Die Anforderungen an die Sicherheit der Verarbeitung personenbezogener Daten natürlicher Personen fordert, dass der Verantwortliche geeignete technische und organisatorische Maßnahmen trifft, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Was aber, wenn die betroffene Person das angebotene Schutzniveau gar nicht wünscht oder, zum Beispiel im Fall der Ende-zu-Ende-Verschlüsselung von E‑Mails, über die erforderlichen technischen Voraussetzungen schlicht nicht verfügt? Können Betroffene in diesen Fällen in die Herabsetzung des Schutzniveaus einwilligen?
“Das Grundrecht auf Datenschutz des Artikels. 8 der Charta der Grundrechte der Europäischen Union als primäres Schutzziel der DSGVO steht zur Disposition des Grundrechtsträgers, also der betroffenen Person.” – Matthias Herkert
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat zur Frage der Abdingbarkeit von technischen und organisatorischen Maßnahmen (TOMs) unlängst einen Vermerk veröffentlicht, der dem einzelnen Betroffenen in dieser Frage eine weitreichende Disposition über dessen Grundrecht auf Datenschutz gem. Art. 8 GRCh zugesteht.
Ist Artikel 32 DSGVO zwingendes oder dispositives Recht
Ausdrücklich weist der HmbBfDI darauf hin, dass bei der Frage, ob der gesetzliche Systemdatenschutz zwingendes, unabdingbares Recht sei, eine Unterscheidung zwischen der betroffenen Person und dem Verantwortlichen erfolgen müsse.
So lasse Artikel 32 DSGVO dem Verantwortlichen oder dem Auftragsverarbeiter bei der Festsetzung des angemessenen Schutzniveaus zwar einen Beurteilungsspielraum, die grundsätzliche Pflicht stünde indes nicht zur Disposition des Verantwortlichen.
Anders sei dies mit Blick auf die Einwilligungsorientierung des Artikels 8 Abs. 2 Satz 1 GRCh bei der betroffenen Person, der es unbenommen sei „in alle möglichen Formen von Verarbeitungen ihrer personenbezogenen Daten einzuwilligen, auch wenn diese möglicherweise von Außenstehenden als für die betroffene Person schädlich wahrgenommen werden“. Dem stünden auch die Regelungen der Art. 6, 7 DSGVO nicht entgegen, da diese nicht den Rechtskreis der betroffenen Person vergrößerten, sondern allein den des Verantwortlichen, indem sie weitere Rechtsgrundlagen vorsähen, auf denen der Verantwortliche eine Verarbeitung überhaupt durchführen könne.
So stünde die Einhaltung der Sicherheit der Verarbeitung bei einer konkreten Verarbeitung im Ergebnis grundsätzlich zur Disposition der betroffenen Person.
Dispositionsrecht des Betroffenen entbindet den Verantwortlichen nicht von seinen Pflichten
Im Weiteren weist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit darauf hin, dass ein möglicher, individueller und einwilligungsbasierter Verzicht eines Betroffenen den Verantwortlichen keinesfalls von seiner Pflicht zur Bereitstellung und Gewährleistung eines risikoadäquaten Schutzniveaus entbinde. Schlüssig argumentiert der HmbBfDI, dass die betroffene Person eine freie Entscheidung über einen möglichen Verzicht der Einhaltung der Vorgaben des Artikel 32 DSGVO nur dann treffen könne, wenn der Verantwortliche die im gesetzlichen Sinne angemessene technische und organisatorische Schutzniveau zumindest vorhalte und soweit auch bereits implementiert habe.
Die Voraussetzungen an die Wirksamkeit der Einwilligung gelten auch beim Verzicht
Mit Blick auf die Anforderungen an die Wirksamkeit der Einwilligung des Betroffenen in die Herabsetzung des Schutzniveaus überrascht es kaum, dass die Einwilligung in die technische Umsetzung einer Verarbeitung (mithin in das „Wie“ der Verarbeitung) mit denselben Maßstäben zu beurteilen sein soll wie die Frage, ob eine Datenverarbeitung überhaupt zulässig sei (also die Frage nach dem „Ob“ der Verarbeitung). Auch der Hinweis auf die zu fordernde Freiwilligkeit der Einwilligung erscheint im Vermerk des HmbBfDI deklaratorisch.
Fazit
Während noch vor etwa einem Jahr die Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschland darauf hinwies, die normierte Verpflichtung des Verantwortlichen, geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus zu treffen, sei zwingender Natur und stünde mithin nicht zur Disposition der an der Datenverarbeitung Beteiligten (wir haben in unserem Artikel „Datensicherheit kann nicht verhandelt werden“ berichtet), zeigt der Vermerk des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit neue Wege. So können Verantwortliche auf dieser Grundlage, bei kritischem und sogfältigem Verständnis der Ausführungen und unter Beachtung der aufgezeigten Grenzen und Voraussetzungen, mit betroffenen Personen auf individualvertraglicher Ebene Gestaltungen finden, welche den häufig ohnehin bestehenden Realitäten durchaus entgegenkommen mögen.
Was Sie noch interessieren könnte:
Einwilligung – Drahtseilakt zwischen rechtlicher Ausgestaltung und praktischer Handhabung
Es begegnet uns nahezu alltäglich – das Erfordernis der Einwilligung. Im beruflichen wie auch im privaten Kontext. In der datenschutzrechtlichen […]
Interne Mitteilungen über Beschäftigte
Manche Dinge sind so trivial, man macht sie einfach. Aus Nettigkeit, aus Rücksicht, aus Freude, weil man eben muss […]
EU-US Data Privacy Framework – was lange währt wird endlich gut?
Am 10.07.2023 verabschiedete die EU-Kommission den neuen Angemessenheitsbeschluss für die USA – das Transatlantic Data Privacy Framework, kurz TADPF. […]
