksamkeit

V. Ergebnis

B. Vertragspartei

I. Autonom oder Verweis?

II. Betroffene Person

III. Verantwortlicher

IV. Ergebnis

C. Erfüllung

I. Autonom oder Verweis?

II. Überblick

III. Allgemeine Erwägungen

1. Enge Auslegung

2. Weite Auslegung

IV. Ausgewählte Verarbeitungssituationen

1. Vertragsabschluss

2. Pflichten des Vertragspartners und des Verantwortlichen

3. Pflichten der betroffenen Person

4. Primär- und Sekundärpflichten

5. Vertragsänderung

6. Vertragsbeendigung

7. Gesetzliche Pflichten

V. Ergebnis

D. Erforderlichkeit

I. Autonom oder Verweis?

II. Schritt 1: Bezugspunkt

1. Einschränkend

2. Gesamtbewertung

3. Vertragsimmanent

III. Schritt 2: Datenschutzrechtlicher Inhalt

1. Erleichternd, sinnvoll, angebracht

2. Zwingend, notwendig, unverzichtbar

3. Erforderlichkeit und Datenminimierung

4. Kausalität und zumutbare datenschutzschonendere Alternative

IV. Schritt 3: Verhältnis zur Einwilligung

1. Anwendbarkeit bei Daten als Leistung

2. Widerrufbarkeit als Abgrenzungskriterium

3. Verbot des Rechtsmissbrauchs

V. Ergebnis

Teil 3: Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO

A. Durchführung vorvertraglicher Maßnahmen

I. Autonom oder Verweis?

II. Unbestimmtheit

III. Vorvertraglich

1. Rückgriff auf § 311 Abs. 2 Nr. 1, 2 BGB

2. Anbahnungsverhältnis

3. Kein vorvertragliches Verhältnis

4. Zeitliche Konkretisierung

IV. Zielrichtung der Maßnahme

B. Auf Anfrage der betroffenen Person

I. Autonom oder Verweis?

II. Schutz- und Legitimationsfunktion

III. Anforderungen

IV. Anfragesteller

V. Anfrageadressat

VI. Faktisches Widerrufsrecht

C. Erforderlichkeit

I. Schritt 1: Bezugspunkt

II. Schritt 2: Datenschutzrechtlicher Inhalt

III. Schritt 3: Verhältnis zur Einwilligung

Teil 4: Zusammenfassung

A. Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO

B. Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO

Literaturverzeichnis

Teil 1: Einführung

Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO1 enthält zwei alternative2 Rechtsgrundlagen zur Verarbeitung personenbezogener Daten im Vertragskontext. Nach Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO ist eine Verarbeitung rechtmäßig, die „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist [...] erforderlich [ist]“. Nach Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO ist eine Verarbeitung rechtmäßig, die „zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen.“ Zuvor war die entsprechende Datenverarbeitungsbefugnis in Art. 7 lit. b DS-RL3 beziehungsweise in § 28 Abs. 1 S. 1 Nr. 1 BDSG aF4 geregelt.

1

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).

2

EDSA, Leitlinien 2/2019, Rn. 22;

Hacker

, Datenprivatrecht, S. 261;

Eisenschmidt

, NZM 2019, 313 (319);

Arning

, in: Moos/Schefzig/Arning, Praxishdb. DSGVO, Kap. 5 Rn. 14;

Schaffland/Holthaus

, in: Schaffland/Wiltfang, DSGVO, Art. 6 Rn. 6 gehen indes von einem „dritte[n] Tatbestand [...] in analoger Anwendung“ von Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO für „nachvertragliche Maßnahmen“ aus.

3

Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr; Art. 7 lit. b DS-RL lautete: „Die Mitgliedstaaten sehen vor, daß die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist: [...] die Verarbeitung ist erforderlich für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen;“.

4

§ 28 Abs. 1 S. 1 Nr. 1 BDSG aF lautete in der Fassung zwischen 1.9.2009 bis 24.5.2018: „Das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke ist zulässig, [...] wenn es für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist“.

A. Problemstellung

Ohne Datenverarbeitungsbefugnis im Vertragskontext wäre die Funktionsfähigkeit des Privatrechtsverkehrs stark eingeschränkt.5 Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO hat in der Praxis auch erhebliche Relevanz.6 Der Anwendungsbereich der Norm ist jedoch umstritten.7

Die Konkretisierung des Anwendungsbereichs von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO steht vor mehreren Herausforderungen.8 Weder der Wortlaut noch die Erwägungsgründe enthalten detaillierte Vorgaben für die Bestimmung der Tatbestandsmerkmale.9 Auch das Verhältnis von europäischem Datenschutzrecht und nationalem Zivilrecht bereitet Schwierigkeiten.10 Schließlich ist die Diskussion um den Anwendungsbereich von Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO wesentlich von Spannungen zwischen Privatautonomie und Datenschutz geprägt.11 Es bestehen beispielsweise Bedenken, dass die Vorschrift zur Umgehung des Schutzniveaus der datenschutzrechtlichen Einwilligung genutzt werden könnte.12 Die Diskussion kreist kontinuierlich darum, ob und wie der Anwendungsbereich eingeschränkt werden muss.13

Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO ist Gegenstand verschiedener Monografien.14 Bei diesen Untersuchungen stehen jedoch nicht die Tatbestandsmerkmale als solche im Vordergrund.

Der EuGH hat nach einem Vorabentscheidungsersuchen des OLG Düsseldorf15 eine erste Entscheidung zu Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO gefällt.16 Auch der österreichische OGH hat eine Frage zum Verhältnis von Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO und der datenschutzrechtlichen Einwilligung vorgelegt.17 In Folge der genannten Entscheidung des EuGH hat der österreichische OGH diese jedoch zurückgenommen.18 Das Amtsgericht München hat im Dezember 2021 Fragen zur Auslegung von Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO im Zusammenhang mit Auskunftsrechten bei Publikumspersonengesellschaften vorgelegt.19 Im Juni 2023 hat der französische Conseil d’Etat eine Frage zur Auslegung der Erforderlichkeit vorgelegt.20

5

Albers/Veit

, in: BeckOK Datenschutzrecht, DSGVO, Art. 6 Rn. 41;

Niggl

, in: Selzer, Datenschutzrecht, DSGVO, Art. 6 Rn. 14.

6

Heinzke/Engel

, ZD 2020, 189 (189);

Niggl

, in: Selzer, Datenschutzrecht, DSGVO, Art. 6 Rn. 14;

Korch

, ZEuP 2021, 792 (815).

7

Benedikt/Pfau

, DSB 2024, 6 (7): „Die Rechtsgrundlage [...] führt jedoch zu neuen rechtlichen Fragestellungen, deren Beantwortung noch Zeit in Anspruch nehmen wird.“;

Britz/Indenhuck

, in: Heinze, Daten, Plattformen und KI als Dreiklang unserer Zeit, 47 (47): „kontrovers diskutiert“; ebenso

Britz/Indenhuck

, ZD 2023, 13 (13);

Burfeind

, PinG 2023, 146 (149): „der Anwendungsbereich [wird] [...] unterschiedlich weit gezogen“;

Schmidt-Kessel

, in: Lohsse/Schulze/Staudenmayer, Data as Counter Performance, 129 (132): „not sufficiently settled“;

Jahnel

, in: Jahnel, DSGVO, Art. 6 Rn. 24: „alles andere als klar“;

Hofmann

, in: Stiftung Datenschutz, Dateneigentum und Datenhandel, 161 (172): „Uneinigkeit über die Bestimmung der Reichweite der Norm“;

Dünkel

, PinG 2021, 122 (124): „höchst umstritten und bedarf tatsächlich einer Klärung“;

Kastelitz/Hötzendorfer/Tschohl

, in: Knyrim, DatKomm, DSGVO, Art. 6 Rn. 37: „Im Einzelnen ist die genaue Reichweite von lit b jedoch unklar“; vgl. auch den Überblick bei

Borges/Steinrötter

, in: BeckOK IT-Recht, DSGVO, Art. 6 Rn. 19ff.

8

Vgl. auch

Sattler

, Informationelle Privatautonomie, S. 152ff., der „drei wesentliche und gravierende Herausforderungen“ bei der Anwendung von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO identifiziert: eine „überfordernde Angemessenheitskontrolle“ (S. 153ff.), eine „Gefährdung des einheitlichen Datenschutzschutzrechts“ (S. 180ff.) sowie die fehlende „Synchronisierung von DS-GVO und DID-RL“ (S. 193ff.).

9

Sattler

, Informationelle Privatautonomie, S. 180ff.

10

Hacker

, Datenprivatrecht, S. 313f.;

Sattler

, Informationelle Privatautonomie, S. 144ff.;

Velmede

, Verschränkung von europäischem Verordnungsrecht und nationalen Normen, S. 285f.;

Veit

, Einheit und Vielfalt im europäischen Datenschutzrecht, S. 232f.

11

Heinzke/Engel

, ZD 2020, 189 (191): „Spannungsfeld von Privatautonomie und dem Grundrecht auf Datenschutz“;

Albers/Veit

, in: BeckOK Datenschutzrecht, DSGVO, Art. 6 Rn. 44a: „Konkret geht es [...] um die Frage, inwieweit die zivilrechtliche Privatautonomie durch datenschutzrechtliche Maßstäbe überlagert (oder verdrängt) werden soll“;

Veit

, Einheit und Vielfalt im europäischen Datenschutzrecht, S. 233: „Koordination des Datenschutzrechts mit der zivilrechtlichen Privatautonomie“; weiter

Bunnenberg

, Privates Datenschutzrecht, S. 49: „Spannungsverhältnis zwischen Vertragsrecht und Datenschutzrecht“;

Füllsack/Kirschke-Biller

, CR 2023, 508 (509): „Spannungsverhältnis zwischen der

subjektiven Vertragsfreiheit

des Verantwortlichen (wie auch des Betroffenen) einerseits und der

objektiven datenschutzrechtlichen Prüfung der Erforderlichkeit

andererseits“, Hervorhebung im Original; ähnlich OLG Hamm, Urteil vom 26.4.2023, 8 U 94/22, ZD 2023, 684, Rn. 61: „umstrittene Frage der Wechselwirkung zwischen Zivilrecht und Datenschutzrecht.“ sowie Rn. 65: „Gefahr eines Missbrauchs der privatautonomen Gestaltungsmacht“.

12

Statt vieler

Wendehorst/von Westphalen

, NJW 2016, 3745 (3747); in diese Richtung bereits zu § 28 Abs. 1 S. 1 Nr. 1 BDSG aF

Langhanke

, Daten als Leistung, S. 103; siehe ausführlich die Nachweise in Fn. 709 sowie insgesamt unter Teil 2:D.IV.

13

Diskutiert wird etwa eine Einschränkung bei Pflichten der betroffenen Person (Teil 2:C.IV.3) eine Reduzierung auf den Hauptgegenstand bzw. die vertragscharakteristische Leistung des Vertrags (Teil 2:D.II.1) sowie eine Beschränkung bei Daten als Leistung (Teil 2:D.IV.1), siehe hierzu die Nachweise in den jeweiligen Abschnitten; auf „[e]inschränkende Tendenzen“ weist auch

Rank-Haedler

, Handel mit personenbezogenen Daten in Deutschland und Italien, S. 100f. hin.

14

Exemplarisch sind zu nennen:

Sattler

, Informationelle Privatautonomie, S. 143ff.;

Hacker

, Datenprivatrecht, S. 260ff.;

Bunnenberg

, Privates Datenschutzrecht, S. 47ff.

15

OLG Düsseldorf, Beschluss vom 24.3.2021, Kart 2/19 (V), MMR 2022, 61.

16

EuGH, Urteil vom 4.7.2023, C-252/21, EU:C:2023:537 – Meta Platforms u.a.

17

OGH, Beschluss vom 23.6.2021, 6 Ob 56/21k, ZD 2021, 627: „Sind die Bestimmungen der Art. 6 Abs. 1 Buchst. a und b der Datenschutzgrundverordnung [...] dahingehend auszulegen, dass die Rechtmäßigkeit von Vertragsbestimmungen in allgemeinen Nutzungsbedingungen über Plattformverträge [...], die die Verarbeitung von personenbezogenen Daten für Aggregation und Analyse von Daten zum Zwecke der personalisierten Werbung beinhalten, nach den Anforderungen des Art. 6 Abs. 1 Buchst. a in Verbindung mit Art. 7 DSGVO zu beurteilen sind, die nicht durch die Berufung auf Art. 6 Abs. 1 Buchst. b DSGVO ersetzt werden können?“. Der EuGH führt das Verfahren als Rs. C-446/21.

18

OGH, Beschluss vom 19.7.2023, 6 Ob 134/23h, BeckRS 2023, 18031, Rn. 3.

19

AG München, Beschluss vom 21.12.2021, 132 C 12506/21, ZD 2022, 393 sowie AG München, Beschluss vom 21.12.2021, 132 C 22992/20, BeckRS 2021, 58270. Der EuGH führt die Verfahren als Rs. C-17/22 und Rs. C-18/22.

20

Der französische Conseil d’Etat hat dem EuGH am 28.6.2023 unter anderem folgende Frage vorgelegt: „Kann bei der Beurteilung der [...] Erforderlichkeit ihrer Verarbeitung im Sinne von Art. 6 Abs. 1 Buchst. b und f DSGVO die allgemeine Verkehrssitte in der Kommunikation auf Zivil-, Handels- und Verwaltungsebene berücksichtigt werden, so dass die auf die Angaben ‚Herr‘ oder ‚Frau‘ beschränkte Erhebung von Daten hinsichtlich der Anrede der Kunden als erforderlich angesehen werden könnte, ohne dass der Grundsatz der Datenminimierung dem entgegenstünde?“. Der EuGH führt das Verfahren als Rs. C-394/23.

B. Untersuchungsgegenstand und Forschungsansatz

Im Mittelpunkt der Untersuchung steht der Anwendungsbereich von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO. Zur Konkretisierung desselben werden die jeweiligen Tatbestandsmerkmale beider Alternativen untersucht und ausgelegt.21 Dabei soll die Arbeit einen Beitrag zur Strukturierung und Systematisierung der Norm leisten.

Die Arbeit verfolgt hierfür einen rechtsdogmatischen Ansatz. Hierbei bildet das europäische Datenschutzrecht den Ausgangspunkt der Untersuchung. Die Arbeit nimmt mithin eine unionsrechtliche Perspektive ein. Davon ausgehend wird das nationale deutsche Zivilrecht zwar berücksichtigt. Es steht für die Untersuchung jedoch an untergeordneter Stelle.

Der Schwerpunkt liegt auf dem Grundfall von Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO. Besondere Verarbeitungssituationen bleiben daher weitgehend außer Betracht. Dies betrifft etwa automatisierte Entscheidungen, Datenübermittlungen in Drittländer, das Beschäftigtendatenschutzrecht sowie das Datenschutzrecht für Minderjährige.

21

Eine ähnliche Herangehensweise formuliert

Jahnel

, in: Jahnel, DSGVO, Art. 6 Rn. 24; anhand der Tatbestandsmerkmale nähert sich beispielsweise

Klein

, in: FS Taeger, 235 (241ff.); ähnlich auch

Wolff

, in: Schantz/Wolff, Das neue Datenschutzrecht, Rn. 546ff.

C. Gang der Untersuchung

Die Arbeit ist in vier Teile gegliedert. Der Aufbau ist an den Tatbestandsmerkmalen von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO orientiert. Die jeweiligen Teile behandeln die folgenden Aspekte:

Der erste Teil hat die Problemstellung beschrieben und zeigt nunmehr den Gang der Untersuchung.

Der zweite Teil behandelt Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO. Dabei werden die Tatbestandsmerkmale „Vertrag“, „Vertragspartei“, „Erfüllung eines Vertrags“ und „Erforderlichkeit“ betrachtet.

Der dritte Teil nimmt Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 2 DSGVO in den Blick. Hier werden die Tatbestandsmerkmale „Durchführung vorvertraglicher Maßnahmen“, „auf Anfrage der betroffenen Person“ und „Erforderlichkeit“ untersucht.

Der vierte Teil fasst die Ergebnisse der Untersuchung zusammen.

Teil 2: Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO

Nach Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO ist eine Verarbeitung rechtmäßig, die „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist [...] erforderlich [ist]“.

Die folgenden Abschnitte beleuchten die einzelnen Tatbestandsmerkmale dieser Rechtsgrundlage. Dabei geht die Untersuchung zunächst der Frage nach, was ein Vertrag im Sinne der Norm ist.22 Im Anschluss daran wird das Merkmal Vertragspartei behandelt.23 Sodann wird ermittelt, welche Verarbeitungssituationen der Begriff „Erfüllung“ erfasst.24 Schließlich wird das Erforderlichkeitsmerkmal betrachtet.25

22

Teil 2:A.

23

Teil 2:B.

24

Teil 2:C.

25

Teil 2:D.

A. Vertrag

Von der Auslegung des Vertragsbegriffs hängt ab, welche Verhältnisse überhaupt unter Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO fallen.26 Die Verordnung verwendet den Begriff „Vertrag“ nicht nur in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO, sondern auch in zahlreichen weiteren Normen.27 Die DSGVO enthält jedoch keine Definition des Vertragsbegriffs.28

Die folgenden Abschnitte untersuchen zunächst, ob der Vertragsbegriff autonom zu bilden ist oder zur Begriffsbildung auf das Recht der Mitgliedstaaten verweist.29 Anschließend wird der Vertragsbegriff bestimmt.30 Das Ergebnis wird sodann an ausgewählten Rechtsverhältnissen erprobt.31 Schließlich wird untersucht, ob ein Vertrag nach Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO nach nationalem Recht wirksam sein muss.32

I.Autonom oder Verweis?

Eine typische Vorfrage der Auslegung von Sekundärrecht ist, ob eine Regelung unionsautonom auszulegen ist oder ob sie auf das Recht der Mitgliedstaaten verweist.33 Die unionsautonome Auslegung ist kein „allgemeines Auslegungskriterium“.34 Sie ist vielmehr eine normative Vorgabe.35 Bei der unionsautonomen Auslegung wird einem Begriff ein „eigenständige[r] europarechtliche[r] Sinn“ gegeben.36

Der Unionsgesetzgeber kann für die eingangs genannte Frage Vorgaben machen.37 So betont etwa Erwägungsgrund 11 S. 2 Rom II-VO,38 dass der Begriff des außervertraglichen Schuldverhältnisses autonom ausgelegt werden soll.39 Wenn der Verordnungsgeber demgegenüber für die Begriffsdefinition auf das Recht der Mitgliedstaaten verweist, kommt eine unionsautonome Auslegung nicht in Frage.40

Für viele Begriffe gibt es jedoch weder eigene Definitionen noch Verweise.41 Auch die DSGVO enthält keine ausdrücklichen Aussagen dazu, ob der Vertragsbegriff in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO autonom auszulegen ist oder zur Begriffsbildung auf das Recht der Mitgliedstaaten verweist.42 Fehlen entsprechende Anweisungen des Unionsgesetzgebers, muss dies durch Auslegung ermittelt werden.43

Dabei können verschiedene – im Folgenden behandelte – Indizien herangezogen werden.44 Vor diesem Hintergrund lassen sich zunächst Argumente für eine Auslegung nach dem Recht der Mitgliedstaaten finden.45 Daran anschließend werden Argumente für eine unionsautonome Auslegung identifiziert.46

1.Verweis auf das Recht der Mitgliedstaaten

Ein Teil der Literatur legt den Vertragsbegriff des Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO nach dem Recht der Mitgliedstaaten aus.47 Hierfür wird angeführt, dass es kein unionseinheitliches Vertragsverständnis gebe.48 Zudem soll das Fehlen einer Definition des Vertragsbegriffs in der DSGVO für diese Auslegung sprechen.49

a. Kein einheitliches Begriffsverständnis

Zunächst wird argumentiert, dass es kein unionseinheitliches Verständnis davon gebe, was ein Vertrag ist.50 Eine „Orientierung an einer verordnungskonformen Auslegung“ könne es folglich nicht geben.51 Die Norm verweise daher auf das nationale Zivilrecht.52 Die nationalen Besonderheiten, etwa das deutsche Abstraktionsprinzip würden insoweit „durchschlagen“.53 Wenn jegliche unionsrechtliche Anhaltspunkte für die Auslegung fehlen, kann dies grundsätzlich ein Indiz für einen Verweis auf nationale Rechtsordnungen sein.54

Zwar trifft es zu, dass es keinen Vertragsbegriff in einem europäischen Vertragsrecht gibt.55 Insbesondere kann nicht auf die Definition in Art. 2 lit. a des Entwurfs über ein gemeinsames Europäisches Kaufrecht56 zurückgegriffen werden.57 Dieser Entwurf ist in Folge der Rücknahme durch die Kommission nie zu geltendem Recht geworden.58 Mangels Verbindlichkeit scheidet auch ein Rückgriff auf den „Draft Common Frame of Reference“59 aus.60

Schwierigkeiten bei der Definition des Vertragsbegriffs bestehen auch im europäischen Zivilverfahrensrecht und im europäischen internationalen Privatrecht.61 So enthält etwa die Rom I-VO62 in Art. 1 Abs. 1 S. 1 Rom I-VO den – dem Vertragsbegriff in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO verwandten – Begriff „vertragliches Schuldverhältnis“.63 Der EuGH legt sowohl diesen Begriff als auch den Begriff „Vertrag“ in Art. 7 Nr. 1 lit. a Brüssel Ia-VO autonom aus.64 Insoweit greift der bloße Verweis auf einen fehlenden Anknüpfungspunkt im Unionsrecht für den Vertragsbegriff in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO zu kurz.65

b. Fehlende Definition

Auch die fehlende Begriffsdefinition innerhalb der DSGVO soll für einen Verweis auf das Recht der Mitgliedstaaten sprechen.66 Generell hat der Verordnungsgeber Art. 6 Abs. 1 UAbs. lit. b Alt. 1 DSGVO verglichen mit der datenschutzrechtlichen Einwilligung in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO weitaus weniger detailliert ausgestaltet.67

Das Vorhandensein einer unionsrechtlichen Definition wäre zwar ein starkes Argument für eine unionsautonome Auslegung des entsprechenden Begriffs.68Allerdings folgt aus dem Fehlen einer Definition nicht, dass ein Begriff nach nationalen Maßstäben bestimmt werden muss.69

Auch für die bereits angesprochenen Begriffe in Art. 7 Nr. 1 lit. a Brüssel Ia-VO sowie Art. 1 Abs. 1 S. 1 Rom I-VO existieren keine Legaldefinitionen.70 Darüber hinaus hat der EuGH etwa den Begriff „Versicherungsvertrag“ in Art. 3 Abs. 2 lit. d der RL 85/57771 autonom ausgelegt, obwohl diese Richtlinie weder eine Definition noch einen Verweis auf das Recht der Mitgliedstaaten hierfür vorsieht.72

2.Unionsautonome Auslegung

Überzeugender ist letztlich eine autonome Auslegung des Vertragsbegriffs in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO allein anhand unionsrechtlicher Maßstäbe.73 Insoweit formuliert Gebauer – wenn auch nicht zur DSGVO – anschaulich: „Was aber als ein Vertrag [...] nach Vorstellung des [...] deutschen Rechts einzuordnen ist, kann nicht ausschlaggebend für die Frage sein, was diese[r] Begriff[...] im Unionsrecht zu bedeuten ha[t].“74

Dies ergibt sich zunächst aus der mit der DSGVO angestrebten Rechtsvereinheitlichung.75 Zudem spricht ein Umkehrschluss aus Art. 6 Abs. 2, 3 DSGVO für eine autonome Auslegung.76 Auch die Erwägungsgrunde 10 S. 377 sowie 40 DSGVO78 stützen diese These.

a. Rechtsvereinheitlichung als Zielsetzung

Der Unionsgesetzgeber hat die DSGVO zur Rechtsvereinheitlichung als Verordnung ausgestaltet.79 Als europäische Verordnung gilt sie nach Art. 288 Abs. 2 AEUV unmittelbar.80 Schon die bloße Verwendung eines Begriffs in einer unmittelbar anwendbaren Verordnung spricht für eine unionsautonome Begriffsbildung.81

Zudem ist Art. 6 DSGVO die „zentrale materielle Norm“ der DSGVO.82 Die Festlegung der Rechtmäßigkeitsvoraussetzungen für eine Datenverarbeitung ist die „zentrale Stellschraube“ im Datenschutzrecht.83 Gerade bei den datenschutzrechtlichen Rechtsgrundlagen sind keine Abweichungen durch mitgliedstaatliche Regelungen beziehungsweise durch ein mitgliedstaatliches Verständnis vorgesehen.84

Für eine unionsautonome Auslegung spricht auch ein Vergleich mit der Vorgängerregelung in Art. 7 lit. b DS-RL.85 Allgemein zeigt die Entscheidung für eine Verordnung anstelle einer Richtlinie, dass der Unionsgesetzgeber der einheitlichen Anwendung besondere Bedeutung beimisst.86 Ein Beweggrund für die Wahl des Instruments der Verordnung war, die zuvor unter Geltung der DS-RL bestehenden Unterschiede zu verringern.87 Diese weitere Harmonisierung sollte auch den freien Datenverkehr im Binnenmarkt fördern.88 Die einheitliche Auslegung und Anwendung der DSGVO wäre jedoch durch einen Verweis auf das Recht der Mitgliedstaaten bei Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO in Gefahr.89

b. Umkehrschluss aus Art. 6 Abs. 2, 3 DSGVO

Aus systematischer Sicht spricht ein Umkehrschluss aus Art. 6 Abs. 2, 3 DSGVO für eine unionsautonome Auslegung des Vertragsbegriffs.90 Art. 6 Abs. 2, 3 DSGVO erlauben mitgliedstaatliche Konkretisierungen bei Datenverarbeitungen zur Erfüllung einer öffentlichen Aufgabe beziehungsweise zur Erfüllung einer gesetzlichen Pflicht.91 Das Verhältnis der beiden Absätze ist umstritten.92 Für den hier vorgenommenen Umkehrschluss ist es jedoch unerheblich.

Jedenfalls sehen Art. 6 Abs. 2, 3 DSGVO für Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO gerade keine Konkretisierungsmöglichkeit im Recht der Mitgliedstaaten vor.93 Vielmehr ist der Anwendungsbereich auf Verarbeitungen nach Art. 6 Abs. 1 UAbs. 1 lit. c und lit. e DSGVO beschränkt.94 Dieser Verweis kann auch nicht auf andere Rechtsgrundlagen übertragen werden.95 Eine vereinzelte und selektive Verweisung auf das nationale Recht spricht vielmehr dafür, dass eine solche im Übrigen gerade nicht gewollt ist.96

c. Erwägungsgrund 10 S. 3 DSGVO

Erwägungsgrund 10 S. 3 DSGVO verstärkt diesen Eindruck. Er hebt hervor, dass für Verarbeitungen nach Art. 6 Abs. 1 UAbs. 1 lit. c beziehungsweise lit. e DSGVO „die Mitgliedstaaten die Möglichkeit haben [sollten], nationale Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer festgelegt wird, beizubehalten oder einzuführen.“. Auch hier ist kein Verweis auf das nationale Recht für Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO vorgesehen.97

d. Erwägungsgrund 40 DSGVO

In diesem Zusammenhang98 spricht auch Erwägungsgrund 40 DSGVO für eine unionsautonome Auslegung. Er betont zunächst, dass „personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden [müssen]“. Diese Rechtsgrundlagen können „sich aus dieser Verordnung oder – wann immer in dieser Verordnung darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten [ergeben]“.

Entscheidend ist dabei der Einschub „wann immer in dieser Verordnung darauf Bezug genommen wird“. Die Formulierung lässt sich als Hinweis darauf verstehen, dass die Rechtsgrundlagen in erster Linie durch die DSGVO geregelt sind. Ein Verweis auf das sonstige Unionsrecht und – für die hier zu klärende Frage wichtiger – das Recht der Mitgliedstaaten ist grundsätzlich nicht vorgesehen. Etwas anderes soll nur gelten, wenn es sich ausdrücklich aus der DSGVO ergibt.

II.Begriffsbestimmung

Die folgenden Abschnitte nähern sich der Bestimmung des Vertragsbegriffs in drei Schritten: Zunächst wird zur Strukturierung der Diskussion ein Überblick zu möglichen Definitionen gegeben. Dabei wird die Rechtsprechung des EuGH im europäischen Zivilverfahrensrecht sowie im internationalen Privatrecht als möglicher Anknüpfungspunkt identifiziert.99 Nach einer kurzen Darstellung dieser Rechtsprechung100 untersucht der folgende Abschnitt, inwieweit die dort entwickelten Kriterien tatsächlich Anhaltspunkt für den hier behandelten Vertragsbegriff sein können.101

1.Überblick

Zwischen den im Schrifttum vorgeschlagenen Definitionen bestehen erhebliche Unterschiede. Dabei erschweren (teilweise) fehlende Herleitungen der Definitionen die Bewertung der jeweiligen Ansätze.

So wird vorgeschlagen, ein Vertrag sei „eine zivilrechtliche Vereinbarung von einer oder zwischen mehreren Parteien, bei denen der Begriff des ‚Vertrages‘ nichts anderes darstellt als die Umschreibung der rechtlichen Rahmenbedingungen für eine Transaktion“.102 Daneben wird das Vertragsverhältnis als „eine Rechtsbeziehung zwischen mindestens zwei Personen, die durch übereinstimmende Willenserklärungen begründet wurde und kraft derer der eine (Gläubiger) berechtigt ist, von dem anderen (Schuldner) ein Tun, Dulden oder Unterlassen zu verlangen“ charakterisiert.103 Teilweise werden auch sehr weite Auffassungen vertreten: ein Vertrag könne „zunächst jedes Schuldverhältnis sein“.104 Andere sind der Auffassung, dass „jedenfalls rechtsgeschäftliche oder rechtsgeschäftsähnliche Schuldverhältnisse“ erfasst seien.105 Für wieder andere Teile der Literatur ist eine privatautonome Entscheidung der betroffenen Person das wesentliche Merkmal des Vertragsbegriffs.106

Der EuGH hat sowohl in Entscheidungen zum europäischen Zivilverfahrensrecht (Art. 7 Nr. 1 lit. a Brüssel Ia-VO) als auch zum Internationalen Privatrecht (Art. 1 Abs. 1 S. 1 Rom I-VO) eine autonome Definition des Vertragsbegriffs entwickelt.107Kohler schlägt vor, zur Definition des Vertragsbegriffs in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO auf diese Rechtsprechung zurückzugreifen.108 Auch Golland nimmt zur Auslegung des Vertragsbegriffs auf die Rechtsprechung des EuGH zur Rom I-VO Bezug.109 In der Literatur findet bislang jedoch keine weitere Diskussion darüber statt, ob diese Rechtsprechung des EuGH als Anhaltspunkt zur Bildung eines Vertragsbegriffs in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO dienen kann.

Dieser Ansatz ist gleichwohl vielversprechend. Die genannte Rechtsprechung wäre „ein praktisch erprobtes Referenzsystem“.110 Dies bietet für den Vertragsbegriff in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO die Chance, dem Eindruck der Beliebigkeit bei der Definitionsfindung vorzubeugen.

2.Kriterien des EuGH

Um eine Untersuchungsgrundlage für eine mögliche Anknüpfung an die genannte Rechtsprechung zu schaffen, behandeln die folgenden Abschnitte die Rechtsprechung des EuGH zu den Vertragsbegriffen in Art. 7 Nr. 1 lit. a Brüssel Ia-VO111 und Art. 1 Abs. 1 S. 1 Rom I-VO.112 Die Betrachtung beschränkt sich auf einen Überblick.

a. Art. 7 Nr. 1 lit. a Brüssel Ia-VO

Die Brüssel Ia-VO113 – auch EuGVVO genannt114 – ist „das Kernstück des Europäischen Zivilprozessrechts“.115 Sie regelt insbesondere die internationale, teilweise aber auch die örtliche Zuständigkeit.116

Die Brüssel Ia-VO verwendet den Begriff „Vertrag“ in Art. 7 Nr. 1 lit. a Brüssel Ia-VO.117 Nach Art. 7 Nr. 1 lit. a Brüssel Ia-VO kann „[e]ine Person, die ihren Wohnsitz im Hoheitsgebiet eines Mitgliedstaats hat, [...] in einem anderen Mitgliedstaat verklagt werden: wenn ein Vertrag oder Ansprüche aus einem Vertrag den Gegenstand des Verfahrens bilden, vor dem Gericht des Ortes, an dem die Verpflichtung erfüllt worden ist oder zu erfüllen wäre“.

Der Schuldner einer Leistung kann nach dieser Norm also am Erfüllungsort der Leistung verklagt werden.118 Art. 7 Nr. 1 Brüssel Ia-VO regelt sowohl die internationale als auch die örtliche Zuständigkeit.119Besonders relevant ist die Abgrenzung zu dem deliktischen Gerichtsstand in Art. 7 Nr. 2 Brüssel Ia-VO.120

Die Brüssel Ia-VO enthält keine Definition des Begriffs „Vertrag“.121 Auch in diesem Zusammenhang kann nicht auf einen unionsweiten Vertragsbegriff zurückgegriffen werden.122 Vielmehr hat der EuGH den Vertragsbegriff in seiner Rechtsprechung entwickelt.123 Der EuGH versteht den Begriff „Vertrag“ in Art. 7 Nr. 1 Brüssel Ia-VO (beziehungsweise den entsprechenden Vorgängerregelungen) als eine freiwillig eingegangene Verpflichtung.124 Für seine autonome Auslegung des Vertragsbegriffs berücksichtigt der EuGH die Systematik und die Zielsetzungen der Verordnung.125

Die autonome Auslegung des Vertragsbegriffs sowie der Vertragsbegriff als solcher werden in der Literatur sehr unterschiedlich beurteilt.126 Jedenfalls bereite die autonome Definition des Vertragsbegriffs „nahezu unüberwindliche Schwierigkeiten“.127 Aus der Brüssel Ia-VO lasse sich kein Vertragsbegriff entnehmen.128 Die Rechtsprechung des EuGH falle daher kasuistisch aus.129 Der EuGH habe keine „umfassende Definition des Vertragsbegriffs“ entwickelt.130

b. Art. 1 Abs. 1 S. 1 Rom I-VO

Das internationale Privatrecht regelt, welche Rechtsordnung auf einen privatrechtlichen Fall mit Auslandsbezug Anwendung findet.131 Als Kollisionsrecht enthält es sogenannte Kollisionsnormen.132 Diese enthalten keine materiell-rechtlichen Rechtsfolgen, sondern bestimmen lediglich, nach welchem nationalen Sachrecht ein Sachverhalt beurteilt wird.133 Die praktisch bedeutendste Rechtsquelle ist dabei die Rom I-VO.134