§ 4 Rechtsgrundlagen der Verarbeitung / c) Von der Verarbeitung betroffene Daten – Kategorisierung und Standard-Datenschutzmodell

Rz. 217

In Anlehnung an das erst kürzlich auf von der Art. 29-Datenschutzgruppe in Bezug genommene^[285] Standard-Datenschutzmodell (SDM) der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder in Deutschland^[286] kann auch die Schutzwürdigkeit des von der Verarbeitung betroffenen personenbezogenen Datums im Abwägungsvorgang nach Art. 6 Abs. 1 lit. f) DSGVO eine Rolle spielen.^[287]

Rz. 218

Das SDM geht davon aus, dass "ein Schutzbedarf in Bezug auf den Grundrechtseingriff, der allein durch die Verarbeitung von personenbezogenen Daten entsteht, klassifizierbar ist" und unterscheidet in Anlehnung an die IT-Grundschutz-Methodik des BSI^[288] drei Schutzbedarfskategorien zwischen "normal", "hoch" und "sehr hoch".^[289]

[285] Art. 29-Datenschutzgruppe, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is "likely to result in a high risk" for the purposes of Regulation“, 2016/679, v. 4.4.2017, WP 248, S. 20, abrufbar unter: http://ec.europa.eu/newsroom/document.cfm?doc_id=44137.

[286] Standard-Datenschutzmodell der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder in Deutschland, V.1.0., abrufbar unter: https://datenschutzzentrum.de/artikel/954-.html.

[287] In diesem Sinne auch Art. 29. Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Artikel 7 der Richtlinie 95/46/EG, WP 217, S. 49, abrufbar unter:http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp217_de.pdf.

[288] https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/itgrundschutzkataloge_node.html.

[289] Standard-Datenschutzmodell der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder in Deutschland, V.1.0., S. 37 ff., abrufbar unter: https://datenschutzzentrum.de/artikel/954-.html.

aa) Normaler Schutzbedarf

Rz. 219

Das SDM sieht die Schutzbedarfskategorie "normal" als "Auffangkategorie", in die alle personenbezogenen Daten einzustufen sind, die nicht einer der anderen beiden Schutzstufen zugeordnet werden können. Konkret heißt es:^[290]

Zitat

"Da jede Verarbeitung personenbezogener Daten einen Eingriff in die Grundrechte der betroffenen Person darstellt, kann der Schutzbedarf gemäß SDM niemals niedriger als "normal" sein. Deshalb ist grundsätzlich davon auszugehen, dass jedes personenbezogene Verfahren mindestens normalen Schutzbedarf aufweist. Weniger schutzbedürftig können folgerichtig nur Verarbeitungen mit nichtpersonenbezogenen Daten sein."

Rz. 220

Der Autor dieses Werkes hegt – vor allem mit Blick auf die Rechtsprechung des EuGH – Zweifel an dieser Einstufung und hält es für sinnvoll, neben den drei Schutzstufen des SDM eine gesonderte Schutzklasse für personenbezogene Daten aus "öffentlichen Quellen" schaffen.^[291]

[290] Ebenda, S. 37.

[291] Näher hierzu unten, Rdn 208 ff.

bb) Hoher Schutzbedarf

Rz. 221

Ein "hoher Schutzbedarf" soll bei besonderen Kategorien personenbezogener Daten vorherrschen. Dies gilt ebenso, wenn "Betroffene von den Entscheidungen bzw. Leistungen einer Organisation abhängig sind (etwa in der. Leistungsverwaltung oder im medizinischen Bereich) und wenn eine Organisation"

▪	mit einer weitreichenden Eingriffsintensität Daten verarbeitet, was zu erheblichen Konsequenzen für den Betroffenen führen kann,
▪	Daten verarbeitet, welche gesetzlich als besonders schutzwürdig ausgewiesen sind,
▪	keine real nachweislich funktionierenden Möglichkeiten der Intervention und des Selbstschutzes für Betroffene bereitstellt.“[292]

Rz. 222

Ein hoher Schutzbedarf soll auch dann bestehen, wenn "es ist nicht möglich ist, dass Konflikte unter realistisch zu bewältigenden Bedingungen für den Betroffenen vor Gericht geklärt werden können (Bsp. Anbieter von Telekommunikationsdienstleitungen ohne Niederlassung vor Ort)."^[293]

Als weitere Beispiele nennt das SDM:^[294]

▪	Verarbeitung nicht veränderbarer Personen-Daten, die ein Leben lang als Anker für Profilbildungen dienen können bzw. zuordenbar sind (z.B. biometrische Daten, Gen-daten),
▪	Verbreitung eindeutig identifizierender, hoch verknüpfbarer Daten (z.B. lebenslang gültige Krankenversichertennummer, Steuer-ID),
▪	gesetzlich begründete oder anderweitig zu erklärende Intransparenz der Verfahrensweisen für Betroffene (z.B. Verfassungsschutz, Schätzwerte im Scoring),
▪	Verarbeitung von Daten in einem Verfahren mit möglichen gravierenden, finanziellen Auswirkungen für Betroffene,
▪	Verarbeitung von Daten in einem Verfahren mit möglichen Auswirkungen auf das Ansehen/die Reputation des Betroffenen,
▪	Verarbeitung von Daten in einem Verfahren mit möglichen Auswirkungen auf die körperliche Unversehrtheit des Betroffenen.

Rz. 223

Insbesondere mit Blick auf die besonderen Kategorien personenbezogener Daten überrascht die Einordnung in die zweite Schutzklasse. Die DSGVO hat die Verarbeitung dieser Daten, wie Art. 9 DSGVO eindeutig belegt, als einzige Daten einem Verbot mit Erlaubnisvorbehalt unterworfen und ihre Verarbeitung nur in e...