Im heutigen Blogbeitrag befassen wir uns mit der Informationspflicht bei einer indirekten Datenerhebung und einem aktuellen Urteil des Europäischen Gerichtshofs (EuGH) dazu.
Das EuGH-Urteil vom 28.11.2024 in der Rechtssache C-169/23 betrifft das Vorabentscheidungsersuchen des Obersten Gerichts in Ungarn. Im Mittelpunkt steht die Auslegung des Art. 14 Abs. 5 lit. c DSGVO in Bezug auf Ausnahmen von der Informationspflicht des Verantwortlichen gegenüber betroffenen Personen.
Sachverhalt
Dem Kläger wurde auf Grundlage nationaler Vorschriften ein Covid-Zertifikat (Impfnachweis) ausgestellt. Da die ausstellende Behörde keine Datenschutzinformationen bereitstellte und sich auf die Ausnahme des Art. 14 Abs. 5 lit. c DSGVO berief, leitete der Kläger zunächst ein Beschwerdeverfahren nach Art. 77 Abs. 1 DSGVO ein. Er beantragte bei der zuständigen Aufsichtsbehörde, die ausstellende Behörde anzuweisen die Verarbeitungsprozesse unter Einhaltung datenschutzrechtlicher Vorgaben der DSGVO durchzuführen. Konkret beanstandete er dabei,
„[…] dass die ausstellende Behörde keine Erklärung über den Schutz personenbezogener Daten im Zusammenhang mit der Ausstellung der Immunitätszertifikate erstellt und veröffentlicht habe, und machte geltend, dass es keine Informationen über den Zweck und die Rechtsgrundlage der Verarbeitung dieser Daten sowie darüber, welche Rechte die betroffenen Personen hätten und wie sie diese ausüben könnten, gegeben hätte.“ (Rn. 22)
Nachdem die nationale Aufsichtsbehörde den Antrag zurückwies, erhob er Klage beim zuständigen nationalen Gericht, welches seinem Antrag entsprach. Das nationale Gericht vertrat dabei die Auffassung, dass die Ausnahme nur für Konstellationen greift, in welchen der Verantwortliche die Daten aus anderen Quellen erhält. Nicht jedoch für Konstellationen, in welchen die Daten vom Verantwortlichen selbst generiert werden.
Gegen dieses Urteil wurde wiederum von der Aufsichtsbehörde Rechtsmittel beim Obersten Gericht in Ungarn eingelegt, welches das Verfahren aussetzte und die nachfolgenden Fragen zur Vorabentscheidung dem EuGH vorlegte:
Vorlagefragen
- Gilt die Ausnahme in Art. 14 Abs. 5 lit. c DSGVO auch für Daten, die vom Verantwortlichen im Rahmen seiner Aufgabenerfüllung selbst generiert wurden?
- Darf die Aufsichtsbehörde im Rahmen eines Beschwerdeverfahrens prüfen, ob das nationale Recht, auf welches sich der Verantwortliche im Rahmen des Ausnahmetatbestands des Art. 14 Abs. 5 lit. c DSGVO beruft, geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsieht? Und umfasst diese Prüfung auch die Geeignetheit der Maßnahmen, zu deren Durchführung der Verantwortliche nach Art. 32 DSGVO verpflichtet ist?
Urteil des EuGH
Zu 1.:
Art. 14 Abs. 5 lit. c DSGVO ist dahingehend auszulegen, „[…] dass die in dieser Bestimmung vorgesehene Ausnahme von der Pflicht des Verantwortlichen zur Information der betroffenen Person unterschiedslos alle personenbezogenen Daten betrifft, die der Verantwortliche nicht unmittelbar bei der betroffenen Person erhoben hat, unabhängig davon, ob der Verantwortliche diese Daten von einer anderen Person als der betroffenen Person erlangt hat oder er selbst sie im Rahmen der Erfüllung seiner Aufgaben erzeugt hat.“ (Rn. 55)
Zu 2.:
„[…] die Aufsichtsbehörde [darf] im Rahmen eines Beschwerdeverfahrens prüfen […], ob das Recht des Mitgliedstaats, dem der Verantwortliche unterliegt, für die Zwecke der Anwendung der in Art. 14 Abs. 5 Buchst. c dieser Verordnung vorgesehenen Ausnahme geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsieht. Diese Prüfung betrifft jedoch nicht die Geeignetheit der Maßnahmen, zu deren Durchführung der Verantwortliche nach Art. 32 der genannten Verordnung verpflichtet ist, um die Sicherheit der Verarbeitung personenbezogener Daten zu gewährleisten.“ (Rn. 75, Nr. 2)
Fazit
Die Entscheidung mag durchaus überraschen. Während im Rahmen von Ausnahmetatbeständen der DSGVO immer wieder eine sehr restriktive Handhabung empfohlen wird, ist der Ausnahmetatbestand des Art. 14 Abs. 5 lit. c DSGVO doch sehr weit auszulegen. Gleichzeitig werden die Rechte und Freiheiten der Betroffenen weiter gestärkt, da die Verantwortlichen in die Pflicht genommen werden, eine konkrete Prüfung der nationalen Gesetzgebung dahingehend vorzunehmen, ob geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Personen gewährleistet werden. Diese können im Rahmen von Beschwerden auch von Aufsichtsbehörden geprüft werden.