einerseits und der betroffenen Person andererseits, ankommen. Das Interesse der Verwaltung an einer effektiven Gefahrenabwehr ist abzuwägen mit dem individuellen Interesse des Betroffenen am Ausschluss der Datenverarbeitung.
(4) Straftaten und Ordnungswidrigkeiten (§ 23 Abs. 1 Nr. 4 BDSG)
269
Des Weiteren ist eine zweckändernde Weiterverarbeitung zulässig, wenn sie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen i.S.d. § 11 Abs. 1 Nr. 8 StGB oder von Erziehungsmaßregeln oder Zuchtmitteln i.S.d. JGG oder zur Vollstreckung von Geldbußen erforderlich ist. Der Erlaubnistatbestand entspricht § 14 Abs. 2 Nr. 7 BDSG a.F.
270
In der Regel werden für diese Zwecke bereichsspezifische Vorschriften zur Datenverarbeitung existieren. Sofern dies jedoch nicht der Fall ist, bspw., weil die handelnde Behörde keine solche ist, die in den Anwendungsbereich einer solchen bereichsspezifischen Vorschrift fällt, kommt Abs. 1 Nr. 4 zum Tragen. Auch hier existiert das Korrektiv der Erforderlichkeit, sodass nur eine zielführende und gleichzeitig mildeste unter mehreren Varianten gewählt werden kann.
(5) Beeinträchtigung der Rechte einer anderen Person (§ 23 Abs. 1 Nr. 5 BDSG)
271
Ferner können personenbezogene Daten zweckfremd weiterverarbeitet werden, wenn dies zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist. Der Erlaubnistatbestand entspricht § 14 Abs. 2 Nr. 8 BDSG a.F.
272
Aus dem Wortlaut lässt sich bereits erkennen, dass die Behörde hier eine Abwägungsentscheidung zwischen zweierlei fremden Interessen zu treffen hat, nämlich einerseits denen der betroffenen Person und andererseits zwischen einem Dritten, dessen Rechte von einer schwerwiegenden Beeinträchtigung bedroht sind. Von Bedeutung ist hier, dass die Beeinträchtigung schwerwiegend sein muss, also wesentliche Rechtsgüter betroffen sein müssen und diese in besonders beeinträchtigendem Maße bedroht sind.
(6) Aufsichts- und Kontrollbefugnisse, Rechnungsprüfung (§ 23 Abs. 1 Nr. 6 BDSG)
273
Schließlich kann eine zweckändernde Weiterverarbeitung vorgenommen werden, wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen des Verantwortlichen dient. Nr. 6 stellt ferner klar, dass dies auch für die Verarbeitung zu Ausbildungs- und Prüfungszwecken durch den Verantwortlichen gilt, soweit schutzwürdige Interessen der betroffenen Person dem nicht entgegenstehen. Der Erlaubnistatbestand ist an § 14 Abs. 3 BDSG a.F. angelehnt. Er war im BDSG a.F. noch leicht anders ausgestaltet, nämlich als Fiktion (str.)[537] dahingehend, dass schon keine zweckändernde Weiterverarbeitung vorliegt, wenn Aufsichts- oder Kontrollbefugnisse oder Rechnungsprüfungen vorgenommen oder Ausbildungs- oder Prüfungszwecke verfolgt wurden. Die Verarbeitung zu diesen Zwecken ist als vom Primärzweck der Erhebung mit umfasst anzusehen, um Rechtmäßigkeit, Zweckmäßigkeit, Kostengerechtigkeit und funktionsfähige Kontrollmechanismen einzuhalten, die nicht nur im Interesse der Betroffenen, sondern ebenso im Allgemeininteresse liegen und damit dem öffentlichen Interesse an einer funktionsfähigen Verwaltung dienen.[538] Entsprechende Daten dürfen daher an Aufsichts-, Kontroll- oder Prüfungsbehörden übermittelt und von diesen verarbeitet werden.
cc) Norminhalt des § 23 Abs. 2 BDSG
274
Abs. 2 regelt, dass die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, zulässig ist, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Art. 9 oder nach § 22 BDSG n.F. vorliegen. Sofern bei einer zweckändernden Weiterverarbeitung durch Behörden zu ihrer Aufgabenerfüllung also besondere Kategorien personenbezogener Daten einbezogen sind, müssen über das Vorliegen eines Erlaubnistatbestands des § 23 Abs. 1 BDSG n.F. hinaus weitere Voraussetzungen erfüllt sein. Namentlich muss ein Erlaubnistatbestand des Art. 9 Abs. 1 erfüllt sein oder ein solcher des § 22 BDSG n.F. Beide Vorschriften regeln explizit die Verarbeitung besonderer Kategorien personenbezogener Daten.[539]
aa) Allgemeines
275
§ 24 BDSG n.F. regelt die Verarbeitung zu anderen Zwecken durch nichtöffentliche Stellen. Sie betrifft damit den unmittelbaren Anwendungsbereich von Art. 6 Abs. 4, stellt jedoch gegenüber diesem andere Anforderungen i.S.v. weiteren Tatbeständen auf, nach denen eine zweckändernde Verarbeitung zulässig sein soll. Insofern gelten die Vorschriften nebeneinander. Teilweise wird mangels Regelungsbefugnis des deutschen Gesetzgebers § 24 BDSG als unionsrechtswidrig erachtet (vgl. dazu bereits Rn. 237 und 258 f.).[540] Die Vorschrift orientiert sich an den Regelungen der § 28 Abs. 2 Nr. 2 lit. b, § 28 Abs. 2 i.V.m. Abs. 1 Nr. 2 sowie § 28 Abs. 8 S. 1 i.V.m. Abs. 6 Nr. 1 bis 3 und Abs. 7 S. 2 BDSG a.F.[541]
bb) Norminhalt des § 24 Abs. 1 BDSG
276
Nach § 24 Abs. 1 Nr. 1 BDSG n.F. ist die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch nichtöffentliche Stellen zulässig, wenn sie zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist. Ein weiterer Erlaubnistatbestand für eine zweckändernde Weiterverarbeitung wäre, wenn sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist (Nr. 2). In beiden Fällen dürfen zudem nicht die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen.
(1) Gefahrenabwehr und Strafverfolgung (§ 24 Abs. 1 Nr. 1 BDSG)
277
Nach dem reinen Wortlaut der Vorschrift, der über den Wortlaut im BDSG a.F. hinausgeht, da dieser nur „Übermittlungen und Nutzungen“ regelte und nun sämtliche Verarbeitungen erfasst sind, können nichtöffentliche Stellen zur Gefahrenabwehr und Strafverfolgung personenbezogene Daten zweckfremd verwenden. Da nichtöffentliche Stellen aber regelmäßig keine Aufgaben der Gefahrenabwehr oder der Strafverfolgung übernehmen, wird die Vorschrift in der Regel für Auskunftsverfahren von Behörden gegenüber Privaten dienen. Ein Verantwortlicher sollte darauf achten, ob eine spezialgesetzliche Auskunftspflicht gegenüber Behörden
