Ein aktuelles Urteil des Europäischen Gerichtshofes (EuGH) zeigt einmal mehr, dass der Begriff der personenbezogenen Daten gemäss Datenschutz-Grundverordnung (DSGVO) weit auszulegen ist.
Gemäss Urteil C‑184/20 vom 1. August 2022 greift Art. 9 Abs. 1 DSGVO über die Verarbeitung besonderer Kategorien personenbezogener Daten bereits dann, wenn solche Daten indirekt bearbeitet bzw. offengelegt werden können:
«Finally, the Court states that the processing of personal data that are liable indirectly to reveal sensitive information concerning a natural person is not excluded from the strengthened protection regime, since such exclusion might well compromise the effectiveness of that regime and the protection of the fundamental rights and freedoms of natural persons that it is intended to ensure. Thus, the publication on the Chief Ethics Commission’s website of personal data that are liable to disclose indirectly the data subjects’ sexual orientation constitutes processing of sensitive data.»
Den Hintergrund der Angelegenheit beschreibt Insight EU Monitoring unter anderem wie folgt:
«In Litauen muss jeder Leiter einer öffentlichen Einrichtung, die öffentliche Mittel erhält, eine Erklärung über private Interessen vorlegen. Ein Teil der darin enthaltenen personenbezogenen Daten werden auf der Website der litauischen Obersten Kommission für Dienstethik veröffentlicht, die diese Erklärungen entgegennimmt und kontrolliert.
Der Leiter einer öffentlichen Einrichtung, die im Bereich des Umweltschutzes tätig ist, beanstandet vor dem Regionalen Verwaltungsgericht Vilnius eine Entscheidung der Ethikkommission, mit der festgestellt wurde, dass er gegen seine Pflicht zur Abgabe einer Interessenerklärung verstoßen habe. Er macht u.a. geltend, dass durch die Veröffentlichung des Inhalts seiner Erklärung auf der Website der Ethikkommission sowohl sein Recht auf Achtung seiner Privatsphäre als auch das der anderen Personen beeinträchtigt würden, die er gegebenenfalls in seiner Erklärung angeben müsste.»
Der EuGH folgte mit seinem Urteil den Anträgen des Generalanwalts, insbesondere:
«[…] stellt sich die Frage, ob Art. 9 Abs. 1 der DSGVO bzw. Art. 8 Abs. 1 der Richtlinie 95/46 dahin auszulegen sind, dass sie eine Verarbeitung von a priori nicht sensiblen personenbezogenen Daten umfassen, die eine indirekte Kenntnisnahme sensibler Daten mittels gedanklicher Kombination und/oder Ableitung ermöglicht. […]»
Und unter anderem:
«[…] kann die Verarbeitung personenbezogener Daten, die zu einer indirekten Offenlegung sensibler Daten der betroffenen Person führen kann, nicht den in der Richtlinie 95/46 bzw. in der DSGVO vorgesehenen Verpflichtungen und Garantien entzogen sein, da dies die praktische Wirksamkeit dieser Rechtsakte und den wirksamen und umfassenden Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, die mit ihnen gewährleistet werden sollen, beeinträchtigen würde, insbesondere des Rechts auf Schutz ihrer Privatsphäre bei der Verarbeitung personenbezogener Daten, dem diese Rechtsakte eine besondere Bedeutung beimessen […]. Mit anderen Worten kann das indirekte allgemeine Bekanntwerden einer Information etwa über das Sexualleben oder die sexuelle Orientierung der erklärungspflichtigen Person oder ihres Ehepartners, Lebensgefährten oder Partners nicht als Kollateralschaden angesehen werden, der zwar bedauerlich ist, aber angesichts des Zwecks einer Verarbeitung hingenommen werden kann, die nicht in erster Linie auf sensible Daten gerichtet ist oder sogar, wie im vorliegenden Fall, deren Verwendung untersagt.»
Und schliesslich:
«Art. 8 Abs. 1 der Richtlinie 95/46 und Art. 9 Abs. 1 der Verordnung 2016/679 sind im Licht der Art. 7 und 8 der Charta der Grundrechte dahin auszulegen, dass die Veröffentlichung des Inhalts von Interessenerklärungen auf der Website der mit der Entgegennahme und Kontrolle dieser Erklärungen betrauten Behörde, durch die indirekt sensible Daten wie die in diesen ersten beiden Bestimmungen genannten offengelegt werden können, eine Verarbeitung besonderer Kategorien personenbezogener Daten darstellt.»
Für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäss Art. 9 DSGVO – im schweizerischen Datenschutzgesetz würde man von besonders schützenswerten Personendaten gemäss Art. 3 lit. c DSG sprechen – stehen nicht die allgemeinen Rechtfertigungsgründe von Art. 6 DSGVO zur Verfügung, sondern es gelten strengere Voraussetzungen.
Bild: Pixabay / Caniceus, Pixabay-Lizenz.
Nachtrag vom 2. August 2022
Inzwischen ist das Urteil im deutschen Volltext verfügbar. Die Art. 9 Abs. 1 DSGVO-Thematik wird ab Rz. 117 behandelt. Der EuGH schreibt unter anderem:
«Wie der Generalanwalt […] ausgeführt hat, spricht die Verwendung des Verbs ‹hervorgehen› in diesen Bestimmungen dafür, dass eine Verarbeitung erfasst ist, die sich nicht nur auf ihrem Wesen nach sensible Daten bezieht, sondern auch auf Daten, aus denen sich mittels eines Denkvorgangs der Ableitung oder des Abgleichs indirekt sensible Informationen ergeben, wohingegen aber die Präpositionen ‹zu› und ‹über› bzw. die Verwendung eines Kompositums zum Ausdruck zu bringen scheinen, dass eine direktere Verbindung zwischen der Verarbeitung und den betreffenden Daten, bei denen auf ihr originäres Wesen abzustellen ist, bestehen muss.»
Vor allem aber:
«Für eine weite Auslegung der Begriffe ‹besondere Kategorien personenbezogener Daten› und ‹sensible Daten› spricht auch das […] Ziel […] der DSGVO, das darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Privatlebens – bei der Verarbeitung sie betreffender personenbezogener Daten zu gewährleisten […]. Die gegenteilige Auslegung liefe zudem dem Zweck von […] Art. 9 Abs. 1 der DSGVO zuwider, der darin besteht, einen erhöhten Schutz vor Datenverarbeitungen zu gewährleisten, die […] aufgrund der besonderen Sensibilität der betreffenden Daten einen besonders schweren Eingriff in die durch die Art. 7 und 8 der Charta garantierten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen können […].»»
Ergebnis:
«Folglich können diese Bestimmungen nicht dahin ausgelegt werden, dass die Verarbeitung personenbezogener Daten, die indirekt sensible Informationen über eine natürliche Person offenbaren können, von der in diesen Bestimmungen vorgesehenen verstärkten Schutzregelung ausgenommen ist, da andernfalls die praktische Wirksamkeit dieser Regelung und der von ihr bezweckte Schutz der Grundrechte und Grundfreiheiten natürlicher Personen beeinträchtigt würden.»
Und:
«Nach alledem ist […] zu antworten, dass […] die Veröffentlichung personenbezogener Daten, die geeignet sind, die sexuelle Orientierung einer natürlichen Person indirekt zu offenbaren, auf der Website der Behörde, die für die Entgegennahme und die inhaltliche Kontrolle von Erklärungen über private Interessen zuständig ist, eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne dieser Bestimmungen darstellt.»