Drei neue Datenschutzurteile des Europäischen Gerichtshofs

Seit Inkrafttreten der DSGVO kommt es immer wieder vor, dass die Gerichte der EU-Staaten in Auslegungsfragen den Europäischen Gerichtshof (EuGH) konsultierten. Solche grenzüberschreitenden Vorabentscheidungsverfahren sorgen für Klärung in den nationalen Rechtssprechungen. Nun urteilte der EuGH an einem einzigen Tag gleich dreimal in drängenden transeuropäischen Fragestellungen zum Datenschutz.

Wie umfänglich muss eine Kopie sein?

Art. 15 Abs. 3 DSGVO regelt innerhalb des Auskunftsrechts die Anforderungen an eine Kopie personenbezogener Daten. Im Zusammenhang mit einer Kredtitauskunftei wurde Klage erhoben, weil der Kläger mit dem Umfang der von ihm angeforderten Datenkopien nicht einverstanden war und ihm Kopien zu personenbezogenen Daten fehlten. In Art. 15 Abs. 3 heißt es: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ Wie weit aber ist der Begriff „Kopie“ gefasst? Zielt das Gesetz auf eine exakte Reproduktion von Daten oder dürfen beispielsweise auch tabellarische Zusammenstellungen Kopien sein?

Das EuGH entschied, dass „dass diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im Sinne einer weiten Bedeutung zu erhalten, die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen.“ Dabei müssen die personenbezogenen Daten vollständig übergeben werden. Für Unternehmen, die Auskunftsersuchen bearbeiten, dürfte diese Entscheidung einen Mehraufwand bedeuten – für die Ersuchenden jedoch eine lückenlose Dokumentation der von ihnen erfassten persönlichen Daten (Urteil vom 4. Mai 2023, Az.: C-487/21).

Sind Verstöße gegen Art. 26 und 30 DSGVO unrechtmäßig?

Ein weiteres Urteil behandelte die datenschutzrechtlichen Rechenschaftspflichten innerhalb der Datenverarbeitung wie in den Artikeln 26 und 30 DSGVO geregelt. Konkret ging es darum, dass ein unvollständiges bzw. fehlendes Verzeichnis über die Datenverarbeitung oder eine für ein gemeinsames Verfahren fehlende Vereinbarung die Datenverarbeitung rechtswidrig macht und Betroffen einen Anspruch auf Löschung haben. Auch hier lässt das EuGH Milde walten, wobei anzumerken ist, dass dem Urteil ein Verfahren gegen die Bundesrepublik Deutschland zugrunde liegt.

Im Urteilsbegründung des EuGH heißt es, „dass ein Verstoß gegen die Art. 26 und 30 der DSGVO durch den Verantwortlichen keine „unrechtmäßige Verarbeitung“ (…) im Sinne dieser Verordnung (…) darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung gewährt.“ So sind die Rechtmäßigkeit der Datenverarbeitung und die Erfüllung von Rechenschaftspflichten juristisch getrennt zu behandeln (Urteil vom 4. Mai 2023, Az.: C-60/22).

Begründen Datenschutz-Verstöße zwangsläufig Schadensersatzansprüche?

Das dritte Urteil gibt eine Antwort auf die Frage, inwiefern Verstöße gegen die DSGVO einen Schaden darstellen, der seitens der Betroffenen zur begründeten Erhebung von Schadensersatzansprüchen berechtigt. Hierzu waren mehrere Urteile nationaler Gerichte ergangen, die zueinander im Widerspruch standen. In einem aktuellen Fall sah sich die Österreichische Post mit einer Klage konfrontiert. Der Kläger forderte 1.000 Euro Schadensersatz, weil seine Daten über politische Vorlieben im Adresshandel weitergegeben worden waren.

Das EuGH befand, dass allein ein Verstoß gegen die DSGVO nicht automatisch einen Schadensersatzanspruch nach sich ziehe. Ein möglicher Schaden müsse sich kausal aus dem Verstoß herleiten, sonst sei er unbegründet. Gleichwohl erteilt das EuGH einer Erheblichkeitsbeschränkung des Schadensersatzanspruchs bei immateriellen Schäden eine Abfuhr. Was die Höhe des Schadensersatzes betrifft, wird die Festlegung von Ermessenskriterien in die Hände der EU-Mitgliedsstaaten gelegt (Urteil vom 4.5.2023, Az.: C-300/21).