Читать книгу Praxishandbuch DSGVO - Tobias Rothkegel - Страница 92

152

Nach Art. 6 Abs. 4 DSGVO ist die Weiterverarbeitung personenbezogener Daten für einen anderen Zweck schließlich auch dann erlaubt, wenn dieser andere Zweck mit dem Zweck, für den die Daten erhoben wurden, vereinbar ist.

153

Ist dies der Fall, erlaubt Art. 6 Abs. 4 DSGVO i.V.m. Erwägungsgrund 50 S. 2 DSGVO die Weiterverarbeitung der personenbezogenen Daten zu einem anderen Zweck nach hier vertretener Ansicht auf Basis derselben Rechtsgrundlage, die die Verarbeitung der Daten zu dem ursprünglichen Zweck erlaubt.222 Mit anderen Worten: Ist der neue Zweck, für den personenbezogene Daten weiterverarbeitet werden sollen, mit dem Zweck, für den die Daten ursprünglich erhoben wurden, vereinbar, benötigt der Verantwortliche für die Weiterverarbeitung nach hier vertretener Ansicht keine gesonderte Rechtsgrundlage.223 Diese Auffassung wird auch vom Bundesbeauftragten für Datenschutz und Informationsfreiheit in seinem Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche geteilt.224 Dabei kann die relevante Rechtsgrundlage (auf die zunächst die originäre Verarbeitung und dann bei Zweckvereinbarkeit auch die Weiterverarbeitung gestützt wird) nach Maßgabe von Erwägungsgrund 50 DSGVO auch von der EU (außerhalb der DSGVO) oder dem jeweiligen Mitgliedstaat erlassen worden sein.

Praxishinweis

In der datenschutzrechtlichen Literatur wird die hier vertretene Ansicht teilweise bestritten und – insbesondere aus systematischen und gesetzgebungshistorischen Gründen – eine gesonderte Rechtsgrundlage für die Weiterverarbeitung der personenbezogenen Daten zu einem anderen Zweck gefordert.225 Auch wenn diese Auffassung nach hier vertretener Auffassung nicht mit dem Wortlaut des Erwägungsgrundes 50 S. 2 DSGVO und dem Konzept der Zweckvereinbarkeit226 in Einklang zu bringen ist, sollten Unternehmen, wenn sie personenbezogene Daten zu einem anderen Zweck weiterverarbeiten möchten, vor diesem Hintergrund zur Erhöhung der Rechtssicherheit möglichst sicherstellen, dass diese Weiterverarbeitung (auch) auf eine gesonderte Rechtsgrundlage gestützt werden kann.

154

Entscheidend für die Zulässigkeit der Zweckänderung auf Basis des Kompatibilitätstests ist die Antwort auf die Frage, ob der neue und der bisherige Zweck miteinander vereinbar sind. Um diese Frage zu beantworten, gibt Art. 6 Abs. 4 DSGVO dem Verantwortlichen fünf Kriterien an die Hand, die er bei der Prüfung der Vereinbarkeit berücksichtigen muss:

 1. jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

 2. den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

 3. die Art der personenbezogenen Daten, insbesondere, ob besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO verarbeitet werden,

 4. die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

 5. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können.

155

Erwägungsgrund 50 präzisiert diese fünf Kriterien weiter. Demnach sollte der Verantwortliche insbesondere auch die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten prüfen. Die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke sollte nach Erwägungsgrund 50 DSGVO als vereinbarer und rechtmäßiger Verarbeitungsvorgang gelten.

156

Diese Liste mit Kriterien ist allerdings nicht abschließend. So muss der Verantwortliche auch alle weiteren im Einzelfall relevanten Kriterien berücksichtigen.227 In der Praxis ist allerdings zu erwarten, dass sich die Prüfung weitestgehend auf die genannten Kriterien beschränkt und nur in atypischen Fällen weitere Kriterien zu berücksichtigen sind. Ob die Weiterverarbeitung erwartbar war und zwei Zwecke miteinander vereinbar sind, ist nach hier vertretener Auffassung aus objektiver Sicht zu beurteilen.228

157

Sind die Zwecke miteinander vereinbar, darf der Verantwortliche die personenbezogenen Daten für den neuen Zweck weiterverarbeiten.

Praxishinweis

Unternehmen sollten – insbesondere vor dem Hintergrund der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO – die Grundlage, auf der die Zweckänderung erfolgt, dokumentieren. Erfolgt die Zweckänderung auf Basis eines Kompatibilitätstests i.S.d. Art. 6 Abs. 4 DSGVO, sollten Unternehmen in diesem Zusammenhang auch diesen Test dokumentieren.