David Klein - DS-GVO/BDSG

285

Das ist umso bedauerlicher, als schon zu Beginn der juristischen Auseinandersetzung mit dem Thema die Überlegung entstand, dass das generelle Konzept von Big Data den allgemeinen Datenschutzprinzipien diametral gegenüber steht.[563] Einige Prinzipien, die eine überbordende Datensammlung und -auswertung verhindern könnten, sind zwar in der DS-GVO angelegt, aber nicht so ausgestattet, dass dadurch die wirklichen Gefahren der Transparenz des Einzelnen und dessen heimlicher Ausspähung gebannt wären, wie sie sich über Big Data Anwendungen ergeben können.[564] Vereinzelt wird dementsprechend geschlussfolgert, dass Dank Big Data die Grenzen des hergebrachten Datenschutzrechts erreicht seien.[565]

286

Die Vielgestaltigkeit der datenschutzrechtlichen Herausforderungen liegt u.a. darin begründet, dass ein Big Data-Projekt in verschiedene Phasen aufgeteilt werden kann und sich in allen diesen Phasen verschiedenste datenschutzrechtliche Fragen stellen, bspw. nach dem Personenbezug,[566] dem Vorliegen und der Wirksamkeit einer Einwilligung,[567] der Zweckbindung oder gar nach der Anwendbarkeit unterschiedlicher Regelungsbereiche wie Inhalte-, Server- oder Leistungsebene.[568] Schon anhand der konstituierenden Merkmale von Big Data „Datenmenge“, „Quellen“ und „Auswertung“ zeigt sich, dass hier erhebliche Diskrepanzen zu den allgemeinen datenschutzrechtlichen Anforderungen insbesondere der Datensparsamkeit, der Erforderlichkeit, der Transparenzoder der Zweckbindungbestehen.[569]

287

Dem stellt die DS-GVO die Prinzipien der Zweckbindung ( Art. 5 Abs. 1 lit. b), Speicherbegrenzung ( Art. 5 Abs. 1 lit. e)und Datenminimierung ( Art. 5 Abs. 1 lit. c)gegenüber. Gerade Letzteres dürfte Verantwortliche in Big Data-Verarbeitungssituationen vermehrt vor schwere Herausforderungen stellen: Nach Art. 25muss der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen (wobei Big Data Projekte ein Paradebeispiel für risikoträchtige Verarbeitungen darstellen dürften) geeignete technische und organisatorische Maßnahmen treffen, die dafür ausgelegt sind, die Datenschutzgrundsätze „wie etwa Datenminimierung“ wirksam umzusetzen. Hier manifestiert sich nicht nur der Gedanke, dass das generelle Konzept von Big Data den allgemeinen Datenschutzprinzipien diametral gegenüber steht, sondern auch ein kardinaler Konflikt zwischen Big Data und dessen Förderung durch die Kommission i.R.d. „Single Market“ und dem Gebot des Datenschutzes durch Technikgestaltung und dabei der Einrichtung datenschutzfreundlicher Voreinstellungen sowie Datenminimierung und Pseudonymisierung.[570]

288

Aufgrund dieser Feststellungen wird auch nur sehr einschränkend von einer Zulässigkeit großflächiger Big Data-Projekte unter der DS-GVO ausgegangen, wobei die spezifischen Anforderungen an deren Zulässigkeit maßgeblich von der Art der Big Data Anwendung abhängt. So unterscheiden sich die Zulässigkeitsvoraussetzungen im Falle von etwa Profiling, Scoring oder im Rahmen von Smart Devices (Smart Watch, Smart Cars etc.).

289

Insgesamt wird vertreten, dass man nach der DS-GVO Big Data-Analysen, die ergebnisoffen mit dem Ziel der Mustererkennung oder der Generierung neuer (personenbezogener) Informationen und insoweit ohne konkrete oder mit sich verändernder Zweckbestimmung erfolgen – ein wesentlicher Treiber des Fortschreitens von Big Data-Technologien und ein immerwährend bedeutsamer Anwendungsbereich – nur bei stark intendierter Auslegung von Abs. 4 überhaupt als zulässig erachten können wird.[571] Bei Big Data geht es dagegen gerade darum, unterschiedliche Datenbestände, unabhängig von ihrem Erhebungsgrund und ihrem Verarbeitungszweck zusammenzuführen, zu analysieren und hieraus neue Anwendungsfälle und Geschäftsmodelle zu entwickeln. Es liegt daher in der Natur der Sache, dass in diesem Bereich der Zweck der Datenverarbeitung im Zeitpunkt der Erhebung noch nicht abschließend bestimmt oder auch nur bestimmbar ist.[572] Art. 6 Abs. 4kann hier teilweise als „letzter Ausweg“ für Verantwortliche erscheinen.

290

Nach der EU Kommission kommen insoweit Anonymisierung, Pseudonymisierung und Verschlüsselung zentrale Bedeutung bei Big Data-Analyseverfahren zu.[573] Pauschal lässt sich deshalb feststellen, dass zur Harmonisierung von Big Data Anwendungen mit den Anforderungen der DS-GVO Instrumente wie Anonymisierung und Pseudonymisierung in den Vordergrund rücken müssen.[574] Hier bleibt für Einzelfragen die Auslegung durch die Aufsicht und deren Kontrolle durch den EuGH abzuwarten.[575]

291

Der Umsetzung dieser Prinzipien steht gleichwohl häufig der gleichzeitige zielführende Einsatz von Big Data-Technologien entgegen, die Mustererkennung, kundenspezifische Informationsgewinnung und interne Datenauswertung als primäres Ziel haben. Insgesamt wird auf die Erlaubnistatbestände der Einwilligung und gegebenenfalls noch der Wahrnehmung eines berechtigten Interesses als primäre Erlaubnistatbestände im Zusammenhang mit Big Data-Analysen zurückgegriffen werden können. Allerdings muss man sich hier dem Kriterium der „Bestimmtheit“ der Einwilligung stellen – keine leichte Aufgabe bei umfassenden und gegebenenfalls zunächst kontextlosen Weiterverarbeitungen im Big Data-Bereich. Es ist aber auch nicht ausgeschlossen, vielmehr sogar praktisch voraussichtlich von mindestens ebenso gewichtiger Bedeutung, dass Verantwortliche oftmals Art. 6 Abs. 4in Betracht ziehen werden, um bereits im Rahmen anderer Verarbeitungsvorgänge gesammelte und in unterschiedlichen Datensätzen vorhandene Daten in neuen Big Data-Analysen auszuwerten. Hierbei sind sodann die oben genannten Kriterien sorgfältig in Betracht zu ziehen und ebenso gründlich zu dokumentieren. Darüber hinaus ist bei Big-Data-Anwendungen auch die Durchführung einer Datenschutz-Folgenabschätzung gem. Art. 35in Betracht zu ziehen.

292

Eine bemerkenswerte Ausnahme von den vorstehenden Einschränkungen kann gleichwohl in der Zweckänderung im Rahmen der Verarbeitung zu Archiv-, Forschungs- oder statistischen Zweckengesehen werden. Wie oben bereits grundlegend festgestellt, ist der Kerninhalt von Art. 6 Abs. 4die Prüfung der Vereinbarkeit von ursprünglichem und neuem, späteren Zweck. Art. 5 Abs. 1stellt jedoch Voraussetzungen auf, unter denen eine derartige Vereinbarkeitsprüfung bereits von vorne herein als nicht erforderlich erachtet wird: liegt eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vor, gilt diese nicht als unvereinbar mit den ursprünglichen Zwecken, freilich sofern die weiteren Voraussetzungen von Art. 89 Abs. 1[576] vorliegen. Der EU-Gesetzgeber wählte hier das Mittel der Fiktion: Sofern diese, zweifelsohne im Allgemeininteresse liegenden, Zwecke verfolgt werden, wird unterstellt, dass hier keine Unvereinbarkeit mit dem ursprünglichen Zweck vorliegt. Diesen Zwecken kommt daher ein überaus privilegierter Status zu.[577] Aufgrund der Technologieneutralität der DS-GVO (vgl. ErwG 15) lässt sich diese Ausnahme vom Grundsatz, dass für jede Verarbeitung grundsätzlich eine Zweckbindung gilt, ohne Weiteres auch auf Big Data-Verfahren anwenden. Mit anderen Worten: Wird ein Big Data-Projekt unter den Voraussetzungen des Art. 89 Abs. 1 durchgeführt, spielt der ursprüngliche Verarbeitungszweck prinzipiell keine Rolle mehr. Damit wird dem Verantwortlichen eines Big Data-Projekts, das einen privilegierten Zweck verfolgt,[578] eine nicht unerhebliche Hürde genommen.