[pinguin]

Mal wieder passt nicht alles in die Titelzeile

Die zuständige Aufsichtsbehörde darf zu jeder Zeit und auch ohne Auftrag die Löschung rechtswidrig erhobener personen-bezogener Daten bei dem Auftragsdatenverarbeitenden anordnen und zwar unabhängig davon, woher die Daten stammen.

URTEIL DES GERICHTSHOFS (Fünfte Kammer)

14. März 2024(*)

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 58 Abs. 2 Buchst. d und g – Befugnisse der Aufsichtsbehörde eines Mitgliedstaats – Art. 17 Abs. 1 – Recht auf Löschung (‚Recht auf Vergessenwerden‘) – Löschung personenbezogener Daten, die unrechtmäßig verarbeitet wurden – Befugnis der nationalen Aufsichtsbehörde, den Verantwortlichen oder den Auftragsverarbeiter ohne vorherigen Antrag der betroffenen Person zur Löschung dieser Daten anzuweisen“

In der Rechtssache C-46/23
https://curia.europa.eu/juris/document/document.jsf?docid=283833&mode=req&pageIndex=1&dir=&occ=first&part=1&text=&doclang=DE&cid=932492

Aus diesen Gründen hat der Gerichtshof (Fünfte Kammer) für Recht erkannt:

1.      Art. 58 Abs. 2 Buchst. d und g der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

ist dahin auszulegen, dass

die Aufsichtsbehörde eines Mitgliedstaats den Verantwortlichen oder Auftragsverarbeiter in Ausübung ihrer in diesen Bestimmungen vorgesehenen Abhilfebefugnisse selbst dann zur Löschung unrechtmäßig verarbeiteter personenbezogener Daten anweisen darf, wenn die betroffene Person keinen entsprechenden Antrag auf Ausübung ihrer Rechte nach Art. 17 Abs. 1 dieser Verordnung gestellt hat.

2.      Art. 58 Abs. 2 der Verordnung 2016/679

ist dahin auszulegen, dass

sich die Befugnis der Aufsichtsbehörde eines Mitgliedstaats, die Löschung unrechtmäßig verarbeiteter personenbezogener Daten anzuordnen, sowohl auf bei der betroffenen Person erhobene als auch auf aus einer anderen Quelle stammende Daten beziehen kann.

31      Zunächst ist darauf hinzuweisen, dass die in den Rn. 27 und 28 des vorliegenden Urteils genannten einschlägigen Bestimmungen des Unionsrechts in Verbindung mit Art. 5 Abs. 1 DSGVO zu lesen sind, in dem die Grundsätze für die Verarbeitung personenbezogener Daten festgelegt sind, zu denen nach Buchst. a auch der Grundsatz gehört, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen.

32      Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche nach dem in dieser Bestimmung verankerten Grundsatz der „Rechenschaftspflicht“ für die Einhaltung von Art. 5 Abs. 1 verantwortlich und muss nachweisen können, dass jeder der dort genannten Grundsätze eingehalten worden ist, wofür ihm die Beweislast obliegt (Urteil vom 4. Mai 2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C-60/22, EU:C:2023:373, Rn. 53 und die dort angeführte Rechtsprechung).

33      Entspricht die Verarbeitung personenbezogener Daten nicht den u. a. in Art. 5 DSGVO festgelegten Grundsätzen, so dürfen die Aufsichtsbehörden der Mitgliedstaaten im Einklang mit ihren Aufgaben und Befugnissen nach den Art. 57 und 58 DSGVO tätig werden. Zu diesen Aufgaben gehört es gemäß Art. 57 Abs. 1 Buchst. a DSGVO u. a., die Anwendung der Verordnung zu überwachen und durchzusetzen (vgl. in diesem Sinne Urteil vom 16. Juli 2020, Facebook Ireland und Schrems, C-311/18, EU:C:2020:559, Rn. 108).

Hinweise:
Die in der zitierten Rn. 33 benannte Entscheidung C-311/18 ist im Forum bereits thematisiert

EuGH C-311/18 - Gesetz selber muß Tragweite des Grundrechtseingriffes festlegen
https://gez-boykott.de/Forum/index.php?topic=36785.0

Die in der zitierten Rn. 32 benannte Entscheidung C-60/22 ist nun im Forum auch thematisiert

EuGH C-60/22 - DSGVO - Begriff "unrechtmäßige Verarbeitung"
https://gez-boykott.de/Forum/index.php?topic=37841.0

Hinweis:
Da in Rechtssache C-60/22 auf Rechtssache C-439/19 verwiesen wird, hat es auch das Unionsland Deutschland schriftlich, daß eine öffentliche Einrichtung keine personen-bezogenen Daten zwecks Weiterverarbeitung an Wirtschaftsteilnehmer übermitteln darf.