David Klein - DS-GVO/BDSG

(1) 1Die Übermittlung personenbezogener Daten durch öffentliche Stellen an öffentliche Stellen ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit der übermittelnden Stelle oder des Dritten, an den die Daten übermittelt werden, liegenden Aufgaben erforderlich ist und die Voraussetzungen vorliegen, die eine Verarbeitung nach § 23zulassen würden. 2Der Dritte, an den die Daten übermittelt werden, darf diese nur für den Zweck verarbeiten, zu dessen Erfüllung sie ihm übermittelt werden. 3Eine Verarbeitung für andere Zwecke ist unter den Voraussetzungen des § 23zulässig.

(2) 1Die Übermittlung personenbezogener Daten durch öffentliche Stellen an nichtöffentliche Stellen ist zulässig, wenn

und der Dritte sich gegenüber der übermittelnden öffentlichen Stelle verpflichtet hat, die Daten nur für den Zweck zu verarbeiten, zu dessen Erfüllung sie ihm übermittelt werden. 2Eine Verarbeitung für andere Zwecke ist zulässig, wenn eine Übermittlung nach Satz 1 zulässig wäre und die übermittelnde Stelle zugestimmt hat.

(3) Die Übermittlung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679ist zulässig, wenn die Voraussetzungen des Absatzes 1 oder 2 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 2016/679oder nach § 22vorliegen.

A. Einordnung und Hintergrund1 – 3

B.Kommentierung4 – 39

I. Verhältnis zu §§ 3 und 23, 24 BDSG4 – 11

1. Verhältnis zu § 3 BDSG5, 6

2. Verhältnis zu § 23 BDSG7 – 9

3. Verhältnis zu § 24 BDSG10, 11

II. Datenübermittlung an öffentliche Stellen (§ 25 Abs. 1 BDSG)12 – 26

1.§ 25 Abs. 1 S. 1 BDSG: Zulässigkeit der Datenübermittlung13 – 25

a) Regelungsbereich13 – 20

b) Zulässigkeitstatbestände21 – 25

2. § 25 Abs. 1 S. 2, 3 BDSG: Zweckändernde Weiterverarbeitung26

III. Datenübermittlung an nicht öffentliche Stellen (§ 25 Abs. 2 BDSG)27 – 37

1. § 25 Abs. 2 S. 1 BDSG: Zulässigkeit der Datenübermittlung28 – 34

2. § 25 Abs. 2 S. 2 BDSG: Zweckändernde Weiterverarbeitung35 – 37

IV. Datenübermittlung besonderer Kategorien (§ 25 Abs. 3 BDSG)38

V. Benachrichtigungspflichten bei zweckändernder Übermittlung39

Literatur:

Schwartmann / Hermann / Mühlenbeck Datenschutzrechtliche Zulässigkeit der Kenntlichmachung des Entzugs eines Doktorgrades in (Online-)Bibliotheken, 2018.

1

§ 25 BDSGregelt einen Zulässigkeitstatbestand für die Datenübermittlung durch öffentliche Stellensowohl an andere öffentliche ( Abs. 1 S. 1) als auch an nichtöffentliche Stellen ( Abs. 2 S. 1). Abs. 1 S. 2und 3sowie Abs. 2 S. 2enthalten Regelungen, teilweise deklaratorischer Natur, die zweckändernde Weiterverarbeitungbeim Empfänger nach der Datenübermittlung betreffend. § 25 Abs. 3 BDSGwiederholt die Bestimmungen des Art. 9hinsichtlich sensibler Datenund hat insoweit keinen eigenständigen Regelungsgehalt. Die Bestimmungen wurden größtenteils wörtlich aus Regelungen des BDSG a.F. übernommen. Da diese naturgemäß nicht auf die DS-GVO Bezug nahmen und ihnen andere Begriffsdefinitionen zugrunde lagen, lässt sich der Regelungsinhalt der Norm dem Wortlaut teilweise nicht ohne weiteres entnehmen und macht vor allem eine Berücksichtigung des gesamten Regelungskomplexes zur zweckändernden Verarbeitung erforderlich.[651]

2

Unterschiedlich beurteilt wird auch, in Umsetzung welches Gestaltungsspielraums der Gesetzgeber beim Erlass der Norm gehandelt haben könnte. Der Gesetzgeber geht ausweislich der Gesetzesbegründung zu §§ 23, 24 BDSGdavon aus, Art. 6 Abs. 4enthalte eine Öffnungsklauselfür die Normierung von Rechtfertigungstatbeständen hinsichtlich zweckändernder Datenverarbeitung. Auf eine solche könnte sich der Gesetzgeber auch hinsichtlich der Regelungen des § 25 BDSGberufen, der seiner Ansicht nach eine nationale Rechtsgrundlage lediglich für die Datenübermittlung durch öffentliche Stellen schafft, „soweit diese zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, erfolgt“. Richtigerweise ist jedoch davon auszugehen, dass Mitgliedstaaten die Zulässigkeit einer Datenverarbeitung im Hinblick auf die Zweckbindung nur dann im Rahmen einer Öffnungsklausel ausgestalten können, wenn ihnen bereits die inhaltliche Regelungsbefugnis für die ursprüngliche Datenverarbeitung zukommt. Andernfalls bestünde die erhebliche Gefahr der Absenkung des Schutzstandards der DS-GVO, wenn extensiv auf mitgliedstaatlicher Ebene zulässige Zweckänderungen (etwa auch im nichtöffentlichen Bereich) festgelegt werden könnten.[652] Insoweit kommt als Öffnungsklausel nur Art. 6 Abs. 1 lit. e , Abs. 2 , 3 in Betracht.

3

Art. 6 Abs. 1 lit. e, Abs. 2, 3erlaubt dem Gesetzgeber, Regelungen zu erlassen, die für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt, erforderlich sind. Insofern lassen sich zwar § 25 Abs. 1sowie Abs. 2 Nr. 1 BDSGproblemlos legitimieren, nicht jedoch § 25 Abs. 2 Nr. 2und 3 BDSG. § 25 Abs. 2 Nr. 2 BDSGschafft einen Zulässigkeitstatbestand für die Datenübermittlung an nichtöffentliche Stellen, insofern die empfangende nichtöffentliche Stelle an dieser ein berechtigtes Interesse hat. Im Lichte des Art. 6 Abs. 1 lit. eist die Regelung insofern unionsrechtskonformdahingehend auszulegen, dass der Tatbestand nur dann erfüllt ist, wenn das Informationsbegehren des Dritten einer Aufgabe dient, die (auch) im öffentlichen Interesseliegt. Ebenso verhält es sich mit § 25 Abs. 2 Nr. 3 BDSG. So ist die Geltendmachung rechtlicher Ansprüche nur dann tauglicher Rechtfertigungsgrund für eine Datenübermittlung, wenn sie im öffentlichen Interesse erfolgt. Da Abs. 2 S. 2für eine zweckändernde Weiterverarbeitung auf die Voraussetzungen des S. 1verweist, ergibt sich für diesen dasselbe Ergebnis.

4

Für das Verständnis des Regelungsgehaltes der Norm ist vor allem ihr Zusammenspiel mit den §§ 3und 22–24 BDSGbedeutsam.

5

§ 3 BDSGnormiert eine allgemeine und subsidiäre Rechtsgrundlage für die Datenverarbeitung durch öffentliche Stellen.[653] § 25 Abs. 1 S. 1und Abs. 2 S. 1 BDSGschaffen spezielle Zulässigkeitstatbestände hinsichtlich der Datenübermittlung durch öffentliche Stellenals eine Form der Datenverarbeitung und verdrängen den § 3 BDSGinsofern im Wege der Spezialität. [654]

6

Zu beachten ist jedoch, dass in der Praxis an den Vorgang der Datenübermittlung notwendigerweise die Datenverarbeitung beim Empfängeranschließt, welche schon mit der Empfangnahme der Daten bzw. deren Speicherung beginnt. Da § 25 Abs. 1 BDSGkeinen Rechtfertigungsgrund für die Weiterverarbeitung beim Empfänger enthält, kann im Falle des Abs. 1(bei der Übermittlung an eine andere öffentliche Stelle) für die Rechtfertigung der Datenverarbeitung der empfangenden Behörde prinzipiell auf die allgemeine Rechtsgrundlage des § 3 BDSGzurückgegriffen werden.[655] Im Falle des Abs. 2(bei der Übermittlung an einer nichtöffentliche Stelle) kommt § 3 BDSG, da er hinsichtlich nichtöffentlicher Stellen keine Anwendung findet, als Rechtfertigungstatbestand für die Datenverarbeitung beim Empfänger nicht in Betracht. Zu denken ist hier neben § 25 Abs. 2 S. 1insbesondere an Art. 6.