URTEIL DES GERICHTSHOFS (Große Kammer)
22. Juni 2021(*)
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 5, 6 und 10 – Nationale Regelung, die den Zugang der Öffentlichkeit zu personenbezogenen Daten über Strafpunkte für Verkehrsverstöße vorsieht – Rechtmäßigkeit – Begriff der ‚personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten‘ – Offenlegung zum Zweck der Verbesserung der Straßenverkehrssicherheit – Zugangsrecht der Öffentlichkeit zu amtlichen Dokumenten – Informationsfreiheit – Ausgleich mit den Grundrechten auf Achtung des Privatlebens und auf Schutz personenbezogener Daten – Weiterverwendung der Daten – Art. 267 AEUV – Zeitliche Wirkungen einer Vorabentscheidung – Für das Verfassungsgericht eines Mitgliedstaats bestehende Möglichkeit, die Rechtswirkungen einer mit dem Unionsrecht unvereinbaren nationalen Regelung aufrechtzuerhalten – Grundsätze des Vorrangs des Unionsrechts und der Rechtssicherheit“
In der Rechtssache C-439/19https://curia.europa.eu/juris/document/document.jsf?text=&docid=243244&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=5185727Rn. 96Insoweit ist darauf hinzuweisen, dass jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Art. 6 der DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen muss (vgl. in diesem Sinne Urteil vom 16. Januar 2019, Deutsche Post, C-496/17, EU:C:2019:26, Rn. 57 und die dort angeführte Rechtsprechung).
Rn. 98Folglich sind in der dem vorlegenden Gericht zu gebenden Antwort auch andere in Art. 5 Abs. 1 der DSGVO genannte Grundsätze und insbesondere der in Buchst. c dieser Bestimmung enthaltene Grundsatz der „Datenminimierung“ zu berücksichtigen, wonach personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen, womit der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht wird (vgl. in diesem Sinne Urteil vom 11. Dezember 2019, Asocia?ia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, Rn. 48).
Rn. 99Hinsichtlich der Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung sieht Art. 6 der DSGVO eine erschöpfende und abschließende Liste der Fälle vor, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in Art. 6 vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (vgl. in diesem Sinne Urteil vom 11. Dezember 2019, Asocia?ia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, Rn. 37 und 38). Insoweit kann die im Ausgangsverfahren in Rede stehende Verarbeitung personenbezogener Daten, d. h. die von der CSDD vorgenommene Übermittlung der Daten über für Verkehrsverstöße verhängte Strafpunkte an die Öffentlichkeit, unter Art. 6 Abs. 1 Buchst. e der DSGVO fallen, wonach die Verarbeitung rechtmäßig ist, wenn und soweit sie „für die Wahrnehmung einer Aufgabe erforderlich [ist], die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“.
Rn. 100Da, wie in Rn. 94 des vorliegenden Urteils festgestellt wurde, die personenbezogenen Daten über Strafpunkte, die gegen Fahrzeugführer wegen Verkehrsverstößen verhängt wurden, unter Art. 10 der DSGVO fallen, unterliegt ihre Verarbeitung zudem den in dieser Bestimmung vorgesehenen zusätzlichen Beschränkungen. Danach darf die Verarbeitung dieser Daten „nur unter behördlicher Aufsicht vorgenommen werden“, es sei denn, sie ist „nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig“. In dieser Bestimmung heißt es im Übrigen, dass „[e]in umfassendes Register der strafrechtlichen Verurteilungen... nur unter behördlicher Aufsicht geführt werden [darf]“.
Rn. 101Im vorliegenden Fall steht fest, dass die im Ausgangsverfahren in Rede stehende Verarbeitung personenbezogener Daten, d. h. die Übermittlung der Daten über für Verkehrsverstöße verhängte Strafpunkte an die Öffentlichkeit, durch eine öffentliche Einrichtung, die CSDD, erfolgt, die der für die Verarbeitung Verantwortliche im Sinne von Art. 4 Nr. 7 der DSGVO ist (vgl. entsprechend Urteil vom 9. März 2017, Manni, C-398/15, EU:C:2017:197, Rn. 35). Es steht jedoch auch fest, dass diese Daten nach ihrer Übermittlung von den Personen eingesehen werden, die ihre Übermittlung beantragt haben, und von diesen Personen gegebenenfalls gespeichert oder verbreitet werden. Da diese Weiterverarbeitungen von Daten nicht mehr „unter [der] Aufsicht“ der CSDD oder einer anderen Behörde erfolgen, muss das nationale Recht, das die Übermittlung dieser Daten durch die CSDD erlaubt, „geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen“ vorsehen.
Rn. 105In diesem Zusammenhang ist darauf hinzuweisen, dass die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden müssen. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Nach diesem Grundsatz dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Sie müssen sich auf das absolut Notwendige beschränken, und die den Eingriff enthaltende Regelung muss klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen (vgl. in diesem Sinne Urteil vom 16. Juli 2020, Facebook Ireland und Schrems, C-311/18, EU:C:2020:559, Rn. 172 bis 176).
Die Rundfunkstaatsverträge enthalten incl. der entsprechenden Zustimmungsgesetze keine derart hinreichend klaren und präzisen Regeln, aus der sich die Tragweite etwaig zulässiger Grundrechtseinschränkung ableiten läßt.
Rn. 106Um festzustellen, ob eine Übermittlung personenbezogener Daten über Strafpunkte an die Öffentlichkeit, wie sie im Ausgangsverfahren in Rede steht, im Sinne von Art. 6 Abs. 1 Buchst. e der DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichem Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, und ob die Regelung, die eine solche Übermittlung gestattet, geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen im Sinne von Art. 10 dieser Verordnung vorsieht, ist somit insbesondere zu prüfen, ob diese Übermittlung angesichts der Schwere des durch sie bewirkten Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten im Hinblick auf die Verwirklichung der verfolgten Ziele gerechtfertigt und insbesondere verhältnismäßig ist.
Rn. 110Wie im 39. Erwägungsgrund der DSGVO hervorgehoben wird, ist diese Anforderung der Erforderlichkeit nicht erfüllt, wenn das im allgemeinen Interesse liegende verfolgte Ziel in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte der betroffenen Personen, insbesondere die in den Art. 7 und 8 der Charta verbürgten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, wobei sich die Ausnahmen und Einschränkungen hinsichtlich des Grundsatzes des Schutzes solcher Daten auf das absolut Notwendige beschränken müssen (vgl. in diesem Sinne Urteil vom 11. Dezember 2019, Asocia?ia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, Rn. 46 und 47).
Rn. 113Unter Berücksichtigung zum einen der Sensibilität der fraglichen Daten und der Schwere dieses Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten der betroffenen Personen und zum anderen der Tatsache, dass in Anbetracht der Feststellungen in Rn. 111 des vorliegenden Urteils nicht ersichtlich ist, dass das Ziel der Verbesserung der Straßenverkehrssicherheit in zumutbarer Weise nicht mit anderen, weniger einschneidenden Mitteln ebenso wirksam erreicht werden kann, kann nicht davon ausgegangen werden, dass die Erforderlichkeit einer solchen Regelung der Übermittlung personenbezogener Daten über Strafpunkte für Verkehrsverstöße zur Gewährleistung dieses Zieles nachgewiesen ist (vgl. entsprechend Urteil vom 9. November 2010, Volker und Markus Schecke und Eifert, C-92/09 und C-93/09, EU:C:2010:662, Rn. 86).
Der Staat muß nachweisen, daß die Finanzierung der dt. ÖRR nicht anders gesichert werden kann, als dem ÖRR zu erlauben, die Bürger*innen unabhängig etwaigen Desinteresses an seinen Dienstleistungen abzocken zu dürfen.Rn. 121Außerdem kann das in Art. 85 der DSGVO verankerte Recht auf Informationsfreiheit aus demselben Grund nicht dahin ausgelegt werden, dass es die Übermittlung personenbezogener Daten über für Verkehrsverstöße verhängte Strafpunkte an jede Person rechtfertigt, die sie beantragt.
Auch dieses eine wichtige Aussage in Belangen des ÖRR; nur weil der ÖRR Daten der Bürger haben will, (bspw. um diese abzocken zu können), bedeutet das nicht, daß er diese Daten haben darf.
Rn. 122Nach alledem ist auf die zweite Frage zu antworten, dass die Bestimmungen der DSGVO, insbesondere ihr Art. 5 Abs. 1, ihr Art. 6 Abs. 1 Buchst. e und ihr Art. 10, dahin auszulegen sind, dass sie einer nationalen Regelung entgegenstehen, die die mit dem Register, in das die gegen Fahrzeugführer wegen Verkehrsverstößen verhängten Strafpunkte eingetragen werden, betraute öffentliche Einrichtung verpflichtet, diese Daten der Öffentlichkeit zugänglich zu machen, ohne dass die Person, die den Zugang beantragt, ein besonderes Interesse am Erhalt dieser Daten nachzuweisen hat.
Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:
1. Art. 10 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten über Strafpunkte, die gegen Fahrzeugführer wegen Verkehrsverstößen verhängt wurden, anwendbar ist.
2. Die Bestimmungen der Verordnung (EU) 2016/679, insbesondere ihr Art. 5 Abs. 1, ihr Art. 6 Abs. 1 Buchst. e und ihr Art. 10, sind dahin auszulegen, dass sie einer nationalen Regelung entgegenstehen, die die mit dem Register, in das die gegen Fahrzeugführer wegen Verkehrsverstößen verhängten Strafpunkte eingetragen werden, betraute öffentliche Einrichtung verpflichtet, diese Daten der Öffentlichkeit zugänglich zu machen, ohne dass die Person, die den Zugang beantragt, ein besonderes Interesse am Erhalt dieser Daten nachzuweisen hat.
3. Die Bestimmungen der Verordnung (EU) 2016/679, insbesondere ihr Art. 5 Abs. 1, ihr Art. 6 Abs. 1 Buchst. e und ihr Art. 10, sind dahin auszulegen, dass sie einer nationalen Regelung entgegenstehen, die es der mit dem Register, in das die gegen Fahrzeugführer wegen Verkehrsverstößen verhängten Strafpunkte eingetragen werden, betrauten öffentlichen Einrichtung erlaubt, diese Daten Wirtschaftsteilnehmern zur Weiterverwendung zu übermitteln.
4. Der Grundsatz des Vorrangs des Unionsrechts ist dahin auszulegen, dass er es dem Verfassungsgericht eines Mitgliedstaats, bei dem ein Rechtsbehelf gegen eine nationale Regelung anhängig ist, die im Licht einer Vorabentscheidung des Gerichtshofs mit dem Unionsrecht unvereinbar ist, verwehrt, in Anwendung des Grundsatzes der Rechtssicherheit zu entscheiden, dass die Rechtswirkungen dieser Regelung bis zum Zeitpunkt der Verkündung des Urteils, mit dem es endgültig über diesen verfassungsrechtlichen Rechtsbehelf entscheidet, aufrechterhalten werden.
SCHLUSSANTRÄGE DES GENERALANWALTS
MACIEJ SZPUNAR
vom 17. Dezember 2020(1)
Rechtssache C-439/19https://curia.europa.eu/juris/document/document.jsf?text=&docid=235725&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=5185727III. Sachverhalt, Verfahren und Vorabentscheidungsfragen
16. B, der Antragsteller im Verfahren vor dem vorlegenden Gericht, ist eine natürliche Person, gegen die nach dem Straßenverkehrsgesetz und einer entsprechenden Verordnung(11) Strafpunkte verhängt worden sind. Die Ce?u satiksmes droš?bas direkcija (Direktion für Verkehrssicherheit, Lettland; im Folgenden: CSDD) ist eine öffentliche Einrichtung, die solche Strafpunkte in das nationale Fahrzeugregister einträgt.
17. Da die Informationen über die vorgenannten Strafpunkte auf Antrag offengelegt werden können und nach Angaben von B an mehrere Unternehmen zur Weiterverwendung weitergegeben wurden, erhob B vor dem vorlegenden Gericht eine Verfassungsbeschwerde, mit der die Vereinbarkeit von Art. 141 Abs. 2 des Straßenverkehrsgesetzes mit dem Recht auf Privatsphäre nach Art. 96 der Latvijas Republikas Satversme (im Folgenden: lettische Verfassung) gerügt wird.
Auch das Verfassungsgericht darf, bzw. muß, eine Vorlage an den EuGH unterbreiten, wenn sich ihm eine Frage des Unionsrechts stellt; hier im vorliegenden Fall also ein Vorabentscheidungsersuchen auf Basis einer Verfassungsbeschwerde einer natürlichen Person.
25. Die Datenschutzbehörde hat Zweifel an der Vereinbarkeit der in Rede stehenden Bestimmung mit Art. 96 der lettischen Verfassung geäußert. Sie hat es nicht für ausgeschlossen gehalten, dass die Verarbeitung der in Rede stehenden Daten unangemessen oder unverhältnismäßig sein könnte.
45. Nach Art. 2 Abs. 2 Buchst. a der DSGVO findet diese Verordnung keine Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt. Es ist offensichtlich, dass Art. 2 Abs. 1 der DSGVO positiv formuliert, was unter diese Verordnung fällt(13), während Art. 2 Abs. 2 vier Arten von Tätigkeiten von ihrem Anwendungsbereich ausnimmt. Als Ausnahme von der allgemeinen Regel ist Art. 2 Abs. 2 der DSGVO eng auszulegen(14).
46. Der Unionsgesetzgeber hat als Form des Rechtsinstruments die Verordnung gewählt, um den Grad der Einheitlichkeit des Datenschutzrechts der Union zu erhöhen und insbesondere um gleiche Wettbewerbsbedingungen für (Wirtschafts?)Akteure im Binnenmarkt zu schaffen, unabhängig davon, wo diese Akteure ansässig sind(15).
47. Art. 16 AEUV enthält nicht nur die Rechtsgrundlage für den Erlass von Rechtsakten wie der DSGVO, sondern stellt allgemeiner auch als Teil des Ersten Teils, Titel II des AEU-Vertrags(16) eine horizontale Vorschrift verfassungsrechtlicher Art dar, die bei der Ausübung jeder Zuständigkeit der Union zu berücksichtigen ist.
48. Ebenso wie ihre Vorgängerregelung, die Richtlinie 95/46, zielt die DSGVO darauf ab, ein hohes Niveau des Schutzes der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere ihrer Privatsphäre, bei der Verarbeitung personenbezogener Daten zu gewährleisten(17).
52. Gleichwohl sollten meines Erachtens keine Analogien zur Rechtsprechung des Gerichtshofs zum Anwendungsbereich der Charta gezogen werden(25). Dies wäre zu eng und würde dem mit Art. 16 AEUV und der DSGVO verfolgten Zweck zuwiderlaufen. Die Grundgedanken der Charta sind nämlich gänzlich andere als diejenigen der DSGVO: Die Charta soll die Ausübung von Befugnissen durch die Unionsorgane und die Mitgliedstaaten im Zaum halten, soweit sie im Anwendungsbereich des Unionsrechts handeln, und umgekehrt dem Einzelnen einen Schutzschild zur Geltendmachung seiner jeweiligen Rechte bieten. Im Gegensatz dazu ist der Schutz personenbezogener Daten mehr als ein Grundrecht. Wie Art. 16 AEUV belegt(26), stellt der Datenschutz ein eigenständiges Politikfeld der Union dar. Es ist gerade der Zweck der DSGVO, auf jede Form der Verarbeitung personenbezogener Daten Anwendung zu finden, unabhängig vom jeweiligen Gegenstand und davon, ob die Verarbeitung durch Mitgliedstaaten oder Einzelpersonen erfolgt. Eine restriktive Auslegung der Bestimmungen von Art. 2 Abs. 2 Buchst. a der DSGVO ließe dieses Ziel vollständig leerlaufen. Die DSGVO, die für den Datenschutz als Tiger gedacht war, entpuppte sich dann als Hauskätzchen.
64. Zum Abschluss dieses vorangestellten Teils der Würdigung ist zur richtigen Auslegung von Art. 2 Abs. 2 Buchst. a der DSGVO festzuhalten, dass diese Verordnung auf die Verarbeitung personenbezogener Daten in einem oder durch einen Mitgliedstaat Anwendung findet, es sei denn, diese Verarbeitung erfolgt auf einem Gebiet, für das die Union keine Zuständigkeit hat.
Da die Union die alleinige Befugnis hat, die Regeln zur Realisierung des gemeinsamen Binnenmarktes aufzustellen, ist die Tragweite der DSGVO weit, da sie alle Bereiche erfasst, die zur Realisierung des gemeinsamen Binnenmarktes beitragen.
2. Art. 5 Abs. 1 Buchst. a der DSGVO: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
101. Nach Art. 5 Abs. 1 Buchst. a der DSGVO sind personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise zu verarbeiten.
102. Hinzuweisen ist darauf, dass der Begriff „Rechtmäßigkeit“ sowohl in Art. 5 Abs. 1 Buchst. a als auch in Art. 6 der DSGVO vorkommt. Die detaillierten Anforderungen von Art. 6 in Art. 5 dieser Verordnung hineinzulesen, wäre aus Sicht der gesetzgeberischen Gestaltung von Rechtsvorschriften wenig sinnvoll, wenn Art. 5 auch die Kriterien des Art. 6 der DSGVO enthalten sollte.
103. Die Rechtmäßigkeit im Sinne von Art. 5 Abs. 1 Buchst. a der DSGVO sollte vielmehr im Licht des 40. Erwägungsgrundes dieser Verordnung(74) verstanden werden, wonach die Verarbeitung entweder auf einer Einwilligung oder einer anderen gesetzlich geregelten Rechtsgrundlage beruhen muss(75).
3. Art. 5 Abs. 1 Buchst. b der DSGVO: Zweckbindung
106. Art. 5 Abs. 1 Buchst. b der DSGVO legt den Grundsatz der „Zweckbindung“ fest, indem er besagt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen(78).
132. Ferner geht die Möglichkeit, dass Dritte die personenbezogenen Daten weiterverarbeiten können, eindeutig über die in Art. 5 Abs. 1 Buchst. b der DSGVO festgelegte Zweckbindung hinaus.
Meldedaten sind Meldedaten und nicht dafür vorgesehen, diese ohne Einwilligung jener Person, zu der diese Daten gehören, an Unternehmen, (im Sinne des Unionsrechts), weitergegeben zu werden.
Bei Verarbeitung pers.-bez.-Daten ist das Unionsgrundrecht unmittelbar bindend; (BVerfG 1 BvR 276/17 & BVerfG 1 BvR 16/13)
Keine Unterstützung für
- Amtsträger, die sich über europäische wie nationale Grundrechte hinwegsetzen oder dieses in ihrem Verantwortungsbereich bei ihren Mitarbeitern, (m/w/d), dulden;
- Parteien, deren Mitglieder sich als Amtsträger über Grundrechte hinwegsetzen und wo die Partei dieses duldet;
- Gegner des Landes Brandenburg wie auch gesamt Europas;
Autor