David Klein - DS-GVO/BDSG

293

Die Relevanz von zweckändernden Weiterverarbeitungen für öffentliche Stellen wird sich primär aus § 23 BDSGn.F. ergeben.

294

Die Kompatibilität der Zwecke hat für die betroffene Person erhebliche Bedeutung. Gleichfalls hat die zweckändernde Weiterverarbeitung für viele Verantwortliche sicher einen großen Stellenwert, gerade im Zeitalter der Digitalisierung. Sollen Daten für neue Zwecke weiterverarbeitet werden, ohne dass die Betroffenen diese neuen Zwecke genau kennen, bedingt dies ein „Mehr“ an Verantwortung auf Seiten der verantwortlichen Stelle.[579]

295

Erhebt ein Energieversorgungsunternehmen im Rahmen einer Big Data Anwendung Daten, dürfte die Analyse der Daten „zur Strategieentwicklung“ als Zweck jedenfalls zu unspezifisch sein. Eine Formulierung, die den Zweck in der „Bereitstellung kundenbezogener Produkte“ definiert, wird den Anforderungen der DS-GVO schon eher gerecht.[580]

296

Von fehlender Kompatibilität im Rahmen der begrenzten Weiterverarbeitungsbefugnis dürfte auch auszugehen sein, wenn ein Versicherungsunternehmen im Zuge des Versicherungsverhältnisses personalisierte Versichertendaten zu dem Zweck nutzt, Risiken besser einschätzen und neue Produkte entwickeln zu können und diese Daten später an Google zur Anlegung personalisierter Kundenprofile und zur Schaltung personalisierter Werbeangebote bei der Suche im Netz im Hinblick auf andere Produkte weitergibt. Zwar werden Big Data Anwendungen im Rahmen eines Data Minings im Rahmen von Art. 6 Abs. 4relevant, gleichwohl wird die Weitergabe der personenbezogenen Daten an Google als Drittem zur Erstellung von Kundenprofilen außerhalb des ursprünglichen Verarbeitungszwecks der Big Data Anwendung liegen.[581]

297

Daten-Backups, die einzig zu technischen Sicherungszwecken angefertigt wurden, können in anderem Zusammenhang relevant werden und zur Auswertung des Verhaltens des „Datenerzeugers“ herangezogen werden, obwohl die Originaldatensätze längst gelöscht wurden.[582] Letztlich wird es für den Verantwortlichen darauf ankommen, ob der Mehrwert, der sich aus der Datenverarbeitung ergibt, bereits bei der ursprünglichen Erhebung und Verarbeitung vorgesehen war, oder ob es sich hierbei um ein zufälliges oder bewusstes „Mehr“ an Vorteilen aus der Datenverarbeitung handelt, die so bisher nicht vorgesehen war.

298

Eine in ethischer Hinsicht offene Frage stellt sich im Rahmen von Big Data Anwendungen insbesondere dann, wenn sich im Falle einer Analyse von pseudonymisierten Daten oder Metadaten Resultate ergeben, die eine Information des Betroffenen gebieten könnten. Diese Fallkonstellation wird bspw. dann relevant, wenn ein Anbieter einer Gesundheits-App aufgrund der Analyse etwa von pseudonymisierten oder anonymisierten Daten Befunde über gesundheitsgefährdende Krankheiten des Betroffenen feststellt. In der Konsequenz stellt sich somit die Frage, ob der für die Datenverarbeitung Verantwortliche anhand der Daten eine Reidentifikation der betroffenen Person vornehmen darf, wenn er Erkenntnisse zu möglichen gesundheitlichen Risiken für den Betroffenen erlangt und damit unter ethischen Gesichtspunkten zu einer Offenbarung der gewonnenen Information angehalten sein könnte. Für die personenbezogene Datenverarbeitung bedürfte es aber einer Legimitation, die wohl nur in Form einer Einwilligung denkbar wäre. Der Datenschutz würdigt damit das übergeordnete Interesse des Gesundheitsschutzes.[583]

299

Für betroffene Personen hat die Vorschrift ebenso erhebliche Relevanz, weil durch sie Verarbeitungen zu rechtfertigen sind, von denen der Betroffene bisher nicht gewusst hat oder auch nur geahnt hat, dass sie durch den Verantwortlichen durchgeführt werden würden. Er hat seine Daten grundsätzlich zu einem ganz anderen Zweck zur Verfügung gestellt und sieht sich nun einer Verarbeitung gegenüber, mit der er so nicht rechnen konnte oder musste. Insofern ist es teilweise verwunderlich, dass keine allgemeine Interessenabwägung bei der Kompatibilitätsprüfung mehr vorgesehen ist. Gleichwohl hat der Gesetzgeber hier eine eindeutige Entscheidung getroffen. Dem Betroffenen bleibt daher immerhin mit den Mitteln der Auskunft und weiteren Betroffenenrechten ein probates Mittel, um entsprechende Verarbeitungsvorgänge im Blick zu behalten, wobei freilich der Status der Informationspflicht teilweise ebenfalls dem Betroffenen zum Vorteil gereichen kann.

300

Die Aufsichtsbehörden dürften auf Verarbeitungsvorgänge, die allein auf Art. 6 Abs. 4gestützt werden, ein besonderes Augenmerk haben, da das Missbrauchsrisiko sowie das ausufernde Potential und die damit einhergehende Beeinträchtigung des Persönlichkeitsrechts von Betroffenen aus Aufsichtsperspektive sicher einiges Gewicht haben dürften. Insofern wird sicher auch die sowieso schon enorm wichtige und an Bedeutung gewinnende Dokumentation gerade im Hinblick auf den Kompatibilitätstest eine gesteigerte Bedeutung erlangen, da so seitens der Aufsichtsbehörde detailliert nachvollzogen werden kann, ob tatsächlich eine „Abwägung“ der Faktoren stattgefunden hat und wie die entsprechenden Entscheidungen des Verantwortlichen getroffen wurden. Dies ist insbesondere vor dem Hintergrund von Bedeutung, dass der Bußgeldrahmen hier bis 20 000 000 EUR oder 4 % des weltweiten jährlichen Unternehmensumsatzes reicht.

301

Aufgrund dieser erhöhten Dokumentationsnotwendigkeit spielt Art. 6 Abs. 4auch für das Datenschutzmanagement eine erhebliche Rolle. Zwar sehen aktuelle Softwaretools hier noch kaum spezifische Fragebögen oder Erfassungsmetriken vor. Gleichwohl ist aber im Rahmen eines ordnungsgemäßen Datenschutzmanagements gerade von Bedeutung, ob zweckändernde Weiterverarbeitungen stattfinden (sollen) und, wenn ja, wie dies gerechtfertigt werden kann, was regelmäßig aufgrund des Kompatibilitätserfordernisses schon im Vorfeld entsprechender Verarbeitungsvorgänge abschließend und umfassend zu prüfen ist.

(1) 1Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie

erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen. 2Bei der Videoüberwachung von

gilt der Schutz von Leben, Gesundheit oder Freiheit von dort aufhältigen Personen als ein besonders wichtiges Interesse.

(2) Der Umstand der Beobachtung und der Name und die Kontaktdaten des Verantwortlichen sind durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen.

(3) 1Die Speicherung oder Verwendung von nach Absatz 1 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen. 2Absatz 1 Satz 2 gilt entsprechend. 3Für einen anderen Zweck dürfen sie nur weiterverarbeitet werden, soweit dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist.