Verletzung der Informationspflichten gem. Art. 13 DS‑GVO und deren Folgen auf die Rechtmäßigkeit der Datenverarbeitung

Neue Impulse für diese Debatte liefert eine aktuelle Entscheidung des Europäischen Gerichtshofs (EuGH) vom 9. Januar 2025 (Rs. C-394/23). In diesem Urteil setzte sich der EuGH nicht nur mit der Erforderlichkeit der Datenverarbeitung geschlechtsbezogener Daten auseinander, sondern äußerte sich auch zu den Auswirkungen eines Verstoßes gegen Art. 13 Abs. 1 und 2 DS‑GVO auf die Rechtmäßigkeit der Datenverarbeitung. Diese Entscheidung könnte weitreichende Konsequenzen für die Praxis haben, insbesondere für Unternehmen, die personenbezogene Daten auf Grundlage berechtigter Interessen verarbeiten.
Der vorliegende Beitrag analysiert zunächst den bisherigen Streitstand zur Frage der Auswirkungen eines Verstoßes gegen die Informationspflichten auf die Rechtmäßigkeit der Datenverarbeitung (I.). Anschließend wird die aktuelle EuGH-Entscheidung vorgestellt (II.) und ihre möglichen Konsequenzen für die Praxis erörtert (III.).

I. Bisheriger Streitstand der Auswirkungen eines Verstoßes der Informationspflichten auf die Rechtmäßigkeit der Datenverarbeitung

Soweit die verantwortliche Stelle den betroffenen Personen vor Beginn der Datenverarbeitung die in Art. 13 Abs. 1 und 2 DS‑GVO aufgeführten Informationen nicht, unvollständig oder inhaltlich unrichtig mitteilt, stellt dies einen Verstoß gegen die Informationspflichten dar.¹ Der Verstoß gegen die Informationspflichten des Art. 13 Abs. 1 und 2 DS‑GVO stellt zunächst einen Verstoß gegen die DS‑GVO dar. Dieser Verstoß
zieht die Sanktionen der Art. 77 ff. DS‑GVO nach sich.² Die betroffene Person kann demnach u.a. eine Beschwerde bei der Aufsichtsbehörde (Art. 77 DS‑GVO) sowie den Schadenersatzanspruch gem. Art. 82 Abs. 1 DS‑GVO geltend machen.³ Zudem können die zuständigen Aufsichtsbehörden bei einem
Verstoß nach Art. 83 Abs. 5 lit. b) DS‑GVO gegenüber den Verantwortlichen ein Bußgeld verhängen.⁴ Die Folgen für den Verantwortlichen sind demnach klar gesetzlich geregelt. Die Auswirkungen eines Verstoßes gegen die Informationspflichten auf die Rechtmäßigkeit der Datenverarbeitung ist hingegen nicht derart eindeutig geklärt. Ob bzw. welche Auswirkungen ein Verstoß gegen die Informationspflichten des Art. 13 Abs. 1 und 2 DS‑GVO haben kann, ist bis zuletzt in der Rechtsprechung und Literatur äußerst umstritten.⁵

1. Keine Auswirkungen des Verstoßes auf die Rechtmäßigkeit der Datenverarbeitung

Zum Teil wird vertreten, dass ein Verstoß gegen die Anforderungen des Art. 13 Abs. 1 und 2 DS‑GVO keinerlei Folgen auf die Rechtmäßigkeit einer Datenverarbeitung nach sich zieht.⁶ Zwar stellt ErwG 39 DS‑GVO klar, dass jede Datenverarbeitung personenbezogener Daten rechtmäßig und in Übereinstimmung mit Treu und Glauben erfolgen sollte und verweist anschließend auf die Transparenzpflichten. Dies allein reiche jedoch nicht aus, um aus jedem Verstoß gegen die Transparenzpflichten unmittelbar die Rechtswidrigkeit der gesamten Datenverarbeitung abzuleiten.⁷ Eine abweichende Betrachtung könnte allenfalls bei völlig intransparenter Datenverarbeitung oder bei einer gezielten Täuschung bezüglich der Pflicht zur Bereitstellung der Daten gerechtfertigt sein.⁸ Die vollständige Information nach Art. 13 Abs. 1 und 2 DS‑GVO ist nicht zwingend erforderlich, um eine informierte Einwilligung zu erlangen; eine durch Falschinformationen erlangte Einwilligung ist jedoch unwirksam.⁹

2. Differenzierung hinsichtlich des Willens oder der Duldung bzw. Verpflichtung

Weiterhin vertritt ein Teil der Literatur, dass danach zu differenzieren ist, ob die Rechtmäßigkeit der Datenverarbeitung vom Willen der Betroffenen abhängig war oder ob diese verpflichtet war, die Datenverarbeitung zu dulden oder an ihr mitzuwirken.¹⁰ War die betroffene Person verpflichtet, die Datenerhebung zu dulden oder aktiv daran mitzuwirken, hätte der Verantwortliche die Daten auch bei ordnungsgemäßer Erfüllung
der Informationspflichten erheben dürfen.¹¹ In diesem Kontext dienen die Informationspflichten primär dazu, der betroffenen Person Transparenz über Zweck und Umfang der Datenverarbeitung zu verschaffen und ihr gegebenenfalls die Möglichkeit einzuräumen, Einwände zu erheben. Diese Funktion können die nachträglich bereitgestellten Informationen auch nach der Datenerhebung noch uneingeschränkt erfüllen. Daher bleibt die Rechtmäßigkeit der Datenerhebung in dieser Konstellation trotz des Pflichtverstoßes unberührt. Der Verantwortliche ist jedoch verpflichtet, die unterlassene Information der betroffenen Person nachträglich zu erteilen.¹² Anders verhält es sich, wenn die Datenerhebung von der freien Entscheidung der betroffenen Person abhing. In diesem Fall kann eine ganz oder teilweise unterlassene Information deren Willensbildung beeinträchtigen.¹³ Ein Verstoß gegen die Informationspflichten führt daher zur Rechtswidrigkeit der Datenerhebung.¹⁴ Allerdings entspricht es dem Zweck dieser Pflichten, die informationelle Selbstbestimmung der betroffenen Person zu sichern, indem sie nachträglich – nach Erhalt der erforderlichen Informationen – die
unrechtmäßig erfolgte Datenerhebung genehmigen kann.¹⁵ Die Datenverarbeitung ist insbesondere in zwei Konstellationen von der Entscheidung der betroffenen Person abhängig: Erstens dann, wenn sie rechtlich auf einer ausdrücklichen Willensbekundung der betroffenen Person basiert, etwa in Form einer Einwilligung (Art. 6 Abs. 1 lit. a) DS‑GVO) oder einer Erklärung zum Abschluss eines Vertrags (Art. 6 Abs. 1 lit. b) DS‑GVO). Im Fall einer Einwilligung resultiert die Rechtswidrigkeit der Datenerhebung in der Regel bereits daraus, dass aufgrund unzureichender Information die Voraussetzungen für eine informierte Einwilligung nicht erfüllt sind.¹⁶ Zweitens ist die Datenverarbeitung auch dann von der Entscheidung der betroffenen Person abhängig, wenn sie die Möglichkeit hat, sich ihr faktisch zu entziehen, indem sie ihr Verhalten an die beabsichtigte Datenerhebung anpasst.¹⁷ Auch in diesem Fall darf die freie Willensbildung der betroffenen Person nicht dadurch beeinträchtigt werden, dass ihr wesentliche Informationen vorenthalten werden.18

3. Verstoß führt stets zur Rechtswidrigkeit

Zuletzt sind Teile der Literatur der Auffassung, dass ein Verstoß gegen die Informationspflichten stets zur Rechtswidrigkeit der Datenverarbeitung führen soll.¹⁹ An den übrigen Sichtweisen wird kritisiert, dass diese zur Folge hätten, dass eine Verletzung der Informationspflichten nach Art. 13 Abs. 1 und 2 DS‑GVO bei der Datenerhebung durch deutsche Behörden weitgehend folgenlos bliebe, da in Deutschland gegenüber Behörden keine
Bußgelder verhängt werden dürfen.²⁰ Die Behörde könnte in diesem Fall lediglich durch eine Anweisung der zuständigen Aufsichtsbehörde oder durch eine gerichtliche Verpflichtung im Rahmen einer Leistungsklage oder einer – unter den Voraussetzungen des § 43 Abs. 2 S. 1 VwGO zulässigen – Feststellungsklage dazu angehalten werden, künftig im Einklang mit der DS‑GVO zu informieren.²¹ Dieser Ansatz verkennt jedoch nach der Auffassung der Vertreter des strengen Ansatzes die zentrale Bedeutung des Transparenzgrundsatzes gem. Art. 5 Abs 1 lit. a) DS‑GVO. Dieser stellt, ebenso wie die Grundsätze der Zweckbindung (Art. 5 Abs. 1 lit. b) DS‑GVO), Datenminimierung (Art. 5 Abs 1 lit. c) DS‑GVO), Richtigkeit (Art. 5 Abs 1 lit. d) DS‑GVO), Speicherbegrenzung (Art. 5 Abs 1 lit. e) DS‑GVO) sowie Integrität und Vertraulichkeit (Art. 5 Abs 1 lit. f) DS‑GVO), eine fundamentale Voraussetzung für eine rechtmäßige Datenverarbeitung dar.²² Der EuGH hat zudem klargestellt, dass die Information der betroffenen Person eine essenzielle Voraussetzung für die Rechtmäßigkeit der Datenverarbeitung ist.²³ Daraus lässt sich schließen, dass eine nachträgliche Information in der Regel nicht geeignet ist, eine Verletzung der Informationspflicht zu heilen.²⁴ Dies gilt nicht nur für behördliches Handeln, sondern gleichermaßen für private Verantwortliche – insbesondere dann, wenn die Datenerhebung auf der Einwilligung der betroffenen Person beruht oder der Anbahnung bzw. Durchführung eines Vertragsverhältnisses dient.²⁵

II. EuGH-Entscheidung

Nun äußerte sich der EuGH am 9. Januar 2025 in der Rechtssache C-394/23 in einem Vorabentscheidungsverfahren (1.) und goss neues Öl in das Feuer zur Klärung dieser Auslegungsfrage. Als Aufhänger dieser Aussagen lag ein Vorabentscheidungsverfahren zugrunde, in dem der Gerichtshof zu entscheiden hatte, ob die Angabe der Zugreisenden hinsichtlich ihres Geschlechts („Mann“ oder „Frau“) nach den Grundsätzen der DS‑GVO erforderlich sei. Das Gericht ist der Auffassung, dass diese Datenverarbeitung nicht erforderlich ist. Dies gilt nach der Auffassung des Gerichts gerade dann, wenn die Datenverarbeitung den Zweck verfolgt, die geschäftliche Kommunikation zu personalisieren. Dabei äußerte sich der EuGH neben seinen Ausführungen zur Erforderlichkeit der Erfüllung eines Vertrages gem. Art. 6 Abs. 1 lit. b) DS‑GVO (2.) ebenfalls zu den Folgen eines Verstoßes der Informationserteilung
nach Art. 13 Abs. 1 und 2 DS‑GVO im Hinblick auf die Rechtmäßigkeit einer Datenverarbeitung (3.).

1. Sachverhalt

Das Vorabentscheidungsverfahren wurde eingeleitet, weil der Verband Mousse, der sich gegen sexuelle Diskriminierung engagiert, bei der französischen Datenschutzbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) eine Beschwerde gegen die Praxis von SNCF Connect, dem französischen Eisenbahnunternehmen, einreichte. Dieses verlangte von seinen Kunden beim Online-Kauf von Fahrkarten ihre Anrede – „Monsieur“ („Herr“) oder „Madame“ („Frau“) – anzugeben. Mousse argumentierte, dass diese Verpflichtung gegen die DS‑GVO verstoße. Insbesondere das Prinzip der Datenminimierung gem. Art. 5 Abs. 1 lit. c) DS‑GVO sei beeinträchtigt, da die Angabe der geschlechtsspezifischen Anrede für den Ticketkauf nicht erforderlich sei. Die CNIL wies die Beschwerde im Jahr 2021 mit der Begründung zurück, dass diese Praxis des Unternehmens nicht gegen die Grundsätze der DS‑GVO verstoße. Daraufhin wandte sich Mousse an den französischen Staatsrat, um die Entscheidung für nichtig erklären zu lassen. Dieser legte dem Gerichtshof die Frage vor, ob die Beschränkung der Datenerhebung auf die Angaben „Herr“ oder „Frau“ rechtmäßig sei. Insbesondere sollte geklärt werden, ob diese Praxis mit dem Grundsatz der Datenminimierung vereinbar ist, wenn der Zweck der Erhebung in einer personalisierten geschäftlichen Kommunikation mit den Kunden liegt.

2. Erforderlichkeit nach Art. 6 Abs. 1 lit. b) und f) DS‑GVO

In der vorliegenden Entscheidung spezifizierte der EuGH die Anforderungen an den Datenverarbeitungsgrundsatz der Datenminimierung i.S.d. Art. 5 Abs. 1 lit. c) DS‑GVO sowie an die Rechtmäßigkeit einer Datenverarbeitung gem. des Art. 6 Abs. 1 lit. b) und f) DS‑GVO. Die Datenverarbeitung der Informationen hinsichtlich des Geschlechts der Zugreisenden muss demnach zur Erfüllung eines Vertrages (Art. 6 Abs. 1lit. b) DS‑GVO) oder zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten (Art. 6 Abs. 1 lit. f) DS‑GVO) erforderlich sein. Damit eine Datenverarbeitung für die Erfüllung eines Vertrages als erforderlich i.S.d. Art. 6 Abs. 1 lit. b) DS‑GVO eingestuft werden kann, muss diese für die Verwirklichung des Zwecks, der notwendiger Bestandteil des Vertrages ist, als „objektiv unerlässlich“ einzuordnen sein.²⁶ Dabei bedarf jede unterschiedliche Dienstleistung eine eigene Bewertung hinsichtlich der Frage, ob die Datenverarbeitung eines Datums als objektiv unerlässlich einzustufen ist.²⁷ Im vorliegenden Sachverhalt stellt die Beförderung der Kunden die Hauptdienstleistungspflicht des Beförderungsvertrages dar. Die Datenverarbeitung der Geschlechtsdaten erfolgt hingegen zu dem Zweck, die geschäftliche Kommunikation mit den Kunden nach der allgemeinen Verkehrssitte zu personalisieren.28 Nach der Auffassung des EuGH müsse das nationale Gericht beachten, dass Zugreisende zukünftig nicht mehr anzugeben haben, ob sie als „Frau“ oder „Herr“ reisen. Die Geschlechtsidentität des Zugreisenden stellt nach der Auffassung des Gerichts keine Information dar, die für den Erwerb eines Beförderungstickets erforderlich ist.²⁹ Auch könne nach Auffassung des EuGH die Datenverarbeitung nicht auf die Rechtsgrundlage des Art. 6 Abs. 1 lit. f) DS‑GVO gestützt werden. Im Rahmen der sachdienlichen Hinweise hinsichtlich der in Art. 6 Abs. 1 lit. f) DS‑GVO vorzunehmenden Interessenabwägung an das Vorlagegericht stellte der EuGH fest, dass die Kunden nicht absehen können, zu welchen Zwecken das Unternehmen die Geschlechtsdaten verarbeite.³⁰ Das gilt insbesondere dann, wenn die Datenverarbeitung ausschließlich zu Zwecken der kommerziellen Direktwerbung erfolgt.³¹ Mit dieser Entscheidung legt der EuGH ein weiteres Mal den Anwendungsbereich des Art. 6 Abs. 1 lit. b) DS‑GVO restriktiv aus. Die Verantwortlichen können sich nun nicht mehr allein auf die allgemeine Verkehrssitte berufen, um – gerade bei einer nicht erteilten Information i.S.d. Art. 13 Abs. 1 lit. d) DS‑GVO – eine auf Grundlage des Art. 6 Abs. 1 lit. f) DS‑GVO gestützte Datenverarbeitung vorzunehmen. Das Urteil entfaltet sektorübergreifende Wirkungen und betrifft nicht nur den Transport- oder Reisesektor. Vielmehr verpflichtet es zahlreiche Unternehmen aus verschiedenen Bereichen, die Erforderlichkeit der Datenverarbeitung personenbezogener Daten im Hinblick auf die Geschlechtsidentität der betroffenen Personen sorgfältig zu prüfen.

3. Verstoß gegen die Informationspflichten führt zur Rechtswidrigkeit der Datenverarbeitung

Zudem traf der EuGH eine bedeutsame Aussage in Bezug auf die Datenverarbeitung auf der Grundlage der Interessenabwägung gem. Art. 6 Abs. 1 lit. f) DS‑GVO. Sofern der Verantwortliche die personenbezogenen Daten auf Grundlage der „berechtigten Interessen“ verarbeitet, trifft ihn gem. Art. 13 Abs. 1 lit. d) DS‑GVO die Pflicht, die betroffene Person über die berechtigten Interessen im Sinne des Art. 6 Abs. 1 lit. f) DS‑GVO zu informieren.³²

Bemerkenswert an den Ausführungen des EuGH ist die Verknüpfung von der Rechtmäßigkeit der Datenverarbeitung (Art. 6 Abs. 1 DS‑GVO) einerseits und der Informationspflicht (Art. 13 Abs. 1 lit. d) DS‑GVO) andererseits.33 Die Rechtsgrundlage des Art. 6 Abs. 1 lit. f) DS‑GVO ist dahingehend auszulegen, dass eine Datenverarbeitung personenbezogener Daten nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich angesehen werden kann, wenn der Verantwortliche den Betroffenen, bei denen die Daten erhoben wurden, das mit der Datenverarbeitung verfolgte berechtigte Interesse mitgeteilt hat.³⁴ Die Folge dieser Verknüpfung liegt darin, dass eine Datenverarbeitung, die in zulässigerweise auf einem berechtigten Interesse beruht, dann nicht rechtmäßig ist, wenn die Informationspflicht im Sinne des Art. 13 Abs. 1 lit. d) DS‑GVO nicht eingehalten wurde. Der EuGH schließt sich mit diesem Urteil somit dem strengen Ansatz (I. 3.), mindestens jedoch dem differenzierenden Ansatz (I. 2.) an, deren Folge bei einer fehlerhaften Informierung nach Art. 13 Abs. 1 und 2 DS‑GVO die Rechtswidrigkeit der Datenverarbeitung ist. Das Gericht stellte klar, dass die Datenverarbeitung der Geschlechteridentität nicht als Wahrung eines berechtigten Interesses einzuordnen sei, wenn die Kunden nicht über das
verfolgte berechtigte Interesse informiert wurden, die Datenverarbeitung nicht innerhalb der Grenzen erfolgte, was zur Verwirklichung des berechtigten Interesses unbedingt notwendig ist oder wenn unter Berücksichtigung der Umstände des Einzelfalles die Grundrechte und Grundfreiheiten der Kunden gegenüber diesem berechtigten Interesse überwiegt.³⁵ Im Zuge dessen hob der EuGH ausdrücklich die Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität hervor.³⁶

III. Ausblick

Mit dieser Entscheidung stärkt der EuGH das Recht auf informationelle Selbstbestimmung der betroffenen Personen aus Art. 8 Abs. 1 GRCh und betont die Bedeutung des Grundsatzes der Datenminimierung aus Art. 5 Abs. 1 lit. c) DS‑GVO. Demnach dürfen nur diejenigen personenbezogenen Daten verarbeitet werden, die „objektiv unerlässlich“ für den jeweiligen Verarbeitungszweck sind. Im konkreten Fall stellte der EuGH klar, dass die Erfassung des Geschlechts im Rahmen eines Beförderungsvertrags weder für die Vertragserfüllung noch für ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. b) und f) DS‑GVO erforderlich ist. Zudem verweist das Gericht darauf, dass Transportunternehmen alternative Kommunikationsformen nutzen können, die auf geschlechtsneutrale und inklusive Höflichkeitsformeln zurückgreifen, anstatt eine verpflichtende Angabe des Geschlechts vorauszusetzen. Denkbar wäre die Angabe als „divers“ oder „neutral“. Die Entscheidung bringt zudem Klarheit darüber, wie die Datenverarbeitung geschlechtsbezogener Daten im Kontext des „berechtigten Interesses“ rechtlich zu bewerten ist. Bislang konnte diese Praxis unter Umständen als durch ein berechtigtes Interesse gerechtfertigt angesehen werden. Mit seinem Urteil setzt der EuGH hier jedoch eine eindeutige Grenze: Erfolgt die Verarbeitung der Geschlechtsangabe – etwa durch die Wahl von „Frau“ oder „Mann“ – ausschließlich zu Kommunikationszwecken, widerspricht dies den Grundsätzen der DS‑GVO, es sei denn, die betroffene Person gibt diese Information freiwillig preis. Damit hebt der EuGH die Bedeutung der Freiwilligkeit bei der Angabe geschlechtsbezogener Daten hervor und stärkt den Schutz der persönlichen Identität im digitalen Geschäftsverkehr. In der Praxis betrifft dieses Urteil insbesondere Unternehmen, die geschlechtsbezogene Daten über standardisierte Eingabemasken verarbeiten. Offen bleibt die Frage, ob sämtliche Abfragen zur Geschlechteridentität tatsächlich nicht auf eine der in Art. 6 Abs. 1 lit. b) und f) DS‑GVO genannten Rechtsgrundlagen gestützt werden können. Sollte die Erhebung dieser Daten jedoch primär dem Zweck der Anrede dienen, ist dringend zu empfehlen, die Angabe nicht als verpflichtend auszugestalten.
Stattdessen sollte sie auf freiwilliger Basis erfolgen und ausdrücklich auf einer informierten Einwilligung beruhen, um den Anforderungen der DS‑GVO gerecht zu werden und rechtliche Risiken zu minimieren. Unabhängig von der konkreten Entscheidung zur geschlechterbezogenen
Datenerhebung leistet das Urteil einen wesentlichen Beitrag zur Auslegung des Begriffs der Erforderlichkeit gem. Art. 6 Abs. 1 lit. b) und f) DS‑GVO. Der EuGH stellt unmissverständlich klar, dass ausschließlich diejenigen personenbezogenen Daten verarbeitet werden dürfen, die für die Erfüllung des jeweiligen Verarbeitungszwecks „objektiv unerlässlich“ sind. Diese restriktive Interpretation wirft weitergehende Fragen auf und könnte auch auf andere Datenkategorien, wie etwa die Staatsangehörigkeit, Anwendung finden. Während die Erhebung der Staatsangehörigkeit im Rahmen von Personenbeförderungsverträgen – insbesondere im grenzüberschreitenden Verkehr – zweifellos als notwendig gilt, erfordert die Übertragung dieses Maßstabs auf andere Kontexte eine differenzierte Betrachtung. Insbesondere stellt sich die Frage, ob die Erfassung solcher Daten in Bereichen wie dem Online-Versandhandel, dem Abonnement eines Newsletters oder der Registrierung auf einer Website tatsächlich als „objektiv unerlässlich“ eingestuft werden kann. Dies bedarf einer sorgfältigen rechtlichen Prüfung unter Berücksichtigung des jeweiligen Verarbeitungszwecks. Die Entscheidung trägt dazu bei, mehr Klarheit in die bislang umstrittene Frage zu bringen, ob ein Verstoß gegen die Informationspflicht automatisch zur Rechtswidrigkeit der gesamten Datenverarbeitung führt. Dennoch bleibt offen, inwieweit diese Auslegung auch auf andere Fallkonstellationen übertragbar ist. Es wird sich erst noch zeigen, ob der EuGH diese Rechtsprechung in zukünftigen Urteilen zum berechtigten Interesse gem. Art. 6 Abs. 1 lit. f) DS‑GVO konsequent weiterverfolgen wird. Unabhängig davon gilt, dass die verantwortlichen Stellen höchste Sorgfalt bei der Bereitstellung von Datenschutzhinweisen und der Erfüllung ihrer Informationspflichten walten lassen müssen, um die Rechtmäßigkeit der Datenverarbeitung zu gewährleisten und potenzielle Risiken zu minimieren.

* Clemens Loke ist Referent für Datenschutz und Datensicherheit bei der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. und promoviert zu dem Thema „Beschränkungen der Betroffenenrechte im Rahmen des Art. 23 DS‑GVO“.
¹ Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Schneider, DS‑GVO Art. 13 Rn. 92; Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 61; Taeger/ Gabel/Mester, DS‑GVO Art. 13 Rn. 40.
² BeckOK-Datenschutzrecht/Schmidt-Wudy, DS‑GVO Art. 13 Rn. 18.
³ Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Keppeler/Jaquemain, DS‑GVO Art. 82 Rn. 4 ff.; BeckOK-Datenschutzrecht/Schmidt-Wudy, DS‑GVO, Art. 13 Rn. 18; LG Stuttgart, Urt. v. 26.01.2023 – 53 O 95/22, GRUR-RS 2023, 1098 Rn. 64.
⁴ Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Schneider, DS‑GVO Art. 13 Rn. 92; Ehmann/Selmayr/Knyrim, DS‑GVO Art. 13 Rn. 89.
⁵ EuGH, Urt. v. 04.05.2023 – C-60/22, ECLI:EU:C:2023:373 Rn. 52 ff. ist der Auffassung, dass nicht jeder Verstoß gegen datenschutzrechtliche Vorgaben zur Rechtswidrigkeit der damit zusammenhängenden Datenverarbeitung führt.
⁶ Gola/Heckmann/Franck, DS‑GVO Art. 13 Rn. 37; Ehmann/Selmayr/Knyrim, DS‑GVO, Art. 13 Rn. 89; Plath/Kamlah, DS‑GVO Art. 13 Rn. 17; Sydow/Marsch/
Ingold, DS‑GVO Art. 13 Rn. 24; Franck, RDV 2016, 111, 116.
⁷ Gola/Heckmann/Franck, DS‑GVO Art. 13 Rn. 59.
⁸ EuGH, Urt. v. 01.10.2015 – C-201/14, NVwZ 2016, 375 Rn. 43 ff.
⁹ Gola/Heckmann/Franck, DS‑GVO Art. 13 Rn. 59.
¹⁰ Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 64 ff.; Taeger/Gabel/Mester, DS‑GVO Art. 13 Rn. 41.
¹¹ Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 64.
¹² Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 64; Taeger/Gabel/Mester, DS‑GVO Art. 13 Rn. 41.
¹³ Taeger/Gabel/Mester, DS‑GVO Art. 13 Rn. 41.
¹⁴ Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 64; Taeger/Gabel/Mester, DS‑GVO Art. 13 Rn. 41.
¹⁵ Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 65; insoweit NK-DS‑GVO/Dix, DS‑GVO Art. 13 Rn. 26.
¹⁶ BeckOK-Datenschutzrecht/Schmidt-Wudy, DS‑GVO Art. 13 Rn. 19; Schantz/Wolff, Neues Datenschutzrecht, Rn. 1176 f.
¹⁷ Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 64; Taeger/Gabel/Mester, DS‑GVO Art. 13 Rn. 41.
¹⁸ Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Schneider, DS‑GVO Art. 13 Rn. 40; Kühling/Buchner/Bäcker, DS‑GVO Art. 13 Rn. 66.
¹⁹ NK-DS‑GVO/Dix, DS‑GVO Art. 13 Rn. 26.
²⁰ NK-DS‑GVO/Dix, DS‑GVO Art. 13 Rn. 29.
²¹ So Gola/Heckmann/Franck, DS‑GVO Art. 12 Rn. 57.
²² EuGH, Urt. v. 24.03.2022 – C-175/20, ECLI:EU:C:2022:164 Rn. 50; EuGH, Urt. v. 22.06.2021 – C-439/19, ECLI:EU:C:2021:504 Rn. 96; EuGH, Urt. v. 16.01.2019 – C-496/17, ECLI:EU:C:2019:26 Rn. 57; NK-DS‑GVO/Roßnagel, DS‑GVO Art. 5 Rn. 20 ff.; Ehmann/Selmayr/Heberlein, DS‑GVO Art. 5 Rn. 1 ff.
²³ EuGH, Urt. v. 01.10.2015 – C-201/14, NVwZ 2016, 375 Rn. 43 zur Vorgängervorschrift des Art. 11 DS-RL; NK-DS‑GVO/Dix, DS‑GVO Art. 13 Rn. 29; a. A. Kühling/ Buchner/Bäcker, DS‑GVO Art. 14 Rn. 44, der die Formulierung des EuGH als „missverständlich“ bewertet.
²⁴ NK-DS‑GVO/Dix, DS‑GVO Art. 13 Rn. 30; a. A. Kühling/Buchner/Bäcker, DS GVO Art. 14 Rn. 44; Taeger/Gabel/Mester, DS-GVO Art. 14 Rn. 30.
²⁵ NK-DS‑GVO/Dix, DS‑GVO Art. 13 Rn. 30; dem insoweit zustimmend Kühling/ Buchner/Bäcker DS GVO Art. 14 Rn. 43.
²⁶ EuGH, Urt. v. 09.01.2025 – C-394/23, ECLI:EU:C:2025:2 Rn. 33; EuGH, Urt. v. 12.09.2024 – C-17/22 u. C-18/22, ECLI:EU:C:2024:738 Rn. 44; EuGH, Urt. v. 04.07.2023 – C-252/21, ECLI:EU:C:2023:537 Rn. 99.
²⁷ EuGH, Urt. v. 04.07.2023 – C-252/21, ECLI:EU:C:2023:537 Rn. 100.
²⁸ EuGH, Urt. v. 09.01.2025 – C-394/23, ECLI:EU:C:2025:2 Rn. 36.
²⁹ EuGH, Urt. v. 09.01.2025 – C-394/23, ECLI:EU:C:2025:2 Rn. 43.
³⁰ EuGH, Urt. v. 09.01.2025 – C-394/23, ECLI:EU:C:2025:2 Rn. 59.
³¹ EuGH, Urt. v. 09.01.2025 – C-394/23, ECLI:EU:C:2025:2 Rn. 59.
³² Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Schneider, DS‑GVO, Art. 13 Rn. 40.
³³ Dazu Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Schneider, DS‑GVO, Art. 13 Rn. 40.
³⁴ S. auch EuGH, Urt. v. 04.07.2023 – C-252/21, ECLI:EU:C:2023:537 Rn. 126; GA Szpunar, SchlA v. 11.07.2024 – C-394/23, EuZW 2024, 810 Rn. 55.
³⁵ EuGH, Urt. v. 09.01.2025 – C-394/23, ECLI:EU:C:2025:2 Rn. 63.
³⁶ EuGH, Urt. v. 09.01.2025 – C-394/23, ECLI:EU:C:2025:2 Rn. 64.