Bisherige Urteile des EuGH:

EuGH Urteil C-307/22 v. 20.04.2023 Quelle
Permalink: https://curia.europa.eu/juris/document/document.jsf?text=&docid=272708&pageIndex=0&doclang=DE&mode=lst&dir=&occ=first&part=1&cid=526188
EuGH Urteil C‑487/21 v. 04.05.23 Quelle:
Permalink: https://curia.europa.eu/juris/document/document.jsf?text=&docid=273286&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=3974092

Zweck der Auskunft: zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden (vgl. in diesem Sinne Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C‑154/21, EU:C:2023:3, Rn. 37 und die dort angeführte Rechtsprechung).

Dies ist erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“) und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art. 16, 17 bzw. 18 DSGVO zukommen, sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr in den Art. 79 und 82 DSGVO vorgesehenes Recht auf Einlegung eines gerichtlichen Rechtsbehelfs auszuüben (Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C‑154/21, EU:C:2023:3, Rn. 38 und die dort angeführte Rechtsprechung).

Schranke: die Rechte oder Freiheiten anderer Personen. Die Schranke darf aber „nicht dazu führen [dürfen], dass der betroffenen Person jegliche Auskunft verweigert wird“, wie sich aus dem 63. Erwägungsgrund DSGVO ergibt.

Umfang des Rechts auf Auskunft: das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind.

Urteil des EuGH v. 09.01.2025(*) in der Rechtssache C-394/23
Association Mousse ./. Commission nationale de l’informatique et des libertés (CNIL), SNCF Connect

Permalink: https://curia.europa.eu/juris/document/document.jsf?text=&docid=288166&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=24685707

Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f in Verbindung mit Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

ist dahin auszulegen, dass

–        die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, weder objektiv unerlässlich noch wesentlich für die ordnungsgemäße Erfüllung eines Vertrags erscheint und daher nicht als für die Erfüllung dieses Vertrags erforderlich angesehen werden kann;

–        die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden kann, wenn

–        diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde; oder

–        diese Verarbeitung nicht innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist; oder

–        in Anbetracht aller relevanten Umstände die Grundrechte und Grundfreiheiten dieser Kunden gegenüber diesem berechtigten Interesse überwiegen können, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.

2.      Art. 6 Abs. 1 Unterabs. 1 Buchst. f der Verordnung 2016/679

ist dahin auszulegen, dass bei der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten im Sinne dieser Bestimmung nicht zu berücksichtigen ist, dass die betroffene Person möglicherweise nach Art. 21 DSGVO ein Widerspruchsrecht hat.

Aus den SCHLUSSANTRÄGEN DES GENERALANWALTS, MACIEJ SZPUNAR vom 11. Juli 2024(1)
Schlussanträge in der Rechtssache C‑394/23
Association Mousse ./. Commission nationale de l’informatique et des libertés (CNIL), SNCF Connect

Rn 58: Wie die Kommission ausführt, verweist SNCF Connect in der „Datenschutzerklärung“ auf ihrer Website auf ein „berechtigtes Interesse“ als Rechtsgrundlage für die Verarbeitung der Anrededaten. Hierzu möchte ich zwei Anmerkungen machen. Zum einen wird durch den bloßen Verweis auf ein berechtigtes Interesse ohne Angabe, worin genau dieses berechtigte Interesse besteht, die Informationspflicht nach Art. 13 Abs. 1 Buchst. d DSGVO nicht erfüllt, die den Verantwortlichen verpflichtet, das verfolgte berechtigte Interesse mitzuteilen. Zum anderen und in jedem Fall wird auch der allgemeine Verweis auf ein berechtigtes Interesse in einer „Datenschutzerklärung“, die zwar auf der Website des Verantwortlichen verfügbar ist, die der Kunde aber gezielt suchen muss, den Anforderungen von Art. 13 Abs. 1 Buchst. d DSGVO nicht gerecht. Diese Bestimmung verlangt nämlich, dass der betroffenen Person das verfolgte berechtigte Interesse zum Zeitpunkt der Erhebung der Daten mitgeteilt werden muss, was meines Erachtens bedeutet, dass eine solche Information dem Kunden unmittelbar in dem Zeitpunkt zur Kenntnis zu bringen ist, in dem er die fraglichen ihn betreffenden Daten bereitstellt.

Vorab ist darauf hinzuweisen, dass das Ziel der DSGVO, wie aus ihrem Art. 1 und aus ihren Erwägungsgründen 1 und 10 hervorgeht, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs. 1 der Charta und in Art. 16 Abs. 1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (Urteil vom 4. Oktober 2024, Schrems [Mitteilung von Daten an die breite Öffentlichkeit], C‑446/21, EU:C:2024:834, Rn. 45 und die dort angeführte Rechtsprechung).

22      Gemäß diesem Ziel muss jede Verarbeitung personenbezogener Daten insbesondere mit den in Art. 5 dieser Verordnung aufgestellten Grundsätzen für die Verarbeitung solcher Daten im Einklang stehen und die in Art. 6 der Verordnung aufgezählten Rechtmäßigkeitsvoraussetzungen erfüllen (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 27 und die dort angeführte Rechtsprechung).

23      Gemäß Art. 5 Abs. 1 Buchst. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

24      Nach Art. 5 Abs. 1 Buchst. c DSGVO, in dem der Grundsatz der Datenminimierung verankert ist, müssen diese Daten auch dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Mit diesem Grundsatz wird der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht (vgl. in diesem Sinne Urteil vom 4. Oktober 2024, Schrems [Mitteilung von Daten an die breite Öffentlichkeit], C‑446/21, EU:C:2024:834, Rn. 49 und 50 sowie die dort angeführte Rechtsprechung).

25      Was die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung angeht, enthält, wie der Gerichtshof bereits entschieden hat, Art. 6 Abs. 1 Unterabs. 1 DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 29 und die dort angeführte Rechtsprechung).

26      Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat. Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt, kann eine solche Verarbeitung gleichwohl gerechtfertigt sein, wenn sie eine der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f genannten Voraussetzungen in Bezug auf die Erforderlichkeit erfüllt (vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 91 und 92).

27      In diesem Zusammenhang sind die in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 31 und die dort angeführte Rechtsprechung).

28      Außerdem braucht nach der Rechtsprechung des Gerichtshofs, wenn festgestellt werden kann, dass eine Verarbeitung personenbezogener Daten aus einem der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Gründe erforderlich ist, nicht geprüft zu werden, ob diese Verarbeitung auch unter einen anderen dieser Gründe fällt. In diesem Zusammenhang ist darauf hinzuweisen, dass diese für die Rechtfertigung herangezogene Anforderung der Erforderlichkeit nicht erfüllt ist, wenn das im allgemeinen Interesse liegende verfolgte Ziel in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte der betroffenen Personen, insbesondere die in den Art. 7 und 8 der Charta verbürgten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, wobei sich die Ausnahmen und Einschränkungen hinsichtlich des Grundsatzes des Schutzes solcher Daten auf das unbedingt Notwendige beschränken müssen (vgl. in diesem Sinne Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 110 und die dort angeführte Rechtsprechung, sowie vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 94).

29      Schließlich ist klarzustellen, dass nach Art. 13 Abs. 1 Buchst. c dieser Verordnung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, es dem Verantwortlichen obliegt, diese Person über die Zwecke, für die diese Daten verarbeitet werden sollen, sowie über die Rechtsgrundlage dieser Verarbeitung zu informieren (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 33 und die dort angeführte Rechtsprechung).

Urteil vom 02.03.2023 – C 268/21
Permalink zum Urteil: https://curia.europa.eu/juris/document/document.jsf?text=&docid=270823&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=2113465

Wie dem Urteil vom 02.03.2023 – C 268/21 Rn. 43 zu entnehmen ist, müssen bei jeder Verarbeitung personenbezogener Daten, vorbehaltlich einer nach Art. 23 DSGVO zulässigen Ausnahmen, die in ihrem Kapitel II aufgestellten Grundsätze für die Verarbeitung personenbezogener Daten sowie die in ihrem Kapitel III geregelten Rechte der betroffenen Person beachtet werden. Insbesondere mussjede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 der Verordnung aufgestellten Grundsätzen im Einklang stehen und zum anderen die in Art. 6 der Verordnung aufgezählten Rechtmäßigkeitsvoraussetzungen erfüllen (vgl. in diesem Sinne Urteil vom 6. Oktober 2020, La Quadrature du Net u. a., C‑511/18, C‑512/18 und C‑520/18, EU:C:2020:791, Rn. 208 und die dort angeführte Rechtsprechung).

Im Zivilprozess müssen Gerichte auch im Rahmen der Beweisaufnahme, die personenbezogene Daten beinhalten, die DSGVO beachten (Urt. v. 02.03.2023 – C-268/21). In Rn. 29 ff. heißt es: „Hierzu ist erstens festzustellen, dass nach Art. 6 Abs. 1 Buchst. e DSGVO die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.“ Rn 32: „Hierzu zählen etwa die Aufgaben, die Gerichte im Rahmen ihrer Rechtsprechungsbefugnisse wahrnehmen.“

Bei der Rechtsgrundlage für die Datenverarbeitung im Gerichtsverfahren gem. Art. 6 Abs. 1 lit. e i.V.m. Abs. 3 und 4 DSGVO, sind demnach für die – vom Eingriff betroffenen Person – die im Kapitel III geregelten Rechte zu beachten (Urt. v. 02.03.2023 – C-268/21). 

Nach Kapitel III DS-GVO besteht bei einer Verarbeitung gem. Art. 6 (1) lit e) DS-GVO das Widerspruchsrecht gemäß Art. 21 (1) DS-GVO. Art. 21 zählt neben den anderen Betroffenenrechten zu den Grundlagen der Unmittelbarkeit des europäischen Grundrechteschutz.