Die Datenschutzgrundverordnung (DSGVO) nach wie vor ein „heißes Eisen“

Obwohl die DSGVO bereits 2018 in Kraft getreten ist, hat sich der EuGH nach wie vor mit Fragen der Auslegung zu beschäftigen (kürzlich berichteten wir zur Rechtssache C-300-21). Zuletzt war erneut Art. 15 DSGVO Gegenstand eines Vorabentscheidungsersuchens. Mit Urteil vom 22. Juni 2023 (Rechtssache C-579/21) äußert sich der EuGH zu der Frage, ob die DSGVO auch Anwendung bei Datenverarbeitungen findet, die vor der Inkraftsetzung des Regelungswerkes am 25. Mai 2018 stattfanden und konkretisiert in seiner Entscheidung den Umfang des Auskunftsanspruchs nach Art. 15 DSGVO.

Hintergrund der Entscheidung war folgender Fall: Ein Mitarbeiter einer finnischen Bank war zugleich Kunde dieser Bank. Im Jahr 2013 erfuhr er, dass Abfragen bezüglich seiner Daten durch Kollegen erfolgt waren. Im Mai 2018 – kurz nach Inkrafttreten der DSGVO – forderte er die Bank auf, ihm Auskunft darüber zu erteilen, wer seine Kundendaten abgefragt hatte und zu welchem Zeitpunkt die Abfrage stattfand. Darüber hinaus verlangte er die Offenlegung des Zwecks der Datenverarbeitung. Die Bank legte den Zweck der Datenverarbeitung offen, weigerte sich jedoch die Identität des abfragenden Mitarbeiters preiszugeben.

Daraufhin wendete sich der Betroffene an die zuständige finnische Datenschutzbehörde und beantragte bei dieser, die Bank anzuweisen, ihm die angeforderten Informationen zu erteilen. Nach Ablehnung seines Gesuchs klagte er beim Verwaltungsgerichts Ostfinnland, das schließlich den EuGH um Vorabentscheidung ersuchte.

Die Entscheidung des EuGH: Der EuGH bestätigt in seiner Entscheidung, dass die DSGVO, welche am 25. Mai 2018 in Kraft getreten ist, für Datenverarbeitungsanfragen gilt, die nach diesem Datum gestellt werden, auch wenn die tatsächliche Datenverarbeitung vor dem Inkrafttreten erfolgt ist. Die Luxemburger Richter konstatieren ferner, dass die DSGVO dahingehend auszulegen sei, dass es sich bei Informationen, die Abfragen personenbezogener Daten einer Person betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge beziehen, um Informationen handeln, welche ein Betroffener von den Verantwortlichen verlangen darf.

Art. 15 DSGVO gehe aber nicht so weit, dass auch Informationen über solche Arbeitnehmer herausgegeben werden müssen, die die datenverarbeitenden Vorgänge im Einklang mit den Weisungen des Verantwortlichen ausgeführt haben. Es sei denn, diese Information sei unerlässlich, um es der betroffenen Person zu ermöglichen, ihre Recht aus der DSGVO wirksam wahrzunehmen. Die Rechte des abfragenden Mitarbeiters seien stets auch zu berücksichtigen. Sofern die Rechte und Freiheiten anderer Personen mit den Rechten des Auskunftsersuchenden kollidieren, sei eine Interessensabwägung vorzunehmen.

Die Tatsache, dass der betroffene Kunde in dieser konkreten Fallgestaltung zugleich Mitarbeiter der Bank war, sei irrelevant. Dieser Umstand verwehre ihm nicht die Möglichkeit, den Anspruch nach Art. 15 DSGVO geltend zu machen.

Ausblick

Das Urteil des EuGH steht im Einklang mit der derzeit großzügigen Auslegung der Reichweite des Art. 15 DSGVO und ist wenig überraschend. Zurecht unterstreichen die Luxemburger Richter jedoch, dass grundsätzlich, wenn keine besonderen Umstände vorliegen, die Identität der datenverarbeitenden Arbeitnehmer nicht offengelegt werden muss – Art. 15 DSGVO demnach auch seine Grenzen hat. Die hiesige Entscheidung des EuGH, dass auch Datenverarbeitungen vor dem 25. Mai 2018 zu beauskunften sind und in den Anwendungsbereich der DSGVO fallen, verdeutlicht das Erfordernis eines guten Löschkonzeptes. Daten, die nicht mehr existent sind, müssen schließlich nicht mehr beauskunftet werden. Das Urteil vom 22. Juni 2023 wird nicht die letzte Entscheidung des EuGH zur DSGVO gewesen sein, weitere Rechtsprechung ist nur eine Frage der Zeit.