David Klein - DS-GVO/BDSG

42

Wesentliches Ziel von Zertifizierungen der Datenschutzkonformität ist die Transparenz. Nach ErwG 100 sollen Zertifizierungsverfahren sowie Datenschutzsiegel und -prüfzeichen ermöglichen, den betroffenen Personen einen raschen Überblick über das Datenschutzniveau einschlägiger Produkte und Dienstleistungen zu ermöglichen. Das Zertifizierungsverfahren ist seinerseits in Art. 42geregelt. Diese Transparenzpflichten werden auf Grundlage der Öffnungsklausel in Art. 23konkretisiert bzw. eingeschränkt in den §§ 23–36 BDSGn.F. sowie bei der Videoüberwachung öffentlich zugänglicher Räume in § 4 Abs. 2 BDSGn.F.

43

Ein wesentlicher Kern der DS-GVO ist auch der Grundsatz der Zweckbindung. Dieser ergibt sich schon aus Art. 8 Abs. 2 S. 1 der GRCh. Er soll verhindern, dass einmal erhobenen und gespeicherten Daten nicht für beliebige Zwecke weiterverarbeitet werden.[56] Damit begrenzt der Grundsatz der Zweckbindung die Verarbeitungsmöglichkeiten auf einen legitimen, gegenüber der Betroffenen Person informierten, Zweck.

44

Die Verarbeitung muss für „festgelegte“ Zweckeerfolgen. Damit muss die Zweckbestimmung schon zum Zeitpunkt der Datenerhebung festgelegt sein. Die Festlegung bedingt entsprechende Informationspflichten gem. Art. 13und 14, wonach betroffene Personen über die festgelegten Zwecke zu informieren sind.

45

Eine bestimmte Form ist für die Zweckfestlegung nicht vorgeschrieben. Es ist aber zu berücksichtigen, dass der Verantwortliche nach Art. 5 Abs. 2die Einhaltung des Zweckbindungsgrundsatzes nachweisen können muss. Eine rein gedankliche Zweckfestlegung wird hierzu nicht ausreichen. Vielmehr muss die Festlegung in einer Weise dokumentiert werden, die es Dritten erlaubt, sie nachzuvollziehen. Geeignet ist hierfür jedenfalls die Dokumentation der Verarbeitungswecke in Schriftform.[57] Sofern andere Formen die notwendige Nachweisfunktion erfüllen, sind auch diese Formen praktikabel.

46

Art. 5 Abs. 1 lit. bfordert die Verarbeitung für „eindeutig“ festgelegte Zwecke.Damit wird eine hinreichende Bestimmtheit gefordert. Das schließt nicht aus, dass bei bestehenden ausreichenden Rechtsgrundlagen auch umfangreichere Bearbeitungen festgelegt werden können. Die Verwendung des Plurals „Zwecke“ macht deutlich, dass auch bei der Datenerhebung mehrere illegale Zwecke zur Datenverarbeitung zulässig sind, z.B. Vertragserfüllung und personalisierte Werbung. Die „Legitimität“hinsichtlich der festgelegten Zwecke nimmt Bezug auf die Rechtmäßigkeit, die ihrerseits gem. Art. 5 Abs. 1 lit. aein Grundsatz der DS-GVO ist.

47

Eine Zweckänderung und damit eine Durchbrechung des Zweckbindungsgrundsatzes stellt die Weiterverarbeitungdar. Diese ist unter bestimmten Voraussetzungen gem. Art. 6 Abs. 4für eine Datenverarbeitung zu anderen, als dem bei der Datenerhebung festgelegten Zweck, zulässig.[58] Die zweckändernde Datenverarbeitung ist allerdings nur unter eingeschränkten Bedingungen zulässig.

48

Erforderlich ist eine Vereinbarkeit von ursprünglichen und neuen Zweck. Hierzu werden in Art. 6 Abs. 4einschränkende Kriterien genannt. Falls diese Kriterien nicht erfüllt werden, die Weiterverarbeitung zu geänderten Zweck unvereinbar mit dem ursprünglichen Zweck ist, müssen die Daten erneut erhoben werden.[59] Ansonsten muss der Betroffene nach ErwG 50 in die Verarbeitung für den neuen Zweck einwilligen.

49

Unbestritten ist, dass für zweckändernde Weiterverarbeitung eine Rechtsgrundlage notwendig ist.[60] Nach ErwG 50 S. 2 ist im Fall der Kompatibilität der Verarbeitungszwecke keine andere gesonderte Rechtsgrundlage erforderlich, als diejenige, der Erhebung der personenbezogenen Daten. Die wörtliche Auslegung des ErwG 50 ist vor dem Hintergrund des Grundsatzes der Rechtmäßigkeit der Datenverarbeitung problematisch. Deshalb muss für eine zweckändernde Weiterverarbeitung sowohl dieselbe als auch eine eigenständige Rechtsgrundlage vorliegen.

50

Eine Weiterverarbeitung ist auch auf Grundlage einer Rechtsvorschrift der Union oder der Mitgliedstaaten zulässig. Die Regelungen der §§ 23und 25 BDSGn.F. sehen eine zweckändernde Datenverarbeitung bzw. Datenübermittlung durch öffentliche Stellen vor; § 24 n.F.regelt die zweckändernde Datenverarbeitung durch nicht öffentliche Stellen.[61]

51

Archivzwecke, Forschungszwecke und statistische Zwecke:Eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt als nicht unvereinbar mit dem ursprünglichen Zweck, sofern die Voraussetzungen des Art. 89 Abs. 1 vorliegen. Dies bedeutet, dass nach Abs. 1 lit. e Hs. 2TOM zu ergreifen sind, um die Weiterverarbeitung auf diese Zwecke zu begrenzen.

52

Gemäß Art. 5 Abs. 1 lit. cmüssen personenbezogenen Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Zusammenfassend bezeichnet die DS-GVO diesen Grundsatz als „Datenminimierung“. Nach der DS-GVO unzulässig ist damit die Verarbeitung personenbezogener Daten, die für den verfolgten Zweck inadäquat, unerheblich oder entbehrlich sind. Die englische Sprachfassung verwendet an dieser Stelle die Begriffe „adequate, relevant and limited“ und beschreibt den Regelungsgehalt der Norm damit sehr genau.[62]

53

Der Grundsatz der Datenminimierung ergänzt den Grundsatz der Zweckbindung in Art. 5 Abs. 1 lit. b. Er stellt sicher, dass die Verarbeitung personenbezogener Daten durch den festgelegten Zweck begrenzt wird. Umgekehrt wird durch den Grundsatz der Zweckbindung der Orientierungspunkt für den Grundsatz der Datenminimierung festgelegt, in dem in Art. 5 Abs. 1 lit. bnormative Aussagen zur Zweckfestlegung und Zweckänderung getroffen werden und damit sichergestellt wird, dass der Zweck bestimmt ist und nicht beliebig gewählt oder geändert werden darf.[63]

54

Art. 5 Abs. 1 lit. cfordert, dass personenbezogener Daten nur dann verarbeitet werden dürfen, wenn keine alternative Methode zur Verfügung steht, um den angestrebten Zweck zu erreichen. Damit entspricht diese Regelung dem § 3a BDSG a.F., der die Grundsätze der Datenvermeidung und Datensparsamkeit beinhaltet.[64] Der Grundsatz der Datenminimierung verbietet damit auch eine Erhebung personenbezogener Daten, die für den im Zeitpunkt der Erhebung festgelegten Zweck nicht erforderlich sind, um diese zusätzlichen Daten für mögliche zukünftige Zwecke zu speichern.[65] Teilweise wird gefordert, einen expliziten Grundsatz der Datenvermeidung in der DS-GVO zu normieren, um Verstöße gegen dieses Prinzip mit Sanktionen belegen zu können.[66] Dabei wird jedoch verkannt, dass der Grundsatz der Datenminimierung bereits den Grundsatz der Datenvermeidung beinhaltet. Dies ergibt sich insbesondere aus der englischen Sprachfassung, die an dieser Stelle die Begriffe „adequate, relevant and limited“ verwendet. „Adequate, relevant and limited“ kann eine Datenverarbeitung nur dann sein, wenn keine datenärmere Verarbeitung möglich ist, die den Zweck der Verarbeitung erfüllt.

55

Wesentliche Ausprägung des Grundsatzes der Datenminimierung ist die Forderung nach Pseudonymisierung oder Anonymisierung. Sind Daten anonymisiert, sind sie nicht mehr personenbezogen und somit nicht dem Grundsatz der Datenminimierung unterworfen.[67] Soweit der Verarbeitungszweck auch durch pseudonymisierte oder anonymisierte Daten erreicht werden kann, verstößt die Verarbeitung nicht-pseudonymisierter oder nicht-anonymisierter Daten gegen den Grundsatz der Datenminimierung. Eine solche Verarbeitung wäre nicht auf das notwendige Maß beschränkt.