David Klein - DS-GVO/BDSG

7

§ 23 BDSGist die zentrale und allgemeine Rechtsgrundlage für die im Vergleich zur Erhebung zweckverschiedene Datenverarbeitung durch öffentliche Stellen.[656]

8

Da § 25auch Übermittlungen erfasst, die zu einem anderen als dem Erhebungszweck erfolgen (vgl. Rn. 19 f.), regelt § 25 BDSGden Spezialfall der zweckändernden Übermittlungvon Daten innerhalb des BDSG abschließend und verdrängt die allgemeine Norm des § 23 BDSGin diesem Fall. § 25 Abs. 1 S. 1 und Abs. 2 S. 1 BDSG sind lex specialisggü. § 23 BDSG.

9

§ 25 Abs. 1 S. 2 und 3 wiederholen lediglich deklaratorischdie besonderen Anforderungen, die das BDSG in § 23 BDSGan eine Zweckänderung stellt, verdrängen diesen insofern nicht.

10

§ 25 Abs. 2 S. 2 BDSG normiert, anders als die übrigen Regelungen des § 25 BDSG, einen Zulässigkeitstatbestand für nichtöffentliche Stellen und steht insofern nicht in Konkurrenz zu § 23 BDSG, sondern zu § 24 BDSG. Dieser enthält eine allgemeine nationale Rechtsgrundlage für zweckändernde Datenverarbeitung durch nichtöffentliche Stellen.[657]

11

§ 25 Abs. 2 S. 2 BDSGerfasst die zweckändernde Weiterverarbeitung beim nichtöffentlichen Empfänger. Da Abs. 2 S. 2 BDSGinsofern, wie S. 1, einen speziellen Fall der Datenverarbeitung regelt, stellt er eine den § 24 BDSGverdrängende Sonderregel für den hier normierten Fall der Verarbeitung zu geänderten Zwecken dar.[658]

12

§ 25 Abs. 1 BDSGnormiert einen Zulässigkeitstatbestand für die Datenübermittlung durch öffentliche Stellen an andere öffentliche Stellen und wiederholt sodann deklaratorisch die Voraussetzungen einer zweckändernden Weiterverarbeitung beim Empfänger nach der Datenübermittlung.

13

§ 25 Abs. 1 S. 1 BDSGschafft einen Zulässigkeitstatbestand für die Datenübermittlung zwischen öffentlichen Stellen; erfasst ist sowohl die Übermittlung zum Erhebungszweck als auch die zweckändernde Datenübermittlung.

14

Wer öffentliche Stelleist, bestimmt § 2 BDSG. Zu beachten ist insoweit, dass nach § 2 Abs. 5 BDSGöffentlich-rechtliche Unternehmen, die am Wettbewerb teilnehmen, als nichtöffentliche Stellen zu behandeln sind; werden Daten an diese übermittelt liegt insofern eine Übermittlung i.S.d. Abs. 2vor.

15

Die Übermittlungi.S.d. § 25 BDSGmeint wie unter dem BDSG a.F. das zur Verfügungstellen von Daten durch Weitergabe oder das Schaffen einer Abrufmöglichkeit.[659] Tatbestandlich erforderlich ist hierfür, wie auch der Wortlaut verdeutlicht, eine Übermittlung an einen Dritten( Art. 4 Nr. 10).

16

Ein Dritter liegt im Lichte des, nach der hier vertretenen Auffassung anzuwendenden, funktionalen Behördenbegriffes schon dann vor, wenn eine Fachabteilung einer Behörde Daten an eine andere Abteilung übermittelt.[660]

17

Nicht von § 25 BDSGerfasst ist hingegen die Veröffentlichung von Informationen, bspw. das Publizieren der Empfänger von Agrarsubventionen im Internet. Schließlich ist die Allgemeinheit nicht Dritter i.S.d. Art. Nr. 10. Die Veröffentlichung von Informationen rechtfertigt sich daher über § 3 BDSG.

18

Werden die Daten von vornherein zwecks Übermittlung an eine andere Stelle erhoben, ist der zukünftige Empfänger regelmäßig sowohl für den Erhebungsprozess als auch für den Übermittlungsprozess (mit-)verantwortlich ( Art. 4 Nr. 7).[661] Da es sich beim (Mit-)Verantwortlichen nicht um einen Dritten i.S.d. Art. 4 Nr. 10handeln kann, stellt die Weitergabe von Daten an den (mit-)verantwortlichen keine Übermittlung in diesem Sinne dar und unterfällt nicht dem Anwendungsbereich des § 25 BDSG. Insofern muss auch für die Offenlegung von Daten an den (Mit-)Verantwortlichen auf § 3 BDSGzurückgegriffen werden.

19

Aus dem Verweis auf die Voraussetzungen des § 23in den Tatbeständen beider Absätze ergibt sich, dass nach § 25 BDSGauch zweckänderndeÜbermittlungen zulässig sind.[662] Der Gesetzgeber hat zudem in der Gesetzesbegründung ausdrücklich klargestellt, dass die Norm eine nationale Rechtsgrundlage für Datenübermittlung schafft, „soweit diese zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, erfolgt“.

20

Dies erscheint sachgerecht, da eine Datenübermittlung an einen Dritten typischerweise mit einer Zweckänderung verbunden ist. Schließlich liegt eine Zweckänderung immer dann vor, wenn die öffentliche Stelle Daten an einen (neuen) Empfänger übermittelt, ohne dass dies im Zeitpunkt der Datenerhebung bereits beabsichtigt gewesen ist. War eine Übermittlung hingegen bereits bei Datenerhebung beabsichtigt, liegt regelmäßig schon keine Übermittlung an einen Dritten vor (vgl. Rn. 18).

21

Die Übermittlung muss dem Wortlaut zufolge zur Erfüllung einer Aufgabe der übermittelnden (Var. 1) oder empfangenden (Var. 2) öffentlichen Stelle erfolgen und den Voraussetzungen des § 23zur Zweckänderung entsprechen.

22

Soweit die Übermittlung Aufgabendient, die in den Zuständigkeitsbereich der übermittelnden Behördefallen ( § 25 Abs. 1 S. 1 Var. 1 BDSG), entsprechen die Voraussetzungen des § 25 BDSGdenen aus § 3 BDSG. Insoweit kann auf dessen Kommentierung verwiesen werden.[663] Allerdings liegt, wenn die Daten im Interesse der entsendenden Stelle übermittelt werden, etwa durch das statistische Bundesamt an (öffentliche) Betreiber von Computerprogrammen zur automatischen Auswertung der erhobenen Daten, eine Übermittlung i.S.d. § 25 BDSGnur im Ausnahmefall vor. Da die entsendende Behörde die Verantwortlichkeit für die Datenverarbeitung hier typischerweise nicht aus der Hand gibt, ist der Empfänger der Daten hier regelmäßig „lediglich“ Auftragsverarbeiter i.S.d. Art. 4 Nr. 8oder Mitverantwortlicher nach Art. 4 Nr. 7und damit kein Dritter i.S.d. Art. 4 Nr. 10.[664]

23

Der besondere Regelungsgehalt der Norm ist die Schaffung eines Zulässigkeitstatbestandes für die Übermittlung von Daten zugunsten einer Aufgabe des Empfängers( § 25 Abs. 1 S. 1 Var. 1 BDSG), was in der Praxis den Regelfall darstellen dürfte. Von einer Legitimation ist in diesem Falle auszugehen, wenn sich die Aufgabe, zu deren Erfüllung die Übermittlung vorgenommen wird, auf eine gesetzliche Aufgabenzuweisung stützen lässt, die den Empfänger als zuständig ausweist, und der Empfang der Daten hinsichtlich Art und Umfang von der Aufgabenerfüllung mit umfasst ist.[665] Die Verarbeitung der Daten muss zudem zur Erfüllung der entsprechenden Aufgabe erforderlichsein ( § 25 S. 1 BDSG). Dies ist nur dann anzunehmen, wenn die übertragene Aufgabe ohne Kenntnis der jeweiligen Daten nicht, nicht vollständig oder nicht in rechtmäßiger Art und Weise ausgeführt werden kann.[666]

24

Zudem müssten dem Wortlaut zufolge neben den Voraussetzungendes § 25 BDSGdiejenigen des § 23 BDSG zur Zweckänderungerfüllt sein. Dies würde bedeuten, die Übermittlungsmöglichkeiten zwischen Behörden wären, unabhängig vom Vorliegen einer Zweckänderung, auf die in § 23 Abs. 1 BDSGgeregelten Fälle beschränkt und daher im Vergleich zur bisherigen Regelung im § 15 BDSG a.F. verkürzt.[667] Ausweislich der Gesetzbegründung wollte der Gesetzgeber aber durch § 25 BDSGausdrücklich dem Regelungsgehalt der §§ 15, 16 BDSG a.F. entsprechende Zulässigkeitstatbestände schaffen.[668] Dementsprechend gilt der in § 25 Abs. 1 S. 1 BDSGenthaltene Verweis auf § 23 BDSGentgegen des Wortlauts lediglich für Fälle zweckändernder Übermittlung. Im Übrigen ist der Verweis teleologisch zu reduzierenund ist insoweit auf Fälle, in denen der Übermittlungs- dem Erhebungszweck entspricht, nicht anzuwenden. Diese stellen allerdings in der Praxis eine seltene Ausnahme dar (vgl. Rn. 20).[669]