Praxishandbuch DSGVO

bb) Unterrichtungspflicht des Verantwortlichen

224

Kann der Verantwortliche nachweisen, dass er nicht (mehr) in der Lage ist, die betroffene Person zu identifizieren, muss er diese gem. Art. 11 Abs. 2 S. 1 DSGVO hierüber – sofern dies möglich ist – informieren.

225

Diese Verpflichtung erscheint – auch wenn sie unter dem Vorbehalt der Möglichkeit steht – zunächst widersprüchlich, da der Verantwortliche die betroffene Person i.d.R. identifizieren muss, um sie informieren zu können – wozu er in der vorliegenden Fallkonstellation ja gerade nicht (mehr) in der Lage ist. Vor diesem Hintergrund ist bisher auch noch nicht eindeutig geklärt, wann eine Informationspflicht nach Art. 11 Abs. 2 S. 1 DSGVO besteht – eine Information also möglich i.S.d. Art. 11 Abs. 2 S. 1 DSGVO ist.

226

Teilweise wird in der Literatur verlangt, dass der Verantwortliche die betroffene Person informieren muss, wenn er zunächst identifizierende Merkmale über die betroffene Person verarbeitet, er sie dann aber löschen möchte, weil sie für den mit der Verarbeitung verfolgten Zweck nicht mehr erforderlich sind. In einem solchen Fall müsse der Verantwortliche die betroffene Person vor der Löschung der identifizierenden Merkmale darüber informieren.348 Der Sinn und Zweck eines solchen Hinweises des Verantwortlichen nach Art. 11 Abs. 2 S. 1 DSGVO würde dann darin bestehen, dass die betroffene Person darüber informiert wird, dass der Verantwortliche künftig weniger Informationen über sie speichert und sie ggf. – wie unten weiter ausgeführt wird – ihre Betroffenenrechte nur noch unter bestimmten Voraussetzungen geltend machen kann.349 Angesichts des geringen Nutzens dieser Information erscheint eine solche Informationspflicht allerdings zu bürokratisch.

227

Zudem wird in der datenschutzrechtlichen Literatur für die Informationspflicht nach Art. 11 Abs. 2 DSGVO auch der Beispielsfall genannt, dass ein Verantwortlicher u.a. Kontaktdaten verarbeitet, mittels derer er die betroffene Person kontaktieren, sie aber selbst nicht identifizieren kann.350

228

Teilweise wird der Hauptanwendungsfall der Informationspflicht nach Art. 11 Abs. 2 DSGVO auch darin gesehen, dass eine betroffene Person ihre Betroffenenrechte nach Art. 15ff. DSGVO geltend macht und einen entsprechenden Antrag beim (vermeintlich) Verantwortlichen stellt, der aber dann den entsprechenden Datensatz mangels Verarbeitung von identifizierenden Merkmalen der Person nicht bestimmen kann.351 Im letzteren Fall folgt eine Informationspflicht aber auch (schon) aus Art. 12 Abs. 4 DSGVO.352

229

Jedenfalls sollten Unternehmen (möglicherweise) betroffene Personen auch (schon) im Rahmen der nach Art. 13 bzw. Art. 14 DSGVO zu erteilenden Informationen über die ggf. eingeschränkte Möglichkeit zur Geltendmachung der Betroffenenrechte nach Art. 15–20 DSGVO und über den Zeitpunkt informieren, ab dem der Verantwortliche die betroffene Person nicht mehr identifizieren kann, z.B. weil die identifizierenden Merkmale gelöscht wurden.353

Praxishinweis

Unternehmen, die die identifizierenden Merkmale der betroffenen Personen löschen oder nur Kontaktdaten der betroffenen Person (ohne entsprechende Identifizierungsmerkmale) verarbeiten, sollten sich ggf. überlegen, zur Haftungsvermeidung bis auf Weiteres die betroffenen Personen nach Maßgabe von Art. 11 Abs. 2 S. 1 DSGVO zu informieren. Allerdings sollten sie zuvor prüfen, ob die Datenschutzaufsichtsbehörden in der Zwischenzeit Hinweise erteilt haben bzw. Rechtsprechung ergangen ist, die für mehr Klarheit bei der Auslegung von Art. 11 Abs. 2 S. 1 DSGVO sorgen/sorgt. Gegebenenfalls könnte es für besonders betroffene Unternehmen auch überlegenswert sein, das Vorgehen mit der zuständigen Datenschutzaufsichtsbehörde abzustimmen.

Sind Unternehmen nach Art. 11 Abs. 2 S. 1 DSGVO zur Information der betroffenen Person verpflichtet, sollten sie zudem rechtzeitig geeignete Verfahren einführen, um die Erfüllung dieser Pflicht sicherzustellen.

cc) Befreiung des Verantwortlichen von der Pflicht, die Betroffenenrechte gem. Art. 15–20 DSGVO einzuhalten

230

Allerdings wird der Verantwortliche nach Art. 11 Abs. 2 DSGVO nicht nur mit der soeben dargestellten Nachweis- und Informationspflicht belastet. Sind die Voraussetzungen des Art. 11 Abs. 1 DSGVO erfüllt, ist also für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person nicht oder nicht mehr erforderlich, und kann der Verantwortliche nachweisen, dass er nicht mehr in der Lage ist, die betroffene Person zu identifizieren,354 und hat der Verantwortliche die betroffene Person hierüber nach Maßgabe von Art. 11 Abs. 2 S. 1 DSGVO – sofern möglich – informiert, entbindet ihn Art. 11 Abs. 2 S. 2 DSGVO dann auch konsequenterweise davon, den in Art. 15–20 DSGVO enthaltenen Betroffenenrechten (z.B. Auskunfts-, Berichtigungs- und Löschungsrecht) nachkommen zu müssen.355

231

Diese Privilegierung verschafft dem Verantwortlichen aber nur dann einen Vorteil, wenn die von ihm verarbeiteten Daten (immer noch) als personenbezogen zu qualifizieren sind, da andernfalls der sachliche Anwendungsbereich der DSGVO gar nicht eröffnet wäre und der Verantwortliche die Betroffenenrechte ohnehin nicht erfüllen müsste.

232

Auch wenn der Verantwortliche nachweislich nicht (mehr) in der Lage ist, die betroffene Person zu identifizieren, die Löschung/Anonymisierung der identifizierenden Angaben (an sich) aber nicht nachweisen kann, ist er nach hier vertretener Ansicht von der Erfüllung der Betroffenenrechte nach Art. 15–20 DSGVO befreit.

233

Nicht erfasst werden von Art. 11 Abs. 2 S. 2 DSGVO die Informationspflichten gem. Art. 13 und 14 DSGVO gegenüber der betroffenen Person. Mithin ist der Verantwortliche nach hier vertretener Ansicht nicht von der Erfüllung der Informationspflichten gem. Art 13 bzw. 14 DSGVO befreit, wenn der Verantwortliche (nur) nicht (mehr) in der Lage ist, die betroffene Person zu identifizieren. Vielmehr kommt eine Befreiung von den Informationspflichten gem. Art. 13 bzw. 14 DSGVO nach hier vertretener Auffassung erst dann in Betracht, wenn er die betroffene Person tatsächlich nicht (mehr) kontaktieren kann.356

dd) Ausweitung der Befreiung des Verantwortlichen, die Betroffenenrechte einzuhalten, gem. Art. 12 Abs. 2 S. 2 DSGVO

234

Art. 12 Abs. 2 S. 2 DSGVO erweitert die Rechtsfolge des Art. 11 Abs. 2 S. 2 DSGVO sogar noch und erlaubt dem Verantwortlichen darüber hinaus auch, sich zu weigern, einem Antrag der betroffenen Person nachzukommen, wenn diese ihre in Art. 21 und 22 DSGVO enthaltenen Betroffenenrechte wahrnehmen möchte (Widerspruchsrecht und Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt).357

ee) Bereitstellung identifizierender Merkmale durch die betroffene Person

235

Möchte die betroffene Person ihre Rechte aber dennoch ausüben, obwohl der Verantwortliche sie nicht (mehr) identifizieren kann, gibt ihr Art. 11 Abs. 2 S. 2 Hs. 2 DSGVO das Recht, dem Verantwortlichen zusätzliche Informationen zur Ermöglichung ihrer Identifizierung zur Verfügung zu stellen, damit der Verantwortliche der betroffenen Person die über sie verarbeiteten Daten (wieder) zuordnen kann.358 Auf diese Möglichkeit ist die betroffene Person – z.B. im Rahmen der Unterrichtung nach Art. 11 Abs. 2 S. 1 DSGVO – hinzuweisen.359 Ist sodann eine Identifizierung möglich, muss der Verantwortliche den Rechten der betroffenen Person nach Art. 15–22 DSGVO nachkommen.360

Praxishinweis

Kann sich ein Unternehmen auf Art. 11 Abs. 2 S. 2 DSGVO berufen, muss es rechtzeitig geeignete Verfahren einrichten, um den Rechten der betroffenen Personen nach Art. 15–20 DSGVO und – aufgrund der Bezugnahme auf Art. 11 Abs. 2 DSGVO in Art. 12 Abs. 2 S. 2 DSGVO – auch gem. Art. 21 und 22 DSGVO nachkommen zu können, wenn diese entsprechende Zusatzinformationen zu ihrer Identifizierung vorlegen. Die Annahme solcher Zusatzinformationen darf durch das Unternehmen gem. Erwägungsgrund 57 S. 2 nicht verweigert werden.361

11. Besondere Verarbeitungssituationen

236

Im Hinblick auf besondere Verarbeitungssituationen enthält die DSGVO in Art. 85–91 zudem spezielle Öffnungsklauseln, die es der EU und/oder den Mitgliedstaaten erlauben, spezielle Regelungen für diese Situationen zu erlassen. Teilweise wird es der EU bzw. den Mitgliedstaaten in diesem Zusammenhang auch erlaubt, spezielle Regelungen zur Zulässigkeit der Datenverarbeitung für den jeweiligen besonderen Zweck zu erlassen.

237

Dies gilt insbesondere für die folgenden Verarbeitungssituationen:

 – Verarbeitung zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken (Art. 85 DSGVO),362

 – Zugang der Öffentlichkeit zu amtlichen Dokumenten (Art. 86 DSGVO),363

 – Verarbeitung einer nationalen Kennziffer oder anderer Kennzeichen von allgemeiner Bedeutung (Art. 87 DSGVO),364

 – Datenverarbeitung im Beschäftigungskontext (Art. 88 DSGVO).365

Nationale Regelungen in Deutschland

238

Der deutsche Gesetzgeber hat von dieser Ermächtigung in Art. 88 DSGVO Gebrauch gemacht und die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses in § 26 BDSG speziell geregelt.366

239

Erlassen die EU oder die Mitgliedstaaten keine speziellen Regelungen auf Grundlage dieser Öffnungsklauseln, gelten die allgemeinen Vorgaben der DSGVO im Hinblick auf die Zulässigkeit der Datenverarbeitung, also insbesondere die Vorgaben aus Art. 6ff. und ggf. auch Art. 9 DSGVO.

240

Art. 89 Abs. 1 DSGVO enthält zudem noch den Vorbehalt, dass die Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person gem. der DSGVO unterliegt.367

12. Zulässigkeit der Verarbeitung personenbezogener Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden

241

Seitdem die DSGVO anwendbar ist, also seit dem 25.5.2018, ist die Verarbeitung personenbezogener Daten im Rahmen ihres Anwendungsbereichs nur noch dann rechtmäßig, wenn sie nach den Vorgaben der DSGVO zulässig ist. Dies gilt auch für die Verarbeitung von „Altdaten“, die vor jenem Zeitpunkt erhoben wurden. So diente die zweijährige Übergangsphase zwischen Inkrafttreten und Anwendbarkeit der DSGVO gerade auch dazu, ggf. notwendige Anpassungen vorzunehmen bzw. Maßnahmen zu treffen, damit die Verarbeitung (auch) den Vorgaben der DSGVO entspricht.

13. Sanktionierung

242

Verstöße gegen die Vorgaben aus Art. 6 und Art. 9 DSGVO können nach Art. 83 Abs. 5 lit. a DSGVO mit Geldbußen von bis zu 20 Mio. EUR oder im Fall eines Unternehmens von bis zu vier Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher der Beträge höher ist – geahndet werden.368

12 Siehe zur Funktion und Organisation sowie den Aufgaben des Europäischen Datenschutzausschusses ausführlich Kap. 16 Rn. 14f. 13 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-b-adopted_after_public_consultation_de.pdf. 14 Siehe z.B. Kühling/Buchner/Dix, Art. 70 DSGVO Rn. 10. 15 So z.B. auch Laue/Kremer/Kremer, § 2 Rn. 30; Plath/Plath, Art. 6 DSGVO Rn. 11. 16 So für die Anbahnung Plath/Plath, Art. 6 DSGVO Rn. 11. 17 So auch Laue/Kremer/Kremer, § 2 Rn. 30. 18 Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 33; Taeger weist zu Recht darauf hin, dass hiervon – der deutschen Besonderheit des Abstraktionsprinzips folgend – sowohl das Erfüllungs- als auch das Verpflichtungsgeschäft umfasst ist, Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 59. 19 Siehe z.B. Plath/Plath, Art. 6 DSGVO Rn. 11; Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 59; Gola/Schulz, Art. 6 DSGVO Rn. 28; a.A. im Hinblick auf die Beendigung des Vertrages: Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 6 DSGVO Rn. 30; siehe hierzu auch die Ausführungen des Europäischen Datenschutzausschusses, der die Auffassung vertritt, dass nur Datenverarbeitungen, die zur Erfüllung des Vertrages erforderlich sind, auf diese Rechtsgrundlage gestützt werden können. Auf sonstige Maßnahmen, die durch eine Nichterfüllung ausgelöst werden, oder auf andere Vorkommnisse bei der Erfüllung eines Vertrages sei sie jedoch nicht automatisch anwendbar, siehe Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 13. Die Verarbeitung personenbezogener Daten zu Zwecken der Erfüllung von Gewährleistungsansprüchen oder einer Garantie kann aber wohl auch nach Auffassung des EDSA ggf. auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, Europäischer Datenschutzausschuss, a.a.O., S. 13. 20 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 13f. 21 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 14. 22 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 14. 23 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 14. 24 Siehe Kap. 6 Rn. 109ff. 25 Siehe hierzu unten Rn. 105ff. 26 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 13. 27 So auch Plath/Plath, Art. 6 DSGVO Rn. 11 i.V.m. Plath/Kamlah, Art. 17 DSGVO Rn. 9; Ehmann/Selmayr/Kamann/Braun, Art. 17 DSGVO Rn. 21; a.A. Kühling/Buchner/Herbst, Art. 17 DSGVO Rn. 19, nach dem eine Interessenabwägung erforderlich ist, bei der es auf die Wahrscheinlichkeit der Geltendmachung von Ansprüchen sowie auf das mögliche Gewicht dieser Ansprüche und auf das Ausmaß der Beeinträchtigung der Belange der betroffenen Person durch eine weitere Speicherung ankomme; vgl. auch Simitis/Hornung/Spiecker gen. Döhmann/Dix, Art. 17 DSGVO Rn. 38. 28 Die in Art. 17 Abs. 3 lit. e DSGVO normierte Ausnahme von der Löschpflicht, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, gilt nur für den Fall, dass eine solche rechtliche Auseinandersetzung hinreichend wahrscheinlich ist, siehe Kap. 6 Rn. 426. 29 Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 33; Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 6 DSGVO Rn. 24. 30 BeckOK-DS/Albers/Veit, Art. 6 DSGVO Rn. 30. 31 So auch Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 29; BeckOK-DS/Albers/Veit, Art. 6 DSGVO Rn. 30, a.A. Gola/Schulz, Art. 6 DSGVO Rn. 29. 32 Siehe hierzu die Ausführungen unter Rn. 33ff. 33 So auch Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 16. 34 So auch Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 28; BeckOK-DS/Albers/Veit, Art. 6 DSGVO Rn. 30; a.A. Gola/Schulz, Art. 6 DSGVO Rn. 29, der auch einseitige Schuldverhältnisse als „Vertrag“ i.S.d. Art. 6 Abs. 1 lit. b DSGVO ansieht. 35 Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 17. 36 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 6; siehe auch (einschränkend): Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 31; Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 16. 37 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 10. 38 So auch Laue/Kremer/Kremer, § 2 Rn. 30. 39 Siehe z.B. Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 15; Laue/Kremer/Kremer, § 2 Rn. 30. 40 Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 15; Plath/Plath, Art. 6 DSGVO Rn. 12. Siehe hierzu aber auch die nationale Regelung in § 31 BDSG (siehe hierzu die Ausführungen unter Rn. 118ff.). 41 Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 15, wenngleich es nach dem Wortlaut der Vorschrift entgegen der dort vertretenen Auffassung nicht erforderlich ist, dass die Maßnahme derart „nah“ am Vertragsschluss steht, dass keine weiteren Zwischenschritte mehr erforderlich sind. 42 Plath/Plath, Art. 6 DSGVO Rn. 12; Laue/Kremer/Kremer, § 2 Rn. 30. 43 Laue/Kremer/Kremer, § 2 Rn. 30. 44 So auch Laue/Kremer/Kremer, § 2 Rn. 30. 45 Siehe BAG, Urt. v. 22.10.1986 – 5 AZR 660/85, NZA 1987, 415, 416 zu § 23 BDSG a.F.; BeckOK-DS/Wolff, A. Prinzipien Teil B Rn. 48. 46 Extensives Verständnis z.B. VG Mainz, ZD 2020, 376, 377 (objektiv sinnvoll); BeckOK-DS/Wolff, A. Prinzipien Teil B Rn. 60; Gola/Schulz, Art. 6 DSGVO Rn. 20 (objektiv tauglich); Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 49 (objektiv sinnvoll); restriktiv z.B. Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 11; Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 32; BeckOK-DS/Albers/Veit, Art. 6 Rn. 16f.; Ehmann/Selmayr/Heberlein, Art. 6 DSGVO Rn. 13. 47 EuGH, Urt. v. 11.12.2019 – C-708/18, ZD 2020, 148, 149. 48 So z.B. Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 32; BeckOK-DS/Albers/Veit, Art. 6 DSGVO Rn. 16. 49 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 11. 50 EuGH, Urt. v. 11.12.2019 – C-708/18, ZD 2020, 148, 149. Eine Verhältnismäßigkeitsprüfung z.B. ablehnend Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 49; in konkreten Konstellationen befürwortend z.B. BeckOK-DS/Albers/Veit, Art. 6 DSGVO Rn. 16. 51 BeckOK-DS/Wolff, A. Prinzipien Teil B Rn. 61: „datenschutzschonende Alternative“. 52 So z.B. auch BeckOK-DS/Wolff, A. Prinzipien Teil B Rn. 61ff.; Gola/Schulz, Art. 6 DSGVO Rn. 20; Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 45; a.A. z.B. Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 32. 53 Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 45: „wertende Betrachtung“. 54 Für Kriterien zur Ermittlung datenschutzschonender Alternativen siehe die weiteren Ausführungen im Anschluss; eine Liste mit Kriterien findet sich z.B. auch bei BeckOK-DS/Wolff, A. Prinzipien Teil B Rn. 61.1. 55 Siehe ausführlich hierzu: BeckOK-DS/Wolff, A. Prinzipien Teil B Rn. 61ff., nach dem das „Gebot der datenschutzschonenden Alternative“ vorsichtig anzuwenden sei; insbesondere dürfe das Selbstorganisationsrecht des Unternehmens nicht zu stark eingeschränkt werden – so dürfe das Unternehmen z.B. den Zweck, der erreicht werden soll, grundsätzlich auch selbst festlegen (Rn. 62ff.); vgl. auch Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 49. 56 EuGH, Urt. v. 11.12.2019 – C-708/18, ZD 2020, 148, 149. 57 EuGH, Urt. v. 11.12.2019 – C-708/18, ZD 2020, 148, 150. Es ist davon auszugehen, dass der EuGH auch die Erforderlichkeit der alternativen Datenverarbeitung an deren Verhältnismäßigkeit knüpft. 58 So bezieht sich das Kriterium „vernünftigerweise“ nach hiesigem Verständnis nur auf das (ebenso) wirksame Erreichen des verfolgten Zwecks durch das alternative Mittel und nicht auf die Einführung des alternativen Mittels an sich – was zur Folge gehabt hätte, dass nur dann andere Mittel einzusetzen gewesen wären, wenn dies „vernünftigerweise“ erfolgt wäre. Ebenso beziehen sich die Ausführungen des EuGH zur Verhältnismäßigkeit nach hiesigem Verständnis nur auf die Datenverarbeitung, nicht aber auf die Einführung alternativer Mittel an sich, woraufhin ggf. nur verhältnismäßige alternative Mittel einzuführen wären. Zu argumentieren, dass die Kriterien „vernünftigerweise“ oder der „Verhältnismäßigkeit“ nach Ansicht des EuGH auch im Hinblick auf die Frage gelten sollen, unter welchen Voraussetzungen der Verantwortliche schonendere Alternativen einsetzen muss, damit eine Datenverarbeitung erforderlich sein kann, würde die Ausführungen des EuGH nach hier vertretener Lesart wohl in unzulässiger Weise überdehnen. Eventuell kann aber aus den Ausführungen des Europäischen Datenschutzausschusses zur Erforderlichkeit einer Videoüberwachung auf Basis von Art. 6 Abs. 1 lit. f DSGVO geschlussfolgert werden, dass der EDSA dort die Auffassung vertritt, dass ein Verantwortlicher (nur) dann schonendere Alternativen einsetzen muss, wenn diese „vernünftig“ sind, Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 11; siehe hierzu (aber) auch Rn. 44ff., insb. Rn. 46. 59 In seinen Guidelines 4/2019 on Article 25 Data Protection by Design and by Default nennt der Europäische Datenschutzausschuss u.a. die Verwendung aktueller und angemessener Technologien zur Datenvermeidung bzw. -minimierung als ein mögliches Schlüsselelement zur Erfüllung der Pflichten nach Art. 25 DSGVO, Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 21. Hieraus lässt sich nach hier vertretener Ansicht allerdings nicht entnehmen, dass der EDSA verlangt, dass stets – ohne Rücksicht auf weitere Umstände und Faktoren – die jeweils „schonendste“ Alternative/Technologie eingesetzt werden muss. 60 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 9. 61 Europäischer Datenschutzbeauftragter, Beurteilung der Erforderlichkeit von Maßnahmen, die das Grundrecht auf Schutz personenbezogener Daten einschränken: Ein Toolkit, Stand: 11.4.2017, https://edps.europa.eu/sites/edp/files/publication/17-06-01_necessity_toolkit_final_de.pdf, zuletzt abgerufen am 11.1.2021. 62 So beschäftigt sich der EDSA in seinen Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte mit der Erforderlichkeit einer Videoüberwachung auf Basis von Art. 6 Abs. 1 lit. f DSGVO. In diesem Zusammenhang verlangt er, dass Verantwortliche im Einzelfall prüfen müssen, ob bestimmte alternative Maßnahmen eine vernünftige Lösung darstellen können. Eventuell kann hieraus abgeleitet werden, dass der EDSA zumindest in diesem Zusammenhang die Auffassung vertritt, dass ein Verantwortlicher schonendere Alternativen (nur dann) einführen muss, wenn diese „vernünftig“ sind, Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 11. 63 Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 21. 64 Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 12, 21. 65 Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 21. 66 Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 13. 67 Auch wenn die DSGVO – anders als z.B. das BDSG a.F. – keinen ausdrücklich normierten Direkterhebungsgrundsatz enthält, kann es zumindest nach Auffassung des Europäischen Datenschutzausschusses aus dem Rechtmäßigkeitsgrundsatz nach Art. 5 Abs. 1 lit. a DSGVO folgen, dass Daten – unter gewissen Umständen – direkt von der betroffenen Person zu erheben sind, Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25, Data Protection by Design and by Default, Version 2.0, S. 17. Da die DSGVO aber gerade keinen ausdrücklichen Direkterhebungsgrundsatz beinhaltet, ist diese Forderung nach hier vertretener Ansicht mit Augenmaß zu betrachten. 68 In seinen Guidelines 4/2019 on Article 25 Data Protection by Design and by Default nennt der Europäische Datenschutzausschuss u.a. die Verwendung aktueller und angemessener Technologien zur Datenvermeidung bzw. -minimierung als ein mögliches Schlüsselelement zur Erfüllung der Pflichten nach Art. 25 DSGVO, Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 21. 69 Weitere Kriterien finden sich z.B. bei BeckOK-DS/Wolff, A. Prinzipien Teil B Rn. 61.1. 70 Insbesondere sollten Unternehmen ganz generell Technologien verwenden, die möglichst dem state-of-the-art im Hinblick auf Datenvermeidung und -minimierung entsprechen. 71 Nach dem Europäischen Datenschutzausschuss kann eine Maßnahme zur Einhaltung der Pflichten aus Art. 25 DSGVO in diesem Zusammenhang auch darin bestehen, die Datenverarbeitung so zu gestalten, dass der Kreis der zugriffsberechtigten Personen auf ein Minimum beschränkt wird, Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 21. 72 Siehe hierzu ausführlich Kap. 6 Rn. 367ff., siehe insb. Art. 17 Abs. 1 lit. a DSGVO. Die Löschung kann nach hier vertretener Ansicht auch durch eine Anonymisierung erreicht werden, siehe Kap. 6 Rn. 410. Damit die Löschverpflichtung eingehalten werden kann, sind (technische) Lösungen erforderlich, welche eine Datenlöschung ermöglichen sowie i.d.R. interne Löschkonzepte, Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 25; siehe ausführlich Kap. 6 Rn. 390. 73 So noch zu § 28 BDSG a.F.: BeckOK-DS/Wolff, § 28 BDSG Rn. 35; zu Art. 6 Abs. 1 lit. b DSGVO z.B. Gola/Schulz, Art. 6 DSGVO Rn. 38. 74 Siehe z.B. Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 53ff.; siehe auch Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 47ff. 75 Siehe z.B. Abel, ZD 2018, 103, 106; Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 51ff. Siehe zu Bonitätsabfragen aber auch die nationalen Vorschriften in § 31 BDSG (siehe Rn. 118ff.). Siehe zur Zulässigkeit der in den damaligen Apple-Datenschutzrichtlinien beschriebenen Datenverarbeitungen auf Basis von Art. 6 Abs. 1 lit. b DSGVO, insb. im Hinblick auf deren Erforderlichkeit: KG Berlin, Urt. vom 27.12.2018 – 23 U 196/13, ZD 2019, 272, 274. So lehnte das Gericht in diesem Fall z.B. die Zulässigkeit der Datenverarbeitung auf Basis von Art. 6 Abs. 1 lit b DSGVO mangels Erforderlichkeit für die Vertragserfüllung ab, soweit sie zu internen Zwecken, zur Produktverbesserung oder zu Werbezwecken erfolgte. Siehe aber auch das OLG Wien zur Datenverarbeitung durch Facebook, insb. zu Werbezwecken, auf Basis von Art. 6 Abs. 1 lit. b DSGVO und dabei die Vorschrift extensiv auslegend: OLG Wien, Urt. v. 7.12.2020 – 11 R 153/20f, 154/20b, S. 28, abrufbar unter: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf. Die Entscheidung des OLG Wien ist zum Zeitpunkt des Redaktionsschlusses allerdings noch nicht rechtskräftig. 76 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 11. Siehe zu der Thematik auch das KG Berlin im Hinblick auf die in den damaligen Apple-Datenschutzrichtlinien beschriebenen Datenverarbeitungen auf Basis von Art. 6 Abs. 1 lit. b DSGVO, insb. bzgl. deren Erforderlichkeit: KG Berlin, Urt. vom 27.12.2018 – 23 U 196/13, ZD 2019, 272, 274. So lehnte das Gericht in diesem Fall z.B. die Zulässigkeit der Datenverarbeitung auf Basis von Art. 6 Abs. 1 lit b DSGVO mangels Erforderlichkeit für die Vertragserfüllung ab, soweit sie zu internen Zwecken, zur Produktverbesserung oder zu Werbezwecken erfolgte. Siehe aber auch das OLG Wien im Hinblick auf die Datenverarbeitung durch Facebook, insb. zu Werbezwecken, auf Basis von Art. 6 Abs. 1 lit. b DSGVO und dabei die Vorschrift extensiv auslegend: OLG Wien, Urt. v. 7.12.2020 – 11 R 153/20f, 154/20b, S. 28, abrufbar unter: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf. Die Entscheidung des OLG Wien ist zum Zeitpunkt des Redaktionsschlusses allerdings nicht rechtskräftig. 77 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 11; BeckOK-DS/Albers/Veit, Art. 6 DSGVO Rn. 32. Die Kriterien wurden hier leicht abgewandelt, da sich die Ausführungen des EDSA auf Online-Dienste beziehen. 78 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 11. 79 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 11. 80 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 13. 81 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 10f. 82 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 11. 83 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 12. 84 Hierzu ausführlich Kap. 17 A. Siehe in diesem Zusammenhang aber auch das OLG Wien zur Datenverarbeitung durch Facebook, insb. zu Werbezwecken, auf Basis von Art. 6 Abs. 1 lit. b DSGVO und dabei die Vorschrift extensiv auslegend: OLG Wien, Urt. v. 7.12.2020 – 11 R 153/20f, 154/20b, S. 28, abrufbar unter: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf. Das Urteil ist zum Zeitpunkt des Redaktionsschlusses allerdings noch nicht rechtskräftig. 85 Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 12 und 15ff. 86 Siehe Rn. 16. 87 Die Verarbeitung personenbezogener Daten zum Zweck der Erfüllung vertraglicher Verpflichtungen kann vielmehr auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden; siehe auch Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 16. 88 So auch Laue/Kremer/Kremer, § 2 Rn. 32. 89 Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 16, 35f., in Deutschland sowohl Bundes- als auch Landesrecht sowie Satzungen der Kommunen oder von anderen juristischen Personen des öffentlichen Rechts. 90 Siehe ausführlich Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 69ff.; Gola/Schulz, Art. 6 DSGVO Rn. 98ff.; a.A. z.B. Laue/Kremer/Kremer, § 2 Rn. 35. Siehe ausführlich zur Verarbeitung von Beschäftigtendaten auf Grundlage von Tarifverträgen und Betriebsvereinbarungen Kap. 15 Rn. 54ff. 91 Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 16, 36; Laue/Kremer/Kremer, § 2 Rn. 35. 92 Siehe ausführlich hierzu mit entsprechender Rechtsprechungsübersicht: Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 78. 93 Plath/Plath, Art. 6 DSGVO Rn. 39; Laue/Kremer/Kremer, § 2 Rn. 32; Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 17. Für eine ausführliche Aufzählung siehe z.B. auch Kühling/Buchner/Buchner/Petri, Art. 6 Rn. 96ff. 94 Zum Erforderlichkeitsgrundsatz siehe ausführlich Rn. 37ff.; siehe zu der bei dieser Erlaubnisalternative bestehenden strengen Beschränkung der zu verarbeitenden Daten: Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 73ff. 95 Diese Alternative gilt gem. Alt. 6 Abs. 1 UAbs. 2 DSGVO nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. 96 Siehe hierzu ausführlich Rn. 89ff.; Ziegenhorn/von Heckel, NVwZ 2016, 1585, 1588. 97 Diese Bezeichnung verwendend z.B. Plath/Plath, Art. 6 DSGVO Rn. 47; Laue/Kremer/Kremer, § 2 Rn. 37. 98 Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 90. 99 Siehe hierzu ausführlich Rn. 160ff. 100 Siehe hierzu ausführlich Rn. 209ff. Art. 10 DSGVO statuiert hierfür zusätzliche Anforderungen. 101 So z.B. auch EuGH, Urt. v. 11.12.2019 – C-708/18, ZD 2020, 148, 149 noch zu Art. 7 lit. f DSGVO. Das BVerwG nimmt nur eine zweistufige Prüfung an, BVerwG, Urt. v. 27.3.2019 – 6 C 2/18, NJW 2019, 2556, 2562. 102 Plath/Plath, Art. 6 DSGVO Rn. 52ff.; Laue/Kremer/Kremer, § 2 Rn. 39. Siehe auch Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 9 („rechtliche, wirtschaftliche oder immaterielle Interessen“), teilweise unter Verweis auf den EuGH. Erwägungsgrund 47 DSGVO ist insoweit missverständlich, als dass dort ausgeführt wird, dass ein berechtigtes Interesse beispielsweise vorliegen könne, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z.B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht. Diese Beziehung an sich ist jedoch kein berechtigtes Interesse. Die Beziehung ist vielmehr erst im Rahmen der Interessenabwägung zu berücksichtigen, siehe Plath/Plath, Art. 6 DSGVO Rn. 53, a.A. und insoweit ein eigenständiges berechtigtes Interesse annehmend: Simitis/Hornung/Spiecker gen. Döhmann/Ehmann, Art. 6 DSGVO Anhang 3 Rn. 26. Siehe zu den berechtigten Interessen i.S.d. Art. 7 lit. f Datenschutzrichtlinie 95/46/EG auch EuGH, Urt. v. 11.12.2019 – C-708/18, ZD 2020, 148, 149, dessen Ausführungen insoweit aber auf Art. 6 Abs. 1 lit. f DSGVO übertragbar sein dürften. 103 BVerwG, Urt. v. 27.3.2019 – 6 C 2/18, NJW 2019, 2556, 2562. 104 Siehe hierzu ausführlich Kap. 8 Rn. 58ff. 105 Ausführlicher hierzu Erwägungsgrund 49. 106 Siehe auch Laue/Kremer/Kremer, § 2 Rn. 37. 107 Siehe zu der folgenden Liste: Taeger/Gabel/Taeger, 2. Aufl., § 28 BDSG Rn. 66ff. 108 Siehe hierzu ausführlich Kap. 17 Rn. 125ff. 109 Siehe hierzu auch Kap. 8 Rn. 54. 110 Siehe aber die nationale Regelung in § 31 BDSG; siehe hierzu die Ausführungen unter Rn. 118ff. 111 Siehe aber die nationale Regelung in § 4 BDSG; siehe hierzu die Ausführungen unter Rn. 113ff. 112 Siehe aber die nationale Regelung in § 30 BDSG über Verbraucherkredite für Stellen, die geschäftsmäßig personenbezogene Daten, die zur Bewertung der Kreditwürdigkeit von Verbrauchern genutzt werden dürfen, zum Zweck der Übermittlung erheben, speichern oder verändern. 113 Vgl. auch Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 31. 114 Siehe hierzu die detaillierten Ausführungen unter Rn. 37ff., die insoweit entsprechend gelten. 115 EuGH, Urt. v. 11.12.2019 – C-708/18, ZD 2020, 148, 149f. Die Wertungen auf Basis der „alten Rechtslage“ dürften grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO übertragbar sein. Siehe ausführlich zu der Frage, inwieweit Verantwortliche verpflichtet sein können, schonendere Alternativen zu der geplanten/bestehenden Datenverarbeitung einzuführen, Rn. 41ff. Siehe auch Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 10f. 116 Nicht eindeutig: Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 148, die zumindest erst einmal davon ausgehen, dass die Interessen der betroffenen Person schutzbedürftig seien und das Datenschutzrecht den Interessen an der Durchführung von Datenverarbeitungen Grenzen setze. 117 A. A. BVerwG, Urt. v. 27.3.2019 – 6 C 2/18, NJW 2019, 2556, 2562, nach dem die berechtigten Interessen an der Datenverarbeitung überwiegen müssen. Dies widerspricht aber dem ausdrücklichen Wortlaut von Art. 6 Abs. 1 lit. f DSGVO. 118 Siehe ausführlich zu diesem Kriterium z.B.: Gola/Schulz, Art. 6 DSGVO Rn. 63; Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 13. Auch der jeweilige Erhebungs- und Verarbeitungskontext ist hierbei zu beachten, Gola/Schulz, Art. 6 DSGVO Rn. 63. 119 Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 122; Gola/Schulz, Art. 6 DSGVO Rn. 64; siehe aber auch Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 13 und Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 108. 120 Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 30. 121 Siehe ausführlich hierzu z.B.: Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 105ff.; Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 148ff. 122 EuGH, Urt. vom 11.12.2019 – C-708/18, ZD 2020, 148, 150. 123 EuGH, Urt. vom 11.12.2019 – C-708/18, ZD 2020, 148, 150. 124 EuGH, Urt. vom 11.12.2019 – C-708/18, ZD 2020, 148, 150. 125 EuGH, Urt. vom 11.12.2019 – C-708/18, ZD 2020, 148, 150. 126 A. A. Schantz/Wolff/Wolff, Rn. 651, nach dem die Sichtweise des Verantwortlichen relevant sein soll. 127 Schantz/Wolff/Wolff, Rn. 651. 128 Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 114, der deshalb sogar einen strengen Prüfungsmaßstab vertritt. 129 Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 119; vgl. auch Schantz/Wolff/Wolff, Rn. 651. Nach Taeger sollen durch die Abwägung prinzipiell nur unverhältnismäßige Folgen für die betroffene Person vermieden werden, Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 119 m.w.N.; so auch Sydow/Reimer, Art. 6 DSGVO Rn. 63. 130 Siehe z.B. Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 113 m.w.N., der insoweit auch von „Befindlichkeiten einer Einzelperson“ spricht; Auernhammer/Kramer, Art. 6 DSGVO Rn. 84. Im Hinblick auf § 28 Abs. 1 S. 1 Nr. 2 BDSG a.F. siehe Plath/Plath, 2. Aufl., § 28 BDSG Rn. 53 m.w.N.; Taeger/Gabel/Taeger, 2. Aufl., § 28 BDSG Rn. 62. 131 Gola/Schulz, Art. 6 DSGVO Rn. 59; Auernhammer/Kramer, Art. 6 DSGVO Rn. 84; Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 113 m.w.N. In diese Richtung sind nach hier vertretener Lesart auch die Ausführungen des europäischen Datenschutzausschusses im Hinblick auf die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO im Fall der Videoüberwachung zu verstehen, Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 11ff. Dabei ist zu beachten, dass der EDSA insbesondere den Begriff der „Einzelfallentscheidung“ in einem anderen Zusammenhang verwendet. So reicht es auch nach hier vertretener Ansicht nicht aus, bei der Interessenabwägung auf abstrakte Situationen oder ähnliche Fälle Bezug zu nehmen. A. A. und wohl eine konkretere Prüfung des Einzelfalls verlangend: BeckOK-DS/Albers/Veit, Art. 6 DSGVO Rn. 49, 53. 132 Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 113, der aber zurecht darauf hinweist, dass im Einzelfall auch den Interessen einer Einzelperson eine besondere Bedeutung bei der Abwägung zukommen kann. Aber auch, wenn nur eine einzelne Person von der Datenverarbeitung betroffen ist, wird eine Abwägung i.d.R. (nur) mit den objektivierten Interessen der betroffenen Person erfolgen müssen, Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 113; Gola/Schulz, Art. 6 DSGVO Rn. 59; vgl. auch Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 11ff. 133 Gola/Schulz, Art. 6 DSGVO Rn. 59. 134 So im Hinblick auf § 28 Abs. 1 S. 1 Nr. 2 BDSG a.F.: Plath/Plath, 2. Aufl., § 28 BDSG Rn. 53. 135 Hervorhebungen durch den Autor. Siehe z.B. Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 113; Gola/Schulz, Art. 6 DSGVO Rn. 63. Die ursprüngliche deutschsprachige Fassung von Erwägungsgrund 47 S. 1 ließ – im Gegensatz zu den meisten anderen Sprachfassungen – noch auf ein gegenteiliges Verständnis schließen, da hierin nicht von betroffenen Personen im Plural, sondern von der betroffenen Person im Singular die Rede war (siehe Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 113). Diese Abweichung von anderen Sprachfassungen wurde durch den Verordnungsgeber im Rahmen der Berichtigung der DSGVO angepasst (Council of the European Union, 8088/18, S. 47). Diese Berichtigung verstärkt nach hier vertretener Ansicht sogar noch das Argument, dass Erwägungsgrund 47 S. 1 die hier vertretene Auffassung stützt. 136 Siehe ausführlich zum Widerspruchsrecht Kap. 6 Rn. 568ff. Für den Fall der Verarbeitung zu Zwecken des Direktmarketings enthalten Art. 21 Abs. 2 und 3 DSGVO zudem spezielle Vorschriften zum Widerspruch. 137 Siehe zur Darlegungs- und Beweislast Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 117; a.A. und wohl auch eine gewisse Darlegungs- und Beweislast der betroffenen Person annehmend: Paal/Pauly/Frenzel, Art. 6 DSGVO Rn. 31. 138 Datenschutzkonferenz, Asset Deal – Katalog mit Fallgruppen, Stand: 24.5.2019, https://www.datenschutzkonferenz-online.de/media/dskb/20190524_dskb_asset_deal.pdf, zuletzt abgerufen am 11.1.2021. 139 Europäischer Datenschutzausschuss, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, S. 16 – im Hinblick auf die Rechtmäßigkeit der Datenverarbeitung. Siehe ausführlich zu den Pflichten nach Art. 25 DSGVO: Kap. 12 Rn. 11ff. 140 Siehe hierzu auch ausführlich Kap. 17 Rn. 125ff. 141 So z.B. auch Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, https://www.datenschutzkonferenz-online.de/media/oh/20181107_oh_werbung.pdf, S. 3; Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 175. 142 Siehe z.B. das OLG Wien zur Datenverarbeitung durch Facebook, insb. zu Werbezwecken, auf Basis von Art. 6 Abs. 1 lit. b DSGVO und dabei die Vorschrift extensiv auslegend: OLG Wien, Urt. v. 7.12.2020 – 11 R 153/20f, 154/20b, S. 28, abrufbar unter: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf. Das Urteil ist zum Zeitpunkt des Redaktionsschlusses allerdings noch nicht rechtskräftig. 143 Die Verarbeitung personenbezogener Daten eines Kindes zu Werbezwecken bedarf nach Erwägungsgrund 38 stets einer Einwilligung. 144 Siehe hierzu auch die Hinweise der deutschen Datenschutzaufsichtsbehörden in Datenschutzkonferenz, Kurzpapier Nr. 3 Verarbeitung personenbezogener Daten für Werbung, Stand: 17.12.2018, https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_3.pdf. 145 Siehe hierzu ausführlich Rn. 159ff. 146 Plath/Plath, Art. 6 DSGVO Rn. 69. 147 Auch die deutschen Datenschutzaufsichtsbehörden erkennen an, dass die Information der betroffenen Personen nach Art. 13 bzw. 14 DSGVO dazu führen kann, dass sie eine Verarbeitung ihrer Daten vernünftigerweise erwarten, siehe Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, S. 4. 148 Plath/Plath, Art. 6 DSGVO Rn. 70ff. 149 Plath/Plath, Art. 6 DSGVO Rn. 72. 150 So z.B. auch Plath/Plath, Art. 6 DSGVO Rn. 76. 151 Siehe mit Nachweisen Kap. 17 Rn. 149; so z.B. auch Plath/Plath, Art. 6 DSGVO Rn. 70. Für den Fall der Telefonwerbung z.B. auch OLG München, GRUR 2019, 654, 657; VG Saarlouis, Urt. v. 29.10.2019 – 1 K 732/19. Vgl. auch Europäischer Datenschutzausschuss, Stellungnahme 5/2019 zum Zusammenspiel zwischen der e-Datenschutz-Richtlinie und der DSGVO, insbesondere in Bezug auf die Zuständigkeiten, Aufgaben und Befugnisse von Datenschutzbehörden, S. 14; siehe aber auch Eckhardt, ZD 2019, 409f., der u.a. Konstellationen aufzeigt, die nicht von § 7 UWG erfasst sein könnten und in denen ggf. die DSGVO Anwendung finden könnte, sowie mit kritischen Anmerkungen, dass die in Art. 95 DSGVO enthaltene Öffnung nur „in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union“ greife und es ggf. problematisch sein könne, ob diese Bedingung im Fall von § 7 UWG erfüllt ist. 152 Die Orientierungshilfe (Stand: November 2018) ist abrufbar unter: https://www.datenschutzkonferenz-online.de/media/oh/20181107_oh_werbung.pdf. Außerdem hat die Datenschutzkonferenz auch ein Kurzpapier hierzu veröffentlicht, welches eine kurze Zusammenfassung der Orientierungshilfe beinhaltet, siehe Datenschutzkonferenz, Kurzpapier Nr. 3. 153 Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, S. 4. 154 Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, S. 5. Zumindest im Hinblick auf massiv in die Privatsphäre eingreifendes Profiling und Tracking zu Marketing- oder Werbezwecken ebenfalls skeptisch („nur schwer“), z.B. wenn der Verantwortliche Personen über mehrere Websites, Standorte, Geräte oder Dienste verfolgt oder Datenhandel betreibt: Art.-29-Datenschutzgruppe, WP 251 rev.01, S. 16. 155 Siehe z.B. Drewes, ZD 2019, 296ff. 156 Grundsätzlich gehen wohl auch die europäischen Datenschutzaufsichtsbehörden von diesem Verständnis aus: Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten für betroffene Personen, Version 2.0, S. 7f. 157 So unter Verweis auf Art. 17 Abs. 1 lit. b DSGVO (siehe hierzu Kap. 6 Rn. 391f.) z.B. auch Laue/Kremer/Kremer, § 2 Rn. 4; Gola/Schulz, Art. 6 DSGVO Rn. 10f.; Plath/Plath, Art. 6 DSGVO Rn. 6; Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 40ff.; a.A. z.B. Kühling/Buchner/Buchner/Kühling, Art. 6 Rn. 23; Tinnefeld/Conrad, ZD 2018, 391, 392. 158 Siehe ausführlich hierzu z.B. Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 40ff.; Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Art. 6 DSGVO Rn. 88ff. Nach Ansicht des Europäischen Datenschutzausschusses soll es generell nicht gestattet sein, dass sich ein Verantwortlicher zur Rechtfertigung der Verarbeitung rückwirkend auf Art. 6 Abs. 1 lit. f DSGVO beruft, wenn Probleme mit der Gültigkeit der Einwilligung aufgetreten sind, Europäischer Datenschutzausschuss, Leitlinien 05/20, Version 1.1, S. 30. 159 Siehe Datenschutzkonferenz, Orientierungshilfe zur „Einholung von Selbstauskünften bei Mietinteressentinnen“, Version 0.6, Stand: 30.1.2018, https://www.datenschutzkonferenz-online.de/media/oh/20180207_oh_mietauskuenfte.pdf, zuletzt abgerufen am 11.1.2021. 160 Europäischer Datenschutzausschuss, Leitlinien 05/20, Version 1.1, S. 30. 161 Siehe Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 43ff.; Plath/Plath, Art. 6 DSGVO Rn. 6. 162 Siehe zu dem Streit, ob Art. 6 Abs. 4 DSGVO eine Öffnungsklausel enthält, Rn. 147. 163 Die nationalen Vorschriften zur Zweckänderung werden im Anschluss an die Erläuterung der Zweckänderung nach Art. 6 Abs. 4 DSGVO und der nationalen Vorschriften zur Verarbeitung besonderer Kategorien personenbezogener Daten im Rahmen der Ausführungen zu Art. 9 DSGVO vorgestellt. 164 Siehe zum Anwendungsbereich des BDSG die Ausführungen in Kap. 3 Rn. 83ff. 165 § 4 BDSG entspricht weitgehend § 6b BDSG a.F.; so auch die Gesetzesbegründung zu § 4 BDSG, BT-Drs. 18/11325, S. 81. In § 4 Abs. 1 S. 2 BDSG finden sich zudem auch Regeln für die Videoüberwachung von öffentlich zugänglichen großflächigen Anlagen, wie insbesondere Sport-, Versammlungs- und Vergnügungsstätten, Einkaufszentren oder Parkplätzen und von Fahrzeugen und öffentlich zugänglichen großflächigen Einrichtungen des öffentlichen Schienen-, Schiffs- und Busverkehrs. 166 BVerwG, NJW 2019, 2556, 2561f.; siehe hierzu auch schon Kühling/Martini et al., S. 343ff. 167 Datenschutzkonferenz, Orientierungshilfe Video-Überwachung durch nicht-öffentliche Stellen, Stand: 17.7.2020, S. 7, abrufbar unter: https://www.datenschutzkonferenz-online.de/media/oh/20200903_oh_v%C3%BC_dsk.pdf; nur in Einzelfällen könnten solche Stellen die Videoüberwachung auch auf Art. 6 Abs. 1 lit. b – lit. e DSGVO stützen. Siehe z.B. Kühling/Buchner/Buchner, § 4 BDSG Rn. 3 zu der Frage, wann auch die Datenverarbeitung durch nichtöffentliche Stellen bei der Videoüberwachung unter die Öffnungsklausel des Art. 6 Abs. 1 lit. e, Abs. 3 DSGVO fallen kann; siehe hierzu auch BVerwG, NJW 2019, 2556, 2561f. 168 Siehe ausführlich hierzu Taeger/Gabel/Grabenschröer/Reuter, § 4 BDSG Rn. 1ff. 169 Art. 6 Abs. 1 lit. f DSGVO vermag allerdings nur die Verarbeitung von „normalen“ personenbezogenen Daten zu rechtfertigen und nicht die von besonderen Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO. Inwiefern im Rahmen der Videoüberwachung auch solche Daten verarbeitet werden können und wie deren Verarbeitung ggf. gerechtfertigt werden kann, siehe z.B.: Schneider/Schindler, ZD 2018, 463; Reuter, ZD 2018, 564. Siehe hierzu insbesondere auch die detaillierten Ausführungen des Europäischen Datenschutzausschusses, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_201903_video_devices_de.pdf, S. 9ff. Insbesondere stellt sich in diesem Zusammenhang auch die Frage, inwieweit die erfassten (potenziell sensiblen) Daten überhaupt als eine besondere Kategorie personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO aufzufassen sind, siehe hierzu ausführlich Rn. 160ff. In Einzelfällen kann die Videoüberwachung ggf. auch auf Art. 6 Abs. 1 lit. b – lit. e DSGVO gestützt werden. 170 Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte. 171 Datenschutzkonferenz, Orientierungshilfe Video-Überwachung durch nicht-öffentliche Stellen, Stand: 17.7.2020; siehe außerdem Datenschutzkonferenz, Kurzpapier Nr. 15 Videoüberwachung nach der Datenschutz-Grundverordnung, https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_15.pdf, welches allerdings vor der Entscheidung des BVerwG veröffentlicht wurde. Die deutschen Datenschutzaufsichtsbehörden waren dabei aber bereits von der (teilweisen) Europarechtswidrigkeit des § 4 BDSG ausgegangen. 172 Siehe hierzu auch Franck, ZD 2018, 345, 345f. Ausführlich zu den Möglichkeiten einer pragmatischen Gestaltung der Informationspflichten durch einen Multilayer-Ansatz: Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 28ff. 173 BVerwG, NJW 2019, 2556, 2562; EuGH, Urt. vom 11.12.2019 – C-708/18, ZD 2020, 148. Zwar erging die Entscheidung des EuGH noch zu Art. 7 lit. f der Datenschutzrichtlinie 95/46/EG, doch dürften die entscheidenden Ausführungen auf Art. 6 Abs. 1 lit. f DSGVO übertragbar sein. 174 Siehe zur wohl europarechtskonformen Regelung zur Zweckänderung in § 4 Abs. 3 S. 3 BDSG unten Rn. 148. 175 Siehe zur Videoüberwachung am Arbeitsplatz z.B. Byers, in: Weth/Herberger/Wächter/Sorge, Teil B VIII. 176 Siehe die Gesetzesbegründung zu § 31 BDSG in BT-Drs. 18/11325, S. 101. 177 Sydow/Guggenberger, § 31 BDSG Rn. 4. 178 Taeger/Gabel/Taeger, § 31 BDSG Rn. 49. 179 Vgl. in diesem Zusammenhang LG Frankfurt/M., ZD 2019, 467 (467f.) und LG Heilbronn, ZD 2020, 256 (256f.), die in den dort zu entscheidenden Fällen Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage für die Datenverarbeitung durch Wirtschaftsauskunfteien annahmen. Das LG Heilbronn nahm darüber hinaus auch noch Art. 6 Abs. 1 lit. e DSGVO als Rechtsgrundlage an, das LG Frankfurt/M. hielt diese Norm hingegen nicht für eine anwendbare Rechtsgrundlage. 180 Siehe hierzu ausführlich Rn. 137ff. 181 Auernhammer/Kramer, § 31 BDSG Rn. 4; Sydow/Guggenberger, § 31 BDSG Rn. 8; Kühling/Buchner/Buchner, § 31 BDSG Rn. 8; Piltz, § 31 BDSG Rn. 11; so wohl auch Plath/Kamlah, § 31 BDSG Rn. 3; nicht eindeutig: Taeger/Gabel/Taeger, § 31 BDSG Rn. 36. 182 Kühling/Buchner/Buchner, § 31 BDSG Rn. 8 183 Auernhammer/Kramer, § 31 BDSG Rn. 4; Sydow/Guggenberger, § 31 BDSG Rn. 8; Taeger/Gabel/Taeger, § 31 BDSG Rn. 49; Piltz, § 31 BDSG Rn. 11. 184 Siehe z.B. Gola/Schulz, Art. 6 DSGVO Rn. 112; Taeger/Gabel/Taeger, § 31 BDSG Rn. 56f.; Auernhammer/Kramer, § 31 BDSG Rn. 13ff.; Piltz, § 31 BDSG Rn. 10. 185 Taeger/Gabel/Taeger, § 31 BDSG Rn. 65. 186 Siehe z.B. Gola/Schulz, Art. 6 DSGVO Rn. 132ff.; Taeger/Gabel/Taeger, § 31 BDSG Rn. 84f. 187 Siehe zu Art. 22 DSGVO Kap. 6 Rn. 613ff. 188 Siehe hierzu z.B. Taeger/Gabel/Taeger, § 31 BDSG Rn. 34ff. m.w.N.; Taeger, RDV 2017, 3; Ehrig/Glatzner, PinG 2016, 211; Plath/Kamlah, Art. 22 DSGVO Rn. 9. 189 Der Entwurf ist z.B. abrufbar unter: https://www.datenschutz-grundverordnung.eu/wp-content/uploads/2016/09/Entwurf-ABDSG-E-08.2016.pdf. 190 Siehe z.B. Härting, Rn. 641. 191 Plath/Kamlah, Art. 22 DSGVO Rn. 9. 192 Siehe z.B. Kühling/Martini et al., S. 442f. 193 Siehe z.B. Moos/Rothkegel, ZD 2016, 561, 568. 194 Siehe z.B. Ehrig/Glatzner, PinG 2016, 211, 214. 195 Siehe z.B. Taeger/Gabel/Taeger, § 31 BDSG Rn. 44ff. 196 So auch Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 159ff. 197 Zum Begriff „Bildnis“ i.S.d. KUG siehe z.B. Dreier/Schulze/Specht, § 22 KUG Rn. 1ff. 198 Siehe ausführlich zu den Gemeinsamkeiten und Unterschieden der §§ 22f. KUG und der DSGVO: Ziebarth/Elsaß, ZUM 2018, 578, 578ff.; siehe zu den Herausforderungen unter der DSGVO auch Reuter/Schwarz, ZUM 2020, 31ff. 199 Siehe zu den Begriffen der „Verbreitung“ und „öffentlichen Zurschaustellung“ i.S.d. KUG z.B. Dreier/Schulze/Specht, § 22 KUG Rn. 8ff. 200 Darüber hinaus enthält auch § 24 KUG eine Erlaubnis zur Verwendung von Bildnissen und zwar zur Vervielfältigung, Verbreitung und öffentlichen Zurschaustellung für Zwecke der Rechtspflege und der öffentlichen Sicherheit. Da diese Erlaubnis allerdings nur für Behörden gilt, wird auf diese Vorschrift hier nicht weiter eingegangen. 201 Siehe z.B. Hamburgischer Beauftragter für den Datenschutz und die Informationsfreiheit, Vermerk: Rechtliche Bewertung von Fotografien einer unüberschaubaren Anzahl von Menschen nach der DSGVO außerhalb des Journalismus, https://datenschutz-hamburg.de/assets/pdf/Vermerk_Fotografie_DSGVO.pdf, S. 3f.; a.A. zur alten Rechtslage z.B. Lauber-Rönsberg/Hartlaub, NJW 2017, 1057, 1059. 202 So insbesondere die Auffassung der deutschen Bundesregierung, siehe z.B. BT-Drs. 19/4421, S. 47; siehe aber z.B. auch Krüger/Wiencke, MMR 2019, 76, 77f.; Lauber-Rönsberg/Hartlaub, NJW 2017, 1057, 1061f.; Ziebarth/Elsaß, ZUM 2018, 578, 581ff. 203 Siehe z.B. die Landesbeauftragte für den Datenschutz Niedersachsen, Anfertigung und Veröffentlichung von Personenfotografien nach dem 25.5.2018 im nicht-öffentlichen Bereich, https://lfd.niedersachsen.de/download/132460, S. 1; zumindest für den journalistischen Bereich von der Anwendbarkeit des KUG ausgehend: OLG Köln, ZD 2018, 434ff.; wohl Art. 6 Abs. 1 lit. f DSGVO für den Bereich der gewerblichen Fotografie anwendend: LG Frankfurt a.M., Urt. v. 26.9.2019 – 2/03 O 402/18, BeckRS 2019, 24883 Rn. 61, das aber die bisher auf Grundlage von §§ 22 und 23 KUG ergangene Rechtsprechung im Rahmen der Interessenabwägung berücksichtigt. 204 BGH, Urt. vom 7.7.2020 – VI ZR 246/19, NJW 2020, 3715, 3716f. 205 Siehe Benedikt/Kranig, ZD 2019, 4ff.; vgl. auch Ehmann, ZD 2020, 65, 67. Siehe aber BGH, Urt. vom 7.7.2020 – VI ZR 246/19, NJW 2020, 3715, 3716f. 206 Siehe ausführlich zu den Gemeinsamkeiten und Unterschieden zwischen KUG und der DSGVO: Ziebarth/Elsaß, ZUM 2018, 578, 578ff. 207 Siehe z.B. Benedikt/Kranig, ZD 2019, 4, 5. 208 Vgl. z.B. LG Frankfurt/M., Urt. vom 13.9.2018 – 2-03 O 283/18, ZD 2018, 587. 209 Siehe ausführlich zu den Gemeinsamkeiten und Unterschieden zwischen KUG und der DSGVO: Ziebarth/Elsaß, ZUM 2018, 578, 578ff. 210 § 23 BDSG regelt die Verarbeitung von Daten zu einem anderen Zweck durch öffentliche Stellen i.S.d. § 2 Abs. 1–3 BDSG, weshalb im Folgenden von der Erläuterung der Vorschrift abgesehen wird. 211 Siehe für die Erläuterungen zu § 24 Abs. 2 BDSG Rn. 205ff. 212 § 24 BDSG gilt nur für nichtöffentliche Stellen i.S.d. § 2 Abs. 4 und 5 BDSG, wie z.B. privatwirtschaftliche Unternehmen. Für öffentliche Stellen i.S.d. § 2 Abs. 1–3 BDSG ist die Verarbeitung von Daten zu einem anderen Zweck in § 23 BDSG geregelt. 213 Kühling/Buchner/Bäcker, Art. 23 Rn. 16 und 21. 214 Siehe Rn. 183ff. 215 Ablehnend z.B. Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Stellungnahme des LfDI M-V zum DSAnpUG-EU, https://www.computerundrecht.de/sn-bdsg-e.pdf, S. 6; vgl. auch Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 199ff., und Taeger/Gabel/Rose, § 24 BDSG Rn. 4ff. m.w.N. Vgl. insoweit auch zu dem den unterschiedlichen Auffassungen zugrundeliegenden Streit, ob Art. 6 Abs. 4 DSGVO eine eigenständige Öffnungsklausel ist: BGH, ZD 2020, 152 (152f.), der dies annimmt; so auch der Gesetzgeber in der Gesetzesbegründung zu § 24 BDSG, BT-Drs. 18/11325, S. 96; ablehnend hingegen: BVerwG, NVwZ 2019, 473 (476). 216 Taeger/Gabel/Rose, § 24 BDSG Rn. 6; Kühling/Buchner/Herbst, § 24 Rn. 10; Sydow/Marsch, § 24 Rn. 15; kritisch: Gola/Heckmann/Heckmann/Scheurer, § 24 Rn. 4. 217 Die Europarechtskonformität von § 24 Abs. 1 Nr. 2 BDSG ablehnend z.B. Kühling/Buchner/Herbst, § 24 Rn. 13, der aber darauf verweist, dass man – wenn man einer Entscheidung des BGH (ZD 2020, 152 (152f.)) folgt – wohl zu einem anderen Ergebnis gelangen würde; kritisch: Taeger/Gabel/Rose, § 24 BDSG Rn. 10; Gola/Heckmann/Heckmann/Scheurer, § 24 Rn. 4; die Europarechtskonformität annehmend: Sydow/Marsch, § 24 Rn. 17. 218 Siehe auch Rn. 145. 219 Siehe z.B. Taeger/Gabel/Grabenschröer/Reuter, § 4 BDSG Rn. 89, a.A. Kühling/Buchner/Buchner, § 4 BDSG Rn. 17. 220 So z.B. Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 140; Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 6 DSGVO Rn. 19; Plath/Plath, Art. 6 DSGVO Rn. 133. 221 So z.B. Ehmann/Selmayr/Heberlein, Art. 6 DSGVO Rn. 51. Zumindest Art. 6 Abs. 1 lit. f DSGVO als Erlaubnis für eine Zweckänderung ablehnend: Gola/Schulz, Art. 6 DSGVO Rn. 216. 222 Beruht die ursprüngliche Datenverarbeitung allerdings (nur) auf der Einwilligung der betroffenen Person und umfasst diese die Weiterverarbeitung der Daten zu dem neuen, anderen Zweck nicht, kann die Weiterverarbeitung auch dann nicht auf diese Einwilligung gestützt werden, wenn der Zweck, für den die Daten weiterverarbeitet werden sollen, mit dem Zweck, für den die Daten ursprünglich erhoben wurden, vereinbar ist. In diesem Fall ist auch für die Weiterverarbeitung zu Zwecken, die mit dem ursprünglichen Zweck vereinbar sind, eine (neue) Einwilligung erforderlich (siehe z.B. Ehmann/Selmayr/Heberlein, Art. 6 DSGVO Rn. 50), sofern der Verantwortliche die Weiterverarbeitung nicht auf eine gesetzliche Erlaubnis stützen kann (siehe hierzu Rn. 139ff.). Alternativ könnte der Verantwortliche – sofern dies datenschutzrechtlich nach Art. 6ff. DSGVO zulässig ist – die Daten für diesen neuen Zweck auf Grundlage einer Rechtsvorschrift neu erheben. 223 So auch Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche, Stand: 29.6.2020, S. 6; Gola/Schulz, Art. 6 DSGVO Rn. 210; Härting, Rn. 514ff.; Albrecht/Jotzo, Teil 3 Rn. 54; Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 6 DSGVO Abs. 4 Rn. 12; Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 146; a.A.: Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 181ff.; Ehmann/Selmayr/Heberlein, Art. 6 DSGVO Rn. 48. 224 Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche, Stand: 29.6.2020, S. 6. 225 So z.B. Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 181ff.; Ehmann/Selmayr/Heberlein, Art. 6 DSGVO Rn. 48. 226 Siehe ausführlich hierzu Simitis/Hornung/Spiecker gen. Döhmann/Roßnagel, Art. 6 DSGVO Abs. 4 Rn. 12. 227 Siehe hierzu auch Monreal, ZD 2016, 507, 511. 228 Plath/Plath, Art. 6 DSGVO Rn. 138f.; Monreal, ZD 2016, 507, 511; a.A. Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 188, nach denen vor allem auf die subjektive Sicht der betroffenen Person abzustellen sei. 229 Siehe ausführlich zu den im Fall einer Zweckänderung bestehenden Informationspflichten nach Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO: Kap. 6 Rn. 76ff. und 127. 230 „Genetische Daten“ sind nach Art. 4 Nr. 13 DSGVO personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden. Siehe ausführlich zum Begriff „genetische Daten“ z.B. Taeger/Gabel/Arning/Rothkegel, Art. 4 DSGVO Rn. 310ff. 231 „Biometrische Daten“ sind nach Art. 4 Nr. 14 DSGVO mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten. Siehe ausführlich zum Begriff „biometrische Daten“ z.B. Taeger/Gabel/Arning/Rothkegel, Art. 4 DSGVO Rn. 318ff. 232 „Gesundheitsdaten“ sind nach Art. 4 Nr. 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Siehe ausführlich zum Begriff „Gesundheitsdaten“ z.B. Taeger/Gabel/Arning/Rothkegel, Art. 4 DSGVO Rn. 326ff. 233 Siehe hierzu im Hinblick auf § 3 Abs. 9 BDSG a.F.: Gola/Schomerus/Gola/Klug/Körffer, § 3 BDSG Rn. 56a. 234 Dies gilt zumindest für die Gruppe von in Art. 9 Abs. 1 DSGVO genannten Daten, bei denen es ausreicht, dass ihr sensibler Gehalt aus ihnen „hervorgeht“ (rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen und die Gewerkschaftszugehörigkeit) sowie für Gesundheitsdaten und Daten zum Sexualleben oder der sexuellen Orientierung, siehe hierzu Gola/Schulz, Art. 9 DSGVO Rn. 13; Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 11f.; Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 22f. 235 So auch Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 22f.; Matejek/Mäusezahl, ZD 2019, 551, 552f.; Taeger/Gabel/Arning/Rothkegel, Art. 4 DSGVO Rn. 339ff.; vgl. auch Kühling/Buchner/Weichert, Art. 4 DSGVO Nr. 15 Rn. 7; siehe hierzu im Hinblick auf § 3 Abs. 9 BDSG a.F. auch: Gola/Schomerus/Gola/Klug/Körffer, § 3 BDSG Rn. 56a m.w.N., und Simitis/Simitis, § 3 BDSG Rn. 265; zweifelnd im Hinblick auf die Absolutheit der Regelung in Art. 9 Abs. 1 DSGVO auch: Plath/Plath, Art. 9 DSGVO Rn. 3; a.A., nach der der Verwendungszusammenhang für die Qualifizierung als besondere Kategorien personenbezogener Daten nicht entscheidend ist, z.B. Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 11f.; vgl. auch Paal/Pauly/Ernst, Art. 4 DSGVO Rn. 109; Reuter, ZD 2018, 564, 565f.; wohl auch OLG Naumburg, Urt. v. 7.11.2019 – 9 U 6/19, BeckRS 2019, 28387, Rn. 57ff. im Hinblick auf Gesundheitsdaten. Eine subjektive Sichtweise vertretend, nach der eine entsprechende Auswertungsabsicht erforderlich ist, um Daten als besondere Kategorien personenbezogener Daten zu qualifizieren: Gola/Schulz, Art. 9 DSGVO Rn. 13 (bzw. der Schutzzweck der Regelung eröffnet ist) und Gola/Gola, Art. 4 DSGVO Rn. 97; vgl. auch VG Mainz, Urteil vom 24.9.2020 – 1 K 584/19.MZ, BeckRS 2020, 28535, Rn. 29. 236 Wie hier z.B. auch Kühling/Buchner/Weichert, Art. 9 Rn. 3. 237 So aber z.B. Gola/Schulz, Art. 9 DSGVO Rn. 13 (bzw. der Schutzzweck der Regelung eröffnet ist); Gola/Gola, Art. 4 DSGVO Rn. 97; vgl. auch VG Mainz, Urteil vom 24.9.2020 – 1 K 584/19.MZ, BeckRS 2020, 28535, Rn. 29. 238 So z.B. auch Petri, in: Simitis/Hornung/Spiecker gen. Döhmann, Art. 4 Nr. 15 Rn. 4 m.w.N. 239 Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 22. 240 Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 17. 241 Die subjektive Auswertungsabsicht als entscheidendes Abgrenzungskriterium annehmend z.B. Gola/Schulz, Art. 9 DSGVO Rn. 13 (bzw. der Schutzzweck der Regelung eröffnet ist) und Gola/Gola, Art. 4 DSGVO Rn. 97. VG Mainz, Urteil vom 24.9.2020 – 1 K 584/19.MZ, BeckRS 2020, 28535, Rn. 29. 242 Datenschutzkonferenz, Kurzpapier Nr. 17: Besondere Kategorien personenbezogener Daten, https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_17.pdf, S. 1. 243 Plath/Plath, Art. 9 DSGVO Rn. 3. 244 Vgl. z.B. VG Mainz, Urt. v. 24.9.2020 – 1 K 584/19.MZ, BeckRS 2020, 28535, Rn. 29; Gola/Schulz, Art. 9 DSGVO Rn. 13, die allerdings auf die subjektive Auswertungsabsicht als Abgrenzungskriterium abstellen (Schulz auch auf den Schutzzweck der Regelung). Gegebenenfalls kann auch der EDSA dahingehend verstanden werden, dass die Verarbeitung von Mischdatensätzen nur dann unter Art. 9 DSGVO fallen soll, wenn diese verarbeitet werden, „um besondere Datenkategorien abzuleiten“ (Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 17), wobei sich den Ausführungen des EDSA nach hier vertretener Lesart nicht eindeutig entnehmen lässt, ob er die subjektive Auswertungsabsicht oder den objektiven Verwendungszusammenhang als maßgebliches Abgrenzungskriterium ansieht, siehe Rn. 166. Allerdings ist bei derartigen Datensätzen auch stets zu prüfen, ob es sich bei den darin enthaltenen „sensiblen Daten“ eventuell (nur) um mittelbar sensible Daten handelt, woraufhin der Anwendungsbereich von Art. 9 DSGVO nach hier vertretener Ansicht überhaupt nur unter den zuvor genannten Bedingungen eröffnet sein könnte. 245 Vgl. VG Mainz, Urt. v. 24.9.2020 – 1 K 584/19.MZ, BeckRS 2020, 28535, Rn. 29; Gola/Schulz, Art. 9 DSGVO Rn. 13, die allerdings auf die subjektive Auswertungsabsicht als Abgrenzungskriterium abstellen (Schulz auch auf den Schutzzweck der Regelung). Gegebenenfalls kann auch der EDSA dahingehend verstanden werden, dass die Verarbeitung von Mischdatensätzen nur dann unter Art. 9 DSGVO fallen soll, wenn diese verarbeitet werden, „um besondere Datenkategorien abzuleiten“ (Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 17), wobei sich den Ausführungen des EDSA nach hier vertretener Lesart nicht eindeutig entnehmen lässt, ob er die subjektive Auswertungsabsicht oder den objektiven Verwendungszusammenhang als maßgebliches Abgrenzungskriterium ansieht, siehe Rn. 166. Allerdings ist bei derartigen Datensätzen auch stets zu prüfen, ob es sich bei den darin enthaltenen „sensiblen Daten“ eventuell (nur) um mittelbar sensible Daten handelt, woraufhin der Anwendungsbereich von Art. 9 DSGVO nach hier vertretener Ansicht überhaupt nur unter den zuvor genannten Bedingungen eröffnet sein könnte. 246 Zumindest skeptisch: Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 11f. 247 Aus dem Urteil des EuGH in Sachen „GC ua/Commission nationale de l’informatique et des libertés [CNIL]“ (EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503ff.) lässt sich nach hier vertretener Ansicht nicht eindeutig entnehmen, welche generelle Auffassung der EuGH hierzu vertritt. 248 Siehe z.B. Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 18; Datenschutzkonferenz, Kurzpapier Nr. 17, S. 2; Gesetzesbegründung zu § 22 BDSG, BT-Drs. 18/11325, S. 94; Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 26; BeckOK-DS/Albers/Veit, Art. 9 DSGVO Rn. 24; Kühling/Buchner/Weichert, Art. 9 Rn. 4; Matejek/Mäusezahl, ZD 2019, 551, 554. 249 Siehe z.B. Europäischer Datenschutzausschuss, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, S. 18; Datenschutzkonferenz, Kurzpapier Nr. 17, S. 2; Gesetzesbegründung zu § 22 BDSG, BT-Drs. 18/11325, S. 94; Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 26; BeckOK-DS/Albers/Veit, Art. 9 DSGVO Rn. 24; Kühling/Buchner/Weichert, Art. 9 Rn. 4; Matejek/Mäusezahl, ZD 2019, 551, 554. Siehe aber EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503ff., der für eine spezielle Konstellation entschieden hat, dass die Verarbeitung auf Basis von Art. 9 Abs. 2 lit. g DSGVO i.V.m. Art. 11 GRCh ggf. auch dann zulässig sein kann, wenn die weiteren Rechtmäßigkeitsanforderungen der DSGVO, z.B. nach Art. 5 DSGVO, nicht vorliegen, siehe ausführlich hierzu Golland, DSB 2019, 262; Taeger/Moos, DSRITB 2020, 439, 449f. 250 So z.B. Sydow/Kampert, Art. 9 DSGVO Rn. 12; Taeger/Gabel/Mester, Art. 9 DSGVO Rn. 2; Taeger/Gabel/Taeger, Art. 6 DSGVO Rn. 102. 251 Auernhammer/Greve, Art. 9 DSGVO Rn. 17. 252 Vgl. Taeger/Gabel/Rose, § 22 BDSG Rn. 9; Matejek/Mäusezahl, ZD 2019, 551, 554. 253 Siehe auch Taeger/Gabel/Rose, § 22 BDSG Rn. 10. Siehe aber die Fallkonstellation unter Rn. 193, bei der dieser Streit ggf. eine gewisse Rolle gespielt haben mag. 254 Siehe hierzu ausführlich Rn. 243ff. 255 Siehe auch Plath/Plath, Art. 9 DSGVO Rn. 13. 256 Auch die bloße Verschärfung der Anforderungen an eine wirksame Einwilligung ist nach hier vertretener Auffassung zulässig, siehe ausführlich hierzu mit Nachweisen und zu der Thematik ganz generell Kap. 17 Rn. 267ff. 257 Siehe hierzu auch Kap. 15 Rn. 53. 258 Siehe hierzu ausführlich Kap. 15 Rn. 24. 259 BeckOK-DS/Albers/Veit, Art. 9 DSGVO Rn. 54; Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 60. 260 Siehe auch die weiteren Anforderungen bei Datenverarbeitungen zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken in § 27 Abs. 3 BDSG. Siehe zur Europarechtskonformität von § 22 Abs. 2 BDSG wegen eventuell nicht hinreichender Spezifizierung der zu treffenden Maßnahmen Kap. 17 Rn. 297; umfassend dazu Taeger/Gabel/Rose, § 22 BDSG Rn. 44ff. 261 Siehe hierzu auch Ehmann/Selmayr/Schiff, Art. 9 DSGVO Rn. 53 (zu Art. 9 Abs. 2 lit. g DSGVO). Siehe auch die Kritik des Bundesrates zu dieser Regelung in BR-Drs. 110/1/17, S. 22. Auch die Datenschutzaufsichtsbehörden scheinen ob der geplanten Regelungen in § 22 BDSG skeptisch zu sein; siehe z.B. Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Stellungnahme des LfDI M-V zum DSAnpUG-EU, S. 5. Die Europarechtskonformität befürwortend, z.B. Taeger/Gabel/Rose, § 22 BDSG Rn. 6ff., der vor diesem Hintergrund aber eine restriktive Auslegung von § 22 BDSG fordert. 262 Greve, NVwZ 2017, 737, 743. 263 Siehe z.B. Taeger/Gabel/Rose, § 22 BDSG Rn. 8. 264 Siehe zu § 28 Abs. 6 Nr. 2 BDSG a.F.: Taeger/Gabel/Taeger, 2. Aufl., § 28 BDSG Rn. 229. 265 Siehe zu § 28 Abs. 6 Nr. 2 BDSG a.F.: Taeger/Gabel/Taeger, 2. Aufl., § 28 BDSG Rn. 229; zu Art. 9 DSGVO siehe z.B. Laue/Kremer/Kremer, § 2 Rn. 68. 266 In diesem Zusammenhang dürfen keine übertriebenen Anforderungen an die Erforderlichkeit gestellt werden, Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 86; restriktiver Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 66. 267 Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 84. 268 Gola/Schulz, Art. 9 DSGVO Rn. 28; Taeger/Gabel/Mester, Art. 9 DSGVO Rn. 26. 269 Für die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit siehe Art. 9 Abs. 2 lit. i DSGVO und unten Rn. 194. 270 Taeger/Moos, DSRITB 2020, 439, 446, 449f. 271 EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503ff. („GC u.a./Commission nationale de l’informatique et des libertés [CNIL]“). Siehe ausführlich hierzu Golland, DSB 2019, 262; Taeger/Moos, DSRITB 2020, 439, 446, 449f. Auch die Verarbeitung von Daten, die in den Anwendungsbereich des Art. 10 DSGVO fallen und per se keine besonders sensiblen Daten i.S.d. Art. 9 Abs. 1 DSGVO sind, kann ggf. auf diese Vorschrift gestützt werden, EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503, 3508. Das EuGH-Urteil so auslegend, dass in einem solchen Fall bestimmte EUrechtliche bzw. nationale Vorschriften dann entsprechend angewendet werden müssen: BeckOK-DS/Albers/Veit, Art. 9 DSGVO Rn. 76. 272 Golland, DSB 2019, 262, 263. Ggf. kann auch Art. 17 Abs. 3 lit. a DSGVO in Konstellationen wie den durch den EuGH angesprochenen als Rechtsgrundlage für die Verarbeitung in diesem Zusammenhang dienen, siehe ausführlich hierzu Golland, DSB 2019, 262; Kühling/Buchner/Bäcker, Art. 13 Rn. 68. 273 Siehe Taeger/Moos, DSRITB 2020, 439, 449f.; BeckOK-DS/Bäcker, Art. 10 DSGVO Rn. 13b. 274 Auch wenn diese Tatbestandsalternative nach hier vertretener Auffassung hinreichend bestimmt ist, verbleibt insbesondere vor dem Hintergrund des Normwiederholungverbots gem. Art. 288 Abs. 2 AEUV eine gewisse Unsicherheit, ob die Regelung europarechtskonform ist (kritisch z.B. BeckOK-DS/Albers/Veit, § 22 BDSG Rn. 18). Unternehmen sollten auch in diesem Zusammenhang die Hinweise der Datenschutzaufsichtsbehörden und Entscheidungen von Gerichten verfolgen. 275 Siehe die Gesetzesbegründung zu § 22 Abs. 1 Nr. 1 lit. d BDSG, BT-Drs. 19/4674, S. 211. 276 Siehe die Gesetzesbegründung zu § 22 Abs. 1 Nr. 1 lit. d BDSG, BT-Drs. 19/4674, S. 211. 277 Siehe die Gesetzesbegründung zu § 22 Abs. 1 Nr. 1 lit. d BDSG, BT-Drs. 19/4674, S. 211. 278 Siehe hierzu auch Kap. 17 Rn. 295ff.; siehe zur Europarechtskonformität von § 22 Abs. 2 BDSG wegen eventuell nicht hinreichender Spezifizierung der zu treffenden Maßnahmen Kap. 17 Rn. 297; umfassend dazu Taeger/Gabel/Rose, § 22 BDSG Rn. 44ff. 279 Diese Vorschrift wird in Kap. 17 271ff. ausführlich erläutert. 280 Zum Begriff „Angehöriger eines Gesundheitsberufs“ siehe z.B. Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 86. 281 Siehe oben Rn. 190. 282 Siehe Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 85. 283 Dieses „zusätzliche Erfordernis“ annehmend z.B. Ehmann/Selmayr/Schiff, Art. 9 DSGVO Rn. 60; Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 9 DSGVO Rn. 85. Nicht dieses „zusätzliche Erfordernis“ annehmend wohl: Taeger/Gabel/Rose, § 22 BDSG Rn. 23; Sydow/Kampert, Art. 9 DSGVO Rn. 42. 284 Siehe die Gesetzesbegründung zu § 22 BDSG in BT-Drs. 18/11325, S. 95. Insoweit geht die ganz allgemeine Meinung in der datenschutzrechtlichen Literatur davon aus, dass es im Rahmen von § 22 Abs. 1 Nr. 1 lit. b BDSG ausreichend sei, wenn die Datenverarbeitung aufgrund eines Vertrages der betroffenen Person mit einem Angehörigen eines Gesundheitsberufes erfolgt – sie muss also nicht zusätzlich auch noch zu einem der in § 22 Abs. 1 Nr. 1 lit. b BDSG genannten Zwecke (die mit den in Art. 9 Abs. 2 lit. h DSGVO genannten fast identisch sind) erfolgen, siehe z.B. Dochow /Dörfer/Halbe/Hübner/Ippach/Schröder/Schütz/Strüve/Dochow, 4.2.1; Gola/Heckmann/Heckmann/Scheurer, § 22 BDSG Rn. 26; Sydow/Kampert, § 22 BDSG, Rn. 30, 32. 285 A.A. Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 138, wenn im nationalen Recht für einen in Art. 9 Abs. 2 lit. h DSGVO genannten Verarbeitungsschritt keine Berufsgeheimnisse geregelt sind. 286 Auch wenn diese Tatbestandsalternative nach hier vertretener Auffassung hinreichend bestimmt ist, verbleibt insbesondere vor dem Hintergrund des Normwiederholungverbots gem. Art. 288 Abs. 2 AEUV eine gewisse Unsicherheit, ob die Regelung europarechtskonform ist. Unternehmen sollten auch in diesem Zusammenhang die Hinweise der Datenschutzaufsichtsbehörden und Entscheidungen von Gerichten verfolgen. 287 Hierdurch soll auch die Verarbeitung durch Erfüllungsgehilfen ermöglicht werden; siehe die Gesetzesbegründung zu dieser Vorschrift in BT-Drs. 18/11325, S. 95. 288 Siehe zur Europarechtskonformität von § 22 Abs. 2 BDSG wegen eventuell nicht hinreichender Spezifizierung der zu treffenden Maßnahmen Kap. 17 Rn. 297; umfassend dazu Taeger/Gabel/Rose, § 22 BDSG Rn. 44ff. 289 Siehe hierzu Rn. 170ff. 290 Siehe zur Europarechtskonformität von § 22 Abs. 2 BDSG wegen eventuell nicht hinreichender Spezifizierung der zu treffenden Maßnahmen Kap. 17 Rn. 297; umfassend dazu Taeger/Gabel/Rose, § 22 BDSG Rn. 44ff. 291 A. A. wohl Kühling/Buchner/Weichert, § 22 BDSG Rn. 28, 18. 292 Siehe die Ausführungen zu dem Entwurf von § 22 Abs. 2 S. 3 BDSG in BR-Drs. 110/1/17, S. 26; BT-Drs. 18/11655, S. 12 und S. 30, BT-Drs. 18/12084, S. 7 und BT-Drs. 18/12144, S. 4. A.A. wohl Gola/Heckmann/Heckmann/Scheurer, § 22 BDSG Rn. 51 und Kühling/Buchner/Weichert, § 22 BDSG Rn. 28, 18. 293 Siehe hierzu Rn. 170ff. 294 Durch diese Formulierung soll nach dem Willen des Gesetzgebers klargestellt werden, dass ein Behandlungsvertrag gem. §§ 630a ff. BGB zwischen einem Patienten und einem Angehörigen eines Gesundheitsberufs gemeint sei; siehe die Gesetzesbegründung zu § 22 BDSG in BT-Drs. 18/11325, S. 95. 295 Vgl. Taeger/Gabel/Rose, § 22 BDSG Rn. 10. 296 Siehe hierzu auch die Ausführungen unter Kap. 17 Rn. 295ff. 297 Siehe z.B. § 9 Musterberufsordnung-Ärzte. 298 Siehe hierzu Rn. 180; zweifelnd z.B. Ehmann/Selmayr/Schiff, Art. 9 DSGVO Rn. 53 (zu Art. 9 Abs. 2 lit. g DSGVO). Die Europarechtskonformität der Vorschrift befürwortend, z.B. Taeger/Gabel/Rose, § 22 BDSG Rn. 6ff., der aber vor diesem Hintergrund eine restriktive Auslegung fordert; Greve, NVwZ 2017, 737, 743. 299 Vgl. hierzu Kap. 17 Rn. 297; umfassend dazu Taeger/Gabel/Rose, § 22 BDSG Rn. 44ff. 300 Diese Vorschrift wird in Kap. 17 Rn. 320ff. ausführlich erläutert. 301 Siehe ganz allgemein zur Verarbeitung von Daten zu wissenschaftlichen Forschungszwecken auch die Ausführungen in Kap. 17 Rn. 317ff. 302 Allerdings wird die Europarechtskonformität von §§ 27, 28 BDSG mitunter bezweifelt; vgl. hierzu z.B. Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Stellungnahme des LfDI M-V zum DSAnpUG-EU, S. 7; die Europarechtskonformität wohl befürwortend z.B. Gola/Heckmann/Krohm, § 27 BDSG Rn. 4ff. und § 28 BDSG Rn. 4ff.; konkret zur Einschränkung der Betroffenenrechte: BeckOK-DS/Schlösser-Rost, § 27 BDSG Rn. 42, und Gola/Heckmann/Krohm, § 28 BDSG Rn. 21. 303 Siehe hierzu ausführlich Rn. 170ff. 304 Siehe hierzu die detaillierten Ausführungen unter Rn. 37ff., die insoweit entsprechend gelten. 305 Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 46; BeckOK-DS/Albers/Veit, Art. 9 DSGVO Rn. 48. 306 Siehe ausführlich hierzu Rn. 137ff. 307 So z.B. auch Kühling/Buchner/Weichert, Art. 9 DSGVO Rn. 4; Laue/Kremer/Kremer, § 2 Rn. 66; Matejek/Mäusezahl, ZD 2019, 551, 555f.; a.A. Ehmann/Selmayr/Schiff, Art. 9 DSGVO Rn. 11, nach dem im Fall der Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO nicht auf Art. 6 Abs. 4 DSGVO zurückgegriffen werden kann. 308 In diesem Zusammenhang ist insbesondere zu beachten, dass Art. 6 Abs. 1 lit. f DSGVO (allein) die Verarbeitung besonderer Kategorien personenbezogener Daten nicht zu rechtfertigen vermag. 309 Siehe zu den Voraussetzungen des § 24 Abs. 1 BDSG die Ausführungen unter Rn. 141ff. 310 Siehe zu den Voraussetzungen des Art. 9 Abs. 2 DSGVO die Ausführungen unter Rn. 174ff. 311 Siehe zu den Voraussetzungen des § 22 BDSG die Ausführungen unter Rn. 179ff., 187f., 193, 195ff., 208 und Kap. 17 Rn. 276ff. 312 Ablehnend z.B. Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Stellungnahme des LfDI M-V zum DSAnpUG-EU, S. 6; vgl. auch Kühling/Buchner/Buchner/Petri, Art. 6 DSGVO Rn. 199ff.; Taeger/Gabel/Rose, § 24 BDSG Rn. 4; Gola/Heckmann/Heckmann/Scheuer, § 24 BDSG Rn. 3f., die jedenfalls eine restriktive Anwendung unter Beachtung des Unionsrechts verlangen. Die Europarechtskonformität wohl befürwortend: Piltz, § 24 BDSG Rn. 3f. 313 Siehe zu den einzelnen Pflichten nach § 22 Abs. 2 BDSG die Ausführungen unter Kap. 17 Rn. 295ff. Siehe zur Europarechtskonformität von § 22 Abs. 2 BDSG wegen eventuell nicht hinreichender Spezifizierung der zu treffenden Maßnahmen Kap. 17 Rn. 297; umfassend dazu Taeger/Gabel/Rose, § 22 BDSG Rn. 44ff. 314 Siehe die Gesetzesbegründung zu § 22 Abs. 2 BDSG, BT-Drs. 18/11325, S. 95. 315 Datenschutzkonferenz, Kurzpapier Nr. 17, S. 2. 316 In diesem Zusammenhang ist insbesondere der sachliche Anwendungsbereich der DSGVO zu beachten. Gerade bei der Verarbeitung entsprechender Daten durch Gerichte und Behörden zu Zwecken der Strafjustiz wird i.d.R. der Anwendungsbereich der Datenschutz-Richtlinie für den Bereich Justiz und Inneres (EU) 2016/680 und damit in der Folge dann der nationalen Umsetzungsgesetze, wie z.B. §§ 46ff. BDSG oder den Landesdatenschutzgesetzen, eröffnet sein (siehe z.B. Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 10 DSGVO Rn. 7ff.). 317 Dass es sich bei solchen Daten um keine besondere Kategorie personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO handelt, gilt nach hier vertretener Ansicht – ausweislich des eindeutigen Wortlauts von Art. 9 Abs. 1 DSGVO und Art. 10 DSGVO – auch trotz der Bezeichnung dieser Daten als „besondere Datenkategorien“ bzw. „sensibel“ durch den EuGH und obwohl er im Hinblick auf die Zulässigkeit der weiteren Verarbeitung in Konstellationen wie der dem Urteil des EuGH zugrundeliegenden jedenfalls eine Prüfung nach Art. 9 Abs. 2 lit. g DSGVO i.V.m. Art. 11 GRCh verlangt, EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503, 3507f. („GC u.a./Commission nationale de l’informatique et des libertés [CNIL]“). Auch Art. 17 Abs. 3 lit. a DSGVO kann vor dem Hintergrund dieses Urteils in bestimmten Situtionen eventuell als Rechtsgrundlage in Betracht kommen, so Golland, DSB 2019, 262, 263; vgl. auch Kühling/Buchner/Bäcker, Art. 13 Rn. 68. 318 Zum Verhältnis von Art. 10 DSGVO und § 26 BDSG siehe z.B. Taeger/Gabel/Nolde, Art. 10 DSGVO Rn. 16. 319 EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503, 3508 („GC ua/Commission nationale de l’informatique et des libertés [CNIL]“); siehe auch Golland, DSB 2019, 262; Taeger/Moos, DSRITB 2020, 439, 446, 449f. Auch Art. 17 Abs. 3 lit. a DSGVO kann vor dem Hintergrund dieses Urteils in bestimmten Situationen eventuell als Rechtsgrundlage in Betracht kommen, so Golland, DSB 2019, 262, 263; vgl. auch Kühling/Buchner/Bäcker, Art. 13 Rn. 68. 320 Golland, DSB 2019, 262, 263. 321 Paal/Pauly/Frenzel, Art. 10 DSGVO Rn. 4. 322 Ob hierunter auch Ordnungswidrigkeiten zu fassen sind, ist umstritten, siehe z.B. Taeger/Gabel/Nolde, Art. 10 DSGVO Rn. 6. 323 EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503, 3508. 324 EuGH, Urt. v. 24.9.2019 – C-136/17, NJW 2019, 3503, 3508. So kann eine Datenverarbeitung z.B. auch dann in den Anwendungsbereich des Art. 10 DSGVO fallen, wenn eine Verurteilung unterbleibt, weil der Täter schuldunfähig oder dessen Handeln gerechtfertigt war, siehe z.B. Sydow/Kampert, Art. 10 DSGVO Rn. 4; Paal/Pauly, Art. 10 DSGVO Rn. 5; Kühling/Buchner/Weichert, Art. 10 DSGVO Rn. 7. 325 Plath/Plath, Art. 10 DSGVO Rn. 5; Taeger/Gabel/Nolde, Art. 10 DSGVO Rn. 10ff.; Gola/Gola, Art. 10 DSGVO Rn. 5; den Anwendungsbereich von Art. 10 DSGVO extensiver auslegend z.B. BeckOK-DS/Bäcker, Art. 10 DSGVO Rn. 3 m.w.N.; Sydow/Kampert, Art. 10 DSGVO Rn. 5; Ehmann/Selmayr/Schiff, Art. 10 DSGVO Rn. 5f.; Kühling/Buchner/Weichert, Art. 10 DSGVO Rn. 6ff. und insbesondere auch Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 10 DSGVO Rn. 10, der es z.B. ausreichen lässt, dass eine Straftat nahezu gewiss begangen wurde (und nicht nur vermutet wird) und die betroffene Person dieser verdächtigt wird. Siehe im Hinblick auf interne Ermittlungen die Abgrenzung zu § 26 BDSG, z.B. bei Taeger/Gabel/Nolde, Art. 10 DSGVO Rn. 16. 326 Plath/Plath, Art. 10 DSGVO Rn. 6; Taeger/Gabel/Nolde, Art. 10 DSGVO Rn. 12; a.A. Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 10 DSGVO Rn. 10, der wohl auch Compliance-Maßnahmen und interne Ermittlungen unter gewissen Umständen vom Anwendungsbereich des Art. 10 DSGVO erfasst sieht. Allerdings sieht er § 26 Abs. 1 S. 2 BDSG als geeignete Garantien i.S.d. Art. 10 DSGVO an, so dass die Verarbeitung von Daten, die in den Anwendungsbereich von Art. 10 DSGVO fallen, insoweit auf diese Vorschrift gestützt werden kann (Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 10 Rn. 23). Siehe generell zum Verhältnis zwischen Art. 10 DSGVO und § 26 BDSG auch Taeger/Gabel/Nolde, Art. 10 DSGVO Rn. 16. Ob auch § 26 Abs. 1 S. 1 BDSG hinreichende Regelungen enthält, die als geeignete Garantien i.S.d. Art. 10 DSGVO angesehen werden können, ist zweifelhaft (so z.B. Taeger/Gabel/Nolde, Art. 10 DSGVO Rn. 16; Simitis/Hornung/Spiecker gen. Döhmann/Petri, Art. 10 Rn. 23; a.A. die Gesetzesbegründung zu Art. 10 DSGVO in BT-Drs. 18/11325, 97), weshalb es zumindest fraglich ist, ob Arbeitgeber Daten, die auch nach hier vertretener Ansicht in den Anwendungsbereich von Art. 10 DSGVO fallen, wie z.B. Angaben über Vorstrafen eines Beschäftigten/Bewerbers, auf Basis dieser Vorschrift verarbeiten dürfen. 327 Laue/Kremer/Kremer, § 2 Rn. 67. 328 Siehe z.B. BeckOK-DS/Wolff, Art. 11 DSGVO vor Rn. 1; Ehmann/Selmayr/Klabunde, Art. 11 DSGVO Rn. 1f.; Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 1. 329 Paal/Pauly/Frenzel, Art. 11 DSGVO Rn. 1; Laue/Kremer/Kremer, § 2 Rn. 78; Plath/Plath, Art. 11 DSGVO Rn. 2; Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 2. 330 Vgl. Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 DSGVO Rn. 24. 331 Sydow/Kampert, Art. 11 DSGVO Rn. 1. 332 BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 14; Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 DSGVO Rn. 25. 333 Siehe ausführlich hierzu: Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 DSGVO Rn. 25. 334 Siehe z.B. Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 15 m.w.N. 335 Sydow/Kampert, Art. 11 DSGVO Rn. 7. Siehe zur Identifizierbarkeit einer betroffenen Person im Fall der Verarbeitung pseudonymer Daten auch die Entscheidung der österreichischen Datenschutzbehörde v. 8.11.2019, https://www.ris.bka.gv.at/Dokumente/Dsk/DSBT_20191108_DSB_D122_970_0004_DSB_2019_00/DSBT_20191108_DSB_D122_970_0004_DSB_2019_00.pdf, zuletzt abgerufen am 11.1.2021. 336 Kühling/Buchner/Weichert, Art. 11 DSGVO Rn. 13, nach dem der Verantwortliche die betroffene Person auch dann identifizieren kann, wenn er zwar nicht selbst über die identifizierenden Merkmale verfügt, aber ohne größeren Aufwand darauf zugreifen kann; insoweit wohl a.A. BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 17a. 337 Siehe z.B. Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 5; BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 21 338 Auch wenn der Aufwand zur Identifizierung exorbitant hoch wäre, soll der Anwendungsbereich von Art. 11 Abs. 2 DSGVO eröffnet sein, vgl. Kühling/Buchner/Weichert, Art. 11 DSGVO Rn. 13. 339 Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 DSGVO Rn. 28. 340 Kühling/Buchner/Weichert, Art. 11 DSGVO Rn. 16; Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 17, die aber beide einen wohl strengeren Nachweis verlangen; siehe auch BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 25a, 17a, der zu Recht die Auffassung vertritt, dass der Verantwortliche in diesem Zusammenhang verpflichtet sei, sämtliche bei ihm vorhandenen Informationen und verfügbaren technischen Verfahren einzusetzen, um die Identifizierung zu ermöglichen. Siehe zu den Identifizierungsmöglichkeiten im Fall der Verarbeitung pseudonymisierter Daten auch die Entscheidung der österreichischen Datenschutzbehörde v. 8.11.2019, https://www.ris.bka.gv.at/Dokumente/Dsk/DSBT_20191108_DSB_D122_970_0004_DSB_2019_00/DSBT_20191108_DSB_D122_970_0004_DSB_2019_00.pdf, zuletzt abgerufen am 11.1.2021. 341 Siehe z.B. Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 DSGVO Rn. 28; Auernhammer/Eßer, Art. 11 DSGVO Rn. 13; Kühling/Buchner/Weichert, Art. 11 DSGVO Rn. 13, 16; Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 14, 17; siehe auch BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 25a, 17a, nach dem der Verantwortliche zwar sämtliche bei ihm vorhandenen Informationen und verfügbaren technischen Verfahren einsetzen, aber keine weiteren Daten erheben müsse, um die Identifizierung zu ermöglichen. 342 Siehe ausführlich zum Begriff der personenbezogenen Daten Kap. 2 Rn. 10ff. 343 Unklar allerdings: BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 12. 344 Gegen eine Nachweispflicht in diesem Fall und wohl auch die Anwendbarkeit von Art. 11 DSGVO in diesem Fall mit guten Gründen insgesamt ablehnend z.B. Sydow/Kampert, Art. 11 DSGVO Rn. 10; Ehmann/Selmayr/Klabunde, Art. 11 DSGVO Rn. 9; vgl. auch BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 12, 15, 22 und 24. Für eine Nachweispflicht auch bei Entfernung des Personenbezugs wohl z.B. Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 18; vgl. auch Auernhammer/Eßer, Art. 11 DSGVO Rn. 13. 345 Siehe z.B. Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 18f.; Kühling/Buchner/Weichert, Art. 11 DSGVO Rn. 16; Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 Rn. 29. 346 Siehe Simitis/Hornung/Spiecker gen. Döhmann/Dix, Art. 12 DSGVO Rn. 24; BeckOK-DS/Quaas, Art. 12 DSGVO Rn. 33.1; Gola/Frank, Art. 12 DSGVO Rn. 32; a.A. z.B. Paal/Pauly/Paal/Hennemann, Art. 12 DSGVO Rn. 49; Kühling/Buchner/Bäcker, Art. 12 DSGVO Rn. 29. 347 Siehe z.B. Ehmann/Selmayr/Heckmann/Paschke, Art. 12 DSGVO Rn. 26. 348 Kühling/Buchner/Weichert, Art. 11 DSGVO Rn. 12. 349 Laue/ Kremer/Kremer, § 2 Rn. 69. 350 Plath/Plath, Art. 11 DSGVO Rn. 11; Auernhammer/Eßer, Art. 11 DSGVO Rn. 14. 351 Gola/Gola, Art. 11 DSGVO Rn. 10; Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 20; BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 22. 352 Siehe hierzu auch die Ausführungen in Kap. 6 Rn. 228. Zu der Frage, inwieweit Art. 12 Abs. 4 DSGVO bei der Verweigerung einer Auskunftserteilung gem. Art. 15 DSGVO im Anwendungsbereich des BDSG durch § 34 Abs. 2 S. 1 und 2 BDSG modifiziert wird, siehe Kap. 6 Rn. 213. 353 Siehe Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 DSGVO Rn. 31; Auernhammer/Eßer, Art. 11 DSGVO Rn. 15. Art. 11 DSGVO entbindet den Verantwortlichen nach hier vertretener Ansicht aufgrund des insoweit eindeutigen Wortlauts nicht von der Erfüllung der Pflichten aus Art. 13 bzw. Art. 14 DSGVO (siehe z.B. auch Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 21f.; a.A. Gola/Gola, Art. 11 DSGVO Rn. 6ff.). 354 Bestehen nur begründete Zweifel im Hinblick auf die Identität des Antragstellers, der ein Betroffenenrecht geltend macht, ist dies kein Anwendungsfall des Art. 11 DSGVO. Hierfür gilt Art. 12 Abs. 6 DSGVO, siehe hierzu Kap. 6 Rn. 259ff. 355 Siehe z.B. BeckOK-DS/Wolff, Art. 11 DSGVO Rn. 25a f.; nach dem der Verantwortliche aber nur insoweit von der Pflicht zur Erfüllung der Betroffenenrechte befreit ist, wie er dafür die identifizierenden Merkmale benötigen würde, über die er nicht verfügt. 356 Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 22; Sydow/Kampert, Art. 11 DSGVO Rn. 8; a.A. Gola/Gola, Art. 11 DSGVO Rn. 6ff. 357 Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 21. Zu der in der deutschen Fassung der DSGVO in Art. 11 Abs. 2 und Art. 12 Abs. 2 S. 2 DSGVO unterschiedlich formulierten Darlegungs- und Beweislast: Simitis/Hornung/Spiecker gen. Döhmann/Dix, Art. 12 DSGVO Rn. 24 sowie ganz generell zu Unterschieden zwischen den beiden Vorschriften Simitis/Hornung/Spiecker gen. Döhmann/Hansen, Art. 11 DSGVO Rn. 34. 358 Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 23. Siehe auch Kühling/Buchner/Weichert, Art. 11 DSGVO Rn. 17, der insoweit zumindest eine Glaubhaftmachung der zusätzlich zur Verfügung gestellten Informationen durch die betroffene Person verlangt. 359 Taeger/Gabel/Wirtz, Art. 11 DSGVO Rn. 23, die zudem eine Pflicht des Verantwortlichen annimmt, der betroffenen Person, soweit dies möglich ist, die Angaben mitzuteilen, die für eine Identifizierung erforderlich sind. 360 Auch das Recht des Verantwortlichen nach Art. 12 Abs. 2 S. 2 DSGVO, die Betroffenenrechte gem. Art. 15–22 DSGVO zu verweigern, ist aufgrund der ausdrücklichen Bezugnahme auf Art. 11 Abs. 2 DSGVO und damit auch auf dessen S. 2 in diesem Fall ausgeschlossen. 361 Taeger/Gabel/Nolde, Art. 11 DSGVO Rn. 24. 362 Siehe zu nationalen Regelungen in Deutschland z.B. BeckOK-DS/Stender-Vorwachs, Art. 85 DSGVO Rn. 33ff.; Kühling/Buchner/Buchner/Tinnefeld, Art. 85 Rn. 31ff. 363 Siehe zu nationalen Regelungen in Deutschland z.B. BeckOK-DS/Schiedermair, Art. 86 DSGVO Rn. 7ff.; Kühling/Buchner/Herbst, Art. 87 DSGVO Rn. 21. 364 Siehe zu nationalen Regelungen in Deutschland z.B. BeckOK-DS/v. Lewinski, Art. 87 DSGVO Rn. 53ff.; Kühling/Buchner/Weichert, Art. 87 Rn. 22f. 365 Siehe hierzu ausführlich Kap. 15. Siehe für weitere nationale Regelungen in Deutschland z.B. Kühling/Buchner/Maschmann, Art. 88 Rn. 76ff. 366 Siehe hierzu ausführlich Kap. 15. 367 Kühling/Buchner/Buchner/Tinnefeld, Art. 89 DSGVO Rn. 1. Siehe hierzu auch die Ausführungen in Kap. 17 Rn. 317ff. Siehe zu nationalen Regelungen in Deutschland z.B. Kühling/Buchner/Buchner/Tinnefeld, Art. 89 DSGVO Rn. 28ff. 368 Siehe ausführlich hierzu Kap. 16 Rn. 87ff.