Entgegen dem Wortlaut hat das Datenschutzrecht nicht den Schutz der Daten zum Gegenstand, sondern dient vielmehr dem Schutz von Personen. Aus diesem Grund unterliegen auch nur personenbezogene Daten dem Schutzbereich der DSGVO (und des DSG).

Mit personenbezogenen Daten sind jene Informationen gemeint, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.* Konsequenterweise gilt deshalb das Datenschutzrecht nicht für anonyme Informationen.* Damit sind jene Informationen gemeint, die sich (von vornherein) nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder solche personenbezogenen Daten, die (nachträglich) in einer Weise anonymisiert worden sind, dass betroffene Personen nicht oder nicht mehr identifiziert werden können.*

Bei Geburtsdaten, die einer Person zugeordnet sind (Johannes W., 20.12.1987), handelt es sich unstreitig um personenbezogene Daten. Sie beziehen sich auf eine identifizierte Person.

Anspruchsberechtigt ist nach Art 17 Abs 1 DSGVO nur die betroffene Person.* Dabei handelt es sich um jene (identifizierte oder identifizierbare) natürliche Person, auf die sich die personenbezogenen Daten beziehen.* Johannes W. kann deshalb grundsätzlich die Löschung der ihn betreffenden personenbezogenen Daten verlangen.

Die betroffene Person muss ihre Ansprüche nach Art 17 Abs 1 DSGVO gegenüber dem Verantwortlichen geltend machen.* Es stellt sich die Frage, wer bei der Verarbeitung des Exports der Geburtsdaten Verantwortlicher iSd DSGVO ist.

Beim Verantwortlichen handelt es sich um diejenige (natürliche oder juristische) Person, die über die Mittel und Zwecke einer Verarbeitung entscheidet.* Nach der Rsp des EuGH ist der Begriff des Verantwortlichen sehr weit auszulegen.*

Entscheidend für die Qualifikation als Verantwortlicher ist aber nicht die Tatsache, ob eine Person die Daten selbst verarbeitet, sich in deren Besitz befindet oder über die Herrschaft der Daten in 478 physischer Form verfügt, sondern wer darüber entscheidet (Entscheidungsfunktion).*

Trifft eine Person eine Entscheidung, dass Daten zu verarbeiten sind, sind ihr sämtliche Personen und Stellen funktional zuzurechnen, die unter ihrer Aufsicht bzw Anweisung Datenverarbeitungsschritte vornehmen (Hilfsorgane). Darüber hinaus entscheiden in der Praxis stets natürliche Personen über Mittel und Zwecke einer Verarbeitung. Deshalb ist ebenso zu ermitteln, wem das Handeln der natürlichen Person zuzurechnen ist, den handelnden Personen selbst oder der Organisation, für die sie gegebenenfalls tätig werden.*

Für den vorliegenden Sachverhalt bedeutet dies, dass die Seilbahnen GmbH als Verantwortliche iSd DSGVO zu qualifizieren ist. Die Weisungen des Geschäftsführers zum Export der Geburtstagsliste sind der Gesellschaft zweifellos zuzurechnen. Die Verarbeitung erfolgt nicht für eigene private Zwecke, sondern dienen (iwS) dem Unternehmenswohl.

Nicht als Verantwortlicher sind hingegen die AN der Seilbahnen GmbH zu qualifizieren, die den Export der Geburtstagsliste faktisch durchführen. Sie sind bloße Hilfsorgane, deren Handeln dem Verantwortlichen funktional zuzurechnen ist. Dogmatisch wird dies mit den typischen Wesensmerkmalen des Arbeitsverhältnisses (insb den Weisungs- und Direktionsrechten) begründet. Die AN sind weisungsgebunden, weshalb die Handlungen dem Geschäftsführer und letztlich der Gesellschaft zuzurechnen sind.*

Schon in Art 5 lit e DSGVO normiert das Unionsrecht den Verarbeitungsgrundsatz der Speicherbegrenzung. Damit ist gemeint, dass Verantwortliche von vornherein überlegen müssen, wann zu verarbeitende Daten wieder gelöscht werden müssen. Dadurch wird eine Art Lebenszyklus für Daten implementiert, nach dem Daten zunächst erhoben, verarbeitet, verwendet und abschließend wieder gelöscht werden (Information Lifecycle Management).* Dieser Grundsatz wird durch Art 17 DSGVO konkretisiert. Tatsächlich legt Art 17 Abs 1 DSGVO dem Verantwortlichen eine „doppelte“ Löschpflicht auf: Die Löschpflichten des Verantwortlichen und das korrespondierende subjektive Recht auf Löschung („Recht auf Vergessenwerden“) der Betroffenen.*

Entgegen der weitverbreiteten Meinung müssen Daten auf Wunsch des Betroffenen aber nicht immer gelöscht werden, sondern nur dann, wenn einer der nachfolgenden Löschgründe vorliegt:

• die personenbezogenen Daten sind für die Verarbeitungszwecke nicht mehr notwendig;

• die betroffene Person widerruft ihre Einwilligung oder legt einen (begründeten) Widerspruch gegen die Verarbeitung ein und es fehlt an einer anderweitigen Rechtsgrundlage;

• die personenbezogenen Daten wurden unrechtmäßig verarbeitet;

• die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt;

• die personenbezogenen Daten wurden in Bezug auf angebotene Dienste einer Informationsgesellschaft gem Art 8 Abs 1 DSGVO erhoben.*

Für den vorliegenden Sachverhalt kommt insb der Löschgrund der unrechtmäßigen Verarbeitung in Betracht.

Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, ein entsprechender Rechtmäßigkeitstatbestand (siehe Art 6 DSGVO für „normale personenbezogene Daten“ bzw Art 9 DSGVO für besondere Kategorien personenbezogener Daten) liegt vor (Verbot mit Erlaubnisvorbehalt).* MaW: Eine Datenverarbeitung ist dann unrechtmäßig, wenn keine Rechtsgrundlage für die Verarbeitung vorliegt. Andere Rechtsverstöße bei der Verarbeitung führen hingegen nicht zu einem Löschungsanspruch gem Art 17 Abs 1 DSGVO.*

Für die in Rede stehende Verarbeitung des Exports einer Geburtstagsliste stellt sich nun die zentrale Frage nach der Rechtmäßigkeit. Da es sich im vorliegenden Fall nicht um sensible Daten iSd Art 9 DSGVO handelt, kommen insb die nachfolgenden vier Rechtfertigungsgründe in Betracht:

• die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, [...] erforderlich (Art 6 Abs 1 lit b DSGVO);

• die Verarbeitung ist zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen der Betroffenen überwiegen (Art 6 Abs 1 lit f DSGVO);

• die Verarbeitung ist erforderlich, damit der Verantwortliche [...] die ihm [...] aus dem Arbeitsrecht [...] erwachsenden Rechte ausüben und seinen diesbezüglichen Pflichten nachkommen kann [...] (Art 9 Abs 2 lit b DSGVO per analogiam);

• die betroffene Person hat ihre Einwilligung zur Verarbeitung gegeben (Art 6 Abs 1 lit a DSGVO). 479

Im vorliegenden Fall ist der monatliche Export der Geburtsdaten der MitarbeiterInnen aufgrund eines vorliegenden berechtigten Interesses zulässig. Denkbar wäre darüber hinaus auch eine Einwilligung als Rechtmäßigkeitstatbestand, der Sachverhalt gibt dazu aber keine Hinweise.

Johannes W. dringt mit seinem Löschbegehren gem Art 17 Abs 1 DSGVO nicht durch. Die Seilbahn GmbH muss gegenüber Johannes W. die Ablehnung 481 des Löschbegehrens begründen und auf die weiteren Durchsetzungsmöglichkeiten, insb das Recht auf Beschwerde bei der Datenschutzbehörde, hinweisen (vgl Art 12 Abs 4 DSGVO).*

Die Frage nach der Rechtmäßigkeit stellt sich stets für Verarbeitungen iSd DSGVO. Was aber genau unter einer Verarbeitung zu verstehen ist und wie feingliedrig Verarbeitungen von anderen Verarbeitungen abzugrenzen sind, ist in der Praxis nach wie vor sehr unklar. Zwar enthält die DSGVO zum Verarbeitungsbegriff eine Legaldefinition, die ausführlich beschreibt, welche Tätigkeiten eine Verarbeitung darstellen können (Erheben, Erfassen, Ordnen etc), aber nicht erwähnt, dass es sich beim Verarbeitungsbegriff um einen zweckbezogenen Begriff handelt. Unter Rückgriff auf den – gelungeneren – Begriff der „Datenanwendung“ des DSG 2000,* lässt sich eine Verarbeitung als die Summe der in ihrem Ablauf logisch verbundenen Verwendungsschritte zur Erreichung eines inhaltlich bestimmten Zweckes beschreiben.*

Die Durchführung der Selektion der entsprechenden Geburtsdaten der MitarbeiterInnen, die technische Umwandlung in ein neues Format (Export) sowie die Offenlegung an den Geschäftsführer sowie die Übermittlung an den BR zum Zweck der Durchführung einer persönlichen Gratulation sind jeweils als Verarbeitung iSd DSGVO zu qualifizieren. Nicht von der DSGVO erfasst ist hingegen die faktische Gratulation durch den Chef bzw den BR selbst. Ein möglicher Schutz besteht hier allenfalls nach § 1 DSG, allerdings erst ab Überschreitung einer bestimmten Wahrnehmungsschwelle für Dritte (etwa betriebsöffentlich wahrnehmbare Gratulationen).

Fraglich ist nun aber, wie feingliedrig bzw granular Datenverarbeitungen beschrieben und voneinander abgegrenzt werden müssen. Im konkreten Fall könnte die Gratulation nämlich Teil einer „größeren“ Verarbeitung, etwa einer Verarbeitung „Personalverwaltung“ oder „Unternehmensführung“, sein. In der Tat empfiehlt sich in der Praxis aber eine feingliedrigere Abgrenzung der einzelnen Verarbeitungen, was zwar zu einer größeren Zahl an Verarbeitungen führt, aber eine bessere Abwägung und Umsetzung der rechtlichen Bestimmungen ermöglicht. Zweckbeschreibungen, wie „Verbesserung der Benutzerfreundlichkeit“, „Marketingzwecke“, „Zwecke der IT-Sicherheit“, „künftige Forschung“, sind jedenfalls zu allgemein und erfüllen nicht das Kriterium der hinreichenden Bestimmtheit.*

Jedenfalls ist aber dann von unterschiedlichen Verarbeitungen auszugehen, wenn unterschiedliche Rechtsgrundlagen verwendet werden bzw unterschiedliche Löschfristen vorliegen.*

Im vorliegenden Fall ist es jedenfalls geboten, den Export der Geburtstagslisten und die damit verbundenen Verarbeitungsschritte jeweils als eigene Verarbeitung zu betrachten.

Weil in diesem Zusammenhang erwähnenswert, soll an dieser Stelle auch auf das Thema der Zweckänderung eingegangen werden. Wie sich aus dem Sachverhalt ergibt, werden die Daten aus dem Personalführungssystem exportiert. Es stellt sich die Frage, ob der Export (zu Zwecken des BR) nicht eine zweckwidrige Weiterverarbeitung darstellt, immerhin dürfen personenbezogene Daten nur für (im Vorhinein) festgelegte, eindeutige und legitime Zweck erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Es wäre deshalb grundsätzlich nicht erlaubt, vorhandene Daten für andere Zwecke zu verwenden.

Der Zweckbindungsgrundsatz wurde im Rahmen der DSGVO aber insoweit liberalisiert, als auch Weiterverarbeitungen zu anderen Zwecken zulässig sind, soweit sie mit dem ursprünglichen Zweck der Verarbeitung noch vereinbar sind. Hierzu sieht Art 6 Abs 4 DSGVO einen Kompatibilitätstest vor. Zu prüfen wäre beispielsweise, ob die Weiterverarbeitung zum Zweck der Geburtstagsgratulation durch den Geschäftsführer noch mit dem ursprünglichen Erhebungszweck, etwa der (unproblematischen) Erfüllung von sozialversicherungsrechtlichen Pflichten, vereinbar ist.

Zwar berechtigt ein Verstoß gegen den Zweckbindungsgrundsatz gem Art 5 DSGVO nach der oben vertretenen Meinung nicht zur Löschung der Daten, allerdings wird in der Literatur vertreten, dass bei Bestehen des Kompatibilitätstests gem Art 6 Abs 4 DSGVO kein weiterer Erlaubnistatbestand notwendig sei.* Für unseren Fall würde dies bedeuten, dass – sofern der Export der Geburtsdaten noch mit dem Erhebungszweck vereinbar ist (was abhängig vom konkreten Erhebungszweck aber wohl häufig der Fall sein wird) – keine Rechtsgrundlage mehr vorliegt und dementsprechend der Löschgrund der Unrechtmäßigkeit von vornherein ausscheiden müsste. Entstehungsgeschichte, Regelungssystematik und Wortlaut des Art 6 Abs 4 DSGVO sprechen mE aber dafür, dass der Kompatibilitätstest des Abs 4 eine zweckändernde Datenverarbeitung nicht zu einer rechtmäßigen Verarbeitung machen kann,* weshalb auch bei Zweckänderungen eine 482 Rechtmäßigkeitsprüfung (wie oben) zu erfolgen hat.

Während die Zurverfügungstellung der Geburtsdaten an den Geschäftsführer der Seilbahnen GmbH zuzurechnen ist, ist die Verantwortlichkeit bei Übermittlung der Informationen an den BR nicht mehr so klar. Die hM geht nämlich davon aus, dass es sich beim BR idR um einen eigenen – von der jeweiligen Organisation getrennten – Verantwortlichen handelt. Denn letztlich ist es der BR, der über die Vornahme und den Modus bestimmter Datenverarbeitungen entscheidet. Soweit der BR „Herr der Daten“ ist, ist dieser jedenfalls Verantwortlicher iSd DSGVO, auch wenn die Daten vom AG stammen.* Der AG selbst ist auch nicht Auftragsverarbeiter,* sondern selbst für die Übermittlung der Daten an den BR Verantwortlicher, und benötigt für die Übermittlung einen Rechtmäßigkeitstatbestand. Es handelt sich somit um eine Übermittlung von Verantwortlichem zu Verantwortlichem.

Bei der Geburtstagsgratulation durch den BR handelt es sich um eine Handlung, die von den ausdrücklich im ArbVG beschriebenen Aufgaben eines BR nicht erfasst ist. Sie befindet sich sozusagen außerhalb des durch ausdrückliche Normen abgesteckten Regelungsrahmens des ArbVG. Dies könnte sich insb beim grundsätzlich in Frage kommenden Rechtmäßigkeitstatbestand des „berechtigten Interesses“ auswirken, weil die betroffenen AN zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vernünftigerweise damit rechnen konnten, dass auch eine Datenübermittlung für Zwecke des BR erfolgen wird. Auch wird in der Datenschutzerklärung für MitarbeiterInnen nicht darüber informiert. Die offensichtlich nicht vorhandenen angemessenen technischen und organisatorischen Sicherheitsmaßnahmen (Art 32 DSGVO) sind ebenso im Rahmen der Interessenabwägung zu berücksichtigen. Die Verarbeitung zur Geburtstagsgratulation durch den BR ist im vorliegenden Fall wegen deren schutzwürdigeren Interessen iSd Art 6 Abs 1 lit f DSGVO unzulässig.*

Als Rechtmäßigkeitstatbestand verbliebe dann noch die Einwilligung der betroffenen Personen gem § 6 Abs 1 lit a DSGVO. Die Ausführungen zur Freiwilligkeit (siehe oben) sind hier sinngemäß zu beachten. Für eine Einwilligung gibt es im Sachverhalt aber keinerlei Hinweise.

Anders als die Verarbeitung zur Gratulation durch den Geschäftsführer sind die vorgelagerten Datenverarbeitungen für Gratulationen durch den BR nicht durch Art 6 Abs 1 lit f DSGVO zu rechtfertigen. Denkbar wäre hingegen eine Einwilligung, für die es im Sachverhalt aber keine Hinweise gibt, weshalb Johannes W. mit seinem Löschbegehren (hinsichtlich seiner Daten auf der Geburtstagsliste des BR) durchdringt.