Der Wahnsinn hat Methode. Nach #Klingelschildgate („Dingdong, Datenschutz“) nun #Wunschzettelgate. Auch der Weihnachtsmann muss sich jetzt dem allumfassenden Geltungsanspruch des Datenschutzrechts beugen.

I. Sachverhalt

An den Weihnachtsbaum auf dem Weihnachtsmarkt der Stadt Roth konnten Kinder traditionell Wunschzettel hängen. Wenn sie dort ihren Namen und ihre Adresse hinterließen, erfüllten entweder die Stadt oder Sponsoren die Wünsche der Kinder. Hierfür war aber natürlich die Weitergabe der Kontaktdaten der Kinder an die Wunscherfüller erforderlich. Die Stadt sah sich in diesem Jahr nicht mehr in der Lage, die datenschutzrechtlichen Anforderungen zu erfüllen, und sagte die Aktion ab.

Das rief den Radiosender Antenne Bayern auf den Plan („Antenne Bayern rettet Weihnachtstradition“), die eine von den Eltern der Kinder zu unterzeichnende Einwilligungserklärung ins Netz stellte. Die Einwilligungserklärung wird – versehen mit dem Logo von Antenne Bayern (!) – nun auch von der Stadt Roth zum Download bereit gehalten.

II. Reaktion der Europäischen Kommission

Spätestens seitdem sich nun auch die Europäische Kommission zu Wort gemeldet hat, ist #Wunschzettelgate zum Politikum geworden. Die Erklärung der Kommission hat folgenden Wortlaut:

„Die Europäische Datenschutzgrundverordnung verbietet in keiner Weise Wunschzettel-Aktionen zu Weihnachten. Berichte, die auf das Gegenteil schließen lassen, sind falsch. Um Geschenke an die Kinder zu liefern, dürfen die Kontaktdaten der Familie aufgenommen werden – vorausgesetzt, die Eltern stimmen zu. Das sind die Regeln, die schon seit 20 Jahren gelten. Die Datenschutzgrundverordnung hat daran nichts geändert.“

III. Rechtliche Würdigung

Die „Klarstellung“ der EU-Kommission dürfte zumindest sehr ungenau, wenn nicht sogar falsch sein. Die nachfolgende rechtliche Würdigung ist das Ergebnis mehrtätiger Twitterdiskussionen. Daher ist es der EU-Kommission nicht zu verdenken, wenn sie die Rechtslage falsch einschätzt. Allerdings wäre ein bisschen Gesetzesrecherche vor einer so dramatisch klingenden „Klarstellung“ doch auch denkbar gewesen. In rechtlicher Hinsicht dürfte jedenfalls Folgendes gelten:

1. Es geht für die Stadt Roth um mehrere Verarbeitungsschritte:

– Angebot durch die Stadt Roth, dass Kinder ihre Wunschzettel mitsamt Name und Adresse an den städtischen Weihnachtsbaum hängen dürfen.
– Abnahme der Wunschzettel durch städtische Mitarbeiter, die die Zettel lesen und bestimmten Mitarbeitern der Stadt und privaten Unternehmen zuordnen.
– Zusendung der Wunschzettel an diese städtischen Mitarbeiter und Unternehmen, die sodann die Wünsche der Kinder zu erfüllen versuchen.

2. Anwendungsbereich der DSGVO nicht eröffnet

Wie bei #Klingelschildgate geht es auch hier um den in Art. 2 Abs. 1 DSGVO definierten Anwendungsbereich der DSGVO. Bei den Klingelschildern war noch eine recht aufwändige Subsumtionsleistung zu erbringen, um zu erkennen, dass es sich nicht um eine „ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten“ und auch nicht um eine „nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“ handelte.

Handgeschriebene Wunschzettel, die lose am Baum hängen und auch danach (jedenfalls bei Zugrundelegung der Lebenserfahrung mit deutschen Verwaltungsbehörden) mit einiger Wahrscheinlichkeit nicht elektronisch weitergeleitet werden, sind aber beim besten Willen kein „Dateisystem“. Die DSGVO ist daher unmittelbar nicht anwendbar.

3. Bei öffentlichen Stellen auch nichtautomatisierte Datenverarbeitung erfasst

Datenschutzrecht kommt aber über Art. 2 Satz 1 BayDSG doch wieder ins Spiel. Dieser erklärt bei der Datenverarbeitung durch öffentliche Stellen die DSGVO auch bei nichtautomatisierter Datenverarbeitung für anwendbar. Die Stadt Roth ist somit als (mutmaßlicher) Veranstalter des Weihnachtsmarkts und der Wunschzettelaktion datenschutzrechtlich Verantwortliche.

4. Einwilligungslösung möglich, …

Durch Einwilligung der Eltern kann die Wunschzettelaktion natürlich gerechtfertigt werden. Die von Antenne Bayern erstellte Einwilligungserklärung erfüllt die erforderlichen Voraussetzungen allerdings in vielerlei Hinsicht nicht. So lässt sie weder den Verantwortlichen erkennen noch enthält sie die für die Wirksamkeit der Einwilligung erforderliche Widerrufsbelehrung.

5. … aber nicht erforderlich

Die Einholung einer Einwilligung ist aber auch nicht erforderlich, da die folgenden gesetzlichen Erlaubnistatbestände eingreifen:

a) Datenerhebung

Art. 4 Abs. 1 BayDSG lautet:

„Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist unbeschadet sonstiger Bestimmungen zulässig, wenn sie zur Erfüllung einer ihr obliegenden Aufgabe erforderlich ist.“

Die Wunschzettelaktion der Stadt Roth ist Teil der Gesamtaufgabe “Weihnachtsmarkt”, die in direktem Zusammenhang steht mit

• Selbstverwaltung,
• Daseinsvorsorge,
• Öffentlichkeitsarbeit,
• Tourismusförderung und
• Pflege des örtlichen Zusammenhalts.

Danke an Simon Assion für diese schöne Erkenntnis, die auch vom baden-württembergischen Landesdatenschutzbeauftragten Stefan Brink akzeptiert zu werden scheint („Na gut“).

b) Verarbeitung und Übermittlung der Daten

Für die Weiterverarbeitung der Wunschzettel (insbesondere die Übermittlung an zum Zeitpunkt des Aufhängens der Wunschzettel noch unbekannte Unternehmen) kommen gleich mehrere gesetzliche Erlaubnistatbestände in Betracht:

• Art. 5 Abs. 1 Nr. 1 BayDSG
• Art. 5 Abs. 1 Nr. 2 BayDSG
• Art. 6 Abs. 2 Nr. 1 BayDSG
• Art. 6 Abs. 2 Nr. 2 BayDSG

6. Zahlreiche Begleitpflichten

Wie die Stadt Roth die aus Art. 13 DSGVO folgenden Informationspflichten erfüllen kann, ist allerdings weiterhin unklar:

• Löschfristen sind festzulegen.
• Betroffenenrechte sind zu beachten.
• Auch sind natürlich die extensiven Nachweispflichten der Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO zu erfüllen (hierzu kritisch Veil, Accountability – Wie weit reicht die Rechenschaftspflicht der DSGVO?, in: ZD 2018, 9).

Immerhin muss die Stadt Roth für die Wunschzettelaktion kein Verfahrensverzeichnis anlegen, wie sich aus Art. 2 Satz 2 BayDSG ergibt. Aber verständlich wäre es schon, wenn die Stadt Roth – wollte sie sich rechtskonform verhalten – angesichts dieses Aufwands auf die Wunschzettelaktion einfach verzichtete.

IV. Verrechtlichung des Alltäglichen

Sind diese juristischen Klimm- und Winkelzüge für Wunschzettel am Weihnachtsbaum sinnvoll?

1. Und Täglich Grüßt Das Verbotsprinzip

Nun, sie sind jedenfalls die zwingende Folge des datenschutzrechtlichen Verbotsprinzips, das besagt, dass für jede Verarbeitung personenbezogener Daten ein Erlaubnistatbestand erforderlich ist.

Sie sind Folge der Grundüberzeugung von Datenschützern, dass jedes personenbezogene Datum potentiell gefährlich ist und dass deshalb bei jeder Datenverarbeitung Präventivpflichten zu erfüllen sind.

Und sie sind Folge des „one size fits all“-Ansatzes der DSGVO, die grundsätzlich für alle Datenverarbeitungen dieselben Regelungen vorsieht.

Es ist deshalb nicht Panikmache und Falschinformation, wenn immer wieder solche Fälle vorkommen, die natürlich dann auch von einer sensationslüsternen Öffentlichkeit aufgegriffen werden.

2. Alternativlose Folge datenschutzrechtlicher Konzeption?

Aber es ist eben die verfehlte Grundkonzeption des Datenschutzrechts, die einer derartigen Verrechtlichung des Alltäglichen Vorschub leistet. All dies sind die erwartbaren und von einigen auch vorhergesehenen Folgen des Irrwegs, der mit der DSGVO beschritten wurde. Mit der derzeitigen Konzeption des Datenschutzrechts nehmen auch die unterstützenswerten Grundideen des Datenschutzes dauerhaft Schaden.

Die Alternative wäre ein Rechtsregime, dass zumindest solche Datenverarbeitungen, die absolut sozialadäquat sind und das allgemeine Lebensrisiko nicht überschreiten, von jeglichen Präventivpflichten freistellt.