Читать книгу Praxishandbuch DSGVO - Tobias Rothkegel - Страница 90

139

Zunächst ist eine Zweckänderung zulässig, wenn eine (spezielle) Rechtsvorschrift (i) der EU oder (ii) eines Mitgliedstaates zum Schutz der in Art. 23 Abs. 1 DSGVO genannten Ziele die Verarbeitung der personenbezogenen Daten zu einem anderen Zweck erlaubt.

140

Der bundesdeutsche Gesetzgeber hat von dieser Öffnungsklausel in §§ 23 und 24 BDSG Gebrauch gemacht.210 Außerdem hat er für den Fall der Videoüberwachung öffentlich zugänglicher Räume gem. § 4 Abs. 3 S. 2 BDSG besondere Regelungen zur Zweckänderung getroffen.

Nationale Regelungen in Deutschland

1. § 24 BDSG: Zweckänderung

141

Der deutsche Gesetzgeber hat in § 24 BDSG eine Erlaubnis für die Verarbeitung von Daten zu einem anderen Zweck normiert. § 24 Abs. 1 BDSG regelt die Verarbeitung „normaler“ personenbezogener Daten durch nicht-öffentliche Stellen, wie privatwirtschaftliche Unternehmen, zu einem anderen Zweck und § 24 Abs. 2 BDSG die Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO.211

142

Nach § 24 Abs. 1 BDSG dürfen Verantwortliche212 personenbezogene Daten zu einem anderen Zweck als dem, für welchen sie erhoben wurden, verarbeiten, wenn

 1. die Verarbeitung zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist oder

 2. sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist.

143

Ist eine dieser beiden Bedingungen erfüllt, ist zudem noch eine Interessenabwägung vorzunehmen. Nur wenn die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung nicht überwiegen, ist die Zweckänderung nach § 24 Abs. 1 BDSG zulässig.

144

Mithin ist es hier nicht wie bei der Zweckänderung auf Basis eines Kompatibilitätstests nach Art. 6 Abs. 4 DSGVO erforderlich, dass der Zweck, für den die Daten weiterverarbeitet werden, mit dem Ursprungszweck, für den die Daten erhoben wurden, vereinbar ist.

145

Die Datenverarbeitung zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit sowie zur Verfolgung von Straftaten wird insbesondere dann relevant, wenn ein Verantwortlicher Daten, die er für eigene Zwecke erhoben hat, nun für die genannten Zwecke aufbewahrt und sie an die für den Schutz dieser Güter zuständigen Behörden übermittelt.213

146

Im Hinblick auf die Tatbestandsmerkmale der Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche kann auf die Ausführungen zu Art. 9 Abs. 2 lit. f DSGVO verwiesen werden.214 Zu beachten ist hierbei aber, dass der Anwendungsbereich des § 24 Abs. 1 Nr. 2 BDSG auf zivilrechtliche Ansprüche beschränkt ist.

147

Es ist allerdings zweifelhaft, ob § 24 Abs. 1 BDSG europarechtskonform ist, da umstritten ist, ob für beide in § 24 Abs. 1 BDSG genannten Alternativen eine entsprechende Öffnungsklausel existiert.215 Zumindest für § 24 Abs. 1 Nr. 1 BDSG wird dies aber wohl überwiegend angenommen.216 § 24 Abs. 1 Nr. 2 BDSG wird demgegenüber deutlich kritischer betrachtet.217 Vor allem wenn eine geplante Zweckänderung auf § 24 Abs. 1 Nr. 2 BDSG gestützt werden soll, ist Unternehmen vor diesem Hintergrund zu empfehlen, genau zu prüfen, ob diese eventuell auch auf eine andere Rechtsgrundlage gestützt werden kann. Andernfalls sollten Unternehmen, wenn die Weiterverarbeitung zu einem anderen Zweck eine gewisse Relevanz aufweist, diese – wenn möglich und praktisch durchführbar – mit den zuständigen Datenschutzaufsichtsbehörden abstimmen und in jedem Fall prüfen, ob in der Zwischenzeit relevante Rechtsprechung oder Hinweise der Datenschutzaufsichtsbehörden hierzu ergangen sind. Endgültige Klarheit wird in diesem Fall wahrscheinlich erst eine Entscheidung des EuGH bringen können.

2. § 4 Abs. 3 S. 3 BDSG: Zweckänderung bei Videoüberwachung öffentlich zugänglicher Räume

148

Zudem hat der deutsche Gesetzgeber auch in § 4 Abs. 3 S. 3 BDSG eine Erlaubnis zur Zweckänderung im Hinblick auf Daten normiert, die im Rahmen einer Videoüberwachung öffentlich zugänglicher Räume erhoben wurden. Diese dürfen demnach – unabhängig vom ursprünglich verfolgten Zweck –auch zum Zweck der Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten weiterverarbeitet werden.218 Allerdings ist in diesem Zusammenhang zu beachten, dass das Bundesverwaltungsgericht entschieden hat, dass zumindest § 4 Abs. 1 S. 1 BDSG europarechtswidrig sei (siehe Rn. 114). Auch für andere Bestimmungen des § 4 BDSG wird zumindest in der datenschutzrechtlichen Literatur vertreten, dass diese europarechtswidrig seien. Im Hinblick auf die Regelung der Zweckänderung in § 4 Abs. 3 S. 3 BDSG sprechen nach hier vertretener Ansicht aber gute Gründe dafür, dass diese Regelung europarechtskonform ist.219

149

Umstritten ist, inwieweit sich auch aus Art. 6 Abs. 1 DSGVO eine Erlaubnis zur Weiterverarbeitung personenbezogener Daten zu einem anderen Zweck ergeben kann. Teilweise wird vertreten, dass auch Art. 6 Abs. 1 lit. f DSGVO („Verarbeitung auf Basis einer Interessenabwägung“) eine Zweckänderung rechtfertigen könne.220 Teilweise wird einschränkend vertreten, dass im Rahmen von Art. 6 Abs. 1 DSGVO eine Zweckänderung nur auf die in lit. c („Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt“) und lit. e („Verarbeitung zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“) normierten Tatbestandsalternativen gestützt werden könne.221

150

Auch wenn nach hier vertretener Ansicht – insbesondere vor dem Hintergrund des Wortlauts von Art. 6 Abs. 4 DSGVO – durchaus gute Argumente dafür sprechen, dass die Verarbeitung bereits erhobener personenbezogener Daten zu einem anderen Zweck auch auf Basis von Art. 6 Abs. 1 lit. f DSGVO erfolgen kann, empfiehlt es sich für Unternehmen, aus Gründen der Haftungsvermeidung eine Zweckänderung nur dann auf Art. 6 Abs. 1 lit. f DSGVO zu stützen, wenn keine andere Alternative diese zu rechtfertigen vermag. So ist davon auszugehen, dass zumindest die Datenschutzaufsichtsbehörden wohl eher einer restriktiveren Auslegung von Art. 6 Abs. 4 DSGVO folgen werden.