DSGVO Art. 6: Wann Datenverabeitung erlaubt ist

Für Episode 48 des c't-Datenschutz-Podcasts hatten sich Joerg und
Holger auf die Anregung eines Hörers vorgenommen, ausgiebig zu
klären, wann Datenverarbeitungen nach DSGVO erlaubt sind.
Herausgekommen ist eine Auslegungssache mit deutlicher Überlänge.
Die Zeit ist gut investiert, denn als Podcast-Gast erläutert der
auf Datenschutz spezialisierte Rechtsanwalt Sascha Kremer die
Sachlage auch für Laien verständlich und anhand vieler konkreter
Beispiele. Als Mantra der DSGVO gilt: Jede Verarbeitung von
personenbezogenen Daten ist verboten, außer es existiert eine
Erlaubnis ("Verbot mit Erlaubnisvorbehalt"). Was erlaubt ist,
regelt Art. 6 DSGVO, der die sechs möglichen Rechtsgrundlagen
definiert. Am Beginn der Liste steht die infomierte Einwilligung
der betroffenen Person. Jeder kennt sie, beispielsweise durch die
Websites vergeschalteten Cookie-Banner. Unternehmen mögen sie sie
nicht sonderlich, weil sie jederzeit widerrufbar ist. Lieber ist
ihnen, sich auf die erlaubte Datenverarbeitung im Umfeld eines
Vertragsschlusses zu berufen. Diese greift bereits bei der
Anbahnung, beispielsweise wenn ein potenzieller Kunde Produkte in
den Warenkorb eines Onlineshops legt. In der Podcast-Episode legen
Joerg und Sascha Kremer ein besonderes Augenmerk auf Art. 6 Abs.
1f, aus die erlaubte "Verarbeitung zur Wahrung der berechtigten
Interessen des Verantwortlichen oder eines Dritten". Joerg
bezeichnet diese Rechtsgrundlage als "Auffangvorschrift". Kremer
weist darauf hin, dass diese Rechtsgrundlage oft falsch verstanden
wird: Es gehe nicht nur ums berechtigte Interesse des
Verarbeitenden, sondern um eine Abwägung von Interessen des
Verarbeitenden, der betroffenen Person und vielleicht auch noch
Dritter. Deshalb lasse sich daraus keinesfalls ein Freibrief
konstruieren. Anhand von Beispielen werfen die drei Diskutanten
Interessen auf beide Seiten der Waage und schauen, wann tatsächlich
"berechtigtes Interesse" vorliegt.