Datenschutz und Vertrag

A. Vertrag

Von der Auslegung des Vertragsbegriffs hängt ab, welche Verhältnisse überhaupt unter Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO fallen.26 Die Verordnung verwendet den Begriff "Vertrag" nicht nur in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO, sondern auch in zahlreichen weiteren Normen.27 Die DSGVO enthält jedoch keine Definition des Vertragsbegriffs.28

Die folgenden Abschnitte untersuchen zunächst, ob der Vertragsbegriff autonom zu bilden ist oder zur Begriffsbildung auf das Recht der Mitgliedstaaten verweist.29 Anschließend wird der Vertragsbegriff bestimmt.30 Das Ergebnis wird sodann an ausgewählten Rechtsverhältnissen erprobt.31 Schließlich wird untersucht, ob ein Vertrag nach Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO nach nationalem Recht wirksam sein muss.32

I. Autonom oder Verweis?

Eine typische Vorfrage der Auslegung von Sekundärrecht ist, ob eine Regelung unionsautonom auszulegen ist oder ob sie auf das Recht der Mitgliedstaaten verweist.33 Die unionsautonome Auslegung ist kein "allgemeines Auslegungskriterium".34 Sie ist vielmehr eine normative Vorgabe.35 Bei der unionsautonomen Auslegung wird einem Begriff ein "eigenständige[r] europarechtliche[r] Sinn" gegeben.36

Der Unionsgesetzgeber kann für die eingangs genannte Frage Vorgaben machen.37 So betont etwa Erwägungsgrund 11 S. 2 Rom II-VO,38 dass der Begriff des außervertraglichen Schuldverhältnisses autonom ausgelegt werden soll.39 Wenn der Verordnungsgeber demgegenüber für die Begriffsdefinition auf das Recht der Mitgliedstaaten verweist, kommt eine unionsautonome Auslegung nicht in Frage.40

Für viele Begriffe gibt es jedoch weder eigene Definitionen noch Verweise.41 Auch die DSGVO enthält keine ausdrücklichen Aussagen dazu, ob der Vertragsbegriff in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO autonom auszulegen ist oder zur Begriffsbildung auf das Recht der Mitgliedstaaten verweist.42 Fehlen entsprechende Anweisungen des Unionsgesetzgebers, muss dies durch Auslegung ermittelt werden.43

Dabei können verschiedene - im Folgenden behandelte - Indizien herangezogen werden.44 Vor diesem Hintergrund lassen sich zunächst Argumente für eine Auslegung nach dem Recht der Mitgliedstaaten finden.45 Daran anschließend werden Argumente für eine unionsautonome Auslegung identifiziert.46

1. Verweis auf das Recht der Mitgliedstaaten

Ein Teil der Literatur legt den Vertragsbegriff des Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO nach dem Recht der Mitgliedstaaten aus.47 Hierfür wird angeführt, dass es kein unionseinheitliches Vertragsverständnis gebe.48 Zudem soll das Fehlen einer Definition des Vertragsbegriffs in der DSGVO für diese Auslegung sprechen.49

a. Kein einheitliches Begriffsverständnis

Zunächst wird argumentiert, dass es kein unionseinheitliches Verständnis davon gebe, was ein Vertrag ist.50 Eine "Orientierung an einer verordnungskonformen Auslegung" könne es folglich nicht geben.51 Die Norm verweise daher auf das nationale Zivilrecht.52 Die nationalen Besonderheiten, etwa das deutsche Abstraktionsprinzip würden insoweit "durchschlagen".53 Wenn jegliche unionsrechtliche Anhaltspunkte für die Auslegung fehlen, kann dies grundsätzlich ein Indiz für einen Verweis auf nationale Rechtsordnungen sein.54

Zwar trifft es zu, dass es keinen Vertragsbegriff in einem europäischen Vertragsrecht gibt.55 Insbesondere kann nicht auf die Definition in Art. 2 lit. a des Entwurfs über ein gemeinsames Europäisches Kaufrecht56 zurückgegriffen werden.57 Dieser Entwurf ist in Folge der Rücknahme durch die Kommission nie zu geltendem Recht geworden.58 Mangels Verbindlichkeit scheidet auch ein Rückgriff auf den "Draft Common Frame of Reference"59 aus.60

Schwierigkeiten bei der Definition des Vertragsbegriffs bestehen auch im europäischen Zivilverfahrensrecht und im europäischen internationalen Privatrecht.61 So enthält etwa die Rom I-VO62 in Art. 1 Abs. 1 S. 1 Rom I-VO den - dem Vertragsbegriff in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO verwandten - Begriff "vertragliches Schuldverhältnis".63 Der EuGH legt sowohl diesen Begriff als auch den Begriff "Vertrag" in Art. 7 Nr. 1 lit. a Brüssel Ia-VO autonom aus.64 Insoweit greift der bloße Verweis auf einen fehlenden Anknüpfungspunkt im Unionsrecht für den Vertragsbegriff in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO zu kurz.65

b. Fehlende Definition

Auch die fehlende Begriffsdefinition innerhalb der DSGVO soll für einen Verweis auf das Recht der Mitgliedstaaten sprechen.66 Generell hat der Verordnungsgeber Art. 6 Abs. 1 UAbs. lit. b Alt. 1 DSGVO verglichen mit der datenschutzrechtlichen Einwilligung in Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO weitaus weniger detailliert ausgestaltet.67

Das Vorhandensein einer unionsrechtlichen Definition wäre zwar ein starkes Argument für eine unionsautonome Auslegung des entsprechenden Begriffs.68Allerdings folgt aus dem Fehlen einer Definition nicht, dass ein Begriff nach nationalen Maßstäben bestimmt werden muss.69

Auch für die bereits angesprochenen Begriffe in Art. 7 Nr. 1 lit. a Brüssel Ia-VO sowie Art. 1 Abs. 1 S. 1 Rom I-VO existieren keine Legaldefinitionen.70 Darüber hinaus hat der EuGH etwa den Begriff "Versicherungsvertrag" in Art. 3 Abs. 2 lit. d der RL 85/57771 autonom ausgelegt, obwohl diese Richtlinie weder eine Definition noch einen Verweis auf das Recht der Mitgliedstaaten hierfür vorsieht.72

2. Unionsautonome Auslegung

Überzeugender ist letztlich eine autonome Auslegung des Vertragsbegriffs in Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO allein anhand unionsrechtlicher Maßstäbe.73 Insoweit formuliert Gebauer - wenn auch nicht zur DSGVO - anschaulich: "Was aber als ein Vertrag [...] nach Vorstellung des [...] deutschen Rechts einzuordnen ist, kann nicht ausschlaggebend für die Frage sein, was diese[r] Begriff[...] im Unionsrecht zu bedeuten ha[t]."74

Dies ergibt sich zunächst aus der mit der DSGVO angestrebten Rechtsvereinheitlichung.75 Zudem spricht ein Umkehrschluss aus Art. 6 Abs. 2, 3 DSGVO für eine autonome Auslegung.76 Auch die Erwägungsgrunde 10 S. 377 sowie 40 DSGVO78 stützen diese These.

a. Rechtsvereinheitlichung als Zielsetzung

Der Unionsgesetzgeber hat die DSGVO zur Rechtsvereinheitlichung als Verordnung ausgestaltet.79 Als europäische Verordnung gilt sie nach Art. 288 Abs. 2 AEUV unmittelbar.80 Schon die bloße Verwendung eines Begriffs in einer unmittelbar anwendbaren Verordnung spricht für eine unionsautonome Begriffsbildung.81

Zudem ist Art. 6 DSGVO die "zentrale materielle Norm" der DSGVO.82 Die Festlegung der Rechtmäßigkeitsvoraussetzungen für eine Datenverarbeitung ist die "zentrale Stellschraube" im Datenschutzrecht.83 Gerade bei den datenschutzrechtlichen Rechtsgrundlagen sind keine Abweichungen durch mitgliedstaatliche Regelungen beziehungsweise durch ein mitgliedstaatliches Verständnis vorgesehen.84

Für eine unionsautonome Auslegung spricht auch ein Vergleich mit der Vorgängerregelung in Art. 7 lit. b DS-RL.85 Allgemein zeigt die Entscheidung für eine Verordnung anstelle einer Richtlinie, dass der Unionsgesetzgeber der einheitlichen Anwendung besondere Bedeutung beimisst.86 Ein Beweggrund für die Wahl des Instruments der Verordnung war, die zuvor unter Geltung der DS-RL bestehenden Unterschiede zu verringern.87 Diese weitere Harmonisierung sollte auch den freien Datenverkehr im Binnenmarkt fördern.88 Die einheitliche Auslegung und Anwendung der DSGVO wäre jedoch durch einen Verweis auf das Recht der Mitgliedstaaten bei Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO in Gefahr.89

b. Umkehrschluss aus Art. 6 Abs. 2, 3 DSGVO

Aus systematischer Sicht spricht ein Umkehrschluss aus Art. 6 Abs. 2, 3 DSGVO für eine unionsautonome Auslegung des Vertragsbegriffs.90 Art. 6 Abs. 2, 3 DSGVO erlauben mitgliedstaatliche Konkretisierungen bei Datenverarbeitungen zur Erfüllung einer öffentlichen Aufgabe beziehungsweise zur Erfüllung einer gesetzlichen Pflicht.91 Das Verhältnis der beiden Absätze ist umstritten.92 Für den hier vorgenommenen Umkehrschluss ist es jedoch unerheblich.

Jedenfalls sehen Art. 6 Abs. 2, 3 DSGVO für Art. 6 Abs. 1 UAbs. 1 lit. b Alt. 1 DSGVO gerade keine Konkretisierungsmöglichkeit im Recht der Mitgliedstaaten vor.93 Vielmehr ist der Anwendungsbereich auf Verarbeitungen nach Art. 6 Abs. 1 UAbs. 1 lit. c und lit. e DSGVO beschränkt.94 Dieser Verweis kann auch nicht auf andere Rechtsgrundlagen übertragen werden.95 Eine vereinzelte und selektive Verweisung auf das nationale Recht spricht vielmehr dafür, dass eine solche im Übrigen gerade nicht gewollt ist.96

c. Erwägungsgrund 10 S. 3 DSGVO

Erwägungsgrund 10 S. 3 DSGVO verstärkt diesen Eindruck. Er hebt hervor, dass für Verarbeitungen nach Art. 6 Abs. 1 UAbs. 1 lit. c beziehungsweise lit. e DSGVO "die Mitgliedstaaten die Möglichkeit haben [sollten], nationale Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer festgelegt wird, beizubehalten oder einzuführen.". Auch hier ist kein...