DS-GVO/BDSG. David Klein

Unternehmen, die am Wettbewerb teilnehmen, als nichtöffentliche Stellen zu behandeln sind; werden Daten an diese übermittelt liegt insofern eine Übermittlung i.S.d. Abs. 2 vor.

      15

Die Übermittlung i.S.d. § 25 BDSG meint wie unter dem BDSG a.F. das zur Verfügungstellen von Daten durch Weitergabe oder das Schaffen einer Abrufmöglichkeit.[659] Tatbestandlich erforderlich ist hierfür, wie auch der Wortlaut verdeutlicht, eine Übermittlung an einen Dritten (Art. 4 Nr. 10).

      16

Ein Dritter liegt im Lichte des, nach der hier vertretenen Auffassung anzuwendenden, funktionalen Behördenbegriffes schon dann vor, wenn eine Fachabteilung einer Behörde Daten an eine andere Abteilung übermittelt.[660]

      17

      Nicht von § 25 BDSG erfasst ist hingegen die Veröffentlichung von Informationen, bspw. das Publizieren der Empfänger von Agrarsubventionen im Internet. Schließlich ist die Allgemeinheit nicht Dritter i.S.d. Art. Nr. 10. Die Veröffentlichung von Informationen rechtfertigt sich daher über § 3 BDSG.

      18

Werden die Daten von vornherein zwecks Übermittlung an eine andere Stelle erhoben, ist der zukünftige Empfänger regelmäßig sowohl für den Erhebungsprozess als auch für den Übermittlungsprozess (mit-)verantwortlich (Art. 4 Nr. 7).[661] Da es sich beim (Mit-)Verantwortlichen nicht um einen Dritten i.S.d. Art. 4 Nr. 10 handeln kann, stellt die Weitergabe von Daten an den (mit-)verantwortlichen keine Übermittlung in diesem Sinne dar und unterfällt nicht dem Anwendungsbereich des § 25 BDSG. Insofern muss auch für die Offenlegung von Daten an den (Mit-)Verantwortlichen auf § 3 BDSG zurückgegriffen werden.

      19

Aus dem Verweis auf die Voraussetzungen des § 23 in den Tatbeständen beider Absätze ergibt sich, dass nach § 25 BDSG auch zweckändernde Übermittlungen zulässig sind.[662] Der Gesetzgeber hat zudem in der Gesetzesbegründung ausdrücklich klargestellt, dass die Norm eine nationale Rechtsgrundlage für Datenübermittlung schafft, „soweit diese zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, erfolgt“.

      20

      Dies erscheint sachgerecht, da eine Datenübermittlung an einen Dritten typischerweise mit einer Zweckänderung verbunden ist. Schließlich liegt eine Zweckänderung immer dann vor, wenn die öffentliche Stelle Daten an einen (neuen) Empfänger übermittelt, ohne dass dies im Zeitpunkt der Datenerhebung bereits beabsichtigt gewesen ist. War eine Übermittlung hingegen bereits bei Datenerhebung beabsichtigt, liegt regelmäßig schon keine Übermittlung an einen Dritten vor (vgl. Rn. 18).

b) Zulässigkeitstatbestände

      21

      Die Übermittlung muss dem Wortlaut zufolge zur Erfüllung einer Aufgabe der übermittelnden (Var. 1) oder empfangenden (Var. 2) öffentlichen Stelle erfolgen und den Voraussetzungen des § 23 zur Zweckänderung entsprechen.

      22

Soweit die Übermittlung Aufgaben dient, die in den Zuständigkeitsbereich der übermittelnden Behörde fallen (§ 25 Abs. 1 S. 1 Var. 1 BDSG), entsprechen die Voraussetzungen des § 25 BDSG denen aus § 3 BDSG. Insoweit kann auf dessen Kommentierung verwiesen werden.[663] Allerdings liegt, wenn die Daten im Interesse der entsendenden Stelle übermittelt werden, etwa durch das statistische Bundesamt an (öffentliche) Betreiber von Computerprogrammen zur automatischen Auswertung der erhobenen Daten, eine Übermittlung i.S.d. § 25 BDSG nur im Ausnahmefall vor. Da die entsendende Behörde die Verantwortlichkeit für die Datenverarbeitung hier typischerweise nicht aus der Hand gibt, ist der Empfänger der Daten hier regelmäßig „lediglich“ Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 oder Mitverantwortlicher nach Art. 4 Nr. 7 und damit kein Dritter i.S.d. Art. 4 Nr. 10.[664]

      23

Der besondere Regelungsgehalt der Norm ist die Schaffung eines Zulässigkeitstatbestandes für die Übermittlung von Daten zugunsten einer Aufgabe des Empfängers (§ 25 Abs. 1 S. 1 Var. 1 BDSG), was in der Praxis den Regelfall darstellen dürfte. Von einer Legitimation ist in diesem Falle auszugehen, wenn sich die Aufgabe, zu deren Erfüllung die Übermittlung vorgenommen wird, auf eine gesetzliche Aufgabenzuweisung stützen lässt, die den Empfänger als zuständig ausweist, und der Empfang der Daten hinsichtlich Art und Umfang von der Aufgabenerfüllung mit umfasst ist.[665] Die Verarbeitung der Daten muss zudem zur Erfüllung der entsprechenden Aufgabe erforderlich sein (§ 25 S. 1 BDSG). Dies ist nur dann anzunehmen, wenn die übertragene Aufgabe ohne Kenntnis der jeweiligen Daten nicht, nicht vollständig oder nicht in rechtmäßiger Art und Weise ausgeführt werden kann.[666]

      24

Zudem müssten dem Wortlaut zufolge neben den Voraussetzungen des § 25 BDSG diejenigen des § 23 BDSG zur Zweckänderung erfüllt sein. Dies würde bedeuten, die Übermittlungsmöglichkeiten zwischen Behörden wären, unabhängig vom Vorliegen einer Zweckänderung, auf die in § 23 Abs. 1 BDSG geregelten Fälle beschränkt und daher im Vergleich zur bisherigen Regelung im § 15 BDSG a.F. verkürzt.[667] Ausweislich der Gesetzbegründung wollte der Gesetzgeber aber durch § 25 BDSG ausdrücklich dem Regelungsgehalt der §§ 15, 16 BDSG a.F. entsprechende Zulässigkeitstatbestände schaffen.[668] Dementsprechend gilt der in § 25 Abs. 1 S. 1 BDSG enthaltene Verweis auf § 23 BDSG entgegen des Wortlauts lediglich für Fälle zweckändernder Übermittlung. Im Übrigen ist der Verweis teleologisch zu reduzieren und ist insoweit auf Fälle, in denen der Übermittlungs- dem Erhebungszweck entspricht, nicht anzuwenden. Diese stellen allerdings in der Praxis eine seltene Ausnahme