Zuletzt hatte ich schon einmal aus dem Beschluss des EDSA in einem Verfahren der irischen Aufsichtsbehörde gegen Meta Platforms (bezüglich Instagram) berichtet. Nachfolgend möchte ich auf eine weitere relevante Ansicht des EDSA aus diesem Beschluss hinweisen.

Bekanntlich enthält Art. 6 Abs. 1 DSGVO verschiedene mögliche Rechtsgrundlagen für eine Datenverarbeitung. Oftmals stellt sich in der Praxis die Frage, ob ein Verantwortlicher einer Datenverarbeitung, die etwa auf Grundlage einer Einwilligung (Art. 6 Abs. 1 a) DSGVO), Art. 6 Abs. 1 b) DSGVO (Vertragsdurchführung) oder Art. 6 Abs. 1 c) DSGVO (Erfüllung rechtlicher Pflichten) erfolgt, zusätzlich dieselbe Verarbeitung auch auf Grundlage der Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO vornehmen kann. Dies insbesondere in solchen Fällen, in denen der Verantwortliche nicht ganz sicher ist, ob die eigentlich ausgewählte Rechtsgrundlage wirklich zu 100% erfüllt ist. Oder anders formuliert: darf ein Verantwortlicher, zur Absicherung einer Datenverarbeitung etwa auf Basis einer Einwilligung, diese Datenverarbeitung auch hilfsweise auf die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO stützen?

Die Antwort hierauf gibt nun der EDSA in seinem Beschluss.

Die deutschen Aufsichtsbehörden vertraten die Auffassung, dass ein berechtigtes Interesse im Rahmen des Art. 6 Abs. 1 f) DSGVO nicht bestehen kann, wenn der für die Verarbeitung Verantwortliche es nur für den Fall geltend macht, dass Art. 6 Abs. 1 b) DSGVO auf der Grundlage des nationalen Rechts nicht auf Minderjährige anwendbar sei. Wenn also Art. 6 Abs. 1 b) DSGVO als Rechtsgrundlage nicht möglich wäre.

Der EDSA schließt sich dieser Interpretation nicht an; zumindest nicht pauschal (in Rz. 105 des Beschlusses).

Der EDSA verweist auf die Stellungnahme 6/2014 der damaligen Art. 29 Datenschutzgruppe zum Begriff des „berechtigten Interesses“ und folgenden Hinweis (S. 12):

„Andererseits kann eine angemessene Bewertung der Abwägung nach Artikel 7 Buchstabe f, häufig verbunden mit der Möglichkeit, von der Verarbeitung abzusehen, in anderen Fällen eine vertretbare Alternative zu einem unangemessenen Berufen etwa auf die Voraussetzung der „Einwilligung“ oder der „Notwendigkeit für die Erfüllung eines Vertrags“ darstellen. So gesehen, bietet Artikel 7 Buchstabe f zusätzliche Sicherheiten – die geeignete Maßnahmen erfordern – im Vergleich zu den anderen, vordefinierten Voraussetzungen“.

Daher, so der EDSA, scheint es nicht unmöglich, dass ein Verantwortlicher sich auf Art. 6 Abs. 1 f) DSGVO beruft, wenn in Anbetracht der besonderen Umstände der Verarbeitung die Anforderungen der DSGVO erfüllt sind. Der EDSA erteilt hier meines Erachtens (noch) keinen Freifahrtschein dafür, stets pauschal auch Art. 6 Abs. 1 f) DSGVO mit anzuwenden. Jedoch insbesondere in solchen Fällen, in denen die eigentlich angedachte Rechtsgrundlage (aus welchen Gründen auch immer) ein gewisses rechtliches Risiko birgt. Hierzu wird man etwa im Fall des Art. 6 Abs. 1 lit. b) DSGVO auch den Umstand zählen können, dass ein Vertrag aufgrund spezieller nationaler Regelungen nicht wirksam wäre.  Der EDSA gesteht aber in jedem Fall ein mögliches berechtigtes Interesse auch dann zu, falls Art. 6 Abs. 1 f) DSGVO dann genutzt werden soll, wenn die Voraussetzungen der eigentlich angedachten Rechtsgrundlage eventuell nicht (mehr) vorliegen – also als „Absicherung“ der Datenverarbeitung.