Nicht jedes „Nein“ beendet die Datenverarbeitung
„Dann widerspreche ich einfach der Verarbeitung meiner Daten.“ Oder: „Dann widerrufe ich eben meine Einwilligung.“ Diese Aussagen begegnen Unternehmen regelmäßig. Viele Betroffene gehen davon aus, dass ihre Daten danach nicht mehr genutzt werden dürfen.
Ein aktuelles Urteil des Landgerichts Köln zeigt, dass ein Widerspruch nicht zwangsläufig das Ende einer Verarbeitung bedeutet. In dem Verfahren ging es um die Frage, ob ein Arbeitgeber Gehaltsdaten eines vermittelten Mitarbeiters an einen Personalvermittler weitergeben durfte, obwohl der Betroffene dieser Weitergabe ausdrücklich widersprochen hatte. Das Gericht bejahte dies im konkreten Fall.
Die Entscheidung verdeutlicht, dass Betroffenenrechte und berechtigte Interessen von Unternehmen oder Dritten häufig gegeneinander abgewogen werden müssen.
Eine ähnliche Frage stellt sich beim Widerruf einer Einwilligung: Muss jede weitere Nutzung enden oder ist die veränderte Nutzung neu zu bewerten? Entscheidend ist in beiden Fällen nicht allein der Widerspruch oder Widerruf, sondern welche konkrete Verarbeitung erfolgen soll und auf welcher Rechtsgrundlage sie beruht.
Warum das Thema viele Unternehmen betrifft
Die Fragestellung reicht weit über Personalvermittlungen hinaus. Ähnliche Situationen entstehen im Unternehmensalltag deutlich häufiger, als viele vermuten. Beispiele sind:
- Widerrufe von Fotoeinwilligungen,
- Veröffentlichungen auf Unternehmenswebsites oder in sozialen Netzwerken,
- Kundenanfragen,
- Vertragsabwicklungen,
- Compliance-Prozessen,
- internen Untersuchungen,
- Betrugsprävention,
- Forderungsmanagement
- oder konzerninternen Datenübermittlungen.
Auch hier wird häufig angenommen, dass ein Widerspruch oder Widerruf die weitere Verarbeitung automatisch ausschließt.
Maßgeblich bleibt, auf welcher Grundlage die jeweilige Nutzung erfolgt und ob entgegenstehende Interessen überwiegen.
Widerruf bedeutet nicht zwangsläufig das Ende jeder Nutzung
Wird eine Einwilligung widerrufen, muss die darauf gestützte Nutzung grundsätzlich für die Zukunft beendet werden. Das bedeutet jedoch nicht automatisch, dass jede weitere Nutzung ausgeschlossen ist.
Ein typisches Beispiel aus der Praxis sind Fotos von Beschäftigten auf einer Unternehmenswebsite oder in sozialen Netzwerken. Widerruft eine beschäftigte Person ihre Einwilligung zur Veröffentlichung, muss das Unternehmen die Veröffentlichung des ursprünglichen Bildes grundsätzlich beenden.
Danach stellt sich oft die Frage, wie mit bereits vorhandenen Inhalten umzugehen ist. Wird eine Person beispielsweise durch eine Bildbearbeitung vollständig entfernt oder ersetzt, sodass sie auf dem bearbeiteten Bild nicht mehr identifizierbar ist, kann dieses datenschutzrechtlich anders zu bewerten sein als die ursprüngliche Aufnahme.
Das Beispiel zeigt: Vorhandene Inhalte sind nach einem Widerruf nicht zwangsläufig vollständig unbrauchbar. Maßgeblich bleibt stets, welche konkrete Verarbeitung erfolgt und auf welcher Rechtsgrundlage sie beruht. Je nach Einzelfall können daneben auch weitere rechtliche Vorgaben, etwa zum Recht am eigenen Bild, zu berücksichtigen sein.
Die häufigsten Missverständnisse in der Praxis
1. Ein Widerspruch beendet jede Datenverarbeitung.
Ein Widerspruch muss sorgfältig geprüft werden. Er führt jedoch nicht automatisch dazu, dass jede Verarbeitung personenbezogener Daten eingestellt werden muss. Entscheidend sind die jeweilige Rechtsgrundlage und die erforderliche Interessenabwägung.
2. Ein Widerruf verbietet jede weitere Nutzung der Daten.
Der Widerruf einer Einwilligung beendet grundsätzlich die Verarbeitung, die auf dieser Einwilligung beruht. Das bedeutet jedoch nicht automatisch, dass jede spätere oder veränderte Verarbeitung ausgeschlossen ist. Maßgeblich ist, welche Nutzung geplant ist und ob sie eigenständig gerechtfertigt werden kann.
3. Vorhandene Daten dürfen nicht mehr verändert oder weiterverwendet werden.
Gerade bei Fotos entsteht häufig die Annahme, dass vorhandene Bilder nach einem Widerruf vollständig unbrauchbar werden. Tatsächlich kann die datenschutzrechtliche Bewertung anders ausfallen, wenn eine Person beispielsweise vollständig aus einem Bild entfernt wird und nicht mehr identifizierbar ist. Solche Fälle sollten jedoch immer individuell geprüft werden.
Was Unternehmen jetzt prüfen sollten
Aus unserer Beratungspraxis empfiehlt sich insbesondere,
- zwischen Widerspruch und Widerruf einer Einwilligung zu unterscheiden,
- die jeweilige Rechtsgrundlage der Verarbeitung zu dokumentieren,
- vor jeder weiteren Nutzung vorhandener Daten zu prüfen, ob eine eigenständige datenschutzrechtliche Bewertung erforderlich ist,
- Bild- und Medienkonzepte regelmäßig zu überprüfen,
- Verantwortlichkeiten für Betroffenenanfragen festzulegen,
- Mitarbeitende und Führungskräfte zu Betroffenenrechten zu sensibilisieren
- und Entscheidungen nachvollziehbar zu dokumentieren.
Bei Fotos, Marketingmaßnahmen oder Veröffentlichungen auf Websites und sozialen Netzwerken hängt die Bewertung oft stark vom Einzelfall ab. Eine vorschnelle Entscheidung – sei es zugunsten oder zulasten einer weiteren Verarbeitung – schafft hier oft unnötige Risiken.
Fazit
Das Urteil des LG Köln macht deutlich, dass ein Widerspruch nach der DSGVO nicht automatisch jede Datenverarbeitung beendet.
Entscheidend ist vielmehr, welche Rechtsgrundlage besteht und wie die jeweiligen Interessen im Einzelfall zu bewerten sind.
Ähnlich verhält es sich beim Widerruf einer Einwilligung. Auch hier kommt es darauf an, welche konkrete Verarbeitung beendet werden muss und ob eine spätere oder veränderte Verarbeitung datenschutzrechtlich eigenständig zu bewerten ist.
Unsere Erfahrung zeigt, dass Unternehmen Betroffenenrechte häufig entweder zu restriktiv oder zu großzügig interpretieren. Eine strukturierte Prüfung schafft hier nicht nur mehr Rechtssicherheit, sondern hilft auch dabei, unnötige Konflikte zu vermeiden.
Sofortdatenschutz – Kontaktaufnahme
„*“ zeigt erforderliche Felder an
