Die französische Datenschutzbehörde (CNIL) publizierte am 12. Januar 2022 eine Guideline, ob und unter welchen Voraussetzungen ein Auftragsverarbeiter die Daten, die er von einem für die Verarbeitung Verantwortlichen erhält, für eigene Zwecke wiederverwenden kann. Für die Praxis stellen sich einige schwierige Umsetzungsfragen: Nach den Ausführungen CNIL müssen drei Voraussetzungen erfüllt sein, insbesondere eine schriftliche Vereinbarung mit dem Auftragsverarbeiter über die Weiterverwendung von Daten, einen im Einzelfall durch den ursprünglichen Verantwortlichen durchzuführenden Kompatibilitätstest nach Artikel 6(4) DSGVO und schliesslich einer Informationspflicht des ursprünglich Verantwortlichen an die betroffenen Personen über die Weiterverarbeitung.