2 und Art. 14 Abs. 2 zur Verfügung zu stellen. Diese Vorschriften betreffen primär die Informationspflichten gegenüber Betroffenen und bei deren Nichterfüllung existieren insbesondere eigene Bußgeldregelungen.[520] Art. 13 Abs. 3 und Art. 14 Abs. 4 enthalten damit besondere Transparenzanforderungen im Hinblick auf die Weiterverarbeitung von Daten. Hierbei ist zu beachten, dass eine gesteigerte Transparenz gegenüber der betroffenen Person auch im Rahmen der „Abwägung“ innerhalb des Kompatibilitätstests sowohl zugunsten des Verantwortlichen, das Fehlen einer entsprechenden Information der Weiterverarbeitung wiederum ebenfalls zulasten einer Vereinbarkeit hinsichtlich der Vereinbarkeit der Zwecke wirken kann. Zu den Folgen von Transparenzdefiziten hinsichtlich der Information über die Zwecke einer Weiterverarbeitung vgl. Rn. 246 ff. Eine mangelnde Transparenz gegenüber der betroffenen Person hinsichtlich der Verarbeitungs- und Weiterverarbeitungszwecke kann dementsprechend eine Vereinbarkeit sogar ausschließen.[521] Gleichwohl kann eine entsprechende Information über die zweckändernde Weiterverarbeitung jedenfalls umgekehrt auch ein positives Kriterium zugunsten des Verantwortlichen darstellen, sofern die betroffene Person hier in fortgeschrittenem Maße über die Hintergründe und Umstände einer etwaigen Weiterverarbeitung aufgeklärt wird. Hierfür sprechen auch die Ausführungen der Art.-29-Datenschutzgruppe in deren „Guidelines on transparency under Regulation 2016/679“ (WP260). Diese sehen vor, dass Verantwortliche „im Sinne der Transparenz, Fairness und Rechenschaftspflicht die Bereitstellung von Informationen zu der gem. Artikel 6 Absatz 4 durchgeführten Vereinbarkeitsanalyse in ihren Datenschutzerklärungen/-hinweisen für die betroffenen Personen in Betracht ziehen“ sollte.[522] Die Art.-29-Datenschutzgruppe versteht darunter eine Erläuterung konkret dahingehend, inwiefern die Verarbeitung für die anderen Zwecke mit dem ursprünglichen Zweck vereinbar ist. Allerdings lassen die Ausführungen der Art.-29-Datenschutzgruppe erkennen, dass die Information über die Zwecke der Weiterverarbeitung zumindest kein obligatorisches Merkmal für eine Vereinbarkeit darstellt.
3. Weiterverarbeitung gem. Art. 5 Abs. 1 lit. b
256
Gemäß Art. 5 Abs. 1 lit. b gilt eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gem. Art. 89 Abs. 1 nicht als unvereinbar mit den ursprünglichen Zwecken. Die Kompatibilität wird in diesem Fall und unter Einhaltung der Voraussetzungen des Art. 89 vermutet.[523] Die Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken hat hierfür geeigneten Garantien zu unterliegen. Diese sollen sicherstellen, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird, wobei hierfür explizit die Pseudonymisierung als Beispiel genannt wird.
4. Vorschriften zur Zweckänderung im BDSG n.F.
257
Die Prüfung der Vereinbarkeit nach Abs. 4 ist nur dann notwendig, wenn die Zweckänderung nicht von einer Einwilligung gedeckt ist oder wenn sich ihre Zulässigkeit nicht aus einer Rechtsvorschrift der Union oder der Mitgliedstaaten ergibt, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Art. 23 Abs. 1 genannten Ziele darstellt. Der letztgenannte Passus eröffnet den Mitgliedstaaten grundsätzlich die Möglichkeit, eigene Rechtsvorschriften zur Zulässigkeit einer Zweckänderung zu erlassen. Deutschland hat von dieser Möglichkeit im BDSG n.F. Gebrauch gemacht. Für die Datenverarbeitung, insbesondere die Datenübermittlung zu anderen Zwecken gelten sowohl für den öffentlichen Bereich (§§ 23 und 25 BDSG n.F.) als auch für den nicht öffentlichen Bereich (§ 24 BDSG n.F.) spezifische Regelungen.
a) Verhältnis zwischen DS-GVO und nationalem Recht
258
Aus Art. 6 Abs. 4 ergibt sich nicht unmittelbar, ob es sich bei dem Verweis auf nationalstaatliches Recht um eine Öffnungsklausel handelt. Grundsätzlich ist – wohl entgegen der Auffassung des Gesetzgebers und der Rechtsprechung des BGH –[524] davon auszugehen, dass es sich bei Art. 6 Abs. 4 nicht um eine eigene Öffnungsklausel handelt, sondern Abs. 4 vielmehr im systematischen Zusammenhang zu Art. 6 Abs. 1 lit. c, e, Abs. 2 und 3 steht und die Öffnung des Abs. 4 hinsichtlich ihrer Reichweite auf die Öffnung in Art. 6 Abs. 2 und 3 beschränkt ist (vgl. dazu auch Rn. 237).[525] Das EU-Recht und das Recht der Mitgliedstaaten sind jeweils eigene Rechtsordnungen mit jeweils eigenem Geltungsgrund. Es kann ein komplexes Nebeneinander einer Verordnung des Unionsrechts sowie korrespondierenden deutschen Regelungen entstehen. Fakt ist, dass in einem Konfliktfall die DS-GVO als Verordnung Anwendungsvorrang genießt.[526] Die Anwendung von nationalen Vorschriften ist nur insoweit eingeschränkt, als sie den Regelungen der Verordnung widersprechen.[527]
259
Im neuen BDSG sind eigenständige Rechtsgrundlagen für zweckändernde Datenverarbeitungen enthalten. Insofern ist davon auszugehen, dass der deutsche Gesetzgeber eine entsprechende Regelungsbefugnis im Rahmen einer Öffnungsklausel für sich in Anspruch nimmt.[528] Hierfür spricht auch, dass der deutsche Gesetzgeber insbesondere die Regelungen der §§ 23 ff. BDSG n.F. „zur Ausgestaltung“ der DS-GVO einordnet.[529] In der Gesetzesbegründung zu §§ 23 ff. BDSG n.F. ist zudem explizit von einem durch Art. 6 Abs. 4 „eröffneten Regelungsspielraum“ die Rede. Die Annahme, Art. 6 Abs. 4 stelle eine eigenständige Öffnungsklausel dar, läuft dem Ziel der Harmonisierung des Datenschutzrechts durch die DS-GVO entsprechend ErwG 3 und der Systematik von Art. 6 zuwider und überdehnt die Regelungsbefugnis des nationalen Gesetzgebers (dazu oben bereits in Rn. 237).[530] Letztlich sind die §§ 23 ff. BDSG neben Art. 6 Abs. 4 und dessen Voraussetzungen anwenden (vgl. dazu bereits Rn. 237).[531] Teilweise wird mangels Regelungsbefugnis des deutschen
