Vertrag als Rechtsgrundlage nach DS-GVO bei Online Diensten?

Gerade Online-Dienste haben den Ruf, große Massen an Nutzerdaten zu erheben und weiter zu verarbeiten. Als Gegenleistung wird eine Benutzungsgebühr zwar meistens nicht verlangt, allerdings bezahlt der Nutzer mit seinen personenbezogenen Daten und erhält direkt im Anschluss gezielte Werbemaßnahmen. Zudem kann sein Nutzerverhalten immer genauer verfolgt werden.

Hierfür bedarf es in jedem Fall einer Rechtsgrundlage i. S. d. DS-GVO.

Neben mehreren weiteren Grundlagen die eine Datenverarbeitung erlauben, kann nach Art. 6 Absatz 1 b) DSGVO auch ein Vertrag zwischen Online-Anbieter und Nutzer eine solche Rechtsgrundlage sein.

Hierzu hat sich mittlerweile der Europäische Datenschutzausschuss (EDSA) geäußert und in Leitlinien genauer definiert, wann und unter welchen Voraussetzungen ein Vertrag zwischen Online-Anbieter und Nutzer eine Datenverarbeitung rechtfertigt.

Grundsätzlich ist die Verarbeitung rechtmäßig, wenn sie für die Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Dazu muss ein Vertragsverhältnis entweder bereits bestehen oder sich durch Anfrage eines Nutzers zumindest anbahnen.

Maßgebend: Erforderlichkeit!

Nach EDSA muss zudem geprüft werden, ob die Verarbeitung für den angestrebten Zweck erforderlich ist und andererseits, ob es mildere Mittel gibt, das Ziel zu erreichen.

Was allerdings unter «erforderlich» zu verstehen ist, kann zum jetzigen Zeitpunkt nicht rechtssicher beantwortet werden. Hier wird die Rechtsprechung hoffentlich mit der Zeit Rechtsklarheit bringen.

Der Vertragsinhalt allein sagt meist nicht viel über die Erforderlichkeit aus. Wäre dies in abschließender Weise der Fall, würde der Vertrag wohl zu umfangreich und damit ggf. intransparent. 

Laut EDSA soll allerdings weder die Analyse des Nutzerverhaltens für eine anschließende gezielte Online-Werbung, noch zur Verbesserung der Online-Dienste erforderlich für die Vertragserfüllung sein.

Wie bekannt sein dürfte, verdienen die Online-Anbieter durch den Handel mit ihren Nutzerdaten Geld. Diese indirekte Finanzierung durch die Nutzer selbst ist nach Ansicht der EDSA allerdings auch nicht für die eigentliche Vertragserfüllung zwischen Online-Anbieter und seinem Nutzer erforderlich.

Wenn allerdings die Datenverarbeitung selbst ein wesentliches oder zu erwartendes Element der Online-Dienstleistung darstellt, wie dies bspw. bei der Personalisierung von Inhalten der Fall ist, oder, wenn die Hauptleistung des Vertrages ohne die Datenverarbeitung nicht erbracht werden kann, ist die Datenverarbeitung für die Vertragserfüllung stets erforderlich, so die Einschätzung der EDSA.

In allen Fällen, in denen die Erforderlichkeit nicht besteht, kann der Vertrag nicht als Rechtsgrundlage für eine Datenverarbeitung herangezogen werden. So weit, so klar.

Praxis

Durch den Erlass der Leitlinien hat die EDSA eine nützliche und aufschlussreiche Hilfestellung gegeben, zur Bewertung, wann ein Vertrag eine Datenverarbeitung rechtfertigt, insbesondere wann sie erforderlich ist und wann nicht. 

Die gegebenen Beispiele sind natürlich nicht abschließend, allerdings könnten gewisse Vergleiche gezogen und etwas mehr Rechtssicherheit auf beiden Seiten gewonnen werden.

Marc E. Evers

Rechtsanwalt

Zert. Datenschutzbeauftragter

Zert. Datenschutz-Auditor