Weihnachten, Wunschzettel und der Datenschutz

veröffentlicht am 21. November 2018 / Lesedauer: ca. 4 Minuten; Autoren: Alexander Theusner, Johannes Marco Holz, Maximilian S. Dachlauer
 
Kinder haben Weihnachtswünsche. Diese schreiben sie – trotz Digitalisierung – gerne auf einen Wunschzettel und hoffen, dass die Wünsche in Erfüllung gehen. Auch im Zeitalter des modernen Datenschutzes soll und muss sich daran nichts ändern.
  

  
Das möchten wir an dem folgenden – rein fiktiven – Fall verdeutlichen: Eine schöne wie traditionsreiche fränkische Stadt veranstaltet seit vielen Jahren einen Weihnachtsmarkt. Eine besondere Attraktion des Marktes ist eine Wunschzettel-Aktion für Kinder. Die Kinder können dabei ihren Wunschzettel an den Christbaum auf dem Weihnachtsmarkt hängen. Damit die Wünsche erfüllt werden können, schreiben die Kinder – neben ihren Wünschen – ihren Namen, ihr Alter und ihre Adresse auf den Zettel. Die Zettel, die während der Adventszeit offen am Christbaum hängen, werden gegen Ende des Advents von der Stadt eingesammelt und an die Partner und Sponsoren der Aktion weitergegeben. Mit etwas Glück gehen die Kinderwünsche dann in Erfüllung – ein Buch vom Buchhändler, ein Fußballshirt vom Sportfachgeschäft oder eine Mitfahrt mit einem städtischen Feuerwehrauto.​
 

Warum Datenschutz und Weihnachtswünsche vereinbar sind

Die Stadt nimmt den Datenschutz ihrer Bürger (insbesondere auch der Kinder) ernst und stellt sich daher die Frage, ob die Wunschzettel-Aktion mit dem neuen Datenschutzrecht in Einklang steht. Daher möchten wir das Thema ebenfalls einmal näher beleuchten.
 
Zunächst könnte man sich daran stören, dass die Wunschzettel der Kinder offen am Christbaum hängen und jeder Weihnachtsmarktbesucher sehen kann, wie die Kinder heißen, wie alt sie sind und wo sie wohnen.
 
Das Datenschutzrecht (hier wäre auf die fränkische Stadt als öffentliche Stelle das Bayerische Landes­daten­schutz­gesetz (BayDSG) anwendbar, die Datenschutz-Grundverordnung (DSGVO) würde zusätzlich gelten) regelt die Verarbeitung von Daten. Namen, Alter und Adressen der Kinder sind zweifellos personenbezogene Daten. Doch verarbeitet die Stadt diese Daten schon deshalb, weil die Kinder ihre Wunschzettel an dem (städtischen) Weihnachtsbaum befestigen?
 
Datenverarbeitung betrifft „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten”. Dazu gehört auch das Erheben von Daten. Natürlich könnte man den Standpunkt vertreten, dass die Wunschzettel ja gerade an dem Baum befestigt werden sollen und die Stadt dadurch die Daten der Kinder „erhebt”. „Erheben” setzt aber ein aktives Tun des Verantwortlichen (das wäre hier die Stadt) voraus. Und daran fehlt es: Aktiv sind zunächst nur die Kinder, die ihre Wunschzettel anbringen. Die Stadt selbst wird während der Adventszeit nicht weiter tätig. Die Zettel bleiben hängen, ohne dass die Stadt in irgendeiner Form die Daten auf den Zetteln abliest, aufnimmt oder einsammelt. Daher sehen wir hier noch gar keine Datenverarbeitung durch die Stadt – und damit auch kein datenschutzrechtliches Thema – auch wenn andere die Wunschzettel sehen können. Andernfalls wäre jede bereitgestellte (städtische) Pinnwand schon eine Datenerhebung, wenn ein Zettel mit Name und Adresse auf ihr befestigt wird. Und, nicht zu vergessen: Man kann seinen Wunschzettel während der Adventszeit ja auch wieder abhängen.
 

Die Einwilligung: Manchmal ein Weihnachtsmärchen

Bleiben wir beim Thema Erhebung. Wenn die Stadt am Ende der Adventszeit die Wunschzettel einsammelt und die Wünsche liest, wird sie (durch ihre Mitarbeiter) selbst aktiv. Sie erhebt und verarbeitet damit die Daten der Kinder. Das tut die Stadt um zu prüfen, welcher Wunsch zu welchem Partner oder Sponsor passt. Was muss die Stadt dabei beachten?
 
Die Stadt muss – das ist ein Grundsatz im Datenschutz – für die Datenverarbeitung eine Erlaubnis, d.h. eine Rechtsgrundlage haben. Eine Rechtsgrundlage kann die Einwilligung sein. Es gibt aber, was oft missverstanden oder übersehen wird, noch andere Rechtsgrundlagen als die Einwilligung. So könnte die Stadt sich hier auf die Wahrung ihrer berechtigten Interessen gemäß Art. 6 Abs. 1 f) DSGVO berufen. Wenn sie das kann, muss sie keine Einwilligungen von den Betroffenen (den Kindern bzw. deren sorgeberechtigten Eltern) einholen. Und wenn sie keine Einwilligungen einholen muss, dann kann auch auf das Ausfüllen von Formularen verzichtet werden.
 
Die Veranstaltung einer Wunschzettel-Aktion ist zweifellos ein berechtigtes Interesse der Stadt. Es dürfte sodann nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich dabei um ein Kind handelt. Anders gesagt: Das Recht der Kinder, ihren Namen, ihr Alter und ihre Adresse nicht preiszugeben, müsste stärker und schützenswerter sein als das Interesse der Stadt, die Wunschzettel-Aktion durchzuführen. Das wäre aber aus unserer Sicht nicht der Fall. Die Kinder wollen an der Aktion teilnehmen, sie tun das freiwillig, und die Aktion ist – insbesondere wenn der Wunsch in Erfüllung geht – nur zu ihrem Vorteil. Daher würden wir hier annehmen, dass die Stadt die Daten der Kinder für die Aktion verarbeiten und an die passenden Sponsoren weitergeben darf, weil sie dazu nach der sog. Interessensabwägung ein berechtigtes Interesse hat.
 
Würde man die Kinder fragen, was ihr verfolgtes Interesse ist, wäre die Antwort wohl ziemlich eindeutig. Wenn die Kinder minderjährig sind, müssten in vielen Fällen ihre Eltern (oder die Sorgeberechtigten) der Teilnahme an der Aktion zustimmen. Das hat aber in dem Fall nichts mit einer Einwilligung im Sinne des Datenschutzes zu tun, sondern ergibt sich aus dem Minderjährigenrecht im BGB.
 
Eines müsste die Stadt aber tun: Weil sie mit dem Einsammeln und Auswerten der Wunschzettel und der Weitergabe an passende Sponsoren personenbezogene Daten verarbeitet, sollte sie neben dem Christbaum einen Hinweis zum Datenschutz gemäß Art. 13 DSGVO anbringen. So können die Eltern der Kinder nachvollziehen, was mit den Daten passiert. Natürlich gehen wir davon aus, dass die Stadt sowie die Partner und Sponsoren die Daten nur für die Wunschzettel-Aktion verarbeiten und danach wieder löschen.
 
Das wär’s aus unserer Sicht auch schon. Womit sich am Ende zeigt: Datenschutz ist kein Weihnachtsmärchen, sondern lebensnah – wenn er richtig und mit Augenmaß angewendet wird.
 
In diesem Sinne wünschen wir unseren Lesern eine besinnliche Vorweihnachtszeit und hoffen, dass der Datenschutz den Weihnachtswünschen nicht im Wege steht.