In Teil 3 seiner Beitragsreihe zur EU-DSGVO erörtert der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) die Thematik der Verarbeitung bzw. Weiterverarbeitung personenbezogener Daten im Rahmen der EU-DSGVO und deren Bedeutung für öffentliche Stellen.

RECHTMÄSSIGKEIT UND TRANSPARENZ

Rechtmäßigkeit und Transparenz der Verarbeitung personenbezogener Daten, „Verarbeitung nach Treu und Glauben“
Nach Art. 6 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn mindestens eine der in dieser Vorschrift genannten Bedingungen erfüllt ist. Die Datenschutz-Grundverordnung führt somit den bekannten Grundsatz fort, dass die Verarbeitung personenbezogener Daten verboten ist, sofern nicht ein entsprechender Erlaubnistatbestand vorliegt (sogenanntes „Verbot mit Erlaubnisvorbehalt„).
Für eine rechtmäßige Verarbeitung personenbezogener Daten muss gemäß Art. 6 Abs. 1 DSGVO mindestens eine der folgenden Bedingungen vorliegen:

• Die betroffene Person hat in die Verarbeitung ihrer Daten eingewilligt (Art. 6 Abs. 1 Buchst. a DSGVO). In diesem Zusammenhang ist insbesondere zu beachten, dass die Einwilligung – wie bislang auch – unter anderem freiwillig erteilt werden muss (Art. 4 Nr. 11 DSGVO, vgl. bereits Überblick Teil 2 Nr. 1 Buchst. e). Dies ist in Fällen, in denen der für die Datenverarbeitung Verantwortliche eine öffentliche Stelle ist, vielfach zweifelhaft (vgl. Erwägungsgrund – ErwGr – 43 DSGVO).
• Die Verarbeitung ist – vereinfacht ausgedrückt – für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich (Art. 6 Abs. 1 Buchst. b DSGVO).
• Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich (Art. 6 Abs. 1 Buchst. c DSGVO). Die rechtliche Verpflichtung muss sich dabei gemäß Art. 6 Abs. 3 Satz 1 DSGVO aus dem Unionsrecht oder dem Recht des jeweiligen Mitgliedstaats ergeben.
• Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (Art. 6 Abs. 1 Buchst. d DSGVO).
• Die Verarbeitung ist erforderlich, um eine Aufgabe wahrzunehmen, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 6 Abs. 1 Buchst. e DSGVO).
  Dies stellt für die öffentlichen Stellen den zentralen Erlaubnistatbestand zur Verarbeitung personenbezogener Daten dar. Die Rechtsgrundlage für die Verarbeitung ergibt sich jedoch nicht allein und unmittelbar aus dieser Vorschrift, sondern ist vielmehr gemäß Art. 6 Abs. 3 Satz 1 DSGVO durch Unionsrecht oder das Recht des jeweiligen Mitgliedstaats festzulegen („Öffnungsklausel“ für die nationalen Gesetzgeber, vgl. bereits Überblick Teil 1 Nr. 2).
• Die Verarbeitung ist – bei Durchführung einer Interessenabwägung – zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich (Art. 6 Abs. 1 Buchst. f DSGVO). Dieser Erlaubnistatbestand gilt allerdings nicht für Verarbeitungen, die Behörden in Erfüllung ihrer Aufgaben vornehmen, vgl. Art. 6 Abs. 1 Unterabsatz 2 DSGVO.

Zusammenfassend:
Für eine rechtmäßige Verarbeitung personenbezogener Daten muss mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen vorliegen. Zentraler Erlaubnistatbestand für die Verarbeitung personenbezogener Daten durch öffentliche Stellen ist dabei Art. 6 Abs. 1 Buchst. e DSGVO in Verbindung mit den jeweiligen Rechtsgrundlagen im nationalen Recht (beispielsweise im Bayerischen Datenschutzgesetz oder in den jeweiligen Fachgesetzen).
Die Datenschutz-Grundverordnung knüpft die Verarbeitung bestimmter, besonders sensibler Datenarten an zusätzliche Voraussetzungen. Diese „besonderen Kategorien personenbezogener Daten“ sind in Art. 9 Abs. 1 DSGVO abschließend genannt.
Es sind dies:

• personenbezogene Daten, aus denen
  • die rassische und ethnische Herkunft,
  • politische Meinungen,
  • religiöse oder weltanschauliche Überzeugungen oder
  • die Gewerkschaftszugehörigkeit

  hervorgehen,

• genetische Daten,
• biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person,
• Gesundheitsdaten sowie
• Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

Die Verarbeitung dieser besonderen Kategorien personenbezogener Daten ist grundsätzlich untersagt (Art. 9 Abs. 1 DSGVO) und nur zulässig, wenn neben einem Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO zusätzlich ein Fall des Art. 9 Abs. 2 DSGVO vorliegt, zum Beispiel, wenn die betroffene Person in die Verarbeitung ausdrücklich eingewilligt hat (Art. 9 Abs. 2 Buchst. a DSGVO).
Viele der Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO bedürfen jedoch der Ergänzung durch mitgliedsstaatliches Recht, enthalten also „Öffnungsklauseln“ (siehe hierzu bereits Überblick Teil 1 Nr. 2).
Dies betrifft beispielsweise Verarbeitungen

• im Zusammenhang mit dem Arbeitsrecht (Art. 9 Abs. 2 Buchst. b DSGVO),
• aus Gründen eines erheblichen öffentlichen Interesses (Art. 9 Abs. 2 Buchst. g DSGVO),
• aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 9 Abs. 2 Buchst. i DSGVO),
• für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 DSGVO (Art. 9 Abs. 2 Buchst. j DSGVO).

Die Datenschutz-Grundverordnung stellt an das mitgliedsstaatliche Recht dabei besondere Anforderungen, um dem hohen Schutzbedarf dieser besonders sensiblen Datenkategorien gerecht zu werden.
Zusammenfassend:
Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur zulässig, wenn neben einem Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO zusätzlich ein Fall des Art. 9 Abs. 2 DSGVO – gegebenenfalls in Verbindung mit dem einschlägigen nationalen Recht (etwa im Bayerischen Datenschutzgesetz oder im jeweiligen Fachrecht) – vorliegt.
Die in Art. 5 Abs. 1 Buchst. a DSGVO normierten Grundsätze der Transparenz und der Verarbeitung nach Treu und Glauben (siehe hierzu bereits Überblick Teil 2 Nr. 2 Buchst. a) werden insbesondere durch die Vorschriften zu den Rechten der betroffenen Person (Art. 12 ff. DSGVO) konkretisiert.
Diese Regelungen umfassen insbesondere:

• Informationspflichten des Verantwortlichen gegenüber der betroffenen Person im Zusammenhang mit der Erhebung personenbezogener Daten (Art. 13 f. DSGVO),
• ein Auskunftsrecht der betroffenen Person bezüglich der sie betreffenden personenbezogenen Daten, die von dem jeweiligen Verantwortlichen verarbeitet werden (Art. 15 DSGVO),
• das Recht der betroffenen Person auf Berichtigung der sie betreffenden Daten (Art. 16 DSGVO),
• das Recht der betroffenen Person auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO); dieses Recht gilt aber unter anderem nicht, soweit die Verarbeitung erforderlich ist zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 17 Abs. 3 Buchst. b in Verbindung mit Art. 6 Abs. 1 Buchst. e, Abs. 2 und 3 DSGVO),
• das Recht der betroffenen Person auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• das Recht der betroffenen Person auf Datenübertragbarkeit (Art. 20 DSGVO); dieses Recht gilt aber nicht für eine Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 20 Abs. 3 Satz 2 in Verbindung mit Art. 6 Abs. 1 Buchst. e, Abs. 2 und 3 DSGVO),
• ein Widerspruchsrecht der betroffenen Person gegen die Verarbeitung sie betreffender personenbezogener Daten (Art. 21 DSGVO),
• das Recht der betroffenen Person, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO).

Zu beachten ist hierbei jedoch, dass diese Betroffenenrechte durch mitgliedstaatliches Recht eingeschränkt werden können, wenn dies zum Schutz der in Art. 23 Abs. 1 DSGVO genannten wichtigen Ziele des allgemeinen öffentlichen Interesses des Mitgliedstaats erforderlich ist.
Der tatsächliche Umfang der Betroffenenrechte gegenüber öffentlichen Stellen ergibt sich somit erst aus der Zusammenschau zwischen Art. 12 ff. DSGVO und dem jeweils einschlägigen Bundes- oder Landesrecht, das derzeit an die Datenschutz-Grundverordnung angepasst wird.

ZWECKÄNDERNDE VERARBEITUNG (WEITERVERARBEITUNG)

Art. 5 Abs. 1 Buchst. b DSGVO normiert, wie dargestellt, den sogenannten Zweckbindungsgrundsatz (siehe hierzu bereits Überblick Teil 2 Nr. 2 Buchst. b).
Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem sie erhoben wurden (in der Terminologie der Datenschutz-Grundverordnung als „Weiterverarbeitung“ bezeichnet), setzt nach dem Regelungskonzept der Datenschutz-Grundverordnung (vgl. Art. 6 Abs. 4 DSGVO) voraus:

1. Die Weiterverarbeitung beruht entweder auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder eines Mitgliedstaates, welche die Weiterverarbeitung regelt. Eine solche Rechtsvorschrift muss die in Art. 6 Abs. 4 DSGVO aufgeführten spezifischen Anforderungen erfüllen.
2. Liegt keine der unter a) genannten Konstellationen vor, ist gemäß Art. 6 Abs. 4 DSGVO gesondert zu prüfen, ob die Verarbeitung zu einem anderen Zweck mit dem ursprünglichen Erhebungszweck vereinbar ist (sogenannte „Kompatibilitätsprüfung„). Art. 6 Abs. 4 DSGVO gibt dabei einige Kriterien vor, die bei dieser Kompatibilitätsprüfung zu berücksichtigen sind.

Zu beachten ist, dass eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1 DSGVO kraft gesetzlicher Fiktion als vereinbar mit den ursprünglichen (Erhebungs-)Zwecken gilt (Art. 5 Abs. 1 Buchst. b DSGVO). Einer gesonderten Kompatibilitätsprüfung bedarf es in diesen Fällen nicht.