(Zur Übersicht: ThürDSG)
§ 16 Verarbeitung personenbezogener Daten
((Artikel 6 und 9 der Verordnung (EU) 2016/679)
(1) Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen im öffentlichen Interesse liegenden Aufgabe erforderlich ist oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Abs. 1 der Verordnung (EU) 2016/679 ist unbeschadet anderer Rechtsvorschriften zulässig, soweit und solange
1. dies zur Abwehr erheblicher Nachteile für das Gemeinwohl oder von Gefahren für die öffentliche Sicherheit erforderlich ist,
2. dies aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist, insbesondere wenn tatsächliche Anhaltspunkte dafür vorliegen, dass die Funktionsfähigkeit der Verwaltung wesentlich gefährdet wird,
3. sie zur Durchführung wissenschaftlicher oder historischer Forschung erforderlich ist, das wissenschaftliche Interesse an der Durchführung des Forschungsvorhabens das Interesse der betroffenen Person an dem Ausschluss der Verarbeitung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann,
4. sie erforderlich ist, um den Rechten und Pflichten der öffentlichen Stellen auf dem Gebiet des Dienst- und Arbeitsrechts Rechnung zu tragen, oder
5. sie zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal, welches dem Berufsgeheimnis unterliegt, oder durch sonstige Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen, erfolgt.
In den Fällen des Satzes 1 Nr. 1 bis 4 sind angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Personen vorzusehen.
(Anmerkung: Abs. 2 Nr. 2 war im Entwurf der Landesregierung, Thüringer Landtag Drucksache 6/4943, noch nicht enthalten, Nr. 3-5 waren Nr. 2-4 im Entwurf.)
(Zur Zählung der Nr. im Abs. 2 siehe Anmerkung oben.)
Zu § 16
Verarbeitung personenbezogener Daten (Artikel 6 und 9 der Ver-ordnung (EU) 2016/679)
§ 16 regelt die Rechtmäßigkeit der Verarbeitung von personenbezogenen Daten allgemein sowie für besondere Kategorien personenbezogener Daten in Ergänzung zu Artikel 6 und Artikel 9 der Verordnung (EU) 2016/679. Erfolgt die Datenverarbeitung nicht im Anwendungsbereich der Verordnung (EU) 2016/679, so ist diese nach § 2 Abs. 5 entsprechend anwendbar.
Zu Absatz 1:
Mit Absatz 1 wird eine Rechtsgrundlage für die Datenverarbeitung durch öffentliche Stellen auf der Grundlage von Artikel 6 Abs. 1 Buchst. e in Verbindung mit Artikel 6 Abs. 2 und 3 Satz 1 der Verordnung (EU) 2016/679 geschaffen. Die Verarbeitung personenbezogener Daten durch öffentliche Stellen ist nach der Bestimmung zulässig, wenn sie für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist oder wenn sie in Ausübung öffentlicher Gewalt erfolgt, die ihr übertragen wurde. Neben den in Absatz 1 genannten Voraussetzungen ist jede Form der Datenverarbeitung auch unter den übrigen in Artikel 6 Abs. 1 der Verordnung (EU) 2016/679 genannten sonstigen Voraussetzungen sowie aufgrund spezialgesetzlicher Rechtsgrundlage auf Grundlage von Artikel 6 Abs. 1 Buchst. e der Verordnung (EU) 2016/679 zulässig.
Zu Absatz 2:
Absatz 2 regelt die Verarbeitung besonderer Kategorien personenbezogener Daten und dient der Umsetzung der in Artikel 9 Abs. 2 Buchst. g, j, b und h der Verordnung (EU) 2016/679 genannten Voraussetzungen für die Zulässigkeit der Verarbeitung dieser Datenkategorien. Die in Absatz 2 genannten Tatbestände gelten unbeschadet anderer Bestimmungen. Die Verarbeitung besonderer Kategorien personenbezogener Da-ten kann auch auf Grundlage von Artikel 9 Abs. 2 der Verordnung (EU) 2016/679 und anderen spezifischen Bestimmungen erfolgen. Durch Absatz 2 werden die Ausnahmetatbestände der bisherigen Regelung des § 4 Abs. 5 Nr. 5 bis 8 ThürDSG a.F. aufrechterhalten. Die bisherigen Nummern 1 bis 4 ergeben sich unmittelbar aus Artikel 9 Abs. 2 der Verordnung (EU) 2016/679.
Zu Satz 1:
Artikel 9 Abs. 2 Buchst. g, j, b und h der Verordnung (EU) 2016/679 setzen voraus, dass die Verarbeitung besonderer Kategorien personenbezogener Daten erforderlich ist und geeignete Garantien oder angemes-sene Maßnahmen für die betroffenen Personen vorgesehen sind. Durch die Formulierung „soweit und solange“ wird sowohl eine inhaltliche als auch zeitliche Angemessenheitsprüfung statuiert.
Zu Nummer 1:
Nummer 1 regelt die Zulässigkeit der Datenverarbeitung zur Abwehr erheblicher Nachteile für das Gemeinwohl oder von Gefahren für die öffentliche Sicherheit und dient der Umsetzung von Artikel 9 Abs. 2 Buchst.g der Verordnung (EU) 2016/679.Es handelt sich bei dem in der Verordnung (EU) 2016/679 verlangten erheblichen öffentlichen Interesses um einen auslegungsbedürftigen europarechtlich geprägten Begriff. Die Verordnung (EU) 2016/679 selbst definiert den Begriff nicht. In Erwägungsgrund 20 werden bestimmte öffentliche Interessen genannt, zu denen beispielhaft die öffentliche Sicherheit gehört. Erwägungsgründe 50 und 73 nennen das allgemeine öffentliche Interesse und beispielhaft dafür wirtschaftliche oder finanzielle Interessen. Erwägungsgrund 112 schließlich erwähnt wichtige Gründe des öffentlichen Interesses und beispielhaft dafür den internationalen Datenaustausch zwischen Wettbewerbs-, Steuer- oder Zollbehörden, zwischen Finanzaufsichtsbehörden oder zwischen für Angelegenheiten der sozialen Sicherheit oder für die öffentliche Gesundheit zuständigen Diensten, beispielsweise im Falle der Umgebungsuntersuchung bei ansteckenden Krankheiten oder zur Verringerung und/oder Beseitigung des Dopings im Sport. Das erhebliche öffentliche Interesse im Sinne von Artikel 9 Abs. 2 Buchst. g der Verordnung (EU) 2016/679 stellt in diesem Gefüge ein gesteigertes Interesse der Öffentlichkeit dar. Nicht jede Angelegenheit stellt daher ein erhebliches öffentliches Interesse dar. Es muss sich um beträchtliche, ins Gewicht fallende Belange der Allgemeinheit handeln. Die in Nummer 1 genannten Gründe stellen jeweils ein erhebliches wichtiges öffentliches Interesse dar. Unter einem erheblichen öffentlichen Interesse im Sinne des Artikels 9 Abs. 2 Buchst. g der Verordnung (EU) 2016/679 werden damit auch die Abwehr von Gefahren für das Gemeinwohl und die öffentliche Sicherheit gefasst.
Zu Nummer 2:
Nummer 2 regelt die Datenverarbeitung zur Durchführung wissenschaftlicher oder historischer Forschung und dient der Umsetzung von Artikel9 Abs. 2 Buchst. j der Verordnung (EU) 2016/679. Die Bestimmung entspricht zum Teil dem bisherigen Recht und wurde sprachlich an Artikel5 und Artikel 89 der Verordnung (EU) 2016/679 angepasst.
Zu Nummer 3:
Nummer 3 regelt die Datenverarbeitung im Beschäftigungskontext, um den Rechten und Pflichten der öffentlichen Stellen auf dem Gebiet des Dienst- und Arbeitsrechts Rechnung zu tragen und dient der Umsetzung von Artikel 9 Abs. 2 Buchst. b der Verordnung (EU) 2016/679.Zu Nummer 4:Nummer 4 regelt die Datenverarbeitung zum Zweck der Gesundheits-vorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung, der Behandlung oder für die Verwaltung von Gesundheitsdiensten und dient der Umsetzung von Artikel 9 Abs. 2 Buchst. h in Verbindung mit Abs. 3 der Verordnung (EU) 2016/679.
Zu Satz 2:
Satz 2 fasst für alle Ausnahmetatbestände die in Artikel 9 Abs. 2 der Verordnung (EU) 2016/679 genannten spezifischen Anforderungen an die Rechtsgrundlage zusammen.Angemessene und spezifische Maßnahmen, beziehungsweise Garantien zur Wahrung der Grundrechte und Interessen der betroffenen Person können beispielsweise in geeigneten technischen und organisato-rischen Maßnahmen im Sinne der Artikel 24, 25 und 32 der Verordnung (EU) 2016/679 bestehen. Die in Artikel 9 Abs. 2 Buchst. h und Absatz 3 der Verordnung (EU) 2016/679 geforderten besonderen Garantien werden unmittelbar durch § 16 Abs. 2 Nr. 4 umgesetzt und sind daher von Satz2 ausgenommen. Weitere spezifische Maßnahmen zum Schutz der betroffenen Person ergeben sich aus den speziellen Rechtsgrundlagen für die Datenverarbeitung im Gesundheitsbereich. Artikel 25 und 32 der Verordnung (EU) 2016/679 enthalten bereits Vorgaben zu den zu treffenden Maßnahmen. Die Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen ist sowohl bei Artikel 25 als auch Artikel 32 der Verordnung (EU) 2016/679 zu berücksichtigen. Bei der Verarbeitung besonders sensibler Daten sind die Maßnahmen also entsprechend durch besonders starke Schutzmechanismen auszufüllen.
(Quelle: Thüringer Landtag Drucksache 6/4943, S. 101f.)