DatenschutzWoche vom 08.08.2022

EuGH-Urteil zu besonderen Kategorien personenbezogener Daten

Es ist weit auszulegen, was unter besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO (im Folgenden: „sensible Daten“) zu verstehen ist, so der Europäische Gerichtshof (EuGH) in seinem Urteil vom 01. August 2022 (Rs. C‑184/20).

Wenn aus personenbezogenen Daten „mittels gedanklicher Kombination oder Ableitung auf die sexuelle Orientierung einer natürlichen Person geschlossen werden kann […]“, handelt es sich demnach um sensible Daten nach Art. 9 DSGVO.

Eine Verarbeitung sensibler Daten liegt auch dann vor, wenn personenbezogene Daten veröffentlicht werden, „[…] die geeignet sind, die sexuelle Orientierung einer natürlichen Person indirekt zu offenbaren […]“. Wesentliches Argument des EuGH ist der Schutz der Betroffenen.

Die Entscheidung wird derzeit intensiv diskutiert und kritisiert, da indirekte Rückschlüsse auf sensible Daten sehr häufig möglich sind. Dabei scheint fraglich, ob sich die Argumentation des Gerichts überhaupt auf andere Konstellationen übertragen lässt.

Im konkreten Fall erfordert ein lettisches Gesetz zur Korruptionsbekämpfung, dass bestimmte Personen eine Erklärung über private Interessen abgeben. Diese Erklärung, die auch veröffentlicht wird, muss – neben anderen Angaben – auch die vollen Namen derjenigen Personen enthalten, mit der die erklärungspflichtige Person in einer Ehe oder Partnerschaft lebt. Daraus lässt sich nach der Begründung des EuGH mittels „gedankliche Kombination oder Abteilung“ ohne Weiteres ein Rückschluss auf die sexuelle Orientierung der erklärungspflichtigen Person ziehen. Der EuGH bewertet die Veröffentlichung der Erklärung im Internet als sehr risikoreich.

In anderen Fällen, wie z.B. bei der Online-Bestellung in einem Sexshop, dürfte ein entsprechender Rückschluss auf die sexuelle Orientierung weniger eindeutig sein.

Unbeantwortet lässt das Gericht die Frage nach der „[…] Offenlegung von Daten in Erklärungen über private Interessen […]“ gegenüber der Obersten Ethikkommission als verantwortlicher Stelle. Insbesondere stellt der EuGH nicht fest, dass die Offenlegung der Informationen gegenüber der Obersten Ethikkommission eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne dieser Bestimmungen darstellt. Dies könnte dafürsprechen, dass der EuGH das Risiko der Verarbeitung in die Frage, ob sensible Daten nach Art. 9 DSGVO vorliegen, einfließen lässt, statt diese auf der Rechtfertigungsebene zu diskutieren.

Handelsregister.de: Private Daten jetzt kostenfrei abrufbar

Mit Inkrafttreten des Gesetzes zur Umsetzung der Digitalisierungsrichtlinie sind seit dem ersten August Abrufe aus dem gemeinsamen Registerportal der Länder kostenfrei und ohne Registrierung oder Anmeldung möglich. Wie heise.de berichtet, finden sich in den nunmehr einfach abrufbaren Registereinträgen auch eine Reihe von privaten Daten, deren Veröffentlichungen diskutabel erscheint. Die zuständige Datenschutzaufsicht Nordrhein-Westfalen hat, wie heise.de ebenfalls berichtet, bereits empfohlen, mögliche Einschränkungen der Veröffentlichung zu prüfen.

Internationale Nachrichten

  • Frankreich: Die französische Datenschutzaufsicht CNIL plant, gegen den Online-Marketinganbieter Criteo ein Bußgeld von 60 Millionen Euro zu verhängen, wie das Unternehmen in einer Pressemitteilung bekannt gegeben hat. Ausgangspunkt des Verfahrens ist eine Beschwerde der NGO Privacy International.

Aktuelle Gerichtsentscheidungen

  • OLG Köln, Urteil vom 14.07.2022, Az. 15 U 137/21 (Volltext): Eine verspätete Auskunft nach Art. 15 DSGVO rechtfertigt ein Schmerzensgeld in Höhe von 500 Euro.
  • EuGH, Urteil vom 01.08.2022, Rs. C-184/20 (Volltext): Art. 9 Abs. 1 DSGVO ist dahin auszulegen, dass die Veröffentlichung personenbezogener Daten, die geeignet sind, die sexuelle Orientierung einer natürlichen Person indirekt zu offenbaren, eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne dieser Bestimmungen darstellt.

Neuigkeiten aus den Aufsichtsbehörden