Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 352

169

Dagegen wird die Ansicht vertreten, dass eine Erlaubnis nach Absatz 1 für die Weiterverarbeitung zu einem neuen Zweck vorliegen müsse und zusätzlich der Kompatibilitätstest durchzuführen sei (Zwei-Stufen-Theorie).297 Dieser Ansicht ist nicht zu folgen. Vielmehr eröffnet Absatz 4 die Möglichkeit, die rechtmäßig aufgrund einer Erlaubnisgrundlage298 erhobenen Daten auch dann weiterzuverarbeiten, wenn sich für den neuen Zweck keine Erlaubnis aus Art. 6 Abs. 1 DSGVO oder einer sonstigen Vorschrift der Union oder des Mitgliedstaates finden lässt und die Zulässigkeit nur mit einem positiven Ergebnis des „Kompatibilitätstests“ nach Absatz 4 begründbar ist („Ausweitungstheorie“).299 Die Restmenge, nach der ein solcher Kompatibilitätstest angesichts der möglichen Erlaubnis aufgrund einer Interessenabwägung gemäß Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO noch bliebe, dürfte gering sein.300 Insgesamt scheint also in der Tat „der Anwendungsbereich der Kriterien schmal“.301 Es wird sich in der Praxis zeigen, für welche Sachverhalte ein Kompatibilitätstest nach Absatz 4 herangezogen wird, für die nicht schon eine Erlaubnis nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO oder nach sonstigen Rechtsvorschriften unmittelbar einschlägig ist.

170

Zunehmend finden in Unternehmen für neue Geschäftsanwendungen Techniken der Business Intelligence Anwendung. Damit sollen in einem operativen System generierte Daten derart aufbereitet werden, dass aus den Daten Schlüsse für Entscheidungen des Managements gezogen werden können.302 Es werden für den Zweck, Managemententscheidungen vorzubereiten, Daten also nicht neu – auf Grundlage eines Erlaubnistatbestands – gewonnen, sondern aus operativ genutzten Datenbanken extrahiert. Die personenbezogenen Daten werden demnach für einen anderen, möglicherweise noch nicht bestimmten Zweck verarbeitet. Ein solches Szenario kann typisch sein für Künstliche Intelligenz mit maschinellem Lernen oder für Big Data-Anwendungen. Ist der Zweck noch nicht bekannt, kann die Zweckänderung nicht auf einen gesetzlichen Erlaubnistatbestand gestützt werden. Ob es ausreicht, die Zweckänderung auf Art. 6 Abs. 4 DSGVO zu stützen, wenn der Zweck nur – wie typischerweise bei Big Data-Anwendungen – unbestimmt umschrieben werden kann (Kundengewinnung; Vorbereitung von Managemententscheidungen), ist nicht abschließend geklärt.303 Für Träger hoheitlicher Gewalt bleibt es bei der Zweckbindung aus Art. 5 Abs. 1 lit. b DSGVO und dem Ausnahmekatalog für Zweckänderungen des § 23 BDSG (Rn. 154). Eine Vereinbarkeitsprüfung nach Art. 6 Abs. 4 DSGVO ist für eine Datenverarbeitung zur Wahrnehmung öffentlicher Aufgaben kein Weg, um zu einer rechtmäßigen zweckändernden Weiterverarbeitung zu kommen. Dies bestätigt ErwG 50 Abs. 1 Satz 2: „Ist die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, so können im Unionsrecht oder im Recht der Mitgliedstaaten die Aufgaben und Zwecke bestimmt und konkretisiert werden, für die eine Weiterverarbeitung als vereinbar und rechtmäßig erachtet wird.“ So ist beispielsweise auch die zweckändernde Nutzung von Daten aus dem „Kehrbuch“, die ein bevollmächtigter Bezirksschornsteinfeger als „beliehener Unternehmer“ in Ausübung seiner hoheitlichen Funktion nach § 8 Schornsteinfeger-Handwerksgesetz (SchfHwG) erhebt und verarbeitet, für gewerbliche Zwecke des Handwerkers, beispielsweise für die Bewerbung seiner sonstigen handwerklich-gewerblichen Dienstleistungen als Unternehmer, unzulässig.304 Ob Behörden dann, wenn sie sich bei einer angestrebten zweckändernden Weiterverarbeitung nicht auf eine verfassungsgemäße Rechtsvorschrift stützen können, nicht doch auch eine Kompatibilitätsprüfung vornehmen dürfen, um die Vereinbarung des neuen Zwecks mit dem ursprünglichen, der rechtmäßigen Erhebung zugrunde gelegten Zweck festzustellen, ist aber umstritten.305 Aus verfassungsrechtlichen Erwägungen ist eher Zurückhaltung zu empfehlen.