Telemedicus: Stellungnahme zur Zweckänderung in der DS-GVO
Telemedicus hat Ende vergangener Woche auf Anfrage eine schriftliche Stellungnahme zur Regelung der so genannten Zweckänderung in der geplanten Datenschutzgrundverordnung an das Bundesministerium des Inneren übersandt. Hintergrund: Das BMI führt eine schriftliche Anhörung von Verbänden, Unternehmen, Wissenschaft und Netzcommunity durch. Es geht um die Frage, ob eine zweckändernde Datenverarbeitung nach Art. 6 Abs. 4 DS-GVO (E) auch aufgrund berechtigten Interesses im Sinne von Art. 6 Abs. 1 f) DS-GVO (E) zulässig sein sollte oder nicht. Unsere Stellungnahme stellen wir als Volltext nun auch hier im Blog bereit.
Stellungnahme des Telemedicus e.V.
Schriftliche Anhörung zur Regelung der zweckändernden Weiterverarbeitung personenbezogener Daten in der Datenschutz-Grundverordnung (Art. 6 Abs. 4 DS-GVO-E)
Sehr geehrte Damen und Herren,
Telemedicus e.V. bedankt sich für die Gelegenheit zur Stellungnahme im Rahmen der zuvor genannten schriftlichen Anhörung.
Telemedicus ist ein juristisches Internetprojekt zu allen Rechtsfragen der Informationsgesellschaft. Im Fokus unserer Arbeit stehen das Informations-, Medien- und Datenschutzrecht sowie die damit verbundenen sozialen, wirtschaftlichen und politischen Fragen. Getragen und herausgegeben wird das Projekt vom gemeinnützigen Telemedicus e.V., einer neutralen, unabhängigen, wissenschaftlichen Vereinigung. Der Verein fördert satzungsgemäß den freien Austausch von Wissen über Rechtsfragen der Informationsgesellschaft auf juristischer und interdisziplinärer Ebene.
Die nachfolgende Stellungnahme gliedert sich in einen allgemeinen Teil (1.), der sich abstrakt mit der Frage der Zulässigkeit einer nachträglichen Zweckänderung vor dem Hintergrund der Datenschutz-Grundverordnung beschäftigt, sowie einem besonderen Teil (2.), in dem die vom Bundesministerium des Inneren aufgeworfenen Fragen erörtert werden.
Der datenschutzrechtliche Grundsatz der Zweckbindung beschränkt die Möglichkeiten der datenverarbeitenden Stelle, belässt ihr gleichzeitig aber auch ein notwendiges Maß an Flexibilität. Er betrifft zum einen die Datenerhebung, der ein expliziter, hinreichend konkreter und legitimer Zweck zugrunde liegen muss, als auch zum anderen die Art und Weise der sich anschließenden Datenverarbeitungsvorgänge. Der Einwilligung ist er aufgrund des geltenden Bestimmtheitserfordernisses sogar immanent und damit Tatbestandsvoraussetzung.
Derzeit ist es möglich bei „kompatibler“ Zweckänderung, die Verarbeitung auf Art. 7 f) der europäischen Datenschutzrichtlinie (95/46/EG, nachfolgend „DSRL“) und damit das berechtigte Interesse der verantwortlichen Stelle zu stützen. Es wäre jedoch möglich, weitere, mit dem ursprünglichen Zweck der Datenerhebung „unvereinbare“ Datenverarbeitungsvorgänge auf Art. 7 f) DSRL zu stützen, vorausgesetzt die berechtigten Interessen der verantwortlichen Stelle überwiegen die des Betroffenen. Diese zweite Verarbeitungsphase wird überwiegend als eine neue, eigenständige, vom vorherigen Datenverarbeitungsvorgang unabhängige, Datenverarbeitung betrachtet.
Warum sollte eine Legitimation einer Datenverarbeitung, die bei nüchterner Betrachtung möglicherweise zwar mit dem Zweck der ursprünglichen Erhebung unvereinbar ist, jedoch sehr wohl eigenständig über ihren neuen Zweck und auf der Grundlage von Art. 7 f) DSRL nicht möglich sein? Eine solche Einschränkung sieht Art. 6 Abs. 4 DS-GVO-E jedoch vor, indem er für die Weiterverarbeitung von personenbezogenen Daten vom Vorliegen eines der Erlaubnistatbestände des Art. 6 Abs. 1 a) bis e) DS-GVO-E vorsieht. Der bisherige Fall der Interessenabwägung ist dagegen in Art. 6 Abs. 1 f) DS-GVO-E geregelt und somit nicht erfasst.
Gerade vor dem Hintergrund von „Open Data“-Initiativen und dem Trend „Big Data“, denen eine Weiterverwendung für andere Zwecke geradezu immanent ist, scheint eine solche Begrenzung des Handlungsspielraums der datenverarbeitenden Stelle – abweichend von der derzeitigen Rechtslage – unter wirtschaftlichen Gesichtspunkten nur schwerlich begründbar.
Aus der gesellschaftlichen Perspektive zeigt sich dagegen ein eher gespaltenes Verhältnis zum Datenschutz. Auf der einen Seite steht das Interesse des Einzelnen als auch der Gesellschaft an der Nutzung neuer Dienstleistungen, die auf der (massenhafte) Auswertung personenbezogener Daten beruhen (bspw. im Bereich der medizinischen Vorsorge). Auf der anderen Seite steht die berechtigte Furcht der Betroffenen, vor einer weitreichenden Erhebung, Speicherung und Verarbeitung ihrer personenbezogenen Daten, von der Betroffene weder Kenntnis haben, noch sie zu kontrollieren vermögen. Der datenschutzrechtliche Zweckbindungsgrundsatz stellt dabei sicher, dass personenbezogene Daten auf der Grundlage einer einmal erteilten Einwilligung oder eines sonstigen Erlaubnistatbestandes für Zwecke genutzt werden, die sie nicht kennen oder denen sie so nie zugestimmt hätten. Die Verarbeitung personenbezogener Daten zu einem anderen als dem ursprünglich ihrer Erhebung zugrundeliegenden Zweck, begegnet daher insbesondere im Falle der Einwilligung erheblichen Schwierigkeiten, da es oft an der Erfüllung ihrer Tatbestandsvoraussetzungen fehlen dürfte.
Der Gedanke des Datenschutzrechts, das Persönlichkeitsrecht der Betroffenen in Bezug auf den Umgang mit ihren personenbezogenen Daten zu schützen, tritt aber gerade in diesem Fall besonders zu Tage. Das Grundprinzip einer gesetzlichen Regelung und Aufstellung von Schutzmechanismen sollte daher auch von dieser Grundlage ausgehen.
Im Rahmen des hier besprochenen Themenfeldes stellen sich daher zwei grundsätzliche Fragen: Soll eine Weiterverarbeitung personenbezogener Daten bei Zweckänderung zulässig sein und falls ja, unter welchen Voraussetzungen?
Wie oben beschrieben ist eine Weiterverarbeitung bei Zweckänderung bereits derzeit unter dem Regime der geltenden DSRL möglich und hat Eingang ins deutsche Datenschutzrecht (vgl. § 28 BDSG) gefunden. Voraussetzung ist, dass die neue bzw. weitere Datenverarbeitung selbst alle Verarbeitungsvoraussetzungen erfüllt. Erforderlich ist, dass der (Weiter-) Verarbeitung ein festgelegter und rechtmäßiger Zweck (Art. 6 Abs. 1 b) DSRL) sowie eine der in Art. 7 DS-RL genannten Rechtsgrundlagen zugrunde liegt. Eine zweckändernde Datenverarbeitung ist in Deutschland derzeit auch auf der Grundlage der „berechtigten Interessen“ der verantwortlichen Stelle erlaubt, vgl. § 28 Abs. 2 Nr. 1 BDSG. Eine Prüfung der Vereinbarkeit der „alten“ und „neuen“ Zwecke findet insoweit im Rahmen der Abwägung der schutzwürdigen Interessen des Betroffenen mit den Interessen der berechtigten Stelle statt. Jedoch ist damit nicht per se ausgeschlossen, dass eine Weiterverarbeitung für Zwecke nicht möglich ist, die manch ein Betroffener als „unvereinbar“ mit den ursprünglichen Zwecken ansehen mag. Diese Form der Verarbeitung stellt also eigentlich gar keine „Weiter“-Verarbeitung, sondern eine neue Datenverarbeitung dar. Dies sollte auch künftig möglich sein.
Betrachtet man eine „Weiterverarbeitung“ als eine solche Datenverarbeitung, die keines neuen Erlaubnistatbestandes bedarf, da sie von demjenigen Erlaubnistatbestand der Erhebung gedeckt ist, so betrifft die Diskussion allein die Frage, wie weit die Legitimation dieser Grundlage und des mit ihr verbundenen Zweckes reicht, um auch eine Zweckänderung (auf dieser bestehenden Grundlage) zuzulassen. Diese Form der Datenverarbeitung ist derzeit mit Einschränkungen – nämlich für historische, statistische und wissenschaftliche Zwecke- nur erlaubt, wenn „die Weise“ der Datenverarbeitung mit den ursprünglichen Zweckbestimmungen vereinbar ist (Art. 6 Abs. 1 b) DSRL). Daher sollte auch in Zukunft die Weiterverarbeitung bei Zweckänderung möglich sein.
Die Frage ist nun jedoch, wie weit die zukünftigen Ausnahmen gehen, ob man sich also auf die bestehenden (Art. 6 Abs. 1 b) DSRL) beschränkt, oder weitere Ausnahmen zulässt oder sogar das Prinzip der Weiterverarbeitung bei Zweckänderung umkehrt, nämlich in eine grundsätzliche Erlaubnis und nur diejenigen Ausnahmen aufführt, bei denen die Weiterverarbeitung nicht möglich sein soll. Der Nachteil eines solchen Verbotskatalogs bestünde freilich in seinem abschließenden Charakter, weshalb auch hier eine Öffnungsklausel auf unbestimmte, ähnlich gelagerte Fälle erforderlich wäre, will der Gesetzgeber sich und der Rechtsprechung die notwendige Flexibilität erhalten, um auf neue Anwendungsfälle und Geschäftsmodelle in der Praxis zu reagieren.
In diesem Zusammenhang stellt die Einwilligung einen Sonderfall dar. Diese unterliegt den strengen Anforderungen des Bestimmtheitsgrundsatzes und muss im Vorfeld der Datenverarbeitung eingeholt werden. Mit Blick auf das Recht auf informationelle Selbstbestimmung sollte nur dann auf die Einwilligung des Betroffenen zur Rechtfertigung eines Datenverarbeitungsvorgangs zurückgegriffen werden, wenn kein anderer Erlaubnistatbestand anwendbar ist. Die Ausübung des Rechts auf informationelle Selbstbestimmung setzt gerade voraus, dass der Betroffene eine Wahl hat, sich für oder gegen einen bestimmten Datenverarbeitungsvorgang zu entscheiden. Aus rechtsdogmatischen Gründen sollte in Art. 6 DS-GVO-E die Möglichkeit einer weiterführenden Verarbeitung von personenbezogenen Daten, die aufgrund einer Einwilligung erlangt wurden, im Falle der Zweckänderung explizit ausgeschlossen werden. Damit wird im Prinzip nur klargestellt, was gesetzlich bereits jetzt für die Einwilligung gilt: Sie muss ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgen (Art. 2 h) DSRL). Werden jedoch Zwecke komplett geändert oder ausgetauscht, wird die Einwilligung bereits aufgrund der mangelnden Erfüllung ihrer Tatbestandsvoraussetzungen oft nicht als Verarbeitungsgrundlage dienen können.
Derzeit ist die Weiterverarbeitung bei einer Zweckänderung grundsätzlich verboten, wenn die Weise der Weiterverarbeitung mit den ursprünglichen Zwecken unvereinbar ist. Ein grundsätzliches Verbot auch in der Zukunft würde daher die bestehende Gesetzeslage fortschreiben.
Jedoch gilt es zunächst festzustellen, dass eine Weiterverarbeitung nach Art. 6 Abs. 1 b) DSRL nur verboten ist, wenn dies in einer mit den ursprünglichen Zwecken „nicht zu vereinbarenden Weise“ geschieht. Eine Zweckänderung und Weiterverarbeitung ist also auch derzeit sehr wohl zulässig, wenn die Weise der Datenverarbeitung mit den ursprünglichen Zwecken „vereinbar“ ist.
Entscheidend wird also die Antwort auf die Frage sein, was unter der „Vereinbarkeit“ der Weise der Weiterverarbeitung zu verstehen ist.
Die Vereinbarkeit der Weiterverarbeitung bezieht sich nicht (allein) auf einen Vergleich der Zwecke des jeweiligen Datenverarbeitungsvorgangs, wie es etwa Art. 6 Abs. 4 DS-GVO-E vorsieht. Art. 6 Abs. 1 b) DSRL spricht explizit von der „Weise“ der Weiterverarbeitung. Dies eröffnet einen größeren Interpretationsspielraum, wann eine zweckändernde Weiterverarbeitung möglich ist und ist gerade nicht auf einen Vergleich der Zwecke beschränkt. Vielmehr muss die gesamte Art und Weise der Weiterverarbeitung betrachtet werden. Hierzu zählen unter anderem auch Schutzmechanismen, die mit der Weiterverarbeitung einhergehen. So kann und muss eine Verringerung der Datenmenge, eine Pseudonymisierung, eine Aggregierung oder andere Schutzvorkehrungen in die Interessenabwägung mit einfließen. Dies gilt es auch künftig bei der Interpretation der „(Un-) Vereinbarkeit“ der Weiterverarbeitung nach Art. 6 Abs. 4 DS-GVO-E sicherzustellen, der nach derzeitigem Stand allerdings lediglich einen Vergleich der Zwecke des jeweiligen Datenverarbeitungsvorgangs vorsieht.
Die DSRL eröffnet also bereits heute die Möglichkeit einer zweckändernden Weiterverarbeitung, wenn die Weise der Datenverarbeitung mit den ursprünglichen Zwecken vereinbar ist. Diese Voraussetzung und die mit ihr einhergehende Flexibilität sollte unter der Datenschutz-Grundverordnung (DS-GVO) – mit Ausnahme der Einwilligung – beibehalten werden. Alles andere wäre ein Rückschritt und eine mit den technischen Entwicklungen kaum zu vereinbarende Beschränkung der digitalen Wirtschaft.
Anpassungsbedarf besteht sicherlich bei der Frage, ob man unter der DSGVO die Anforderungen an die Weise der Weiterverarbeitung näher umschreibt. Die Änderungen im Rat sehen bereits die Einfügung eines Katalogs von Kriterien vor, der diesen Gedanken aufnimmt (vgl. Art. 6 Abs. 3a DS-GVO-E). Im Prinzip sollte es darum gehen, der verantwortlichen Stelle Kriterien an die Hand zu geben, nach denen sie die Weise (also alle Umstände) der Datenverarbeitung gestalten kann/muss, um eine Vereinbarkeit mit den ursprünglichen Zwecken sicherzustellen. Zu denken wäre etwa auch an die Aufnahme dieses Abwägungsprozesses in das Verfahren der Datenschutz-Folgenabschätzung. Die Kriterien, welche hier benannt werden können, sollten dabei sowohl Datenschutzprinzipien umfassen (Datensparsamkeit), aber auch tatsächliche Anpassungen des Verarbeitungsvorgangs benennen (Pseudonymisierung; Aggregierung; technische und organisatorische Maßnahmen). Derlei Kriterien sollten auch künftig im Rahmen der vorzunehmenden Interessenabwägung berücksichtigt werden.
Die vorzunehmende Interessenabwägung sollte sich daher auch künftig nicht auf die Gegenüberstellung von vermeintlich „positiven“ und „negativen“ Zwecken beschränken, sofern eine derart subjektivierte und vereinfachte Unterscheidung überhaupt möglich ist. Eine derart verkürzte Abwägung birgt ohnehin erhebliche Rechtsunsicherheit. Der eine mag die Weiterverarbeitung seiner personenbezogenen Daten für Werbezwecke als „positiv“ empfinden, andere wiederum werden dies als Eingriff in ihr Recht auf informationelle Selbstbestimmung „negativ“ werten. Die dem Gesetz bereits derzeit inhärente Möglichkeit der Einbeziehung weiterer Kriterien , über den bloßen Zweck hinaus, sollte daher auch zukünftig möglich sein.
Der Vorteil des Bezugs auf die „Weise“ der Datenverarbeitung ist dabei offensichtlich: Er lässt sich objektiv oder zumindest aus einer objektivierten Perspektive bestimmen. Auf diese Weise wird der Abwägungsprozess für die verantwortliche Stelle vereinfacht. Damit einher geht ein Zuwachs an Rechtssicherheit, der nicht unweigerlich zu Lasten des Schutzes der betroffenen gehen muss, im Gegenteil für diese sogar einen Schutzgewinn darstellen kann.
Werden Verschlüsselungstechniken eingesetzt? Werden Daten pseudonymisiert? Wird das Datenvolumen verringert? Auch diese eher technischen Fragen sollten im Rahmen der Interessenabwägung Berücksichtigung finden, wenngleich nicht allein ausschlaggebend sein. Kommt man im Rahmen dieser Gesamtabwägung der Zwecke als auch der Umstände („Weise“) der Datenverarbeitung zum Ergebnis, dass die Zweckänderung mit dem der ursprünglichen Datenerhebung zugrundeliegenden Zweck vereinbar ist, muss dies auch dann gelten, wenn die Weiterverarbeitung aufgrund der berechtigten Interessen der verantwortlichen Stelle erfolgt. Einzig die Einwilligung sollte aus den bereits angesprochenen dogmatischen Gründen einer nachträglichen Zweckänderung entzogen werden bzw. ist sie dies aufgrund der fehlenden Voraussetzungen meist ohnehin.
Die Kompatibilität der Zwecke (wie oben bereits beschrieben sollte man genauer von ursprünglichem Zweck und Datenverarbeitungsweise sprechen) hat für die Rechte der Betroffenen große Bedeutung. Sollen Daten für neue Zwecke weiterverarbeitet werden, ohne dass die Betroffenen diese neuen Zwecke genau kennen, bedingt dies ein „Mehr“ an Verantwortung auf Seiten der verantwortlichen Stelle. Dieses Mehr an Verantwortung sollte jedoch auch durch zusätzlich zu beachtende, gesetzlich festgeschriebene Schutzmechanismen erreicht werden können, ohne dass diese allein eine Datenverarbeitung zu miteinander völlig unvereinbaren Zwecke zu rechtfertigen vermag. Vielmehr gilt es hier weitere Kriterien aufzunehmen, die im Rahmen der Interessenabwägung besonders berücksichtigt werden müssen.
Ein Totalverbot der zweckändernden Weiterverarbeitung würde einen Rückschritt gegenüber der derzeit geltenden Gesetzeslage bedeuten. Über das Merkmal der „Weise“ der Weiterverarbeitung bietet sich die effiziente Möglichkeit, dem Betroffenen die ihm zustehende Sicherheit zu bieten, dass seine Daten nicht „missbraucht“ werden und der verantwortlichen Stelle die Freiheit, nicht bei jeder Zweckänderung ein juristisches Minenfeld zu betreten aufgrund der Unsicherheit die sich daraus ergeben würde, allein auf vermeintlich „positive“ oder „negative“ Zwecke abzustellen.
Hierzu sollte Art. 6 Abs. 4 DS-GVO-E derart geändert werden, dass an die Stelle des „Zweckabgleichs“ eine offene Interessenabwägung tritt, deren Kriterien, wie auch von der Artikel-29-Gruppe vorgeschlagen, in der Verordnung festgehalten werden. In diese Erwägung sollten u.a. auch die zuvor genannten Schutzmechanismen („Weise“ der Verarbeitung) einfließen. Die Möglichkeit einer Weiterverarbeitung bei Zweckänderung sollte künftig zudem auch aufgrund der überwiegenden Interessen der datenverarbeitenden Stelle (Art. 6 Abs. 1 f) DS-GVO-E) zulässig sein. Im Falle der Einwilligung sollte dagegen bereits aus dogmatischen Gründen eine strikte Zweckbindung gelten, die eine nachträgliche Weiterverarbeitung zu anderen Zwecken ausschließt. Auf diese Weise würde den Interessen des Betroffenen im Hinblick auf die selbstbestimmte Ausübung seines Rechts auf informationelle Selbstbestimmung hinreichend Rechnung getragen.
Die derzeitige Fassung des Art. 6 Abs. 4 DS-GVO-E sieht für den Fall, dass die ursprünglichen Erhebung und Verarbeitung personenbezogener Daten aufgrund überwiegender berechtigter Interessen des Datenverarbeiters (Art. 6 Abs. 1 f) DS-GVO-E) erfolgt, nicht nur keine Weiterverarbeitung zu hiermit unvereinbaren Zwecken vor, sondern überhaupt keine Möglichkeit der Weiterverarbeitung.
Unter wirtschaftlichen Gesichtspunkten stellt dies einen Rückschritt gegenüber der aktuellen Gesetzeslage dar. Der Wegfall jeglicher, noch so geringer Abweichung vom Zweckbindungsgrundsatz würde in vielen Fällen dazu führen, dass die verantwortliche Stelle bereits vorhandene Daten neu erheben und separat speichern müsste, um diese einer weiteren, über den ursprünglichen Zweck hinausgehenden Verwendung zuzufügen. Dem so entstehenden, nicht unerheblichen, wirtschaftlichen Mehraufwand stehen jedoch auf Seiten der Betroffenen nur dort ein „Mehr“ an Datenschutz gegenüber, wo die verantwortliche Stelle zur Neuerhebung und weiteren Verarbeitung seiner personenbezogenen Daten auf deren Einwilligung angewiesen sind.
Ein generelles Verbot der Weiterverarbeitung personenbezogener Daten aufgrund überwiegender, berechtigter Interessen der verantwortlichen Stelle bei Zweckänderung würde die wirtschaftliche und technische Entwicklung zukünftiger Technologien und Anwendungen im Bereich (Informations-) Technologie in Europa erheblich behindern. Insbesondere bei der Personalisierung von Anwendungen und Dienstleistungen (nicht nur der Werbung) ist die Wirtschaft auf die Verwendung personenbezogener Daten angewiesen. Gleiches gilt für die Entwicklung von Algorithmen (Suchmaschinen) oder intelligenter, selbstlernender Systeme, die ihre Fortschritte aufgrund von Datenverarbeitungsprozessen erlangen. Gleichwohl erscheint hier vielfach eine Reduktion der Personenbeziehbarkeit (bspw. durch Pseudonymisierung) als auch der Verzicht auf personenbezogene Daten (bspw. durch Anonymisierung) denkbar.
Bei „Big Data“ geht es dagegen gerade darum, unterschiedliche Datenbestände, unabhängig von ihrem Erhebungsgrund und ihrem Verarbeitungszweck zusammenzuführen, zu analysieren und hieraus neue Anwendungsfälle und Geschäftsmodelle zu entwickeln. Es liegt daher in der Natur der Sache, dass in diesem Bereich der Zweck der Datenverarbeitung im Zeitpunkt der Erhebung noch nicht abschließend bestimmt oder auch nur bestimmbar ist. Will man sich diesem Anwendungsfeld nicht generell verschließen, bedarf es gesetzlicher Rahmenbedingungen, die sowohl den Schutz der personenbezogenen Daten sicherstellen, als auch die notwendige Flexibilität bei der Weiterverarbeitung der Daten andere als die ursprünglich verfolgten Zwecke zugrunde zu legen.
Aber auch eine Erstreckung des Art. 6 Abs. 4 DS-GVO-E auf den Fall des Art. 6 Abs. 1 f) DS-GVO-E stellt aus Sicht der Wirtschaft als auch des Betroffenen keine hinreichend zufriedenstellende Lösung dar. Die Beschränkung allein auf die Vereinbarkeit bedeutet eine Einschränkung der nach derzeit geltendem Recht bestehenden Möglichkeiten zur Weiterverarbeitung personenbezogener Daten trotz Zweckänderung und dürfte für die derzeitige Praxis erhebliche Folgen haben. Auch trägt der Begriff der „Unvereinbarkeit“ kaum zu mehr Rechtssicherheit bei.
Um in einem derart komplexen, stetigem Wandel unterworfenen Bereich eine pauschale Übervorteilung zum Nachteil der einen oder der anderen Seite zu verhindern, bedarf es einer umfassenden Interessenabwägung im Einzelfall. Um gleichwohl ein gewisses Maß an Rechtssicherheit zu wahren, sollte der Gesetzgeber anstelle eines unbestimmten Rechtsbegriffs („Unvereinbarkeit“) klare Kriterien vorgeben, die bei der Abwägung zu berücksichtigen sind. Dabei sollte, wie bereits zuvor ausgeführt, nicht nur der Zweck der Datenverarbeitung eine Rolle spielen, sondern darüber hinaus auch weitere Kriterien berücksichtigt werden, die eine möglichst datenschutzkonforme und eingriffsarme Datenverarbeitung gewährleisten (bspw. Pseudonymisierung).
Aufgrund der Anforderungen des Bestimmtheitsgrundsatzes an die Wirksamkeit der Einwilligung, dürfte diese als Grundlage für „Big Data“-Anwendungen (und diesen immanenten Zweckänderungen) in der Regel ausscheiden. Eine pauschale Erteilung der Einwilligung in die Datenverarbeitung für den Zweck „Big Data“ ist datenschutzrechtlich nicht konkret genug und unterliegt daher dem Risiko unwirksam zu sein. Der Zweckbindungsgrundsatz ist der Einwilligung als Tatbestandsmerkmal immanent, weshalb eine Zweckänderung hier regelmäßig zu Konflikten führt. Es spricht daher aus wirtschaftlicher Sicht grundsätzlich nichts dagegen, dem Betroffenen, dort wo er sein Recht auf informationelle Selbstbestimmung aktiv ausüben kann, die Entscheidungshoheit über seine personenbezogenen Daten zu überlassen.
