Читать книгу DS-GVO/BDSG - David Klein - Страница 427

288

Aufgrund dieser Feststellungen wird auch nur sehr einschränkend von einer Zulässigkeit großflächiger Big Data-Projekte unter der DS-GVO ausgegangen, wobei die spezifischen Anforderungen an deren Zulässigkeit maßgeblich von der Art der Big Data Anwendung abhängt. So unterscheiden sich die Zulässigkeitsvoraussetzungen im Falle von etwa Profiling, Scoring oder im Rahmen von Smart Devices (Smart Watch, Smart Cars etc.).

289

Insgesamt wird vertreten, dass man nach der DS-GVO Big Data-Analysen, die ergebnisoffen mit dem Ziel der Mustererkennung oder der Generierung neuer (personenbezogener) Informationen und insoweit ohne konkrete oder mit sich verändernder Zweckbestimmung erfolgen – ein wesentlicher Treiber des Fortschreitens von Big Data-Technologien und ein immerwährend bedeutsamer Anwendungsbereich – nur bei stark intendierter Auslegung von Abs. 4 überhaupt als zulässig erachten können wird.[571] Bei Big Data geht es dagegen gerade darum, unterschiedliche Datenbestände, unabhängig von ihrem Erhebungsgrund und ihrem Verarbeitungszweck zusammenzuführen, zu analysieren und hieraus neue Anwendungsfälle und Geschäftsmodelle zu entwickeln. Es liegt daher in der Natur der Sache, dass in diesem Bereich der Zweck der Datenverarbeitung im Zeitpunkt der Erhebung noch nicht abschließend bestimmt oder auch nur bestimmbar ist.[572] Art. 6 Abs. 4 kann hier teilweise als „letzter Ausweg“ für Verantwortliche erscheinen.

290

Nach der EU Kommission kommen insoweit Anonymisierung, Pseudonymisierung und Verschlüsselung zentrale Bedeutung bei Big Data-Analyseverfahren zu.[573] Pauschal lässt sich deshalb feststellen, dass zur Harmonisierung von Big Data Anwendungen mit den Anforderungen der DS-GVO Instrumente wie Anonymisierung und Pseudonymisierung in den Vordergrund rücken müssen.[574] Hier bleibt für Einzelfragen die Auslegung durch die Aufsicht und deren Kontrolle durch den EuGH abzuwarten.[575]

291

Der Umsetzung dieser Prinzipien steht gleichwohl häufig der gleichzeitige zielführende Einsatz von Big Data-Technologien entgegen, die Mustererkennung, kundenspezifische Informationsgewinnung und interne Datenauswertung als primäres Ziel haben. Insgesamt wird auf die Erlaubnistatbestände der Einwilligung und gegebenenfalls noch der Wahrnehmung eines berechtigten Interesses als primäre Erlaubnistatbestände im Zusammenhang mit Big Data-Analysen zurückgegriffen werden können. Allerdings muss man sich hier dem Kriterium der „Bestimmtheit“ der Einwilligung stellen – keine leichte Aufgabe bei umfassenden und gegebenenfalls zunächst kontextlosen Weiterverarbeitungen im Big Data-Bereich. Es ist aber auch nicht ausgeschlossen, vielmehr sogar praktisch voraussichtlich von mindestens ebenso gewichtiger Bedeutung, dass Verantwortliche oftmals Art. 6 Abs. 4 in Betracht ziehen werden, um bereits im Rahmen anderer Verarbeitungsvorgänge gesammelte und in unterschiedlichen Datensätzen vorhandene Daten in neuen Big Data-Analysen auszuwerten. Hierbei sind sodann die oben genannten Kriterien sorgfältig in Betracht zu ziehen und ebenso gründlich zu dokumentieren. Darüber hinaus ist bei Big-Data-Anwendungen auch die Durchführung einer Datenschutz-Folgenabschätzung gem. Art. 35 in Betracht zu ziehen.

292

Eine bemerkenswerte Ausnahme von den vorstehenden Einschränkungen kann gleichwohl in der Zweckänderung im Rahmen der Verarbeitung zu Archiv-, Forschungs- oder statistischen Zwecken gesehen werden. Wie oben bereits grundlegend festgestellt, ist der Kerninhalt von Art. 6 Abs. 4 die Prüfung der Vereinbarkeit von ursprünglichem und neuem, späteren Zweck. Art. 5 Abs. 1 stellt jedoch Voraussetzungen auf, unter denen eine derartige Vereinbarkeitsprüfung bereits von vorne herein als nicht erforderlich erachtet wird: liegt eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vor, gilt diese nicht als unvereinbar mit den ursprünglichen Zwecken, freilich sofern die weiteren Voraussetzungen von Art. 89 Abs. 1[576] vorliegen. Der EU-Gesetzgeber wählte hier das Mittel der Fiktion: Sofern diese, zweifelsohne im Allgemeininteresse liegenden, Zwecke verfolgt werden, wird unterstellt, dass hier keine Unvereinbarkeit mit dem ursprünglichen Zweck vorliegt. Diesen Zwecken kommt daher ein überaus privilegierter Status zu.[577] Aufgrund der Technologieneutralität der DS-GVO (vgl. ErwG 15) lässt sich diese Ausnahme vom Grundsatz, dass für jede Verarbeitung grundsätzlich eine Zweckbindung gilt, ohne Weiteres auch auf Big Data-Verfahren anwenden. Mit anderen Worten: Wird ein Big Data-Projekt unter den Voraussetzungen des Art. 89 Abs. 1 durchgeführt, spielt der ursprüngliche Verarbeitungszweck prinzipiell keine Rolle mehr. Damit wird dem Verantwortlichen eines Big Data-Projekts, das einen privilegierten Zweck verfolgt,[578] eine nicht unerhebliche Hürde genommen.