Aus aktuellem Anlass mal ein paar Überlegungen zum Grundsatz der Zweckbindung im Datenschutz.
Was hat das mit der Autobahn-Maut zu tun?
Nun, am 20. Mai 2021 hat der Bundestag das 2. Gesetz zur Änderung mautrechtlicher Vorschriften hinsichtlich der Einführung des europäischen elektronischen Mautdienstes beschlossen.
Wäre ja an sich nichts "Schlimmes". Mit Blick auf den Grundsatz der Zweckbindung tut sich da aber geradezu ein Abgrund auf.
Was kann man denn sonst noch so alles mit Mautdaten anfangen?
Es soll nämlich nicht nur der Zweck der Mauterhebung verfolgt werden, sondern zusätzlich sollen bis Ende 2025 auch noch die Daten "bei Vorliegen eines Verdachts eines Verstoßes gegen die Kabotage Regelungen" zur Verfolgung von Ordnungswidrigkeiten vom Bundesamt für Güterverkehr verarbeitet werden dürfen.
Dafür wurde extra in der neuen Nummer 2 des Gesetzes der Absatz 3b eingefügt, der da lautet:
"(3b) Abweichend von Absatz 3 Satz 4 und 5 darf im Zeitraum bis zum 31. Dezember 2025 das Bundesamt für Güterverkehr bei Vorliegen eines Verdachts eines Verstoßes gegen die Kabotage Regelungen gemäß Artikel 8 der Verordnung (EG) Nr. 1072/2009 [...] die in Absatz 3 Satz 3 Nummer 5 und 10 genannten Daten zum ersten befahrenen Mautabschnitt nach der Einfahrt in das Bundesgebiet und zum letzten befahrenen Mautabschnitt vor der Ausfahrt aus dem Bundesgebiet zum Zweck der Ermittlung des Ortes und der Zeit des Grenzübertritts von in einem Mitgliedstaat der Europäischen Union oder im Europäischen Wirtschaftsraum zugelassenen Fahrzeugen für die Verfolgung von Ordnungswidrigkeiten nach § 19 Absatz 2a und Absatz 4 Nummer 2 des Güterkraftverkehrsgesetzes verarbeiten.“
Was sagt der Bundesdatenschutzbeauftragte dazu?
In seiner Pressemitteilung vom 25. Mai 2021 spricht Prof. Kelber von einem Dammbruch:
Die Mautdaten so zu verwenden hat nichts mehr mit dem ursprünglichen Zweck zu
tun, für den sie erhoben wurden.
Weiter kritisiert er in klaren Worten, dass das Gesetz erstmals die strikte Zweckbindung für Mautdaten aus dem Bundesfernstraßenmautgesetz durchbreche und die Mautdaten sowieso für diesen beabsichtigten Zweck nur begrenzt geeignet seien.
Was ist der Zweck der Datenerhebung im Rahmen des "Mautgesetzes"?
§ 7 Abs. 2 des Bundesfernstraßenmautgesetzes legte fest, welche Daten zur Kontrolle durch das Bundesamt für Güterverkehr verarbeitet werden dürfen und wofür:
"Diese Daten dürfen ausschließlich zum Zweck der Überwachung der Einhaltung der Vorschriften dieses Gesetzes verarbeitet werden. Eine Übermittlung, Verwendung oder Beschlagnahme dieser Daten nach anderen Rechtsvorschriften ist unzulässig."
In der ersten Fassung des Gesetzes zur Änderung mautrechtlicher Vorschriften hinsichtlich der Einführung des europäischen elektronischen Mautdienstes lautete das, was jetzt so großzügig erweitert wurde, übrigens in § 4j noch wie folgt:
"[...] ausschließlich [...] im Rahmen der Kontrolle der Einhaltung der Mautpflicht [...]"
Zweckbindung nach DSGVO
Der Artikel 5 Abs. 1 lit. b DSGVO beschreibt konkret den Grundsatz der Zweckbindung. Da steht, personenbezogene Daten müssen...
"...für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);"
Der Erwägungsgrund 39 zur DSGVO führt das noch weiter aus:
"[...] Insbesondere sollten die bestimmten Zwecke, zu denen die personenbezogenen Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. [...] Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann."
Was war noch der Zweck?
Ich bin ja kein Jurist, aber wenn der Zweck der Erhebung von Daten die Mautberechnung, die Kontrolle z.B., dass nur zugelassene Geräte für diese Berechnung verwendet werden und dass die Maut auch bezahlt wird ist...
Dann dürfte die Verfolgung von Ordnungswidrigkeiten wegen Kabotage-Verstößen auf Basis der erhobenen Mautdaten doch sicherlich nicht dem Zweck entsprechen.
Zusätzlich gibt der BfDI noch einen Hinweis darauf, dass es bereits zumutbare andere Mittel für die Verfolgung von Kabotage-Verstößen gibt:
"Die Mitgliedstaaten prüfen in der Regel die Frachtbriefe und Fahrtenschreiber, um die Einhaltung der Gesetze zu gewährleisten. Die Regelungen gelten auch für Fahrzeuge, die nicht mautpflichtig sind."
Zweckbindung vs. Rechtsgrundlage
Man kann als Staat die rechtlichen Rahmenbedingungen so gestalten, dass man für Verarbeitungen eine Rechtsgrundlage nach Artikel 6 Abs. 1 lit. c DSGVO hat. Das dürfte mit der aktuellen Änderung passiert sein.
Wenn man aber damit gleichzeitig so eklatant gegen den Grundsatz der Zweckbindung verstößt, hat dies eine massive negative "Vorbildfunktion". Der Gesetzgeber nimmt sich Freiheiten, die anderen mit fetten Geldbußen um die Ohren gehauen würden.
Fazit:
Der BfDI hat schon des Öfteren nicht nur Behörden und verfolgte Vorhaben kritisiert, sondern auch bemängelt, dass es gelegentlich am Willen fehlt, ihn aus Datenschutzsicht einzubinden. Dass es um den Willen zur Umsetzung des Datenschutzes manchmal nicht zum Besten steht, ist ein weiterer Punkt (wie z.B. bei der Novelle des Bundespolizeigesetzes oder beim Gesetz zur Vorratsdatenspeicherung).
Dass aber jetzt bei den Abgeordneten eine Gesetzesänderung durchgeht, die schlicht gegen die DSGVO verstoßen dürfte (wie gesagt - ich bin aber kein Jurist) könnte ein wenig auf mangelndes Wissen oder Verständnis zum Datenschutz schließen lassen.
Sah man vielleicht ein Beispiel für dieses Verständnis von Datenschutz bei MdB Amthor, als er etwa das Volkszählungsurteil und das damit definierte "Recht auf informationelle Selbstbestimmung" in seiner Rede vor dem Bundestag zum Registermodernisierungsgesetz indirekt als überholt abtat?
Wir wissen es nicht! Schön wäre es jedenfalls, wenn sich der Gesetzgeber auch an die Datenschutz-Vorschriften halten würde und sich die Welt nicht wie Pippi Langstrumpf "macht wie sie ihm gefällt".
Nochmal der Hinweis: Ich bin kein Jurist und die Beiträge im Blog sind meine persönliche Meinungsäußerung zu aktuellen Themen.