Rz. 261
Die Bundesregierung sieht in der Formulierung "beruht die Verarbeitung zu einem anderen Zweck […] nicht auf […] einer Rechtsvorschrift […] der Mitgliedstaaten" offenbar eine entsprechende "Öffnungsklausel", die es ihr ermöglicht, auf nationaler Ebene Rechtsnormen zu etablieren, die die Weiterverarbeitung auch ohne die in Art. 6 Abs. 4 DSGVO vorgesehene Interessenabwägung ermöglichen. In diesem Zusammenhang sind über das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU Weiterverarbeitungsermächtigungen in den §§ 23 und 24 BDSG-Neu aufgenommen worden. So soll die Weiterverarbeitung nach § 24 BDSG-Neu u.a. zulässig sein, wenn sie zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten oder zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist. In diesen Fällen soll die Weiterverarbeitung auch keine "Informationspflichten" gegenüber dem Betroffenen auslösen. Ob sich diese Öffnung durch den bundesdeutschen Gesetzgeber als europarechtlich zulässig erweist, ist äußerst fraglich. Die Beantwortung der Frage wird an dieser Stelle ausdrücklich offen gelassen und die Neuregelungen nachfolgend dargestellt werden.
1. Weiterverarbeitung durch öffentliche Stellen, § 23 BDSG-Neu
Rz. 262
Mit § 23 Abs. 1 BDSG-Neu beschreibt der deutsche Gesetzgeber zugunsten öffentlicher Stellen insgesamt sechs Weiterverarbeitungssituationen, bei deren Vorliegen eine Weiterverarbeitung "unabhängig" von den in Art. 6 Absatz 4 DSGVO genannten Kriterien zulässig ist und es keiner gesonderten Feststellung bedarf, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist. Soweit von der Weiterverarbeitung besondere Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO betroffen sind, muss zusätzlich zu einem der in § 23 Abs. 1 Nr. 1 bis 6 BDSG-Neu genannten Ausnahmetatbestände ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO oder nach § 22 BDSG-Neu vorliegen (§ 23 Abs. 2 BDSG-Neu). Die einzelnen Ausnahmebestände werden nachfolgend näher beleuchtet.
a) Offensichtlich "mutmaßliche" Einwilligung in die Weiterverarbeitung, § 23 Abs. 1 Nr. 1 BDSG-Neu
Rz. 263
Nach § 23 Abs. 1 Nr. 1 BDSG-Neu soll die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, im Rahmen der Aufgabenerfüllung der öffentlichen Stelle zulässig sein, wenn "offensichtlich ist, dass die Weiterverarbeitung im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass sie in Kenntnis des anderen Zwecks ihre Einwilligung verweigern würde".
Rz. 264
Die Norm entspricht inhaltlich § 14 Abs. 2 Nr. 3 BDSG und wurde wörtlich in die neue Rechtslage transferiert. Inhaltlich sollen keine Änderungen zur bisherigen Rechtslage nach dem aktuellen BDSG verbunden sein. Die Norm bezieht sich also auf eine Verarbeitungssituation, die "nur" mit Einwilligung der betroffenen Person überhaupt möglich und zulässig ist, schreibt aber nicht vor, dass eine solche Einwilligung für den ursprünglichen Verarbeitungszweck streitet, noch wird die Notwendigkeit einer vorherigen Einholung einer Einwilligung vor (!) Weiterverarbeitung für erforderlich erklärt. § 23 Abs. 1 Nr. 1 BDSG-Neu stellt lediglich darauf ab, ob "offensichtlich" davon ausgegangen werden kann, dass die betroffene Person in Kenntnis des anderen Zwecks ihre Einwilligung nicht verweigern würde. Insoweit stützt sich die Weiterverarbeitung allein auf eine mutmaßliche und hypothetische Einwilligung der betroffenen Person. Es muss – vor dem Hintergrund der strengen Anforderungen an die Einwilligungserteilung nach den Vorgaben in Art. 6 Abs. 1 lit. a) DSGVO ernsthaft bezweifelt werden, dass eine solche Regelung als den Wesensgehalt der Grundrechte achtende und in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme i.S.d. Art. 23 Abs. 1 DSGVO angesehen werden kann. Eine Regelungsbefugnis dahingehend, die Anforderungen an eine Einwilligung derart aufzuweichen, enthält die DSGVO nicht.
Rz. 265
Inhaltlich muss die Weiterverarbeitung in einer für die betroffene Person lediglich vorteilhaften oder zumindest neutralen Maßnahme oder Entscheidung münden. Wie bislang auch, können alle Fälle, in denen die Weiterverarbeitung (auch) zu einem Nachteil für die betroffene Person führen könnte, nicht nach § 23 Abs. 1 Nr. 1 BDSG-Neu gerechtfertigt werden. Offensichtlichkeit im Sinne der Norm ist gegeben, wenn der "durchschnittlich aufmerksame Bedienstete der öffe...