Art. 6 Abs. 1 lit. e DSGVO: Datenverarbeitung im öffentlichen Interesse

Behörden und andere Stellen müssen personenbezogene Daten verarbeiten, um öffentliche Aufgaben wahrzunehmen. Art. 6 Abs. 1 lit. e DSGVO schafft dafür eine Rechtsgrundlage. Doch nicht jede Tätigkeit einer Behörde ist automatisch zulässig – und auch private Organisationen können unter bestimmten Voraussetzungen öffentliche Aufgaben erfüllen. Entscheidend sind eine gesetzliche Grundlage, die übertragene Aufgabe und die Erforderlichkeit der konkreten Datenverarbeitung.

Inhaltsverzeichnis

Was regelt Art. 6 Abs. 1 lit. e DSGVO?
Welche gesetzliche Grundlage ist erforderlich?
Wann liegt eine Aufgabe im öffentlichen Interesse vor?
Können private Unternehmen diese Rechtsgrundlage nutzen?
Wann ist die Datenverarbeitung erforderlich?
Art. 6 Abs. 1 lit. e DSGVO und § 3 BDSG
Praktische Beispiele
Abgrenzung zu anderen Rechtsgrundlagen
Besondere Kategorien personenbezogener Daten
Welche Rechte haben betroffene Personen?
Fazit
Quellen
Weitere Artikel unserer Reihe zu Art. 6 DSGVO

1. Was regelt Art. 6 Abs. 1 lit. e DSGVO?

Nach Art. 6 Abs. 1 lit. e DSGVO ist eine Verarbeitung rechtmäßig, wenn

„die Verarbeitung [...] für die Wahrnehmung einer Aufgabe erforderlich [ist], die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“.

Die Vorschrift enthält zwei Anwendungsfälle:

Wahrnehmung einer Aufgabe im öffentlichen Interesse: Die Verarbeitung dient der Erfüllung einer Aufgabe, die auf einer entsprechenden rechtlichen Grundlage beruht.
Ausübung öffentlicher Gewalt: Die Verarbeitung ist erforderlich, damit der Verantwortliche ihm übertragene hoheitliche Befugnisse wahrnehmen kann.

Die beiden Anwendungsfälle können sich überschneiden. Nicht jede Aufgabe im öffentlichen Interesse setzt jedoch die Ausübung hoheitlicher Befugnisse voraus. Typische Anwendungsbereiche sind die öffentliche Verwaltung, die Wahrnehmung gesetzlich geregelter Aufgaben durch Kammern und bestimmte Tätigkeiten im öffentlichen Gesundheitswesen.

Art. 6 Abs. 1 lit. e DSGVO ist dabei keine uneingeschränkte Erlaubnis zur Verarbeitung personenbezogener Daten. Die konkrete Verarbeitung muss zur jeweiligen Aufgabe erforderlich sein.

2. Welche gesetzliche Grundlage ist erforderlich?

Art. 6 Abs. 3 DSGVO konkretisiert die Voraussetzungen. Danach muss die Rechtsgrundlage für die Verarbeitung im Unionsrecht oder im Recht eines Mitgliedstaats festgelegt sein, dem der Verantwortliche unterliegt. Die Vorschrift verlangt jedoch nicht, dass für jeden einzelnen Verarbeitungsvorgang ein eigenes Gesetz existiert.

Erwägungsgrund 45 DSGVO stellt ausdrücklich klar:

„Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt.“

Eine gesetzliche Regelung kann somit die Grundlage für mehrere Verarbeitungsvorgänge bilden. Allerdings muss die zugrunde liegende Aufgabe rechtlich hinreichend bestimmt sein. Außerdem muss die konkrete Verarbeitung zu ihrer Wahrnehmung erforderlich sein.

Eine bloße Berufung auf das Gemeinwohl genügt nicht

Ein Verantwortlicher kann sich nicht allein deshalb auf Art. 6 Abs. 1 lit. e DSGVO berufen, weil er seine Tätigkeit als gesellschaftlich nützlich ansieht. Auch eine gemeinnützige Zielsetzung ersetzt keine gesetzliche Grundlage.

Entscheidend ist vielmehr, ob die betreffende Aufgabe dem Verantwortlichen auf einer geeigneten rechtlichen Grundlage übertragen wurde beziehungsweise sich aus dieser ergibt.

Meine Bewertung: Gerade der Begriff des öffentlichen Interesses birgt die Gefahr einer zu weiten Auslegung. Die Vorschrift soll nicht jede gesellschaftlich erwünschte Datenverarbeitung erlauben. Sie setzt eine rechtlich fundierte öffentliche Aufgabe voraus.

3. Wann liegt eine Aufgabe im öffentlichen Interesse vor?

Eine Aufgabe im öffentlichen Interesse dient der Wahrnehmung von Belangen, die über die rein privaten Interessen des Verantwortlichen hinausgehen und denen die Rechtsordnung eine entsprechende öffentliche Bedeutung beimisst.
Typische Beispiele sind:

Aufgaben der öffentlichen Verwaltung,
bestimmte Aufgaben der Gesundheitsversorgung und des öffentlichen Gesundheitswesens,
gesetzlich geregelte Aufgaben berufsständischer Kammern,
bestimmte öffentliche Bildungs- und Forschungsaufgaben.

Die Einordnung hängt jedoch immer von der konkreten gesetzlichen Grundlage ab. Nicht jede Tätigkeit im Gesundheitswesen oder Bildungsbereich beruht automatisch auf Art. 6 Abs. 1 lit. e DSGVO. Auch eine Einrichtung, die öffentliche Mittel erhält, erfüllt nicht allein deshalb jede ihrer Aufgaben auf dieser Rechtsgrundlage. Entscheidend sind die jeweilige Aufgabe, ihre rechtliche Grundlage und die konkrete Datenverarbeitung.

4. Können private Unternehmen diese Rechtsgrundlage nutzen?

Ja. Art. 6 Abs. 1 lit. e DSGVO ist nicht ausschließlich öffentlichen Stellen vorbehalten. Erwägungsgrund 45 DSGVO sieht ausdrücklich vor, dass Aufgaben im öffentlichen Interesse unter bestimmten Voraussetzungen auch durch privatrechtlich organisierte Stellen wahrgenommen werden können.

Beispiel: Berufsständische Kammern

Eine berufsständische Kammer kann gesetzlich mit der Überwachung beruflicher Pflichten ihrer Mitglieder betraut sein.

Zur Wahrnehmung dieser Aufgabe kann es erforderlich sein, personenbezogene Daten über Mitglieder und gegebenenfalls weitere Beteiligte zu verarbeiten.

Die Europäische Kommission nennt berufsständische Organisationen, etwa Rechtsanwalts- oder Ärztekammern, als Beispiel für Stellen, die im Rahmen ihrer Befugnisse personenbezogene Daten verarbeiten dürfen.

Private Stellen mit öffentlichen Aufgaben

Auch eine privatrechtlich organisierte Einrichtung kann Aufgaben wahrnehmen, die ihr durch das einschlägige Recht übertragen wurden. Die privatrechtliche Organisationsform schließt Art. 6 Abs. 1 lit. e DSGVO daher nicht grundsätzlich aus.

Umgekehrt genügt es nicht, dass ein privates Unternehmen Dienstleistungen für eine Behörde erbringt.
Ist das Unternehmen lediglich als Auftragsverarbeiter tätig, ist die datenschutzrechtliche Rollenverteilung anders zu beurteilen. Handelt es dagegen eigenverantwortlich, muss seine Verarbeitung auf einer geeigneten Rechtsgrundlage beruhen.

5. Wann ist die Datenverarbeitung erforderlich?

Die Erforderlichkeit ist eine eigenständige Voraussetzung des Art. 6 Abs. 1 lit. e DSGVO. Dass eine öffentliche Aufgabe besteht, bedeutet nicht, dass zu ihrer Erfüllung beliebige personenbezogene Daten erhoben, gespeichert oder weitergegeben werden dürfen. Vielmehr muss die konkrete Verarbeitung geeignet und erforderlich sein, um die jeweilige Aufgabe zu erfüllen.

Auch der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO gilt uneingeschränkt.

Beispiel: Bearbeitung eines Verwaltungsantrags

Eine Behörde benötigt für die Entscheidung über einen Antrag bestimmte Angaben zur Identität und zu den gesetzlichen Anspruchsvoraussetzungen. Diese Daten kann sie verarbeiten, soweit die einschlägigen rechtlichen Voraussetzungen erfüllt sind. Sie darf jedoch nicht ohne Weiteres zusätzliche Informationen verlangen, die für die Entscheidung nicht benötigt werden.

Keine pauschale Vorratsdatensammlung

Auch die allgemeine Möglichkeit, dass bestimmte Daten irgendwann für eine öffentliche Aufgabe nützlich werden könnten, rechtfertigt nicht automatisch ihre vorsorgliche Erhebung und unbegrenzte Speicherung. Die Verarbeitung muss sich an der konkreten Aufgabe und ihrem rechtlich bestimmten Zweck orientieren.

Art. 6 Abs. 3 DSGVO verlangt zudem, dass die Rechtsgrundlage einem im öffentlichen Interesse liegenden Ziel dient und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht.

6. Art. 6 Abs. 1 lit. e DSGVO und § 3 BDSG

Für öffentliche Stellen des Bundes ist insbesondere § 3 BDSG relevant, soweit das BDSG anwendbar ist und keine spezielleren Vorschriften vorgehen. Die Vorschrift lautet:

„Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.“

§ 3 BDSG knüpft damit an die Voraussetzungen des Art. 6 Abs. 1 lit. e DSGVO an. Allerdings darf die Vorschrift nicht isoliert betrachtet werden.

Spezialgesetzliche Regelungen haben Bedeutung

Für zahlreiche Verwaltungsbereiche bestehen besondere datenschutzrechtliche Vorschriften. Diese können beispielsweise regeln, welche Daten erhoben werden dürfen, an wen sie übermittelt werden können und wie lange sie gespeichert werden müssen. Solche Spezialregelungen sind bei der Prüfung vorrangig zu berücksichtigen.

Auch Landesrecht kann einschlägig sein

Bei öffentlichen Stellen der Länder und Kommunen können insbesondere die jeweiligen Landesdatenschutzgesetze und bereichsspezifische landesrechtliche Vorschriften relevant sein. Eine pauschale Berufung auf § 3 BDSG ist daher nicht für jede deutsche Behörde zutreffend.

7. Praktische Beispiele

Bearbeitung von Anträgen durch Behörden

Eine Behörde verarbeitet personenbezogene Daten, um über einen gesetzlich vorgesehenen Antrag zu entscheiden.
Soweit diese Verarbeitung für die Wahrnehmung der ihr übertragenen Aufgabe erforderlich ist, kann Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit der einschlägigen nationalen Rechtsgrundlage anwendbar sein.

Berufsrechtliche Aufsicht

Eine berufsständische Kammer prüft, ob ein Mitglied seine gesetzlichen Berufspflichten verletzt hat.
Die dafür erforderliche Verarbeitung personenbezogener Daten kann auf der gesetzlichen Aufsichtsfunktion beruhen.
Welche Daten erhoben und an wen sie übermittelt werden dürfen, richtet sich nach den einschlägigen berufsrechtlichen und datenschutzrechtlichen Vorschriften.

Öffentliche Gesundheitsaufgaben

Im öffentlichen Gesundheitswesen können personenbezogene Daten verarbeitet werden, um gesetzlich übertragene Aufgaben zu erfüllen. Werden Gesundheitsdaten verarbeitet, müssen zusätzlich die Voraussetzungen des Art. 9 DSGVO beachtet werden.

Private Dienstleister einer Behörde

Ein IT-Dienstleister betreibt im Auftrag einer Behörde ein Fachverfahren.

Daraus folgt nicht, dass der Dienstleister selbst eine öffentliche Aufgabe im Sinne des Art. 6 Abs. 1 lit. e DSGVO wahrnimmt.

Hier ist insbesondere zu prüfen, ob eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt oder der Dienstleister eigenständig über Zwecke und Mittel der Verarbeitung entscheidet.

8. Abgrenzung zu anderen Rechtsgrundlagen

Rechtliche Verpflichtung – Art. 6 Abs. 1 lit. c DSGVO

Art. 6 Abs. 1 lit. c DSGVO betrifft Verarbeitungen, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind, der der Verantwortliche unterliegt. Art. 6 Abs. 1 lit. e DSGVO betrifft dagegen die Wahrnehmung einer rechtlich fundierten Aufgabe im öffentlichen Interesse oder die Ausübung übertragener öffentlicher Gewalt.

Der Unterschied liegt insbesondere darin, dass lit. c an eine rechtliche Verpflichtung zur betreffenden Handlung anknüpft, während lit. e die erforderliche Verarbeitung im Rahmen einer übertragenen öffentlichen Aufgabe ermöglicht.
In der Praxis können beide Rechtsgrundlagen in unterschiedlichen Verarbeitungssituationen derselben Stelle relevant werden.

Einwilligung – Art. 6 Abs. 1 lit. a DSGVO

Auch öffentliche Stellen können grundsätzlich personenbezogene Daten auf Grundlage einer Einwilligung verarbeiten.

Allerdings ist bei einem Ungleichgewicht zwischen der betroffenen Person und der öffentlichen Stelle besonders sorgfältig zu prüfen, ob die Einwilligung tatsächlich freiwillig erfolgt.

Die Erfüllung gesetzlich übertragener Aufgaben sollte nicht künstlich von einer Einwilligung abhängig gemacht werden, wenn die erforderliche Verarbeitung bereits auf einer geeigneten gesetzlichen Grundlage beruht.

Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO

Art. 6 Abs. 1 Unterabs. 2 DSGVO bestimmt:

„Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.“

Behörden können sich deshalb bei der Wahrnehmung ihrer Aufgaben nicht auf die allgemeine Rechtsgrundlage des berechtigten Interesses stützen. Das bedeutet jedoch nicht, dass Art. 6 Abs. 1 lit. f DSGVO für sämtliche Verarbeitungsvorgänge jeder öffentlichen Stelle ausnahmslos ausgeschlossen wäre. Entscheidend ist, ob die Verarbeitung in Erfüllung behördlicher Aufgaben erfolgt. Andere Konstellationen bedürfen einer gesonderten Prüfung.

9. Besondere Kategorien personenbezogener Daten

Werden Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten verarbeitet, reicht Art. 6 Abs. 1 lit. e DSGVO allein nicht aus. Zusätzlich muss ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO erfüllt sein. Bei Aufgaben im öffentlichen Interesse kann insbesondere Art. 9 Abs. 2 lit. g DSGVO einschlägig sein.

Diese Vorschrift setzt unter anderem ein erhebliches öffentliches Interesse, eine geeignete Rechtsgrundlage und angemessene spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person voraus.
Im öffentlichen Gesundheitswesen können außerdem Art. 9 Abs. 2 lit. h oder lit. i DSGVO relevant sein. Die Voraussetzungen müssen jeweils eigenständig geprüft werden.

10. Welche Rechte haben betroffene Personen?

Auch bei einer Verarbeitung nach Art. 6 Abs. 1 lit. e DSGVO behalten betroffene Personen grundsätzlich ihre Datenschutzrechte. Hierzu gehören insbesondere das Recht auf Information, das Auskunftsrecht und unter den jeweiligen Voraussetzungen das Recht auf Berichtigung oder Löschung.

Das Widerspruchsrecht nach Art. 21 DSGVO

Besonders wichtig ist das Widerspruchsrecht. Nach Art. 21 Abs. 1 DSGVO können betroffene Personen aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e DSGVO Widerspruch einlegen.

Der Verantwortliche darf die Daten dann grundsätzlich nicht weiterverarbeiten, es sei denn, er kann zwingende schutzwürdige Gründe nachweisen, welche die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ein Widerspruch führt daher nicht automatisch dazu, dass eine Behörde die gesetzlich vorgesehene Verarbeitung einstellen muss.

Gesetzlich geregelte Beschränkungen des Widerspruchsrechts sind zusätzlich zu beachten.

11. Fazit

Art. 6 Abs. 1 lit. e DSGVO ist eine zentrale Rechtsgrundlage für die Wahrnehmung öffentlicher Aufgaben. Sie betrifft nicht ausschließlich Behörden. Auch andere Stellen können sich unter bestimmten Voraussetzungen darauf berufen, wenn ihnen entsprechende Aufgaben rechtlich übertragen wurden.

Entscheidend ist nicht, ob eine Verarbeitung allgemein dem Gemeinwohl dient, sondern ob sie zur Wahrnehmung einer rechtlich fundierten öffentlichen Aufgabe erforderlich ist. Für öffentliche Stellen kommt es deshalb auf die einschlägigen gesetzlichen Aufgaben und Befugnisse an. Für private Organisationen ist insbesondere zu prüfen, ob ihre Tätigkeit tatsächlich auf einer entsprechenden rechtlichen Grundlage beruht.

Auch bei der Wahrnehmung öffentlicher Aufgaben bleiben die allgemeinen Datenschutzgrundsätze verbindlich.

12. Quellen

1. Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 5, Art. 6 Abs. 1 lit. e, Art. 6 Abs. 3, Art. 9, Art. 21 und Erwägungsgrund 45.
2. Bundesdatenschutzgesetz, § 3 BDSG – Verarbeitung personenbezogener Daten durch öffentliche Stellen.
3. Europäischer Datenschutzausschuss (EDSA): Process personal data lawfully, Abschnitt „Public interest“.
4. Europäische Kommission: Legal grounds for processing data, Abschnitt „Task of public interest or official authority“.

13. Weitere Artikel unserer Reihe zu Art. 6 DSGVO

Die Datenschutz-Grundverordnung enthält sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. In unserer Artikelreihe erläutern wir ihre Voraussetzungen und ihre praktische Bedeutung.