Das Datenschutzrecht soll den Einzelnen davor schützen, dass sein Persönlichkeitsrecht durch den Umgang mit seinen Daten beeinträchtigt wird. Deshalb enthalten die verschiedenen Datenschutzgesetze ein so genanntes Datenverarbeitungsverbot mit Erlaubnisvorbehalt, z.B. § 4 BDSG. Nach diesem datenschutzrechtlichen Grundprinzip ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur zulässig, soweit eine Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.
Grundsatz: Verbot der Datenverarbeitung
Grundsätzlich ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten verboten. Nur in zwei Ausnahmefällen ist sie erlaubt:
- Erlaubnis durch Rechtsvorschrift, z.B. BDSG, TMG, TKG etc.
- Einwilligung des Betroffenen
Erlaubnis der Datenverarbeitung durch Rechtsvorschrift
Eine Verarbeitung personenbezogener Daten wird zulässig, wenn eine spezielle Rechtsvorschrift die Datenverarbeitung ausdrücklich erlaubt.
Als Rechtsvorschriften kommen dabei spezielle Rechtsnormen, z. B. aus dem Arbeits-, Sozial-, Steuer- oder Telekommunikationsrecht oder weitere nachrangige Rechtsvorschriften, wie z.B. Tarifverträge oder Betriebsvereinbarungen, in Betracht.
Außerdem regelt das Bundesdatenschutzgesetz (BDSG) selbst verschiedene zulässige Datenverarbeitungsvorgänge. Bei nicht öffentlichen Stellen ist hier für insbesondere § 28 BDSG einschlägig, der die Datenverarbeitung dann zulässt, wenn sie der Zweckbestimmung eines Vertragsverhältnisses oder eines vertragsähnlichen Vertrauensverhältnisses entspricht.
Beispiel: Ausgewählte personenbezogene Arbeitnehmerdaten wie z.B. Name, Geburtsdatum, Anschrift dürfen gemäß § 28 BDSG verarbeitet werden. Die Zweckbestimmung ergibt sich aus dem Arbeitsverhältnis. Der Arbeitgeber hat ein Interesse an der Datenspeicherung, um die gesetzlichen und vertraglichen Erfordernisse bei der Durchführung des Arbeitsverhältnisses zu beachten. Dies gilt ggf. auf noch für Daten zur Religionszugehörigkeit, um (kirchen-)steuerrechtliche Verpflichtungen zu erfüllen. Allerdings benötigt der Arbeitgeber i.d.R. keine Angaben zum KfZ des Arbeitnehmers, dessen Ferienhaus oder Urlaubsgewohnheiten. Die Verarbeitung dieser Daten wäre somit nicht mehr von der Erlaubnis nach § 28 BDSG gedeckt.
Einwilligung des Betroffenen
Soweit der Betroffene in die Datenverarbeitung einwilligt, ist diese ebenfalls zulässig. In der Praxis ist dies ein äußerst wichtiger Erlaubnistatbestand. Bei der Einwilligung sind die formellen und materiellen Voraussetzungen des § 4a BDSG zu beachten:
"Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben. [...]
Soweit besondere Arten personenbezogener Daten (§ 3 Abs. 9) erhoben, verarbeitet oder genutzt werden, muss sich die Einwilligung darüber hinaus ausdrücklich auf diese Daten beziehen.
Weitere Einzelheiten zur Einwilligung im Datenschutz...
Zusammenfassend kann festgehalten werden, dass eine Verarbeitung personenbezogener Daten nur zulässig ist, wenn mindestens eine dervorgenannten Voraussetzungen vorliegt. Jede andere Datenverarbeitung ist unzulässig! Sie kann u.a. mit Bußgeldern bis zu 300.000 €, Geld- oder Freiheitsstrafe geahndet werden, §§ 43, 44 BDSG.
