Urteil : Kein Recht auf Löschung bei Verstößen gegen Artt. 26 und 30 DS‑GVO : aus der RDV 4/2023 Seite 252 bis 254

Zu den Vorlagefragen:

Zur ersten Vorlagefrage:

Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 17 Abs. 1 Buchst. d) und Art. 18 Abs. 1 Buchst. b) der DS-GVO dahin auszulegen sind, dass der Verstoß eines Verantwortlichen gegen die Pflichten aus den Artt. 26 und 30 dieser Verordnung über den Abschluss einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung für die Verarbeitung bzw. das Führen eines Verzeichnisses von Verarbeitungstätigkeiten eine unrechtmäßige Verarbeitung darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung verleiht, weil ein solcher Verstoß bedeutet, dass der Verantwortliche gegen den Grundsatz der „Rechenschaftspflicht“ des Art.  5 Abs. 2 der DS-GVO verstößt. […]

Nach dem Wortlaut von Abs. 2 des Art. 5 der DS-GVO ist der Verantwortliche nach dem in dieser Bestimmung verankerten Grundsatz der „Rechenschaftspflicht“ für die Einhaltung des Abs.  1 dieses Artikels verantwortlich und muss nachweisen können, dass jeder der dort genannten Grundsätze eingehalten worden ist; mithin obliegt ihm hierfür die Beweislast (vgl. in diesem Sinne Urt. v. 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C 175/20, EU:C:2022:124, Rn. 77, 78 und 81).

Hieraus folgt, dass der Verantwortliche nach Art. 5 Abs. 2 i.V.m. Art. 5 Abs. 1 Buchst. a) der DS-GVO sicherstellen muss, dass die von ihm durchgeführte Datenverarbeitung „rechtmäßig“ ist.

Die Rechtmäßigkeit der Verarbeitung wird aber, wie sich aus der Überschrift von Art. 6 der DS-GVO selbst ergibt, gerade in ebendiesem Artikel geregelt. Dieser sieht vor, dass die Verarbeitung nur rechtmäßig ist, wenn mindestens eine der in seinem Abs. 1 UAbs. 1 Buchst. a) bis f) aufgeführten Bedingungen erfüllt ist […].

In Übereinstimmung mit allen Regierungen, die schriftliche Erklärungen abgegeben haben, sowie mit der Europäischen Kommission ist jedoch festzustellen, dass die Einhaltung der in Art. 26 der DS-GVO vorgesehenen Pflicht zum Abschluss einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung und der in Art. 30 dieser Verordnung verankerten Pflicht, ein Verzeichnis von Verarbeitungstätigkeiten zu führen, nicht zu den in Art. 6 Abs. 1 UAbs. 1 genannten Gründen für die Rechtmäßigkeit der Verarbeitung zählen.

Darüber hinaus besteht das Ziel der Artt.  26 und 30 der DS-GVO im Unterschied zu den Artt.  7 bis 11 dieser Verordnung nicht darin, den Umfang der in Art. 5 Abs. 1 Buchst. a) und Art. 6 Abs. 1 der Verordnung genannten Anforderungen näher zu bestimmen.

Daher lässt sich aus dem Wortlaut von Art. 5 Abs. 1 Buchst. a) und Art. 6 Abs. 1 UAbs. 1 der DS-GVO ableiten, dass ein Verstoß des Verarbeiters gegen die in den Artt. 26 und 30 dieser Verordnung vorgesehenen Pflichten keine „unrechtmäßige Verarbeitung“ im Sinne von Art.  17 Abs.  1 Buchst. d) und Art.  18 Abs.  1 Buchst. b) der Verordnung darstellt, die sich aus einem Verstoß des Verarbeiters gegen den in Art. 5 Abs. 2 der DS-GVO genannten Grundsatz der „Rechenschaftspflicht“ ergeben würde.

Diese Auslegung wird zweitens durch den Kontext dieser verschiedenen Bestimmungen untermauert. Aus der Struktur der DS-GVO und mithin aus ihrer Systematik geht nämlich eindeutig hervor, dass sie zum einen zwischen den „Grundsätzen“, die in ihrem Kapitel II, das u.a. die Artt. 5 und 6 dieser Verordnung umfasst, geregelt werden, und zum anderen den „allgemeinen Pflichten“ unterscheidet, die zu Abschnitt 1 des Kapitels IV der Verordnung gehören, das die Verantwortichen betrifft; zu diesen Pflichten zählen die Pflichten nach den Artt. 26 und 30 ebendieser Verordnung. […]

Drittens wird schließlich die […] dargelegte wörtliche Auslegung der DS-GVO durch das mit dieser Verordnung verfolgte Ziel bestätigt, das sich aus ihrem Art. 1 sowie ihren Erwägungsgründen 1 und 10 ergibt. Es besteht insbesondere darin, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs.  1 der Charta der Grundrechte der Europäischen Union und in Art.  16 Abs.  1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. in diesem Sinne Urt. v. 1. August 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, Rn. 125 und die dort angeführte Rechtsprechung).

Das Fehlen einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung nach Art.  26 der DS-GVO oder eines Verzeichnisses von Verarbeitungstätigkeiten im Sinne von Art. 30 dieser Verordnung reicht nämlich für sich genommen nicht aus, um nachzuweisen, dass ein Verstoß gegen das Grundrecht auf den Schutz personenbezogener Daten vorliegt. Insbesondere stellen zwar, wie aus den Erwägungsgründen 79 und 82 der DS-GVO hervorgeht, die klare Aufteilung der Verantwortlichkeiten zwischen den gemeinsam Verantwortlichen und das Verzeichnis von Verarbeitungstätigkeiten Mittel dar, um sicherzustellen, dass die Verantwortlichen die von dieser Verordnung vorgesehenen Garantien für den Schutz der Rechte und Grundfreiheiten der betroffenen Personen wahren. Gleichwohl belegt das Fehlen eines solchen Verzeichnisses oder einer solchen Vereinbarung für sich genommen nicht, dass diese Rechte und Grundfreiheiten verletzt wurden.

Hieraus ergibt sich, dass ein Verstoß gegen die Artt.  26 und 30 der DS-GVO durch den Verantwortlichen keine „unrechtmäßige Verarbeitung“ im Sinne von Art. 17 Abs. 1 Buchst. d) oder Art. 18 Abs. 1 Buchst. b) dieser Verordnung i.V.m. ihren Art. 5 Abs. 1 Buchst. a) und Art. 6 Abs. 1 UAbs. 1 darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung gewährt.

Zur dritten Vorlagefrage:

Mit seiner dritten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob das Unionsrecht dahin auszulegen ist, dass dann, wenn ein für die Verarbeitung personenbezogener Daten Verantwortlicher gegen seine Pflichten aus den Artt. 26 oder 30 der DS-GVO verstoßen hat, die Einwilligung der betroffenen Person die Voraussetzung dafür darstellt, dass die Berücksichtigung dieser Daten durch ein nationales Gericht rechtmäßig ist. […]

Wenn ein Gericht die ihm durch das nationale Recht übertragenen gerichtlichen Befugnisse ausübt, ist davon auszugehen, dass die von diesem Gericht durchzuführende Verarbeitung personenbezogener Daten für den in Art. 6 Abs. 1 UAbs.  1 Buchst. e) der DS-GVO genannten Zweck – Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde – erforderlich ist.

Da es zum einen ausreicht, dass eine der in Art. 6 Abs. 1 der DS-GVO aufgestellten Voraussetzungen erfüllt ist, damit eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann und zum anderen […] ein Verstoß gegen die Artt. 26 und 30 der DS-GVO keine unrechtmäßige Verarbeitung darstellt, ist die Einwilligung der betroffenen Person nicht Voraussetzung dafür, dass die Berücksichtigung personenbezogener Daten, die vom Bundesamt unter Verstoß gegen die in den letztgenannten Bestimmungen vorgesehenen Pflichten verarbeitet worden sein sollen, durch das vorlegende Gericht rechtmäßig ist.