Loe raamatut: «Praxishandbuch DSGVO», lehekülg 16

4. Verarbeitung personenbezogener Daten zu Zwecken der Werbung

89

Die DSGVO beinhaltet – anders als das BDSG a.F. in § 28 Abs. 3–5 BDSG a.F. – keine Sondervorschriften für die Verarbeitung personenbezogener Daten zu Zwecken der Werbung. Damit richtet sich deren Zulässigkeit also nach den allgemeinen Erlaubnisvorschriften gem. Art. 6 Abs. 1 DSGVO.140

90

Der Begriff der „Werbung“ ist dabei weit zu verstehen und lehnt sich an Art. 2 lit. a der Richtlinie über irreführende und vergleichende Werbung an.141 Demnach ist „Werbung“ jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen, zu fördern.

91

Einerseits kann die Verarbeitung personenbezogener Daten zu Zwecken der Werbung auf eine Einwilligung der betroffenen Person gestützt werden. Die Voraussetzungen für die Wirksamkeit einer Einwilligung werden ausführlich unter Rn. 243ff. erläutert. Zudem werden in Kap. 17 Rn. 125ff. die speziellen Anforderungen an Einwilligungen zu Werbezwecken im Bereich des Customer-Relationship-Management erläutert, insbesondere vor dem Hintergrund der sich aus der ePrivacy-Richtlinie 2002/58/EG ergebenden Besonderheiten.

92

Holt der Verantwortliche keine entsprechende Einwilligung von der betroffenen Person ein oder erfasst die eingeholte Einwilligung die geplante Verarbeitung der Daten nicht, kann der Verantwortliche deren Verarbeitung zu Werbezwecken aber ggf. auch auf gesetzliche Erlaubnisvorschriften stützen. Zumindest in bestimmten Einzelfällen ist es denkbar, eine solche Datenverarbeitung auf Art. 6 Abs. 1 lit. b DSGVO zu stützen.142 In den weitaus meisten Fällen kommt als gesetzliche Rechtsgrundlage insoweit allerdings Art. 6 Abs. 1 lit. f DSGVO („Datenverarbeitung auf Basis einer Interessenabwägung“) in Betracht, soweit es sich bei der betroffenen Person um kein Kind handelt.143 So besagt auch Erwägungsgrund 47 ausdrücklich, dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann.144

93

Damit eröffnet die DSGVO Werbetreibenden Datenverarbeitungs- und Nutzungsmöglichkeiten, ohne eine entsprechende Einwilligungserklärung der betroffenen Person einholen zu müssen. So enthält Art. 6 Abs. 1 lit. f DSGVO auch keine § 28 Abs. 3 S. 2 BDSG a.F. entsprechende Beschränkung der Datenkategorien (auf die sogenannten Listendaten), die zu Zwecken der Werbung verarbeitet werden dürfen. Vielmehr erlaubt die Vorschrift – sofern die Tatbestandsvoraussetzungen erfüllt sind – die Verarbeitung sämtlicher Datenkategorien (mit Ausnahme der besonderen Kategorien personenbezogener Daten, deren Verarbeitung sich zuvorderst nach Art. 9 DSGVO (wohl i.V.m. Art. 6 Abs. 1 DSGVO)145 richtet, und von Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10 DSGVO).

94

Aus der Formulierung in Erwägungsgrund 47 DSGVO, dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann, kann nicht nur entnommen werden, dass Direktwerbung ein berechtigtes Interesse i.S.d. Art. 6 Abs. 1 lit. f DSGVO sein kann.146 Vielmehr bestehen nach hier vertretener Ansicht gute Argumente, dass aus dieser Formulierung eventuell auch entnommen werden kann, dass die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung auch ohne Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. f DSGVO grundsätzlich zulässig ist (die Interessenabwägung also grundsätzlich zugunsten des Verantwortlichen/Dritten ausgeht) – wobei dies allerdings stets im Einzelfall zu prüfen ist und von der jeweils konkreten Werbemaßnahme abhängt –, wenn:

 – die Datenverarbeitung erforderlich zur Durchführung der Direktwerbung ist,

 – die Datenverarbeitung zu Werbezwecken für die betroffene Person vernünftigerweise zu erwarten war (z.B. durch eine entsprechende Information auf der Website, über die die zu verarbeitenden Daten erhoben wurden, typische Akzeptanz in der jeweiligen Sozialsphäre)147 und

 – ein „Näheverhältnis“ zwischen dem Verantwortlichen und der betroffenen Person besteht, wobei nach Erwägungsgrund 47 DSGVO ein solches Näheverhältnis bestehen kann, wenn die betroffene Person ein Kunde des Verantwortlichen ist.148

95

Auch wenn eine betroffene Person selbst mit einem gewerblichen Händler/Anbieter in Kontakt tritt, kann ggf. eine entsprechende vernünftige Erwartungshaltung sowie ein ausreichendes Näheverhältnis bestehen.149 Ebenso kann die Verarbeitung von Daten zu Werbezwecken, die ein Verantwortlicher von einem anderen Verantwortlichen – z.B. einem Datenhändler – erhält, nach hier vertretener Ansicht ggf. auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.150 In diesem Fall ist dann aber besonders sorgfältig zu prüfen, ob in der jeweiligen Konstellation nicht doch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, zumal die Datenschutzaufsichtsbehörden Erlaubnisvorschriften bei der Verarbeitung personenbezogener Daten zu Zwecken der Werbung i.d.R. restriktiv auslegen.

96

Allerdings ist in diesem Zusammenhang stets zu beachten, dass die werbliche Ansprache einer betroffenen Person in vielen Fällen, z.B. bei E-Mail- und telefonischer Werbung, nicht durch die DSGVO geregelt wird. So geht die Datenschutzrichtlinie in der elektronischen Kommunikation 2002/58/EG der DSGVO nach Art. 95 DSGVO unter den dort genannten Voraussetzungen vor. In Deutschland wurde diese Richtlinie u.a. in § 7 UWG umgesetzt, der u.a. die werbliche Ansprache mittels E-Mail und Telefonanrufen regelt. Vor diesem Hintergrund haben die in § 7 UWG enthaltenen Regelungen, die der Umsetzung der genannten Richtlinie dienen – z.B. das grundsätzliche Zustimmungserfordernis zu telefonischer und elektronischer Direktwerbung –, nach hier vertretener Ansicht Vorrang vor den allgemeinen Regelungen der DSGVO, z.B. in Art. 6 DSGVO.151

97

Dafür, dass die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung in vielen Fallkonstellationen auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, steht den betroffenen Personen – quasi im Gegenzug – im Fall der Verarbeitung ihrer Daten zu Zwecken des Direktmarketing ein Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO zu. Über dieses Recht hat der Verantwortliche die betroffene Person gem. Art. 13 Abs. 2 lit. b DSGVO zum Zeitpunkt der Datenerhebung bzw. gem. Art. 14 Abs. 2 lit. c DSGVO innerhalb der in Art. 14 Abs. 3 DSGVO normierten Frist zu informieren. Übt die betroffene Person dieses Recht aus, darf der Verantwortliche keine Daten der betroffenen Person mehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO für Werbezwecke verarbeiten.

Stellungnahmen der deutschen Datenschutzaufsichtsbehörden

98

Die deutschen Datenschutzaufsichtsbehörden haben bereits mehrere Stellungnahmen zur Verarbeitung personenbezogener Daten für Werbezwecke veröffentlicht – insbesondere die „Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung (DS-GVO)“.152

99

In dieser Orientierungshilfe erläutern die deutschen Datenschutzaufsichtsbehörden ausführlich sowohl die nach ihrer Ansicht bestehenden allgemeinen Anforderungen an die Verarbeitung personenbezogener Daten zu Zwecken der Werbung als auch die besonderen Voraussetzungen für bestimmte Fallgruppen der Werbung, z.B. für die Datenerhebung anlässlich von Preisausschreiben, Beipack-Werbung, Freundschafts- und Empfehlungswerbung, Nutzung von E-Mailadressen von Bestandskunden etc.

100

Hierbei vertreten die Datenschutzaufsichtsbehörden i.d.R. relativ strenge Positionen. Zwar ist z.B. auch nach Ansicht der Behörden postalische Werbung gegenüber Kunden im Nachgang zu einer Bestellung ohne weitere Selektion oder bei Vornahme einer Selektion, die keinen weiteren Erkenntnisgewinn mit sich bringt, grundsätzlich auf Basis von Art. 6 Abs. 1 lit. f DSGVO zulässig.153 Sollte sich durch die Selektion allerdings ein Erkenntnisgewinn ergeben, wäre die Datenverarbeitung hingegen ohne Einwilligung regelmäßig unzulässig. Ebenso könnten die Profilbildung sowie Verhaltensprognosen- bzw. -analysen, die zu zusätzlichen Erkenntnissen führen, i.d.R. nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.154

101

Allerdings wird die Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden in der datenschutzrechtlichen Literatur – zu Recht – als zumindest teilweise zu restriktiv kritisiert, weil darin z.B. keine hinreichende Unterscheidung getroffen werde, ob sich die Werbung an Verbraucher oder an Unternehmer richte und das Profiling zu Zwecken der Werbung auf Basis von Art. 6 Abs. 1 lit. f DSGVO sowie die Freundschaftswerbung zu pauschal als unzulässig erachtet werde.155

102

Für Unternehmen, die personenbezogene Daten zu Werbezwecken verarbeiten wollen, ergibt sich vor diesem Hintergrund die folgende Empfehlung: In einem ersten Schritt sollte das jeweilige Unternehmen die Orientierungshilfe der Datenschutzkonferenz dahingehend prüfen, ob sie Hinweise für die geplante Form der Datenverarbeitung zu Werbezwecken enthält. Soweit möglich, sollte das Unternehmen diese Hinweise zur Vermeidung etwaiger Haftungsrisiken einhalten. Auch wenn die deutschen Datenschutzaufsichtsbehörden die DSGVO nicht rechtsverbindlich auslegen dürfen, ist mit großer Sicherheit davon auszugehen, dass sie das in dieser Orientierungshilfe geäußerte Verständnis grundsätzlich auch im Einzelfall (z.B. bei der Prüfung der Zulässigkeit der Datenverarbeitung) ihrer Auslegung der DSGVO zugrunde legen und ggf. auf dieser Basis Bußgelder verhängen werden. Allerdings wäre ein etwa damit (im Anschluss) befasstes Gericht an diese Auslegung nicht gebunden.

103

Sollte das Unternehmen eine Verarbeitung beabsichtigen, die von den Hinweisen der Datenschutzaufsichtsbehörden abweicht, sollte das Unternehmen im Einzelfall prüfen, ob die Datenverarbeitung entgegen diesen Hinweisen (doch) auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. So sind die Ausführungen in der Orientierungshilfe auch nach hier vertretener Ansicht teilweise zu pauschal – insbesondere im Hinblick auf die Profilbildung sowie die Verhaltensanalyse und -prognose – und dabei dann auch zu restriktiv. So kann es sein, dass bei der geplanten Verarbeitung ein Ausnahmefall besteht, der eine Abweichung von den pauschalen und grundsätzlichen Ausführungen rechtfertigt – unter Umständen sogar auch nach Ansicht der Datenschutzaufsichtsbehörden. Deshalb sollten Unternehmen in einem solchen Fall insbesondere den Grad der Abweichung von den Hinweisen der Datenschutzaufsichtsbehörden sowie die (tatsächlichen) Umstände des Einzelfalls ermitteln und dokumentieren, die die Abweichung rechtfertigen könnten, und auf dieser Basis dann im Einzelfall die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO durchführen.

104

Angesichts der großen Vielzahl an unterschiedlichen Fallgestaltungen bei der Verarbeitung von personenbezogenen Daten zu Werbezwecken und dem begrenzten Umfang dieses Buches kann an dieser Stelle nicht konkret auf einzelne Fallgestaltungen eingegangen werden. In Kapitel 17 finden sich in diesem Zusammenhang aber konkrete Ausführungen zu den besonders praxisrelevanten Themen des „Web Tracking und Online Advertising“ und des „Customer Relationship Management“.

5. Verhältnis der Alternativen des Art. 6 Abs. 1 DSGVO zueinander

105

Die verschiedenen in Art. 6 Abs. 1 DSGVO enthaltenen Erlaubnistatbestände stehen ausweislich des Wortlauts der Vorschrift („wenn mindestens eine der nachstehenden Bedingungen“) gleichberechtigt nebeneinander. Das bedeutet insbesondere, dass keine dieser Alternativen eine Sperrwirkung gegenüber den anderen in Art. 6 Abs. 1 DSGVO enthaltenen Alternativen entfalten kann. Mit anderen Worten: Sind die tatbestandlichen Voraussetzungen einer Alternative erfüllt, kann eine nicht von dieser Alternative erlaubte Datenverarbeitung dennoch durch eine der anderen Alternativen erlaubt werden. So darf z.B. ein Verantwortlicher personenbezogene Daten im Zusammenhang mit einem Vertrag mit der betroffenen Person verarbeiten, wenn dies nicht zur Erfüllung dieses Vertrages erforderlich ist – und damit die Voraussetzungen des Art. 6 Abs. 1 lit. b DSGVO nicht erfüllt sind –, aber z.B. seine berechtigten Interessen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. In diesem Fall wäre die Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO zulässig.156

106

Dies gilt nach hier vertretener Ansicht grundsätzlich ebenso im Verhältnis zwischen einer Einwilligung i.S.d. Art. 6 Abs. 1 lit. a DSGVO und den übrigen „gesetzlichen Erlaubnistatbeständen“, da die Einwilligung nur eine der in Art. 6 Abs. 1 DSGVO aufgeführten Bedingungen ist, die die Verarbeitung personenbezogener Daten zu rechtfertigen vermag.157 Solange eine dieser Bedingungen erfüllt ist, ist die Datenverarbeitung zulässig. Für die Praxis bedeutet dies, dass eine Datenverarbeitung nach hier vertretener Ansicht auch dann auf Art. 6 Abs. 1 lit. b–f DSGVO gestützt werden kann, wenn eine eingeholte Einwilligung unwirksam oder ein bestimmter Datenverarbeitungsvorgang von dieser nicht erfasst ist. Allerdings können die Umstände des Einzelfalls, warum eine eingeholte Einwilligung eine (geplante) Datenverarbeitung nicht erlauben kann, bei der Interessenabwägung im Rahmen des Art. 6 Abs. 1 lit. f DSGVO – und damit bei der Frage, ob die Daten auf Basis dieser Vorschrift (weiter-)verarbeitet werden dürfen – berücksichtigt werden. Dies gilt insbesondere für den Fall, dass eine betroffene Person ihre Einwilligung widerrufen hat.158

Standpunkte der deutschen Datenschutzaufsichtsbehörden und des Europäischen Datenschutzausschusses

107

Die deutschen Datenschutzaufsichtsbehörden scheinen „dem Nebeneinander“ von gesetzlichen Erlaubnistatbeständen und einer Einwilligung eher skeptisch gegenüberzustehen. So könne es z.B. gegen Treu und Glauben verstoßen, wenn ein Verantwortlicher sich auf eine gesetzliche Erlaubnisnorm berufe, wenn die betroffene Person ihre Einwilligung widerrufen habe. Damit wäre in diesem Fall bei der betroffenen Person durch die Einholung der Einwilligung der (falsche) Eindruck erweckt worden, dass die Verarbeitung ihrer Daten ihrem Wahlrecht unterliege.159

108

Auch der Europäische Datenschutzausschuss vertritt hierzu in seinen Leitlinien zur Einwilligung einen restriktiven Standpunkt. So sei es „gegenüber der betroffenen Person ein in höchstem Maß missbräuchliches Verhalten, ihr zu sagen, dass die Daten auf der Grundlage der Einwilligung verarbeitet werden, wenn tatsächlich eine andere Rechtsgrundlage zugrunde gelegt wird“. Deshalb könne ein Verantwortlicher nicht von einer Einwilligung zu einer anderen Grundlage wechseln. So müssten sich die Verantwortlichen vor der Erhebung der Daten entscheiden, auf welche Rechtsgrundlage sie die Verarbeitung stützen wollen, und die betroffenen Personen hierüber im Rahmen ihrer Informationspflichten informieren.160

109

Die Ausführungen des Europäischen Datenschutzausschusses beziehen sich nach hier vertretener Lesart allerdings (nur) auf den „nachträglichen Wechsel der Rechtsgrundlage“, also – überspitzt formuliert – ein Verantwortlicher, wenn die betroffene Person ihre Einwilligung widerruft oder sich herausstellt, dass diese unwirksam ist, dann prüft, ob er die Verarbeitung eventuell noch auf eine andere Rechtsgrundlage stützen könnte, um die Verarbeitung fortsetzen zu können. Mithin lässt sich diesen Ausführungen nach hier vertretener Ansicht nicht entnehmen, dass es der Europäische Datenschutzausschuss auch ablehnt, eine Verarbeitung von Anfang an (teilweise) sowohl auf eine Einwilligung als auch auf eine Rechtsgrundlage zu stützen (z.B. im Sinne einer Backup-Lösung).

Praxishinweis

Unternehmen sollten deshalb nur dann eine Einwilligung einholen, wenn die Datenverarbeitung nicht rechtssicher auf eine gesetzliche Erlaubnisnorm gestützt werden kann. Soll die Datenverarbeitung dennoch (z.B. im Sinne einer Backup-Lösung) sowohl auf gesetzliche Erlaubnistatbestände als auch auf eine Einwilligung gestützt werden, sollte das Unternehmen die betroffene Person über diesen Umstand transparent informieren, so dass bei dieser eben nicht der (falsche) Eindruck entsteht, dass sie die Datenverarbeitung „in der Hand habe“ – und sich der Verantwortliche nicht „nachträglich“ auf eine andere Rechtsgrundlage berufen muss.161

6. Verhältnis zwischen besonders praxisrelevanten nationalen Vorschriften und der DSGVO

110

Die Zulässigkeit der Verarbeitung personenbezogener Daten ist allerdings nicht abschließend in der DSGVO geregelt. So enthält die DSGVO mehrere Öffnungsklauseln, die es der EU bzw. den EU-Mitgliedstaaten unter bestimmten Voraussetzungen erlauben, nationale Regelungen zur Zulässigkeit einer Datenverarbeitung zu erlassen, so z.B. in Art. 6 Abs. 2 und 3, in Art. 9 Abs. 2 lit. b und lit. g – lit. j und Abs. 4 DSGVO.162

111

Der deutsche Gesetzgeber hat von vielen dieser Öffnungsklauseln Gebrauch gemacht und entsprechende nationale Regelungen erlassen. Für privatwirtschaftliche Unternehmen befinden sich die wichtigsten nationalen Regelungen zur Zulässigkeit der Datenverarbeitung in Deutschland im BDSG und dort in den §§ 22–31 BDSG. Allerdings enthalten auch noch eine Vielzahl anderer Gesetze (einzelne) Vorschriften hierzu, z.B. die Sozialgesetzbücher, die Landesdatenschutzgesetze, das Gesundheitsdiagnostikgesetz etc. Diese regeln größtenteils aber (nur) spezielle Situationen, in denen personenbezogene Daten verarbeitet werden, oder die Datenverarbeitung durch bestimmte Verantwortliche.

112

Dieses Kapitel konzentriert sich im Folgenden auf das für privatwirtschaftliche Unternehmen besonders praxisrelevante Thema des Verhältnisses zwischen den nationalen Vorschriften zur Videoüberwachung öffentlich zugänglicher Räume gem. § 4 BDSG, zum Scoring/zu Bonitätsauskünften gem. § 31 BDSG sowie aus dem Kunsturhebergesetz einerseits und der DSGVO anderseits – und somit auf die Frage, welche Vorschriften ein Unternehmen in der jeweiligen Situation beachten muss.163 Zur nationalen Regelung der Verarbeitung von Beschäftigtendaten in § 26 BDSG finden sich ausführliche Erläuterungen insbesondere in Kap. 15 und unter Rn. 237ff.

a) Videoüberwachung öffentlich zugänglicher Räume gem. § 4 BDSG

113

Der deutsche Gesetzgeber hat die Zulässigkeit der Videoüberwachung öffentlich zugänglicher Räume in § 4 BDSG geregelt.164 Nach § 4 Abs. 1 S. 1 BDSG ist die Beobachtung mittels optisch-elektronischer Einrichtungen wie Videokameras insbesondere nur dann zulässig, soweit sie zur Aufgabenerfüllung öffentlicher Stellen, zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen.165 Die Verwendung der mittels Videoüberwachung gewonnenen Daten ist sodann in § 4 Abs. 3 BDSG geregelt und erfordert insbesondere eine (weitere) Interessenabwägung. Außerdem enthält § 4 BDSG vor allem weitere Hinweis-, Informations- und Löschpflichten.

114

Allerdings hat das Bundesverwaltungsgericht entschieden, dass § 4 Abs. 1 S. 1 BDSG zumindest im Hinblick auf die Videoüberwachung öffentlich zugänglicher Räume durch private Stellen europarechtswidrig sei, da diese Regelung nicht auf die in Art. 6 Abs. 2 und 3 DSGVO enthaltenen Öffnungsklauseln gestützt werden könne. Mithin könne die Videoüberwachung derartiger Räume durch private Stellen ganz regelmäßig nur auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgen.166 Auch die deutschen Datenschutzaufsichtsbehörden sind der Ansicht, dass sich die Zulässigkeit der Videoüberwachung durch nichtöffenliche Stellen ganz regelmäßig an Art. 6 Abs. 1 lit. f DSGVO bemisst.167 Nicht ausdrücklich entschieden hat das Bundesverwaltungsgericht hingegen, ob auch die weiteren Vorgaben des § 4 BDSG in Abs. 1 S. 2 und Abs. 2 bis Abs. 5 europarechtswidrig sind oder nicht, so dass insoweit Rechtsunsicherheit verbleibt.

115

Unternehmen sollten daher verfolgen, ob der bundesdeutsche Gesetzgeber § 4 BDSG infolge der Entscheidung des Bundesverwaltungsgerichts anpasst bzw. sich (andere) Gerichte auch zur Europarechtskonformität der übrigen Bestimmungen äußern. Wenn Unternehmen in der Zwischenzeit Haftungsrisiken vermeiden wollen, sind sie infolge des missratenen Versuchs des Gesetzgebers, die in § 6b BDSG a.F. enthaltenen Regelungen zur Videoüberwachung möglichst unverändert in das neue BDSG zu überführen, gezwungen, (selbständig) zu prüfen, welche der weiteren in § 4 BDSG enthaltenen Bestimmungen europarechtskonform sind und damit befolgt werden müssen/dürfen und welche Bestimmungen europarechtswidrig sind und damit nicht befolgt werden sollten.168

116

Hier empfiehlt sich ein pragmatisches Vorgehen. Demnach sollten Unternehmen auch die Videoüberwachung öffentlich zugänglicher Räume grundsätzlich nur noch auf Art. 6 Abs. 1 lit. f DSGVO stützen,169 da dieser Anwendungsvorrang vor dem europarechtswidrigen § 4 Abs. 1 S. 1 BDSG besitzt. Zudem sollten Unternehmen die Hinweise des Europäischen Datenschutzausschusses170 und der deutschen Datenschutzaufsichtsbehörden zur Videoüberwachung beachten.171 Insbesondere sind bei der Videoüberwachung öffentlich zugänglicher Räume dann auch (vollumfänglich) die Informationspflichten nach Art. 13 DSGVO zu erfüllen.172 Auch der bereits genannten Entscheidung des Bundesverwaltungsgerichts sowie einer Entscheidung des EuGH lassen sich Aussagen zu den Faktoren für die Zulässigkeit der Videoüberwachung auf Basis von Art. 6 Abs. 1 lit. f DSGVO entnehmen.173

117

Nur soweit sich ein Unternehmen bei der Videoüberwachung auf eine (andere) in § 4 BDSG enthaltene, gegenüber der DSGVO vorteilhafte Bestimmung bzw. auf eine in der DSGVO enthaltene, gegenüber § 4 BDSG vorteilhafte Bestimmung stützen möchte, sollte dann im Einzelfall geprüft werden, inwieweit die jeweilige Bestimmung des § 4 BDSG europarechtskonform ist oder nicht.174 Von der hier erläuterten Videoüberwachung öffentlich zugänglicher Räume ist im Übrigen die Videoüberwachung am Arbeitsplatz zu unterscheiden. Die Zulässigkeit der Datenverarbeitung im Rahmen einer solchen Videoüberwachung richtet sich zuvorderst nach § 26 BDSG, zu der auch ausgeprägte Rechtsprechung der Arbeitsgerichte existiert.175