Datenverarbeitung im Rahmen der Rechtsverfolgung und -verteidigung

Nach Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 haben wir im Rahmen der Durchführung von Schulungen und auch bei unseren Beratungsgesprächen recht früh gemerkt, dass die Regelungsgrundsätze der DSGVO und insbesondere der Rechtmäßigkeitsgrundsatz, der von Juristen als „Verbot mit Erlaubnisvorbehalt“ für Laien recht kryptisch umschrieben wird, auch unter Verweis auf die entsprechenden Normen nicht selbsterklärend sind und einer genaueren Erläuterung bedürfen.

Aus diesem Grund hatten wir eine Themenreihe zur Rechtmäßigkeit der Datenverarbeitung ins Leben gerufen und im Rahmen dieser aus insgesamt 8 Teilen bestehenden Artikelserie die allgemeinen Grundsätze erläutert, die sich für den Verantwortlichen aus der DSGVO hinsichtlich der Verarbeitung personenbezogener Daten ergeben. Den ersten Teil der Serie, der auch die Links zu den nachfolgenden Teilen enthält, finden Sie hier.

Im Rahmen dieser Serie hatten wir die zentralen Rechtsgrundlagen der DSGVO und ihre grundsätzliche „Funktionsweise“ behandelt und insbesondere das Verhältnis der zwei sehr wichtigen Normen Art. 6 DSGVO und Art. 9 DSGVO zueinander beleuchtet.

Mit diesem Artikel möchten wir uns mit einer Spezialfrage in diesem Zusammenhang beschäftigen und klären, ob und wenn ja, wie die personenbezogenen Daten im Rahmen von Rechtsstreitigkeiten zulässigerweise verarbeitet werden dürfen und was hierbei vor allem dann zu beachten ist, wenn die Daten an Dritte zur Weiterverarbeitung übermittelt werden (z.B. von einem Verantwortlichen an seine Rechtsanwält*innen zur Verfolgung bzw. Verteidigung von Rechtsansprüchen).

Übermittlung und anschließende Verarbeitung von personenbezogenen Daten allgemein

Wie wir in unserem Beitrag zum Art. 6 DSGVO (hier) festgestellt haben, ist die Datenverarbeitung gem. Art. 6 Abs. 1 lit. f DSGVO rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der von der Datenverarbeitung betroffenen Person überwiegen.

In der Situation einer Rechtsverteidigung bzw. -verfolgung übermittelt ein Verantwortlicher alle Daten die zur Beurteilung des Sachverhalts notwendig sind, regelmäßig an eine*n Rechtsanwält*in. Dies können Informationen über Gegner*innen sein, die in vielen Fällen natürliche (also betroffene) Personen sein werden, oder es können personenbezogene Daten Dritter betroffen sein (beispielsweise Zeug*innen). Der*die Rechtsanwält*in agiert hierbei nicht etwas als Auftragsverarbeiter, sondern als eigenständige verantwortliche Stelle.

Dass Rechtsanwält*innen jeweils als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO handeln und nicht etwa im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DSGVO oder im Rahmen einer gemeinsamen Verantwortlichkeit gemäß Art. 26 DSGVO (mit der Mandantschaft), dürfte inzwischen als herrschende Meinung gelten (siehe hierzu beispielsweise Kühling/Buchner/ Hartung, 3. Aufl. 2020, DSGVO Art. 28 Rn. 47).

Beide, sowohl Mandant*innen als auch Rechtsanwält*innen können das berechtigte Interesse im Rahmen der Verarbeitung personenbezogener Daten gelten machen, so dass – sofern kein überwiegendes berechtigtes Interesse der betroffenen Person der Verarbeitung ihrer Daten entgegensteht – diese Verarbeitung rechtmäßig und damit zulässig ist.

Das berechtigte Interesse der Rechtsanwält*innen besteht darin, die vertraglichen Verpflichtungen gegenüber den Mandant*innen zu erfüllen (Beratung, Prozessführung sowie Sachvortrag vor Gericht). Wäre dies nicht möglich, könnten die Rechtsanwält*innen ihrer Tätigkeit nicht mehr nachkommen, wenn der Datenschutz ihnen verbieten würde, das, was die Mandantschaft mitteilt, zu verarbeiten. Zudem würden sie auch gegen den § 138 Abs, 2 sowie 3 Zivilprozessordnung (ZPO) verstoßen und sich als Mandantenvertretung haftbar machen, wenn sie den Vortrag der gegnerischen Partei nicht bestreiten und den Sachverhalt aus der Mandantenperspektive nicht schildern würden, weil sie es nicht dürften. Dafür ist der Datenschutz nicht gemacht worden.

Zur Rechtsverfolgung sowie -verteidigung müssen und dürfen die (normalen) personenbezogenen Daten regelmäßig „fließen“ und anschließend gemäß Art. 6 Abs. 1 lit. f DSGVO auch verarbeitet werden. Die Interessenabwägung dürfte nur dann zugunsten einer betroffenen Person (und nicht des Rechtsanwalts/der Rechtsanwältin) ausfallen, wenn die verwendeten Daten falsch wären oder wenn ihre Beschaffung rechtswidrig erfolgte (z.B. im Rahmen unzulässiger Detektivarbeit).

Übermittlung und Verarbeitung besonderer Kategorien personenbezogener Daten

Nicht so eindeutig ist jedoch die Rechtslage im Rahmen der Übermittlung und der anschließenden Verarbeitung der personenbezogenen Daten, die gemäß Art. 9 Abs. 1 DSGVO zu den sogenannten besonderen Kategorien personenbezogener Daten zählen.

Um welche Daten es sich dabei handelt und was im Rahmen der Verarbeitung dieser Daten allgemein zu beachten ist, haben wir ausführlich in unserem Artikel vom 17.02.2020 erläutert. Insbesondere Gesundheitsdaten werden häufig Gegenstand der verarbeiteten Daten sein, beispielsweise bei der Beweisführung in Fragen der Arzthaftung aufgrund möglicher Behandlungsfehler.

Da die gegnerische Seite eine Einwilligung zur Übermittlung und anschließenden Verarbeitung ihrer personenbezogenen Daten im Rahmen einer Rechtsstreitigkeit regelmäßig nicht erteilen wird, stellt sich nun die Frage, ob es eine andere Erlaubnisnorm gibt, auf die eine Verarbeitung der zu den besonderen Kategorien gehörenden Daten gestützt werden kann. Zur Erinnerung: In Art. 9 Abs. 1 wird zunächst jegliche Verarbeitung besonderer Kategorien personenbezogener Daten untersagt. In Abs. 2 werden dann einige Ausnahmen vom Verbot festgelegt.

In der Literatur wurde darauf verwiesen, dass hier die Regelung des Art. 9 Abs. 2 lit. f DSGVO greifen könnte, denn diese wäre als Erweiterung des Art. 6 Abs. 1 lit. f DS-GVO (berechtigte Interessen) für die oben vorgenannten Zwecke (Verteidigung und Verfolgung von Rechtsansprüchen) auf besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO zu verstehen.

Mit einem Urteil vom 19.01.2022 hat nun das Verwaltungsgericht (VG) Wiesbaden diese Rechtsauffassung bestätigt und festgestellt, dass die Verarbeitung besonderer Kategorien personenbezogener Daten auf Art. 9 Abs. 2 lit. f DSGVO gestützt werden kann und zulässig ist, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist (hierzu vgl. VG Wiesbaden, Urteil vom 19.01.2022 – 6 K 361/21.WI; abrufbar unter: https://openjur.de/u/2388105.html).

Eine Beschränkung hinsichtlich der Art und des Umfangs der Datenverarbeitung zur Rechtsverfolgung und -verteidigung (insbesondere durch Dritte) ergibt sich aus der gesetzlichen Forderung, dass die Verarbeitung zu diesen Zwecken „erforderlich“ sein muss. Die Erforderlichkeit wird man bei einer Datenverarbeitung durch bevollmächtigte Rechtsanwält*innen wohl grundsätzlich annehmen können, solange insbesondere das Prinzip der Datenminimierung sowie andere Datenschutzgrundsätze, die in Art. 5 Abs. 1 DSGVO geregelt sind, nicht verletzt werden.

Bezüglich des Begriffs „Erforderlichkeit“ und bzgl. der Datenschutzgrundsätze des Art. 5 Abs. 1 DSGVO verweisen wir jeweils auf unsere Artikel vom 14.01.2020, vom 13.09.2020 sowie vom 10.07.2019).

Auch die Verarbeitung besonderer Kategorien personenbezogener Daten durch andere Dritte wie Sachverständige oder Detekteien ist grundsätzlich auf Basis des Art. 9 Abs. 2 lit. f DSGVO möglich. Während die Erforderlichkeit bei der Beauftragung von Rechtsanwält*innen jedoch anerkannt ist, wird man diese bei anderen Dritten in jedem Einzelfall sehr sorgfältig prüfen müssen.

Fazit

Sofern ein Rechtsanspruch nur unter Verarbeitung von personenbezogenen Daten, einschließlich der besonderen Kategorien personenbezogener Daten, wie beispielswiese Gesundheitsdaten, durchgesetzt werden kann, dürfen diese Daten durch die beteiligten Akteure regelmäßig verarbeitet werden.

Allerdings wäre zu beachten, dass immer jeder Einzelfall zu betrachten ist, denn gegebenenfalls können die berechtigten Interessen einer betroffenen Person überwiegen oder aber auch der Zweckbindungsgrundsatz gegen eine Datenübermittlung sprechen. Bevor Daten an Dritte übermittelt werden, ist in jedem Einzelfall zu prüfen, ob die Übermittlung und anschließende Verarbeitung auch wirklich zulässig sind und die Datenschutzgrundsätze (insbesondere der Rechtmäßigkeitsgrundsatz) eingehalten werden.

Sofern in den obligatorischen Informationen zum Datenschutz gemäß der Artt. 13 und 14 DSGVO nicht bereits entsprechend informiert wurde, dass die Daten für die Zwecke des Rechtsschutzes genutzt werden können, müsste über diese Zweckänderung ebenfalls gemäß Art. 13 Abs. 3 DSGVO informiert werden.

______________________________________

Die bITs GmbH berät Ihre Kunden zu allen Themen des Datenschutzes und stellt auf Wunsch den externen Datenschutzbeauftragten.

Haben Sie weitere Fragen an uns? Gerne können Sie sich dazu an uns wenden. Hier finden Sie unsere Kontaktdaten. Unser Team stellt sich übrigens hier vor.

Und einen Podcast haben wir auch. Gemeinsam mit der Mauß Datenschutz GmbH veröffentlichen wir alle zwei Wochen jeweils donnerstags eine neue Folge. Hören Sie doch einfach mal rein oder abonnieren Sie uns – zum Beispiel hier.