David Klein - DS-GVO/BDSG

233

Umstritten ist, ob es für die zweckändernde Weiterverarbeitung einer eigenen Rechtsgrundlagebedarf oder ob sie bereits von der ursprünglichen Rechtsgrundlage i.V.m. den Voraussetzungen des Abs. 4„gedeckt“ ist. Teilweise wird vertreten, dass aufgrund der Regelungssystematik und des Wortlauts von Abs. 4allein der Kompatibilitätstest eine zweckändernde Datenverarbeitung noch nicht zu einer rechtmäßigen Datenverarbeitung machen könne, sondern einer der Erlaubnistatbestände des Art. 6 Abs. 1 lit. a bis fvorliegen müsse.[435] Art. 6 Abs. 4sei demnach nur eine Auslegungsregel für das Tatbestandsmerkmal der Vereinbarkeit in Art. 5 Abs. 1 lit. b. Folglich bezöge sich Art. 6 Abs. 4sodann allein auf die Vorgabe der Zweckbindung einer Datenverarbeitung, nicht aber auch auf die Rechtmäßigkeitsvoraussetzungen nach Art. 6. Dafür spricht insbesondere die Entstehungsgeschichte der Norm, aus der sich ergibt, dass auch eine nach Abs. 4zweckkompatible Weiterverarbeitung von Daten stets zusätzlich noch einer gesonderten Rechtsgrundlage bedarf und der Gesetzgebungsprozess von Anfang an dadurch bestimmt war, dass für das Europäische Parlament bei der Zweckänderung der Schutzstandard der DSRL unter keinen Umständen gemindert werden durfte.[436]

234

Demgegenüber steht die Auffassung, dass es im Falle der zweckändernden Weiterverarbeitung keiner gesonderten Rechtsgrundlage bedarf.[437] Hiernach stützt sich die Weiterverarbeitung grundsätzlich auf die Rechtsgrundlage der ursprünglichen Verarbeitung. Hierfür spricht ErwG 50 S. 1 und 2. Danach ist im Falle der Vereinbarkeit der Zwecke „keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung der personenbezogenen Daten“. Diese Formulierung wird teilweise als „redaktioneller Fehler“ gewertet.[438] Die Regelungssystematik von Art. 6 Abs. 4spricht allerdings gegen ein Versehen des Verordnungsgebers an dieser Stelle.[439]

235

Letztlich ist davon auszugehen, dass Art. 6 Abs. 4selbst keinen Erlaubnistatbestandfür eine zweckändernde Weiterverarbeitung darstellt.[440] Dementsprechend bedarf es im Falle einer zweckändernden Weiterverarbeitung stets einer eigenständigen Ermächtigungsgrundlage nach Abs. 1.[441] Die Kompatibilität der Zwecke entscheidet lediglich darüber, ob der ursprüngliche Erlaubnistatbestand, etwa die Einwilligung, auch für die Weiterverarbeitung gilt oder ob ein eigenständiger, ggf. abweichender, Tatbestand aus Art. 6 Abs. 1für die Weiterverarbeitung heranzuziehen ist.[442] Art. 6 Abs. 4enthält somit die Kriterien für die Beurteilung der Vereinbarkeit der Zwecke vor dem Hintergrund des Grundsatzes aus Art. 5 Abs. 1 lit. b. Danach stellt eine Weiterverarbeitung im Falle kompatibler Zwecke keinen Verstoß gegen den Grundsatz der Zweckbindung dar.[443] Rechtsfolge aus Art. 5 Abs. 1 lit. bund Art. 6 Abs. 4ist, dass die Weiterverarbeitung auf den Erlaubnistatbestand der Erhebung der personenbezogenen Daten gestützt werden kann, weil kein Verstoß gegen den Grundsatz der Zweckbindung vorliegt.[444] Die Prüfung der Kriterien und Voraussetzungen nach Art. 6 Abs. 4entscheidet daher nur über die Zulässigkeit der Zweckänderung.[445] Da es sich dadurch bei Art. 6 Abs. 4letztlich um eine Auslegungsregelhandelt, bleibt für die Rechtmäßigkeit der Weiterverarbeitung stets Art. 6 Abs. 1maßgeblich.[446]

236

Daneben stellt sich die Frage, ob Art. 6 Abs. 4 nur im Rahmen einer Datenverarbeitung nach Art. 6oder auch bei einer Verarbeitung sensibler Daten nach Art. 9 Anwendung finden kann (dazu auch Art. 9 Rn. 20). So könnte zum einen davon ausgehen sein, dass Art. 9erhöhte Verarbeitungsvoraussetzungen normiert und daher ein eigenständiges Regelungssystem darstellt, das einen Rückgriff auf Art. 6und dessen Abs. 4ausschließt.[447] Gleichwohl nimmt die Mehrheit der Stimmen an, dass Art. 9die Vorschrift des Art. 6und damit auch Art. 6 Abs. 4nicht verdrängt, sondern die Normen vielmehr kumulativ Anwendung finden.[448] Insbesondere ErwG 51 S. 4 stellt klar, dass für die Beurteilung der Rechtmäßigkeit einer Verarbeitung zusätzlich zu den speziellen Anforderungen an eine Datenverarbeitung auch die allgemeinen Grundsätze und andere Bestimmungen der Verordnung gelten sollen, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung und nimmt dadurch zumindest indirekt auch Bezug auf Art. 6und dessen Abs. 4.[449] Festzuhalten bleibt somit, dass zumindest für die erstmalige Datenverarbeitung ein Erlaubnistatbestand nach Art. 9zur Rechtfertigung der Datenverarbeitung notwendig ist und dabei auch die Voraussetzungen von Art. 6zu berücksichtigen sind. Anschließend kann auch Art. 6 Abs. 4neben Art. 9Anwendung finden, wenn dadurch das durch Art. 9intendierte Schutzniveau nicht ausgehöhlt wird. Freilich ist der Weg über Art. 6 Abs. 4auch bei der Verarbeitung sensibler Daten versperrt, wenn die datenverarbeitende Stelle die Datenverarbeitung auf Art. 9 Abs. 2 lit. aund die Einwilligung stützt. Dies geht aus dem Wortlaut von Art. 6 Abs. 4hervor. In diesem Falle ist eine entsprechende wirksame Einwilligungserklärung durch die betroffene Person einzuholen, die die Datenverarbeitungsvorgänge rechtfertigt. Der Weg über eine Rechtfertigung der Datenverarbeitung im Rahmen von Art. 6 Abs. 4steht daher nur dann offen, wenn der Verantwortliche die Datenverarbeitung auf einen gesetzlichen Erlaubnistatbestand (etwa Art. 9 Abs. 2 lit. b–j) stützt.

237

Fraglich ist zudem, ob Art. 6 Abs. 4durch seine Formulierung eine eigenständige Öffnungsklauselenthält, durch die die Mitgliedstaaten die Zulässigkeit von Zweckänderungen gesetzlich normieren können.[450] Hierbei stellt sich insbesondere die Frage des Verhältnisses zu Art. 6 Abs. 2 und 3 . Grundsätzlich ist davon auszugehen, dass Mitgliedstaaten die Zulässigkeit einer Datenverarbeitung im Hinblick auf die Zweckbindung nur dann im Rahmen einer Öffnungsklausel ausgestalten können, wenn ihnen bereits die inhaltliche Regelungsbefugnis für die ursprüngliche Datenverarbeitung zukommt.[451] Andernfalls bestünde die erhebliche Gefahr der Absenkung des Schutzstandards der DS-GVO, wenn extensiv auf mitgliedstaatlicher Ebene zulässige Zweckänderungen (etwa auch im nichtöffentlichen Bereich) festgelegt werden könnten.[452] Das Zusammenspiel der Öffnungsklauseln zeigt § 9 Abs. 2 DSG NRW: Die Regelungsbefugnis für den öffentlichen Bereich folgt aus Art. 6 Abs. 1 S. 1 lit. e, Abs. 2 bis 4und nicht bloß aus Art. 6 Abs. 4.[453] Offensichtlich geht der Gesetzgeber im Rahmen von §§ 23, 24 BDSGdavon aus, dass Art. 6 Abs. 4eine eigenständige Öffnungsklausel darstellt.[454] Dafür spricht auch die Rechtsprechung des Bundesgerichtshofes.[455] Dies läuft gleichwohl dem Ziel der Harmonisierung des Datenschutzrechts durch die DS-GVO entsprechend ErwG 3 und der Systematik von Art. 6zuwider und überdehnt die Regelungsbefugnis des nationalen Gesetzgebers.[456] Vielmehr treten die Normen stets neben Art. 6 Abs. 4und dessen Voraussetzungen (vgl. dazu auch Rn. 224und Rn. 258 f.).[457]

238

Der Wortlaut der Vorschrift ist etwas unglücklich formuliert und lässt ihren Gehalt erst nach genauer Analyse erkennen:[458] Sofern eine Datenverarbeitung nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, kann ein Verantwortlicher eine Verarbeitung zu einem anderen Zweck als zu demjenigen durchführen, zu dem die personenbezogenen Daten erhoben wurden – vorausgesetzt, er stellt fest, dass die Verarbeitung zu einem anderen Zweck mit dem ursprünglichen Zweck vereinbar ist. Dies bedeutet zum einen, dass eine Zweckänderung bereits durch eine Einwilligung oder gesetzliche Vorschrift zulässig sein kann.[459] Erst wenn weder eine entsprechende Einwilligung noch eine gesetzliche Erlaubnis für die zweckändernde Weiterverarbeitung besteht, findet Art. 6 Abs. 4Anwendung.