Wir freuen uns auf Ihre Anfrage!

Telefon:

+49 89 / 250 039 220

Öffnungszeiten:

Mo. - Fr.: 09:00 - 18:00 Uhr

Artikel 89 EU-DSGVO: Garantien und Ausnahmen in Bezug auf die Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken

  1. Die Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken unterliegt geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person gemäß dieser Verordnung. Mit diesen Garantien wird sichergestellt, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören, sofern es möglich ist, diese Zwecke auf diese Weise zu erfüllen. In allen Fällen, in denen diese Zwecke durch die Weiterverarbeitung, bei der die Identifizierung von betroffenen Personen nicht oder nicht mehr möglich ist, erfüllt werden können, werden diese Zwecke auf diese Weise erfüllt.

  2. Werden personenbezogene Daten zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken verarbeitet, können vorbehaltlich der Bedingungen und Garantien gemäß Absatz 1 des vorliegenden Artikels im Unionsrecht oder im Recht der Mitgliedstaaten insoweit Ausnahmen von den Rechten gemäß der Artikel 151618 und 21 vorgesehen werden, als diese Rechte voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmen für die Erfüllung dieser Zwecke notwendig sind.

  3. Werden personenbezogene Daten für im öffentlichen Interesse liegende Archivzwecke verarbeitet, können vorbehaltlich der Bedingungen und Garantien gemäß Absatz 1 des vorliegenden Artikels im Unionsrecht oder im Recht der Mitgliedstaaten insoweit Ausnahmen von den Rechten gemäß der Artikel 1516181920 und 21 vorgesehen werden, als diese Rechte voraussichtlich die Verwirklichung der spezifischen Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmen für die Erfüllung dieser Zwecke notwendig sind.

  4. Dient die in den Absätzen 2 und 3 genannte Verarbeitung gleichzeitig einem anderen Zweck, gelten die Ausnahmen nur für die Verarbeitung zu den in diesen Absätzen genannten Zwecken.

Kommentar zu Art. 89 EU DSGVO

Was sagt Art. 89 DSGVO aus?
 

Art. 89 DSGVO gleicht einerseits Privilegierungen für Verarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken sowie statistischen Zwecken durch bestimmte Mindestanforderungen an den Schutz von Betroffenenrechten bei der Verarbeitung aus. Andererseits sieht er für die Mitgliedstaaten die Möglichkeit vor, Sonderregelungen für diese Zwecke zu erlassen.
Abs. 1 stellt dabei Mindestanforderungen an die vorzusehenden geeigneten Garantien zur Verhinderung einer unangemessenen Einschränkung der Betroffenenrechte. Die Garantien müssen sowohl technische als auch organisatorische Maßnahmen vorsehen, welche insbesondere den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) sicherstellen. Daher dürfen auch nur die Daten verarbeitet werden, welche für den Verarbeitungszweck erforderlich sind. Abs. 1 sieht zudem eine dreistufige Prüfung für verantwortliche Stellen vor:

  1. Zunächst besteht nach dem Wortlaut des Art. 89 Abs. 1 S. 4 DSGVO eine primäre Verpflichtung zur Anonymisierung der Daten, sofern der Zweck auch auf diese Weise erreicht werden kann.
  2. Ist dies nicht möglich, muss geprüft werden, ob der Zweck durch Pseudonymisierungsmaßnahmen (Art. 4 Nr. 5 DSGVO) erreicht werden kann, was in der Regel möglich ist.
  3. Ist keine der beiden Maßnahmen zweckgerecht, ist zu prüfen, ob andere verhältnismäßige Maßnahmen zum Schutz der Betroffenenrechte in Betracht kommen. Dies kann z. B. die Verschlüsselung der Daten oder die Verschwiegenheitsverpflichtung sein.

Art. 89 Abs. 2 und 3 DSGVO eröffnen den Mitgliedstaaten die Möglichkeit, Sonderregelungen für die Datenverarbeitung zu den spezifischen Zwecken zu erlassen, welche Ausnahmen von den Betroffenenrechten vorsehen. Die Möglichkeit besteht allerdings nur, wenn die Betroffenenrechte die Verwirklichung der genannten Zwecke voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen. Des Weiteren müssen die Ausnahmen auch notwendig für die Erfüllung der Zwecke sein. Der Wortlaut „notwendig“ weist hier auf eine Verhältnismäßigkeitsprüfung zwischen der Verarbeitung einerseits und der Betroffenenrechte andererseits hin. Wenn der Zweck also auch ohne Ausnahmen von den Betroffenenrechten erfüllt werden kann, ist eine Ausnahme unverhältnismäßig und damit unzulässig.

Ist eine Ausnahme für wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke notwendig, kann nach Abs. 2 das Auskunftsrecht (Art. 15 DSGVO), das Recht auf Berichtigung (Art. 16 DSGVO), das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und das Widerspruchsrecht (Art. 21 DSGVO) betroffener Personen eingeschränkt werden. Umgesetzt wurde diese Beschränkung in Deutschland durch § 27 BDSG, wobei Abs. 2 den Wortlaut des Art. 89 Abs. 2 überwiegend wiederholt. Das Auskunftsrecht wird durch Abs. 2 vollständig ausgeschlossen, soweit dies für die Zwecke erforderlich ist und die Erteilung der Auskunft einen unverhältnismäßigen Aufwand darstellen würde. Die Erforderlichkeit der Einschränkung des Auskunftsrechts steht jedoch in Frage, da der Auskunftsanspruch Datenverarbeitungen zu Forschungs- oder Statistikzwecken in der Regel nicht erschwert. Abs. 3 sieht weitere Vorgaben zur Anonymisierung und Pseudonymisierung vor.

Nach Abs. 3 können, zusätzlich zu den in Abs. 2 genannten Betroffenenrechten, auch Ausnahmen von der Mitteilungspflicht (Art. 19 DSGVO) und von dem Recht auf Datenübertragbarkeit (Art. 20 DSGVO) vorgesehen werden, soweit dies für Verarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken notwendig (Verhältnismäßigkeit) ist. Umgesetzt wurde diese Beschränkung in Deutschland durch § 28 BDSG. Abs. 2 schließt dabei das Auskunftsrecht (Art. 15 DSGVO) aus, wenn entweder das Archivgut nicht durch den Namen der Person erschlossen ist oder keine Angaben gemacht werden, die das Auffinden des betreffenden Archivguts mit vertretbarem Verwaltungsaufwand ermöglichen. Die Deckung durch die Öffnungsklausel sowie die Verhältnismäßigkeit dieser Einschränkung sind jedoch fraglich. Der Berichtigungsanspruch (Art. 16 DSGVO) wird nach § 28 Abs. 3 BDSG generell für Archivzwecke ausgeschlossen. Jedoch hat die betroffene Person nach § 28 Abs. 3 S. 2 BDSG die Möglichkeit einer Gegendarstellung, sofern sie die Richtigkeit ihrer personenbezogenen Daten bestreitet. Die Verhältnismäßigkeit des Ausschlusses des Berichtigungsanspruchs ist ebenfalls als fraglich anzusehen. Es kann nämlich nicht ausgeschlossen werden, dass es Fälle mit dringendem Interesse an der Berichtigung personenbezogener Daten gibt, wodurch nicht zugleich die Verarbeitung zu Archivzwecken ernsthaft beeinträchtigt wird oder unmöglich ist. Das Recht auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit und das Widerspruchsrecht werden durch § 28 Abs. 4 BDSG vollständig ausgeschlossen, wobei die Ausnahme für die Erfüllung der Archivzwecke erforderlich sein muss.

Art. 89 Abs. 4 DSGVO stellt abschließend klar, dass die Ausnahmen nach Abs. 2 und 3 nur für Verarbeitungen zu den genannten Zwecken gelten. Dies gewinnt vor allem dann an Bedeutung, wenn die Verarbeitung gleichzeitig einem anderen Zweck dient.

Was ist neu?
 

Die alte Datenschutzrichtlinie enthielt bereits Privilegierungen für Verarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken in Art. 6 Abs. 1 lit. b S. 2, lit. e S. 2 DSRL und Art. 11 Abs. 2 DSRL. Nach Art. 11 Abs. 2 DSRL konnten die Mitgliedstaaten bereits eine Ausnahme von der Informationspflicht vorsehen. Diese wurde auch in Deutschland durch § 33 Abs. 2 Nr. 5 BDSG (alte Fassung) umgesetzt. Art. 89 DSGVO greift somit die Privilegierungen der alten DSRL auf und fügt weitere Regelungen hinzu, wobei er ebenfalls Mindestanforderungen an die zu treffenden Maßnahmen stellt.

Welche Folgen ergeben sich aus Art. 89 DSGVO?
 

Art. 89 DSGVO stellt Regelungen auf, welche die bestehenden Erlaubnisnormen Art. 6 DSGVO und auch Art. 9 DSGVO ergänzen und zur Förderung der Forschung vorgesehen sind. Dabei sorgt die Norm für einen Ausgleich der Interessen von Verantwortlichen und Auftragsverarbeitern sowie von Betroffenen. Folgen ergeben sich somit insbesondere für Verantwortliche und Auftragsverarbeiter von Datenverarbeitungen zu den genannten Zwecken, die zur Einhaltung der besonderen Regelungen verpflichtet sind, und somit auch für Betroffene. Unsere externen Datenschutzbeauftragten beraten Sie gerne näher zu sich ergebenden Fragen.