153
Zu den privilegierten Betrieben und Organisationen gehören demnach jedenfalls politisch ausgerichtete Stellen wie Parteien oder parteinahe Stiftungen. Religiös ausgerichtet sind die daneben jedenfalls Kirchen und deren karitativen Einrichtungen. Gewerkschaftliche Organisationen sind etwa Einzelgewerkschaften und deren Dachorganisationen wie die gewerkschaftsnahen Stiftungen, aber auch Organisationen der verkammerten Berufe und sonstige Berufsverbände, die die wirtschaftlichen, sozialen und politischen Interessen ihrer Mitglieder vertreten, nicht jedoch die als öffentliche Körperschaften ausgestalteten Kammern.[267]
154
Voraussetzung für die Privilegierung nach Art. 9 Abs. 2 lit. d ist indes, dass keine Gewinnerzielungsabsicht vorliegt. Dabei ist insbesondere die wirtschaftliche Tätigkeit entscheidend. Nicht ausgeschlossen ist etwa eine geschäftliche oder kommerzielle Tätigkeit.[268]
155
Um aber den Privilegierungstatbestand nicht zu sehr auszuweiten und eine ausufernde Anwendung zu vermeiden, enthält der Tatbestand selbst einige Restriktionen: So ist die Datenverarbeitung nur dann privilegiert, wenn sie sich auf Mitglieder oder ehemalige Mitglieder bezieht. Folglich beschränkt sich der persönliche Anwendungsbereich der Vorschrift auf regelmäßige Kontakte im Rahmen des Tätigkeitszwecks der Organisation.[269] Demnach werden etwa Besucher von Veranstaltungen der Stelle, geschäftliche Kontakte, Interessierte sowie Spender und Unterstützer erfasst.[270] Die Aufnahme von ehemaligen Mitgliedern in den Katalog der Privilegierung erschließt sich dabei nicht unbedingt auf den ersten Blick.[271] Denn in der Regel wollen ehemalige Mitglieder gerade durch ihren Austritt eine weitere Verarbeitung der personenbezogenen Daten vermeiden. Insofern ist eine kontextbezogene Betrachtung entscheidend, also etwa, ob der Austritt passiv (durch Zeitablauf der Mitgliedschaft oder Wohnortwechsel) erfolgte, aber nach wie vor ein regelmäßiger Kontakt zur Organisation besteht oder der Austritt aber durch den Betroffenen bewusst (etwa durch Kündigung) herbeigeführt wurde. Insbesondere dann, wenn sich das ehemalige Mitglied bewusst von der Organisation distanzieren will oder einer Datenverarbeitung widerspricht, wird diese unzulässig sein.[272]
156
Darüber hinaus ist die Offenlegung der Daten auf interne Zwecke im Rahmen der jeweiligen Tendenz beschränkt. Eine Weitergabe und Offenlegung an oder gegenüber Dritten bedarf der ausdrücklichen Einwilligung im Sinne des Art. 9 Abs. 2 lit a.[273] Hinsichtlich des Begriffs der internen Datenverarbeitung ist insofern die jeweilige Organisationseinheit maßgeblich.
157
Die Begrenzung der Verarbeitung auf rechtmäßige Zwecke ist dabei dahingehend zu verstehen, dass die Datenverarbeitung im Rahmen der spezifischen Ausrichtung der Organisation und deren Tendenz sowie im Rahmen der allgemeinen Gesetze erfolgt. Somit liegen sachfremde sowie rechtswidrige Verarbeitungszwecke außerhalb des Anwendungsbereichs.[274]
158
Hinsichtlich des Vorliegens geeigneter Garantien ist insofern auf die Ausführungen zu Art. 9 Abs. 2 lit. b (vgl. Rn. 132) zu verweisen. Gemeint sind damit nicht bloß die Vorgaben der GRCh und des nationalen Verfassungsrechts, sondern insbesondere auch spezifisch datenschutzrechtliche Maßnahmen der DS-GVO.
e) Offensichtlich öffentlich gemachte Daten (Art. 9 Abs. 2 lit. e)
159
Nach Art. 9 Abs. 2 lit. e ist die Verarbeitung sensibler Daten ausnahmsweise zulässig, wenn die betroffene Person diese „offensichtlich öffentlich gemacht hat“. Die Regelung basiert auf Art. 8 Abs. 2 lit. e DSRL.
160
Hintergrund der Vorschrift ist dabei, dass derjenige, der seine Daten ohnehin veröffentlicht insoweit auf den besonderen durch die DS-GVO (insbesondere Art. 9) gewährten Schutz in freier Selbstbestimmung verzichtet.[275] Freilich bleiben die allgemeinen Vorschriften, insbesondere die Vorgaben aus Art. 5 und 6 anwendbar.[276]
161
Unter „Öffentlichmachen“ ist (mangels eigener Definition der DS-GVO) die Bereitstellung gegenüber der Allgemeinheit, also einem individuell nicht bestimmten Personenkreis, zu verstehen.[277] Dies ist jedenfalls dann der Fall, wenn der Betroffene die Daten selbst veröffentlicht oder jemanden veranlasst hat die Daten zu veröffentlichen.[278] Beispiele sind etwa frei zugängliche Bereiche des Internets (Webseiten) oder öffentliche Medien. Daneben sind auch Presseerklärungen oder öffentliche Mitteilungen (z.B. in Branchenverzeichnissen) erfasst.[279]
162
Als Leitlinie lässt sich festhalten, dass stets entscheidend ist, ob der Kreis der Adressaten für den Betroffenen noch überschaubar ist und ob er wusste und wollte, dass die Informationen für jedermann zugänglich sind.[280]
163
Die Veröffentlichung muss „offenkundig“ von der betroffenen Person veranlasst worden sein. Damit soll verhindert werden, dass Betroffene den besonderen Schutz ihrer sensiblen Daten durch die DS-GVO verlieren, wenn ein Dritter dessen sensitive Daten veröffentlicht.[281] Erforderlich ist somit ein eindeutiger und freier Willensakt des Betroffenen.[282] Bei Bewertung der Offenkundigkeit kommt es dabei auf die Perspektive eines äußeren Beobachters an.[283]
164
Die familiäre Kommunikation oder der Chat bei WhatsApp oder Facebook oder sonstigen Social-Media-Anbietern mit Chatfunktion zwischen wenigen Personen (kleinere Gruppenchats) wird daher nicht vom Anwendungsbereich erfasst sein. Dies kann sich aber je nach Größe des Gruppenchats ändern. Daten in sozialen Netzwerken, etwa auf der Facebook-Seite oder bei Instagram, sind dann öffentlich gemacht, wenn diese allen Nutzern und nicht nur einer geschlossenen Benutzergruppe zur Verfügung gestellt werden. Sind also die auf der Facebook-Seite durch den Nutzer bereit gestellten Informationen nur für den (überschaubaren) Freundeskreis (also die Freundesliste) einsehbar, wird es an einer Veröffentlichung fehlen. Werden demgegenüber Informationen bewusst auch für Nicht-Mitglieder auf der öffentlichen Facebook-Seite freigeschaltet, liegt eine Veröffentlichung vor.
165
Von besonderer Bedeutung ist Art. 9 Abs. 2 lit. e zudem im Rahmen der Anfertigung von Personenfotografien, wenn diese mittelbar Rückschlüsse auf besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 ermöglichen, z.B. wenn die abgebildete Person eine Brille trägt oder eine Gehhilfe benötigt oder ihre ethnische Herkunft auf einem Foto erkennbar