252
Relevante Folgen können auch durch die Art und Weise, in der Daten weiterverarbeitet werden, auftreten, z.B. ob die Daten von einem anderen Verantwortlichen in einem anderen Kontext mit nicht vorhersehbaren Konsequenzen verarbeitet werden, ob die Daten öffentlich zugänglich gemacht oder auf andere Weise einer großen Zahl von Personen zugänglich gemacht werden oder ob große Mengen von personenbezogenen Daten verarbeitet oder mit anderen Daten kombiniert werden (wie bspw. beim Profiling, gegebenenfalls auch im Falle von Big Data-Anwendungen, wie Scoring, Data Mining oder Smart Cars[511]), insbesondere wenn diese Vorgänge zum Zeitpunkt der Erhebung nicht vorhersehbar waren.[512] Als Faustformel lässt sich hier festhalten: Je höher die Wahrscheinlichkeit ist, dass sich ein Risiko realisiert und dies erhebliche Folgen für die Betroffenen hat, desto unwahrscheinlicher ist es, die Zwecke als kompatibel ansehen zu können. Sofern der Verantwortliche die Folgen der Weiterverarbeitung nicht mit hinreichender Wahrscheinlichkeit prognostizieren oder absehen kann, so ist dies ein Indiz für eine Unvereinbarkeit des Zwecks der Weiterverarbeitung mit dem ursprünglichen Erhebungszweck.[513] Insbesondere vor dem Hintergrund von Big Data-Anwendungen (vgl. dazu ausführlich Rn. 281 ff.), maschinellem Lernen, Anwendungen Künstlicher Intelligenz (KI), Internet of Things und Smart Devices bedeutet die Unabsehbarkeit möglicher Folgen der Weiterverarbeitung für die betroffene Person letztlich eine Begrenzung der möglichen Zwecke einer Weiterverarbeitung.[514]
ee) Vorhandensein geeigneter Garantien (Art. 6 Abs. 4 lit. e)
253
Schließlich ist nach Art. 6 Abs. 4 lit. e das Vorhandensein geeigneter Garantien zu berücksichtigen, wozu Verschlüsselung oder Pseudonymisierung[515] gehören können. Dieser Aspekt berücksichtigt die Tatsache, dass in einer Bewertung nach mehreren Kriterien Defizite auftreten können und diese durch bestimmte Faktoren der Absicherung, insbesondere durch technische und organisatorische Maßnahmen, kompensiert werden können.[516] Dementsprechend können auch Datenisolierung, Datenaggregierung oder sogenannte „Privacy Enhancing Technologies“ für die Abwägung relevant sein. Im Allgemeinen gilt für den Verantwortlichen, dass je eher die Vorgaben (etwa von Art. 25, 32 im Rahmen der Weiterverarbeitung von Daten erfüllt werden und hinreichende technische Schutz- und Sicherungsmaßnahmen getroffen werden, so dass das Schutzniveau der erstmaligen Verarbeitung zumindest nicht unterschritten wird, desto eher werden auch die Zwecke der Weiterverarbeitung mit dem ursprünglichen Erhebungszweck vereinbar sein.[517]
254
Die ehemalige Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sieht gerade die Weiterverarbeitung pseudonymisierter Daten für Geschäftsmodelle, die auf der Nutzung von Big-Data-Anwendungen beruhen, als bedeutsam an, da auf diese Weise Big-Data datenschutzkonform ausgestaltet werden könne.[518] Gleichsam führten entsprechende Garantien sogar zu einer „vorsichtigen Privilegierung“ der Weiterverarbeitung pseudonymisierter bzw. verschlüsselter Daten im Big Data-Kontext.[519]
ff) Sonstige Kriterien, insbesondere „Informationspflicht“
255
Wie bereits ausgeführt (vgl. dazu Rn. 240) ist es schwer einzuordnen, welche weiteren Kriterien gegebenenfalls in die Beurteilung einbezogen werden sollten, da die Möglichkeiten hier prinzipiell grenzenlos sind. In diesem Zusammenhang ist auf die Informationspflicht gem. Art. 13 Abs. 3 und Art. 14 Abs. 4 hinzuweisen. Danach müssen Verantwortliche, die beabsichtigen, personenbezogene Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gem. Art. 13 Abs. 2 und Art. 14 Abs. 2 zur Verfügung zu stellen. Diese Vorschriften betreffen primär die Informationspflichten gegenüber Betroffenen und bei deren Nichterfüllung existieren insbesondere eigene Bußgeldregelungen.[520] Art. 13 Abs. 3 und Art. 14 Abs. 4 enthalten damit besondere Transparenzanforderungen im Hinblick auf die Weiterverarbeitung von Daten. Hierbei ist zu beachten, dass eine gesteigerte Transparenz gegenüber der betroffenen Person auch im Rahmen der „Abwägung“ innerhalb des Kompatibilitätstests sowohl zugunsten des Verantwortlichen, das Fehlen einer entsprechenden Information der Weiterverarbeitung wiederum ebenfalls zulasten einer Vereinbarkeit hinsichtlich der Vereinbarkeit der Zwecke wirken kann. Zu den Folgen von Transparenzdefiziten hinsichtlich der Information über die Zwecke einer Weiterverarbeitung vgl. Rn. 246 ff. Eine mangelnde Transparenz gegenüber der betroffenen Person hinsichtlich der Verarbeitungs- und Weiterverarbeitungszwecke kann dementsprechend eine Vereinbarkeit sogar ausschließen.[521] Gleichwohl kann eine entsprechende Information über die zweckändernde Weiterverarbeitung jedenfalls umgekehrt auch ein positives Kriterium zugunsten des Verantwortlichen darstellen, sofern die betroffene Person hier in fortgeschrittenem Maße über die Hintergründe und Umstände einer etwaigen Weiterverarbeitung aufgeklärt wird. Hierfür sprechen auch die Ausführungen der Art.-29-Datenschutzgruppe in deren „Guidelines on transparency under Regulation 2016/679“ (WP260). Diese sehen vor, dass Verantwortliche „im Sinne der Transparenz, Fairness und Rechenschaftspflicht die Bereitstellung von Informationen zu der gem. Artikel 6 Absatz 4 durchgeführten Vereinbarkeitsanalyse in ihren Datenschutzerklärungen/-hinweisen für die betroffenen Personen in Betracht ziehen“ sollte.[522] Die Art.-29-Datenschutzgruppe versteht darunter eine Erläuterung konkret dahingehend, inwiefern die Verarbeitung für die anderen Zwecke mit dem ursprünglichen Zweck vereinbar ist. Allerdings lassen die Ausführungen der Art.-29-Datenschutzgruppe erkennen, dass die Information über die Zwecke der Weiterverarbeitung zumindest kein obligatorisches Merkmal für eine Vereinbarkeit darstellt.
3. Weiterverarbeitung gem. Art. 5 Abs. 1 lit. b
256
Gemäß Art. 5 Abs. 1 lit. b gilt eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gem. Art. 89 Abs. 1 nicht als unvereinbar mit den ursprünglichen Zwecken. Die Kompatibilität wird in diesem Fall und unter Einhaltung der Voraussetzungen des Art. 89 vermutet.[523] Die Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken hat hierfür geeigneten Garantien zu unterliegen. Diese sollen sicherstellen, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird, wobei hierfür explizit die Pseudonymisierung als Beispiel genannt wird.
4. Vorschriften zur Zweckänderung im BDSG n.F.
257
Die Prüfung der Vereinbarkeit nach Abs. 4 ist nur dann notwendig, wenn die Zweckänderung nicht von einer Einwilligung gedeckt ist oder wenn sich ihre Zulässigkeit nicht aus einer Rechtsvorschrift der Union oder der Mitgliedstaaten ergibt, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme