Drei bemerkenswerte Urteile des EuGH zum Datenschutz

Seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) haben die Gerichte der EU-Mitgliedstaaten in verschiedenen Auslegungsfragen wiederholt den Europäischen Gerichtshof (EuGH) um Klärung gebeten. Diese grenzüberschreitenden Vorabentscheidungsverfahren dienen dazu, Rechtssicherheit in nationalen Rechtsprechungen zu schaffen. Kürzlich hat der EuGH an einem einzigen Tag in drei dringenden, grenzüberschreitenden Datenschutzfragen Urteile gefällt.

Umfang von Datenkopien nach Art. 15 Abs. 3 DSGVO

Artikel 15 Absatz 3 der DSGVO regelt das Recht auf Auskunft und legt die Anforderungen an Datenkopien personenbezogener Daten fest. In einem Fall, der eine Auskunftei betraf, wurde Klage erhoben, da der Kläger mit dem Umfang der angeforderten Datenkopien nicht zufrieden war und ihm Kopien bestimmter personenbezogener Daten fehlten. Gemäß Art. 15 Abs. 3 muss der Verantwortliche „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen“. Die Frage, die sich hierbei stellt, ist, wie der Begriff „Kopie“ in der Verordnung definiert ist. Bezieht sich die Verordnung auf eine exakte Reproduktion der Daten oder können beispielsweise auch tabellarische Zusammenstellungen als Kopien betrachtet werden?

Der EuGH urteilte, dass gemäß dieser Bestimmung betroffene Personen das Recht haben, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im Sinne einer umfassenden Auslegung zu erhalten, die Gegenstand von Verarbeitungsvorgängen sind, die vom Verantwortlichen für diese Verarbeitung durchgeführt werden müssen. Dabei müssen die personenbezogenen Daten vollständig übergeben werden. Diese Entscheidung dürfte für Unternehmen, die Auskunftsersuchen bearbeiten, zusätzlichen Aufwand bedeuten, während sie den Antragstellern eine lückenlose Dokumentation der von ihnen erfassten persönlichen Daten ermöglicht (Urteil vom 4. Mai 2023, Az.: C-487/21).

Verstöße gegen Art. 26 und 30 DSGVO

Das zweite Urteil befasste sich mit den datenschutzrechtlichen Rechenschaftspflichten bei der Datenverarbeitung gemäß den Artikeln 26 und 30 der DSGVO. Konkret ging es um die Frage, ob eine unvollständige oder fehlende Dokumentation über die Datenverarbeitung oder das Fehlen einer Vereinbarung für eine gemeinsame Verarbeitung die Datenverarbeitung rechtswidrig macht und den Betroffenen ein Anspruch auf Löschung gewährt. Der EuGH zeigte in diesem Fall Nachsicht, wobei anzumerken ist, dass dem Urteil ein Verfahren gegen die Bundesrepublik Deutschland zugrunde liegt.

In der Urteilsbegründung des EuGH wurde festgestellt, dass ein Verstoß gegen Art. 26 und 30 der DSGVO durch den Verantwortlichen keine „unrechtmäßige Verarbeitung“ im Sinne der Verordnung darstellt, die den betroffenen Personen ein Recht auf Löschung oder Einschränkung der Verarbeitung gewährt. Somit sind die Rechtmäßigkeit der Datenverarbeitung und die Erfüllung der Rechenschaftspflichten rechtlich getrennt zu behandeln (Urteil vom 4. Mai 2023, Az.: C-60/22).

Führen Datenschutzverstöße zwangsläufig zu Schadensersatzansprüchen?

Ob Verstöße gegen die DSGVO automatisch einen Schaden darstellen, der zu berechtigten Schadensersatzansprüchen seitens der Betroffenen führt, beantwortet Urteil Nummer drei. Es gab widersprüchliche Urteile nationaler Gerichte zu dieser Frage. In einem aktuellen Fall wurde die Österreichische Post mit einer Klage konfrontiert, in der der Kläger 1000 Euro Schadensersatz forderte, da seine Daten über politische Vorlieben im Adresshandel weitergegeben wurden.

Der EuGH entschied, dass allein ein Verstoß gegen die DSGVO nicht automatisch einen Schadensersatzanspruch nach sich zieht. Ein möglicher Schaden muss kausal auf den Verstoß zurückzuführen sein, ansonsten ist er unbegründet. Dennoch lehnte der EuGH eine Beschränkung des Schadensersatzanspruchs bei immateriellen Schäden ab. In Bezug auf die Höhe des Schadensersatzes obliegt es den EU-Mitgliedstaaten, Ermessenskriterien festzulegen (Urteil vom 4. Mai 2023, Az.: C-300/21).