6 Abs. 4 betrifft die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden. Dabei ist die Vorschrift im Zusammenhang mit Art. 5 Abs. 1 lit. b und Art. 6 Abs. 1 zu lesen.[428] Nach Art. 5 Abs. 1 lit. b dürfen personenbezogene Daten auf der Grundlage des einschlägigen Erlaubnistatbestandes für die Ersterhebung nicht weiterverarbeitet werden, wenn die Weiterverarbeitung in einer Weise erfolgt, die mit den bei Erhebung der Daten festlegten Zwecken nicht vereinbar ist.[429] Dies bedeutet letztlich, dass eine Zweckänderung bzw. Weiterverarbeitung von Daten zulässig ist, wenn eine Vereinbarkeit der Zwecke vorliegt (dazu ausführlich unter Rn. 235).[430] Art. 6 Abs. 1 regelt wiederum als Verbot mit Erlaubnisvorbehalt, unter welchen Bedingungen eine Verarbeitung personenbezogener Daten zulässig ist. Art. 6 Abs. 4 setzt daher den Grundsatz der Zweckbindung aus Art. 5 Abs. 1 lit. b fort und gestaltet ihn aus.[431] Hinsichtlich der Zweckänderung gab es eine umfassende Diskussion im Rahmen des Gesetzgebungsprozesses.[432] Als Vorbild der Norm gilt Art. 9 des niederländischen Datenschutzgesetzes.[433] Kerngehalt ist die so genannte „Kompatibilitätsprüfung“, wonach eine zweckfremde Weiterverarbeitung unter bestimmten Voraussetzungen zulässig sein kann. Eine Kompatibilitätsprüfung nach einer Zweckänderung sah bereits die DSRL vor, allerdings ohne dies konkreter zu spezifizieren. Dies hat nun die DS-GVO getan, dabei jedoch fortwährend auslegungsbedürftige Kriterien aufgestellt.[434]
232
Bei einer zweckändernden Weiterverarbeitung muss der Verantwortliche feststellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, „vereinbar“ ist. Was mit „Vereinbarkeit“ zwischen den Zwecken gemeint ist, lässt die DS-GVO offen und definiert diesen Begriff nicht, sondern statuiert lediglich, dass bei der Prüfung, ob diese Verbindung gegeben ist, bestimmte Kriterien berücksichtigt werden müssen. Die DS-GVO schreibt die Kompatibilitätsprüfung damit bei einer Zweckänderung zwar abstrakt vor, überlässt ihre Durchführung und insbesondere ihre Ausfüllung jedoch dem Verantwortlichen. Sofern eine zweckändernde Weiterverarbeitung unter Verstoß gegen Abs. 4 und ohne einen Erlaubnistatbestand nach Art. 6 Abs. 1 durchgeführt wird, unterfällt dies grundsätzlich Art. 83 Abs. 5 lit. d. Demnach kann im Falle eines Verstoßes eine Geldbuße von bis zu 20 000 000 EUR oder 4 % des gesamten weltweiten Jahresumsatzes eines Unternehmens fällig werden.
233
Umstritten ist, ob es für die zweckändernde Weiterverarbeitung einer eigenen Rechtsgrundlage bedarf oder ob sie bereits von der ursprünglichen Rechtsgrundlage i.V.m. den Voraussetzungen des Abs. 4 „gedeckt“ ist. Teilweise wird vertreten, dass aufgrund der Regelungssystematik und des Wortlauts von Abs. 4 allein der Kompatibilitätstest eine zweckändernde Datenverarbeitung noch nicht zu einer rechtmäßigen Datenverarbeitung machen könne, sondern einer der Erlaubnistatbestände des Art. 6 Abs. 1 lit. a bis f vorliegen müsse.[435] Art. 6 Abs. 4 sei demnach nur eine Auslegungsregel für das Tatbestandsmerkmal der Vereinbarkeit in Art. 5 Abs. 1 lit. b. Folglich bezöge sich Art. 6 Abs. 4 sodann allein auf die Vorgabe der Zweckbindung einer Datenverarbeitung, nicht aber auch auf die Rechtmäßigkeitsvoraussetzungen nach Art. 6. Dafür spricht insbesondere die Entstehungsgeschichte der Norm, aus der sich ergibt, dass auch eine nach Abs. 4 zweckkompatible Weiterverarbeitung von Daten stets zusätzlich noch einer gesonderten Rechtsgrundlage bedarf und der Gesetzgebungsprozess von Anfang an dadurch bestimmt war, dass für das Europäische Parlament bei der Zweckänderung der Schutzstandard der DSRL unter keinen Umständen gemindert werden durfte.[436]
234
Demgegenüber steht die Auffassung, dass es im Falle der zweckändernden Weiterverarbeitung keiner gesonderten Rechtsgrundlage bedarf.[437] Hiernach stützt sich die Weiterverarbeitung grundsätzlich auf die Rechtsgrundlage der ursprünglichen Verarbeitung. Hierfür spricht ErwG 50 S. 1 und 2. Danach ist im Falle der Vereinbarkeit der Zwecke „keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung der personenbezogenen Daten“. Diese Formulierung wird teilweise als „redaktioneller Fehler“ gewertet.[438] Die Regelungssystematik von Art. 6 Abs. 4 spricht allerdings gegen ein Versehen des Verordnungsgebers an dieser Stelle.[439]
235
Letztlich ist davon auszugehen, dass Art. 6 Abs. 4 selbst keinen Erlaubnistatbestand für eine zweckändernde Weiterverarbeitung darstellt.[440] Dementsprechend bedarf es im Falle einer zweckändernden Weiterverarbeitung stets einer eigenständigen Ermächtigungsgrundlage nach Abs. 1.[441] Die Kompatibilität der Zwecke entscheidet lediglich darüber, ob der ursprüngliche Erlaubnistatbestand, etwa die Einwilligung, auch für die Weiterverarbeitung gilt oder ob ein eigenständiger, ggf. abweichender, Tatbestand aus Art. 6 Abs. 1 für die Weiterverarbeitung heranzuziehen ist.[442] Art. 6 Abs. 4 enthält somit die Kriterien für die Beurteilung der Vereinbarkeit der Zwecke vor dem Hintergrund des Grundsatzes aus Art. 5 Abs. 1 lit. b. Danach stellt eine Weiterverarbeitung im Falle kompatibler Zwecke keinen Verstoß gegen den Grundsatz der Zweckbindung dar.[443] Rechtsfolge aus Art. 5 Abs. 1 lit. b und Art. 6 Abs. 4 ist, dass die Weiterverarbeitung auf den Erlaubnistatbestand der Erhebung der personenbezogenen Daten gestützt werden kann, weil kein Verstoß gegen den Grundsatz der Zweckbindung vorliegt.[444] Die Prüfung der Kriterien und Voraussetzungen nach Art. 6 Abs. 4 entscheidet daher nur über die Zulässigkeit der Zweckänderung.[445] Da es sich dadurch bei Art. 6 Abs. 4 letztlich um eine Auslegungsregel handelt, bleibt für die Rechtmäßigkeit der Weiterverarbeitung stets Art. 6 Abs. 1 maßgeblich.[446]
236
Daneben stellt sich die Frage, ob Art. 6 Abs. 4 nur im Rahmen einer Datenverarbeitung nach Art. 6 oder auch bei einer Verarbeitung sensibler Daten nach Art.
