EuGH zur Auslegung des Anwendungsbereichs des Art. 9 DSGVO

Die DSGVO sieht für bestimmte Datenkategorien spezielle Regelungen vor. Dies betrifft auch die sog. besonderen Kategorien personenbezogener Daten, deren Verarbeitung durch den Art. 9 DSGVO gesondert geregelt ist. Der Begriff der besonderen Kategorien personenbezogener Daten erfasst dabei sensible Informationen wie bspw. Daten zur ethnischen Herkunft, der politischen Meinung oder der religiösen Überzeugung einer Person. Auch Gesundheitsdaten oder Daten zur sexuellen Orientierung zählen zu den sog. „Art. 9-Daten“.

Mit dem Urteil vom 01.08.2022 (Rs. C-184/20) hat sich der Europäische Gerichtshof (EuGH) nun zum Anwendungsbereich des Art. 9 DSGVO geäußert. Dem Gerichtshof wurde die praxisrelevante Frage vorgelegt, ob auch Daten, aus denen mittels „gedanklicher Kombination oder Ableitung“ auf die sexuelle Orientierung einer Person geschlossen werden kann, unter die besonderen Kategorien der personenbezogenen Daten nach Art. 9 DSGVO fallen.

Ein litauisches Gesetz als Ausgangspunkt der EuGH-Entscheidung

Den Hintergrund des EuGH Urteils stellt ein litauisches Gesetz zur Transparenz und Korruptionsbekämpfung dar, welches die Leiter von Behörden dazu verpflichtet, eine Erklärung über private Interessen gegenüber einer Ethikkommission abzugeben. Nach erfolgter Abgabe wird diese Erklärung auf der Website der Ethikkommission veröffentlicht. Ein Leiter einer litauischen Umweltschutzorganisation sah sich durch die Abgabe dieser Erklärung in seinem Recht auf Achtung des Privatlebens verletzt und klagte vor dem Regionalverwaltungsgericht in Vilnius. Das Gericht legte dem EuGH sodann zwei Fragen zur Vorabentscheidung vor.

Der EuGH sollte sich u. a. damit auseinandersetzen, ob der Art. 9 DSGVO dahingehend auszulegen sei, dass die Veröffentlichung von personenbezogenen Daten, die geeignet sind, die politische Meinung, die Gewerkschaftszugehörigkeit oder die sexuelle Orientierung einer natürlichen Person indirekt zu offenbaren, eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne der Vorschrift darstellt. Im vorliegenden Fall war die erklärungspflichtige Person nämlich dazu verpflichtet, den vollständigen Namen des Ehegatten, Partners oder Lebensgefährten anzugeben. Zwar stellt der Name an sich noch kein Art. 9-Datum dar, jedoch kann mit dieser Information regelmäßig auf das Geschlecht des Partners und somit auf die sexuelle Orientierung der erklärungspflichtigen Person geschlossen werden. Ob ein solcher indirekter Rückschluss durch eine „gedankliche Kombination oder Ableitung“ bereits ausreicht, um den Anwendungsbereich des Art. 9 DSGVO zu eröffnen, war Gegenstand der Prüfung des EuGH.

EuGH legt Anwendungsbereich des Art. 9 DSGVO weit aus

Der EuGH nimmt in seinem Urteil eine weite Auslegung des Anwendungsbereiches des Art. 9 DSGVO vor und kommt zu dem Ergebnis, dass die Veröffentlichung von personenbezogenen Daten, die geeignet sind, die sexuelle Orientierung einer natürlichen Person indirekt zu offenbaren, eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO darstellt.

Hierzu führt der EuGH aus, dass eine dahingehende Auslegung des Wortlautes des Art. 9 Abs. 1 DSGVO („zu“, „über“), dass eine direkte Verbindung zwischen der Verarbeitung und den betreffenden Daten bestehen müsse, nicht im Einklang mit einer kontextbezogenen Analyse der Vorschrift stehe. So liefe diese enge Auslegung insbesondere dem Art. 4 Nr. 15 DSGVO sowie dem Erwägungsgrund 35 (Gesundheitsdaten) entgegen, wonach zu den Gesundheitsdaten ebenfalls solche personenbezogenen Daten zählen, aus denen Informationen über den Gesundheitszustand „hervorgehen“. Darüber hinaus sei eine weite Auslegung des Art. 9 DSGVO auch hinsichtlich des Ziels der DSGVO erforderlich, das darin besteht, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung von personenbezogenen Daten zu gewährleisten. Eine enge Auslegung der Vorschrift würde zudem dem Zweck des Art. 9 DSGVO zuwiderlaufen, welcher darin besteht, einen erhöhten Schutz vor Datenverarbeitungen zu garantieren, die aufgrund der besonderen Sensibilität der entsprechenden Daten einen besonders schweren Eingriff in die Rechte und Freiheiten der Betroffenen darstellen können.

Ausuferung der Anwendungsfälle des Art. 9 DSGVO als Folge des Urteils?

Diese abstrakten Ausführungen des EuGH führen auf den ersten Blick zu einer erheblichen Ausweitung der Anwendungsfälle des Art. 9 DSGVO. Ein indirekter Rückschluss auf besondere Kategorien personenbezogener Daten ist nämlich bei vielen Datenverarbeitungen denkbar. So kann die Angabe des Namens oder des Geburtsorts ein Indiz für die ethnische Herkunft einer Person sein. Fotos und Videoaufnahmen von Brillenträgern, Rollstuhlfahren oder gehbehinderten Menschen ermöglichen Rückschlüsse auf den Gesundheitszustand. Auch bei der Bestellung von Arzneimitteln oder bei Angaben über die Teilnahme an einer politischen Veranstaltung wäre eine Anwendung des Art. 9 DSGVO demnach grundsätzlich vorstellbar.

Eine solche Ausuferung der Anwendungsfälle des Art. 9 DSGVO wäre für die verantwortlichen Stellen mit einem erheblichen organisatorischen (Mehr-)Aufwand verbunden. So ist eine Verarbeitung von besonderen Kategorien personenbezogener Daten grundsätzlich verboten (Art. 9 Abs. 1 DSGVO) und nur unter den strengen Ausnahmen des Art. 9 Abs. 2 DSGVO zulässig. Im Gegensatz zum Art. 6 DSGVO erlaubt der Ausnahmekatalog des Art. 9 DSGVO insbesondere keine Datenverarbeitung zur Vertragserfüllung oder zur Wahrung eines berechtigten Interesses, sodass im Zweifel eine Einwilligung der betroffenen Personen eingeholt werden müsste. Eine Verarbeitung von Art. 9-Daten senkt darüber hinaus die Schwelle für die Notwendigkeit der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 Abs. 3 lit. b DSGVO) und der Benennung eines Datenschutzbeauftragten (Art. 37 Abs. 1 lit. c DSGVO). Auch im Hinblick auf die Datensicherheit müssten entsprechend höhere Anforderungen an die technischen und organisatorischen Maßnahmen gestellt werden, da die Verarbeitung von sensiblen Informationen zwangsläufig mit einem potenziell höheren Risiko für die Rechte und Freiheiten der betroffenen Personen einhergeht.

Berücksichtigung des Verarbeitungskontextes bei der Anwendung des Art. 9 DSGVO

Hinsichtlich dieser erhöhten datenschutzrechtlichen Anforderungen, stellt sich für die meisten Verantwortlichen vermutlich die praxisrelevante Frage, ob sich die Argumentation des EuGH überhaupt auf andere Konstellationen übertragen lässt. Die Kommentarliteratur geht diesbezüglich davon aus, dass bei der Beantwortung der Frage, ob aus bestimmten Informationen das Vorliegen eines sensiblen Datums „hervorgeht“, auch immer der konkrete Verarbeitungskontext zu berücksichtigen ist (Albers/Veit in: BeckOK DatSchR, Art. 9 Rn. 30; Weichert, in: Kühling/Buchner, Art. 9 Rn. 22 f.). So dürfe grundsätzlich nicht jede mittelbare Angabe zu den Art. 9-Daten den besonderen Schutz der Vorschrift in Anspruch nehmen. Der Zweck der Norm bestehe nämlich gerade darin, die betroffenen Personen (ausschließlich) vor besonders riskanten Datenverarbeitungen zu schützen.

Überträgt man diese Überlegungen auf den konkreten EuGH-Sachverhalt, ist eine Anwendung des Art. 9 DSGVO vertretbar. Zwar verfolgt die Ethikkommission selbst nicht die Absicht, Daten über die sexuelle Orientierung der betroffenen Personen zu verarbeiten. Die Veröffentlichung der Erklärung im Internet führte aber dazu, dass ein solcher indirekter Rückschluss auf die sensible Information für einen unbestimmten und unkontrollierbaren Personenkreis theoretisch möglich war. Hierdurch ergeben sich auf Seiten der Betroffenen Risiken, die einen Schutz durch den Art. 9 DSGVO rechtfertigen.

In vielen anderen Konstellationen spricht der Verarbeitungskontext jedoch gegen eine Anwendung des Art. 9 DSGVO. So erfolgt bspw. die Datenverarbeitung bei einer Bestellung von Arzneimitteln regelmäßig zu dem Zweck, die Bestellung ordnungsgemäß durchzuführen. Ein Rückschluss auf die Gesundheitsdaten der Betroffenen ist in diesem Fall nicht beabsichtigt und – mangels einer Veröffentlichung – auch für Dritte nicht möglich. Dasselbe gilt für Videoüberwachungen bei denen möglicherweise Brillenträger oder Rollstuhlfahrer aufgenommen werden. Die Verarbeitung der Daten erfolgt hier für die Zwecke der Sicherheit. Die indirekte Erhebung von Gesundheitsdaten ist nicht geplant bzw. erforderlich und auch für externe Personen nicht möglich.

Diese Beispielfälle zeigen, dass die Verarbeitung von personenbezogenen Daten, die theoretisch einen Rückschluss auf sensible Informationen zulassen, nicht zwangsläufig mit einem besonders hohen Risiko für die Betroffenen einhergeht. In solchen Fällen sollte der Art. 9 DSGVO, im Hinblick auf den Schutzzweck der Norm, unangewendet bleiben.

Fazit

Der EuGH hat mit seinem Urteil und der extrem weiten Auslegung des Art. 9 DSGVO bereits jetzt für Aufsehen und reichlich Diskussionen gesorgt. Ob die Entscheidung letztendlich tatsächlich dahingehend auszulegen sein wird, dass nun jeder indirekte Bezug auf ein sensibles Datum ausreicht, um den Anwendungsbereich des Art. 9 DSGVO zu eröffnen, bleibt abzuwarten.

Für die datenschutzrechtliche Beratungspraxis wäre eine konkretere Begründung durch den EuGH gleichwohl wünschenswert gewesen. Derzeit bleibt insofern allein die Möglichkeit, mit Spannung auf die ersten Stellungnahmen und Orientierungshilfen der Aufsichtsbehörden zu diesem Themenkomplex zu warten, aus denen sich dann sicherlich die ersten konkreten Handlungsempfehlungen für die datenschutzrechtliche Praxis entnehmen lassen werden.

Wir werden Sie auf jeden Fall in unserem Blog über dieses Thema auf dem Laufenden halten.