Читать книгу DS-GVO/BDSG - David Klein - Страница 254

67

Der Grundsatz der Speicherbegrenzung fordert eine zeitliche Begrenzung der Verarbeitung personenbezogener Daten. Eine Identifizierung der Betroffenen Person darf nur so lange möglich sein, wie es die Verarbeitungszwecke erfordern. Der Grundsatz der Speicherbegrenzung konkretisiert damit den Grundsatz der Zweckbindung in zeitlicher Hinsicht. Die Speicherung personenbezogener Daten muss beendet werden, sobald sie für die Zwecke der Verarbeitung nicht mehr erforderlich ist. Entgegen dem Wortlaut ist nicht die Größe des Speichermediums, sondern die Speicherdauerbegrenzung gemeint.

68

Ähnlich formuliert fand sich der Grundsatz der Speicherbegrenzung bereits in Art. 6 Abs. 1 lit. e DSRL. In der Rechtssache Google Spain schöpfte der EuGH aus der Datenminimierung und der Speicherbegrenzung das Recht auf Vergessenwerden.[80] Danach können Betroffene die Löschung rechtmäßig veröffentlichter Daten verlangen, wenn deren Verarbeitung nicht mehr für die Zwecke erforderlich ist, für die sie ursprünglich verarbeitet wurden.[81] Dieser Löschungsanspruch findet sich nun ausdrücklich in Art. 17.[82]

69

Die Rechtsfolge eines Wegfalls der Zweckbestimmung in zeitlicher Hinsicht ist nach dem Grundsatz der Speicherbegrenzung die Aufhebung des Bezugs der Daten zur betroffenen Person. Dies kann in der Weise geschehen, dass die Datensätze gelöscht werden. Bei Pseudonymen kann der Personenbezug auch durch Auflösung der Referenzliste erreicht werden. Im Ergebnis müssen die Daten derart geändert werden, dass die Identifizierung der betroffenen Person nicht mehr möglich ist. Dies ist dann der Fall, wenn die Daten keiner identifizierten oder identifizierbaren Person mehr zugeordnet werden können.

70

Der Verantwortliche muss also in Datensätzen gegebenenfalls den Namen und weitere personenbezogene Daten, die eine Identifizierbarkeit ermöglichen, löschen, wenn sich die Zwecke erledigt haben.[83] Wenn bspw. die Durchführung eines Kaufvertrags mit den zugehörigen Daten beim Verantwortlichen abgebildet ist, müssen diese Kaufvertragsdaten nach dem Grundsatz der Speicherbegrenzung für den Primärzweck der Kaufvertragsdurchführung bis zum Auslaufen von Gewährleistungsansprüchen vorgehalten werden. Danach sind diese Daten nur noch für mitgliedstaatliche gesetzliche Nebenzwecke, wie handels- und steuerrechtliche Zwecke, vorzuhalten.[84]

71

ErwG 39 S. 10 fordert, dass vom Verantwortlichen Fristen für die Löschung oder der regelmäßigen Überprüfung der personenbezogenen Daten vorgesehen sind. Die vorgesehenen Löschfristen sind auch Bestandteil des VVT gem. Art. 30 Abs. 1 lit f. In zahlreichen einzelnen Vorgaben der DS-GVO wird der Grundsatz der Speicherbegrenzung ebenfalls konkretisiert. Beispielsweise verpflichtet Art. 13 Abs. 2 lit. a bzw. Art. 14 Abs. 2 lit. a den Verantwortlichen dazu, über die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, über die Kriterien für die Festlegung dieser Dauer zu informieren. Art. 15 Abs. 1 lit. d räumt dem Betroffenen ein entsprechendes Auskunftsrecht ein. Von Bedeutung zur Absicherung des Grundsatzes der Speicherbegrenzung sind das Recht auf Löschung gem. Art. 17 Abs. 1 lit. a und das Recht auf Einschränkung der Verarbeitung gem. Art. 18 Abs. 1.

72

Eine Ausnahme vom Grundsatz der Speicherbegrenzung für Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke und für statistische Zwecke gem. Art. 89 Abs. 1 regelt Art. 5 Abs. 1 lit. e Hs. 2. Sie ist eine Durchbrechung des Zweckbindungsgrundsatzes des Art. 5 Abs. 1 lit. b. Die Forderung nach geeigneten Garantien in der Ausnahme vom Speicherbegrenzgrundsatz ist insofern redundant, als nach Art. 89 die gleiche Verpflichtung besteht.[85]

73

Die Privilegierung der Verarbeitung zu öffentlichen Archivzwecken hat auch Auswirkungen auf die Anwendung anderer Normen, wie bspw. § 6 BArchG. Dieser regelt die Anbietung und Abgabe von Unterlagen durch öffentliche Stellen des Bundes an öffentliche Bundes- oder Landesarchive, die einer Geheimhaltungs-, Vernichtungs- oder Löschpflicht unterliegen. Nach § 6 Abs. 2 BArchG sind Unterlagen von der Anbietungspflicht ausgenommen, die nach gesetzlichen Vorschriften vernichtet oder gelöscht werden müssen und die nach diesen gesetzlichen Vorschriften nicht ersatzweise den zuständigen öffentlichen Archiven angeboten werden dürfen. Grundsätzlich wären davon auch Unterlagen betroffen, die personenbezogene Daten beinhalten. Diesen Umstand hat der Normgeber der DS-GVO erkannt und durch die Regelungen der Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke privilegiert. Durch die Privilegierung der Verarbeitung zu öffentlichen Archivzwecken sind diese Verarbeitungen vom Grundsatz der Speicherbegrenzung weitgehend befreit und die Daten gerade nicht zu löschen oder zu vernichten. Daneben ist die Verarbeitung personenbezogener Daten zu öffentlichen Archivzwecken eine in Art. 5 Abs. 1 lit. b ausdrücklich privilegierte Zweckänderung, auf die der Grundsatz der Zweckbindung nur begrenzte Anwendung findet. Unterlagen, die personenbezogene Daten enthalten, unterliegen somit keiner gesetzlichen Vernichtungs- oder Löschpflicht, soweit sie zu öffentlichen Archivzwecken verarbeitet werden. Sie sind nicht gem. § 6 Abs. 2 BArchG von der Anbietungspflicht des § 6 Abs. 1 BArchG ausgenommen.