Rechtsgrundlagen
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Der Verantwortliche muss sie vorab festlegen und – zusammen mit dem Zweck – im Verzeichnis von Verarbeitungstätigkeiten und in den Datenschutz-Hinweisen angeben.
Die sechs Rechtsgrundlagen stehen in der DSGVO. Für besonders schützenswerte Daten wie Gesundheitsdaten oder Religionszugehörigkeit gelten zusätzliche Bedingungen – sie treten neben die allgemeinen Rechtsgrundlagen, nicht an ihre Stelle. Öffnungsklauseln erlauben es, Rechtsgrundlagen auch in anderen Gesetzen zu schaffen, z.B. im Kirchen-, Presse- oder Beschäftigtendatenschutz.
Auch das BDSG enthält solche Regelungen. Die zentrale Vorschrift zum Beschäftigtendatenschutz im BDSG ist nach einem EuGH-Urteil zu einer gleichlautenden hessischen Regelung nach überwiegender Auffassung nicht anwendbar. Wir stützen Verarbeitungen im Arbeitsverhältnis daher unmittelbar auf die DSGVO (v.a. Vertrag, rechtliche Verpflichtung, berechtigtes Interesse).
Die Einwilligung darf nur für konkret benannte Zwecke eingeholt werden. Sie muss freiwillig sein; ein Vertrag darf nicht von einer Einwilligung abhängig gemacht werden, die für ihn nicht nötig ist (Koppelungsverbot). Der Widerruf muss genauso leicht sein wie die Zustimmung. Was bei Einwilligungen zu beachten ist, haben wir für Sie zusammengefasst.
Häufig passt stattdessen das berechtigte Interesse. Auch das gilt nicht „einfach so“: Interesse, Erforderlichkeit und eine Abwägung mit den Interessen der Betroffenen müssen geprüft und dokumentiert sein. Wie das geht, beschreiben wir in unserer Arbeitshilfe zur Interessenabwägung, samt Formular.