Читать книгу Praxishandbuch DSGVO - Tobias Rothkegel - Страница 112

216

Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, legt Art. 11 Abs. 1 DSGVO fest, dass der Verantwortliche nicht verpflichtet ist, zur bloßen Einhaltung dieser Verordnung – z.B. der Erfüllung von Auskunftsrechten der betroffenen Person nach Art. 15 DSGVO – zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren. Diese Regelung dient der Umsetzung des in Art. 5 Abs. 1 lit. e DSGVO festgelegten Prinzips der Speicherbegrenzung sowie dem Prinzip der Datenminimierung gem. Art. 5 Abs. 1 lit. c DSGVO.329

217

Art. 11 Abs. 1 DSGVO stellt damit klar, dass der Verantwortliche keine (zusätzlichen) identifizierenden Merkmale beschaffen muss bzw. er diese löschen/anonymisieren darf, wenn sie für den Zweck, für den die personenbezogenen Daten verarbeitet werden, nicht (mehr) erforderlich sind, sondern nur der bloßen Einhaltung der DSGVO dienen würden.330 Mithin soll der Verantwortliche also nicht verpflichtet sein, zusätzliche Informationen zur betroffenen Person allein deshalb einzuholen/vorzuhalten, um die Vorgaben der DSGVO einzuhalten, wenn dies ansonsten für den Zweck, für den der Verantwortliche die Daten verarbeitet, nicht erforderlich ist.331 Allerdings verbietet es Art. 11 Abs. 1 DSGVO dem Verantwortlichen auch nicht, zusätzliche Informationen zur Identifizierung der betroffenen Person zu erheben/vorzuhalten.332 In diesem Fall wäre aber stets zu prüfen, ob die Verarbeitung dieser zusätzlichen Informationen (nach den allgemeinen Zulässigkeitsanforderungen, z.B. Art. 6 Abs. 1, Abs. 4 DSGVO) zulässig ist.333

Beispiele

Verarbeitet ein Verantwortlicher z.B. pseudonymisierte Daten, stellt Art. 11 Abs. 1 DSGVO klar, dass er keine zusätzlichen identifizierenden Merkmale bzgl. der betroffenen Person einholen, aufbewahren oder verarbeiten muss (z.B. die Zuordnungstabelle zu den Klarnamen), nur damit diese z.B. die Betroffenenrechte nach Art. 15ff. DSGVO geltend machen kann, obwohl die Einholung, Aufbewahrung oder Verarbeitung dieser identifizierenden Merkmale für den eigentlich durch den Verantwortlichen verfolgten Zweck gar nicht notwendig ist.

Weitere Anwendungsfälle können zum Beispiel beim Tracking/Online Behavioral Advertising, bei bestimmten Compliance-Systemen in Unternehmen (wie z.B. Whistleblowing-Hotlines) oder bei der (massenhaften) Videoüberwachung gegeben sein.334

218

Art. 11 Abs. 1 DSGVO befreit den Verantwortlichen dann auch konsequenterweise von der Einhaltung sämtlicher Vorschriften der DSGVO, die die Identifizierung der betroffenen Person erfordern, wenn die Identifizierung für die Verarbeitungszwecke des Verantwortlichen nicht (mehr) erforderlich ist und der Verantwortliche vor diesem Hintergrund nicht (mehr) über die hierfür erforderlichen Informationen verfügt.335 Für die Befreiung von den Betroffenenrechten gem. Art. 15–20 DSGVO statuiert Art. 11 Abs. 2 DSGVO aber besondere Voraussetzungen. Kann der Verantwortliche die verarbeiteten Daten allerdings mit eigenen Mitteln (ggf. mit einem gewissen technischen Aufwand) der betroffenen Person zuordnen (z.B. die Pseudonymisierung eines Datensatzes aufheben), dann entbindet ihn Art. 11 Abs. 1 DSGVO nicht von der Pflicht, diese Zuordnung durchzuführen, und befreit ihn dann auch nicht von der Einhaltung der Vorschriften der DSGVO.336