[pinguin]

Vorabhinweis:
Die Entscheidung ist ganz aktuell, sie ist vom 11. Juli 2024, und Folge einer Vorlage des Bundesgerichtshof auf Grund eines Rechtsstreites zwischen Meta und dem Verbraucherschutz-Bundesverband.

Es wird klargestellt, daß personen-bezogene Daten nur auf rechtmäßige Weise verarbeitet und weiterverarbeitet werden dürfen; Voraussetzung für die Rechtmäßigkeit der Verarbeitung personen-bezogener Daten ist die Info des für die Verarbeitung Verantwortlichen an jene Person, deren Daten verarbeitet werden sollen; diese Info hat vor der beabsichtigten Datenverarbeitung zu erfolgen.

Ohne diese Info entfällt die Rechtsgrundlage zur Verarbeitung dieser personen-bezogenen Daten, denn Info und Verabeitung sind untrennbar miteinander verbunden; siehe auch die Aussage in Rn. 51 des Schlußantrages.

URTEIL DES GERICHTSHOFS (Vierte Kammer)

11. Juli 2024(*)

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 12 Abs. 1 Satz 1 – Transparente Information – Art. 13 Abs. 1 Buchst. c und e – Informationspflicht des Verantwortlichen – Art. 80 Abs. 2 – Vertretung von betroffenen Personen durch einen Verband zur Wahrung von Verbraucherinteressen – Verbandsklage ohne Auftrag und unabhängig von der Verletzung konkreter Rechte einer betroffenen Person – Auf eine Verletzung der Informationspflicht durch den Verantwortlichen gestützte Klage – Begriff ‚Verletzung der Rechte einer betroffenen Person infolge einer Verarbeitung‘“

In der Rechtssache C-757/22
https://curia.europa.eu/juris/document/document.jsf?text=&docid=288148&pageIndex=0&doclang=de&mode=req&dir=&occ=first&part=1&cid=10489

Aus diesen Gründen hat der Gerichtshof (Vierte Kammer) für Recht erkannt:

Art. 80 Abs. 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

ist dahin auszulegen, dass

die Voraussetzung, wonach eine befugte Einrichtung, um eine Verbandsklage im Sinne dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die in dieser Verordnung vorgesehenen Rechte einer betroffenen Person „infolge einer Verarbeitung“ im Sinne dieser Bestimmung verletzt wurden, erfüllt ist, wenn sich diese Einrichtung darauf beruft, dass die Verletzung der Rechte dieser Person anlässlich einer Verarbeitung personenbezogener Daten geschieht und auf einer Missachtung der Pflicht beruht, die dem Verantwortlichen gemäß Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e der Verordnung obliegt, der betroffenen Person spätestens bei dieser Datenerhebung Informationen über den Zweck der Datenverarbeitung und die Empfänger der Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.

59      Zweitens könnte, wie der Generalanwalt in Nr. 47 seiner Schlussanträge ausgeführt hat, eine behauptete Verletzung des Rechts der betroffenen Personen, hinreichend über alle Umstände im Zusammenhang mit einer Verarbeitung personenbezogener Daten, einschließlich des Zwecks der Verarbeitung und des Empfängers der Daten, informiert zu werden, der Erteilung einer Einwilligung „in informierter Weise“ im Sinne von Art. 4 Nr. 11 DSGVO entgegenstehen, was diese Verarbeitung rechtswidrig im Sinne von Art. 5 Abs. 1 der Verordnung machen kann.

62      Das Recht einer durch eine Verarbeitung personenbezogener Daten betroffenen Person aus Art 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c und e DSGVO, vom Verantwortlichen Informationen über den Zweck der Datenverarbeitung und die Empfänger personenbezogener Daten spätestens bei der Erhebung dieser Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt zu bekommen, stellt folglich ein Recht dar, bei dessen Verletzung von dem in Art. 80 Abs. 2 der Verordnung vorgesehenen Verbandsklagemechanismus Gebrauch gemacht werden kann.

SCHLUSSANTRÄGE DES GENERALANWALTS
JEAN RICHARD DE LA TOUR
vom 25. Januar 2024(1)
Rechtssache C-757/22
https://curia.europa.eu/juris/document/document.jsf?text=&docid=282082&pageIndex=0&doclang=de&mode=req&dir=&occ=first&part=1&cid=10489

45.      Unter diesen Umständen bin ich der Ansicht, dass der Bundesverband im Rahmen seiner Klage im Einklang mit Art. 80 Abs. 2 DSGVO geltend macht, dass „die Rechte einer betroffenen Person gemäß dieser Verordnung infolge einer Verarbeitung verletzt worden sind“.

46.      Denn zum einen sind sowohl Art. 12 als auch Art. 13 DSGVO Teil von Kapitel III dieser Verordnung, das mit „Rechte der betroffenen Person“ überschrieben ist. Unter Berücksichtigung der Informationspflicht, die gemäß diesen Artikeln auf dem Verantwortlichen lastet, gehören die sich daraus ergebenden Rechte der betroffenen Personen zu den Rechten, die durch die in Art. 80 Abs. 2 der genannten Verordnung vorgesehene Verbandsklage geschützt werden sollen.

47.      Zum anderen könnte die behauptete Verletzung des Rechts der betroffenen Personen, hinreichend über alle Umstände im Zusammenhang mit einer Verarbeitung personenbezogener Daten, einschließlich des Zwecks der Verarbeitung und des Empfängers der Daten, informiert zu werden, der Erteilung einer „informierten“ Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO entgegenstehen, was diese Verarbeitung rechtswidrig machen kann.

48.      Daher ist es für die Erhebung einer Verbandsklage nach Art. 80 Abs. 2 DSGVO ausreichend, wenn eine Einrichtung eine Verletzung der Informationspflicht des Verantwortlichen geltend macht und die betreffende Verarbeitung – im vorliegenden Fall die Verarbeitung, die stattfindet, wenn eine Person auf den Button „Sofort spielen“ drückt – angibt. Dabei muss es sich um eine Datenverarbeitung handeln, die die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen kann(26), was bedeutet, dass die Verarbeitung existieren muss und somit nicht rein hypothetischer Natur sein darf.

49.      Zudem ist es meines Erachtens unerheblich, ob die Einrichtung die Verletzung einer Pflicht geltend macht, die einer Verarbeitung personenbezogener Daten vorausgeht. Dies ist bei der Informationspflicht, die gemäß Art. 13 Abs. 1 DSGVO spätestens zum Zeitpunkt der Datenerhebung umgesetzt werden muss, der Fall.

51.      Es kommt vielmehr darauf an, ob ein Zusammenhang zwischen der Wahrung der fraglichen Rechte und der betreffenden Verarbeitung besteht. Das ist der Fall, wenn eine Verletzung dieser Rechte die Verarbeitung rechtswidrig macht. Die Rechtswidrigkeit der Verarbeitung ergibt sich aus der Verletzung der Informationspflicht. Beide sind untrennbar miteinander verknüpft.

Hinweis:
Der Schlußantrag zu der Entscheidung wurde bereits separat thematisiert:

Entscheidung nach einer Vorlage durch den Bundesgerichtshof
EuGH C-757/22 - DSGVO - Verarb. u.U. rechtswidrig, wenn Infopflicht verletzt
https://gez-boykott.de/Forum/index.php?topic=37700.0
ergänzt 2024-01-26
Hinweis: Vorerst ist nur der Schlußantrag zur Rechtssache vorhanden, die Entscheidung des EuGH hat es dazu noch nicht.

[pinguin]

Ergänzender Querverweis:
BGH 1 StR 32/13 - Verarbeitung pers.bez. Daten ohne Rechtsgrundlage ist Straftat
https://gez-boykott.de/Forum/index.php?topic=35765.0

[racy]

Hallo zusammen,

hat dieses Thema jemand weiter verfolgt und ggf. auch Strafanzeige gegen die Landesrundfunkanstalt oder den Beitragsservice gestellt?

Grundsätzlich habe ich 2020 bereits die Verarbeitung meiner personenbezogenen Daten beim Beitragsservice verboten sowie deren Löschung gefordert. Passiert ist natürlich nichts.
Auch ein erneutes Ersuchen um Datenauskunft bei der Landesrundfunkanstalt wurde natürlich vom BS beantwortet.

Art. 17 der DSGVO beinhaltet ja das "Recht auf Löschung", sofern einer der folgenden Gründe zutrifft:

• Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
• Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
• Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
• Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
• Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
• Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

In Bezug auf das Urteil würde ich jetzt die markierten Punkte als relevant einstufen.

Jetzt meine Frage: Wo müsste man diese Rechte geltend machen? Zunächst bei der Rundfunkanstalt, klar. Aber die werden garantiert die Daten nicht löschen wollen. Was wäre dann der nächste Schritt?

[pinguin]

Was wäre dann der nächste Schritt?

Letztlich ist es die Pflicht des Bundes, die Einhaltung der Unionsnormen zu gewährleisten; siehe hierzu auch

BVerfG 2 BvG 1/04 - Regresspflicht und Haftung des Bundes
https://gez-boykott.de/Forum/index.php?topic=31745.0
Es wird hier dargelegt, daß auch die Gebieteskörperschaften die Belange des Gemeinschaftsrechts einzuhalten haben, der Bund aber in Mithaftung ist, wenn er es unterläßt, die Einhaltung des Gemeinschaftsrechts durch die Gebieteskörperschaften zu gewährleisten.

Gleiche Entscheidung, anderer Schwerpunkt:
BVerfG 2 BvG 1/04 - Gebietskörperschaften müssen Gemeinschaftsrecht einhalten (2006-10-17)
https://gez-boykott.de/Forum/index.php?topic=37098.0