normiert. § 24 Abs. 1 BDSG regelt die Verarbeitung „normaler“ personenbezogener Daten durch nicht-öffentliche Stellen, wie privatwirtschaftliche Unternehmen, zu einem anderen Zweck und § 24 Abs. 2 BDSG die Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO.211
142
Nach § 24 Abs. 1 BDSG dürfen Verantwortliche212 personenbezogene Daten zu einem anderen Zweck als dem, für welchen sie erhoben wurden, verarbeiten, wenn
1. die Verarbeitung zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist oder
2. sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist.
143
Ist eine dieser beiden Bedingungen erfüllt, ist zudem noch eine Interessenabwägung vorzunehmen. Nur wenn die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung nicht überwiegen, ist die Zweckänderung nach § 24 Abs. 1 BDSG zulässig.
144
Mithin ist es hier nicht wie bei der Zweckänderung auf Basis eines Kompatibilitätstests nach Art. 6 Abs. 4 DSGVO erforderlich, dass der Zweck, für den die Daten weiterverarbeitet werden, mit dem Ursprungszweck, für den die Daten erhoben wurden, vereinbar ist.
145
Die Datenverarbeitung zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit sowie zur Verfolgung von Straftaten wird insbesondere dann relevant, wenn ein Verantwortlicher Daten, die er für eigene Zwecke erhoben hat, nun für die genannten Zwecke aufbewahrt und sie an die für den Schutz dieser Güter zuständigen Behörden übermittelt.213
146
Im Hinblick auf die Tatbestandsmerkmale der Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche kann auf die Ausführungen zu Art. 9 Abs. 2 lit. f DSGVO verwiesen werden.214 Zu beachten ist hierbei aber, dass der Anwendungsbereich des § 24 Abs. 1 Nr. 2 BDSG auf zivilrechtliche Ansprüche beschränkt ist.
147
Es ist allerdings zweifelhaft, ob § 24 Abs. 1 BDSG europarechtskonform ist, da umstritten ist, ob für beide in § 24 Abs. 1 BDSG genannten Alternativen eine entsprechende Öffnungsklausel existiert.215 Zumindest für § 24 Abs. 1 Nr. 1 BDSG wird dies aber wohl überwiegend angenommen.216 § 24 Abs. 1 Nr. 2 BDSG wird demgegenüber deutlich kritischer betrachtet.217 Vor allem wenn eine geplante Zweckänderung auf § 24 Abs. 1 Nr. 2 BDSG gestützt werden soll, ist Unternehmen vor diesem Hintergrund zu empfehlen, genau zu prüfen, ob diese eventuell auch auf eine andere Rechtsgrundlage gestützt werden kann. Andernfalls sollten Unternehmen, wenn die Weiterverarbeitung zu einem anderen Zweck eine gewisse Relevanz aufweist, diese – wenn möglich und praktisch durchführbar – mit den zuständigen Datenschutzaufsichtsbehörden abstimmen und in jedem Fall prüfen, ob in der Zwischenzeit relevante Rechtsprechung oder Hinweise der Datenschutzaufsichtsbehörden hierzu ergangen sind. Endgültige Klarheit wird in diesem Fall wahrscheinlich erst eine Entscheidung des EuGH bringen können.
2. § 4 Abs. 3 S. 3 BDSG: Zweckänderung bei Videoüberwachung öffentlich zugänglicher Räume
148
Zudem hat der deutsche Gesetzgeber auch in § 4 Abs. 3 S. 3 BDSG eine Erlaubnis zur Zweckänderung im Hinblick auf Daten normiert, die im Rahmen einer Videoüberwachung öffentlich zugänglicher Räume erhoben wurden. Diese dürfen demnach – unabhängig vom ursprünglich verfolgten Zweck –auch zum Zweck der Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten weiterverarbeitet werden.218 Allerdings ist in diesem Zusammenhang zu beachten, dass das Bundesverwaltungsgericht entschieden hat, dass zumindest § 4 Abs. 1 S. 1 BDSG europarechtswidrig sei (siehe Rn. 114). Auch für andere Bestimmungen des § 4 BDSG wird zumindest in der datenschutzrechtlichen Literatur vertreten, dass diese europarechtswidrig seien. Im Hinblick auf die Regelung der Zweckänderung in § 4 Abs. 3 S. 3 BDSG sprechen nach hier vertretener Ansicht aber gute Gründe dafür, dass diese Regelung europarechtskonform ist.219
149
Umstritten ist, inwieweit sich auch aus Art. 6 Abs. 1 DSGVO eine Erlaubnis zur Weiterverarbeitung personenbezogener Daten zu einem anderen Zweck ergeben kann. Teilweise wird vertreten, dass auch Art. 6 Abs. 1 lit. f DSGVO („Verarbeitung auf Basis einer Interessenabwägung“) eine Zweckänderung rechtfertigen könne.220 Teilweise wird einschränkend vertreten, dass im Rahmen von Art. 6 Abs. 1 DSGVO eine Zweckänderung nur auf die in lit. c („Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt“) und lit. e („Verarbeitung zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“) normierten Tatbestandsalternativen gestützt werden könne.221
150
Auch wenn nach hier vertretener Ansicht – insbesondere vor dem Hintergrund des Wortlauts von Art. 6 Abs. 4 DSGVO – durchaus gute Argumente dafür sprechen, dass die Verarbeitung bereits erhobener personenbezogener Daten zu einem anderen Zweck auch auf Basis von Art. 6 Abs. 1 lit. f DSGVO erfolgen kann, empfiehlt es sich für Unternehmen, aus Gründen der Haftungsvermeidung eine Zweckänderung nur dann auf Art. 6 Abs. 1 lit. f DSGVO zu stützen, wenn keine andere Alternative diese zu rechtfertigen vermag. So ist davon auszugehen, dass zumindest die Datenschutzaufsichtsbehörden wohl eher einer restriktiveren Auslegung von Art. 6 Abs. 4 DSGVO folgen werden.
b) Zweckänderung auf Basis einer Einwilligung
151
Des Weiteren kann die Weiterverarbeitung personenbezogener Daten zu anderen Zwecken ausweislich des Wortlauts von Art. 6 Abs. 4 DSGVO auch auf die Einwilligung der betroffenen Person gestützt werden. Die Voraussetzungen, die eine Einwilligung erfüllen muss, um wirksam zu sein, werden unter Rn. 243ff. ausführlich beschrieben.
c) Zweckänderung auf Basis des Kompatibilitätstests gem. Art. 6 Abs. 4 DSGVO
152
Nach Art. 6 Abs. 4 DSGVO ist die Weiterverarbeitung personenbezogener Daten für einen anderen Zweck schließlich auch dann erlaubt, wenn dieser andere Zweck mit dem Zweck, für den die Daten erhoben wurden, vereinbar ist.
153
Ist dies der Fall, erlaubt Art. 6 Abs. 4 DSGVO i.V.m. Erwägungsgrund 50 S. 2 DSGVO die Weiterverarbeitung der personenbezogenen Daten zu einem anderen Zweck nach hier vertretener Ansicht auf Basis derselben Rechtsgrundlage, die die Verarbeitung der Daten zu dem ursprünglichen Zweck erlaubt.222 Mit anderen Worten: Ist der neue Zweck, für den personenbezogene Daten weiterverarbeitet werden sollen, mit dem Zweck, für den die Daten ursprünglich erhoben wurden, vereinbar, benötigt der Verantwortliche für die Weiterverarbeitung nach hier vertretener Ansicht keine gesonderte Rechtsgrundlage.223 Diese Auffassung wird auch vom Bundesbeauftragten für Datenschutz und Informationsfreiheit in seinem Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche geteilt.224 Dabei kann die relevante Rechtsgrundlage (auf die zunächst die originäre Verarbeitung und dann bei Zweckvereinbarkeit auch die Weiterverarbeitung gestützt wird) nach Maßgabe von Erwägungsgrund 50 DSGVO auch von der EU (außerhalb der DSGVO) oder dem jeweiligen Mitgliedstaat erlassen worden sein.
Praxishinweis
In der datenschutzrechtlichen Literatur wird die hier vertretene Ansicht teilweise bestritten und – insbesondere aus systematischen