Urteil: EuGH zur Einstufung als (gemeinsam) Verantwortlicher qua nationalem Recht
Am 11. Januar 2024 hat der Europäische Gerichtshof (EuGH) in der Rechtssache C-231/22 zwei Vorlagefragen des Appellationshofs Brüssel entschieden. Die Fragen betrafen die Voraussetzungen der Einstufung eines Akteurs als Verantwortlicher im Sinne des Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO).
In der Ausgangssache hatte ein belgisches Gericht zwei Unternehmen aufgefordert, die personenbezogenen Daten eines Kunden zu löschen. Das eine Unternehmen, eine Bank, hatte die Daten des Kunden erhoben und verarbeitet, um ihm ein Konto einzurichten. Das andere Unternehmen, ein Zahlungsdienstleister, hatte die Daten des Kunden erhoben und verarbeitet, um Zahlungen für die Bank abzuwickeln.
Der Appellationshof Brüssel war der Auffassung, dass beide Unternehmen gemeinsam Verantwortliche für die Verarbeitung der personenbezogenen Daten des Kunden seien. Er stellte jedoch fest, dass das nationale Recht keine Regelungen zur Bestimmung der jeweiligen Pflichten der beiden Unternehmen als gemeinsam Verantwortliche enthalte. Daher legte er dem EuGH die folgenden Fragen zur Vorabentscheidung vor:
- "Sind die Vorschriften der DSGVO dahingehend auszulegen, dass ein gemeinsamer Verantwortlicher auch dann vorliegen kann, wenn das nationale Recht keine Regelungen zur Bestimmung der jeweiligen Pflichten der einzelnen gemeinsam Verantwortlichen enthält?"
- "Wenn die Antwort auf die erste Frage positiv ausfällt, ergeben sich aus der DSGVO dann Vorgaben für die Bestimmung der jeweiligen Pflichten der einzelnen gemeinsam Verantwortlichen, wenn das nationale Recht keine Regelungen hierzu enthält?"
In seinem Urteil hat der EuGH entschieden, dass die DSGVO auch dann eine gemeinsame Verantwortlichkeit begründen kann, wenn das nationale Recht keine Regelungen zur Bestimmung der jeweiligen Pflichten der einzelnen gemeinsam Verantwortlichen enthält.
Der EuGH führte aus, dass die DSGVO eine gemeinsame Verantwortlichkeit vorsieht, wenn zwei oder mehr Akteure gemeinsam die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmen. Diese Bestimmung ist unabhängig davon, ob das nationale Recht Regelungen zur Bestimmung der jeweiligen Pflichten der einzelnen gemeinsam Verantwortlichen enthält.
Der EuGH stellte jedoch auch fest, dass die DSGVO den einzelnen gemeinsam Verantwortlichen bestimmte Pflichten auferlegt, unabhängig davon, ob das nationale Recht hierzu Regelungen enthält. Dazu gehören insbesondere die Pflicht zur Einhaltung der Grundprinzipien der DSGVO, die Pflicht zur Einhaltung der Betroffenenrechte und die Pflicht zur Zusammenarbeit untereinander.
In der Rechtssache C-231/22 hat der EuGH damit klargestellt, dass die DSGVO eine gemeinsame Verantwortlichkeit auch dann begründen kann, wenn das nationale Recht keine Regelungen zur Bestimmung der jeweiligen Pflichten der einzelnen gemeinsam Verantwortlichen enthält. In diesem Fall sind die einzelnen gemeinsam Verantwortlichen verpflichtet, die ihnen von der DSGVO auferlegten Pflichten einzuhalten.
Diese Entscheidung des EuGH hat weitreichende Auswirkungen auf die Praxis des Datenschutzes. Sie bedeutet, dass Unternehmen, die gemeinsam personenbezogene Daten verarbeiten, in jedem Fall die ihnen von der DSGVO auferlegten Pflichten beachten müssen, unabhängig davon, ob das nationale Recht hierzu Regelungen enthält.
In Deutschland ergeben sich aus der Entscheidung des EuGH insbesondere folgende Konsequenzen:
- Unternehmen, die gemeinsam personenbezogene Daten verarbeiten, müssen sich im Vorfeld der Verarbeitung klar darüber werden, welche jeweiligen Aufgaben sie bei der Verarbeitung übernehmen.
- Unternehmen, die gemeinsam personenbezogene Daten verarbeiten, müssen die ihnen von der DSGVO auferlegten Pflichten im Rahmen der jeweiligen Aufgabenverteilung erfüllen.
- Unternehmen, die gemeinsam personenbezogene Daten verarbeiten, müssen bei der Zusammenarbeit untereinander die Grundsätze der Transparenz und der Verantwortlichkeit beachten.
Die Entscheidung des EuGH wird dazu führen, dass Unternehmen bei der gemeinsamen Verarbeitung personenbezogener Daten ihre datenschutzrechtlichen Pflichten noch sorgfältiger als bisher beachten müssen.
