Der Gerichtshof der Europäischen Union (EuGH) hat dem Appellationshof Brüssel (Cour d’appel de Bruxelles) in einem Vorabentscheidungsverfahren (Rechtssache C-231/22) mit Urteil vom 11.01.2024 zwei Vorlagefragen zu den Voraussetzungen der Einstufung eines Akteurs als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der entsprechenden datenschutzrechtlichen Rollenverteilung unter mehreren Akteuren einer Verarbeitungskette sowie zu den hieraus folgenden Auswirkungen auf die Pflichten der Akteure nach Art. 5 Abs. 2, Abs. 1 DSGVO beantwortet. Er könnte hierdurch, ganz nebenbei, eine weitere Runde der Diskussion rund um die Frage nach der datenschutzrechtlichen Rollenverteilung zwischen Betriebsrat und Arbeitgeber eingeläutet haben.
Der Inhalt im Überblick
Das Ausgangsverfahren und die Vorlagefragen in der Rechtssache C-231/22
Wie sich dem Urteil des EuGH in der Rechtssache C-231/22 entnehmen lässt, liegt dem Vorabentscheidungsersuchen Folgendes zugrunde:
Im Ausgangsverfahren vor dem Appellationshof Brüssel klagt der belgische Staat gegen die belgische Datenschutzaufsichtsbehörde (Autorité de protection des données). Inhaltlich wendet sich der belgische Staat gegen einen Beschluss der belgischen Datenschutzaufsichtsbehörde, mit welchem diese gegenüber dem Föderale(n) Öffentliche(n) Dienst Justiz (im Folgenden: FÖD Justiz) eine „Rüge“ aussprach und anordnete, dass dieser dem auf Art. 17 DSGVO gestützten Löschungsantrag einer natürlichen Person nachkommen solle. Die belgische Datenschutzbehörde war auf die Beschwerde der vorgenannten natürlichen Person gegen den FÖD Justiz hin tätig geworden, welche diese eingereicht hatte, nachdem der FÖD Justiz ihren Löschungsantrag, unter anderem mit Bescheid, zurückgewiesen hatte.
Diesem Löschungsantrag war – ausweislich der Ausführungen des EuGH innerhalb des hier in Rede stehenden Urteils – wiederum das Folgende vorausgegangen:
Bei der, den Löschungsantrag stellenden sowie im Folgenden die Beschwerde einreichenden, natürlichen Person handelt es sich um den Mehrheitsgesellschafter einer Gesellschaft mit beschränkter Haftung. Nachdem er gemeinsam mit dem einzig weiteren Gesellschafter dieser Gesellschaft beschlossen hatte das Kapital der Gesellschaft herabzusetzen, wurde mit Beschluss der außerordentlichen Hauptversammlung der Gesellschaft deren Satzung entsprechend geändert. Weil es gesetzlich so vorgesehen war, ließ der Mehrheitsgesellschafter durch seinen Notar einen Auszug aus diesem Beschluss der außerordentlichen Hauptversammlung erstellen und bei der Geschäftsstelle des insofern zuständigen Gerichtes hinterlegen. Dieses Gericht wiederum übermittelte den bei ihm hinterlegten Auszug vorschriftsgemäß zwecks Veröffentlichung an die Direktion des „Moniteur belge“ („Belgisches Staatsblatt“) .
In den Worten des EuGH handelt es sich bei dem „Moniteur belge“ um ein
„(…) Amtsblatt, das in Belgien die Erstellung und Verbreitung eines breiten Spektrums amtlicher und für die Öffentlichkeit bestimmter Veröffentlichungen in Papierform und auf elektronischem Weg gewährleistet (…).“.
Nähere Informationen zum „Moniteur belge“ gehen aus den belgischen Rechtsnormen hervor, welche zu Beginn des hier in Rede stehenden Urteils unter „Rechtlicher Rahmen“ (dort in Rn. 8 bis 12) zitiert werden. So ist ihnen etwa zu entnehmen, dass
- der „Moniteur belge“ von dessen Direktion herausgegeben wird – diese ist, wie sich den Ausführungen des EuGH entnehmen lässt, dem FÖD Justiz unterstellt –,
- sowohl der Inhalt als auch die Art und Weise der Veröffentlichungen detailliert vorgegeben sind,
- ein Service eingerichtet ist, der Bürger dabei unterstützen soll bestimmte Dokumente zu finden und bei dem Bürger gegen die Zahlung eines Selbstkostenpreises eine Abschrift der veröffentlichten Akte und Dokumente erhalten können sowie, dass
-
„[a]ndere Begleitmaßnahmen (…) durch einen im Ministerrat beratenen Erlass getroffen [werden], um eine weitmöglichste Verbreitung der im (…) [„Moniteur belge“] enthaltenen Information und einen breitmöglichsten Zugriff darauf zu gewährleisten.“.
Der zuletzt an die Direktion des „Moniteur belge“ zwecks Veröffentlichung übermittelte Auszug aus dem Beschluss der außerordentlichen Hauptversammlung wurde in der Folge, vorschriftsgemäß ohne vorherige inhaltliche Kontrolle und unverändert, in den Anhängen des „Moniteur belge“ veröffentlicht.
Neben denjenigen Angaben, welche vorschriftsgemäß in diesen Auszug aufzunehmen waren, enthielt er darüber hinaus die personenbezogenen Daten der
- Namen der Gesellschafter,
- der Höhe der ihnen ausgezahlten Geldbeträge sowie
- deren Kontonummern.
Dies festgestellt, wandte sich der Mehrheitsgesellschafter an seinen Notar, welcher die zusätzlichen Angaben fälschlicherweise in den Auszug aufgenommen hatte, sowie an dessen Datenschutzbeauftragten und stellte über diese einen entsprechenden Löschungsantrag nach Art. 17 DSGVO. Bei ebendiesem Löschungsantrag handelt es sich um denjenigen, welchen der FÖD Justiz in der Folge – wie eingangs erwähnt – mit ablehnendem Bescheid zurückweisen sollte.
Vorlagefrage 1 in der Rechtssache C-231/22
Vor dem Hintergrund, dass zwischen den Parteien streitig sei, wie der in Art. 4 Nr. 7 DSGVO legaldefinierte Begriff „Verantwortlicher“ innerhalb des Ausgangsverfahrens auszulegen sei, weil gleich drei unterschiedliche Akteure, das ist
- der Notar,
- die Geschäftsstelle des Gerichts,
- der „Moniteur belge“
als Verantwortlicher der Verarbeitung derjenigen personenbezogenen Daten in Betracht kämen, welche ohne das Vorliegen einer entsprechenden Rechtsvorschrift in den hier in Rede stehenden Auszug aufgenommen und mit diesem veröffentlicht worden seien, möchte der Appellationshof Brüssel mit seiner ersten Vorlagefrage wissen, ob der „Moniteur belge“ insofern als Verantwortlicher einzustufen sei.
Die erste Vorlagefrage des Appellationshofes Brüssel lautet:
„Ist Art. 4 Nr. 7 DSGVO dahin auszulegen, dass als Verantwortlicher ein Amtsblatt eines Mitgliedstaats anzusehen ist, dem der öffentliche Auftrag der Veröffentlichung und Archivierung amtlicher Dokumente übertragen wurde und das nach dem anwendbaren nationalen Recht die Aufgabe hat, Rechtsakte und amtliche Dokumente, deren Veröffentlichung ihm von anderen öffentlichen Stellen aufgetragen wird, unverändert so zu veröffentlichen, wie sie von diesen Stellen übermittelt werden, nachdem jene selbst in diesen Rechtsakten und Dokumenten enthaltene personenbezogene Daten verarbeitet haben, wobei ihm vom nationalen Gesetzgeber weder hinsichtlich des Inhalts der zu veröffentlichenden Dokumente noch hinsichtlich des Zwecks und der Mittel der Veröffentlichung ein Entscheidungsspielraum eingeräumt wurde?“
Antwort des EuGH auf Vorlagefrage 1 in der Rechtssache C-231/22 (Rn. 25 bis 39 des Urteils)
Für die Beantwortung der ersten Vorlagefrage hatte der EuGH den Art. 4 Nr. 7 DSGVO auszulegen. Dort heißt es:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck: (…)
„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden (…).“
Nachdem, wie der EuGH ausführt,
- der Appellationshof Brüssel klargestellt habe, dass dem „Moniteur belge“ nach belgischem Recht keine Befugnis zur Entscheidung über die Mittel und Zwecke der durch ihn erfolgenden Datenverarbeitung übertragen worden sei und
- sich aus den übereinstimmenden Erklärungen der belgischen Regierung sowie der belgischen Datenschutzaufsichtsbehörde in der mündlichen Verhandlung ergebe, dass auch dem FÖD Justiz, als der den „Moniteur belge“ leitenden Behörde, nach belgischem Recht keine derartige Befugnis übertragen worden sei,
kam eine Einstufung des „Moniteur belge“ als Verantwortlicher für die durch diesen erfolgende Datenverarbeitung nur nach Art. 4 Nr. 7 HS 2 DSGVO in Betracht. Der EuGH hatte daher insofern zu prüfen, ob die Mittel und Zwecke dieser Datenverarbeitung durch das belgische Recht vorgegeben sind und in diesem Fall, ob das belgische Recht den „Moniteur belge“ als Verantwortlichen dieser Datenverarbeitung bzw. Kriterien für dessen Benennung vorsieht, nach denen der „Moniteur belge“ als Verantwortlicher für diese Datenverarbeitung einzustufen ist.
Im Hinblick auf die Auslegung des Art 4 Nr. 7 DSGVO weist der EuGH zunächst darauf hin,
„(…) dass nach der Rechtsprechung des Gerichtshofs durch die weite Definition des Ausdrucks „Verantwortlicher“ ein wirksamer und umfassender Schutz der betroffenen Personen gewährleistet werden soll (…).“
In diesem Zusammenhang verweist der EuGH auf die entsprechenden Ausführungen in zwei, am 05.12.2023 ergangenen, Urteilen sowie die dort angeführte Rechtsprechung. Es handelt sich hierbei um das Urteil in der Rechtssache C-683/21 (dort unter Rn. 29) sowie um das Urteil in der Rechtssache C-807/21 (dort unter Rn. 40).
Hieran anknüpfend führt der EuGH aus:
„Insoweit ist klarzustellen, dass angesichts der weiten Definition des Ausdrucks „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO die Vorgabe der Zwecke und Mittel der Verarbeitung und gegebenenfalls die Benennung des Verantwortlichen durch das nationale Recht nicht nur explizit, sondern auch implizit erfolgen kann. Im letzteren Fall ist es jedoch erforderlich, dass sich diese Vorgabe mit hinreichender Bestimmtheit aus der Rolle, dem Auftrag und den Aufgaben der betroffenen Person oder Einrichtung ergibt. Der Schutz dieser Personen würde sich nämlich verringern, wenn Art. 4 Nr. 7 DSGVO eng ausgelegt wird, um lediglich die Fälle zu erfassen, in denen die Zwecke und Mittel einer Datenverarbeitung durch eine Person, Behörde, Einrichtung oder Stelle ausdrücklich durch das nationale Recht vorgegeben werden, selbst wenn sich diese Zwecke und Mittel im Wesentlichen aus den Rechtsvorschriften ergeben, die die Tätigkeit der betreffenden Einrichtung regeln.“
Dies vorweggeschickt gelangt der EuGH sodann zu dem Ergebnis, dass die Mittel und Zwecke der durch den „Moniteur belge“ erfolgenden Datenverarbeitung zumindest implizit durch belgisches Recht vorgegeben seien und der „Moniteur belge“ als Verantwortlicher für ebendiese Datenverarbeitung nach Art. 4 Nr. 7 HS 2 DSGVO einzustufen sei.
Zwar begründet der EuGH dieses Ergebnis in Rn. 32 und 33 des hier in Rede stehenden Urteils mit Erkenntnissen über die Mittel und Zwecke der hier in Rede stehenden Datenverarbeitung, welche er „(…) aus den (…) [ihm] vorliegenden Akten (…)“ sowie den „(…) Erläuterungen des (…) [Appellationshofes Brüssel] (…)“ gewonnen habe. Ob der Entscheidung des EuGH sowie angesichts dessen, dass sich die so mitgeteilten Erkenntnisse jedenfalls teilweise in den innerhalb des Urteils unter „Rechtlicher Rahmen“ zitierten belgischen Rechtsnormen spiegeln, wird jedoch davon auszugehen sein, dass
- sich der EuGH auf ebendiese bzw. weitere belgische Rechtsnormen bezieht, wenn er von „(…) den [ihm] vorliegenden Akten (…)“ spricht sowie, dass
- der Appellationshof Brüssel in seinen, von dem EuGH in diesem Zusammenhang in Bezug genommenen, Erläuterungen ebenfalls auf die entsprechenden belgischen Rechtsnormen rekurrierte.
Die Beantwortung der ersten Vorlagefrage abschließend, weist der EuGH ausdrücklich darauf hin, dass sein Ergebnis weder dadurch in Frage gestellt werde, dass der „Moniteur belge“ als Unterabteilung des FÖD Justiz keine eigene Rechtspersönlichkeit besitze, noch dadurch, dass der „Moniteur belge“ nach belgischem Recht die personenbezogenen Daten innerhalb der ihm zwecks Veröffentlichung übermittelten Texten vor deren Veröffentlichung nicht kontrolliere.
Die zusammengefasste Antwort des EuGH auf die erste Vorlagefrage lautet:
„Nach alledem ist auf die erste Frage zu antworten, dass Art. 4 Nr. 7 DSGVO dahin auszulegen ist, dass die für das Amtsblatt eines Mitgliedstaats zuständige Einrichtung oder Stelle, die nach den Rechtsvorschriften dieses Staates u. a. verpflichtet ist, Rechtsakte und amtliche Dokumente unverändert zu veröffentlichen, die von Dritten in eigener Verantwortung unter Einhaltung der geltenden Vorschriften erstellt wurden und anschließend bei einer Justizbehörde, die sie der Einrichtung oder Stelle zum Zweck der Veröffentlichung übermittelt, hinterlegt wurden, trotz fehlender Rechtspersönlichkeit als für die Verarbeitung der in diesen Rechtsakten und Dokumenten enthaltenen personenbezogenen Daten „Verantwortlicher“ eingestuft werden kann, wenn die Zwecke und Mittel der durch das Amtsblatt vorgenommenen Verarbeitung personenbezogener Daten durch das betreffende nationale Recht vorgegeben sind.“
Vorlagefrage 2 in der Rechtssache C-231/22
Für den – hier eingetretenen – Fall, dass der EuGH den „Moniteur belge“ als Verantwortlichen für die hier in Rede stehende Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO einordnete, möchte der Appellationshof Brüssel vom EuGH mit seiner zweiten Vorlagefrage wissen, ob der „Moniteur belge“ als Konsequenz dieser Einordnung für die entsprechende Einhaltung der Grundsätze des Art. 5 Abs. 1 DSGVO gem. Art. 5 Abs. 2, Abs. 1 DSGVO allein verantwortlich gemacht werden könne oder ob nicht vielmehr gemeinsam mit ihm auch die beiden anderen Akteure der Verarbeitungskette, das ist
- der Notar und
- die Geschäftsstelle des Gerichtes
eine solche Verantwortung treffe. Der Appellationshof Brüssel wies den EuGH in diesem Kontext explizit darauf hin, dass sich die drei vorgenannten Akteure der Verarbeitungskette gerade nicht auf eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO beriefen.
Die zweite Vorlagefrage des Appellationshofs Brüssel lautet:
„Falls die erste Frage bejaht wird: Ist Art. 5 Abs. 2 DSGVO dahin auszulegen, dass das betreffende Amtsblatt allein für die Einhaltung der Pflichten verantwortlich ist, die nach dieser Bestimmung bei dem Verantwortlichen liegen, unter Ausschluss anderer öffentlicher Stellen, von denen die Daten in den Rechtsakten und amtlichen Dokumenten, deren Veröffentlichung sie von ihm verlangen, zuvor verarbeitet wurden, oder sind diese Pflichten kumulativ jedem der aufeinanderfolgenden Verantwortlichen auferlegt?“
Antwort des EuGH auf Vorlagefrage 2 in der Rechtssache C-231/22 (Rn. 40 bis 52 des Urteils)
In Annäherung an die Beantwortung der zweiten Vorlagefrage hält der EuGH zunächst fest, dass der „Moniteur belge“ im Hinblick auf die hier in Rede stehenden, durch diesen verarbeiteten, personenbezogenen Daten nach Art. 5 Abs. 2, Abs. 1 DSGVO für die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten verantwortlich sei. So sei diese Datenverarbeitung der Verarbeitung derselben personenbezogenen Daten
- durch die Geschäftsstelle des Gerichtes, bei dem der entsprechende Auszug hinterlegt worden sei, sowie
- durch den Notar, welcher den Auszug erstellt habe,
nachgelagert und unterscheide sich zudem technisch von den beiden vorangegangenen Datenverarbeitungen, weswegen es sich bei ihr um eine weitere Verarbeitung der betreffenden personenbezogenen Daten handele.
Dies vorweggeschickt zeigt der EuGH sodann auf, dass sich die Möglichkeit der Vorgabe der Mittel und Zwecke für eine Datenverarbeitung – sowie ggf. des Vorsehens des Verantwortlichen bzw. bestimmter Kriterien für dessen Benennung – durch das nationale Recht und die hieraus gem. Art. 4 Nr. 7 HS 2 DSGVO folgende Einstufung als datenschutzrechtlich Verantwortlicher auf den gesamten ersten Halbsatz des Art. 4 Nr. 7 DSGVO beziehe und daher auch die Variante der gemeinsamen Verantwortlichkeit umfasse.
Es könne daher das nationale Recht etwa in einem – wie hier vorliegenden Fall – einer Verarbeitungskette, in welcher ein- und dieselben personenbezogenen Daten nacheinander von unterschiedlichen Akteuren verarbeitet würden, die Mittel und Zwecke jeder einzelnen dieser Datenverarbeitungen vorgeben, um die Akteure der Verarbeitungskette zu gemeinsamen Verantwortlichen zu machen.
Der EuGH zeigt zudem auf, dass sich diese Möglichkeit nicht nur dem Art. 4 Nr. 7 DSGVO entnehmen lasse, sondern sich auch in Art. 26 Abs. 1 DSGVO spiegele, der – ausweislich seines Wortlautes – auch eine Verteilung der Erfüllung der datenschutzrechtlichen Pflichten unter gemeinsamen Verantwortlichen, ohne das Bestehen einer entsprechenden Vereinbarung zwischen diesen, kenne. So hieße es in Art. 26 Abs. 1 S. 2 DSGVO:
„Sie [die gemeinsam Verantwortlichen] legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, (…) sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind.“
Zu den Anforderungen an die Begründung einer gemeinsamen Verantwortlichkeit mehrerer Akteure einer Verarbeitungskette durch nationales Recht nach Art. 26 Abs. 1 DSGVO in Verbindung mit Art. 4 Nr. 7 DSGVO führt der EuGH aus, eine solche setze voraus, dass
- die einzelnen Verarbeitungsvorgänge der Verarbeitungskette durch die im nationalen Recht vorgegebenen Zwecke und Mittel verbunden seien und
- das nationale Recht die jeweiligen Pflichten jedes gemeinsam Verantwortlichen festlege.
Analog zu seinen Ausführungen bezüglich der Anforderungen an das Vorliegen einer Vorgabe der Zwecke und Mittel einer Datenverarbeitung durch nationales Recht im Sinne des Art. 4 Nr. 7 HS 2 DSGVO an sich, ergänzt der EuGH (Rn. 50 des in Rede stehenden Urteils):
„Eine solche Vorgabe der Zwecke und Mittel, die die verschiedenen Verarbeitungen durch mehrere Akteure einer Kette verbinden, sowie der jeweiligen Pflichten dieser Akteure kann nicht nur unmittelbar, sondern auch mittelbar durch das nationale Recht erfolgen, sofern sich die mittelbare Vorgabe den Rechtsvorschriften, die für die betroffenen Personen oder Einrichtungen und für deren Verarbeitung personenbezogener Daten im Rahmen der nach dem nationalen Recht vorgeschriebenen Verarbeitungskette gelten, hinreichend deutlich entnehmen lässt.“
Zusammenfassend beantwortet der EuGH die zweite Vorlagefrage wie folgt (Rn. 52 des hier in Rede stehenden Urteils):
„Nach alledem ist auf die zweite Frage zu antworten, dass Art. 5 Abs. 2 in Verbindung mit Art. 4 Nr. 7 und Art. 26 Abs. 1 DSGVO dahin auszulegen ist, dass die für das Amtsblatt eines Mitgliedstaats zuständige Einrichtung oder Stelle, die als „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO eingestuft wird, in Bezug auf die von ihr nach nationalem Recht vorzunehmenden Verarbeitungen personenbezogener Daten für die Einhaltung der in Art. 5 Abs. 1 DSGVO genannten Grundsätze allein verantwortlich ist, es sei denn, aus dem nationalen Recht ergibt sich in Bezug auf diese Verarbeitungen eine gemeinsame Verantwortlichkeit mit anderen Stellen.“
Ausführungen zu Art. 4 Nr. 7 HS 2 DSGVO – neue Diskussion um § 79a BetrVG voraus?
In seinem Urteil in der Rechtssache C-231/22 führt der EuGH dazu aus, unter welchen Voraussetzungen ein datenverarbeitender Akteur, welcher nicht selbst dazu befugt ist, über die Mittel und Zwecke der durch ihn erfolgenden Datenverarbeitung zu entscheiden, infolge einer Vorgabe der Zwecke und Mittel ebendieser Datenverarbeitung durch nationales Recht als insofern Verantwortlicher nach Art. 4 Nr. 7 HS 2 DSGVO einzustufen sei.
Weil der EuGH sich hierdurch zu den Anforderungen an das Vorliegen der Voraussetzungen dieser Norm einlässt und weil es sich bei Art. 4 Nr. 7 HS 2 DSGVO um diejenige Öffnungsklausel handelt, auf welche – ausweislich der Begründung zum „Entwurf eines Gesetzes zur Förderung der Betriebsratswahlen und der Betriebsratsarbeit in einer digitalen Arbeitswelt (Betriebsrätemodernisierungsgesetz)“ der Bundesregierung (Drucksache 19/28899, dort S. 22) – § 79a BetrVG gestützt sei, könnte das Urteil des EuGH vom 11.01.2024 die Diskussion rund um diese Vorschrift im Besonderen sowie hieran anknüpfend um die datenschutzrechtliche Rollenverteilung zwischen Betriebsrat und Arbeitgeber im Allgemeinen neu entfachen.
