§ 24 Verarbeitung zu anderen Zwecken durch nichtöffentliche Stellen
(1) Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch nichtöffentliche Stellen ist zulässig, wenn
- sie zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist oder
- sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist,
sofern nicht die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen.
(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, ist zulässig, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 2016/679 oder nach § 22 vorliegen.
Kommentar
§ 24 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die Regelung beinhaltet eine nationale Rechtsgrundlage für die Weiterverarbeitung personenbezogener Daten durch nichtöffentliche Stellen. Unter „Weiterverarbeitung“ ist die Verarbeitung von Daten für andere Zwecke zu verstehen als die Zwecke, für die die Erhebung ursprünglich erfolgt ist.
Wie bei § 23 (öffentliche Stellen) ist die Weiterverarbeitung personenbezogener Daten bei Vorliegen der Voraussetzungen von Absatz 1 gestattet, und zwar unabhängig davon, ob die Zwecke der Weiterverarbeitung mit den ursprünglichen Zwecken, für die die Daten erhoben worden sind, vereinbar sind (Artikel 6 Absatz 4 DSGVO).
Absatz 1 Nummer 1 beinhaltet zwei Tatbestände, nämlich die Verarbeitung von Daten zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit (Variante 1) und zur Verfolgung von Straftaten (Variante 2). Hinzukommen muss jeweils, dass die Datenverarbeitung für die Verfolgung der Zwecke erforderlich ist.
Absatz 1 Nummer 2 beinhaltet die praktisch sehr relevanten Tatbestände der Geltendmachung, Ausübung und Verteidigung zivilrechtlicher Ansprüche. Auch hier bedarf es der Erforderlichkeit der Datenverarbeitung. Auf diese Vorschrift können sich beispielsweise Unternehmer stützen, die rechtmäßig im Rahmen einer Vertragsabwicklung Daten erlangt haben, wenn sie diese Daten nunmehr dafür nutzen wollen, zivilrechtliche Ansprüche gegen Kunden bzw. ehemalige Kunden geltend zu machen.
Voraussetzung sowohl von Nummer 1 als auch von Nummer 2 ist das Überwiegen der Interessen desjenigen, der die Daten verarbeitet, gegenüber den Interessen der betroffenen Person. Aus der Formulierung „sofern nicht“ ergibt sich, dass ein Abwägungsergebnis zugunsten der Datenverarbeitung positive Voraussetzung des Gestattungstatbestands ist. Im Falle der Geltendmachung von Ansprüchen aus einer vormaligen Geschäftsbeziehung fällt die Abwägung regelmäßig zugunsten des Anspruchstellers aus.
Absatz 2 trifft Regelungen für die Weiterverarbeitung besonderer Kategorien personenbezogener Daten. Bei solchen besonderen Daten muss neben einer der tatbestandlichen Voraussetzungen von Absatz 1 ergänzend ein Ausnahmetatbestand nach Artikel 9 Absatz 2 DSGVO oder nach § 22 vorliegen.
Die Vorschrift dient der Ausgestaltung des durch die DSGVO zugebilligten Regelungsspielraums, der es den nationalen Gesetzgebern gestattet, nationale Regelungen vorzusehen in Fällen, in denen der Zweck der Weiterverarbeitung nicht mit dem ursprünglichen Zweck vereinbar ist, soweit die nationale Regelung eine „… in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 der Verordnung (EU) 2016/679 genannten Ziele darstellt“ (Art. 6 Absatz 4 DSGVO).
Die Vorschrift orientiert sich an § 28 Absatz 2 Nummer 2 Buchstabe b, § 28 Absatz 2, Absatz 1 Nummer 2 sowie § 28 Absatz 8 Satz 1, Absatz 6 Nummer 1 bis 3 und Absatz 7 Satz 2 BDSG a. F.