Unternehmen, Arbeitgeber und andere Verantwortliche müssen personenbezogene Daten häufig verarbeiten, weil gesetzliche Vorschriften dies verlangen. Art. 6 Abs. 1 lit. c DSGVO schafft dafür die datenschutzrechtliche Grundlage. Allerdings rechtfertigt nicht jede gesetzliche Regelung automatisch jede Datenverarbeitung. Entscheidend ist, welche rechtliche Verpflichtung besteht und welche Daten zu ihrer Erfüllung tatsächlich erforderlich sind.

Inhaltsverzeichnis

  1. Was regelt Art. 6 Abs. 1 lit. c DSGVO?
  2. Welche Anforderungen gelten für die rechtliche Verpflichtung?
  3. Wann ist eine Datenverarbeitung erforderlich?
  4. Typische Anwendungsfälle in der Praxis
  5. Gesetzliche Aufbewahrungspflichten und Löschung
  6. Abgrenzung zu anderen Rechtsgrundlagen
  7. Besondere Kategorien personenbezogener Daten
  8. Welche Rechte haben betroffene Personen?
  9. Fazit
  10. Quellen
  11. Weitere Artikel der Reihe

1. Was regelt Art. 6 Abs. 1 lit. c DSGVO?

Art. 6 Abs. 1 lit. c DSGVO erlaubt eine Verarbeitung, wenn
„die Verarbeitung [...] zur Erfüllung einer rechtlichen Verpflichtung erforderlich [ist], der der Verantwortliche unterliegt“.

Die Vorschrift berücksichtigt, dass Verantwortliche nicht immer selbst entscheiden können, ob sie personenbezogene Daten verarbeiten möchten.

Beispielsweise müssen Unternehmen bestimmte steuerlich relevante Unterlagen aufbewahren, Arbeitgeber gesetzliche Meldepflichten erfüllen und Verantwortliche unter den Voraussetzungen der DSGVO Auskunft über verarbeitete personenbezogene Daten erteilen.

Für solche Verarbeitungsvorgänge ist grundsätzlich keine Einwilligung der betroffenen Person erforderlich.

2. Welche Anforderungen gelten für die rechtliche Verpflichtung?

Die Anforderungen ergeben sich insbesondere aus Art. 6 Abs. 3 DSGVO und Erwägungsgrund 41 und 45.

Die Verpflichtung muss auf einer gesetzlichen Grundlage beruhen

Nach Art. 6 Abs. 3 DSGVO muss die Rechtsgrundlage für die Verarbeitung im Unionsrecht oder im Recht eines Mitgliedstaats festgelegt sein, dem der Verantwortliche unterliegt.

Eine rein vertragliche Verpflichtung genügt nicht.

Verpflichtet sich beispielsweise ein Unternehmen gegenüber einem Geschäftspartner, bestimmte Kundendaten zu übermitteln, entsteht dadurch noch keine rechtliche Verpflichtung im Sinne des Art. 6 Abs. 1 lit. c DSGVO. Die Übermittlung benötigt vielmehr eine eigenständig tragfähige datenschutzrechtliche Grundlage.

Muss das Gesetz die Datenverarbeitung ausdrücklich anordnen?

Nicht zwingend.

Erwägungsgrund 41 DSGVO stellt klar, dass eine Rechtsgrundlage nicht in jedem Fall ein vom Parlament erlassenes Gesetz sein muss. Entscheidend sind die Anforderungen der jeweiligen Rechtsordnung. Die rechtliche Grundlage muss allerdings ausreichend bestimmt sein. Ihre Anwendung muss für die betroffenen Personen vorhersehbar sein.

Auch eine gesetzliche Pflicht, die nicht ausdrücklich einzelne Datenfelder benennt, kann eine Verarbeitung erforderlich machen. Beispielsweise kann die gesetzliche Pflicht zur ordnungsgemäßen Buchführung die Speicherung personenbezogener Angaben in steuerlich relevanten Geschäftsunterlagen notwendig machen. Daraus folgt jedoch keine Befugnis, beliebige zusätzliche Kundendaten zu speichern.

Die Verpflichtung muss den Verantwortlichen treffen

Art. 6 Abs. 1 lit. c DSGVO verlangt ausdrücklich, dass der Verantwortliche selbst der rechtlichen Verpflichtung unterliegt.
Die gesetzliche Verpflichtung eines Geschäftspartners lässt sich deshalb nicht ohne Weiteres als eigene Rechtsgrundlage für eine Datenübermittlung heranziehen. Es ist jeweils zu prüfen, welche Verpflichtung den konkret handelnden Verantwortlichen trifft.

3. Wann ist eine Datenverarbeitung erforderlich?

Eine gesetzliche Verpflichtung rechtfertigt nur diejenigen Verarbeitungsvorgänge, die für ihre Erfüllung erforderlich sind.
Art. 6 Abs. 3 DSGVO verlangt außerdem, dass die Verarbeitung in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht. Die allgemeinen Datenschutzgrundsätze des Art. 5 DSGVO bleiben anwendbar.

Beispiel: Gesetzliche Aufbewahrung einer Rechnung

Ein Unternehmen ist verpflichtet, eine steuerlich relevante Rechnung während der gesetzlichen Aufbewahrungsfrist aufzubewahren.

Soweit die Rechnung personenbezogene Daten enthält, kann die Speicherung auf Art. 6 Abs. 1 lit. c DSGVO beruhen.

Das bedeutet aber nicht, dass sämtliche weiteren Daten, die das Unternehmen während der Bestellung erhoben hat, ebenfalls für denselben Zeitraum gespeichert werden dürfen.

So ist zwischen der Aufbewahrung des Rechnungsdokuments und der Speicherung zusätzlicher Nutzungs- oder Kommunikationsdaten zu unterscheiden.

Meine Bewertung: Gerade bei gesetzlichen Aufbewahrungspflichten wird häufig zu pauschal argumentiert. Die Aussage, bestimmte Unterlagen müssten zehn Jahre aufbewahrt werden, beantwortet noch nicht die Frage, welche personenbezogenen Daten tatsächlich Bestandteil der aufbewahrungspflichtigen Unterlagen sind.

4. Typische Anwendungsfälle in der Praxis

Steuerrechtliche Pflichten

Unternehmen müssen steuerlich relevante Unterlagen nach den jeweils einschlägigen gesetzlichen Vorschriften aufbewahren. Dazu gehören insbesondere bestimmte Rechnungen und Buchungsbelege. Rechtsgrundlagen ergeben sich beispielsweise aus § 147 AO und § 257 HGB.

Die konkreten Aufbewahrungsfristen hängen von der Art der Unterlagen und der jeweils geltenden gesetzlichen Regelung ab. Es gilt nicht für sämtliche Unterlagen dieselbe Frist.

Meldepflichten von Arbeitgebern

Arbeitgeber müssen bestimmte personenbezogene Daten ihrer Beschäftigten verarbeiten, um gesetzliche Melde- und Nachweispflichten zu erfüllen. Dazu gehören insbesondere Meldungen zur Sozialversicherung nach den einschlägigen sozialrechtlichen Vorschriften. Soweit die Verarbeitung zur Erfüllung dieser Pflichten erforderlich ist, kann Art. 6 Abs. 1 lit. c DSGVO eine einschlägige Rechtsgrundlage sein. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich die Anforderungen des Art. 9 DSGVO zu beachten.

Erfüllung datenschutzrechtlicher Pflichten

Auch die DSGVO selbst begründet rechtliche Verpflichtungen, deren Erfüllung eine Verarbeitung personenbezogener Daten erforderlich machen kann. Beispielsweise muss ein Verantwortlicher einen Auskunftsantrag nach Art. 15 DSGVO bearbeiten. Dazu kann es erforderlich sein, die Identität der anfragenden Person zu überprüfen, den Antrag zu dokumentieren und die vorhandenen personenbezogenen Daten zusammenzustellen.

Allerdings dürfen hierbei nicht vorsorglich beliebige zusätzliche Identitätsnachweise verlangt werden. Art. 12 Abs. 6 DSGVO gestattet die Anforderung weiterer Informationen zur Identitätsbestätigung nur unter den dort genannten Voraussetzungen.

5. Gesetzliche Aufbewahrungspflichten und Löschung

Ein häufiger Konflikt entsteht, wenn eine betroffene Person die Löschung ihrer Daten verlangt, der Verantwortliche aber gesetzliche Aufbewahrungspflichten erfüllen muss. Nach Art. 17 Abs. 3 lit. b DSGVO besteht das Recht auf Löschung nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.

Das bedeutet jedoch nicht, dass sämtliche Daten eines Kunden oder Beschäftigten bis zum Ablauf der längsten denkbaren Aufbewahrungsfrist gespeichert werden dürfen.

Vielmehr ist zu unterscheiden:

  • Welche konkreten Daten unterliegen einer gesetzlichen Aufbewahrungspflicht?
  • Für welchen Zeitraum gilt diese Pflicht?
  • Für welche Zwecke dürfen die Daten während dieser Zeit noch verarbeitet werden?
  • Welche anderen Daten können bereits gelöscht werden?
Nach Ablauf der einschlägigen Aufbewahrungsfrist muss erneut geprüft werden, ob für die weitere Speicherung eine Rechtsgrundlage besteht. Auch während der Aufbewahrungsfrist ist die Verarbeitung auf die zulässigen Zwecke zu begrenzen.

6. Abgrenzung zu anderen Rechtsgrundlagen

Rechtliche Verpflichtung oder Vertragserfüllung?

Art. 6 Abs. 1 lit. b DSGVO betrifft Datenverarbeitungen, die zur Erfüllung eines Vertrags mit der betroffenen Person oder für bestimmte vorvertragliche Maßnahmen erforderlich sind.

Art. 6 Abs. 1 lit. c DSGVO setzt dagegen eine rechtliche Verpflichtung voraus, der der Verantwortliche unterliegt.

Bei einer Onlinebestellung kann deshalb die Verarbeitung der Lieferadresse zur Vertragserfüllung erforderlich sein, während die spätere Aufbewahrung der Rechnung einer gesetzlichen Verpflichtung dient. Derselbe Geschäftsvorgang kann somit mehrere Verarbeitungsvorgänge mit unterschiedlichen Rechtsgrundlagen umfassen.

Rechtliche Verpflichtung oder berechtigtes Interesse?

Nicht jede Verarbeitung, die ein Unternehmen zur Erfüllung allgemeiner Compliance- oder Sicherheitsziele vornimmt, beruht auf einer konkreten gesetzlichen Verpflichtung. Beispielsweise kann die freiwillige Dokumentation bestimmter Geschäftsabläufe berechtigten Interessen dienen, ohne dass das Gesetz gerade diese Dokumentation verlangt.

In solchen Fällen ist Art. 6 Abs. 1 lit. f DSGVO gesondert zu prüfen.

Eine pauschale Berufung auf gesetzliche Compliance-Pflichten genügt nicht.

Rechtliche Verpflichtung oder Einwilligung?

Ist die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich, muss der Verantwortliche hierfür keine Einwilligung einholen. Eine Einwilligung wäre als Rechtsgrundlage auch wenig sachgerecht, wenn die Verarbeitung unabhängig von einem späteren Widerruf fortgesetzt werden muss.

Das Unternehmen sollte deshalb transparent erklären, welche Daten es aufgrund welcher gesetzlichen Verpflichtung verarbeitet.

7. Besondere Kategorien personenbezogener Daten

Art. 6 Abs. 1 lit. c DSGVO erlaubt nicht automatisch die Verarbeitung von Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten. Für diese Daten gilt zusätzlich das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO.

Es muss daher neben einer Rechtsgrundlage nach Art. 6 DSGVO auch eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Je nach Sachverhalt können beispielsweise Art. 9 Abs. 2 lit. b oder lit. h DSGVO relevant sein.
Die Voraussetzungen dieser Ausnahmen sind eigenständig zu prüfen.

8. Welche Rechte haben betroffene Personen?

Auch wenn eine Datenverarbeitung gesetzlich vorgeschrieben ist, behalten betroffene Personen grundsätzlich ihre Rechte nach der DSGVO. Dazu gehören insbesondere das Recht auf Information, das Auskunftsrecht und unter den jeweiligen Voraussetzungen das Recht auf Berichtigung.

Das Recht auf Löschung kann durch gesetzliche Aufbewahrungspflichten begrenzt sein. Ein Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO besteht dagegen nicht allein deshalb, weil eine Person mit der Verarbeitung nicht einverstanden ist. Dieses Widerspruchsrecht bezieht sich auf Verarbeitungen nach Art. 6 Abs. 1 lit. e oder lit. f DSGVO.

Auch das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO ist nicht allgemein auf Verarbeitungen aufgrund gesetzlicher Verpflichtungen anwendbar.

Entscheidend ist daher, welches Betroffenenrecht geltend gemacht wird und auf welcher Rechtsgrundlage der konkrete Verarbeitungsvorgang beruht.

9. Fazit

Art. 6 Abs. 1 lit. c DSGVO ist eine zentrale Rechtsgrundlage für die Erfüllung gesetzlicher Pflichten. Sie ermöglicht insbesondere steuerrechtlich, sozialrechtlich oder datenschutzrechtlich vorgeschriebene Verarbeitungen, ohne dass eine Einwilligung eingeholt werden muss.

Allerdings muss die rechtliche Verpflichtung hinreichend bestimmt sein und den Verantwortlichen selbst treffen.

Eine gesetzliche Verpflichtung rechtfertigt nur die Verarbeitung der Daten, die zu ihrer Erfüllung tatsächlich erforderlich sind.

Gerade bei Aufbewahrungspflichten sollten Unternehmen sorgfältig unterscheiden, welche Unterlagen gesetzlich aufbewahrt werden müssen und welche weiteren personenbezogenen Daten gelöscht werden können.

10. Quellen

11. Weitere Artikel unserer Reihe zu Art. 6 DSGVO