EuGH: Datenschutz – zweite Datenbank für Tests und Fehlerbehebung

DSGVO: Art 5

Im vorliegenden Fall richtete ein Unternehmen nach einer technischen Störung, die den Betrieb eines Servers beeinträchtigte, unter der Bezeichnung „test“ eine Testdatenbank ein, in die es personenbezogene Daten von ungefähr einem Drittel der Privatkunden kopierte, die in einer anderen Datenbank gespeichert waren.

Gemäß Art 5 Abs 1 Buchst b DSGVO, der den Grundsatz der „Zweckbindung“ vorsieht, müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken nicht zu vereinbaren ist. Dieser Grundsatz der „Zweckbindung“ verwehrt es dem Verantwortlichen nicht, in einer Datenbank, die zu Testzwecken und zur Behebung von Fehlern eingerichtet wurde, personenbezogene Daten zu erfassen und zu speichern, die zuvor erhoben und in einer anderen Datenbank gespeichert wurden, wenn diese Weiterverarbeitung mit den konkreten Zwecken vereinbar ist, für die die personenbezogenen Daten ursprünglich erhoben wurden, was anhand der Kriterien des Art 6 Abs 4 DSGVO und sämtlicher Umstände des Einzelfalls zu beurteilen ist.

Da die Grundsätze des Art 5 DSGVO für die Verarbeitung personenbezogener Daten kumulativ gelten, muss die Speicherung personenbezogener Daten nicht nur dem Grundsatz der „Zweckbindung“ genügen, sondern auch dem Grundsatz der „Speicherbegrenzung“ (Art 5 Abs 1 Buchst e DSGVO). Dieser Grundsatz der „Speicherbegrenzung“ verwehrt es dem Verantwortlichen, in einer zu Testzwecken und zur Behebung von Fehlern eingerichteten Datenbank die personenbezogenen Daten länger zu speichern als für die Durchführung dieser Tests und die Behebung dieser Fehler erforderlich ist.

EuGH 20. 10. 2022, C-77/21, Digi