jedoch allenfalls auf die Rechtfertigungsgründe in Art 17 und 18 DSG berufen, wodurch die Verarbeitung rechtskonform ist.!^!* Die Datenverarbeitung durch einen Auftragsverarbeiter gem der DS-GVO folgt im Kern denselben Prinzipien wie unter dem DSG. Dies betrifft insb die Pflicht zur Wahrung der Grundsätze der Datenverarbeitung, die Weisungsgebundenheit des Auftragsverarbeiters so- wie das Haftungsregime. Neu ist hingegen, dass die Rechtsgrundlage neben einem Vertrag auch in einem (wenn auch undefinierten) anderen Rechtsinstrument bestehen kann; hinzu kommt, dass essentielle Pflichten des Verantwortlichen und des Auftragsverarbeiters im In- nenverhältnis durch die DS-GVO bereits vorgegeben und damit der Privatautonomie entzogen sind. Teils wurden diese Pflichten mit der DS-GVO von Grund auf neu geschaffen, was zB die Dokumentationspflicht und das Führen eines Datenverzeichnisses!^'" betrifft; zudem sind die strafrechtlichen Regelungen nunmehr umfassender. Bezüglich des Grundsatzes der Recht- máfigkeit ist nun aber die oben angesprochene und wohl noch vom EuGH zu klárende!^? Unsicherheit entstanden, ob sie auch für den Auftragsverarbeiter oder nur für den Verantwort- lichen gilt. Im Großen und Ganzen regelt die Vorschrift der DS-GVO die Datenverarbeitung im Auftrag wesentlich detaillierter als ihr Pendant im DSG; gleichzeitig wird durch die zu klárende Frage nach der Anwendbarkeit des Grundsatzes der Rechtmäßigkeit iSd Art 6 Abs 1 lit a DS-GVO die Rechtssicherheit abgeschwächt. 7.10.4 Anonymisierungs- und Vernichtungspflicht Art 6 Abs 1 lit e DS-RL gibt vor, dass Daten nur für die Dauer, für welche sie benötigt werden, so gespeichert werden dürfen, dass die Identifikation der betroffenen Person móglich ist. Diese Pflicht trifft sowohl Behórden als auch Privatpersonen. Gem dieser Bestimmung ist nach Ablauf dieser Dauer keine ausdrückliche zwingende Lóschungspflicht vorgesehen; viel- mehr kann den Daten alternativ ihre Eigenschaft als personenbezogen durch geeignete Mafs- nahmen zur Anonymisierung entzogen werden, da in der Folge das wesentliche Element der Bestimmbarkeit der betroffenen Person fehlt.!^? Gleichzeitig ist eine Weiterverarbeitung 1416 Vg] Bühler/Rampini in Maurer-Lambrou/Blechta, BSK chDSG?, Art 10a chDSG, Rz 22; Epiney/Fasnacht in Belser/Epiney/Waldmann, Datenschutzrecht, 8 10, Rz 52. 47 S dazu die Ausführungen in Kapitel 7.7.2. 1418 So auch Bogendorfer in Knyrim, Datenschutz-Grundverordnung, 173. 14? Vg] Dammann/Simitis, EG-Datenschutz-RL, Art 6, Rz 17. 248