Der Vorfall

 

Ein Bürgermeister hat im Wahlkampf personenbezogene Daten in unzulässiger Art und Weise verwendet. Der Bürgermeister hat E-Mails mit Wahlwerbung versendet, und eine betroffene Person hat sich beschwert. Die Daten (E-Mail-Adressen] hatte der Bürgermeister in der Ausübung des öffentlichen Amtes erhalten, und zweckwidrig für die Wahlwerbung verwendet.

 

Der Beschwerdeführer selbst hatte sich im Rahmen einer behördlichen Aufgabe an den Bürgermeister gewendet. Der Architekt des Beschwerdeführers sandte in diesem Zusammenhang ein E-Mail an die Behörde, und übermittelte dieses E-Mail als „carbon copy“ (cc) an seinen Auftraggeber. Der Bürgermeister erhielt sohin die E-Mail-Adresse des Auftraggebers des Architekten.

 

Am Vorabend des Wahltages nutzte der Bürgermeister diese E-Mail-Adresse und sandte u.a. an den Beschwerdeführer Wahlwerbung.

 

 

 

Die DSGVO-Verletzung

 

Die L’Autorité de protection des données (APD)verhängte eine Geldstrafe von EUR 2.000,-- gegen den Bürgermeister und begründete diese in etwa wie folgt:

 

Die DSGVO schreibt vor, dass die personenbezogenen Daten von natürlichen Personen nur für „festgelegte, eindeutige und legitime Zwecke erhoben“ werden dürfen (Art 5 Abs 1 lit b DSGVO; Zweckfestlegung), und nicht für in einer Art und Weise weiterverarbeitet werden dürfen, die mit diesen Zwecken nicht kompatibel (Art 5 Abs 1 lit b DSGVO; Zweckbindung ieS) ist.

 

„Daten, die ein Bürgermeister im Zuge eines Behördenverfahrens erhält, dürfen nicht für Wahlwerbung verwendet werden.
Die Wiederverwendung von Daten, die im Rahmen eines städtebaulichen Projekts für Wahlkampfzwecke erhoben werden, verstößt daher gegen diesen Zweckgrundsatz und stellt eine Verletzung der DSGVO dar.“ (Übersetzung aus dem Französischen).

 

 

 

Die APD ist der Ansicht, dass das Prinzip der Zweckbindung eines der wichtigsten Prinzipien der DSGVO ist. Mandatsträger in öffentlichen Ämtern müssen nach Ansicht der APD besonders wachsam sein. Sie müssen sich bewusst sein, dass Daten, die im öffentlichen Dienst erhoben werden, niemals für private Zwecke verwendet werden.

 

 

 

Die APD verhängte unter Berücksichtigung der „begrenzten Anzahl der betroffenen Personen“ und der Art, Dauer und Schwere der Tat eine Geldstrafe von EUR 2.000,00

 

 

 

Fazit

 

·     Das Prinzip der „Zweckfestlegung“ und „Zweckbindung ieS“ (beide in Art 5 Abs 1 lit b DSGVO) sind streng zu beachten.

 

·     Die „Weiterverwendung“ von Daten für andere Zwecke als diejenigen für die diese erhoben werden, ist nur unter bestimmten Voraussetzungen zulässig, zB mit Einwilligung oder für „kompatible Zwecke“

 

·     Bei der Weiterverarbeitung

 

o  bedarf es eine „Rechtsgrundlage“ (Art 6 Abs 1 lit a bis f DSGVO; Art 9 Abs 2 DSGVO) und

 

o  auch die Informationspflichten (Art 12 ff. DSGVO) sind einzuhalten, und

 

o  in den meisten Fällen wird das Widerspruchsrecht iSd Art 21 DSGVO (bei Verarbeitung auf Basis des berechtigten Interesses; Art 6 Abs 1 lit f DSGVO) zu beachten sein.

 

·     Ein Beispiel für die Weiterverarbeitung für einen kompatiblen Zweck stellt die Nutzung der Kundendaten für Marketingzwecke dar.

 

15.05.2019, Autor

 

Michael Schweiger, zert. DSBA