Die DSGVO legt in Art. 6 Rechtmäßigkeit der Verarbeitung fest, dass die Verarbeitung nur rechtmäßig ist, wenn – unter Buchstabe c – die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt.
Die Vorschrift unter Art. 6 Abs. 1 lit. c ist selbst kein Erlaubnistatbestand, sondern vielmehr das Einfallstor für EU- oder mitgliedstaatlicher Rechtsvorschriften. Diese Rechtsvorschriften sind es, die die eigentliche Rechtsgrundlage für eine Datenverarbeitung liefern.
Diese Regelung zeigt das Prinzip „Verbot mit Erlaubnisvorbehalt“ auf, dass neben der DSGVO weiterhin aus dem allgemeinen Datenschutzrecht, bestehend aus BDSG und Landesdatenschutzgesetzen sowie den fachspezifischen Rechtsvorschriften Erlaubnistatbestände ergeben können. Deshalb gilt es auch unter der DSGVO, dass stets zu prüfen ist, ob für die Verarbeitung personenbezogener Daten – neben der DSGVO – andere Rechtsvorschriften zur Anwendung kommen. Allerdings muss sich diese rechtlichen Verpflichtungen unmittelbar auf eine Datenverarbeitung beziehen.
Im Arbeitsverhältnis bedeutet dies, dass der Arbeitgeber darlegen und beweisen muss, auf welcher Rechtsgrundlage – also welches konkrete Gesetz oder Rechtsnorm – die Datenverarbeitung basiert.
Aufzeichnungs- und Aufbewahrungspflichten im Handels-, Gewerbe-, Steuer- und Sozialrecht zählen zu den „klassischen“ rechtlichen Verarbeitungspflichten.
Auch z.B. die Meldung von Arbeitnehmererfindungen an das Deutsche Patent- und Markenamt beruht auf einer rechtlichen Verpflichtung, die aus einem Zusammenspiel von Vorschriften des ArbEG, PatG, PatV und Datenschutzvorschriften folgt.
Im Rahmen des Betrieblichen Eingliederungsmanagements (BEM) nach § 167 Abs. 2 SGB IX ist der Arbeitgeber rechtlich verpflichtet, eine etwaig vorhandene betriebliche Interessenvertretung hinzuzuziehen, wenn die betroffene Person damit einverstanden ist. Die Hinzuziehung schließt eine Offenlegung der für die Durchführung des BEM wesentlichen personenbezogenen Daten gegenüber der Interessenvertretung ein.
Das Erforderlichkeitsgebot bleibt allerdings bestehen, d.h. nur die Daten, die zur Erfüllung der Verpflichtung benötigt werden, dürfen erhoben werden. Weitere Daten, die für den Verantwortlichen vielleicht nützlich sein könnten, dürfen nicht nach dieser Norm verarbeitet werden.