§ 23 BDSG: Wann öffentliche Stellen personenbezogene Daten für andere Zwecke nutzen dürfen
Personenbezogene Daten werden grundsätzlich für einen bestimmten, bei ihrer Erhebung festgelegten Zweck verarbeitet. Doch darf eine Behörde Daten, die sie für einen bestimmten Anlass erhalten hat, später auch für einen anderen Zweck verwenden? § 23 des Bundesdatenschutzgesetzes (BDSG) regelt, unter welchen Voraussetzungen öffentliche Stellen solche Daten weiterverarbeiten dürfen.
Was bedeutet „Weiterverarbeitung zu einem anderen Zweck“?
Eine Weiterverarbeitung zu einem anderen Zweck liegt vor, wenn eine öffentliche Stelle personenbezogene Daten für einen Zweck nutzt, der von dem ursprünglichen Erhebungszweck abweicht. Beispielsweise können Angaben, die zunächst im Rahmen eines Verwaltungsverfahrens erhoben wurden, später für eine gesetzlich vorgesehene Kontroll- oder Prüfaufgabe relevant werden.
§ 23 BDSG steht im Zusammenhang mit dem Grundsatz der Zweckbindung aus der Datenschutz-Grundverordnung (DSGVO). Dieser Grundsatz soll verhindern, dass Daten ohne klare Rechtfertigung beliebig für neue Anliegen verwendet werden.
Die Voraussetzungen nach § 23 BDSG
§ 23 BDSG erlaubt öffentlichen Stellen eine zweckändernde Weiterverarbeitung unter bestimmten Voraussetzungen. Dazu zählen insbesondere Fälle, in denen:
- offensichtlich ist, dass die weitere Verarbeitung im Interesse der betroffenen Person liegt;
- Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte für ihre Unrichtigkeit bestehen;
- die Verarbeitung erforderlich ist, um erhebliche Nachteile für das Gemeinwohl oder eine Gefahr für die öffentliche Sicherheit abzuwehren oder wichtige Gemeinwohlbelange zu wahren;
- die Daten für die Verfolgung von Straftaten oder Ordnungswidrigkeiten oder für bestimmte Maßnahmen der Strafvollstreckung benötigt werden;
- die Verarbeitung erforderlich ist, um eine schwerwiegende Beeinträchtigung der Rechte einer anderen Person abzuwenden; oder
- die Daten für Aufsichts- und Kontrollaufgaben, Rechnungsprüfungen oder Organisationsuntersuchungen erforderlich sind.
Entscheidend ist in der Regel, dass die Weiterverarbeitung für den jeweiligen Zweck erforderlich ist. Die öffentliche Stelle muss also prüfen, ob der Zweck auch mit weniger eingriffsintensiven Mitteln erreicht werden kann.
§ 23 BDSG ist keine pauschale Erlaubnis
Die Vorschrift bedeutet nicht, dass Behörden vorhandene Daten frei für beliebige neue Aufgaben einsetzen dürfen. Es muss ein gesetzlich anerkannter Grund vorliegen, und die Verarbeitung muss die datenschutzrechtlichen Anforderungen erfüllen. Dazu gehören unter anderem die Grundsätze der Datenminimierung, der Richtigkeit und der Sicherheit personenbezogener Daten.
Außerdem ist § 23 BDSG im Zusammenhang mit der DSGVO und den weiteren einschlägigen Rechtsvorschriften zu lesen. Die öffentliche Stelle muss daher auch prüfen, ob eine passende Rechtsgrundlage für die Verarbeitung besteht und ob Informationspflichten gegenüber den betroffenen Personen gelten.
Für wen gilt die Vorschrift?
§ 23 BDSG betrifft öffentliche Stellen im Anwendungsbereich des Bundesdatenschutzgesetzes. Für Behörden und öffentliche Stellen der Länder können stattdessen die jeweiligen Landesdatenschutzgesetze und spezialgesetzlichen Regelungen maßgeblich sein. Welche Vorschrift gilt, hängt daher unter anderem davon ab, welche Stelle die Daten verarbeitet und in welchem Aufgabenbereich sie tätig ist.
Was können betroffene Personen tun?
Wer wissen möchte, warum eine Behörde personenbezogene Daten für einen bestimmten Zweck verarbeitet, kann sich an die zuständige Stelle wenden und Auskunft über die Datenverarbeitung verlangen. Je nach Situation kommen weitere Rechte nach der DSGVO in Betracht, etwa das Recht auf Berichtigung oder – unter bestimmten Voraussetzungen – das Recht auf Löschung. Für Beschwerden kann auch die zuständige Datenschutzaufsichtsbehörde kontaktiert werden.
Zusammenfassung
§ 23 BDSG schafft begrenzte Möglichkeiten für öffentliche Stellen, personenbezogene Daten auch für einen anderen Zweck als den ursprünglichen weiterzuverarbeiten. Dafür muss ein gesetzlich anerkannter Anlass vorliegen; die Verarbeitung muss erforderlich und mit den übrigen Datenschutzanforderungen vereinbar sein. Die Vorschrift ist deshalb keine allgemeine Freigabe zur beliebigen Nutzung behördlicher Daten.
Hinweis: Dieser Artikel bietet eine allgemeine Information und ersetzt keine Rechtsberatung. Für die Beurteilung eines konkreten Falls sind die aktuelle Gesetzesfassung und die einschlägigen Regelungen des Bundes oder des jeweiligen Landes maßgeblich.
5 Tipps zur Zweckänderung gemäß § 23 BDSG für öffentliche Stellen
- § 23 BDSG betrifft Zweckänderungen bei der Verarbeitung durch öffentliche Stellen.
- Prüfen Sie, ob einer der gesetzlich erlaubten Gründe für die Zweckänderung vorliegt.
- Nutzen Sie Daten nur, soweit die Weiterverarbeitung für den neuen Zweck erforderlich ist.
- Wägen Sie die Interessen der betroffenen Person sorgfältig ab.
- Dokumentieren Sie Zweck, Rechtsgrundlage und Abwägung; prüfen Sie auch Informationspflichten.
§ 23 BDSG betrifft Zweckänderungen bei der Verarbeitung durch öffentliche Stellen.
§ 23 BDSG regelt, unter welchen Voraussetzungen öffentliche Stellen personenbezogene Daten zu einem anderen Zweck weiterverarbeiten dürfen als dem, für den sie ursprünglich erhoben wurden. Eine solche Zweckänderung ist nicht beliebig zulässig: Sie muss gesetzlich gerechtfertigt und für den neuen Zweck erforderlich sein. Dabei sind auch die Grundsätze der DSGVO, insbesondere Zweckbindung und Datenminimierung, zu beachten.
Prüfen Sie, ob einer der gesetzlich erlaubten Gründe für die Zweckänderung vorliegt.
Prüfen Sie sorgfältig, ob für die geplante Zweckänderung tatsächlich einer der in § 23 BDSG vorgesehenen Gründe vorliegt. Eine Weiterverarbeitung personenbezogener Daten ist nicht allein deshalb zulässig, weil sie praktisch oder hilfreich erscheint: Es muss ein gesetzlich anerkannter Anlass bestehen, und die Verarbeitung muss für den neuen Zweck erforderlich sein. Dokumentieren Sie die Prüfung nachvollziehbar und berücksichtigen Sie auch die Vorgaben der DSGVO sowie gegebenenfalls einschlägige Spezialgesetze.
Nutzen Sie Daten nur, soweit die Weiterverarbeitung für den neuen Zweck erforderlich ist.
Nutzen Sie personenbezogene Daten für einen neuen Zweck nur in dem Umfang, der dafür tatsächlich erforderlich ist. Prüfen Sie vor der Weiterverarbeitung, welche Angaben benötigt werden, und lassen Sie nicht notwendige Daten außen vor. So berücksichtigen Sie den Grundsatz der Datenminimierung und tragen dazu bei, die Privatsphäre der betroffenen Personen zu schützen.
Wägen Sie die Interessen der betroffenen Person sorgfältig ab.
Bei einer Weiterverarbeitung nach § 23 BDSG sollten öffentliche Stellen sorgfältig abwägen, welche Auswirkungen die geplante Nutzung auf die betroffene Person hat. Dabei sind unter anderem die Sensibilität der Daten, der ursprüngliche Erhebungszweck und mögliche Folgen für die Person zu berücksichtigen. Je stärker die Weiterverarbeitung in ihre Rechte und Freiheiten eingreift, desto überzeugender muss der rechtliche Grund dafür sein. Die Entscheidung sollte nachvollziehbar dokumentiert werden.
Dokumentieren Sie Zweck, Rechtsgrundlage und Abwägung; prüfen Sie auch Informationspflichten.
Dokumentieren Sie bei einer Weiterverarbeitung nach § 23 BDSG sorgfältig den ursprünglichen und den neuen Zweck, die einschlägige Rechtsgrundlage sowie die Gründe, aus denen die Verarbeitung erforderlich und zulässig ist. Halten Sie außerdem fest, wie die Interessen und Grundrechte der betroffenen Personen berücksichtigt wurden. Prüfen Sie, ob Informationspflichten bestehen und ob die betroffenen Personen über die Zweckänderung und ihre Rechte informiert werden müssen.