Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Obwohl etwas länger geschrieben als Artikel 10, lässt sich durch Artikel 11 sogar noch schneller hindurchschlendern. Im Grunde will die Europäische Union uns hier nur sagen: „Keine Vorratspeicherung personenbezogener Daten zur bloßen Einhaltung der DS-GVO“.
Wie so oft hält sich die DS-GVO aber auch an dieser Stelle nicht an den eigenen Grundsatz kurz und klar, sondern formuliert etwas länger und umständlicher. Und wie so oft ergeben sich dann gerade daraus wieder Unklarheiten.
Zu Artikel 11 DS-GVO
Nach Absatz 1 sind Verantwortliche zu Datenverarbeitungen für die „bloße Einhaltung dieser Verordnung“ nicht „verpflichtet“. Heißt das auch nicht berechtigt, oder dürfen Verantwortliche freiwillig mehr tun, zum Beispiel gestützt auf die Rechtsgrundlage des Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO? Meines Erachtens ja, aber: zweifelhaft.
In Absatz 2 Satz 1 sind die beiden Schlussworte („sofern möglich“) überflüssig und ohne Sinn. Natürlich kann der Verantwortliche die Betroffenen nur unterrichten, sofern möglich. Auch alle anderen Pflichten aus der DS-GVO kann er übrigens nur erfüllen, sofern möglich. Glücklicherweise wird das nicht immer dazu geschrieben. Und ebenso falsch ist der erste Satzteil: Die Unterrichtung muss sinnvollerweise erfolgen, wenn der Verantwortliche die betroffene Person nicht identifizieren kann – ganz egal, ob die fehlende Identifizierbarkeit beweisbar ist oder nicht.
Absatz 2 Satz 2 ist zur (ersten) Hälfte inhaltslos: Wenn der Verantwortliche Betroffene nicht identifizieren kann, dann kann er entsprechende Daten natürlich auch nicht beauskunften, sperren, löschen, übertragen etc.
Ein Verbesserungsvorschlag
Anbei ein Versurch für einen Artikel 11 in kurz und klar:
Art. 11 DS-GVO – fehlende Identifizierbarkeit
Der Verantwortliche soll den Personenbezug von Daten nicht lediglich zur Einhaltung dieser Verordnung beibehalten. Er hat die Betroffenenrechte jedoch zu gewährleisten, wenn betroffene Personen die für den Personenbezug notwendigen Informationen mitteilen.
Das ist dann auch eine prima Brücke, mit der wir von Kapitel 2 (Grundsätze) zu Kapitel 3 (Rechte der betroffenen Personen) weiterwandern können. Spannende Gefilde liegen vor uns …
Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
