David Klein - DS-GVO/BDSG

56

Beispiel einer datenminimierenden Verarbeitung ist der Einsatz synthetischer, erforderlichenfalls pseudonymisierter Daten für Testzwecke bei der Migration auf neue Datenverarbeitungssysteme. Auch der Einsatz aggregierter Daten kann unter dem Aspekt der Datenminimierung zur Zweckerreichung ausreichend sein.[68] Ein weiteres Beispiel ist die Bereitstellung der Daten nur zum Lesen auf den Bildschirm ohne Möglichkeit des Ausdrucks.[69]

57

In der Praxis wird man die Frage stellen müssen, ob eine datenschonende Anwendung von Edge-Computing-Lösungenanstelle von cloudbasierten Anwendungen möglich ist. Bei dieser Lösung werden Anwendungen von den zentralen Knoten im Netz – zumindest soweit das möglich ist – an dessen Ränder verlagert. Die Daten werden bspw. im Endgerät oder in einer vernetzten Fertigungsanlage verarbeitet. Die verwendeten Datenverarbeitungspunkte müssen nicht dauerhaft mit dem Netz verbunden sein. Insbesondere für das Internet der Dinge bieten sich Systemarchitekturen auf dieser dezentralen Basis an.[70]

58

Der Grundsatz der Datenminimierung gem. Art. 5 Abs. 1 lit. cwird an verschiedenen Stellen der DS-GVO aufgegriffen und damit konkretisiert. So bildet etwa Art. 25die technische Flanke des Grundsatzes der Datenminimierung mit der Forderung nach einem Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellung. Auch Art. 25nennt als Beispiel die Pseudonymisierung[71] als eine geeignete technische Maßnahme zur Umsetzung des Grundsatzes der Datenminimierung.[72] Art. 89 Abs. 1 S. 2, der Garantien und Ausnahmen in Bezug auf die Verarbeitung und im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken regelt, nimmt explizit auf den Grundsatz der Datenminimierung Bezug.[73]

59

Gemäß Art. 5 Abs. 1 lit. dmüssen personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden. Der Richtigkeit der Daten kommt ein hoher Stellenwert zu.[74] Bereits das BVerfG hat im Volkszählungsurteil vor Persönlichkeitsbildern gewarnt, deren Richtigkeit die betroffene Person nur unzureichend kontrollieren kann.[75]

60

Unter dem Grundsatz der Richtigkeit sind drei Pflichten nach Art. 5 Abs. 1 lit. dzu fassen, nämlich das Verbot der unrichtigen Erhebung oder Speicherung von Daten (Hs. 1 Var. 1), das Gebot der Aktualisierung unrichtig gewordener Daten (Hs. 1 Var. 2) und das Gebot der Löschung oder Berichtigung unrichtig gespeicherter Daten (Hs. 2).[76]

61

Personenbezogene Daten müssen sachlich richtigsein. Sachlich richtig bedeutet, dass über die betroffene Person gespeicherte Daten mit der Realität übereinstimmen müssen.[77] Demgemäß unterliegt die Verpflichtung zur Richtigkeit nur Tatsachenangaben, nicht aber Werturteilen. Werturteile sind auf ihre Richtigkeit hin nicht überprüfbar, da sie subjektiver Natur sind. Im Unterschied dazu sind Tatsachenangaben dem Beweis zugänglich und damit überprüfbar.

62

Das Gebot der Aktualisierung unrichtig gewordener Datenbeinhaltet nach Art. 5 Abs. 1 lit. d Hs. 1Var. 2 Aktualisierungspflichten vor allem in den Fällen, in denen Daten aus berechtigten Gründen zulässig längere Zeit aufbewahrt werden. In Betracht kommen hier neben Behörden namentlich Unternehmen, die – wie Auskunfteien, Detekteien oder Unternehmen bei Dauerschuldverhältnissen – personenbezogene Daten längerfristig aufbewahren.[78] Im Rahmen des Profilings konkretisiert ErwG 71 das Aktualisierungsgebot. Danach hat der Verantwortliche die Aufgabe technische und organisatorische Maßnahmen zu treffen, mit denen in geeigneter Weise sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird.

63

Der Grundsatz der Richtigkeit wird jedoch relativiert durch den Zusatz „erforderlichenfalls“ in Art. 5 Abs. 1 lit. d Hs. 1Var. 2. Damit müssen die personenbezogenen Daten nicht in jedem Fall auf dem neuesten Stand sein. Werden bspw. Gesundheitsdaten einer betroffenen Person bei einer bestimmten Untersuchung gewonnen, kann sich deren Richtigkeit logischerweise nur auf den Zeitpunkt der Untersuchung beziehen. Eine Berichtigung ist ebenfalls nicht erforderlich, wenn das betreffende Datum zu Zwecken der Beweissicherung auf Grundlage der Interessenabwägung gem. Art. 6 Abs. 1 lit. fnotwendig ist.

64

Das Kriterium der Richtigkeit muss sich dabei an den Verarbeitungszwecken orientieren. Die Richtigkeit muss im Hinblick auf die Zwecke der Verarbeitung gegeben sein. Eine Berichtigung ist nicht erforderlich, wenn das Datum mit Blick auf die Verarbeitungszwecke in seiner konkreten Ausgestaltung im Detail nicht relevant ist. Falls richtige Daten unter dem Grundsatz der Datenminimierung nicht notwendig sind, besteht insoweit ebenfalls keine Verpflichtung zur Gewährleistung der Richtigkeit.

65

Der Grundsatz der Richtigkeit korrespondiert mit den Rechten der betroffenen Person auf Berichtigung ( Art. 16), Löschung ( Art. 17) und Einschränkung der Verarbeitung ( Art. 18). Diese sind als Betroffenenrechte ausgestaltet.

66

Seine eigenständige Bedeutung erfährt der Grundsatz der Richtigkeit dadurch, dass es auch eine Pflicht des Verantwortlichen ist, eigenständig bei Vorliegen der Voraussetzungen der Betroffenenrecht der Art. 16–18aktiv die Datenverarbeitung anzupassen.[79] Das Betroffenenrecht muss dazu nicht erst ausgeübt werden.

67

Der Grundsatz der Speicherbegrenzung fordert eine zeitliche Begrenzung der Verarbeitung personenbezogener Daten. Eine Identifizierung der Betroffenen Person darf nur so lange möglich sein, wie es die Verarbeitungszwecke erfordern. Der Grundsatz der Speicherbegrenzung konkretisiert damit den Grundsatz der Zweckbindung in zeitlicher Hinsicht. Die Speicherung personenbezogener Daten muss beendet werden, sobald sie für die Zwecke der Verarbeitung nicht mehr erforderlich ist. Entgegen dem Wortlaut ist nicht die Größe des Speichermediums, sondern die Speicherdauerbegrenzunggemeint.

68

Ähnlich formuliert fand sich der Grundsatz der Speicherbegrenzung bereits in Art. 6 Abs. 1 lit. e DSRL. In der Rechtssache Google Spain schöpfte der EuGH aus der Datenminimierung und der Speicherbegrenzung das Recht auf Vergessenwerden.[80] Danach können Betroffene die Löschung rechtmäßig veröffentlichter Daten verlangen, wenn deren Verarbeitung nicht mehr für die Zwecke erforderlich ist, für die sie ursprünglich verarbeitet wurden.[81] Dieser Löschungsanspruch findet sich nun ausdrücklich in Art. 17.[82]

69

Die Rechtsfolge eines Wegfalls der Zweckbestimmung in zeitlicher Hinsicht ist nach dem Grundsatz der Speicherbegrenzung die Aufhebung des Bezugs der Daten zur betroffenen Person. Dies kann in der Weise geschehen, dass die Datensätze gelöscht werden. Bei Pseudonymen kann der Personenbezug auch durch Auflösung der Referenzliste erreicht werden. Im Ergebnis müssen die Daten derart geändert werden, dass die Identifizierung der betroffenen Person nicht mehr möglich ist. Dies ist dann der Fall, wenn die Daten keiner identifizierten oder identifizierbaren Person mehr zugeordnet werden können.

70

Der Verantwortliche muss also in Datensätzen gegebenenfalls den Namen und weitere personenbezogene Daten, die eine Identifizierbarkeit ermöglichen, löschen, wenn sich die Zwecke erledigt haben.[83] Wenn bspw. die Durchführung eines Kaufvertrags mit den zugehörigen Daten beim Verantwortlichen abgebildet ist, müssen diese Kaufvertragsdaten nach dem Grundsatz der Speicherbegrenzung für den Primärzweck der Kaufvertragsdurchführung bis zum Auslaufen von Gewährleistungsansprüchen vorgehalten werden. Danach sind diese Daten nur noch für mitgliedstaatliche gesetzliche Nebenzwecke, wie handels- und steuerrechtliche Zwecke, vorzuhalten.[84]