Eines der grundlegenden Prinzipien bei der Verarbeitung personenbezogener Daten ist schon seit jeher das Prinzip der Zweckbindung. Die Zwecke der Verarbeitung sind zu dokumentieren, beispielsweise im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. b DS-GVO). Darüber hinaus sind sie der betroffenen Person im Zuge der Erhebung mitzuteilen, bzw. bei Erhebung bei Dritten im Nachgang zu dieser Erhebung zur Verfügung zu stellen (Art. 13 und 14 jew. Abs. 1 lit. c DS-GVO). Die Zwecke von Verarbeitungen damit klar definiert und können nicht ohne Weiteres geändert oder erweitert werden.
Was, wenn die Zwecke erweitert werden müssen?
Nun kommt es aber durchaus vor, dass solche Zweckänderungen oder -erweiterungen sinnvoll oder sogar notwendig werden. In solchen Fällen sieht die DS-GVO vor, dass der neue bzw. zusätzliche Zweck kompatibel sein muss. Hierbei handelt es sich um die konsequente Fortführung des Prinzips der Verarbeitung nach Treu und Glauben (Art. 5 Abs. 1 lit. a DS-GVO).
Forschung geht (fast) immer
Art. 5 Abs. 1 lit. b DS-GVO definiert die Zweckbindung. Allerdings wird dort ebenfalls festgelegt, dass eine Weiterverarbeitung unter anderem für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gem. Art. 89 Abs. 1 DS-GVO nicht als unvereinbar mit dem ursprünglichen Zweck gilt. Diese Definition schränkt die Art der Daten auch nicht auf „normale“ Daten (also keine besonderen Kategorien gem. Art. 9 DS-GVO) ein. Im Gegenteil, Art. 9 Abs. 2 lit. j DS-GVO erlaubt die Verarbeitung solcher hochsensiblen Daten für wissenschaftliche oder historische Forschungszwecke sowie für statistische Zwecke explizit – zumindest unter den Auflagen des Art. 89 DS-GVO.
Pseudonymisierung wäre schön
Dort wird hauptsächlich festgelegt, dass die Daten soweit möglich vor der Verarbeitung zu pseudonymisieren sind. Darüber hinaus erlaubt Art 89 Abs. 2 DS-GVO die Einschränkung bestimmter Betroffenenrechte (Recht auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch) sofern diese dem Zweck der Verarbeitung entgegenstehen.
Der Forschung werden also weitgehende Rechte eingeräumt. Die betroffenen Personen erfahren von dieser Nutzung ihrer personenbezogenen Daten in vielen Fällen nichts.
Stehen Sie vor der Herausforderung, die Zwecke Ihrer Verarbeitungen zu erweitern oder zu ändern? Sprechen Sie uns an, wir ermitteln gemeinsam mit Ihnen, welche Möglichkeiten der Verordnungsgeber vorsieht.
