§ 4 Rechtsgrundlagen der Verarbeitung / 1. Weiterverarbeitung durch öffentliche Stellen, § 23 BDSG-Neu

Rz. 262

Mit § 23 Abs. 1 BDSG-Neu beschreibt der deutsche Gesetzgeber zugunsten öffentlicher Stellen insgesamt sechs Weiterverarbeitungssituationen, bei deren Vorliegen eine Weiterverarbeitung "unabhängig" von den in Art. 6 Absatz 4 DSGVO genannten Kriterien zulässig ist und es keiner gesonderten Feststellung bedarf, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist.^[342] Soweit von der Weiterverarbeitung besondere Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO betroffen sind, muss zusätzlich zu einem der in § 23 Abs. 1 Nr. 1 bis 6 BDSG-Neu genannten Ausnahmetatbestände ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO oder nach § 22 BDSG-Neu^[343] vorliegen (§ 23 Abs. 2 BDSG-Neu). Die einzelnen Ausnahmebestände werden nachfolgend näher beleuchtet.

[342] Hierzu BT-Drucks 18/11325 v. 24.2.2017, S. 96.

[343] Hierzu unter Rdn 304 ff.

a) Offensichtlich "mutmaßliche" Einwilligung in die Weiterverarbeitung, § 23 Abs. 1 Nr. 1 BDSG-Neu

Rz. 263

Nach § 23 Abs. 1 Nr. 1 BDSG-Neu soll die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, im Rahmen der Aufgabenerfüllung der öffentlichen Stelle zulässig sein, wenn "offensichtlich ist, dass die Weiterverarbeitung im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass sie in Kenntnis des anderen Zwecks ihre Einwilligung verweigern würde".

Rz. 264

Die Norm entspricht inhaltlich § 14 Abs. 2 Nr. 3 BDSG und wurde wörtlich in die neue Rechtslage transferiert. Inhaltlich sollen keine Änderungen zur bisherigen Rechtslage nach dem aktuellen BDSG verbunden sein. Die Norm bezieht sich also auf eine Verarbeitungssituation, die "nur" mit Einwilligung der betroffenen Person überhaupt möglich und zulässig ist, schreibt aber nicht vor, dass eine solche Einwilligung für den ursprünglichen Verarbeitungszweck streitet, noch wird die Notwendigkeit einer vorherigen Einholung einer Einwilligung vor (!) Weiterverarbeitung für erforderlich erklärt. § 23 Abs. 1 Nr. 1 BDSG-Neu stellt lediglich darauf ab, ob "offensichtlich" davon ausgegangen werden kann, dass die betroffene Person in Kenntnis des anderen Zwecks ihre Einwilligung nicht verweigern würde. Insoweit stützt sich die Weiterverarbeitung allein auf eine mutmaßliche und hypothetische Einwilligung der betroffenen Person. Es muss – vor dem Hintergrund der strengen Anforderungen an die Einwilligungserteilung nach den Vorgaben in Art. 6 Abs. 1 lit. a) DSGVO ernsthaft bezweifelt werden, dass eine solche Regelung als den Wesensgehalt der Grundrechte achtende und in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme i.S.d. Art. 23 Abs. 1 DSGVO angesehen werden kann. Eine Regelungsbefugnis dahingehend, die Anforderungen an eine Einwilligung derart aufzuweichen, enthält die DSGVO nicht.

Rz. 265

Inhaltlich muss die Weiterverarbeitung in einer für die betroffene Person lediglich vorteilhaften oder zumindest neutralen Maßnahme oder Entscheidung münden. Wie bislang auch, können alle Fälle, in denen die Weiterverarbeitung (auch) zu einem Nachteil für die betroffene Person führen könnte, nicht nach § 23 Abs. 1 Nr. 1 BDSG-Neu gerechtfertigt werden.^[344] Offensichtlichkeit im Sinne der Norm ist gegeben, wenn der "durchschnittlich aufmerksame Bedienstete der öffentlichen Stelle dies eindeutig und unschwer erkennen kann.^[345]"

[344] Gola/Klug/Körffer, in: Gola/Schomerus (Hrsg.), Bundesdatenschutzgesetz, 12. Aufl. 2015, § 14 BDSG Rn 17.

[345] Roggenkamp, in: Plath (Hrsg.), BDSG/DSGVO, 2. Aufl. 2017, § 14 BDSG Rn 11; Bergmann/Möhrle/Herb, BDSG, § 14 BDSG Rn 26.

b) Überprüfung von Angaben der betroffenen Person, § 23 Abs. 1 Nr. 2 BDSG-Neu

Rz. 266

Eine Weiterverarbeitung soll zudem – ohne weitere Zweckvereinbarungsprüfung – zulässig sein, wenn Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen. Die Regelung entspricht inhaltlich § 14 Abs. 2 Nr. 4 BDSG.^[346] Der Verdacht der Unrichtigkeit von Angaben muss auf tatsächlichen Anhaltspunkten beruhen, weswegen bloße Mutmaßungen ebenso wenig ausreichen, wie die Absicht, Tatsachen und Erkenntnisse erst zu ermitteln.^[347]

[346] Hierzu Gola/Klug/Körffer, in: Gola/Schomerus (Hrsg.), Bundesdatenschutzgesetz, 12. Aufl. 2015, § 14 BDSG Rn 18.

[347] Roggenkamp, in: Plath (Hrsg.), BDSG/DSGVO, 2. Aufl. 2017, § 14 BDSG Rn 12.

c) Abwehr erheblicher Nachteile für das Gemeinwohl oder Gefahr für die öffentliche Sicherheit, § 23 Abs. 1 Nr. 3 BDSG-Neu

Rz. 267

Eine Weiterverarbeitung soll weiterhin zulässig sein, wenn sie zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, zur Wahrung erheblicher Belange des Gemeinwohls oder zur Sicherung des Steuer- und Zollaufkommens erforderlich ist.^[348] Die Norm entspricht inhaltlich der bisherigen Regelung in § 14 Abs. 2 Nr. 6 BDSG.

[348] Zu den Anforderungen im Einzelnen unten § 5 Rdn 44 ff.

d) Verfolgung von Straftaten, Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen, § 23 Abs. 1 Nr. 4 BDSG-Neu

Rz. 268

Eine Weiterverarbeitung soll zudem zulässig sein, wenn sie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen i.S.d. § 11 Abs. 1 Nr. 8 S...