Nur wer personenbezogene Daten verarbeitet, unterliegt der DSGVO. Ob und wann eine technische Information einen hinreichenden Personenbezug aufweist, um der DSGVO zu unterliegen, hatte der EuGH nun am Beispiel von Fahrzeugidentifikationsnummern zu entscheiden. Sein Urteil soll in diesem Beitrag vorgestellt werden.
Der Inhalt im Überblick
Wie kam die Frage zum Personenbezug der Identifikationsnummer auf?
Um vor dem Hintergrund der obigen Ausführungen zu verstehen, warum es zu einer Vorlage an den EuGH gekommen ist, soll im Folgenden zunächst kurz der Sachverhalt dargestellt werden, um danach anhand der Schlussanträge der Generalanwälte zur Vorlagenfrage des LG Kölns hinzuführen.
Der Urteilssachverhalt zur Frage des Personenbezugs
Dem Urteil des EuGH in der Rechtssache C 319/22 liegt ein Ersuchen des Landgerichts Köln in einem Rechtsstreit zwischen dem Gesamtverband Autoteile-Handel e. V (Gesamtverband) und dem Lkw-Hersteller Scania CV AB zugrunde.
Scania CV AB unterhält eine Website mit einer Suchfunktion für seine Fahrzeuge. Durch Eingabe der letzten sieben Ziffern der Fahrzeugidentifizierungsnummer (FIN) können auf der Website die Spezifikationen des dieser Nummer zugeordneten Fahrzeugs abgerufen werden. Um u.a. Fahrzeugreparaturen zu erleichtern, ist die Scania CV AB als Hersteller verpflichtet, die FIN bestimmten Stellen diskriminierungsfrei zur Verfügung zu stellen (Art. 61 VO 2018/858 i.V.m. Anhang X Nr. 2.5.1). Nach Auffassung des Gesamtverbandes ist die Scania CV AB dieser Verpflichtung nicht nachgekommen, da sie die FIN den Reparaturbetrieben nicht frei zugänglich gemacht hat. Daher könnten in der Regel nur die Betriebe, bei denen sich das konkrete Fahrzeug zur Reparatur befindet, die FIN durch Zugriff auf dessen Fahrgestell oder, soweit möglich, durch Einsichtnahme in die Fahrzeugpapiere nutzen. Der Gesamtverband hat daher den Rechtsweg beschritten.
Was ist die FIN und warum war die Frage des Personenbezugs streitbar?
Nach Art. 2 Nr. 2 der Verordnung (EU) Nr. 19/2011 über u.a. die Fahrzeugidentifizikationsnummer für Kraftfahrzeuge besteht die FIN aus einem alphanumerischen Code, der vom Fahrzeughersteller zur eindeutigen und einmaligen Identifizierung des Fahrzeugs vergeben wird. Insofern hat der Code primär einen Sach- und keinen Personenbezug.
Entsprechend führte der Generalanwalt in seinen Schlussanträgen aus:
Ich pflichte (…) bei, dass die FIN nicht als solche und nicht in jedem Fall personenbezogene Daten darstellen. Das gilt zumindest (…), wenn das Fahrzeug keiner natürlichen Person gehört. (Rn. 34)
Andererseits könnten durch die FIN auch:
(…) Fahrzeugverkäufer und damit potenzielle Steuerzahler identifiziert werden. (Rn. 33).
Diese Möglichkeit, dass die FIN je nach Kontext zumindest mittelbar Rückschlüsse auch auf natürliche Personen zulässt, war Anlass für die folgende Vorlagefrage an den EuGH.
Stellt Art. 61 Abs. 1 der Verordnung 2018/858 für Fahrzeughersteller eine rechtliche Verpflichtung im Sinne von Art. 6 Abs. 1 Buchst. c DSGVO dar, die die Herausgabe von FIN (…) an unabhängige Wirtschaftsakteure (…) rechtfertigt?
Hat die FIN aus Sicht des EuGH einen Personenbezug?
Zur Beantwortung der Frage hatte der EuGH vorab zu prüfen, ob die FIN unter den Begriff „personenbezogene Daten“ im Sinne von Art. 4 Nr. 1 DSGVO fällt. Dies sind „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Bei der Entscheidung, ob eine Person bestimmbar ist, sind alle Mittel zu berücksichtigen, die der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO oder ein Dritter vernünftigerweise einsetzen könnte, um die betreffende Person zu bestimmen.
Nach Anhang I Abschnitt II.5 der Richtlinie 1999/37 enthält die Zulassungsbescheinigung den Namen und die Anschrift des Fahrzeughalters. Darüber hinaus kann nach den Abschnitten II.5 und II.6 des Anhangs eine Person als Halter bezeichnet werden. Ein Personenbezug der FIN ergibt sich nach Auffassung des EuGH, wenn der Verantwortliche die Personendaten aus den Zulassungspapieren mit der FIN und damit mit dem konkreten Fahrzeug verknüpfen kann oder umgekehrt. Dieser gelte dann auch „mittelbar für die Fahrzeughersteller, die die FIN bereitstellen, […] selbst wenn die FIN für sich genommen für die Fahrzeughersteller kein persönliches Datum darstellt […]“ (Rn. 49).
Vom Personenbezug der IP-Adresse zur FIN
Spätestens seit der Entscheidung des EuGH zum Personenbezug von IP-Adressen ist klar, dass die DSGVO auch Informationen über die Zuordnung von Sachen und Geräten erfassen kann, wenn dadurch der Eigentümer des Geräts identifiziert werden kann oder sonst Rückschlüsse auf dessen Verhältnisse möglich sind. Diese Rechtsprechung setzt der EuGH mit dem vorliegenden Urteil zur FIN konsequent fort. Gerade bei der Verwaltung von primär gerätebezogenen Informationen, wie z.B. Inventarnummern von Mitarbeiter genutzten Endgeräten, wird nach den vom EuGH aufgestellten Maßstäben häufig ein Personenbezug herstellbar sein. Zur Risikominimierung sollten daher im Zweifel auch reine Sachdaten, jedenfalls wenn sie mit anderen personenbezogenen Informationen verknüpft werden, DSGVO-konform verarbeitet werden.
Es ist ein allgemeines Missverständnis, dass die Frage des Personenbezugs an ein bestimmtes Datum anknüpft. Oft werden dafür Daten wir Name, Anschrift, Geburtsdatum etc. als Beispiele genannt, was aber in die Irre führt. Grundsätzlich kann doch jedes Datum einen Personenbezug aufweisen, wenn es eben im Zusammenhang mit einer Person steht.
So ist auch z. B. die Reifengröße personenbezogen, wenn es die Reifen am Auto von Max Mustermann sind. Diese Information darf nicht ohne Einwilligung z. B. für Werbezwecke an einen Reifenhandel weitergegeben werden.
Bei den Identifizierungsnummer geht es also nicht um die Frage, ob diese allgemein personenbezogene Daten sind, sondern um die Frage, ob sich anhand dieser Nummer im konkreten Fall eine Person ermitteln lässt, ggf. unter Hinzuziehung weiterer Informationen.
Es hängt deswegen von den Umständen des Einzelfalls ab, ob eine Nummer zu einem personenbezogenen Datum wird oder eben nicht. Deswegen ist es völlig richtig, dass die FIN nicht als solche und nicht in jedem Fall personenbezogene Daten darstellen, z. B. , wenn das Fahrzeug keiner natürlichen Person gehört.
Genauso lässt sich zwar anhand der Reifengröße regelmäßig keine Person identifizieren, aber wenn sie dieser Person konkret zugeordnet ist, handelt es sich schließlich auch um ein personenbezogenes Datum, auch wenn es dazu noch kein Urteil des EuGH gibt ;-)
Für uns Datenschützer war das Urteil des EuGH klar und erwartbar. Nicht aber für eine*n Richter*in, der/die normalerweise nicht mit Datenschutzthemen zu tun hat.
In dem Fall war das LG Köln wahrscheinlich unsicher, da Scania ein Nutzfahrzeughersteller (Lkw und Bus) ist und in der Regel die Kunden Unternehmen sind, auf die DS-GVO nicht anwendbar ist. Allerdings gibt es auch Einzelunternehmer, auf die dann die DS-GVO ggfs. wieder anwendbar ist. das LG Köln wollte nur sicher gehen.
[Von der Redaktion gelöscht – Off-Topic. Kommentar trägt nicht zur Diskussion des Themas bei.]