§ 23 Verarbeitung zu anderen Zwecken durch öffentliche Stellen
(1) Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch öffentliche Stellen im Rahmen ihrer Aufgabenerfüllung ist zulässig, wenn
- offensichtlich ist, dass sie im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass sie in Kenntnis des anderen Zwecks ihre Einwilligung verweigern würde,
- Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
- sie zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, zur Wahrung erheblicher Belange des Gemeinwohls oder zur Sicherung des Steuer- und Zollaufkommens erforderlich ist,
- sie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Absatz 1 Nummer 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Geldbußen erforderlich ist,
- sie zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist oder
- sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen des Verantwortlichen dient; dies gilt auch für die Verarbeitung zu Ausbildungs- und Prüfungszwecken durch den Verantwortlichen, soweit schutzwürdige Interessen der betroffenen Person dem nicht entgegenstehen.
(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, ist zulässig, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 2016/679 oder nach § 22 vorliegen.
Kommentar
§ 23 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
§ 23 befasst sich mit den Anforderungen, unter denen die Weiterverarbeitung von Daten zulässig ist, also zu anderen als den anlässlich der Erhebung verfolgten Zwecken. Es handelt sich um eine Rechtsgrundlage für öffentliche Stellen für die Verarbeitung von Daten.
Absatz 1 regelt Fälle, in denen die Weiterverarbeitung personenbezogener Daten durch öffentliche Stellen gestattet ist. Die Legitimation der Weiterverarbeitung gilt unabhängig davon, ob die Zwecke der Weiterverarbeitung mit den Zwecken der ursprünglichen Datenerhebung (Artikel 6 Absatz 4 DSGVO) vereinbar sind.
Absatz 1 Nummer 1 behandelt Fälle der offensichtlich im Interesse der betroffenen Person liegenden Datenverarbeitung. An die Tatbestandsvoraussetzung „offensichtlich“ sind hohe Anforderungen zu stellen. Der Wortlaut der Ermächtigung bestimmt eine streng aus Sicht der betroffenen Person vorzunehmende Beurteilung. Abzustellen ist auf Nachteile, die der betroffenen Person drohen können. Wenn sowohl Nach- als auch Vorteile zu erwarten sind, kommt es auf darauf an, ob die Vor- oder die Nachteile überwiegen.
Nach Absatz 1 Nummer 2 ist die Weiterverarbeitung von Daten zulässig, wenn Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte dafür bestehen, dass die betroffene Person unrichtige Angaben gemacht hat. Die Vorschrift setzt eine öffentlich-rechtliche Prüfpflicht voraus, was sich aus der Verwendung des Wortes „müssen“ ergibt.
Absatz 1 Nummer 3 enthält eine Gestattung der Weiterverarbeitung zur Abwehr
- erheblicher Nachteile für das Gemeinwohl,
- einer Gefahr für die öffentliche Sicherheit,
- sowie zur
- Verteidigung,
- für die nationale Sicherheit,
- zur Wahrung erheblicher Belange des Gemeinwohls,
- zur Sicherung des Steuer und Zollaufkommens.
Absatz 1 Nummer 4 enthält eine praktisch sehr relevante Ausnahme für den Bereich des Ordnungswidrigkeiten- und Strafrechts. Soweit Daten für die Verfolgung von Ordnungswidrigkeiten und Straftaten oder für die Vollstreckung von Geldbußen verarbeitet werden, ist das im Wege der Weiterverarbeitung zulässig. Die Vorschrift greift die bereits existierende Praxis des Austauschs von Daten unter Behörden und Meldeämtern auf und legitimiert diese.
Die in Absatz 1 Nummer 5 vorgesehene Weiterverarbeitung zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person setzt eine Abwägung der betroffenen Rechte voraus. Ein bestimmtes Gewicht der betroffenen Rechtspositionen ist in der Vorschrift zwar nicht vorgesehen, dies wird aber bei der Abwägung gleichwohl eine Rolle spielen.
Absatz 1 Nummer 6 regelt die zur Wahrnehmung von Aufsichts- und Kontrollbefugnissen oder zur Rechnungsprüfung vorgenommene Weiterverarbeitung von Daten. Die Vorschrift sieht eine Einzelfallabwägung mit den Interessen der betroffenen Person vor. Aus der Formulierung im letzten Halbsatz „… soweit [ … ] nicht …“ ergibt sich, dass die Weiterverarbeitung im Zweifel zulässig ist.
Absatz 2 behandelt die Weiterverarbeitung besonderer Kategorien personenbezogener Daten (vgl. Artikel 9 Absatz 1 DSGVO). Neben den Anforderungen von Absatz 1 muss auch ein Ausnahmetatbestand nach Artikel 9 Absatz 2 DSGVO oder gemäß § 22 vorliegen. Der nationale Gesetzgeber macht mit der Regelung von dem durch die DSGVO eröffneten Regelungsspielraum Gebrauch, wonach Mitgliedstaaten nationale Regelungen treffen können in Fällen, in denen der Zweck der Weiterverarbeitung nicht mit dem ursprünglichen Zweck vereinbar ist, soweit die nationale Regelung eine „… in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt“ (Artikel 6 Absatz 4 DSGVO).
Die Regelungen sind in Anlehnung an § 13 Absatz 2 und § 14 Absatz 2 bis 5 BDSG a. F. angelehnt.