Ein Urteil mit Signalwirkung vom EuGH
Eine strafrechtliche Verurteilung ist Teil der öffentlichen Justiz. Daraus folgt jedoch nicht, dass private Anbieter entsprechende Entscheidungen zeitlich unbegrenzt sammeln, nach Namen durchsuchbar machen und gegen Bezahlung anbieten dürfen. Mit Urteil vom 9. Juli 2026 hat der Europäische Gerichtshof die datenschutzrechtlichen Grenzen kommerzieller Personendatenbanken geschärft.
Die Entscheidung betrifft zwar ein schwedisches Geschäftsmodell. Ihre Bedeutung reicht aber weit darüber hinaus. Sie ist für Betreiber von Informationsdiensten, Auskunfteien, Rechercheplattformen, Compliance-Datenbanken und Anbieter von Background Checks ebenso relevant wie für Unternehmen, die solche Dienste nutzen. Der zentrale datenschutzrechtliche Punkt lautet: Öffentlich zugängliche Daten sind nicht automatisch frei verwertbare Daten.
Strafurteile als durchsuchbares Datenprodukt
Das beklagte schwedische Unternehmen betrieb eine kostenpflichtige Online-Datenbank. Nutzer konnten darin nach Personen suchen, gegen die Strafverfahren geführt worden waren, und die entsprechenden strafrechtlichen Entscheidungen abrufen.
Ein Betroffener, der im Jahr 2011 verurteilt worden war, verlangte die Löschung seiner personenbezogenen Daten. Das Unternehmen entfernte die Informationen erst später auf Grundlage seiner internen Speicherregeln. Der Betroffene machte daraufhin einen Schadensersatzanspruch nach der DSGVO geltend.
Das Unternehmen berief sich auf den besonderen verfassungsrechtlichen Schutz seiner Datenbank. Dieser sollte dazu führen, dass die DSGVO weitgehend nicht anwendbar war und dem Betroffenen im Wesentlichen nur äußerungsrechtliche Rechtsbehelfe verblieben.
Der EuGH stellte hierzu klar: Eine Tätigkeit, die im Wesentlichen darin besteht, strafrechtliche Verurteilungen gegen Entgelt online verfügbar zu machen, ist grundsätzlich nicht bereits als Verarbeitung zu journalistischen Zwecken anzusehen. Eine pauschale Herausnahme aus den Garantien und Rechtsbehelfen der DSGVO kommt daher nicht in Betracht. Die abschließende Bewertung des konkreten Angebots bleibt allerdings dem vorlegenden schwedischen Gericht überlassen.
Öffentlich einsehbar bedeutet nicht datenschutzfrei
Für die Praxis ist zunächst entscheidend, dass der Zugang zu einer öffentlichen Quelle die weitere Verarbeitung nicht automatisch legitimiert. Auch Daten aus Gerichtsentscheidungen, Registern, Presseberichten oder sozialen Netzwerken bleiben personenbezogene Daten.
Wer sie erhebt, systematisch ordnet, speichert, mit Suchfunktionen versieht oder Dritten bereitstellt, nimmt eigenständige Verarbeitungsvorgänge vor. Für jeden dieser Vorgänge muss eine Rechtsgrundlage bestehen. Wie bereits in unserem Beitrag „Die Verarbeitung von öffentlich zugänglichen Daten“ erläutert, gilt auch hier das datenschutzrechtliche Verbot mit Erlaubnisvorbehalt.
Das ist keine juristische Spitzfindigkeit. Zwischen einer einzelnen Gerichtsentscheidung in einem schwer durchsuchbaren Archiv und einer kommerziellen Datenbank, in der jede Person innerhalb weniger Sekunden gefunden werden kann, besteht ein erheblicher Unterschied. Die Daten mögen dieselben sein. Reichweite, Auffindbarkeit, Verknüpfbarkeit und mögliche Folgen der Verarbeitung sind es nicht.
Die Digitalisierung verändert deshalb nicht zwingend den Inhalt einer Information, wohl aber ihre praktische Wirkung. Aus einem Dokument über ein bestimmtes Verfahren wird durch Indexierung und Namenssuche ein dauerhaft abrufbares Personenprofil.
Art. 10 DSGVO setzt zusätzliche Grenzen
Besonders brisant ist, dass die Datenbank Informationen über strafrechtliche Verurteilungen enthielt. Solche Daten unterliegen Art. 10 DSGVO.
Art. 10 DSGVO ist keine eigenständige Rechtsgrundlage. Vielmehr müssen zwei Voraussetzungen zusammenkommen: Zunächst benötigt der Verantwortliche eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Zusätzlich darf die Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten grundsätzlich nur unter behördlicher Aufsicht erfolgen oder aufgrund einer besonderen Erlaubnis des Unionsrechts oder des Rechts eines Mitgliedstaats. Eine solche gesetzliche Regelung muss angemessene Garantien für die Rechte und Freiheiten der betroffenen Personen vorsehen.
Ein pauschaler Verweis auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO genügt daher nicht. Selbst eine überzeugende Interessenabwägung kann die zusätzliche Voraussetzung des Art. 10 DSGVO nicht ersetzen. Nähere Grundlagen zum berechtigten Interesse enthält unser Beitrag „Was ist eigentlich dieses berechtigte Interesse?“.
Bereits 2021 hatte der EuGH im Zusammenhang mit öffentlich einsehbaren Strafpunkten bei Verkehrsverstößen hervorgehoben, dass Art. 10 DSGVO die Verarbeitung entsprechender Informationen besonders begrenzt. Der damalige Fall wird in unserem Beitrag „EuGH: Keine öffentliche Einsicht in Strafpunkte aus Verkehrsverstößen“ dargestellt.
Das neue Urteil setzt diese Linie für kommerzielle Online-Datenbanken fort. Es sagt allerdings nicht, dass jede Veröffentlichung eines Strafurteils unzulässig wäre. Es stellt vielmehr klar, dass die bloße Bereitstellung solcher Daten gegen Entgelt nicht automatisch einen Bereich eröffnet, in dem die normalen Anforderungen der DSGVO entfallen.
Eine Datenbank ist mehr als die Summe ihrer Quellen
Verantwortliche betrachten häufig nur die Herkunft der verwendeten Daten. Für die datenschutzrechtliche Bewertung ist jedoch ebenso wichtig, was anschließend mit ihnen geschieht. Aber wo liegen die Gefahren und Risiken?
Eine Datenbank kann beispielsweise:
- Informationen aus unterschiedlichen Verfahren zusammenführen,
- die Suche anhand von Namen oder weiteren Merkmalen ermöglichen,
- Treffer dauerhaft verfügbar halten,
- Daten mit weiteren Quellen anreichern,
- Profile oder Risikobewertungen erzeugen,
- Zugriffe einer großen Zahl unbekannter Nutzer ermöglichen.
Jede zusätzliche Funktion kann die Eingriffsintensität erhöhen. Entscheidend ist deshalb nicht nur, ob eine Information irgendwann rechtmäßig veröffentlicht wurde. Zu prüfen ist auch, ob ihre erneute Erhebung, Strukturierung, Vermarktung und Bereitstellung für einen neuen Zweck zulässig ist.
Gerade Anbieter von Compliance- und Background-Check-Diensten sollten ihre Verarbeitung daher nicht mit dem Satz „Die Information war öffentlich“ abhaken. Das wäre datenschutzrechtlich ungefähr so belastbar wie „Das Internet hat es gesagt“.
Betroffenenrechte dürfen nicht leerlaufen
Ein weiterer wichtiger Teil der Entscheidung betrifft die Durchsetzung der DSGVO. Nach Auffassung des EuGH dürfen Mitgliedstaaten betroffene Personen bei nicht privilegierten Verarbeitungen nicht auf allgemeine zivil- oder strafrechtliche Klagen verweisen und ihnen dadurch die Rechtsbehelfe der DSGVO entziehen.
Betroffene müssen insbesondere die Möglichkeit behalten, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, gerichtlichen Rechtsschutz in Anspruch zu nehmen und unter den Voraussetzungen des Art. 82 DSGVO Schadensersatz zu verlangen. Der Gerichtshof verweist ausdrücklich auf die Garantien der Art. 77 bis 82 DSGVO.
Daneben kommen grundsätzlich auch die materiellen Betroffenenrechte der DSGVO in Betracht. Einen Überblick enthält unser Beitrag „Alle Betroffenenrechte der DSGVO in einer Übersicht“.
Müssen ältere Verurteilungen gelöscht werden?
Aus der Entscheidung folgt keine feste Löschfrist für strafrechtliche Entscheidungen. Verantwortliche müssen jedoch nachvollziehbar festlegen, wie lange die Speicherung für den jeweiligen Zweck erforderlich ist.
Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verlangt, personenbezogene Daten zu löschen oder zu anonymisieren, sobald sie für den festgelegten Zweck nicht mehr benötigt werden. Vertiefende Hinweise enthält unser Beitrag „DSGVO-Grundsatz der Speicherbegrenzung“.
Eine interne Speicherregel genügt nicht allein deshalb, weil sie intern festgelegt wurde. Sie muss sich am konkreten Zweck, an den gesetzlichen Vorgaben und an den Risiken für die Betroffenen orientieren. Bei Daten über strafrechtliche Verurteilungen sind pauschale oder sehr lange Fristen besonders kritisch.
Was Anbieter und Nutzer solcher Datenbanken prüfen sollten
Das Urteil betrifft nicht nur die Betreiber von Plattformen. Auch Unternehmen, die Informationen aus Personendatenbanken für Einstellungen, Vertragsentscheidungen, Compliance-Prüfungen oder Risikobewertungen beziehen, sind datenschutzrechtlich gefordert.
Für die Praxis empfiehlt sich folgende Prüfung:
- Welche Daten werden verarbeitet? Sind strafrechtliche Verurteilungen, laufende Ermittlungsverfahren oder bloße Verdachtsinformationen enthalten?
- Woher stammen die Informationen? Eine öffentliche Quelle erleichtert die Prüfung, ersetzt aber keine Rechtsgrundlage.
- Welcher konkrete Zweck wird verfolgt? Eine allgemeine Sammlung „für spätere Fälle“ ist regelmäßig zu unbestimmt.
- Welche Rechtsgrundlage nach Art. 6 DSGVO greift? Bei Art. 6 Abs. 1 lit. f DSGVO ist eine dokumentierte Interessenabwägung erforderlich.
- Besteht zusätzlich eine Erlaubnis nach Art. 10 DSGVO? Ohne behördliche Aufsicht oder eine hinreichend bestimmte gesetzliche Grundlage kann die Verarbeitung unzulässig sein.
- Sind die Daten richtig und aktuell? Veraltete, unvollständige oder aus dem Kontext gelöste Angaben können Betroffene erheblich benachteiligen.
- Wie lange werden die Daten gespeichert? Löschfristen müssen zweckbezogen und nachvollziehbar sein.
- Wie können Betroffene ihre Rechte ausüben? Auskunfts- und Löschungsprozesse dürfen nicht nur auf dem Papier existieren.
- Ist eine Datenschutz-Folgenabschätzung erforderlich? Bei umfangreicher Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten ist nach Art. 35 Abs. 3 lit. b DSGVO regelmäßig eine Datenschutz-Folgenabschätzung erforderlich.
- Wer erhält Zugriff? Ein abgestuftes Berechtigungskonzept kann Risiken reduzieren. Nicht jede zulässige Speicherung rechtfertigt einen unbeschränkten Abruf.
Aus öffentlicher Information wird nicht automatisch ein zulässiges Geschäftsmodell
Das Urteil des EuGH ist vor allem eine datenschutzrechtliche Erinnerung an einen häufig übersehenen Grundsatz: Die Zulässigkeit einer Datenverarbeitung richtet sich nicht allein danach, ob die Ausgangsinformation öffentlich auffindbar war.
Wer Strafurteile systematisch sammelt, nach Personen durchsuchbar macht und vermarktet, benötigt eine belastbare Rechtsgrundlage nach Art. 6 DSGVO und muss zusätzlich die hohen Anforderungen des Art. 10 DSGVO erfüllen. Hinzu kommen die Datenschutzgrundsätze, angemessene Löschfristen und wirksame Verfahren zur Wahrnehmung von Betroffenenrechten.
Der EuGH hat das konkrete Geschäftsmodell nicht abschließend für unzulässig erklärt. Er hat aber deutlich gemacht, dass sich kommerzielle Personendatenbanken nicht ohne Weiteres durch eine formale Einordnung den Garantien der DSGVO entziehen können.
Die praktische Botschaft ist aber eindeutig: Öffentlich zugänglich heißt einsehbar – nicht beliebig sammelbar, verknüpfbar und verkäuflich.
