Inhalt

Mit Urteil vom 28.11.2024 (Rs. C-169/23) hat der Europäische Gerichtshof (EuGH) eine grundlegende Entscheidung zur Informationspflicht nach der Datenschutz-Grundverordnung (DSGVO) getroffen. Die Entscheidung konkretisiert die Reichweite der Informationspflicht bei nicht direkt erhobenen personenbezogenen Daten. 

Der Gerichtshof erweitert die Ausnahmen von der Informationspflicht nach Art. 14 DSGVO: Diese greifen nunmehr auch in Fällen, in denen ein Unternehmen die Daten durch eigene Ermittlungen generiert hat – und nicht nur bei Erhebung von dritten Quellen. Diese Rechtsauslegung hat insbesondere Bedeutung für Unternehmen mit datenintensiven Geschäftsmodellen. 

Worum ging es? 

In Ungarn wurden während der Corona-Pandemie Immunitätsbescheinigungen ausgestellt. Die Behörde nutzte dafür Daten, die sie selbst in ihren Systemen erhoben hatte. Ein Bürger beschwerte sich, weil er nicht informiert wurde. Er argumentierte, dass die Behörde ihn hätte benachrichtigen müssen, da die Daten nicht direkt von ihm stammten. Die Behörde berief sich auf eine Ausnahme in Art. 14 der DSGVO. Ein ungarisches Gericht meinte jedoch, die Ausnahme gelte nur für Daten von Dritten, nicht für selbst generierte Daten. 

Die Entscheidung des EuGH: 

Der EuGH widersprach der Entscheidung des ungarischen Gerichts. Die Richter stellten klar, dass die Ausnahmen von der Informationspflicht für alle Daten gelten, egal wie diese erhoben wurden. Es spielt keine Rolle, ob die Daten von einer dritten Person oder von der Behörde selbst erhoben wurden. 

Die Kernpunkte des Urteils sind: 

  • Art. 14 Abs. 5 DSGVO: Erweitertes Anwendungsfeld: Die Ausnahme betrifft alle Daten, die ein Unternehmen nicht direkt von der betroffenen Person erhalten hat. 
  • Irrelevanz der Datenherkunft: Es ist unerheblich, ob die Daten von einer externen Stelle stammen oder intern erhoben wurden. 
  • Der EuGH argumentierte, dass eine strenge Auslegung der Vorschrift zu unverhältnismäßigem Aufwand für Unternehmen führen würde. Die Ausnahme soll die Informationspflicht in bestimmten Situationen reduzieren. 

Konsequenzen für die Praxis:  

Das Urteil führt zu folgenden praxisrelevanten Konsequenzen: 

Vorteile für Datenhändler: Unternehmen, die mit dem Handel von Adressen und der Anreicherung von Daten beschäftigt sind, profitieren von dieser Entscheidung. Sie können die Ausnahmen bei der Informationspflicht einfacher nutzen, auch wenn sie die Daten selbst erhoben haben. Dies ermöglicht eine effizientere Datenverarbeitung ohne die Notwendigkeit, jeden Betroffenen einzeln zu informieren. Im Allgemeinen erhalten Unternehmen damit mehr Spielraum bei der Verarbeitung von Daten, da diese Personen nicht informieren müssen, wenn die Daten nicht direkt von dieser Person stammen. 

Zusammenfassung: 

Das Urteil des EuGH ist eine wichtige Klarstellung. Es besagt, dass die Ausnahmen von der Informationspflicht auch für selbst generierte Daten gelten (solange diese nicht direkt vom Betroffenen erhoben wurden). Dies ist vor allem vorteilhaft für Unternehmen, die datenintensiv arbeiten.