Gegeben ist ein Zuschussantrag an eine Bundesbehörde zur energetischen Sanierung eines Gebäudes bzw. zur Errichtung eines Wärmenetzes. In der Datenschutzerklärung beruft sich das Amt auf die Einwilligung als Rechtsgrundlage für jegliche Datenverarbeitung die der Antragstellung folgt. Wobei formelle Anforderungen an eine Einwilligung, wie der direkte Hinweis aufs Widerrufsrecht unterbleiben. In den weiteren Erklärungen unterwirft sich der Antragsteller einer ganzen Reihe von Verpflichtungen und unterzeichnet dafür über Straftatbestände, wie Subventionsbetrug, informiert worden zu sein.
Ich kann es drehen und wenden wie ich will, ich sehe nur eine Rechtsgrundlage: Vertragserfüllung (Art 6 Abs 1 S1 Zif b DS-GVO). Ja klar niemand muss einen Antrag stellen; die Entscheidung dazu ist natürlich freiwillig. Wenn ich mich als Antragsteller aber dann auf den Vorgang einlasse, dann sind wir (Amt und Antragsteller) doch in gegenseitiger vertraglicher Verpflichtung?
Oder wenn ich beschummeln wollte, würde ich nach der Logik doch nur die Einwilligung widerrufen und das Amt müsste alle Daten löschen. Was sie alleine schon wegen Aufbewahrungspflichten nicht könnten. Dass die Daten an viele andere Stellen weitergegeben werden und realistisch nicht gelöscht werden könnten, kommt da noch dazu.
Bei der Literatur-Recherche finde ich z.B. beim bayerischen LFDI den Hinweis “Anders als im nicht-öffentlichen Bereich spielt die Einwilligung als Rechtsgrundlage der Verarbeitung personenbezogener Daten im öffentlichen Sektor nur eine nachrangige Rolle. Dies hängt damit zusammen, dass Verantwortliche in diesem Bereich … genannten bayerischen öffentlichen Stellen personenbezogene Daten meist auf Grund einer Verarbeitungsbefugnis aus dem nationalen Recht … verarbeiten.” Ja logisch eigentlich.
Gola verweist u.a. darauf, dass Einwilligungen nur eingeholt werden sollten, wenn ansonsten kein Erlaubnistatbestand zur Verfügung steht. Er verweist ferner auf den Grundsatz von Treu und Glauben, wonach bei den Betroffenen der Eindruck vermieden werden sollte, die Verarbeitung unterstünde ihrer alleinigen Entscheidungsgewalt.
Ich bitte um andere Einschätzungen. Ich halte es für hanebüchen bei den Betroffenen einen Eindruck zu erwecken, der in der Realität nie und nimmer eingehalten werden kann.
Also bei der Tätigkeit einer Behörde würde ich zunächst einmal generell nicht von einer vertraglichen Beziehung zum Bürger ausgehen, sondern von der Erfüllung einer gesetzlichen Aufgabe. Insofern würde ich hier als Rechtsgrundlage für die Datenverarbeitung Art. 6 Abs. 1 lit. c) DSGVO i.V.m. der nationalen Rechtsgrundlage für das Tätigwerden der Behörde sehen.
Sicherlich ist es alleinige Entscheidung des Bürgers, ob er einen Antrag auf Leistungen - in Deinem Beispiel einen staatlichen Zuschuss - stellt oder nicht. Die Antragstellung und auch die weitere Bearbeitung durch die zuständige Behörde erfolgen dann aber aufgrund einer nationalen Rechtsgrundlage, in deren Folge die Verarbeitung der Daten erforderlich ist. Ein Vertrag kommt mit einer Behörde kommt bei einer Antragsbearbeitung in der Regel schon aus dem Grund nicht zustande, weil es bereits an den übereinstimmenden Willenserklärungen mangelt.
Ich arbeite selber als behördlicher DSB bei einem Sozialversicherungsträger. Auch hier wollen die Mitarbeitenden gern Einwilligungen für das Tätigwerden einholen. Es ist irgendwie schwierig das aus den Köpfen der Leute herauszubekommen… Liegt vermutlich auch daran, dass der europäische Gesetzgeber in der DSGVO die Einwilligung bei den Rechtsgrundlagen ganz nach vorne gesetzt hat.
Allerdings würde ich noch §3 BDSG ins Spiel bringen
Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.
es geht um eine öffentliche Stelle, der Antrag ist sicher bei einer zuständigen Behörde zu stellen und ohne die Daten des Antragstellers wird die Bearbeitung schwer, also ist es auch erforderlich.
Aber insgesamt scheint mir der von Hubert beschriebene Fall, ein Fall von “wir wollen es gut machen, haben aber keine Ahnung und nehmen das was uns gut erscheint”. Also viel Halbwissen.
Ich habe heute direkt an den DSB der BAFA gewandt. Warten wir ab was dabei rauskommt. Und falls ich es nicht gerade vergessen sollte (eher unwahrscheinlich) kann ich gerne die Antwort hier posten.
Heute kam die Antwort des DSBs der BAFA, die ich gerne ungekürzt zur Verfügung stelle
haben Sie vielen Dank für den Hinweis. Ich stimme Ihnen in nahezu allen Punkten zu. Die Einwilligung ist hier in der Tat keine geeignete Rechtsgrundlage, da es an der Freiwilligkeit mangelt; richtige Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 Buchst. c i.V.m. § 3 BDSG. Auf dieser Grundlage verarbeitet das BAFA in diesem (und in allen anderen Förderprogrammen) die personenbezogenen Daten, daher auch bei dem zu setzenden Kreuz die Formulierung „zur Kenntnis genommen“ und nicht „willige ein“. Auf das Kreuzchen könnte man in der Tat wohl auch verzichten. Da es hier nicht auf die Einwilligung ankommt, ist in der Tat auch die Belehrung über die Betroffenenrechte in dieser Version der Datenschutzhinweise unzutreffend.
Bei der Version der Datenschutzhinweise, die aktuell online ist, handelt es sich m. E. um eine (sehr) alte Version. Wieso diese Version aktuell angezeigt wird, erschließt sich mir nicht. An sich wurde das bereits vor langer Zeit angepasst. Ich werde dem nachgehen und das umgehend korrigieren lassen.
Vielen Dank nochmal an alle, die zur Diskussion beigetragen haben.