DS-GVO/BDSG. David Klein
auf eine Empfehlung der freiwilligen Installation beschränken muss,[254] stellt sich bei Diensthandys die Frage, ob über eine Empfehlung hinaus, das Recht oder gar die Pflicht des Arbeitgebers besteht, die Installation auf Diensthandys verpflichtend vorzunehmen.[255] Jedenfalls da, wo Beschäftigte unvermeidlich enge Kontakte mit vulnerablen Gruppen haben (Ärzte, Rettungsdienste, Feuerwehr etc.), ist die Frage zu prüfen, ob die Schutzpflicht zugunsten der betroffenen Patienten und übrigen Beschäftigten die Vorinstallation auf den Geräten erforderlich macht, weil sie etwa ein milderes und effektiveres Mittel darstellt, als eine Testung in kurzen Abständen.[256] Abzulehnen ist es, die Aktivität der App und möglicherweise sogar die Meldung eines positiven Kontakts beim Beschäftigten abzufragen oder zu überprüfen. Zulässig soll es aber sein, dass der Arbeitgeber Arbeitnehmer nach dem Kontakt zu positiv getesteten Personen fragt.[257]
141
Da die Verwendung der faktisch anonymen App als solche, insbesondere etwa im Vergleich zu Navigationsapps keinen nennenswerten Eingriff in die informationelle Selbstbestimmung mit sich bringen würde, wäre die Prüfung der Pflicht rein verfassungsrechtlich und nicht datenschutzrechtlich zu betrachten, weil das datenschutzrechtliche Risiko der App vor der Installation im Rahmen einer Datenschutzfolgenabschätzung ausgeschlossen worden wäre. Eine Vergleichsprüfung im Rahmen der Verhältnismäßigkeitsprüfung wäre, ob gegenüber medizinischem Personal, das mit vulnerablen Gruppen arbeitet, aus Gründen der Fürsorge bei Verfügbarkeit eines Impfstoffs eine Impflicht angeordnet werden könnte.
c) Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c)
142
Eine weitere Ausnahmeregelung vom Verarbeitungsverbot sensitiver Daten besteht nach Art. 9 Abs. 2 lit. c, wenn zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person, die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.
143
Art. 9 Abs. 2 lit. c knüpft damit wie die Vorgängernorm des Art. 8 Abs. 2 lit. c DSRL an den Schutz lebenswichtiger Interessen an und erlaubt bei einer Gefährdung dieser Interessen die Verarbeitung sensibler Daten. Darüber hinaus ist der Begriff der lebenswichtigen Interessen im Rahmen des Art. 6 Abs. 1 lit. d[258] von Bedeutung.
144
In Anbetracht des Schutzgutes sind die Begriffe der physischen und rechtlichen Gründe weit zu verstehen. Daher sind die Voraussetzungen in der Regel dann erfüllt, wenn eine Verarbeitung der sensiblen Daten zur Abwehr von Gefahren für Leib oder Leben notwendig ist.[259]
145
Aus physischen Gründen ist eine Einwilligung nicht möglich, wenn eine Person zu einer verantwortlichen Entscheidung und Erklärung unfähig ist, so dass sich der Begriff in erster Linie auf mangelnde körperliche oder geistige Fähigkeiten bezieht, z.B. wegen Bewusstlosigkeit oder einer schweren Erkrankung.[260] Eine Fallkonstellation kann auch darin bestehen, dass die betroffene Person nicht oder nicht rechtzeitig erreicht werden kann.[261]
146
Rechtliche Gründe liegen dann vor, wenn eine wirksame Einwilligungserklärung nach dem Recht der Mitgliedstaaten nicht möglich ist, etwa bei fehlender Erklärungs- oder Geschäftsfähigkeit.[262] Insofern regelt Art. 9 Abs. 2 lit. c Anwendungsfälle, in denen eine Einwilligung entbehrlich ist.
147
Gemäß ErwG 46 soll lit. c nur dann greifen, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann. Insofern ist eine Verarbeitung sensibler Daten zum Schutz lebenswichtiger Interessen als ultima ratio anzusehen.[263]
148
In praktischer Hinsicht ist insbesondere die Frage relevant, wann von einem Schutz lebenswichtiger Interessen im Rahmen der Nutzung von Social-Media-Profilen ausgegangen werden kann. So verwendet Facebook seit einiger Zeit ein besonderes Tool, dass Posts und Fotos der Nutzer analysiert und im Falle einer Suizidgefahr des Nutzers[264] diesen automatisch kontaktiert und zudem Kontakte zu Seelsorgern vermittelt. Hier stellt sich die Frage, ob die Verarbeitung der personenbezogenen Daten (in diesem Falle insbesondere Gesundheitsdaten und biometrische Daten) abweichend vom Verbotsgrundsatz des Art. 9 Abs. 1 nach Art. 9 Abs. 2 lit. c rechtmäßig ist. Ausgehend von der Begriffsdefinition dient das Tool von Facebook dem Schutz des Lebens der Nutzer und damit lebenswichtigen Interessen. Gleichwohl darf die Möglichkeit, unter Umständen einen Selbstmord eines Nutzers zu verhindern, nicht darüber hinwegtäuschen, dass zunächst einmal alle Postings und Fotos der Nutzer analysiert und gespeichert werden müssen. Eine derartige Verarbeitung von unter anderem Gesundheitsdaten oder biometrischen Daten ist dabei nach Art. 9 Abs. 1 aber zunächst unzulässig. Sofern sich also keine Anzeichen für eine Selbstmordgefahr ergeben, war die Datenverarbeitung rechtswidrig. Insofern besteht für den Verantwortlichen ein enormes Risiko hinsichtlich der Verhängung einer Geldbuße. Daher muss er (etwa durch eine ausdrückliche Einwilligung) besondere, den Anforderungen des Art. 9 genügende, Vorkehrungen treffen, damit eine Verarbeitung der Daten unter allen Gesichtspunkten rechtmäßig ist.
d) Privilegierung von Non-Profit-Organisationen (NGO) und Tendenzbetrieben (Art. 9 Abs. 2 lit. d)
149
Nach Art. 9 Abs. 2 lit. d gilt das Verarbeitungsverbot nach Art. 9 Abs. 1 nicht, wenn die Verarbeitung auf der Grundlage geeigneter Garantien durch eine politisch, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung erfolgt, dass sich die Verarbeitung ausschließlich auf die (ehemaligen) Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung des Betroffenen nach außen offengelegt werden.
150
Die Vorschrift orientiert sich dabei weitgehend an der Vorgängerregelung des Art. 8 Abs. 2 lit. d DSRL.
151
Die Ausnahmevorschrift privilegiert demnach Tendenzbetriebe ohne Gewinnerzielungsabsicht, bei denen die Verarbeitung von personenbezogenen Daten letztlich im Rahmen ihrer Tätigkeit notwendig ist, weil sie sich für die Ausübung der Grundfreiheiten einsetzen (vgl. ErwG 51 S. 6 a.E.) und daher eine Verarbeitung von Daten zu etwa politischen oder religiösen Überzeugungen den Betrieben immanent ist.[265]
152
Den Einsatz dieser Organisationen zum Schutze und zur Förderung der Grundfreiheit möchte der Verordnungsgeber somit stärken, indem er sie über Art. 9 Abs. 2 lit. d privilegiert. Dabei darf sich der Blick allerdings nicht auf den