Auch nach einem Jahr sind manche Vorschriften der DSGVO noch hinter einem grauen Schleier verhüllt. Dazu zählt auch die Zweckänderung bei der Verarbeitung von personenbezogenen Daten gem. Art. 6 Abs. 4 DSGVO. Diese bricht mit dem Zweckbindungsgrundsatz der DSGVO und ist, wie schon im Gesetzgebungsverfahren, sehr umstritten. Wir stellen den Streitstand am Beispiel Newsletter Werbung vor.
Der Inhalt im Überblick
Entstehungsgeschichte: Streit um Zweckänderung
Die Regelungen zur Zweckänderung – synonymisch auf Weiterverarbeitung – wurden während der Entwicklung der DSGVO immer wieder geändert, gestrichen und erneut hinzugefügt. Während die vorhergehende Richtlinie 95/46/EG (DS-RL) eine Zweckänderung nur zu historischen oder wissenschaftlichen Zwecken vorsah, so gab es immer wieder Vorstöße in der Genese, um eine Zweckänderung pauschal zu erlauben. Das europäische Parlament stellte sich jedoch gegen eine solche Regelung mit der Begründung, dass es kein Zurück hinter dem Datenschutzniveau der DS-RL geben darf. So wurde die Norm in der jetzigen Fassung des Art. 6 Abs. 4 DSGVO auch vom europäischen Parlament akzeptiert.
Anwendung des Art. 6 Abs. 4 DSGVO
Die Anwendung der Norm wirft grundlegende Fragen auf. Die Kriterien a) – e) der Norm statuieren den sog. Kompatibilitätstest. Dessen Bedeutung und seine Anwendung zur Weiterverarbeitung ist jedoch nicht abschließend geklärt. Klar ist, dass zur Weiterverarbeitung die Kriterien des Kompatibilitätstests erfüllt sein müssen.
Einschränkungstheorie
Nach der sog. Einschränkungstheorie stellt die Weiterverarbeitung jedoch auch eine Verarbeitung dar, die zusätzlich die Kriterien aus Art. 6 Abs. 1 DSGVO erfüllen müssen. Somit muss dient Abs. 4 nicht als eigenständige Rechtsgrundlage. Dies würde auch der Ansicht des europäischen Parlaments entsprechen. Darüber hinaus spricht Absatz 4 nur von der Vereinbarkeit der Zwecke und nicht von der Rechtmäßigkeit der Verarbeitung. Gemäß EG 50 S. 8 müssen auch bei der Zweckänderung die Grundsätze der DSGVO eingehalten werden. Und wie Art. 5 Abs. 1 DSGVO vorgibt, muss jede Verarbeitung rechtmäßig sein. Die Rechtmäßigkeit der Verarbeitung kann jedoch nur durch das Vorliegen einer Rechtsgrundlage gem. Art. 6 Abs. 1 DSGVO hergestellt werden. Insofern sind diese semantischen Unterscheidungen von großer Bedeutung.
Praktische Relevanz hat dies beispielsweise im Rahmen der Ausweitung von Werbetätigkeiten. Ein Pizza Lieferunternehmen, das seine Kunden mit einem Newsletter bewirbt, möchte sich nach einer Unternehmensakquise nun auch im Sushi Lieferdienst betätigen. Hier stellt sich dem Unternehmen die Frage, ob es die DSGVO erlaubt die Abonnenten des Pizza Newsletters nun auch mit dem Sushi Newsletter bewerben kann. Die Prüfung des Kompatibilitätstests zeigt, dass die Zwecke miteinander vereinbar sind. Allerdings kann sich das Unternehmen nicht mehr auf die Einwilligung als Rechtsgrundlage berufen, da die Einwilligung die Bewerbung für einen Sushi Lieferdienst nicht umfasst. Diese ist auch nicht zur Durchführung eines bestehenden Vertragsverhältnisses erforderlich. Eine Interessenabwägung gemäß Art. 6 Abs. 1 lit. f) DSGVO scheidet regelmäßig auch aus, da das Recht der Betroffenen keine ungewollte E-Mail-Werbung zu erhalten, dem Interesse des Verantwortlichen überwiegt (zur Veranschaulichung des Beispiels vertretene Meinung). Eine Bewerbung der Pizza Newsletter Kunden ist folglich nicht möglich.
Ausweitungstheorie
Die Ausweitungstheorie hingegen erfordert nur das Vorliegen des Kompatibilitätstests. Es erfolgt demnach keine kumulative Prüfung von Art. 6 Abs. 1 und 4 DSGVO. Begründet wird dies damit, dass ein Verantwortlicher mit den Daten nicht schlechter gestellt sein kann, als es ein Verantwortlicher ist, der schon im Besitz der Daten ist. Für die Ausweitungstheorie spricht auch, dass der EG 50 S. 2 wortwörtlich besagt: bei Vorliegen der Zweckkompatibilität ist keine gesonderte Rechtsgrundlage notwendig. Die Gegenmeinung argumentiert hier mit einem Redaktionsfehler, wobei dies bei einem so penibel besprochenen Thema wie der Weiterverarbeitung unwahrscheinlich erscheint. Darüber hinaus könnten Verantwortliche die Daten aus ihrem Bestand auch einfach „neu“ erheben und somit den Kompatibilitätstest umgehen. Damit wäre die neue Verarbeitung keine Zweckänderung, sondern ein vollständiger neuer Verarbeitungsvorgang.
Im oben genannten Beispiel erhalten wir durch die Ausweitungstheorie ein anderes Ergebnis. Die Zweckkompatibilität liegt weiterhin vor, allerdings muss nicht mehr geprüft werden, ob die Verarbeitung auch durch eine Rechtsgrundlage gedeckt ist. Das Unternehmen kann folglich die Datensätze der Kunden aus dem Pizza Newsletter verwenden, um den neuen Geschäftszweig zu bewerben.
Vermittelnde Ansicht
Der Meinungsstreit könnte jedoch dahinstehen. Prof. Taeger hat in seinem Kommentar einen weiteren Anknüpfungspunkt aufgezeigt. Art. 6 Abs. 4 DSGVO hat zwei Ausnahmen zum Kompatibilitätstest. Diese liegen vor, wenn die Betroffenen in die Weiterverarbeitung eingewilligt haben, oder aber eine Rechtsvorschrift der Union oder des Mitgliedsstaates die Verarbeitung zu anderem Zweck erlaubt. Solche Normen müssen dabei aber den Kriterien von Art. 23 Abs. 1 DSGVO entsprechen.
Prüft man diese Anforderungen kommt man zu dem Ergebnis, dass Art. 6 Abs. 1 DSGVO eine Rechtsvorschrift der Union gem. Art. 6 Abs. 4, 23 Abs. 1 lit. i) DSGVO ist. Insofern wäre jede Weiterverarbeitung die nach Art. 6 Abs. 1 DSGVO zulässig ist, auch gemäß Art. 6 Abs. 4 DSGVO zulässig. Diese Rückverweisung ist bisher noch kaum beachtet in der Literatur und weist eine klare Logik auf. Der Anwendungsbereich des Kompatibilitätstests wäre demnach verschwinden gering, ebenso die praktische Relevanz. Denn dieser findet nur dann Anwendung, wenn eben keine Rechtsgrundlage aus Absatz 1 einschlägig ist.
Im Beispiel des Pizza Lieferunternehmens kommen wir nach dieser Ansicht zum Schluss, dass auch hiernach eine Bewerbung der Newsletter Empfänger möglich ist. Folgt man erneut der Argumentation im Beispiel zur Einschränkungstheorie von oben, so ist keine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO einschlägig. Jedoch kommt nun das Ergebnis der Zweckkompatibilität zum Tragen. Da die Zwecke miteinander vereinbar sind, ist die Bewerbung der Bestandskunden auch für den neuen Sushi Newsletter zulässig.
Weiterverarbeitung – Praktische Bedeutung variiert
Die Auflösung des Meinungsstreits ist nach aktuellem Stand nicht möglich. Je nachdem für welche Ansicht man entscheidet, variiert auch die praktische Relevanz der Norm. Aufgrund dieser Rechtsunsicherheit ist auch die Anwendung der Norm bisher umständlich und risikobehaftet. Eine gerichtliche Klärung des Streitstands ist deshalb wohl auch nicht in naher Zukunft zu erwarten.
Gute Argumente sprechen für beide Theorien. Der vermittelnde Ansatz von Prof. Taeger würde die Weiterverarbeitung zudem auch in der Wirtschaft sehr attraktiv machen. Dieser bleibt jedoch vorerst nichts anderes übrig, als den Nutzen der Weiterverarbeitung mit dem rechtlichen Risiko abzuwägen, sich im Einzelfall auf die wirtschaftlich attraktiveren Meinungen zu stützen.
Ein Beistand im familiengerichtlichen Verfahren änderte selbst das Gesetz, den Zweck und die Mittel der Verarbeitung (Art. 28 Abs. 10 DSGVO). Der Vater und sein Sohn wurden nicht angehört (datenschutzrechtliche Pflichtverletzung). Verstoß gegen § 53 Nr. 1 BDSG. Verstoß gegen § 5 BDSG. Antrag gemäß § 42 BDSG bei der Kriminalpolizei gestellt.