Man darf personenbezogene Daten nicht einfach deshalb verarbeiten, weil man Zugang zu ihnen hat. Es muss immer eine Rechtsgrundlage geben. Die allgemeinen Grundlagen stehen in Artikel 6 Abs. 1, und in Dänemark wiederholt sie § 6 des Datenschutzgesetzes.
Die sechs Grundlagen
Die Verarbeitung ist rechtmäßig, wenn mindestens eine der folgenden Voraussetzungen erfüllt ist:
- a) Einwilligung der betroffenen Person.
- b) Vertrag: Die Verarbeitung ist erforderlich, um eine Vereinbarung mit der Person zu erfüllen, zum Beispiel eine Ware zu liefern oder Lohn zu zahlen.
- c) Rechtliche Verpflichtung: Das Gesetz verlangt es, zum Beispiel Belege aufzubewahren oder Löhne an die Steuerbehörden zu melden.
- d) Lebenswichtige Interessen: Die Verarbeitung ist erforderlich, um das Leben eines Menschen zu schützen.
- e) Öffentliches Interesse oder Ausübung öffentlicher Gewalt. Das nutzen vor allem Behörden.
- f) Berechtigtes Interesse: Das Unternehmen hat ein berechtigtes Interesse, und es überwiegt die Interessen und Rechte der Person. Dafür ist eine konkrete Interessenabwägung nötig. Öffentliche Behörden können diese Grundlage bei ihren Aufgaben nicht nutzen.
Eine Einwilligung muss echt sein
Eine Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen (Artikel 4 Nr. 11 und Artikel 7). Sie erfordert eine aktive Handlung. Ein vorangekreuztes Kästchen ist keine Einwilligung. Die Person kann die Einwilligung jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung. Das Unternehmen muss nachweisen können, dass die Einwilligung erteilt wurde.
In Beschäftigungsverhältnissen ist die Einwilligung oft eine schwache Grundlage. Die Beschäftigten sind vom Arbeitgeber abhängig und können sich unter Druck gesetzt fühlen; dann ist die Einwilligung nicht freiwillig. Das Gesetz erlaubt eine Einwilligung im Beschäftigungsverhältnis jedoch (§ 12 Abs. 3), es kommt also auf die Situation an.
Kinder: Wenn ein Dienst der Informationsgesellschaft, zum Beispiel ein soziales Medium oder eine App, die Einwilligung als Grundlage nutzt, kann ein Kind in Dänemark ab 15 Jahren selbst einwilligen (§ 6 Abs. 2). Ist das Kind jünger, ist die Einwilligung des Trägers der elterlichen Sorge nötig. Die Grenze wurde am 1. Januar 2024 von 13 auf 15 Jahre angehoben.
Sensible Daten
Artikel 9 nennt bestimmte Daten besondere Kategorien. In dänischen Texten heißt es oft følsomme oplysninger (sensible Daten). Es sind Daten über:
- die rassische oder ethnische Herkunft
- politische, religiöse oder weltanschauliche Überzeugungen
- die Gewerkschaftszugehörigkeit
- genetische Daten und biometrische Daten, wenn sie zur Identifizierung einer Person verwendet werden
- die Gesundheit
- das Sexualleben oder die sexuelle Orientierung
Grundsätzlich dürfen diese Daten nicht verarbeitet werden. Es gibt Ausnahmen, zum Beispiel die ausdrückliche Einwilligung oder dass es erforderlich ist, um arbeitsrechtliche Pflichten und Rechte zu erfüllen. Das Datenschutzgesetz (§ 7 Abs. 2 und § 12) gibt Arbeitgebern diese Möglichkeit, wenn die Verarbeitung erforderlich ist.
In der Praxis
- Schreiben Sie keine Diagnosen, Religion oder Gewerkschaftszugehörigkeit in Freitextfelder, es sei denn, es ist Ihre Aufgabe, sie zu erfassen.
- Die Angabe eines Mitarbeiters, dass er krank ist, ist eine Gesundheitsangabe. Der Arbeitgeber darf die Abwesenheit erfassen, aber die Diagnose muss er selten kennen.
- Wenn Sie unsicher sind, welche Grundlage das abdeckt, was Sie tun sollen, fragen Sie die bei Ihnen für Datenschutz zuständige Person.
Regel: Keine Grundlage, keine Verarbeitung. Je sensibler die Daten, desto strenger die Anforderungen.