jedoch allenfalls auf die Rechtfertigungsgründe in Art 17 und 18 DSG berufen, wodurch die
Verarbeitung rechtskonform ist.!^!*
Die Datenverarbeitung durch einen Auftragsverarbeiter gem der DS-GVO folgt im Kern
denselben Prinzipien wie unter dem DSG. Dies betrifft insb die Pflicht zur Wahrung der
Grundsätze der Datenverarbeitung, die Weisungsgebundenheit des Auftragsverarbeiters so-
wie das Haftungsregime. Neu ist hingegen, dass die Rechtsgrundlage neben einem Vertrag
auch in einem (wenn auch undefinierten) anderen Rechtsinstrument bestehen kann; hinzu
kommt, dass essentielle Pflichten des Verantwortlichen und des Auftragsverarbeiters im In-
nenverhältnis durch die DS-GVO bereits vorgegeben und damit der Privatautonomie entzogen
sind. Teils wurden diese Pflichten mit der DS-GVO von Grund auf neu geschaffen, was zB
die Dokumentationspflicht und das Führen eines Datenverzeichnisses!^'" betrifft; zudem sind
die strafrechtlichen Regelungen nunmehr umfassender. Bezüglich des Grundsatzes der Recht-
máfigkeit ist nun aber die oben angesprochene und wohl noch vom EuGH zu klárende!^?
Unsicherheit entstanden, ob sie auch für den Auftragsverarbeiter oder nur für den Verantwort-
lichen gilt. Im Großen und Ganzen regelt die Vorschrift der DS-GVO die Datenverarbeitung
im Auftrag wesentlich detaillierter als ihr Pendant im DSG; gleichzeitig wird durch die zu
klárende Frage nach der Anwendbarkeit des Grundsatzes der Rechtmäßigkeit iSd Art 6 Abs 1
lit a DS-GVO die Rechtssicherheit abgeschwächt.
7.10.4 Anonymisierungs- und Vernichtungspflicht
Art 6 Abs 1 lit e DS-RL gibt vor, dass Daten nur für die Dauer, für welche sie benötigt
werden, so gespeichert werden dürfen, dass die Identifikation der betroffenen Person móglich
ist. Diese Pflicht trifft sowohl Behórden als auch Privatpersonen. Gem dieser Bestimmung ist
nach Ablauf dieser Dauer keine ausdrückliche zwingende Lóschungspflicht vorgesehen; viel-
mehr kann den Daten alternativ ihre Eigenschaft als personenbezogen durch geeignete Mafs-
nahmen zur Anonymisierung entzogen werden, da in der Folge das wesentliche Element der
Bestimmbarkeit der betroffenen Person fehlt.!^? Gleichzeitig ist eine Weiterverarbeitung
1416 Vg] Bühler/Rampini in Maurer-Lambrou/Blechta, BSK chDSG?, Art 10a chDSG, Rz 22; Epiney/Fasnacht
in Belser/Epiney/Waldmann, Datenschutzrecht, 8 10, Rz 52.
47 S dazu die Ausführungen in Kapitel 7.7.2.
1418 So auch Bogendorfer in Knyrim, Datenschutz-Grundverordnung, 173.
14? Vg] Dammann/Simitis, EG-Datenschutz-RL, Art 6, Rz 17.
248
