EDPB, 9th Plenary Session, 10 April 2019
EDPB: Leitlinien zur Interpretation des Art. 6 Abs. 1 b DSGVOAm 10.4.2019 hat der Europäische Datenschutzausschuss „Leitlinien zur Verarbeitung personenbezogener Daten auf Grundlage des Art. 6 Abs. 1 lit. b) DSGVO im Kontext von Online-Dienstleistungen“ beschlossen. Diese Leitlinien beschränken die Möglichkeit für Unternehmen, die Verarbeitung von Daten der Nutzer auf die Rechtsgrundlage „Vertragserfüllung“ zu stützen.
Inhalte
Nach Art. 6 Abs. 1 lit. b) DSGVO ist die Verarbeitung personenbezogener Daten zulässig, soweit sie zur Vertragserfüllung erforderlich ist.
In den neuen Leitlinien wird klargestellt, dass es zur Beurteilung dessen, ob eine Datenverarbeitung zur Vertragserfüllung erforderlich ist, nicht allein darauf ankommt, was im Vertrag vereinbart wurde. Vielmehr ist eine wertende Entscheidung unter Berücksichtigung der in Art. 5 DSGVO niedergelegten Datenschutzgrundsätze wie Sparsamkeit, Fairness und Transparenz notwendig.
Beispielsweise kann eine Datenverarbeitung für Zwecke der personenbezogenen Onlinewerbung danach grundsätzlich nicht auf die Rechtsgrundlage „Vertragserfüllung“ gestützt werden.
Erste Reaktion
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Ulrich Kelber, begrüßt die Annahme der Leitlinien ausdrücklich: Die DSGVO stelle zu Recht strenge Voraussetzungen an die Zulässigkeit einer Einwilligung auf. Es könne nicht sein, dass Unternehmen, wie beispielsweise die Anbieter sozialer Netzwerke, dazu übergehen, dies zu umgehen, indem sie Datenverarbeitungen, die eigentlich nichts mit der Erbringung eines Online-Dienstes zu tun haben, in den Vertragstext mit aufnehmen. Die jetzt beschlossenen Leitlinien erschwerten ein solches Vorgehen deutlich und stärkten somit die datenschutzrechtliche Selbstbestimmung der Bürger.
Volltext der Leitlinien
Die Leitlinien können hier im Volltext abgerufen werden:
Public Consultation
The European Data Protection Board welcomes comments on the "Guidelines 2/2019 on on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects".
Such comments should be sent to EDPB@edpb.europa.eu by 24 May 2019 at the latest.