Source: https://www.datenschutzexperte.de/gesetzestext-eu-dsgvo/artikel-89/
Timestamp: 2020-01-20 18:08:04+00:00

Document:
Kommentar zu Art. 89 EU DSGVO
Was sagt Art. 89 DSGVO aus?
Art. 89 DSGVO gleicht einerseits Privilegierungen für Verarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken sowie statistischen Zwecken durch bestimmte Mindestanforderungen an den Schutz von Betroffenenrechten bei der Verarbeitung aus. Andererseits sieht er für die Mitgliedstaaten die Möglichkeit vor, Sonderregelungen für diese Zwecke zu erlassen.
Abs. 1 stellt dabei Mindestanforderungen an die vorzusehenden geeigneten Garantien zur Verhinderung einer unangemessenen Einschränkung der Betroffenenrechte. Die Garantien müssen sowohl technische als auch organisatorische Maßnahmen vorsehen, welche insbesondere den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) sicherstellen. Daher dürfen auch nur die Daten verarbeitet werden, welche für den Verarbeitungszweck erforderlich sind. Abs. 1 sieht zudem eine dreistufige Prüfung für verantwortliche Stellen vor:
Zunächst besteht nach dem Wortlaut des Art. 89 Abs. 1 S. 4 DSGVO eine primäre Verpflichtung zur Anonymisierung der Daten, sofern der Zweck auch auf diese Weise erreicht werden kann.
Ist dies nicht möglich, muss geprüft werden, ob der Zweck durch Pseudonymisierungsmaßnahmen (Art. 4 Nr. 5 DSGVO) erreicht werden kann, was in der Regel möglich ist.
Ist keine der beiden Maßnahmen zweckgerecht, ist zu prüfen, ob andere verhältnismäßige Maßnahmen zum Schutz der Betroffenenrechte in Betracht kommen. Dies kann z. B. die Verschlüsselung der Daten oder die Verschwiegenheitsverpflichtung sein.
Art. 89 Abs. 2 und 3 DSGVO eröffnen den Mitgliedstaaten die Möglichkeit, Sonderregelungen für die Datenverarbeitung zu den spezifischen Zwecken zu erlassen, welche Ausnahmen von den Betroffenenrechten vorsehen. Die Möglichkeit besteht allerdings nur, wenn die Betroffenenrechte die Verwirklichung der genannten Zwecke voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen. Des Weiteren müssen die Ausnahmen auch notwendig für die Erfüllung der Zwecke sein. Der Wortlaut „notwendig“ weist hier auf eine Verhältnismäßigkeitsprüfung zwischen der Verarbeitung einerseits und der Betroffenenrechte andererseits hin. Wenn der Zweck also auch ohne Ausnahmen von den Betroffenenrechten erfüllt werden kann, ist eine Ausnahme unverhältnismäßig und damit unzulässig.
Ist eine Ausnahme für wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke notwendig, kann nach Abs. 2 das Auskunftsrecht (Art. 15 DSGVO), das Recht auf Berichtigung (Art. 16 DSGVO), das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und das Widerspruchsrecht (Art. 21 DSGVO) betroffener Personen eingeschränkt werden. Umgesetzt wurde diese Beschränkung in Deutschland durch § 27 BDSG, wobei Abs. 2 den Wortlaut des Art. 89 Abs. 2 überwiegend wiederholt. Das Auskunftsrecht wird durch Abs. 2 vollständig ausgeschlossen, soweit dies für die Zwecke erforderlich ist und die Erteilung der Auskunft einen unverhältnismäßigen Aufwand darstellen würde. Die Erforderlichkeit der Einschränkung des Auskunftsrechts steht jedoch in Frage, da der Auskunftsanspruch Datenverarbeitungen zu Forschungs- oder Statistikzwecken in der Regel nicht erschwert. Abs. 3 sieht weitere Vorgaben zur Anonymisierung und Pseudonymisierung vor.
Nach Abs. 3 können, zusätzlich zu den in Abs. 2 genannten Betroffenenrechten, auch Ausnahmen von der Mitteilungspflicht (Art. 19 DSGVO) und von dem Recht auf Datenübertragbarkeit (Art. 20 DSGVO) vorgesehen werden, soweit dies für Verarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken notwendig (Verhältnismäßigkeit) ist. Umgesetzt wurde diese Beschränkung in Deutschland durch § 28 BDSG. Abs. 2 schließt dabei das Auskunftsrecht (Art. 15 DSGVO) aus, wenn entweder das Archivgut nicht durch den Namen der Person erschlossen ist oder keine Angaben gemacht werden, die das Auffinden des betreffenden Archivguts mit vertretbarem Verwaltungsaufwand ermöglichen. Die Deckung durch die Öffnungsklausel sowie die Verhältnismäßigkeit dieser Einschränkung sind jedoch fraglich. Der Berichtigungsanspruch (Art. 16 DSGVO) wird nach § 28 Abs. 3 BDSG generell für Archivzwecke ausgeschlossen. Jedoch hat die betroffene Person nach § 28 Abs. 3 S. 2 BDSG die Möglichkeit einer Gegendarstellung, sofern sie die Richtigkeit ihrer personenbezogenen Daten bestreitet. Die Verhältnismäßigkeit des Ausschlusses des Berichtigungsanspruchs ist ebenfalls als fraglich anzusehen. Es kann nämlich nicht ausgeschlossen werden, dass es Fälle mit dringendem Interesse an der Berichtigung personenbezogener Daten gibt, wodurch nicht zugleich die Verarbeitung zu Archivzwecken ernsthaft beeinträchtigt wird oder unmöglich ist. Das Recht auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit und das Widerspruchsrecht werden durch § 28 Abs. 4 BDSG vollständig ausgeschlossen, wobei die Ausnahme für die Erfüllung der Archivzwecke erforderlich sein muss.
Art. 89 Abs. 4 DSGVO stellt abschließend klar, dass die Ausnahmen nach Abs. 2 und 3 nur für Verarbeitungen zu den genannten Zwecken gelten. Dies gewinnt vor allem dann an Bedeutung, wenn die Verarbeitung gleichzeitig einem anderen Zweck dient.
Die alte Datenschutzrichtlinie enthielt bereits Privilegierungen für Verarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken in Art. 6 Abs. 1 lit. b S. 2, lit. e S. 2 DSRL und Art. 11 Abs. 2 DSRL. Nach Art. 11 Abs. 2 DSRL konnten die Mitgliedstaaten bereits eine Ausnahme von der Informationspflicht vorsehen. Diese wurde auch in Deutschland durch § 33 Abs. 2 Nr. 5 BDSG (alte Fassung) umgesetzt. Art. 89 DSGVO greift somit die Privilegierungen der alten DSRL auf und fügt weitere Regelungen hinzu, wobei er ebenfalls Mindestanforderungen an die zu treffenden Maßnahmen stellt.
Welche Folgen ergeben sich aus Art. 89 DSGVO?
Art. 89 DSGVO stellt Regelungen auf, welche die bestehenden Erlaubnisnormen Art. 6 DSGVO und auch Art. 9 DSGVO ergänzen und zur Förderung der Forschung vorgesehen sind. Dabei sorgt die Norm für einen Ausgleich der Interessen von Verantwortlichen und Auftragsverarbeitern sowie von Betroffenen. Folgen ergeben sich somit insbesondere für Verantwortliche und Auftragsverarbeiter von Datenverarbeitungen zu den genannten Zwecken, die zur Einhaltung der besonderen Regelungen verpflichtet sind, und somit auch für Betroffene. Unsere externen Datenschutzbeauftragten beraten Sie gerne näher zu sich ergebenden Fragen.

References: Art. 89
 Art. 89

Art. 89
 Art. 89

Art. 89
 § 27
 Art. 89
 § 28
 § 28
 § 28
 § 28

Art. 89
 Art. 6
 Art. 11
 Art. 11
 § 33
 Art. 89
 Art. 89

Art. 89
 Art. 6
 Art. 9