[pinguin]

URTEIL DES GERICHTSHOFS (Erste Kammer)
20. Oktober 2022(*)

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 5 Abs. 1 Buchst. b und e – Grundsatz der ‚Zweckbindung‘ – Grundsatz der ‚Speicherbegrenzung‘ – Einrichtung einer Datenbank zur Durchführung von Tests und Behebung von Fehlern aus einer bestehenden Datenbank – Weiterverarbeitung der Daten – Vereinbarkeit der Weiterverarbeitung dieser Daten mit den Zwecken der ursprünglichen Erhebung – Speicherdauer nach Maßgabe dieser Zwecke“

In der Rechtssache C-77/21
https://curia.europa.eu/juris/document/document.jsf?text=&docid=267405&pageIndex=0&doclang=DE&mode=lst&dir=&occ=first&part=1&cid=357212

29      Was zweitens die Anforderung betrifft, dass die personenbezogenen Daten nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen, ist zum einen festzustellen, dass es eine „Weiterverarbeitung“ personenbezogener Daten darstellt, wenn der Verantwortliche in einer neu eingerichteten Datenbank personenbezogene Daten erfasst und speichert, die in einer anderen Datenbank gespeichert waren.

30      Der Begriff „Verarbeitung“ wird nämlich in Art. 4 Nr. 2 der Verordnung 2016/679 weit definiert als jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie u. a. das Erheben, das Erfassen und die Speicherung dieser Daten.

31      Außerdem stellt nach der üblichen Bedeutung des Worts „Weiterverarbeitung“ im allgemeinen Sprachgebrauch jede Verarbeitung personenbezogener Daten, die nach der ursprünglichen Verarbeitung – der ursprünglichen Erhebung dieser Daten – erfolgt, unabhängig von ihrem Zweck eine „Weiterverarbeitung“ dieser Daten dar.

Sobald personen-bezogene Daten also einmal erhoben sind, stellt jeder Vorgang mit diesen Daten eine Weiterverarbeitung im Sinne der DSGVO dar.

34      Liest man Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 1 Buchst. a und Art. 6 Abs. 4 der Verordnung 2016/679 zusammen, ergibt sich nämlich, dass sich die Frage der Vereinbarkeit der Weiterverarbeitung personenbezogener Daten mit den Zwecken, für die sie ursprünglich erhoben wurden, nur stellt, wenn die Zwecke dieser Weiterverarbeitung nicht mit denen der ursprünglichen Erhebung übereinstimmen.

35      Außerdem ist nach Art. 6 Abs. 4 dieser Verordnung in Verbindung mit deren 50. Erwägungsgrund, wenn die Verarbeitung für einen anderen Zweck als demjenigen, für den die Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, für die Feststellung, ob die Verarbeitung für einen anderen Zweck mit dem Zweck vereinbar ist, für den die personenbezogenen Daten ursprünglich erhoben wurden, u. a. zu berücksichtigen,

erstens ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht,

zweitens in welchem Kontext die personenbezogenen Daten erhoben wurden, insbesondere das Verhältnis zwischen den betroffenen Personen und dem Verantwortlichen,

drittens um welche Art von personenbezogenen Daten es sich handelt,

viertens welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und

fünftens ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen.

36      Wie der Generalanwalt in den Nrn. 28, 59 und 60 seiner Schlussanträge im Wesentlichen ausgeführt hat, spiegeln diese Kriterien die Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten wider und ermöglichen es, sich zu vergewissern, dass diese Weiterverarbeitung nicht von den legitimen Erwartungen der Abonnenten hinsichtlich der weiteren Verwendung ihrer Daten abweicht.

Daß eine hinreichend enge Verbindung zwischen dem Zweck der Erhebung von Meldedaten durch die Einwohnermeldeämter und der Weiterverarbeitung für den Zweck der Erhebung des Rundfunkbeitrages besteht, darf bezweifelt werden.

37      Wie der Generalanwalt in Nr. 27 seiner Schlussanträge im Wesentlichen hervorgehoben hat, ermöglichen es diese Kriterien als Drittes auch, die Wiederverwendung früher erhobener personenbezogener Daten einzugrenzen und dabei ein Gleichgewicht zwischen dem Erfordernis der Vorhersehbarkeit und der Rechtssicherheit in Bezug auf die Zwecke der Verarbeitung der zuvor erhobenen personenbezogenen Daten einerseits und der Anerkennung einer gewissen Flexibilität zugunsten des Verantwortlichen bei der Verwaltung dieser Daten andererseits sicherzustellen, und tragen damit zur Erreichung des im zehnten Erwägungsgrund der Verordnung 2016/679 genannten Ziels bei, ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten.

49      Zu diesem Zweck enthalten die Kapitel II und III der Verordnung 2016/679 die Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Person, die bei jeder Verarbeitung personenbezogener Daten beachtet werden müssen. Insbesondere muss jede Verarbeitung personenbezogener Daten mit den in Art. 5 dieser Verordnung festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten im Einklang stehen und in Anbetracht des in Art. 5 Abs. 1 Buchst. a vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Art. 6 dieser Verordnung aufgeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen (vgl. in diesem Sinne Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 96, und vom 24. Februar 2022, Valsts ie??mumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C-175/20, EU:C:2022:124, Rn. 50).

EuGH C-439/19 - DSGVO - Datenübertragung an Wirtschaftsteilnehmer unzulässig
https://gez-boykott.de/Forum/index.php?topic=35594.0

EuGH C-175/20 - DSGVO - Art 8 Charta, (Datenschutz), ist Super-Grundrecht
https://gez-boykott.de/Forum/index.php/topic,37343.msg222942.html#msg222942

57      Zum einen muss, wie sich aus Art. 6 der Verordnung 2016/679 ergibt, wenn die betroffene Person nicht gemäß Art. 6 Abs. 1 Buchst. a dieser Verordnung ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat, die Verarbeitung gemäß Buchst. b bis f dieses Absatzes eine Voraussetzung in Bezug auf die Erforderlichkeit erfüllen.

58      Zum anderen ergibt sich eine solche Voraussetzung der Erforderlichkeit auch aus dem in Art. 5 Abs. 1 Buchst. c dieser Verordnung vorgesehenen Grundsatz der „Datenminimierung“, wonach die personenbezogenen Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.

SCHLUSSANTRÄGE DES GENERALANWALTS
PRIIT PIKAMÄE
vom 31. März 2022(1)
Rechtssache C-77/21
https://curia.europa.eu/juris/document/document.jsf?text=&docid=256964&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=357212

28.      In seiner zweiten Komponente, die uns im vorliegenden Fall besonders interessiert, soll dieser Grundsatz die Grenzen festlegen, innerhalb deren personenbezogene Daten, die für einen bestimmten Zweck erhoben wurden, weiterverwendet werden dürfen. Gemäß Art. 5 Abs. 1 Buchst. b der DSGVO ist jede Verarbeitung nach der Erhebung als „Weiterverarbeitung“ zu betrachten und muss daher, von Ausnahmen abgesehen, das Erfordernis der Vereinbarkeit erfüllen(14). Letzteres spiegelt die Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und deren Weiterverarbeitung wider. Mit anderen Worten: Diese Verarbeitung darf nicht vom ursprünglichen Zweck der Datenerhebung losgelöst sein oder diesem widersprechen, ihr Inhalt muss mit dem Zweck der Erhebung vereinbar sein, unabhängig von jeglicher zeitlichen Problematik.