David Klein - DS-GVO/BDSG

243

Hieraus ergibt sich für den Verantwortlichen in jedem Fall eine Unsicherheit in der Beurteilung der Frage, ob eine zweckfremde Verarbeitung zulässig ist oder nicht. Befindet die verantwortliche Stelle positiv über die Zulässigkeit der Verarbeitung, ist eine ausführliche und gewissenhafte Dokumentation der Prüfungsschritte bis hin zum positiven Ergebnis (aus Sicht des Verantwortlichen), die auch die Gewichtung der einzelnen Kriterien beschreibt, entsprechend Art. 5 Abs. 2unabdingbar. Andernfalls bleiben die Kriterien lediglich „inhaltslos und dehnbar“.[474] Empfehlenswert ist insoweit eine umfassende Dokumentation, bspw. durch den Datenschutzbeauftragten unter Einbeziehung der betroffenen Fachbereiche in schriftlicher Form (Vermerkform),[475] gegebenenfalls abgezeichnet vom zuständigen Entscheidungsträger im Unternehmen.

244

Der Verantwortliche hat nach Art. 6 Abs. 4 lit. azunächst „jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung“ zu berücksichtigen. Daraus lässt sich als Leitlinie ableiten, dass je weiter der ursprüngliche Erhebungszweck und der Zweck der Weiterverarbeitung sowohl in inhaltlicher, aber auch in zeitlicher Hinsicht auseinander liegen, desto weniger wird von einer Vereinbarkeit der Zwecke auszugehen sein.[476] Es kann davon ausgegangen werden, dass unter diesem Punkt eine zumindest irgendwie geartete Verbindung zwischen den Zwecken bestehen muss, um eine zweckändernde Weiterverarbeitung zu rechtfertigen. Je weiter der Zweck der ursprünglichen Verarbeitung und der Zweck der Weiterverarbeitung auseinander liegen, desto schwieriger lässt sich eine Ausnahme von der zweckgebundenen Verarbeitung rechtfertigen.[477]

245

Einigkeit besteht dahingehend, dass von einer Verbindung zwischen den Zwecken i.S.d lit. a jedenfalls dann ausgegangen werden kann, wenn der neue Zweck ein „logischer nächster Schritt“[478] im Verarbeitungsprozess oder eine naheliegende Folge der ursprünglichen Zweckbestimmung darstellt.[479] Insbesondere in diesen Fällen ist auch aus Sicht der betroffenen Person und ihren Erwartungen mit einer Weiterverarbeitung zu rechnen.[480] Zu weitgehend dürfte es nach dem eindeutigen Wortlaut allerdings sein, es ausreichen zu lassen, dass zwar eine irgendwie geartete denklogische Weiterverarbeitung vorliegt, allerdings keinerlei Verbindung zwischen altem und neuem Zweck mehr existiert.[481] Letztlich sollte geprüft werden, ob ein nachvollziehbarer Sachzusammenhang gegeben ist, um eine Verbindung zwischen den Zwecken festzustellen.

246

Ein Beispiel für eine Zweckänderung ist die Weiterverarbeitung von personenbezogenen Daten zu Werbezweckendie ursprünglich allein zu Zwecken der Erfüllung eines Vertrags erhoben und verarbeitet wurden. Hier sind insbesondere die Aussagen von § 7 Abs. 2 und 3 UWG zu beachten. Demzufolge lässt sich festhalten: Sofern personenbezogene Daten abweichend vom ursprünglichen Erhebungszweck nunmehr zu Werbezwecken verarbeitet werden, liegt eine Zweckänderung vor, deren Zulässigkeit sich nach Art. 6 Abs. 4beurteilt.[482] Indizien im Rahmen der Kompatibilitätsprüfung liefern insoweit § 7 Abs. 2 und 3 UWG.[483] Sollte der Verantwortliche etwa den Zweck einer sich an die Vertragsabwicklung anschließenden werblichen Nutzung der Daten bereits im Zeitpunkt der Erhebung hinreichend definieren, so steht einer späteren werblichen Nutzung der Daten als kompatibler Nutzung grundsätzlich nichts entgegen. Denn die werbliche Verarbeitung von im Rahmen eines Vertragsverhältnisses erhobenen Daten ist insofern eine nach Art. 6 Abs. 4zulässige Weiterverarbeitung von ursprünglich zu anderen Zwecken erhobenen Daten.[484] Eine Vereinbarkeit der Zwecke kann in diesem Sinne etwa dann vorliegen, wenn Bestandsdaten von Kunden für Werbezwecke weiterverarbeitet werden, sofern der Weg und die Form der Kommunikation etwa nicht gegen § 7 Abs. 2 und 3 UWG verstoßen. Demgegenüber ist die Datennutzung für Werbezwecke Dritter nach Ersterhebung wohl keine mit dem ursprünglichen Erhebungszweck zu vereinbarende Datenverarbeitung mehr.[485] Ob im Zuge der Weite des Verarbeitungsbegriffs und der Erwähnung von Drittinteressen in Art. 6 Abs. 1 lit. fauch im Falle von Datenübermittlungen zu Werbezwecken Dritter von einem kompatiblen Zweck auszugehen ist, ist letztlich eine Frage, die durch den Europäischen Gerichtshof abschließend zu klären ist.[486] Die DSK hat in diesem Zusammenhang betont, dass die Weitergabe von (sensiblen) personenbezogenen Daten durch Betreiber von Gesundheits-Apps an Dritteohne Kenntnis der betroffenen Personen unzulässig ist.[487] Dies gilt insbesondere dann, wenn die Weitergabe der Daten zu kommerziellen Zwecken erfolgt und wenn die Empfänger der Daten letztlich vorrangig eigene Geschäftsinteressen verfolgen.[488] In diesem Sinne wird eine Vereinbarkeit der Zwecke i.d.R. dann scheitern, wenn (bisher unbeteiligte) Dritte die Weiterverarbeitung der Daten vornehmenoder die Weiterverarbeitung ihren Interessen dient.[489] Denn der seitens der Verantwortlichen bewusste Verzicht oder das Unterlassen der Möglichkeit die Zwecke einer Weiterverarbeitung eigenständig(etwa über eine wirksame Einwilligung der Nutzer und betroffenen Personen) zu rechtfertigen, schließt eine Kompatibilität nach Art. 6 Abs. 4vor dem Hintergrund der Notwendigkeit der Berücksichtigung der Erwartungen der betroffenen Personen nach ErwG 50 S. 6 i.d.R. aus.[490] Dazu auch im Rahmen von Art. 6 Abs. 4 lit. bvgl. Rn. 248.

247

Eine zulässige Weiterverarbeitung personenbezogener Daten kann demgegenüber etwa dann vorliegen, wenn z.B. aufgrund einer vertraglichen Vereinbarung etwa Smart DevicesDaten weiterverarbeiten, um im Interesse der Nutzer einen Dienst zu optimieren oder an die Gewohnheiten und Präferenzen der Nutzer anzupassen.[491]

248

Des Weiteren hat der Verantwortliche gem. Art. 6 Abs. 4 lit. b„den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen“, zu berücksichtigen. Nach ErwG 50 S. 6 sind dabei insbesondere die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten zu berücksichtigen. Letztlich fordert lit. b, dass ein Zusammenhang des ursprünglichen Erhebungszwecks mit dem späteren Weiterverarbeitungszweck durch den Verantwortlichen geprüft werden muss. Dabei lässt sich festhalten, dass je näher der neue Zweck im Zusammenhang mit dem ursprünglichen Erhebungszweck steht, desto eher ist die zweckändernde Weiterverarbeitung zulässig.[492] Da ErwG 50 S. 6 insbesondere auf die Erwartungen der betroffenen Person Rücksicht nimmt, ist im Rahmen von lit. b vor allem die Sicht der betroffenen Personund nicht diejenige des Verantwortlichen entscheidend.[493] Insofern ist insbesondere das Vertrauensverhältnis zwischen betroffener Person und Verantwortlichem entscheidend. Daraus folgt, dass etwa für die betroffene Person außerhalb der Erwartung liegende oder überraschende Weiterverarbeitungenzu einer Inkompatibilität der Zwecke führen.[494] Maßgeblich ist hierbei insbesondere die Transparenz im Hinblick auf die vorgenommene Datenverarbeitung bzw. deren Umfang.[495] Demzufolge gilt, dass sofern die verantwortliche Stelle Zwecke der Datenverarbeitung benennt und gleichwohl die Daten darüber hinaus zu anderen Zwecken verarbeitet, i.d.R. eine Inkompatibilität bereits aus der vorangegangenen Intransparenz gegenüber den Nutzern folgt.[496] Transparenzdefizitebzw. Defizite hinsichtlich der Informationspflichten führen damit unmittelbar zu einer Beschränkung der Weiterverarbeitungsbefugnis nach Art. 6 Abs. 4.[497] Insbesondere sofern der Verantwortliche (bewusst oder zumindest fahrlässig) auf die Möglichkeit verzichtet für eine Weiterverarbeitung etwa eine wirksame Einwilligung der betroffenen Person einzuholen, so ist eine Begründung der Weiterverarbeitung über Abs. 4ausgeschlossen.[498] Zudem erfassen die „vernünftigen Erwartungen“ der betroffenen Personen nur rechtmäßige Datenverarbeitungen.[499] Die Weitergabe von Gesundheitsdatenvon Nutzern einer Gesundheits-App, die mittels Analyse- oder Tracking-Tools an Dritte (etwa an Google, Amazon oder Facebook, z.B. zu Werbe- oder sonstigen Zwecken) ohne Kenntnis der Nutzer weitergeleitet werden, kann in diesem Sinne wohl keine kompatible Weiterverarbeitung personenbezogener Daten sein.[500] Auch eine Profilbildungist mit dem ursprünglichen Zweck unvereinbar, wenn die betroffene Person darüber nicht vorab informiert wurde oder eine Profilbildung für die betroffene Person nicht vorherzusehen war.[501] Insofern ist auch Art. 22zu beachten, der zeigt, dass dem Profiling eine Sonderrolle zukommt und dementsprechend die betroffene Person ein Recht hat diesem nicht unterworfen zu werden. Sofern der Verantwortliche somit Daten im Rahmen der Ersterhebung verarbeitet und diese später zu Zwecken des Profilings weiterverarbeitet, steht dem Art. 6 Abs. 4wohl entgegen.