© 2020 Deutscher Bundestag WD 3 - 3000 - 011/20 Datenschutz und Persönlichkeitsrechte Datenweitergabe durch Dritte an Medien und juristische Personen des Privatrechts zur Marktforschung Ausarbeitung Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 2 Datenschutz und Persönlichkeitsrechte Datenweitergabe durch Dritte an Medien und juristische Personen des Privatrechts zur Marktforschung Aktenzeichen: WD 3 - 3000 - 011/20 Abschluss der Arbeit: 30. Januar 2020 Fachbereich: WD 3: Verfassung und Verwaltung Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 3 Inhaltsverzeichnis 1. Fragestellung 4 2. Datenschutzrechtliche Grundlagen 4 3. Frühere Rechtslage bzgl. Presse und Markt- und Meinungsforschung 5 4. Rechtslage nach Datenschutzgrundverordnung und nationalem Recht 6 4.1. Erfordernis der Einwilligung in die Datenverarbeitung und dazu geregelte Ausnahmen 6 4.2. Erfordernis der Zweckbindung der Datenverarbeitung, Fiktion bei Forschung und Statistik 6 4.2.1. Bestimmung des Anwendungsbereichs 7 4.2.2. Technische und organisatorische Maßnahmen 7 4.2.3. Weitere Anforderungen 8 4.3. Medienprivileg 9 4.4. Anhaltspunkte für die Abwägungsentscheidung 10 5. Weitergabe personenbezogener Daten durch private Dritte 13 6. Rechte der Betroffenen 14 7. Zusammenfassende Hinweise 15 Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 4 1. Fragestellung Diese Ausarbeitung befasst sich mit der Geltung von datenschutzrechtlichen Vorgaben und solchen zum Schutz des Persönlichkeitsrechts in dem Fall, dass Daten systematisch von juristischen Personen des Privatrechts zur Marktforschung oder Presseorgangen/Medien bei Dritten erhoben und gespeichert werden. Der Betroffene gibt dabei seine Daten nicht selbst preis, sondern Dritte (zum Beispiel Vertragspartner) werden um die freiwillige Weitergabe dieser Daten gebeten. Die rechtlichen Rahmenbedingungen für ein solches Vorgehen werden im Überblick dargestellt und Anhaltspunkte für die notwendige Abwägung der widerstreitenden Rechte der unterschiedlichen Personen dargestellt . Zudem wird zusammengefasst, welche Rechte Personen bei der Weitergabe von personenbezogenen Daten haben. 2. Datenschutzrechtliche Grundlagen Die Datenschutzgrundverordnung (DS-GVO)1 regelt unter bestimmten Umständen die Verarbeitung personenbezogener Daten von natürlichen Personen. Die Begriffe „personenbezogene Daten“ und „Verarbeitung“ werden in Art. 4 Nr. 1 und 2 DS-GVO ausdrücklich definiert. "Personenbezogene Daten" [meint] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; "Verarbeitung" [meint] jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.2 Personenbezogene Daten sind somit beispielsweise auch Informationen über Sachen, soweit diese über rechtliche Zuweisungen oder tatsächliche Umstände einer Person zugeordnet werden können.3 Insofern gehören auch Daten über die natürlichen Personen gehörenden Wohnungen, deren Größe 1 Datenschutz-Grundverordnung, Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, Amtsblatt L 119 vom 4.5.2016, S. 1, ber. Amtsblatt L 314 vom 22.11.2016, S. 72, Amtsblatt L 127 vom 23.5.2018, S. 2), in Geltung seit dem 25.5.2018. 2 Hervorhebung nur hier. 3 Karg, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Kommentar, 2019, Art. 4 Nr. 1 DS-GVO, Rn. 29. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 5 und genauen Eigentumsverhältnisse zu den von der DS-GVO erfassten personenbezogenen Daten.4 Sachbezogene Informationen werden insofern dann datenschutzrechtlich relevant, wenn sie mit den personenbezogenen Daten verknüpft werden. Dies muss selbstständig für jede Person gelten, mit der eine sachbezogene Information zusammenhängt, also zum Beispiel für Mieter und Eigentümer einer Sache unabhängig. Nicht erfasst von der DS-GVO sind die personenbezogenen Daten juristischer Personen.5 Solche können also ohne Einschränkungen seitens des Datenschutzrechts weitergegeben werden. Das Erheben, Offenlegen oder Speichern von personenbezogenen Daten gilt als datenschutzrechtlich relevantes Verarbeiten. Nach Art. 4 Nr. 7 DS-GVO sind als „Verantwortliche“ die Adressaten der Regelungen definiert. Erfasst sind allgemein natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden. In das Datenschutzregime sind also auch Privatpersonen ausdrücklich einbezogen. Das sogenannte Haushaltsprivileg nimmt Datenverarbeitungen im rein privaten Bereich aus der Geltung der DS-GVO aus, Art. 2 Abs. 2 DS-GVO. Die Datenverarbeitung müsste danach ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen werden.6 Auch das Bundesdatenschutzgesetz (BDSG)7 nimmt in § 1 Abs. 1 S. 2 BDSG eine ähnliche Definition des für die Fragestellung relevanten Anwendungsbereichs vor. „Für nichtöffentliche Stellen gilt dieses Gesetz für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, es sei denn, die Verarbeitung durch natürliche Personen erfolgt zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.“8 § 1 Abs. 5 BDSG regelt das Verhältnis der Vorschriften aus der DS-GVO und dem BDSG ausdrücklich . Die Vorschriften des BDSG finden danach dann keine Anwendung, soweit das Recht der Europäischen Union, insbesondere die DS-GVO, unmittelbar gilt. 3. Frühere Rechtslage bzgl. Presse und Markt- und Meinungsforschung Bis zum 24.5.2018, also bis zum Inkrafttreten des neuen Bundesdatenschutzgesetztes, welches der Umsetzung der EU-Datenschutzgrundverordnung diente, bestand in § 30a BDSG9 eine spezielle 4 Zu den im Mietverhältnis erhobenen Daten siehe auch: Zehelein, NJW 2019, 3047 ff. 5 Vgl. 14. Erwägungsgrund S. 2 der DS-GVO, Verordnung (EU) 2016/679 vom 27.4.2016; Schneider, Datenschutz, 2019, S. 103. 6 Vgl. 18. Erwägungsgrund der DS-GVO, Verordnung (EU) 2016/679 vom 27.4.2016; Schneider, Datenschutz, 2019, S. 96. 7 Bundesdatenschutzgesetz vom 30.6.2017 (BGBl. I S. 2097), das durch Artikel 12 des Gesetzes vom 20.11.2019 (BGBl. I S. 1626) geändert worden ist. 8 Hervorhebung nur hier. 9 § 30a BDSG in der Fassung vom 14.8.2009, gültig bis 24.5.2018. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 6 Regelung für die Erhebung und Speicherung von Daten für die Markt- oder Meinungsforschung. Danach war das geschäftsmäßige Erheben, Verarbeiten oder Nutzen personenbezogener Daten für Zwecke der Markt- oder Meinungsforschung zulässig, wenn kein Grund zu der Annahme bestand, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung hat, oder die Daten aus allgemein zugänglichen Quellen entnommen werden können, beziehungsweise die verantwortliche Stelle sie veröffentlichen durfte und das schutzwürdige Interesse des Betroffenen nicht offensichtlich überwiegt.10 Besondere Datenschutzregelungen für Presse und Medien waren früher zudem in der Fassung des § 41 BDSG enthalten, die bis 29.6.2017 galt. Danach war das Datenschutzrecht auf diese nur in sehr eingeschränktem Maße anwendbar. Die genauen Regelungen mussten in der Regel erst durch die Länder bestimmt werden. Einzig für die Deutsche Welle wurden detailliertere Regelungen in § 41 und § 42 BDSG aF geschaffen. Diese Normen wurden 2017 bzw. 2018 außer Kraft gesetzt und nur teilweise durch neue Regelungen ersetzt. 4. Rechtslage nach Datenschutzgrundverordnung und nationalem Recht 4.1. Erfordernis der Einwilligung in die Datenverarbeitung und dazu geregelte Ausnahmen Die DS-GVO hat die Verarbeitung personenbezogener Daten unter ein Verbot mit Erlaubnisvorbehalt gestellt. Danach ist die Datenverarbeitung grundsätzlich verboten, es sei denn, dass ein gesetzlicher Ermächtigungstatbestand für die Datenverarbeitung vorliegt (Art. 6 Abs. 1 DS-GVO).11 Die Datenverarbeitung ist nach Art. 6 Abs. 1 a) DS-GVO unter anderem dann zulässig, wenn die betroffene Person ihre Einwilligung zur Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte(n) Zwecke(n) gegeben hat. Eine Einwilligung in die Datenverarbeitung ist nach Art. 6 Abs. 1 f) DS-GVO dann nicht notwendig, wenn die Datenverarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, den Schutz personenbezogener Daten erfordern. Insofern muss eine Abwägung der jeweiligen Belange vorgenommen werden. Dieser datenschutzrechtliche Auffangtatbestand setzt voraus, dass die Interessen einschließlich der Grundrechte und Grundfreiheiten des Betroffenen nicht überwiegen dürfen.12 4.2. Erfordernis der Zweckbindung der Datenverarbeitung, Fiktion bei Forschung und Statistik Art. 5 Abs. 1 b) DS-GVO erklärt es zur Grundregel, dass Daten nur für einen festgelegten, eindeutigen und legitimen Zweck erhoben werden dürfen (Zweckbindung). Auch eine Weiterverarbeitung der Daten darf nicht über den ursprünglichen Zweck hinausgehen. Eine Ausnahme sieht die Regelung dann vor, wenn eine Weiterverarbeitung im öffentlichen Interesse für Archive, Wissenschaft, Forschung oder statistische Zwecke erfolgt. Nach den Vorgaben des Art. 5 Abs. 1 b) iVm Art. 89 DS-GVO gilt dann eine Weiterverarbeitung über den ursprünglichen Zweck hinaus als mit dem Zweckbindungserfordernis vereinbar. Zu betonen ist dabei, dass die Zulässigkeitsbestimmung des 10 Zu der alten Regelung ausführlich Pflüger, RDV 2010, S. 101 ff.; Hornung/Hofmann, ZD-Beilage 4/2017, S. 1 ff. 11 Leeb/Liebhaber, JuS 2018, 534, 536. 12 Schneider, Datenschutz, 2019, S. 133. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 7 Art. 5 Abs. 1 b) DS-GVO sich nur auf die Sekundärnutzung von Daten bezieht und nicht auf ihre erste Erhebung. 4.2.1. Bestimmung des Anwendungsbereichs Der Begriff der Forschung soll nach Erwägungsgrund 159 S. 2 der DS-GVO weit verstanden werden . Markt- und Meinungsforschung kann jedoch nur dann mit in diesen Tatbestand einbezogen werden, wenn sie den Anforderungen wissenschaftlicher, unabhängiger und erkenntnisgetriebener Forschung genügt.13 Die genannten statistischen Zwecke meinen den methodischen Umgang mit empirischen Daten, um Empirie (Erfahrung) und Theorie systematisch in Verbindung zu setzen.14 Dies muss aber im öffentlichen Interesse liegen und nicht darauf zielen, kommerzielle Interessen zu begünstigen.15 Die statistischen Daten können für unterschiedliche Zwecke verwendet werden. Im öffentlichen Interesse können diese Zwecke auch dann liegen, wenn sie zur Analyse eines aktuellen gesellschaftlichen Zustandes dienen sollen. Das Ziel der Weiterverarbeitung zu statistischen Zwecken muss dabei in der Gewinnung aggregierter Daten, also nicht auf die Gewinnung einzelner personenbezogener Daten liegen.16 Die DS-GVO umfasst sowohl hoheitliche Statistiken als nach überzeugender Meinung auch solche von Privaten.17 Datensammlung und -speicherung zu statistischen Zwecken führt regelmäßig nicht zu einer konkreten Belastung der betroffenen Personen, und hat deshalb nur eine geringe Eingriffsintensität in deren Recht auf personelle Selbstbestimmung.18 4.2.2. Technische und organisatorische Maßnahmen Erforderlich ist, dass die in Art. 89 Abs. 1 DS-GVO genannten Schutzvorkehrungen und Garantien für die Grundrechte und -freiheiten der Betroffenen ergriffen werden. Damit soll sichergestellt werden, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Eine solche Maßnahme kann zum Beispiel die Pseudonymisierung sein, wenn so der Zweck der Datenverarbeitung zur Forschung 13 Weichert, ZD 2020, 18, 20; ausführlich: Hornung/Hofmann, ZD-Beilage 4/2017, S. 5. 14 Roßnagel, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Kommentar, 2019, Art. 5 DS-GVO, Rn. 107, mwN; Weichert, ZD 2020, 18, 22; der 162. Erwägungsgrund der DS-GVO, Verordnung (EU) 2016/679 vom 27.4.2016 definiert wie folgt: „Unter dem Begriff ‚statistische Zwecke‘ ist jeder für die Durchführung statistischer Untersuchungen und die Erstellung statistischer Ergebnisse erforderliche Vorgang der Erhebung und Verarbeitung personenbezogener Daten zu verstehen.“ 15 Roßnagel, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Kommentar, 2019, Art. 5 DS-GVO, Rn. 107, mwN. 16 Vgl. 162. Erwägungsgrund der DS-GVO, Verordnung (EU) 2016/679 vom 27.4.2016; Roßnagel, in: Simitis/Hornung/ Spiecker (Hrsg.), Datenschutzrecht, Kommentar, 2019, Art. 5 DS-GVO, Rn. 107; Weichert, ZD 2020, 18, 22. Vgl. dazu auch § 1 Bundesstatistikgesetz und die darin genannten Zielsetzungen von Statistiken. 17 Weichert, ZD 2020, 18, 23 auch mit Nachweisen zur anderen Auffassung. 18 BVerfG, Beschluss vom 6.2.2019 – 1 BvQ 4/19; Weichert, ZD 2020, 18, 22 f. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 8 oder Statistik nicht konterkariert wird.19 Art. 89 Abs. 2 DS-GVO beinhaltet zudem eine Öffnungsklausel für die Datenverarbeitung zu statistischen und Forschungszwecken. Diese wurde in § 27 und § 50 BDSG auch genutzt. Darin hat der deutsche Gesetzgeber insbesondere Abweichungen von den Anforderungen bezüglich der Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung und Widerruf der Betroffenen (Art. 15, 16, 18 und 21 DS-GVO) erklärt. In § 27 Abs. 4 BDSG ist zudem normiert, dass der Verantwortliche die personenbezogenen Daten nur veröffentlichen darf, wenn die betroffene Person eingewilligt hat oder dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist. Die Berufsgrundsätze und Standesregeln der Markt- und Meinungsforschung geben einen sehr sensiblen Umgang mit den erhobenen Daten vor. Insbesondere schreiben sie ein striktes Pseudonymisierungs - und Anonymisierungsgebot vor.20 Personenbezogene und inhaltliche Daten werden getrennt voneinander gespeichert und gelöscht oder anonymisiert, wenn sie für den Zweck der Erhebung nicht mehr erforderlich sind. 4.2.3. Weitere Anforderungen Eine Überprüfung der Vorgaben des Art. 6 Abs. 4 DS-GVO – der regelt unter welchen Umständen eine Datenverarbeitung zu anderen Zwecken, als den von der Einwilligung oder einer Ermächtigung durch Rechtsvorschrift umfassten, möglich ist – ist unabhängig von den genannten Anforderungen vorzunehmen. Dabei muss der Verantwortliche abwägen und berücksichtigen, welche Verbindung zwischen dem ursprünglichen Zweck der Datenerhebung und dem der Weiterverarbeitung besteht (a), in welchem Zusammenhang die Daten erhoben wurden und was für ein Verhältnis zwischen den betroffenen Personen und dem Verantwortlichen besteht (b), die Art der personenbezogenen Daten und ob diese als besonders schutzbedürftig gelten (zum Beispiel gesundheitsbezogene Daten oder solche, die im Zusammenhang mit Straftaten oder strafrechtlichen Verurteilungen stehen) (c), mögliche Folgen der Weiterverarbeitung für die betroffenen Personen (d) und das Vorhandensein geeigneter Garantien, zum Beispiel durch Verschlüsselung oder Pseudonymisierung (e). Der Verantwortliche darf im Regelfall bei den genannten Weiterverarbeitungen zu statistischen Zwecken davon ausgehen, dass die Weiterverarbeitung von Daten mit dem Primärzweck vereinbar ist.21 Im Ausnahmefall kann jedoch eines der genannten Kriterien (a-e) dazu führen, dass die Fiktion nicht greift und das Verbot der Zweckentfremdung fortbesteht. Dies festzustellen erfordert eine Prüfung des Einzelfalls. Die betroffene Person muss nachweisen, dass die Fiktion der Vereinbarkeit der Zwecke für statistische oder der Forschung dienende Weiterverarbeitung nicht greift.22 Mithin liegt auch mit der DS-GVO eine Privilegierung von Maßnahmen der Forschung und Statistik vor, wie sie zum Teil auch im alten § 30a BDSG enthalten war. 19 Zu weiteren möglichen Maßnahmen die in DS-GVO und BDSG angelegt sind, vgl. Weichert, ZD 2020, 18, 22. 20 Vgl. dazu mit weiteren Nachweisen Hornung/Hofmann, ZD-Beilage 4/2017, S. 6. 21 Roßnagel, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Kommentar, 2019, Art. 5 DS-GVO, Rn. 109. 22 Paal/Pauly/Frenzel, DS-GVO, 2. Aufl. 2018, Art. 5, Rn. 32; Roßnagel, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht , Kommentar, 2019, Art. 5 DS-GVO, Rn. 110. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 9 4.3. Medienprivileg Neben den Privilegien für Forschung und Statistik enthält die DS-GVO auch ein sogenanntes Medienprivileg . Nach Art. 85 Abs. 1 DS-GVO werden die Mitgliedstaaten verpflichtet, einen Ausgleich zwischen dem Datenschutzrecht auf der einen und der Meinungs- und Informationsfreiheit auf der anderen Seite herzustellen. Art. 85 Abs. 2 DS-GVO ermöglicht für diesen Zweck Abweichungen von einem Großteil der datenschutzrechtlichen Vorgaben der DS-GVO. Erfasst werden soll davon vor allem die Datenverarbeitung zu journalistischen und wissenschaftlichen Zwecken. Der Begriff des Journalismus soll nach dem Willen des Verordnungsgebers weit ausgelegt werden.23 Erfasst werden danach als journalistische Tätigkeiten sämtliche Arten und Phasen der journalistischen Datenverarbeitung , also unter anderem die Recherche, redaktionelle Entscheidungen, publizistische Verwertungen und die Dokumentation und Archivierung.24 Die journalistischen Zwecke müssen dabei das Ziel haben, „Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten“.25 Vom Anwendungsbereich des Medienprivilegs sind auch Privatpersonen erfasst, die personenbezogene Daten mit journalistischer Zweckbestimmung an Medienunternehmen übersenden.26 Die Öffnungsklausel des Art. 85 Abs. 2 DS-GVO wurde in Deutschland in § 9c, § 57 und § 59 des Rundfunkstaatsvertrages (RStV)27 zugunsten von Rundfunkanstalten, privater Rundfunkveranstalter sowie Unternehmen und Hilfsunternehmen der Presse als Anbieter von Telemedien genutzt. Darin geregelt sind unter anderem Auskunfts- und Berichtigungsansprüche von betroffenen Personen .28 Vergleichbare Regelungen finden sich nach den jüngsten Novellierungen auch im Landesrecht (meist Landespresse und Landesmedienrecht) für Printmedien.29 Die Regelungen ermöglichen ebenso eine Verarbeitung der personenbezogenen Daten, wenn dies für die Ausübung des Rechts auf 23 Vgl. dazu auch 153. Erwägungsgrund der DS-GVO, Verordnung (EU) 2016/679 vom 27.4.2016; EuGH, Urteil vom 16.12.2008 – C‑73/07 – Tietosuojavaltuutettu/Satakunnan Markkinapörssi Oy, Satamedia Oy, Rn. 56; Weberling/ Bergann, AfP 2018, 205, 207; Soppe, ZUM 2019, 467, 468; Rombey, ZD 2019, 301, 303. 24 Soppe, ZUM 2019, 467, 470 f. auch zu den Besonderheiten der einzelnen Datenverarbeitungen von Medienunternehmen . 25 EuGH, Urteil vom 14.2.2019 – C-345/17 – Sergejs Buivids/Datu valsts inspekcija, ZUM 2019, 502; Soppe, ZUM 2019, 467, 476; Rombey, ZD 2019, 301, 303. 26 EuGH, Urteil vom 16.12.2008 – C‑73/07 – Tietosuojavaltuutettu/Satakunnan Markkinapörssi Oy, Satamedia Oy, Rn. 58; EuGH, Urteil vom 14.2.2019 – C-345/17 – Sergejs Buivids/Datu valsts inspekcija, ZUM 2019, 502; Soppe, ZUM 2019, 467, 476, sog. Leserreporter; Rombey, ZD 2019, 301, 303; siehe auch Haisch, GRUR-Prax 2019, 169. 27 Staatsvertrag für Rundfunk und Telemedien (Rundfunkstaatsvertrag - RStV) vom 31.8.1991, in der Fassung des Zweiundzwanzigsten Staatsvertrages zur Änderung rundfunkrechtlicher Staatsverträge in Kraft seit 1.5.2019. 28 Zu den Hintergründen der einzelnen Regelungen ausführlich: Begründung zum Einundzwanzigsten Staatsvertrag zur Änderung rundfunkrechtlicher Staatsverträge. Diese Änderungen betreffen neben den hier relevanten auch noch maßgeblich die Aufsicht hinsichtlich Datenschutzfragen. 29 Zum Beispiel in § 12 Abs. 3 Pressegesetz Baden-Württemberg. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 10 freie Meinungsäußerung und Information oder zur Wahrnehmung berechtigter Interessen erforderlich ist. Auch der RStV und das Landesrecht sehen also eine Abwägung der jeweiligen Rechte und Interessen vor.30 In den nationalen Reglungen wird ausdrücklich die Geltung des Art. 5 Abs. 1 f) DS-GVO vorgeschrieben und damit der Grundsatz der „Integrität und Vertraulichkeit“. Nach diesem soll bei der Datenverarbeitung angemessene Sicherheit der personenbezogenen Daten gewährleistet werden, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Dazu sind geeignete technische und organisatorische Maßnahmen zu ergreifen. Diese Maßnahmen entsprechen denen nach dem bereits erörterten Art. 89 Abs. 1 DS-GVO (siehe oben Punkt 4.2.2.). In eine ähnliche Richtung zielen die ebenfalls anwendbaren Vorgaben der Art. 24 und Art. 32 DS-GVO.31 Zudem verpflichten die Regelungen zu einem Datengeheimnis, dass eine Verarbeitung bekanntgewordener personenbezogener Daten zu anderen als journalistischen Zwecken verbietet. Durch die Ausgestaltung des Medienprivilegs in Art. 85 DS-GVO und dem nationalen Recht wurde das sonst im Datenschutzrecht geltende Verbot mit Erlaubnisvorbehalt (siehe oben Punkt 2.3.1.) für die Verarbeitung personenbezogener Daten pauschal aufgehoben.32 4.4. Anhaltspunkte für die Abwägungsentscheidung Sowohl im Rahmen der Anwendung des Medienprivilegs (siehe oben Punkt 4.3.) als auch für die Zweckvereinbarkeitsprüfung nach Art. 6 Abs. 4 DS-GVO (siehe oben Punkt 4.2.3.) sowie für die Rechtfertigung bei fehlender Einwilligung nach Art. 6 Abs. 1 DS-GVO (siehe oben Punkt 4.1.) muss eine Abwägung der widerstreitenden Rechte und Interessen erfolgen. Anhaltspunkte für diese Abwägung, die im Einzelfall relevant werden können, werden im Folgenden gebündelt dargestellt. Bei der Abwägung sind die berechtigten Interessen der Verantwortlichen (zum Beispiel Forschungsinstitute oder Presseorgane) und möglicherweise von Dritten (Auftraggebern oder der am Ergebnis interessierten Öffentlichkeit), mit den Interessen, Grundfreiheiten und -rechten der betroffenen Person (Adressat der Datenerhebung bzw. Person, deren persönliche Daten betroffen sind) zu berücksichtigen .33 Die Anforderungen an ein berechtigtes Interesse als Rechtfertigungsgrund sind 30 Für diese Ausarbeitung konnten nicht alle Landespressegesetzte genau ausgewertet werden. Soweit ersichtlich orientieren diese sich regelmäßig an den Regelungen des RStV. Vgl. dazu auch: Weberling/Bergann, AfP 2018, 205, 208; Specht/Bienemann, in: Sydow (Hrsg.), Europäische Datenschutzgrundverordnung, DSGVO, Art. 85, Rn. 12; Eine Übersicht mit allen nationalen Regelungen, in denen von der Öffnungsklausel Gebrauch gemacht wurde, findet sich unter https://ec.europa.eu/info/law/law-topic/data-protection/data-protection-eu/eu-countries-gdpr-specific -notifications (zuletzt aufgerufen am 29.1.2020). 31 Vgl. zu den Regelungen ausführlich Weberling/Bergann, AfP 2018, 205, 207 f. 32 Siehe auch Rombey, ZD 2019, 301, 304. 33 Hornung/Hofmann, ZD-Beilage 4/2017, S. 5. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 11 relativ niedrig.34 Die berechtigten Interessen werden in Erwägungsgrund 47 zur DS-GVO näher beschrieben. „Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen , auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht. Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen. (…)“ Als berechtigtes Interesse der Verantwortlichen gilt für die Markt- und Meinungsforschung zunächst , dass diese mittels wissenschaftlicher Methoden und Techniken notwendige Informationen als empirische Grundlage und zur Unterstützung wirtschaftlicher, gesellschaftlicher und politischer Entscheidungen bereitstellt.35 Sie ist damit für die genannten Bereiche ein wichtiger Impulsgeber und so regelmäßig von öffentlichem Interesse. In der Abwägung ist auch die Entscheidung des Verordnungsgebers, die Forschung und Statistik an zahlreichen Stellen in der Verordnung zu privilegieren – und damit ihren besonderen Wert – mit einzubeziehen.36 Zudem ist auch das Grundrecht auf freie Forschung nach Art. 5 Abs. 3 S. 1 Grundgesetz (GG) zu beachten.37 Ebenso ist die Privilegierung des Journalismus – im Sinne der Grundrechtsverwirklichung der Meinungs- und Informationsfreiheit, Art. 5 Abs. 1 S. 1 und 2 GG – zu verstehen. Zum früher in § 41 BDSG aF geltenden Medienprivileg stellte das Bundesverwaltungsgericht bereits dessen besondere Bedeutung für die Grundrechtsverwirklichung fest: „Das Medienprivileg stellt die Presse bei der Erfüllung ihrer in Art. 5 Abs. 1 Satz 2 GG zuerkannten und garantierten Aufgaben von der Einhaltung von Datenschutzvorschriften weitgehend frei, denn ohne Erhebung, Verarbeitung und Nutzung personenbezogener Daten auch ohne Einwilligung der Betroffenen wäre journalistische Arbeit nicht möglich; die Presse könnte ihre in Art. 5 Abs. 1 Satz 2 GG, 34 Hornung/Hofmann, ZD-Beilage 4/2017, S. 5. 35 Hornung/Hofmann, ZD-Beilage 4/2017, S. 5; der Innenausschuss des Deutschen Bundestages bezeichnete die Markt- und Meinungsforschung in seiner Stellungnahme zu § 30a BDSG aF als „wichtige gesellschaftliche Aufgabe“, BT-Drs. 16/13657, S. 19 f. 36 Hornung/Hofmann, ZD-Beilage 4/2017, S. 3. 37 Vgl. Weichert, ZD 2020, 18, 21. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 12 Art. 10 Abs. 1 Satz 2 EMRK, Art. 11 Abs. 1 GRC zuerkannten und garantierten Aufgaben nicht wahrnehmen.“38 Die Betroffenen werden grundgesetzlich durch das Grundrecht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 GG iVm Art. 1 Abs. 1 GG) geschützt,39 welches in die Abwägung einzustellen ist. Dabei ist auch zu berücksichtigen, dass das Datenschutzrecht von seiner Konzeption her als Vorfeldschutz dient, so dass es keiner tatsächlichen Beeinträchtigung von deren Grundrechten, -freiheiten oder Interessen bedarf.40 Der Europäische Gerichtshof (EuGH) und der Europäische Gerichtshof für Menschenrechte (EGMR) haben Auslegungshilfen niedergelegt, die dem Rechtsanwender abstrakte Anhaltspunkte für die Abwägung der kollidierenden Grundrechtspositionen des Rechts auf Achtung des Privatlebens und des Rechts auf freie Meinungsäußerung geben sollen. Sie nennen ausdrücklich: – den Beitrag zu einer Debatte von allgemeinem Interesse, – den Bekanntheitsgrad der betroffenen Person, – den Gegenstand der Berichterstattung, – das vorangegangene Verhalten der betroffenen Person, – Inhalt, Form und Auswirkungen der Veröffentlichung, – die Art und Weise sowie die Umstände, unter denen die Informationen erlangt worden sind, – die Richtigkeit der Informationen und – ob der Verantwortliche für die Verarbeitung Maßnahmen ergreift, die es ermöglichen, das Ausmaß des Eingriffs in das Recht auf Privatsphäre zu verringern.41 Damit weisen die Gerichte auch noch einmal darauf hin, dass die Maßnahmen, die die Verantwortlichen ergreifen, um die Eingriffstiefe gering zu halten (Anonymisierung, Pseudonymisierung, Datenminimierung, Löschung etc.), mit in der Abwägung zu berücksichtigen sind. 38 BVerwG, ZUM-RD 2016, 206, 207, mwN. Hervorhebung nur hier. Siehe auch Grabenwarter, in: Maunz/Dürig (Hrsg.), 88. EL August 2019, GG Art. 5 Abs. 1, Abs. 2, Rn. 480. 39 Weichert, ZD 2020, 18, 21. 40 Hornung/Hofmann, ZD-Beilage 4/2017, S. 6. 41 EuGH, Urteil vom 14.2.2019 – C-345/17 – Sergejs Buivids/Datu valsts inspekcija, ZUM 2019, 502, Rn. 66; EGMR, Entscheidung vom 27.6.2017 – Satakunnan Markkinapörssi Oy und Satamedia Oy/Finnland, § 165; Rombey, ZD 2019, 301, 303. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 13 Auch bezüglich der Datenerfassung zu statistischen Zwecken hat das Bundesverfassungsgericht im Urteil zum Volkszählungsgesetz 1983 bereits wichtige Hinweise für die Abwägung zwischen dem Recht auf informationelle Selbstbestimmung und anderen Interessen gegeben. „Dieses Recht auf "informationelle Selbstbestimmung" ist nicht schrankenlos gewährleistet. Der Einzelne hat nicht ein Recht im Sinne einer absoluten, uneinschränkbaren Herrschaft über "seine" Daten; er ist vielmehr eine sich innerhalb der sozialen Gemeinschaft entfaltende, auf Kommunikation angewiesene Persönlichkeit. Information, auch soweit sie personenbezogen ist, stellt ein Abbild sozialer Realität dar, das nicht ausschließlich dem Betroffenen allein zugeordnet werden kann. Das Grundgesetz hat, wie in der Rechtsprechung des Bundesverfassungsgerichts mehrfach hervorgehoben ist, die Spannung Individuum - Gemeinschaft im Sinne der Gemeinschaftsbezogenheit und Gemeinschaftsgebundenheit der Person entschieden [mwN]. Grundsätzlich muß daher der Einzelne Einschränkungen seines Rechts auf informationelle Selbstbestimmung im überwiegenden Allgemeininteresse hinnehmen.“42 Die Abwägung ist dabei stets unter Berücksichtigung der Umstände des Einzelfalls vorzunehmen. 5. Weitergabe personenbezogener Daten durch private Dritte Des Weiteren stellt sich die Frage der datenschutzrechtlichen Zulässigkeit der Weitergabe privater Daten durch Dritte zu den bereits analysierten Zwecken. Grundsätzlich sind auch Dritte an das Datenschutzrecht gebunden, wenn sie personenbezogene Daten anderer weitergeben. Wem ein bestimmtes (auch sachbezogenes) Datum zuzurechnen ist, ist dabei stets individuell zu prüfen.43 Bezüglich der Weitergabe zu journalistischen Zwecken wurde bereits der weite Anwendungsbereich des Medienprivilegs festgestellt (siehe oben Punkt 4.3.). Danach sind auch Privatpersonen, die keine Berufsjournalisten sind, von diesem umfasst mit den dargestellten Einschränkungen für die Geltung des Datenschutzrechts für die Betroffenen. Diese Privilegierung gilt nicht nur, wenn die Personen selbst als sogenannte Bürgerreporter oder Laienjournalisten selbst publizistisch tätig werden, sondern auch, wenn sie an die Medien entsprechende personenbezogene Daten weitergeben, die dann durch Redaktionen etc. journalistisch verwertet werden sollen. Dies folgt aus der umfassenden Definition der geschützten journalistischen Tätigkeiten und der hohen grundrechtlichen Bedeutung der freien Presse für die Demokratie. Von wem dabei die Initiative für die Informationsweitergabe ausgeht, führt zu keiner unterschiedlichen Bewertung. Es muss also irrelevant sein, ob ein Journalist einen Bürger nach Informationen fragt, oder ob der Bürger die Daten aus intrinsischen Motivationen an die Presse/Medien weitergibt. Art. 14 DS-GVO regelt Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden. Insofern geht die DS-GVO grundlegend davon aus, dass eine Informationserhebung bei Dritten möglich ist. Es gibt nach der DS-GVO gerade keinen Grundsatz, dass die personenbezogenen Daten bei den Betroffenen direkt zu erheben sind.44 Daher können 42 BVerfGE 65, 1, 44. Vgl. bezüglich der Abwägung des Rechts auf informationelle Selbstbestimmung und dem presserechtlichen Auskunftsanspruch aktuell auch BVerwG, Urteil vom 27.9.2018 – 7 C 5/17, dazu Schnabel, DÖV 2019, 653, 656. 43 Siehe bereits oben Punkt 2. 44 Dix, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Kommentar, 2019, Art. 14 DS-GVO, Rn. 1. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 14 auch Daten zum Zweck der Forschung oder Statistik bei Dritten erhoben werden. Die Berücksichtigung der jeweiligen Rechte und Erfordernisse der Abwägung wird dabei vorausgesetzt. 6. Rechte der Betroffenen Art. 14 Abs. 5 b) DS-GVO macht von den genannten Informationspflichten eine Ausnahme, wenn sich die Erteilung dieser Informationen als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke. Der Verantwortliche muss dann aber geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit, ergreifen. Als Anhaltspunkt dafür, dass es sich als unverhältnismäßig erweist, alle Betroffenen zu informieren kann auch die Zahl der betroffenen Personen herangezogen werden, ebenso wie geeignete Garantien.45 Eine weitere Privilegierung für Zwecke der Forschung und Statistik ergibt sich auch nach Art. 17 Abs. 3 d) DS-GVO. Danach ist das sonst bestehende Recht auf Löschung der Daten („Recht auf Vergessenwerden“) nicht anwendbar. Nach Art. 21 Abs. 6 DS-GVO haben die Betroffenen jedoch die Möglichkeit, Widerspruch gegen die Verarbeitung der Daten zu Forschungs- oder Statistikzwecken einzulegen.46 Ausgeschlossen ist diese Widerspruchsmöglichkeit jedoch dann, wenn die Verarbeitung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist. Die Erforderlichkeit ist lediglich glaubhaft zu machen und unterliegt keinen weiteren Anforderungen . Dennoch genießen die Zwecke der Statistik und Forschung vor dem Persönlichkeitsrecht keinen absoluten Vorrang. Solange ausreichende geeignete und erforderliche Maßnahmen zur technischen und organisatorischen Minimierung der Verarbeitung persönlicher Daten jedoch vom Verantwortlichen vorgenommen werden (Art. 89 Abs. 1 S. 2 DS-GVO), kann aber vom Bestehen des überwiegenden öffentlichen Interesses ausgegangen werden.47 Für die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung und Widerruf der Betroffenen (Art. 15, 16, 18 und 21 DS-GVO) wurden in § 27 Abs. 2 BDSG Beschränkungen geregelt. Sie sind soweit beschränkt, wie diese „Rechte voraussichtlich die Verwirklichung der Forschungsoder Statistikzwecke unmöglich machen oder ernsthaft beinträchtigen und die Beschränkung für die Erfüllung der Forschungs- oder Statistikzwecke notwendig ist. Das Recht auf Auskunft gemäß Artikel 15 der Verordnung (EU) 2016/679 besteht darüber hinaus nicht, wenn die Daten für Zwecke der wissenschaftlichen Forschung erforderlich sind und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde.“ Für die Betroffenen, deren Daten im Rahmen des Medienprivilegs verarbeitet wurden, gelten die oben genannten noch weiter eingeschränkten Rechte (siehe oben Punkt 4.3.) 45 Vgl. 62. Erwägungsgrund der DS-GVO, Verordnung (EU) 2016/679 vom 27.4.2016. 46 Hornung/Hofmann, ZD-Beilage 4/2017, S. 2 f. 47 Caspar, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Kommentar, 2019, Art. 21 DS-GVO, Rn. 40. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 011/20 Seite 15 7. Zusammenfassende Hinweise Journalistische Tätigkeiten und Zwecke der Forschung und Statistik sind in der DS-GVO besonders privilegiert und einem weniger strengen Regime an Datenschutzanforderungen unterworfen. Solange eine Datenerhebung oder -verarbeitung diesen Zielen dient, werden Konflikte mit dem Recht auf den Schutz personenbezogener Daten nicht zwingend zugunsten des Datenschutzes gelöst und eine dezidierte Abwägung im Einzelfall erforderlich.48 Auch Privatpersonen können für die Weitergabe personenbezogener Daten zu diesen Zwecken privilegiert sein. Dies gilt auch für Hilfspersonen und -unternehmen, die im Rahmen der entsprechenden Datenverarbeitung tätig werden. *** 48 Vgl. dazu auch: Weberling/Bergann, AfP 2018, 205, 207.