§ 4 Rechtsgrundlagen der Verarbeitung / H. Zweckändernde Weiterverarbeitung

I. Art. 6 Abs. 4 DSGVO

Rz. 258

Im Rahmen der zweckändernden Weiterverarbeitung^[336] normiert Art. 6 Abs. 4 DSGVO einige Erleichterungen für den Verantwortlichen. So soll diese, ohne, dass es hierfür einer gesonderten, neuen Rechtsgrundlage bedarf, zulässig sein, wenn die Verarbeitung zu dem neuen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist. Unter anderem darauf abgestellt werden,

▪	ob eine Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht,
▪	ob der neue Verarbeitungszweck unter Berücksichtigung des ursprünglichen Zusammenhangs, in dem die personenbezogenen Daten erhoben wurden, für den Betroffenen vorhersehbar ist,
▪	welche Arten von personenbezogenen Daten von der Weiterverarbeitung betroffen sind,
▪	welche Folgen die Weiterverarbeitung für die betroffene Person haben kann und
▪	welche Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören vom Verantwortlichen im Rahmen der Weiterverarbeitung etabliert werden.

Rz. 259

Die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke soll grundsätzlich als rechtmäßiger Verarbeitungsvorgang gelten.^[337] Die in Art. 6 Abs. 4 DSGVO genannten Beurteilungskriterien sind nicht abschließend, so dass im Einzelfall weitere Abwägungsgesichtspunkte hinzutreten können.^[338]

Rz. 260

Im Falle der Weiterverarbeitung leben die Informationspflichten nach Art. 13, 14 DSGVO erneut auf.^[339]

[336] Zum Begriff und Anwendungsbereich bereits oben Rdn 145 ff.

[337] Erwägungsgrund 50 DSGVO.

[338] Frenzel, in: Paal/Pauly (Hrsg.), Datenschutz-Grundverordnung, 2017, Art. 6 Rn 48 ff.

[339] Erwägungsgrund 61 DSGVO: "Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck zu verarbeiten als den, für den die Daten erhoben wurden, so sollte er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und andere erforderliche Informationen zur Verfügung stellen.", hierzu ausführlich § 5 Rdn 88 ff.

II. Weiterverarbeitungsbefugnisse im BDSG-Neu

Rz. 261

Die Bundesregierung sieht in der Formulierung "beruht die Verarbeitung zu einem anderen Zweck […] nicht auf […] einer Rechtsvorschrift […] der Mitgliedstaaten" offenbar eine entsprechende "Öffnungsklausel", die es ihr ermöglicht, auf nationaler Ebene Rechtsnormen zu etablieren, die die Weiterverarbeitung auch ohne die in Art. 6 Abs. 4 DSGVO vorgesehene Interessenabwägung ermöglichen. In diesem Zusammenhang sind über das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU^[340] Weiterverarbeitungsermächtigungen in den §§ 23 und 24 BDSG-Neu aufgenommen worden. So soll die Weiterverarbeitung nach § 24 BDSG-Neu u.a. zulässig sein, wenn sie zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten oder zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist. In diesen Fällen soll die Weiterverarbeitung auch keine "Informationspflichten" gegenüber dem Betroffenen auslösen.^[341] Ob sich diese Öffnung durch den bundesdeutschen Gesetzgeber als europarechtlich zulässig erweist, ist äußerst fraglich. Die Beantwortung der Frage wird an dieser Stelle ausdrücklich offen gelassen und die Neuregelungen nachfolgend dargestellt werden.

[340] Hierzu BT-Drucks 18/11325 v. 24.2.2017, in der Fassung der vom Bundestag beschlossenen Beschlussempfehlung des Innenausschusses, BT-Drucks 18/12084 v. 25.4.2017, hierzu auch Plenarprotokoll BT-PlPr 18/231, S. 23306D.

[341] §§ 32, 33 BDSG-NEU, BT-Drucks 18/11325 v. 24.2.2017, in der Fassung der vom Bundestag beschlossenen Beschlussempfehlung des Innenausschusses, BT-Drucks 18/12084 v. 25.4.2017, hierzu auch Plenarprotokoll BT-PlPr 18/231, S. 23306D.

1. Weiterverarbeitung durch öffentliche Stellen, § 23 BDSG-Neu

Rz. 262

Mit § 23 Abs. 1 BDSG-Neu beschreibt der deutsche Gesetzgeber zugunsten öffentlicher Stellen insgesamt sechs Weiterverarbeitungssituationen, bei deren Vorliegen eine Weiterverarbeitung "unabhängig" von den in Art. 6 Absatz 4 DSGVO genannten Kriterien zulässig ist und es keiner gesonderten Feststellung bedarf, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist.^[342] Soweit von der Weiterverarbeitung besondere Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO betroffen sind, muss zusätzlich zu einem der in § 23 Abs. 1 Nr. 1 bis 6 BDSG-Neu genannten Ausnahmetatbestände ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO oder nach § 22 BDSG-Neu^[343] vorliegen (§ 23 Abs. 2 BDSG-Neu). Die einzelnen Ausnahmebestände werden nachfolgend näher beleuchtet.

[342] Hierzu BT-Drucks 18/11325 v. 24.2.2017, S. 96.

[343] Hierzu unter Rdn 304 ff.

a) Offensichtlich "mutmaßliche" Einwilligung in die Weiterverarbeitung, § 23 Abs. 1 Nr. 1 BDSG-Neu

Rz. 263

Nach § 23 Abs. 1 Nr. 1 BDSG-Neu soll die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, im Rahmen der Aufgabenerfüllung der öffentlichen ...