der Datensparsamkeit, der Erforderlichkeit, der Transparenz oder der Zweckbindung bestehen.[569]
287
Dem stellt die DS-GVO die Prinzipien der Zweckbindung (Art. 5 Abs. 1 lit. b), Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und Datenminimierung (Art. 5 Abs. 1 lit. c) gegenüber. Gerade Letzteres dürfte Verantwortliche in Big Data-Verarbeitungssituationen vermehrt vor schwere Herausforderungen stellen: Nach Art. 25 muss der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen (wobei Big Data Projekte ein Paradebeispiel für risikoträchtige Verarbeitungen darstellen dürften) geeignete technische und organisatorische Maßnahmen treffen, die dafür ausgelegt sind, die Datenschutzgrundsätze „wie etwa Datenminimierung“ wirksam umzusetzen. Hier manifestiert sich nicht nur der Gedanke, dass das generelle Konzept von Big Data den allgemeinen Datenschutzprinzipien diametral gegenüber steht, sondern auch ein kardinaler Konflikt zwischen Big Data und dessen Förderung durch die Kommission i.R.d. „Single Market“ und dem Gebot des Datenschutzes durch Technikgestaltung und dabei der Einrichtung datenschutzfreundlicher Voreinstellungen sowie Datenminimierung und Pseudonymisierung.[570]
d) „Big Data“ und Zweckänderung
288
Aufgrund dieser Feststellungen wird auch nur sehr einschränkend von einer Zulässigkeit großflächiger Big Data-Projekte unter der DS-GVO ausgegangen, wobei die spezifischen Anforderungen an deren Zulässigkeit maßgeblich von der Art der Big Data Anwendung abhängt. So unterscheiden sich die Zulässigkeitsvoraussetzungen im Falle von etwa Profiling, Scoring oder im Rahmen von Smart Devices (Smart Watch, Smart Cars etc.).
289
Insgesamt wird vertreten, dass man nach der DS-GVO Big Data-Analysen, die ergebnisoffen mit dem Ziel der Mustererkennung oder der Generierung neuer (personenbezogener) Informationen und insoweit ohne konkrete oder mit sich verändernder Zweckbestimmung erfolgen – ein wesentlicher Treiber des Fortschreitens von Big Data-Technologien und ein immerwährend bedeutsamer Anwendungsbereich – nur bei stark intendierter Auslegung von Abs. 4 überhaupt als zulässig erachten können wird.[571] Bei Big Data geht es dagegen gerade darum, unterschiedliche Datenbestände, unabhängig von ihrem Erhebungsgrund und ihrem Verarbeitungszweck zusammenzuführen, zu analysieren und hieraus neue Anwendungsfälle und Geschäftsmodelle zu entwickeln. Es liegt daher in der Natur der Sache, dass in diesem Bereich der Zweck der Datenverarbeitung im Zeitpunkt der Erhebung noch nicht abschließend bestimmt oder auch nur bestimmbar ist.[572] Art. 6 Abs. 4 kann hier teilweise als „letzter Ausweg“ für Verantwortliche erscheinen.
290
Nach der EU Kommission kommen insoweit Anonymisierung, Pseudonymisierung und Verschlüsselung zentrale Bedeutung bei Big Data-Analyseverfahren zu.[573] Pauschal lässt sich deshalb feststellen, dass zur Harmonisierung von Big Data Anwendungen mit den Anforderungen der DS-GVO Instrumente wie Anonymisierung und Pseudonymisierung in den Vordergrund rücken müssen.[574] Hier bleibt für Einzelfragen die Auslegung durch die Aufsicht und deren Kontrolle durch den EuGH abzuwarten.[575]
291
Der Umsetzung dieser Prinzipien steht gleichwohl häufig der gleichzeitige zielführende Einsatz von Big Data-Technologien entgegen, die Mustererkennung, kundenspezifische Informationsgewinnung und interne Datenauswertung als primäres Ziel haben. Insgesamt wird auf die Erlaubnistatbestände der Einwilligung und gegebenenfalls noch der Wahrnehmung eines berechtigten Interesses als primäre Erlaubnistatbestände im Zusammenhang mit Big Data-Analysen zurückgegriffen werden können. Allerdings muss man sich hier dem Kriterium der „Bestimmtheit“ der Einwilligung stellen – keine leichte Aufgabe bei umfassenden und gegebenenfalls zunächst kontextlosen Weiterverarbeitungen im Big Data-Bereich. Es ist aber auch nicht ausgeschlossen, vielmehr sogar praktisch voraussichtlich von mindestens ebenso gewichtiger Bedeutung, dass Verantwortliche oftmals Art. 6 Abs. 4 in Betracht ziehen werden, um bereits im Rahmen anderer Verarbeitungsvorgänge gesammelte und in unterschiedlichen Datensätzen vorhandene Daten in neuen Big Data-Analysen auszuwerten. Hierbei sind sodann die oben genannten Kriterien sorgfältig in Betracht zu ziehen und ebenso gründlich zu dokumentieren. Darüber hinaus ist bei Big-Data-Anwendungen auch die Durchführung einer Datenschutz-Folgenabschätzung gem. Art. 35 in Betracht zu ziehen.
292
Eine bemerkenswerte Ausnahme von den vorstehenden Einschränkungen kann gleichwohl in der Zweckänderung im Rahmen der Verarbeitung zu Archiv-, Forschungs- oder statistischen Zwecken gesehen werden. Wie oben bereits grundlegend festgestellt, ist der Kerninhalt von Art. 6 Abs. 4 die Prüfung der Vereinbarkeit von ursprünglichem und neuem, späteren Zweck. Art. 5 Abs. 1 stellt jedoch Voraussetzungen auf, unter denen eine derartige Vereinbarkeitsprüfung bereits von vorne herein als nicht erforderlich erachtet wird: liegt eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vor, gilt diese nicht als unvereinbar mit den ursprünglichen Zwecken, freilich sofern die weiteren Voraussetzungen von Art. 89 Abs. 1[576] vorliegen. Der EU-Gesetzgeber wählte hier das Mittel der Fiktion: Sofern diese, zweifelsohne im Allgemeininteresse liegenden, Zwecke verfolgt werden, wird unterstellt, dass hier keine Unvereinbarkeit mit dem ursprünglichen Zweck vorliegt. Diesen Zwecken kommt daher ein überaus privilegierter Status zu.[577] Aufgrund der Technologieneutralität der DS-GVO (vgl. ErwG 15) lässt sich diese Ausnahme vom Grundsatz, dass für jede Verarbeitung grundsätzlich eine Zweckbindung gilt, ohne Weiteres auch auf Big Data-Verfahren anwenden. Mit anderen Worten: Wird ein Big Data-Projekt unter den Voraussetzungen des Art. 89 Abs. 1 durchgeführt, spielt der ursprüngliche Verarbeitungszweck prinzipiell keine Rolle mehr. Damit wird dem Verantwortlichen eines Big Data-Projekts, das einen privilegierten Zweck verfolgt,[578] eine nicht unerhebliche Hürde genommen.
1. Relevanz für öffentliche Stellen
293
Die Relevanz von zweckändernden Weiterverarbeitungen für öffentliche Stellen wird sich primär aus § 23 BDSG n.F. ergeben.
2. Relevanz für nichtöffentliche Stellen
294
Die Kompatibilität der Zwecke hat für die betroffene Person erhebliche Bedeutung. Gleichfalls hat die zweckändernde Weiterverarbeitung für viele Verantwortliche sicher einen großen Stellenwert, gerade im Zeitalter der Digitalisierung. Sollen Daten für neue Zwecke weiterverarbeitet werden, ohne dass die Betroffenen diese neuen Zwecke genau kennen, bedingt dies ein „Mehr“ an Verantwortung auf Seiten der verantwortlichen Stelle.[579]
295
