DSGVO - BDSG - TTDSG

21

In diesem Zusammenhang ist noch nicht abschließend geklärt, ob und inwieweit ein Medienbruchim Rahmen der Information der betroffenen Personen zulässig ist,47 ob also auch in Bezug auf Offline-Sachverhalte eine Online-Information erfolgen kann. Einige Stellungnahmen der Aufsichtsbehörden deuten jedoch darauf hin, dass der Verweis auf eine Website auch dann durchaus zulässig ist, wenn die Datenerhebung offline, bspw. telefonisch erfolgt ist.48

22

Gemäß Art. 5 Abs. 1 lit. b Hs. 1 DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zweckeerhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

23

Aus der Vorgabe, dass personenbezogene Daten für festgelegte Zweckeerhoben werden müssen, ergibt sich im Umkehrschluss das Verbot der Datenerhebung zu noch unbekannten Zwecken.49 Folglich muss die Fixierung des Zwecks der Verarbeitung grundsätzlich spätestens mit deren Beginn erfolgen.50 Der Zweckbindungsgrundsatz kann insofern als ein Selbstregulierungsinstrument verstanden werden, das den Verantwortlichen zu einer Reflexion über die Ziele seiner Datenverarbeitung zwingt.51 Art. 5 Abs. 1 lit. b DSGVO sieht für die Festlegung des Zwecks zwar keine bestimmte Formvor, jedoch ist aus Gründen der Beweisbarkeit eine textliche52 oder schriftliche53 Fixierung ratsam, zumal der Zweck der Datenverarbeitung den betroffenen Personen im Rahmen der Transparenzpflichten regelmäßig ohnehin mitzuteilen ist (siehe oben Rn. 16ff.). Sofern eine Verarbeitung mehreren Zwecken dient,54 sollte der Verantwortliche freilich sämtliche Zwecke hinreichend definieren.

24

Zudem muss der Verarbeitungszweck eindeutigangegeben werden. Bezugnehmend auf die englische Sprachfassung55 ist davon auszugehen, dass der Zweck hinreichend konkret bestimmt sein muss,56 sodass zu allgemeine Angaben wie beispielsweise „für Marketing-Zwecke“ dem notwendigen Detaillierungsgrad nicht entsprechen dürften.57 Das Erfordernis einer konkreten Zweckfestlegung und deren Mitteilung gegenüber der betroffenen Person sind nicht zuletzt auch ein Ausdruck der Transparenz der Datenverarbeitung.58 Der konkret erforderliche Detaillierungsgrad ist einzelfallabhängig;59 wesentliche Faktoren sind etwa:60

– die Anzahl der betroffenen Personen,

– der von der Verarbeitung betroffene geografische Bereich oder

– das im gegebenen Verarbeitungskontext übliche Maß.

25

Der Zweck der Verarbeitung ist legitim, sofern er mit der Rechtsordnung in Gänze in Einklang steht, mithin also kein rechtlich missbilligtes Interesse verfolgt wird.61 Der Verarbeitungszweck muss somit jeglichem geschriebenen Recht und Gewohnheitsrecht, Primär- und Sekundärrecht, Verordnungen, bindenden Präzedenzfällen, Verfassungsprinzipien, Grundrechten sowie der Rechtsprechung entsprechen (siehe auch Art. 6 Rn. 84, 160).62

26

Gemäß dem Zweckbindungsgrundsatz darf eine etwaige Weiterverarbeitung der personenbezogenen Daten dem Zweck ihrer Erhebung nicht zuwiderlaufen. In Art. 6 Abs. 4 DSGVO(siehe Art. 6 Rn. 173) werden eine Reihe von Faktoren aufgelistet, anhand derer beurteilt werden kann, ob die (Weiter-)Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist.63 Die aufgeführten Kriterien sind nicht abschließend64 und umfassen etwa den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden (lit. b), sowie die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen (lit. d). Weiterverarbeitungen für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszweckeoder für statistische Zweckewerden nach Maßgabe des Art. 5 Abs. 1 lit. b Hs. 2 DSGVO privilegiert, indem sie nicht als mit dem ursprünglichen Erhebungszweck unvereinbar angesehen werden. Da diese Ausnahmen das Potenzial haben, das Prinzip der Zweckbindung erheblich auszuhöhlen, sind sie restriktiv auszulegen.65 In der Praxis kann dem Auftreten einer Zweckänderung und den damit einhergehenden Problemen vorgebeugt werden, indem bereits zu Beginn des Verarbeitungsvorgangs eine Reihe konkreter Zwecke festgelegt wird, auf die später zurückgegriffen werden kann.

27

Personenbezogene Daten müssen dem Zweck angemessenund erheblichsowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränktsein, Art. 5 Abs. 1 lit. c DSGVO. Zur Wahrung dieses Grundsatzes der Datenminimierung muss die Datenverarbeitung nicht auf ein absolutes Minimum beschränkt werden, sondern sie muss lediglich ein dem Verarbeitungszweck angemessenes Niveau aufweisen.66 Wie dieses Niveau im Einzelfall auszugestalten ist, ist vom Verantwortlichen vor Beginn der Verarbeitungstätigkeit anhand einer Verhältnismäßigkeitsprüfungzu bestimmen.67

28

Der Datenminimierungsgrundsatz steht prinzipiell der gängigen Praxis entgegen, Daten nicht nur in einem Hauptsystem, sondern darüber hinaus auch in diversen Nebenakten oder „ Schattendatenbanken“ vorzuhalten, also Systemen, auf denen Kopien von Datensätzen jenseits zentral gesteuerter Backup-Routinen gespeichert sind (wie bspw. lokale Kopien, Excel-Datenbanken oder, soweit sie gem. Art. 2 DSGVO dem Anwendungsbereich der Verordnung unterfallen, auch Papierakten). Ob und inwieweit die Datenspeicherung in solchen Schattendatenbanken zulässig ist, ist stets eine Frage des Einzelfalls und in erster Linie davon abhängig, ob eine doppelte Aktenführung – etwa zur ordnungsgemäßen Wahrnehmung der Personalverwaltung – erforderlich ist und mithin gerechtfertigt werden kann. Grundsätzlich ist die Verwendung von Nebenakten und Schattendatenbanken zwar nicht ausgeschlossen, jedoch sollte damit sparsam verfahren werden, da sich sämtliche die Hauptakte betreffende organisatorische Pflichten (beispielsweise Lösch-, Berichtigungs- und Auskunftspflichten sowie die Pflicht zur Implementierung technischer und organisatorischer Maßnahmen) auch auf etwaige Nebenakten erstrecken.68

29

Eine konkrete Ausprägung erfährt der Datenminimierungsgrundsatz durch Art. 25 DSGVO, der den Datenschutz durch Technikgestaltung ( privacy by design) und durch datenschutzfreundliche Voreinstellungen ( privacy by default) zum Gegenstand hat.69 Gemäß Art. 25 Abs. 1 DSGVO ist der Verantwortliche dazu verpflichtet, geeignete technische und organisatorische Maßnahmen – wie beispielsweise die Pseudonymisierung – zur Einhaltung der Anforderungen der DSGVO zu treffen. Diese Maßnahmen müssen für die Wahrung aller Datenschutzgrundsätze ausgelegt sein, wobei die Norm ausdrücklich auf den Grundsatz der Datenminimierung Bezug nimmt. Nach Maßgabe des Art. 25 Abs. 2 DSGVO ist darüber hinaus durch Voreinstellungen sicherzustellen, dass eine Verarbeitung lediglich erfolgt, solange und soweit die personenbezogenen Daten für den jeweiligen bestimmten Verarbeitungszweck erforderlich sind. Auch hierbei handelt es sich um eine unmittelbare Ausprägung des Grundsatzes der Datenminimierung.70 Demgemäß verstößt es gegen Art. 5 DSGVO, wenn ein Archivsystem keine Möglichkeit bereitstellt, personenbezogene Daten wieder zu löschen.71