Der Europäische Gerichtshof veröffentlichte Anfang dieses Monats gleich mehrere Urteile, in denen er sich mit mehreren relevanten datenschutzrechtlichen Fragestellungen beschäftigt.
Begriff der „Kopie“ bei Auskunftsersuchen
Der Gerichtshof beschäftigte sich in einem Verfahren (Az.:C-487/21) mit dem Auskunftsrecht in Art. 15 DSGVO. In Abs. 3 S. 1 heißt es:
„Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“
Die in dem Verfahren aufkommende Frage war, was unter dem Begriff „Kopie“ zu verstehen ist. Der EuGH urteilte nun, dass Betroffenen eine originaltreue und verständliche Reproduktion ihrer personenbezogenen Daten zu erhalten haben. Hierunter können grundsätzlich auch Kopien von Auszügen aus Dokumenten oder ggf. ganze Dokumente oder Auszüge aus Datenbanken fallen, wenn dies unerlässlich ist, um Betroffenen die wirksame Ausübung ihrer Rechte zu ermöglichen. Zudem muss der Verantwortliche in bestimmten Fällen den Kontext von Datenverarbeitungen erklären, z.B., wenn personenbezogene Daten aus anderen Daten oder gar aus fehlenden Angaben generiert werden, um dem Betroffenen eine transparente Auskunft und verständliche Darstellung der Daten zu gewährleisten.
Schadensersatz bei Datenschutzverstößen erfordert Kausalzusammenhang zwischen Verstoß und Schaden
Der EuGH urteilte in einem weiteren Verfahren (Az.: C-300/21), dass nicht jeder Verstoß gegen die DSGVO automatisch einen Schadensersatz begründet. Erforderlich sei insoweit, dass zwischen dem Datenschutzverstoß und dem Schaden ein Kausalzusammenhang besteht. Zudem lehnte der EuGH es ab, immaterielle Schadensersatzansprüche nur auf die Fälle zu beschränken, in denen der Schaden eine gewisse Erheblichkeit erreicht haben.
Fehlendes Verarbeitungsverzeichnis und JCA bedeuten keine unrechtmäßige Verarbeitung
Im einem dritten Verfahren (Az.: C-60/22) entschied der EuGH, dass ein unvollständiges Verarbeitungsverzeichnis und ein fehlendes Joint-Controller-Agreement („JCA“) nicht bedeuten, dass die Datenverarbeitungen rechtswidrig sind. So ist die Rechtmäßigkeit der Verarbeitung danach zu bestimmen, ob eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt. Der betreffende Artikel verlangt allerdings nicht, dass der Verantwortliche ein JCA oder ein Verarbeitungsverzeichnis führen muss, damit die Datenverarbeitung rechtmäßig ist.
Praktische Bedeutung: Das Urteil zum Auskunftsrecht nach Art. 15 DSGVO wird den Arbeits- und Zeitaufwand für Unternehmen bei der Beantwortung von Auskunftsersuchen perspektivisch steigern, insbesondere mit Blick auf die Kontextualisierung und Erklärung für komplexe Datenverarbeitungsvorgänge.
Ansonsten sind die weiteren Urteile des EuGH zu begrüßen. Durch die Klarstellungen hinsichtlich der Schadensersatzansprüche nach der DSGVO dürften pauschale Schadensersatzforderungen deutlich erschwert werden. Auch ist richtig, dass der EuGH zwischen den Dokumentations- und Rechenschaftspflichten und der Rechtmäßigkeit der Verarbeitung klar unterscheidet. Zu bedenken ist hier aber, dass ein Verstoß gegen Dokumentationspflichten insoweit Bußgelder nach der DSGVO auslösen können.
Sollten Sie zu diesen Urteilen weitere Fragen haben, beraten wir Sie gern.
(Dr. Lukas Mezger, UNVERZAGT Rechtsanwälte)