Die Fortentwicklung des Datenschutzrechts durch die europäische Rechtsprechung*

Das Datenschutzrecht wird zunächst zwangsläufig durch die Datenschutz-Grundverordnung (DS-GVO) geprägt, aber auch durch die vielfältigen Entscheidungen des EuGH im Rahmen von Vorabentscheidungsverfahren nach Art. 267 AEUV (Vertrag über die Arbeitsweise der Europäischen Union) zur Auslegung der DS-GVO und durch das Gericht der Europäischen Union (EuG), welches in erstinstanzlichen Verfahren zum Beispiel gegen die EU-Kommission¹ oder den Europäischen Datenschutzausschuss (EDSA)², das Datenschutzrecht nach der DS-GVO beziehungsweise der VO 2018/1725³ im Einzelfall auslegt.

I. Der Gerichtshof der Europäischen Union (EuGH)

Der EuGH entscheidet nach seiner Verfahrensordnung entweder durch die sogenannte Große Kammer mit 15 Richtern oder durch eine Kammer (bestehend aus fünf Richtern). Die Große Kammer entscheidet insbesondere bei wichtigen Fragen hinsichtlich der Auslegung und Anwendung des EU-Rechts⁴, aber auch wenn eine nationale „Uneinsichtigkeit“ vorliegt. Ein Beispiel dafür sind die Vorlageverfahren zur Frage, ob der Petitionsausschuss eines Landtages unter die DS-GVO fällt und das später folgende Verfahren aus Österreich, bei dem es um die Frage ging, ob ein parlamentarischer Untersuchungsausschuss unter die DS-GVO fällt. Das erste Verfahren wurde von der Dritten Kammer des EuGH entschieden und die Frage bejaht.⁵ Das zweite Verfahren wurde dann vor der Großen Kammer verhandelt.⁶ Durch letztere Entscheidung wurde noch einmal besonders von dem EuGH dargelegt, dass nationale Parlamente datenschutzrechtlich nicht im rechtsfreien Raum stehen und der DS-GVO unterliegen.⁷

Dem geschulten Beobachter dürfte dabei im Weiteren auffallen, dass Kernfragen in Bezug zur DS-GVO immer die Erste Kammer entscheidet, während die übrigen Fragen zur DS-GVO in Verbindung mit anderen Rechtsgebieten von den übrigen Kammern des EuGH beschieden werden.

II. Verfahrensarten

Der Vertrag über die Arbeitsweise der Europäischen Union (AEUV) kennt verschiedenste Klagearten vor dem EuGH. Aus datenschutzrechtlicher Sicht dürften fünf Klagearten dabei am interessantesten sein. Das wichtigste Verfahren aus nationaler Sicht ist das Vorabentscheidungsverfahren gemäß Art. 267 AEUV. Dieses wird durch entsprechende Vorlagefragen eines nationalen Gerichtes an den EuGH angestoßen. Daneben gibt es die Nichtigkeitsklage gemäß Art. 263 AEUV, die Untätigkeitsklage nach Art. 265 AEUV, dass Normenkontrollverfahren gemäß Art. 277 AEUV, zum Beispiel gegen EU-Verordnungen oder Richtlinien der EU, und letztendlich bei datenschutzrechtlichen Verstößen durch Organe der EU die Schadensersatzklage nach Art. 340 Abs. 2 AEUV in Verbindung mit Art. 65 VO 2018/1725.

III. Vorabentscheidungsersuchen

Der EuGH entscheidet im Wege der Vorabentscheidung über die Auslegung der Verträge und deren Gültigkeit sowie über die Auslegung der Handlungen der Organe, Einrichtungen oder sonstigen Stellen der Union. Hält ein nationalstaatliches Gericht im Rahmen eines Verfahrens eine europäische Norm für bedenklich⁸ oder hält es eine entsprechende Auslegungsfrage der DS-GVO – auch hinsichtlich der nationalen Rechtslage – für entscheidungserheblich, so kann es diese Frage dem europäischen Gerichtshof zur Entscheidung vorlegen. Ein letztinstanzliches Gericht muss bei Auslegungsfragen, welche sich aufdrängen, die entsprechenden Fragen dem EuGH vorlegen.⁹

Das größte Problem ist nun, dass die Antworten des EuGH, welche sich ausschließlich auf die Auslegung von EU-Recht beschränken, also vorliegend der DS-GVO, nur so gut sind, wie die Fragen von dem vorlegenden Gericht gestellt wurden. Das bedeutet, der EuGH legt in diesem Fall nur das sogenannte „sekundäre Recht“ – die DS-GVO – aus. Er entscheidet nicht, ob eine nationale Norm gegen EU-Recht verstößt. Dies ist in der Umsetzung dann die alleinige Sache des nationalen Gerichts, welches festzustellen hat, ob eine nationale Norm wegen Verstoßes gegen EU-Recht unangewendet zu bleiben hat.¹⁰

Im Rahmen der europarechtlich ausgerichteten Verwaltung sind auch die Aufsichtsbehörden an die Auslegung des EuGH gebunden, denn sie haben die DS-GVO umzusetzen.¹¹ Sie sind insoweit zwar nationalen Behörden, jedoch wie die Gerichte europarechtlich verpflichtet. Zu beachten ist dabei, dass mit der Verkündung der Entscheidung des EuGH die Auslegung rechtskräftig ist. Sie gilt nicht nur für das einzelne Verfahren, sondern allgemein. Sollte ein Gericht der vom EuGH vorgenommenen Auslegung nicht folgen wollen, müsste das Gericht die Frage erneut vorlegen.

IV. Europäische Begrifflichkeiten

Die DS-GVO enthält eine Vielzahl von Begriffen, welche in der DS-GVO selbst nicht definiert worden sind, aber europäisch, das heißt im Sinne des Verständnisses des EuGH, auszulegen und anzuwenden sind. Aber auch bei den in Art. 4 DS-GVO definierten Begriffen bedarf es immer wieder eines europäischen Verständnisses. Dies bedeutet, dass gegebenenfalls Begriffe, welche sich auch in deutschen Rechtsnormen befinden und national ausgelegt wurden, nun in einem anderen Kontext, dem europäischen, zu verstehen sind.

1. Personenbezogene Daten: Die EuGH-Entscheidung zur Fahrzeugidentifikationsnummer (FIN)

Der Begriff personenbezogene Daten ist in Art. 4 Nr. 1 DS-GVO definiert. Allerdings stellt sich immer wieder die Frage, ob pseudonymisierte Daten personenbezogene Daten sind und damit unter die DS-GVO fallen oder aber es sich um nicht-personenbezogene Daten, also um sogenannte anonymisierte Daten, handelt. Im Rahmen einer Vorlage zur Frage hinsichtlich der Bestimmung des Verantwortlichen bei der FIN (Fahrzeugidentifationsnummer) stellte der EuGH fest, dass es in diesem Fall auch eines Personenzuges, also eines personenbezogenen Datums, bedürfe, denn andernfalls gäbe es keinen Verantwortlichen nach der DS-GVO:

„Unter diesen Umständen handelt es sich bei der FIN um ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DS-GVO der in der Zulassungsbescheinigung ausgewiesenen Person, sofern derjenige, der Zugang zur FIN hat, über Mittel verfügen könnte, die es ihm ermöglichen, die FIN zur Identifizierung des Halters des Fahrzeugs, auf das sich die FIN bezieht, oder zur Identifizierung der Person, die aufgrund eines anderen Rechtstitels denn als Halter über das betreffende Fahrzeug verfügen kann, zu nutzen.“¹²

An diese Entscheidung hat der EuGH in einer neueren Entscheidung, bei der es um die Abgrenzung zwischen Pseudonymisierung und Anonymisierung ging, angeknüpft.¹³ Das Gericht befand: Sind Dritte in der Lage pseudonymisierte Daten anhand von Mitteln wie den Abgleich mit anderen ihnen zur Verfügung stehenden Daten einer Person zuzuordnen, sind diese Daten als identifizierbar anzusehen¹⁴. Damit handelt es sich um personenbezogene und nicht um anonyme Daten. Mithin bedarf es immer einer konkreten Prüfung, ob es für einen Empfänger eines sogenannten anonymisierten Datums möglich ist, dieses Datum doch noch einer natürlichen Person zuzuordnen. Nur wenn dies tatsächlich auszuschließen ist, liegt keine Identifizierbarkeit vor. Damit ist in der Regel eine sogenannte Anonymisierung ausgeschlossen.

2. Verwendung des Namens

Auch bei amtlichen Veröffentlichungen sind der Vorname und der Nachname personenbezogene Daten einer identifizierten natürlichen Person. Gleiches gilt für die Unterschrift.¹⁵ Damit ist die Offenlegung des Vornamens, des Nachnamens, der Unterschrift und der Kontaktdaten einer natürlichen Person, die eine juristische Person vertritt, eine Verarbeitung personenbezogener Daten. Der Umstand, dass die Offenlegung allein zu dem Zweck erfolgt, die Identifizierung der natürlichen Person zu ermöglichen, welche befugt ist, im Namen der juristischen Person zu handeln, ist insoweit ohne Belang.¹⁶ Dies ist auch bei amtlichen Verkündungen zu beachten, weshalb es einer Rechtsgrundlage nach Art. 6 Abs. 1 UAbs 1 lit. e iVm Abs. 3 DS-GVO bedarf.

3. Unternehmensbegriffe

Zwar werden die Begriffe „Unternehmen“ und „Unternehmensgruppe“ in Art. 4 Nr. 18 und 19 DS-GVO definiert. Hiernach sind Unternehmen natürliche oder juristische Personen, die eine wirtschaftliche Tätigkeit ausüben, unabhängig von ihrer Rechtsform. Unternehmensgruppen sind Gruppen, die aus einem herrschenden Unternehmen und dem von diesem abhängigen Unternehmen besteht. Hinsichtlich des Unternehmensbegriffs nach Art. 83 DS-GVO stellt der EuGH jedoch auf den im Vertrag über die Arbeitsweise der EU (AEUV) definierten Unternehmensbegriff ab: „Nach der Rechtsprechung des Gerichtshofs ist der Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ohne Bedeutung für die Frage, ob und unter welchen Voraussetzungen eine Geldbuße nach Art. 83 DS-GVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DS-GVO abschließend geregelt ist.¹⁷ Dieser Begriff ist nur relevant, um die Höhe einer Geldbuße zu bestimmen, die gemäß Art. 83 Abs. 4 bis 6 DS-GVO gegen einen Verantwortlichen verhängt wird.“¹⁸ Dies mit der Folge, dass bei der Berechnung der Bußgelder für die in Art. 83 Abs. 4 bis 6 DS-GVO genannten Verstöße der Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV zugrunde zu legen ist.¹⁹

4. Sexuelle Orientierung und Gesundheitsdaten

Während die sexuelle Orientierung in der DS-GVO nicht definiert ist, bestimmt Art. 4 Nr. 15 DS-GVO, dass es sich bei Gesundheitsdaten um personenbezogene Daten handelt, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen. Dazu gehören auch Daten über die Erbringung von Gesundheitsdienstleistungen, die Informationen über den Gesundheitszustand der Person geben. Diese Definition konkretisiert der EuGH²⁰ dahingehend, dass als Gesundheitsdaten auch personenbezogene Daten anzusehen sind, aus denen mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand einer betroffenen Person geschlossen werden kann. Bei dem personenbezogenen Datum selbst muss es sich damit nicht direkt um Gesundheitsdaten handeln, vielmehr genügt es, dass aus dem Datum eine Ableitung auf den Gesundheitszustand einer betroffenen Person möglich ist. Dies bedeutet, dass zum Beispiel bei einer Arbeitsunfähigkeitsbescheinigung (AU) aufgrund der Fachrichtung des ausstellenden Arztes bereits auf einen Gesundheitszustand des Betroffenen geschlossen werden kann.

Damit überträgt der EuGH seine bisherige Rechtsprechung zur sexuellen Orientierung auch auf den Gesundheitszustand. Zuvor hatte er entschieden, dass personenbezogene Daten über den Ehegatten, den Lebensgefährten oder den Partner eine Aussage über die sexuelle Orientierung enthalten kann.²¹

Hier hatte der EuGH bereits hervorgehoben, dass die Verwendung des Verbs „hervorgehen“ in Art. 9 Abs. 1 DS-GVO dafür spreche,

„dass eine Verarbeitung erfasst ist, die sich nicht nur auf ihrem Wesen nach sensible Daten bezieht, sondern auch auf Daten, aus denen sich mittels eines Denkvorgangs der Ableitung oder des Abgleichs indirekt sensible Informationen ergeben, wohingegen aber die Präpositionen „zu“ und „über“ bzw. die Verwendung eines Kompositums zum Ausdruck zu bringen scheinen, dass eine direktere Verbindung zwischen der Verarbeitung und den betreffenden Daten, bei denen auf ihr originäres Wesen abzustellen ist, bestehen muss.“²²

Denn nur so besteht zur Überzeugung des EuGH ein erhöhter Schutz vor Datenverarbeitungen, nach Art. 9 DS-GVO.

Diese weite Auslegung scheint dem EuGH besonders wichtig, denn beide Entscheidungen wurden von der Großen Kammer gefällt.

5. Beschäftigtenbegriff

Die DS-GVO enthält zwar in Art. 88 DS-GVO den Begriff des „Beschäftigten“, dieser ist jedoch als solcher in der DS-GVO nicht definiert. Hierzu stellt der EuGH fest,

„dass die DS-GVO dem Beschäftigtenbegriff und dem Begriff des Beschäftigungskontext weder definiert noch dafür auf das Recht der Mitgliedstaaten verweist. Ohne einen solchen Verweis müssen, wie es sowohl die einheitliche Anwendung des Unionsrechts als auch der Gleichheitssatz verlangen, die Begriffe einer Vorschrift des Unionsrechts, die für die Ermittlung des Sinns und ihrer Tragweite nicht ausdrücklich auf das Recht der Mitgliedstaaten verweist, in der Regel in der gesamten Union eine autonome und einheitliche Auslegung erhalten.“²³

Insoweit stellt der EuGH auf Art. 145 ff. AEUV ab, welche sich mit der Beschäftigung in der EU befassen. In diesem Zusammenhang werden auch die Beamten erfasst, wenn der EuGH ausführt:

„Was speziell Personen ohne arbeitsvertragliches Beschäftigungsverhältnis wie beispielsweise Beamte betrifft, so trifft zwar zu, dass Art. 88 DS-GVO in seinem Abs. 1 auf die ‚Erfüllung des Arbeitsvertrags‘ Bezug nimmt. Allerdings ist zum einen festzustellen, dass sich diese Bezugnahme neben anderen in Art. 88 Abs. 1 DS-GVO aufgezählten Zwecken der Verarbeitung personenbezogener Daten im Beschäftigungskontext findet, für die die Mitgliedstaaten spezifischere Vorschriften erlassen können, und dass jedenfalls diese Aufzählung nicht erschöpfend ist, wovon das in dieser Bestimmung verwendete Adverb „insbesondere“ zeugt.

Zum anderen findet die Unerheblichkeit der Qualifizierung des Rechtsverhältnisses zwischen dem Beschäftigten und dem ihn beschäftigenden Dienstherrn darin Bestätigung, dass sich das Management, die Planung und die Organisation der Arbeit, die Gleichheit und Diversität am Arbeitsplatz, die Gesundheit und Sicherheit am Arbeitsplatz, der Schutz des Eigentums der Arbeitgeber oder der Kunden sowie die Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und die Beendigung des Beschäftigungsverhältnisses, die ebenfalls in Art. 88 Abs. 1 DS-GVO aufgezählt werden, auf die Beschäftigung sowohl im privaten als auch im öffentlichen Sektor beziehen.

Folglich kann aus der Bezugnahme auf die „Erfüllung des Arbeitsvertrags“ in Art. 88 Abs. 1 DS-GVO nicht abgeleitet werden, dass die nicht auf einem Arbeitsvertrag beruhende Beschäftigung im öffentlichen Sektor vom Anwendungsbereich dieser Bestimmung ausgenommen ist.“24

Dies bedeutet, dass wenn datenschutzrechtlich von dem Beschäftigtenbegriff die Rede ist, auch Beamte trotz ihrer Sonderstellung und Regelungen in den Beamtengesetzen des Bundes und der Länder Beschäftigte i.S.d. DS-GVO sind. Dies mit der Folge, dass die Beamtengesetze Regelungen nach Art. 88 DS-GVO enthalten sollten oder aber eine Rechtsgrundlage zur Datenverarbeitung gemäß Art. 6 Abs. 1 UAbs. 1 lit. e i.V.m. Abs. 3 DS-GVO. Hier besteht aber eine Fehlanzeige, mit Ausnahme der Regelungen zur Personalakte von Beamten.²⁵

V. Ergebnis

Die wenigen dargelegten „europäischen“ Begriffe zeigen, dass es ganz wichtig ist aus der nationalen „Denkblase“ auszubrechen und sich verstärkt damit zu beschäftigen, welche Bedeutung ein Begriff in der DS-GVO europarechtlich hat und wie dieser auszulegen ist. Dies zeigt sich auch an dem Begriff „Erforderlichkeit“, welcher europarechtlich sehr eng auszulegen ist.²⁶ In den wenigsten Fällen verweist die DS-GVO auf das Recht der Mitgliedstaaten²⁷, sodass die Begriffe der DS-GVO autonom europarechtlich auszulegen sind.

Soweit die Mitgliedstaaten spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften der DS-GVO in Bezug auf die Verarbeitung zur Erfüllung von Art. 6 Abs. 1 UAbs. 1 lit. c und e DS-GVO beibehalten oder einführen, gelten die europäischen Begrifflichkeiten der DS-GVO auch für diese Normen und sind europäisch zu verstehen.

Über den Autor

Hans-Herrmann Schild

Quellen

^* Der Beitrag fasst einen Vortrag des Autors auf den BVD Verbandstagen 2025 zusammen.
¹ ZUM BEISPIEL EuG, Urteil vom 08.01.2025 -T-354/22 Bindl; Rechtsmittel bei EuGH C-206/25 P anhängig.
² EuG, Urteil vom 29.01.2025 – T-70/23 – Data Protection Commission/ Europäischer Datenschutzausschuss; EuG, Beschluss vom 07.12.2022 – T‑709/21 – WhatsApp Ireland/ Europäischer Datenschutzausschuss, jetzt bei EuGH, unter C‑97/23 P anhängig.
³ VERORDNUNG (EU) 2018/1725 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG, ABl (EU) L 295 vom 21.11.2018, S. 39.
⁴ ZUM BEISPIEL EuGH, Urteil vom 21.03.2024 – C-61/22.
⁵ VG Wiesbaden, Beschluss vom 28.03.2019 – 6 K 1016/15; EuGH, Urteil vom 01.04.2020 – C-272/19.
⁶ EuGH, Urteil vom 16.01.2024 – C-33/22.
⁷ Siehe dazu Schild, DS-GVO gilt auch für Untersuchungsausschüsse, Anmerkung zu EuGH Urteil vom 16.01.2024 – C-33/22, ZD 2024, 269 f.
⁸ Siehe z. B, EuGH, Urteil vom 09.11.2010 – C- 91/09 und C-93/09: „Art. 42 Nr. 8b und 44a der Verordnung (EG) Nr. 1290/2005 des Rates vom 21. Juni 2005 über die Finanzierung der Gemeinsamen Agrarpolitik in der durch die Verordnung (EG) Nr. 1437/2007 des Rates vom 26. November 2007 geänderten Fassung und die Verordnung (EG) Nr. 259/2008 der Kommission vom 18.03.2008 mit Durchführungsbestimmungen zur Verordnung Nr. 1290/2005 hinsichtlich der Veröffentlichung von Informationen über die Empfänger von Mitteln aus dem Europäischen Garantiefonds für die Landwirtschaft (EGFL) und dem Europäischen Landwirtschaftsfonds für die Entwicklung des ländlichen Raums (ELER) sind ungültig, soweit diese Bestimmungen bei natürlichen Personen, die Empfänger von EGFL- und ELER-Mitteln sind, die Veröffentlichung personenbezogener Daten hinsichtlich aller Empfänger vorschreiben, ohne nach einschlägigen Kriterien wie den Zeiträumen, während deren sie solche Beihilfen erhalten haben, der Häufigkeit oder auch Art und Umfang dieser Beihilfen zu unterscheiden.“
⁹ Was bei den Obergerichten jedoch nur mühsam ankommt, siehe BFH, welcher sogar meint, dass wenn er hätte vorlegen müssen ihm das Bundesverfassungsgericht im Rahmen einer Verfassungsbeschwerde dazu anhalten solle, BFH, Urteil vom 14.11.2023, IX K 2/21.
¹⁰ Siehe auch BVerwG, Urteil vom 27.03.2019 – 6 C 2.18.
¹¹ Art. 57 Abs. 1 lit. a DS-GVO. EuGH, Urteil vom 16.07.2020 – C-311/18 – Facebook Ireland und Schrems, Rn. 107 ff., 113.
¹² EuGH, Urteil vom 09.11.20243 – C 319/22, Rn. 48.
¹³ EuGH, Urteil vom 04.09.2025 – C-413/23 P, Rn. 84.
¹⁴ EuGH, Urteil vom 04.09.2025 – C-413/23 P, Rn. 85 f.
¹⁵ EuGH, Urteil vom 03.04.2025 – C-710/23, Rn. 24.
¹⁶ EuGH, Urteil vom 03.04.2025 – C-710/23.
¹⁷ Urteil vom 05.12. 2023, Deutsche Wohnen, C‑807/2, Rn. 53.
¹⁸ EuGH, 5.K, Urteil vom 13.02.2025 – C 383/23, Rn. 19 f.; EuGH, Urteil vom 05.12. 2023, Deutsche Wohnen, C‑807/21, Rn. 54.
¹⁹ EuGH, Urteil vom 05.12.2023 – C‑807/21, Rn. 59.
²⁰ EuGH, Urteil vom 04.10.2024 – C-21/23 (Lindenapotheke, Deutschland, Große Kammer), Rn. 83. Zur Umsetzung siehe BGH, Urteil vom 27.03.2025 – I ZR 223/19, ZD,2025, S. 448 mit kritischer Anm. Baumgartner.
²¹ EuGH, Urteil vom 01.08.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20.
²² EuGH, Urteil vom 01.08.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, Rn. 123.
²³ EuGH, Urteil vom 30.03.2023 – C‑34/21, Rn. 40; unter Bezug auf Urteil vom 02.06.2022, HK/Danmark und HK/Privat, C‑587/20, Rn. 25 und die dort angeführte Rechtsprechung.
²⁴ EuGH, Urteil vom 30.03.2023 – C‑34/21, Rn. 46 bis 48.
²⁵ Zu Dienstvereinbarungen siehe Schild, Mitbestimmung bei Verarbeitung von Lehrerdaten bei landesweitem Videokonferenzsystem „Big Blue Button“, Anm. zu VG Frankfurt, Beschluss v. 20.1.2025 – 23 K 453/22.F.PV, Zeitschrift für Personalvertretungsrecht Online 7-8/2025, 22 ff. Ferner Schild, Spielraum der Parteien einer Kollektivvereinbarung in Bezug auf die Erforderlichkeit der darin vorgesehenen Verarbeitung personenbezogener Beschäftigtendaten, Anmerkung zu EuGH, Urteil v. 19.12.2024 – C-65/23, Zeitschrift für Personalvertretungsrecht Online 4/2025, 1 ff.
²⁶ Dazu sehr ausführlich EuGH, 1. Kammer, Urteil vom 09.01.2025 – C-394/23.