§ 3 Allgemeine Verarbeitungsgrundsätze / IV. Weiterverarbeitung

Rz. 24

Zitat

"Die Verarbeitung personenbezogener Daten für andere Zwecke als die, für die die personenbezogenen Daten ursprünglich erhoben wurden, ist nur zulässig, wenn die Verarbeitung mit den Zwecken, für die die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist."^[62]

Rz. 25

Diese Aussage aus den Erwägungsgründen der Verordnung unterstreicht die Notwendigkeit der eingehenden Befassung mit den vom Verantwortlichen verfolgten Zwecken im Zeitpunkt der erstmaligen Datenerhebung. Aus Sicht des anwaltlichen Beraters ist daher darauf hinzuwirken, die vom Verantwortlichen verfolgten Zwecke zusammen mit dem Mandanten möglichst genau zu erfassen, um die Anwendung der Weiterverarbeitungsgrundsätze nicht uferlos werden zu lassen.

Rz. 26

Fraglich ist, wann im Sinne des Art. 5 Abs. 1 lit. b) DSGVO bzw. des Art. 6 Abs. 4 DSGVO überhaupt von einer "Weiterverarbeitung" gesprochen werden kann. Die DSGVO definiert den Begriff der "Weiterverarbeitung" nicht. Auch in den Erwägungsgründen finden sich nur wenige Anhaltspunkte, die Rückschlüsse auf das Begriffsverständnis zulassen. Jedenfalls große Teile der bislang in Deutschland erschienenen Kommentare und Beiträge^[63] gehen davon aus, dass eine Weiterverarbeitung auch dann vorliegen könnte, wenn personenbezogenen Daten von einem Dritten mit dem Ziel der eigenverantwortlichen Nutzung beim (ursprünglichen) Verantwortlichen erhoben werden ("Weiterverarbeitung nach Übermittlung"). Dieses Begriffsverständnis scheint maßgeblich von der bislang in Deutschland vorherrschenden phasenweisen Betrachtung der Datenverarbeitung, wie sie in § 3 Abs. 3 bis 5 BDSG vorgesehen ist,^[64] geprägt. Wie bereits dargestellt (§ 2 Rdn 34 ff.), kennt die DSGVO eine solche phasenweise Betrachtung der Datenverarbeitung nicht, sondern geht von einem einheitlichen Verarbeitungsbegriff aus. Dieser ist – wie ein Rückschluss auf die Legaldefinition des Verantwortlichen in Art. 4 Nr. 7 DSGVO zeigt – grundsätzlich auf denjenigen gerichtet, der über die Zwecke und Mittel der Verarbeitung entscheidet. Eine Verarbeitung findet in diesem Sinne grundsätzlich bei einem Verantwortlichen oder zumindest bei mehreren Mitverantwortlichen statt, der oder die allein oder gemeinsam über die Mittel und Zwecke (siehe § 2 Rdn 1 f.) der Verarbeitung entscheiden. Ein Wechsel des Verantwortlichen bedingt damit immer auch eine neu zu beurteilende Verarbeitung, für die ihrerseits die in Art. 5 DSGVO normierten Grundsätze zu beachten sind. Nach hiesigem Verständnis kann der Begriff der "Weiterverarbeitung" nicht (auch) die Fälle umfassen, in denen eine neue Verarbeitung begonnen wird. Dies ist immer dann der Fall, wenn die Verarbeitung mit einem Verantwortlichenwechsel verbunden ist. Nur bei einem solchen Verständnis des Weiterverarbeitungsbegriffes werden auch die weitergehenden Anforderungen daran in Art. 6 Abs. 4 DSGVO verständlich und nachvollziehbar. Der Verantwortliche soll die Vereinbarkeit der neuen Zweckfestlegung mit den Ursprungszwecken daran festmachen, "in welchem Kontext die Daten (ursprünglich) erhoben wurden" und dabei "insbesondere die vernünftigen Erwartungen der betroffenen Person in Bezug auf die weitere Verwendung dieser Daten sowie die ursprüngliche Beziehung des Betroffenen zu dem Verantwortlichen" in die Abwägung mit einbeziehen.^[65] Derartige Kenntnisse kann nur der ursprünglich Verantwortliche, nicht jedoch ein Dritter haben. Wollte man dies anders sehen, so würde dem "weiterverarbeitenden" Dritten die Pflicht aufgebürdet, nicht nur die eigene Datenverarbeitung auf ihre Rechtmäßigkeit hin zu überprüfen, sondern sich darüber hinaus auch der Rechtmäßigkeit der Verarbeitung bei Vorverantwortlichen zu versichern. Dies ginge entschieden zu weit und brächte ein nicht überschaubares Risiko für den Dritten mit sich. "Weiterverarbeitung" im Sinne des Art. 6 Abs. 4 DSGVO liegt daher nur vor, wenn eine bereits begonnene Datenverarbeitung durch denselben Verantwortlichen mit einer Zweckbestimmung fortgesetzt werden soll, die im Rahmen der Datenerhebung nicht festgelegt worden ist.^[66] Ist die Verarbeitung für andere Zwecke in einem solchen Fall mit den Zwecken, für die die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar, ist "keine andere gesonderte Rechtsgrundlage erforderlich als diejenige, die für die Erhebung der personenbezogenen Daten"^[67] herangezogen wurde.^[68] Soweit die Weiterverarbeitung auf eine Einwilligung des Betroffenen in die Weiterverarbeitung oder eine im Unionsrecht oder im Recht der Mitgliedstaaten vorgesehene Rechtsgrundlage gestützt werden kann, die "als Rechtsgrundlage für eine Weiterverarbeitung dient",^[69] bedarf es auch im Falle der Weiterverarbeitung nicht einmal der in Art. 6 Abs. 4 DSGVO beschriebenen Interessenabwägung.^[70]

Rz. 27

Die Übergabe einer Forderung an ein Inkassounternehmen zum Zwecke der Beitreibung kann sich für den Gläubiger als Verantwortlichen als "Weiterverarbeitung" darstellen.^[71] Für das Inkassounternehmen selbst, welches die beim Gläubiger v...