David Klein - DS-GVO/BDSG

25

Hinsichtlich der nach § 23 BDSGerforderlichen Voraussetzungen kann auf dessen Kommentierung verweisen werden.[670]

26

§ 25 Abs. 1 S. 2und 3 BDSGbestimmen deklaratorisch, dass eine Weiterverarbeitung beim Empfänger für Zwecke, die nicht dem, typischerweise bereits vom Erhebungszweck abweichenden, Übermittlungszweck entsprechen, nur zulässig ist, wenn die Voraussetzungen des § 23 BDSGerfüllt sind. § 25 Abs. 1 S. 2 BDSGwiederholt insoweit die prinzipielle Zweckbindung, die sich seit Inkrafttreten der DS-GVO schon aus Art. 5 Abs. 1 lit. bergibt. § 25 Abs. 1 S. 3 BDSGwiederholt unter Verweis auf § 23 BDSGdie besonderen Anforderungen die das BDSGhier ohnehin an eine Zweckänderung durch öffentliche Stellen stellt. Insofern kann auf die Kommentierungen des § 23 BDSGverwiesen werden.[671]

27

Nach § 25 Abs. 2 S. 1 BDSGist die Übermittlung personenbezogener Daten an nichtöffentliche Stellen zulässig, wenn sie zur Aufgabenerfüllung der Behörde erforderlich ist und die Voraussetzungen des § 23 BDSGerfüllt sind, das Interesse des empfangenden Dritten an der Kenntnis der Daten ein gegenläufiges Interesse der betroffenen Person überwiegt oder sie der Rechtsdurchsetzung dient. Die Norm unterscheidet insofern zwischen einer Übermittlung im Interesse der Behörde ( Nr. 1), der nur im Einzelfall zulässigen Übermittlung im Interesse des Dritten ( Nr. 2) sowie der Übermittlung zugunsten der Durchsetzung rechtlicher Ansprüche ( Nr. 3).

28

Wer nichtöffentliche Stellein diesem Sinne ist, ergibt sich aus § 2 BDSG. Für eine Übermittlungist, dem Abs. 1entsprechend, erforderlich, dass der Empfänger der Daten Dritter i.S.d. Art. 4 Nr. 10ist (vertiefend zum Regelungsgehalt der Norm Rn. 15 ff.).

29

Soweit die Übermittlung nach § 25 Abs. 2 Nr. 1 BDSG Aufgaben dient, die in den Zuständigkeitsbereich der übermittelnden Behörde fallen, entsprechen die Voraussetzungen denen aus § 3 BDSG. Insoweit kann auf dessen Kommentierung verwiesen werden.[672]

30

Eine Zulässigkeit nach § 25 Abs. 2 Nr. 1 BDSGwird in der Praxis die Ausnahme darstellen. Schließlich liegt, insofern die Daten im Interesse der entsendenden Stelle offengelegt werden, etwa durch das statistische Bundesamt an (private) Betreiber von Computerprogrammen zur automatischen Auswertung der erhobenen Daten, typischerweise keine Übermittlung i.S.d. § 25 BDSGvor. Da die entsendende Behörde die Verantwortlichkeit für die Datenverarbeitung hier typischerweise nicht aus der Hand gibt, ist der Empfänger der Daten regelmäßig „lediglich“ Auftragsverarbeiter i.S.d. Art. 4 Nr. 8oder Mitverantwortlicher nach Art. 4 Nr. 7und damit kein Dritter i.S.d. Art. 4 Nr. 10.

31

Die Übermittlung gestützt auf § 25 Abs. 2 Nr. 2 BDSG erfordert eine Abwägungzwischen dem Interesse des Dritten und dem Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG bzw. dem von Art. 8 GRCh verbürgten Datenschutzgrundrecht imjeweiligen Einzelfall.[673] Zu berücksichtigen sind hier die rechtlichen, wirtschaftlichen und sozialen Folgen, die sich aus der Datenverarbeitung ergeben können, sowie der Wille des Betroffenen, falls bekannt.[674] Das Erfordernis der Glaubhaftmachungder Interessen des Dritten ermöglicht der öffentlichen Stelle diese notwendige Abwägung. Hinsichtlich schutzwürdiger Betroffeneninteressen gilt der Amtsermittlungsgrundsatz aus § 24 VwVfG.[675]

32

§ 25 Abs. 2 Nr. 3 BDSG erlaubt eine Datenübermittlung zugunsten der Durchsetzung rechtlicher Ansprüche. Erfasst ist nicht nur die Geltendmachung rechtlicher Ansprüche im gerichtlichen Verfahren, sondern auch die außergerichtliche Durchsetzung; außerdem, anders als im § 24 Abs. 1 Nr. 2 BDSG, nicht lediglich zivilrechtliche Ansprüche.[676]

33

Nach der hier vertretenen Auffassung sind die Tatbestände des § 25 Abs. 2 Nr. 2 und 3 BDSGunionsrechtskonform dahingehend auszulegen, dass der Dritte für eine Zulässigkeit nach Nr. 2zugunsten eines öffentlichen Interesses(etwa der allgemeinen Gesundheitsvorsorge) handeln muss bzw. die Rechtsdurchsetzung für eine Zulässigkeit nach Nr. 3einem öffentlichen Interesse dienen muss (vgl. Rn. 3).

34

Alle drei Varianten erfordern zudem, dass sich der Dritte gegenüber der öffentlichen Stelle verpflichtet, die Daten nur für den Übermittlungszweck zu verarbeiten. Da sich die Bindung an den Übermittlungszweck schon aus dem Zweckbindungsgrundsatz des Art. 5 Abs. 1 lit. bergibt, regelt die Norm konstitutiv nur den Zwang sich dieser Bindung auch gegenüber der Behörde zu verpflichten. Die rechtliche Bedeutung ist unklar. Die Erklärung könnte etwa als rechtsgeschäftliche Willenserklärung Ansprüche der Behörde gegenüber dem Empfänger begründen.[677]

35

§ 25 Abs. 2 S. 2 BDSGbestimmt, dass eine Weiterverarbeitung der Daten durch den Empfänger zu anderen Zwecken als denjenigen, die der ursprünglichen Übermittlung zugrunde lagen, (nur) dann zulässig ist, wenn eine Übermittlung durch die öffentliche Stelle auch zu den neuen Zwecken hätte erfolgen dürfen (die Voraussetzungen des S. 1 erfüllt wären) und die übermittelnde Behörde der Zweckänderung zustimmt. Möchte die nichtöffentliche Stelle also Daten, die sie zur Rechtsdurchsetzung erhalten hat, für statistische Zwecke nutzen, muss die Behörde, welche die Daten erhoben und dem Dritten übermittelt hat, dieser Änderung zustimmen. Außerdem müsste eine (neue) Datenübermittlung zu statistischen Zwecken durch die öffentliche Stelle zulässig sein.

36

Insofern ist eine Anfragebei der Behörde, welche die Daten ursprünglich übermittelte, erforderlich, die von dieser inhaltlich wie ein neues Übermittlungsersuchen zu behandeln ist. Das Erfordernis der Anfrage erscheint insbesondere angesichts der nach § 25 Abs. 2 S. 1 BDSGerforderlichen, verpflichtenden Erklärung des Dritten gegenüber der Behörde, von einer zweckändernden Verarbeitung abzusehen, sachgerecht.[678]

37

§ 25 Abs. 2 S. 2 BDSGbestimmt nicht nur Anforderungen, die an eine Zweckänderung zu stellen sind, sondern enthält vor allem einen Zulässigkeitstatbestand für die Weiterverarbeitung, insofern diese Anforderungen erfüllt sind. Insoweit normiert der Abs. 2 S. 2für die zweckändernde Weiterverarbeitung nach einem Übermittlungsvorgang einen eigenen (engen) Zulässigkeitstatbestand, der es dem Empfänger verbietet, sich hierüber hinaus auf den allgemeinen Rechtfertigungsgrund des § 24 BDSGzu berufen.

38

Eine Übermittlung sog. sensibler Daten ( Art. 9 Abs. 1) ist nach § 25 Abs. 3 BDSGnur zulässig, wenn neben den Voraussetzungen des § 25 Abs. 1oder 2 BDSGein Ausnahmetatbestand nach Art. 9 Abs. 2oder § 22 BDSGvorliegt. Auch Art. 9 Abs. 1enthält ein prinzipielles Verarbeitungsverbot, von welchem in den in Abs. 2geregelten Fällen[679] oder nach § 22 BDSG, der sich wiederum auf die Öffnungsklausel des Art. 9 Abs. 2stützt, abgewichen werden kann.[680] § 25 Abs. 3 BDSGwiederholt insofern lediglich deklaratorischdie ohnehin geltenden Ausnahmeregelungen für die Verarbeitung von besonders sensiblen Daten für den Fall der Datenübermittlung.[681]