Читать книгу DS-GVO/BDSG - David Klein - Страница 392

231

Art. 6 Abs. 4 betrifft die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden. Dabei ist die Vorschrift im Zusammenhang mit Art. 5 Abs. 1 lit. b und Art. 6 Abs. 1 zu lesen.[428] Nach Art. 5 Abs. 1 lit. b dürfen personenbezogene Daten auf der Grundlage des einschlägigen Erlaubnistatbestandes für die Ersterhebung nicht weiterverarbeitet werden, wenn die Weiterverarbeitung in einer Weise erfolgt, die mit den bei Erhebung der Daten festlegten Zwecken nicht vereinbar ist.[429] Dies bedeutet letztlich, dass eine Zweckänderung bzw. Weiterverarbeitung von Daten zulässig ist, wenn eine Vereinbarkeit der Zwecke vorliegt (dazu ausführlich unter Rn. 235).[430] Art. 6 Abs. 1 regelt wiederum als Verbot mit Erlaubnisvorbehalt, unter welchen Bedingungen eine Verarbeitung personenbezogener Daten zulässig ist. Art. 6 Abs. 4 setzt daher den Grundsatz der Zweckbindung aus Art. 5 Abs. 1 lit. b fort und gestaltet ihn aus.[431] Hinsichtlich der Zweckänderung gab es eine umfassende Diskussion im Rahmen des Gesetzgebungsprozesses.[432] Als Vorbild der Norm gilt Art. 9 des niederländischen Datenschutzgesetzes.[433] Kerngehalt ist die so genannte „Kompatibilitätsprüfung“, wonach eine zweckfremde Weiterverarbeitung unter bestimmten Voraussetzungen zulässig sein kann. Eine Kompatibilitätsprüfung nach einer Zweckänderung sah bereits die DSRL vor, allerdings ohne dies konkreter zu spezifizieren. Dies hat nun die DS-GVO getan, dabei jedoch fortwährend auslegungsbedürftige Kriterien aufgestellt.[434]

232

Bei einer zweckändernden Weiterverarbeitung muss der Verantwortliche feststellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, „vereinbar“ ist. Was mit „Vereinbarkeit“ zwischen den Zwecken gemeint ist, lässt die DS-GVO offen und definiert diesen Begriff nicht, sondern statuiert lediglich, dass bei der Prüfung, ob diese Verbindung gegeben ist, bestimmte Kriterien berücksichtigt werden müssen. Die DS-GVO schreibt die Kompatibilitätsprüfung damit bei einer Zweckänderung zwar abstrakt vor, überlässt ihre Durchführung und insbesondere ihre Ausfüllung jedoch dem Verantwortlichen. Sofern eine zweckändernde Weiterverarbeitung unter Verstoß gegen Abs. 4 und ohne einen Erlaubnistatbestand nach Art. 6 Abs. 1 durchgeführt wird, unterfällt dies grundsätzlich Art. 83 Abs. 5 lit. d. Demnach kann im Falle eines Verstoßes eine Geldbuße von bis zu 20 000 000 EUR oder 4 % des gesamten weltweiten Jahresumsatzes eines Unternehmens fällig werden.

233

Umstritten ist, ob es für die zweckändernde Weiterverarbeitung einer eigenen Rechtsgrundlage bedarf oder ob sie bereits von der ursprünglichen Rechtsgrundlage i.V.m. den Voraussetzungen des Abs. 4 „gedeckt“ ist. Teilweise wird vertreten, dass aufgrund der Regelungssystematik und des Wortlauts von Abs. 4 allein der Kompatibilitätstest eine zweckändernde Datenverarbeitung noch nicht zu einer rechtmäßigen Datenverarbeitung machen könne, sondern einer der Erlaubnistatbestände des Art. 6 Abs. 1 lit. a bis f vorliegen müsse.[435] Art. 6 Abs. 4 sei demnach nur eine Auslegungsregel für das Tatbestandsmerkmal der Vereinbarkeit in Art. 5 Abs. 1 lit. b. Folglich bezöge sich Art. 6 Abs. 4 sodann allein auf die Vorgabe der Zweckbindung einer Datenverarbeitung, nicht aber auch auf die Rechtmäßigkeitsvoraussetzungen nach Art. 6. Dafür spricht insbesondere die Entstehungsgeschichte der Norm, aus der sich ergibt, dass auch eine nach Abs. 4 zweckkompatible Weiterverarbeitung von Daten stets zusätzlich noch einer gesonderten Rechtsgrundlage bedarf und der Gesetzgebungsprozess von Anfang an dadurch bestimmt war, dass für das Europäische Parlament bei der Zweckänderung der Schutzstandard der DSRL unter keinen Umständen gemindert werden durfte.[436]

234

Demgegenüber steht die Auffassung, dass es im Falle der zweckändernden Weiterverarbeitung keiner gesonderten Rechtsgrundlage bedarf.[437] Hiernach stützt sich die Weiterverarbeitung grundsätzlich auf die Rechtsgrundlage der ursprünglichen Verarbeitung. Hierfür spricht ErwG 50 S. 1 und 2. Danach ist im Falle der Vereinbarkeit der Zwecke „keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung der personenbezogenen Daten“. Diese Formulierung wird teilweise als „redaktioneller Fehler“ gewertet.[438] Die Regelungssystematik von Art. 6 Abs. 4 spricht allerdings gegen ein Versehen des Verordnungsgebers an dieser Stelle.[439]

235

Letztlich ist davon auszugehen, dass Art. 6 Abs. 4 selbst keinen Erlaubnistatbestand für eine zweckändernde Weiterverarbeitung darstellt.[440] Dementsprechend bedarf es im Falle einer zweckändernden Weiterverarbeitung stets einer eigenständigen Ermächtigungsgrundlage nach Abs. 1.[441] Die Kompatibilität der Zwecke entscheidet lediglich darüber, ob der ursprüngliche Erlaubnistatbestand, etwa die Einwilligung, auch für die Weiterverarbeitung gilt oder ob ein eigenständiger, ggf. abweichender, Tatbestand aus Art. 6 Abs. 1 für die Weiterverarbeitung heranzuziehen ist.[442] Art. 6 Abs. 4 enthält somit die Kriterien für die Beurteilung der Vereinbarkeit der Zwecke vor dem Hintergrund des Grundsatzes aus Art. 5 Abs. 1 lit. b. Danach stellt eine Weiterverarbeitung im Falle kompatibler Zwecke keinen Verstoß gegen den Grundsatz der Zweckbindung dar.[443] Rechtsfolge aus Art. 5 Abs. 1 lit. b und Art. 6 Abs. 4 ist, dass die Weiterverarbeitung auf den Erlaubnistatbestand der Erhebung der personenbezogenen Daten gestützt werden kann, weil kein Verstoß gegen den Grundsatz der Zweckbindung vorliegt.[444] Die Prüfung der Kriterien und Voraussetzungen nach Art. 6 Abs. 4 entscheidet daher nur über die Zulässigkeit der Zweckänderung.[445] Da es sich dadurch bei Art. 6 Abs. 4 letztlich um eine Auslegungsregel handelt, bleibt für die Rechtmäßigkeit der Weiterverarbeitung stets Art. 6 Abs. 1 maßgeblich.[446]

236

Daneben stellt sich die Frage, ob Art. 6 Abs. 4 nur im Rahmen einer Datenverarbeitung nach Art. 6 oder auch bei einer Verarbeitung sensibler Daten nach Art. 9 Anwendung finden kann (dazu auch Art. 9 Rn. 20). So könnte zum einen davon ausgehen sein, dass Art. 9 erhöhte Verarbeitungsvoraussetzungen normiert und daher ein eigenständiges Regelungssystem darstellt, das einen Rückgriff auf Art. 6 und dessen Abs. 4 ausschließt.[447] Gleichwohl nimmt die Mehrheit der Stimmen an, dass Art. 9 die Vorschrift des Art. 6 und damit auch Art. 6 Abs. 4 nicht verdrängt, sondern die Normen vielmehr kumulativ Anwendung finden.[448] Insbesondere ErwG 51 S. 4 stellt klar, dass für die Beurteilung der Rechtmäßigkeit einer Verarbeitung zusätzlich zu den speziellen Anforderungen an eine Datenverarbeitung auch die allgemeinen Grundsätze und andere Bestimmungen der Verordnung gelten sollen, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung und nimmt dadurch zumindest indirekt auch Bezug auf Art. 6 und dessen Abs. 4.[449] Festzuhalten bleibt somit, dass zumindest für die erstmalige Datenverarbeitung ein Erlaubnistatbestand nach Art. 9 zur Rechtfertigung der Datenverarbeitung notwendig ist und dabei auch die Voraussetzungen von Art. 6 zu berücksichtigen sind. Anschließend kann auch Art. 6 Abs. 4 neben Art. 9 Anwendung finden, wenn dadurch das durch Art. 9 intendierte Schutzniveau nicht ausgehöhlt wird. Freilich ist der Weg über Art. 6 Abs. 4 auch bei der Verarbeitung sensibler Daten versperrt, wenn die datenverarbeitende Stelle die Datenverarbeitung auf Art. 9 Abs. 2 lit. a und die Einwilligung stützt. Dies geht aus dem Wortlaut von Art. 6 Abs. 4 hervor. In diesem Falle ist eine entsprechende wirksame Einwilligungserklärung durch die betroffene Person einzuholen, die die Datenverarbeitungsvorgänge rechtfertigt. Der Weg über eine Rechtfertigung der Datenverarbeitung im Rahmen von Art. 6 Abs. 4 steht daher nur dann offen, wenn der Verantwortliche die Datenverarbeitung auf einen gesetzlichen Erlaubnistatbestand (etwa Art. 9 Abs. 2 lit. b–j) stützt.

237

Fraglich ist zudem, ob Art. 6 Abs. 4 durch seine Formulierung eine eigenständige Öffnungsklausel enthält, durch die die Mitgliedstaaten die Zulässigkeit von Zweckänderungen gesetzlich normieren können.[450] Hierbei stellt sich insbesondere die Frage des Verhältnisses zu Art. 6 Abs. 2 und 3. Grundsätzlich ist davon auszugehen, dass Mitgliedstaaten die Zulässigkeit einer Datenverarbeitung im Hinblick auf die Zweckbindung nur dann im Rahmen einer Öffnungsklausel ausgestalten können, wenn ihnen bereits die inhaltliche Regelungsbefugnis für die ursprüngliche Datenverarbeitung zukommt.[451] Andernfalls bestünde die erhebliche Gefahr der Absenkung des Schutzstandards der DS-GVO, wenn extensiv auf mitgliedstaatlicher Ebene zulässige Zweckänderungen (etwa auch im nichtöffentlichen Bereich) festgelegt werden könnten.[452] Das Zusammenspiel der Öffnungsklauseln zeigt § 9 Abs. 2 DSG NRW: Die Regelungsbefugnis für den öffentlichen Bereich folgt aus Art. 6 Abs. 1 S. 1 lit. e, Abs. 2 bis 4 und nicht bloß aus Art. 6 Abs. 4.[453] Offensichtlich geht der Gesetzgeber im Rahmen von §§ 23, 24 BDSG davon aus, dass Art. 6 Abs. 4 eine eigenständige Öffnungsklausel darstellt.[454] Dafür spricht auch die Rechtsprechung des Bundesgerichtshofes.[455] Dies läuft gleichwohl dem Ziel der Harmonisierung des Datenschutzrechts durch die DS-GVO entsprechend ErwG 3 und der Systematik von Art. 6 zuwider und überdehnt die Regelungsbefugnis des nationalen Gesetzgebers.[456] Vielmehr treten die Normen stets neben Art. 6 Abs. 4 und dessen Voraussetzungen (vgl. dazu auch Rn. 224 und Rn. 258 f.).[457]