CELEX: 62007CJ0553
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten
Richtlinie 95/46/EG
Achtung des Privatlebens
Löschung der Daten
Auskunftsrecht hinsichtlich der Daten und ihrer Empfänger
Frist für die Ausübung des Auskunftsrechts

Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 12 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments
und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien
Datenverkehr (ABl. L 281, S. 31, im Folgenden: Richtlinie).
Dieses Ersuchen ergeht im Rahmen eines Rechtsstreits zwischen Herrn Rijkeboer und dem College van burgemeester en wethouders
van Rotterdam (Stadtverwaltung Rotterdam, im Folgenden: College) wegen der teilweisen Ablehnung des Antrags von Herrn Rijkeboer
auf Auskunftserteilung über die Übermittlung seiner personenbezogenen Daten an Dritte in den beiden Jahren vor der Stellung
seines Antrags durch das College.

Rechtlicher Rahmen

Gemeinschaftsrecht
In den Erwägungsgründen 2 und 10 der Richtlinie, die die Grundrechte und ‑freiheiten betreffen, heißt es:
„(2)      Die Datenverarbeitungssysteme stehen im Dienste des Menschen; sie haben, ungeachtet der Staatsangehörigkeit oder des Wohnorts
der natürlichen Personen, deren Grundrechte und ‑freiheiten und insbesondere deren Privatsphäre zu achten und zum wirtschaftlichen
und sozialen Fortschritt, zur Entwicklung des Handels sowie zum Wohlergehen der Menschen beizutragen.
…
(10)      Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der
Achtung der Grundrechte und ‑freiheiten, insbesondere des auch in Artikel 8 der Europäischen Konvention zum Schutze der Menschenrechte
und Grundfreiheiten und in den allgemeinen Grundsätzen des Gemeinschaftsrechts anerkannten Rechts auf die Privatsphäre. …“
Nach dem 25. Erwägungsgrund der Richtlinie finden die Prinzipien zum Schutz der Personen zum einen ihren Niederschlag in den
Pflichten, die den für die Verarbeitung verantwortlichen Personen obliegen; diese Pflichten betreffen insbesondere die Datenqualität.
Zum anderen kommen sie zum Ausdruck in den Rechten der Personen, deren Daten Gegenstand von Verarbeitungen sind, über diese
informiert zu werden, Zugang zu den Daten zu erhalten, ihre Berichtigung verlangen bzw. unter gewissen Voraussetzungen Widerspruch
gegen die Verarbeitung einlegen zu können.
Im 40. Erwägungsgrund der Richtlinie, der sich auf die Verpflichtung bezieht, die betroffene Person zu unterrichten, wenn
die Daten nicht bei ihr erhoben worden sind, heißt es, dass diese Verpflichtung nicht besteht, wenn die Unterrichtung der
betroffenen Person unmöglich ist oder unverhältnismäßigen Aufwand erfordert, und dass diesbezüglich die Zahl der betroffenen
Personen, das Alter der Daten und etwaige Ausgleichsmaßnahmen in Betracht gezogen werden können.
Dem 41. Erwägungsgrund der Richtlinie zufolge muss jede Person ein Auskunftsrecht hinsichtlich der sie betreffenden Daten,
die Gegenstand einer Verarbeitung sind, haben, damit sie sich insbesondere von der Richtigkeit dieser Daten und der Zulässigkeit
ihrer Verarbeitung überzeugen kann.
Art. 1 („Gegenstand der Richtlinie“) lautet:
„(1)      Die Mitgliedstaaten gewährleisten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und
insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.
(2)      Die Mitgliedstaaten beschränken oder untersagen nicht den freien Verkehr personenbezogener Daten zwischen Mitgliedstaaten
aus Gründen des gemäß Absatz 1 gewährleisteten Schutzes.“
Der Begriff „personenbezogene Daten“ ist in Art. 2 Buchst. a der Richtlinie definiert als alle Informationen über eine bestimmte
oder bestimmbare natürliche Person („betroffene Person“).
Der Ausdruck „Verarbeitung personenbezogener Daten“ bezeichnet gemäß Art. 2 Buchst. b der Richtlinie
„jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen
Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das
Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination
oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten“.
Nach Art. 2 Buchst. d der Richtlinie ist „für die Verarbeitung Verantwortlicher“ die natürliche oder juristische Person, Behörde,
Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von
personenbezogenen Daten entscheidet.
Art. 2 Buchst. g der Richtlinie definiert den „Empfänger“ als die natürliche oder juristische Person, Behörde, Einrichtung
oder jede andere Stelle, die Daten erhält, gleichgültig, ob es sich bei ihr um einen „Dritten“ im Sinne von Art. 2 Buchst. f
der Richtlinie handelt oder nicht.
Art. 6 der Richtlinie stellt Grundsätze in Bezug auf die Qualität der Daten auf. Was die Aufbewahrung der Daten angeht, sehen
die Mitgliedstaaten nach seinem Abs. 1 Buchst. e vor, dass personenbezogene Daten „nicht länger, als es für die Realisierung
der Zwecke, für die sie erhoben oder weiterverarbeitet werden, erforderlich ist, in einer Form aufbewahrt werden, die die
Identifizierung der betroffenen Personen ermöglicht. Die Mitgliedstaaten sehen geeignete Garantien für personenbezogene Daten
vor, die über die vorgenannte Dauer hinaus für historische, statistische oder wissenschaftliche Zwecke aufbewahrt werden.“
Die Art. 10 und 11 der Richtlinie legen fest, welche Informationen die betroffene Person vom für die Verarbeitung Verantwortlichen
oder seinem Vertreter erhält, wenn die Daten bei ihr erhoben wurden, und welche Informationen, wenn sie nicht bei ihr erhoben
wurden.
Art. 12 der Richtlinie („Auskunftsrecht“) lautet:
„Die Mitgliedstaaten garantieren jeder betroffenen Person das Recht, vom für die Verarbeitung Verantwortlichen Folgendes zu
erhalten:
a)      frei und ungehindert in angemessenen Abständen ohne unzumutbare Verzögerung oder übermäßige Kosten
–        die Bestätigung, dass es Verarbeitungen sie betreffender Daten gibt oder nicht gibt, sowie zumindest Informationen über die
Zweckbestimmungen dieser Verarbeitungen, die Kategorien der Daten, die Gegenstand der Verarbeitung sind, und die Empfänger
oder Kategorien der Empfänger, an die die Daten übermittelt werden;
–        eine Mitteilung in verständlicher Form über die Daten, die Gegenstand der Verarbeitung sind, sowie die verfügbaren Informationen
über die Herkunft der Daten;
–        Auskunft über den logischen Aufbau der automatisierten Verarbeitung der sie betreffenden Daten, zumindest im Fall automatisierter
Entscheidungen im Sinne von Artikel 15 Absatz 1;
b)      je nach Fall die Berichtigung, Löschung oder Sperrung von Daten, deren Verarbeitung nicht den Bestimmungen dieser Richtlinie
entspricht, insbesondere wenn diese Daten unvollständig oder unrichtig sind;
c)      die Gewähr, dass jede Berichtigung, Löschung oder Sperrung, die entsprechend Buchstabe b) durchgeführt wurde, den Dritten,
denen die Daten übermittelt wurden, mitgeteilt wird, sofern sich dies nicht als unmöglich erweist oder kein unverhältnismäßiger
Aufwand damit verbunden ist.“
Art. 13 („Ausnahmen und Einschränkungen“) Abs. 1 der Richtlinie ermächtigt die Mitgliedstaaten, insbesondere von den Art. 6
und 12 der Richtlinie abzuweichen, wenn dies zur Wahrung bestimmter öffentlicher Interessen, darunter der Sicherheit des Staates,
der Landesverteidigung, der Verfolgung von Straftaten, und anderer Interessen, und zwar des Schutzes der betroffenen Person
und der Rechte und Freiheiten anderer Personen, notwendig ist.
Nach Art. 14 der Richtlinie erkennen die Mitgliedstaaten das Recht der betroffenen Person an, unter bestimmten Voraussetzungen
dagegen Widerspruch einlegen zu können, dass sie betreffende Daten verarbeitet werden.
Nach Art. 17 Abs. 1 Unterabs. 2 der Richtlinie sehen die Mitgliedstaaten vor, dass der für die Verarbeitung Verantwortliche
geeignete technische und organisatorische Maßnahmen durchführen muss, die unter Berücksichtigung des Standes der Technik und
der bei ihrer Durchführung entstehenden Kosten ein Schutzniveau gewährleisten müssen, das den von der Verarbeitung ausgehenden
Risiken und der Art der zu schützenden Daten angemessen ist.
Gemäß den Art. 22 und 23 Abs. 1 der Richtlinie sehen die Mitgliedstaaten vor, dass jede Person bei der Verletzung der Rechte,
die ihr durch die für die betreffende Verarbeitung geltenden einzelstaatlichen Rechtsvorschriften garantiert sind, bei Gericht
einen Rechtsbehelf einlegen kann und dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder jeder anderen mit
den einzelstaatlichen Vorschriften zur Umsetzung der Richtlinie nicht zu vereinbarenden Handlung ein Schaden entsteht, das
Recht hat, von dem für die Verarbeitung Verantwortlichen Schadensersatz zu verlangen.

Nationales Recht
Die Richtlinie wurde durch ein allgemeines Gesetz, die Wet bescherming persoonsgegevens (Datenschutzgesetz) in niederländisches
Recht umgesetzt. Außerdem wurden spezielle Gesetze erlassen, um der Richtlinie nachzukommen. Hierzu gehört das im Ausgangsverfahren
streitige Gesetz, und zwar die Wet gemeentelijke basisadministratie persoonsgegevens (Gesetz über das Basisdatenregister der
Gemeinden für personenbezogene Daten, Stb. 1994, Nr. 494, im Folgenden: Wet GBA).
Art. 103 Abs. 1 der Wet GBA sieht vor, dass das College dem Betroffenen auf seinen Antrag schriftlich innerhalb von vier Wochen
die ihn betreffenden Daten mitteilt, die im Zeitraum eines Jahres vor der Antragstellung aus dem Basisdatenregister an einen
Abnehmer oder Dritten übermittelt worden sind.
Nach Art. 110 der Wet GBA behält das College in dem Jahr, das auf die Übermittlung von Daten folgt, eine Aufzeichnung dieser
Übermittlung, außer wenn sich die betreffende Übermittlung auf andere Art und Weise aus dem Basisdatenregister ergibt.
Den schriftlichen Erklärungen des College ist zu entnehmen, dass es sich bei den von der Gemeinde aufbewahrten Daten insbesondere
um Namen, Geburtsdatum, Verwaltungsnummer, Sozialversicherungsnummer, Wohnort, Adresse und Tag der Eintragung bei der Gemeinde,
Zivilstand, Vormundschaft, Sorgerecht für Minderjährige, Staatsangehörigkeit und Aufenthaltsrecht von Ausländern handelt.

Ausgangsrechtsstreit und Vorlagefrage
Mit Schreiben vom 26. Oktober 2005 beantragte Herr Rijkeboer beim College, ihm alle Fälle mitzuteilen, in denen in den beiden
vorausgehenden Jahren ihn betreffende Angaben aus der Gemeindeverwaltung an Dritte übermittelt worden seien. Er begehrte Auskunft
über die Identität dieser Dritten und den Inhalt der Informationen, die an sie weitergeleitet worden waren. Herr Rijkeboer,
der in eine andere Gemeinde verzogen war, wollte insbesondere wissen, wem seine frühere Adresse mitgeteilt worden war.
Mit Bescheiden vom 27. Oktober und 29. November 2005 gab das College diesem Antrag nur teilweise statt, indem es ihm gemäß
Art. 103 Abs. 1 der Wet GBA nur in Bezug auf den Zeitraum eines Jahres vor der Stellung seines Antrags Auskunft erteilte.
Die Übermittlung der Daten wird nach Maßgabe des „Logisch Ontwerp GBA“ gespeichert. Es handelt sich um ein automatisiertes
System, das vom Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministerium für innere Angelegenheiten und Angelegenheiten
des Königreichs) eingerichtet worden ist. Dem Vorabentscheidungsersuchen zufolge wurden die von Herrn Rijkeboer angeforderten
Daten, die vom Tag der Antragstellung aus gerechnet mehr als ein Jahr alt waren, automatisch gelöscht; das sei mit Art. 100
der Wet GBA vereinbar.
Herr Rijkeboer legte beim College Widerspruch ein, soweit ihm Auskunft über die Empfänger verwehrt wurde, an die ihn betreffende
Daten, die von der Antragstellung aus gerechnet mehr als ein Jahr alt waren, weitergegeben worden waren. Nach Zurückweisung
dieses Widerspruchs mit Bescheid vom 13. Februar 2006 erhob Herr Rijkeboer Klage bei der Rechtbank Rotterdam.
Das Gericht gab der Klage mit der Begründung statt, dass die in Art. 103 Abs. 1 der Wet GBA vorgesehene Beschränkung des Rechts
auf Auskunft über die an Empfänger übermittelten Daten auf das der Antragstellung vorausgehende Jahr nicht mit Art. 12 der
Richtlinie vereinbar sei. Auch die in Art. 13 der Richtlinie aufgeführten Ausnahmen lägen nicht vor.
Das College legte gegen dieses Urteil beim Raad van State Rechtsmittel ein. Dieser stellt fest, dass der das Auskunftsrecht
betreffende Art. 12 der Richtlinie keine Frist für die Inanspruchnahme dieses Rechts festlege. Dieser Artikel verbiete es
dem nationalen Gesetzgeber jedoch nicht zwingend, eine zeitliche Beschränkung für das Recht der betroffenen Person auf Auskunft
über die Empfänger, an die ihre personenbezogenen Daten übermittelt worden seien, festzulegen; das Gericht hegt insoweit aber
Zweifel.
Unter diesen Umständen hat der Raad van State beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Frage zur
Vorabentscheidung vorzulegen:
Ist die im Gesetz vorgesehene Beschränkung der Mitteilung von Daten auf ein Jahr vor Stellung des entsprechenden Antrags mit
Art. 12 Buchst. a der Richtlinie in Verbindung mit Art. 6 Abs. 1 Buchst. e dieser Richtlinie und dem Verhältnismäßigkeitsgrundsatz
vereinbar?

Zur Vorlagefrage
Vorab ist zu bemerken, dass im Rahmen des durch Art. 234 EG geschaffenen Systems der richterlichen Zusammenarbeit die Auslegung
der Vorschriften des Gemeinschaftsrechts dem Gerichtshof obliegt. Die Auslegung nationaler Rechtsvorschriften ist Sache der
nationalen Gerichte (vgl. Urteil vom 14. Februar 2008, Gysen, C‑449/06, Slg. 2008, I‑553, Randnr. 17).
Deshalb ist die Frage des vorlegenden Gerichts dahin zu verstehen, dass mit ihr im Wesentlichen festgestellt werden soll,
ob nach der Richtlinie, insbesondere ihrem Art. 12, das Recht einer Person auf Auskunft über die Empfänger oder Kategorien
der Empfänger von personenbezogenen Daten, die diese Person betreffen, sowie den Inhalt der übermittelten Daten auf den Zeitraum
eines Jahres vor der Stellung ihres Auskunftsantrags beschränkt werden darf.
Das vorlegende Gericht hebt zwei Bestimmungen der Richtlinie hervor, und zwar Art. 6 Abs. 1 Buchst. e über die Aufbewahrung
personenbezogener Daten und Art. 12 Buchst. a über das Recht auf Auskunft über diese Daten. Dagegen führen weder das Gericht
noch die Beteiligten, die beim Gerichtshof Erklärungen abgegeben haben, die in Art. 13 der Richtlinie aufgeführten Ausnahmen
an.
Art. 6 der Richtlinie behandelt die Qualität der Daten. Nach seinem Abs. 1 Buchst. e sind die Mitgliedstaaten verpflichtet,
vorzusehen, dass personenbezogene Daten nicht länger aufbewahrt werden, als es für die Realisierung der Zwecke, für die sie
erhoben oder weiterverarbeitet werden, erforderlich ist. Die Daten müssen daher gelöscht werden, wenn diese Zwecke realisiert
sind.
Nach Art. 12 Buchst. a der Richtlinie müssen die Mitgliedstaaten der betroffenen Person ein Recht auf Auskunft über ihre personenbezogenen
Daten sowie über die Empfänger und die Kategorien der Empfänger dieser Daten gewähren, ohne dass dort eine Frist angegeben
wird.
Diese beiden Artikel dienen also dem Schutz der betroffenen Person. Das vorlegende Gericht möchte wissen, ob zwischen den
beiden Artikeln ein Zusammenhang dahin gehend besteht, dass das Recht auf Auskunft über die Empfänger oder Kategorien der
Empfänger der personenbezogenen Daten sowie den Inhalt der übermittelten Daten möglicherweise von der Dauer der Aufbewahrung
dieser Daten abhängt.
Die beim Gerichtshof abgegebenen Erklärungen lassen unterschiedliche Standpunkte über die Wechselwirkung zwischen diesen beiden
Bestimmungen erkennen.
Das College sowie die niederländische, die tschechische und die spanische Regierung wie auch die Regierung des Vereinigten
Königreichs sind der Auffassung, dass das Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger aus Art. 12
Buchst. a der Richtlinie nur für die Gegenwart und nicht für die Vergangenheit gelte. Sobald die Daten nach den nationalen
Regelungen gelöscht worden seien, könne die betroffene Person keine Auskunft mehr über sie erhalten. Diese Folge verstoße
nicht gegen die Richtlinie.
Das College und die niederländische Regierung machen dementsprechend geltend, dass Art. 103 Abs. 1 der Wet GBA, wonach die
Gemeinde dem Betroffenen auf seinen Antrag die Daten mitteile, die im Lauf des Jahres vor der Stellung seines Antrags an Empfänger
übermittelt worden seien, über die Anforderungen der Richtlinie hinausgehe.
Die Kommission und die griechische Regierung tragen vor, dass die Richtlinie ein Auskunftsrecht nicht nur für die Gegenwart,
sondern auch für den Zeitraum vor der Stellung des Auskunftsantrags vorsehe. Ihre Standpunkte unterscheiden sich aber hinsichtlich
der genauen Dauer dieses Auskunftsrechts.
Um die Bedeutung des Auskunftsrechts beurteilen zu können, zu dem die Richtlinie verhelfen soll, ist zunächst festzustellen,
auf welche Daten sich das Auskunftsrecht bezieht, und anschließend auf den Zweck des Art. 12 Buchst. a der Richtlinie im Licht
der mit ihr verfolgten Ziele einzugehen.
In einem Fall wie dem von Herrn Rijkeboer spielen zwei Kategorien von Daten eine Rolle.
Die erste betrifft die Daten privater Art, die die Gemeinde von einer Person besitzt, wie ihr Name und ihre Adresse, die hier
Basisdaten bilden. Den mündlichen Erklärungen des College und der niederländischen Regierung zufolge können diese Daten lange
aufbewahrt werden. Sie sind „personenbezogene Daten“ im Sinne von Art. 2 Buchst. a der Richtlinie, da es sich um Informationen
über eine bestimmte oder bestimmbare natürliche Person handelt (vgl. in diesem Sinne Urteile des Gerichtshofs vom 20. Mai
2003, Österreichischer Rundfunk u. a., C‑465/00, C‑138/01 und C‑139/01, Slg. 2003, I‑4989, Randnr. 64, vom 6. November 2003,
Lindqvist, C‑101/01, Slg. 2003, I‑12971, Randnr. 24, und vom 16. Dezember 2008, Huber, C‑524/06, Slg. 2008, I‑0000, Randnr.
43).
Die zweite Kategorie bezieht sich auf die Information über die Empfänger oder Kategorien der Empfänger, an die diese Basisdaten
übermittelt werden, sowie über den Inhalt dieser Daten und betrifft daher die Verarbeitung der Basisdaten. Nach den im Ausgangsverfahren
streitigen Rechtsvorschriften wird die betreffende Information nur ein Jahr lang aufbewahrt.
Die im Ausgangsverfahren in Rede stehende zeitliche Begrenzung des Rechts auf Auskunft über den oder die Empfänger personenbezogener
Daten sowie den Inhalt der übermittelten Daten betrifft somit diese zweite Kategorie von Daten.
Um feststellen zu können, ob Art. 12 a der Richtlinie eine solche zeitliche Begrenzung zulässt, ist er im Hinblick auf seinen
Zweck im Licht der mit der Richtlinie verfolgten Ziele auszulegen.
Nach ihrem Art. 1 soll die Richtlinie die Grundrechte und Grundfreiheiten und insbesondere die Privatsphäre natürlicher Personen
bei der Verarbeitung personenbezogener Daten schützen und dadurch den freien Verkehr dieser Daten zwischen den Mitgliedstaaten
ermöglichen.
Die Bedeutung der Privatsphäre wird in den Erwägungsgründen 2 und 10 der Richtlinie hervorgehoben und in der Rechtsprechung
des Gerichtshofs betont (vgl. in diesem Sinne Urteile Österreichischer Rundfunk u. a., Randnr. 70, und Lindqvist, Randnrn.
97 und 99, sowie Urteile vom 29. Januar 2008, Promusicae, C‑275/06, Slg. 2008, I‑271, Randnr. 63, und vom 16. Dezember 2008,
Satakunnan Markkinapörssi und Satamedia, C‑73/07, Slg. 2008, I‑0000, Randnr. 52).
Wie sich aus dem 25. Erwägungsgrund der Richtlinie ergibt, finden außerdem die Prinzipien dieses Schutzes zum einen ihren
Niederschlag in den Pflichten, die den für die Verarbeitung verantwortlichen Personen obliegen, wobei diese Pflichten insbesondere
die Datenqualität – Gegenstand des Art. 6 der Richtlinie – betreffen; zum anderen kommen sie in den Rechten der Personen,
deren Daten Gegenstand von Verarbeitungen sind, zum Ausdruck, über diese informiert zu werden, Zugang zu diesen Daten zu erhalten
und ihre Berichtigung verlangen bzw. unter gewissen Voraussetzungen Widerspruch gegen die Verarbeitung einlegen zu können.
Dieses Recht auf Schutz der Privatsphäre setzt voraus, dass sich die betroffene Person vergewissern kann, dass ihre personenbezogenen
Daten fehlerfrei verarbeitet werden und die Verarbeitung zulässig ist, d. h. insbesondere, dass die sie betreffenden Basisdaten
richtig sind und dass sie an Empänger gerichtet sind, die zu ihrer Verarbeitung befugt sind. Wie es im 41. Erwägungsgrund
der Richtlinie heißt, muss die betroffene Person, um die nötigen Nachprüfungen durchführen zu können, ein Auskunftsrecht hinsichtlich
der sie betreffenden Daten haben, die Gegenstand einer Verarbeitung sind.
Hierzu sieht Art. 12 Buchst. a der Richtlinie ein Recht auf Auskunft über die Basisdaten sowie über die Empfänger oder Kategorien
der Empfänger vor, an die die Daten übermittelt werden.
Dieses Auskunftsrecht ist erforderlich, um der betroffenen Person die Wahrnehmung der in Art. 12 Buchst. b und c der Richtlinie
genannten Rechte zu ermöglichen, nämlich für den Fall, dass die Verarbeitung ihrer Daten nicht den Bestimmungen der Richtlinie
entspricht, deren Berichtigung, Löschung oder Sperrung durch den für die Verarbeitung Verantwortlichen zu verlangen (Buchst. b)
oder ihn zu verpflichten, diese Berichtigung, Löschung oder Sperrung den Dritten, an die diese Daten übermittelt worden sind,
mitzuteilen, sofern sich dies nicht als unmöglich erweist und kein unverhältnismäßiger Aufwand damit verbunden ist (Buchst. c).
Das Auskunftsrecht ist außerdem notwendig, um der betroffenen Person die Inanspruchnahme des in Art. 14 der Richtlinie enthaltenen
Rechts auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder des in deren Art. 22 und 23 vorgesehenen
gerichtlichen Rechtsschutzes im Schadensfall zu ermöglichen.
Was das Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Basisdaten sowie über den Inhalt der übermittelten
Daten anbelangt, stellt die Richtlinie nicht klar, ob sich dieses Recht auf die Vergangenheit bezieht und, wenn ja, für welchen
Zeitraum.
Hierzu ist festzustellen, dass das betreffende Recht, um die praktische Wirksamkeit der in den Randnrn. 51 und 52 des vorliegenden
Urteils genannten Bestimmungen zu gewährleisten, zwingend für die Vergangenheit gelten muss. Denn andernfalls wäre die betroffene
Person weder in der Lage, wirksam ihr Recht auf Veranlassung der Berichtigung, Löschung oder Sperrung von Daten wahrzunehmen,
die ihrer Ansicht nach unbefugt verarbeitet wurden oder falsch sind, noch, einen gerichtlichen Rechtsbehelf einzulegen und
Schadensersatz zu erlangen.
Es stellt sich die Frage, wie weit dieses Recht zurückreicht.
Der Gerichtshof hat bereits entschieden, dass die Bestimmungen der Richtlinie verhältnismäßig allgemein gehalten sind, da
die Richtlinie auf viele ganz unterschiedliche Situationen Anwendung finden soll und da sie Vorschriften enthält, die durch
eine gewisse Flexibilität gekennzeichnet sind, und es in vielen Fällen den Mitgliedstaaten überlässt, die Einzelheiten zu
regeln oder zwischen Optionen zu wählen (vgl. Urteil Lindqvist, Randnr. 83). Der Gerichtshof hat deshalb anerkannt, dass die
Mitgliedstaaten zur Umsetzung der Richtlinie in vielerlei Hinsicht über einen Handlungsspielraum verfügen (vgl. Urteil Lindqvist,
Randnr. 84). Dieser Handlungsspielraum, der bei der Umsetzung von Art. 12 Buchst. a der Richtlinie zum Tragen kommt, ist jedoch
nicht unbegrenzt.
Die Frist für die Geltendmachung des Rechts auf Auskunft über die Empfänger oder Kategorien der Empfänger und den Inhalt der
übermittelten Daten muss so festgelegt werden, dass die betroffene Person die verschiedenen Rechte ausüben kann, die in der
Richtlinie vorgesehen und in den Randnrn. 51 und 52 des vorliegenden Urteils aufgeführt sind.
Die Dauer der Aufbewahrung der Basisdaten kann einen nützlichen Anhaltspunkt bilden, ist aber nicht entscheidend.
Tatsächlich ist der Anwendungsbereich der Richtlinie, wie der Gerichtshof bereits anerkannt hat (vgl. Urteile Österreichischer
Rundfunk u. a., Randnr. 43, und Lindqvist, Randnr. 88), sehr weit und sind die von der Richtlinie erfassten personenbezogenen
Daten vielfältig. Die Dauer ihrer Aufbewahrung, die nach Art. 6 Abs. 1 Buchst. e der Richtlinie in Abhängigkeit von den Zwecken
definiert ist, für die sie erhoben oder weiterverarbeitet werden, kann daher variieren. Ist die Dauer der Aufbewahrung der
Basisdaten sehr lang, kann das Interesse der betroffenen Person an der Geltendmachung der in Randnr. 57 des vorliegenden Urteils
erwähnten Rechte und Rechtsbehelfe in bestimmten Fällen nachlassen. Sind z. B. die Empfänger solcher Daten zahlreich oder
ist die Frequenz der Übermittlungen an eine geringere Zahl von Empfängern hoch, könnte die Pflicht, die Information über die
Empfänger oder Kategorien der Empfänger sowie über den Inhalt der übermittelten Daten genauso lange aufzubewahren, den für
die Verarbeitung Verantwortlichen über Gebühr belasten.
Die Richtlinie verlangt von den Mitgliedstaaten jedoch nicht, dem für die Verarbeitung Verantwortlichen derartige Lasten aufzuerlegen.
So sieht Art. 12 Buchst. c der Richtlinie ausdrücklich einen Vorbehalt in Bezug auf dessen Pflicht vor, den Dritten, an die
die Daten übermittelt worden sind, Berichtigungen, Löschungen oder Sperrungen mitzuteilen, und zwar für den Fall, dass sich
dies als unmöglich erweist oder ein unverhältnismäßiger Aufwand damit verbunden ist.
Anderen Passagen der Richtlinie zufolge kann die Unverhältnismäßigkeit berücksichtigt werden, die bestimmte Maßnahmen aufweisen
könnten. Zur Pflicht, die betroffene Person zu unterrichten, heißt es im 40. Erwägungsgrund der Richtlinie, dass die Zahl
der betroffenen Personen und das Alter der Daten in Betracht gezogen werden können. Ferner sehen die Mitgliedstaaten nach
Art. 17 der Richtlinie, der die Sicherheit der Verarbeitung betrifft, vor, dass der für die Verarbeitung Verantwortliche die
geeigneten technischen und organisatorischen Maßnahmen durchführen muss, damit unter Berücksichtigung des Standes der Technik
und der bei ihrer Durchführung entstehenden Kosten ein Schutzniveau gewährleistet wird, das den von der Verarbeitung ausgehenden
Risiken und der Art der zu schützenden Daten angemessen ist.
Entsprechende Erwägungen gelten für die Festlegung einer Frist für die Ausübung des Rechts auf Auskunft über die Empfänger
oder Kategorien der Empfänger sowie über den Inhalt der übermittelten Daten. Demnach können die Mitgliedstaaten zusätzlich
zu den in Randnr. 57 des vorliegenden Urteils angeführten Erwägungen mehrere Umstände in Betracht ziehen, insbesondere die
nationalen Rechtsvorschriften für Rechtbehelfsfristen, die mehr oder weniger sensible Natur der Basisdaten, die Dauer der
Aufbewahrung dieser Daten und die Zahl der betroffenen Empfänger.
Es ist daher Sache der Mitgliedstaaten, eine Frist für die Aufbewahrung der Information über die Empfänger oder Kategorien
der Empfänger sowie den Inhalt der übermittelten Daten festzulegen und einen Zugang zu dieser Information vorzusehen und dabei
für einen gerechten Ausgleich zu sorgen zwischen dem Interesse der betroffenen Person am Schutz ihrer Privatsphäre, insbesondere
mit Hilfe des Rechts auf Berichtigung, Löschung oder Sperrung der Daten, falls deren Verarbeitung nicht der Richtlinie entspricht,
sowie des Widerspruchsrechts und des gerichtlichen Rechtsschutzes, auf der einen Seite und der Belastung, die die Pflicht
zur Aufbewahrung der betreffenden Information für den für die Verarbeitung Verantwortlichen darstellt, auf der anderen Seite.
Zu berücksichtigen ist bei der Festlegung der betreffenden Frist ferner die Pflicht aus Art. 6 Buchst. e der Richtlinie, vorzusehen,
dass personenbezogene Daten nicht länger, als es für die Realisierung der Zwecke, für die sie erhoben oder weiterverarbeitet
werden, erforderlich ist, in einer Form aufbewahrt werden, die die Identifizierung der betroffenen Person ermöglicht.
Im vorliegenden Fall stellt eine Regelung, die die Aufbewahrung der Information über die Empfänger oder Kategorien der Empfänger
der Daten und den Inhalt der übermittelten Daten und damit übereinstimmend den Zugang zu dieser Information auf die Dauer
eines Jahres begrenzt, während die Basisdaten viel länger aufbewahrt werden, keinen gerechten Ausgleich zwischen dem hier
in Rede stehenden Interesse und der fraglichen Verpflichtung dar, sofern nicht nachgewiesen wird, dass eine längere Aufbewahrung
der betreffenden Information den für die Verarbeitung Verantwortlichen über Gebühr belasten würde. Es ist jedoch Sache des
nationalen Gerichts, im Licht der in den vorausgehenden Randnummern aufgeführten Erwägungen die erforderlichen Prüfungen vorzunehmen.
Nach alledem kann dem Vorbringen einiger Mitgliedstaaten, wonach die Anwendung der Art. 10 und 11 der Richtlinie die Gewährung
eines Rechts auf Auskunft über die Empfänger oder Kategorien der Empfänger aus Art. 12 Buchst. a der Richtlinie für die Vergangenheit
überflüssig machte, nicht gefolgt werden.
Mit den Art. 10 und 11 der Richtlinie wird nämlich dem für die Verarbeitung Verantwortlichen oder seinem Vertreter die Pflicht
auferlegt, unter bestimmten Voraussetzungen die betroffene Person u. a. über die Empfänger oder Kategorien der Empfänger der
Daten zu informieren. Der für die Verarbeitung Verantwortliche oder sein Vertreter müssen selbst die betroffene Person hiervon
unterrichten, namentlich zum Zeitpunkt der Erhebung der Daten oder, wenn sie nicht unmittelbar bei dieser Person erhoben werden,
zum Zeitpunkt der Speicherung der Daten oder gegebenenfalls zum Zeitpunkt ihrer Weitergabe an einen Dritten.
Mit diesen Bestimmungen sollen also andere Pflichten auferlegt werden, als sie sich aus Art. 12 Buchst. a der Richtlinie ergeben.
Folglich entbinden sie die Mitgliedstaaten nicht davon, vorzusehen, dass der für die Verarbeitung Verantwortliche der betroffenen
Person Auskunft über die Empfänger oder Kategorien der Empfänger sowie die übermittelten Daten gewähren muss, wenn diese beschließt,
von dem Recht Gebrauch zu machen, das ihr aufgrund von Art. 12 Buchst. a der Richtlinie verliehen ist. Die Mitgliedstaaten
müssen Maßnahmen ergreifen, mit denen zum einen die Bestimmungen der Art. 10 und 11 der Richtlinie über die Informationspflicht
und zum anderen die des Art. 12 Buchst. a der Richtlinie umgesetzt werden, ohne dass die zuerst genannten Bestimmungen die
Pflichten abschwächen können, die sich aus Letzteren ergeben.
Daher ist auf die Vorlagefrage wie folgt zu antworten:
–        Nach Art. 12 Buchst. a der Richtlinie sind die Mitgliedstaaten verpflichtet, ein Recht auf Auskunft über die Empfänger oder
Kategorien der Empfänger der Daten sowie den Inhalt der übermittelten Information vorzusehen, das nicht nur für die Gegenwart,
sondern auch für die Vergangenheit gilt. Es ist Sache der Mitgliedstaaten, eine Frist für die Aufbewahrung dieser Information
sowie einen darauf abgestimmten Zugang zu ihr festzulegen, die einen gerechten Ausgleich bilden zwischen dem Interesse der
betroffenen Person am Schutz ihres Privatlebens, insbesondere mit Hilfe der in der Richtlinie vorgesehenen Rechte und Rechtsbehelfe,
auf der einen Seite und der Belastung, die die Pflicht zur Aufbewahrung der betreffenden Information für den für die Verarbeitung
Verantwortlichen darstellt, auf der anderen Seite.
–        Eine Regelung, die die Aufbewahrung der Information über die Empfänger oder Kategorien der Empfänger der Daten und den Inhalt
der übermittelten Daten und dementsprechend den Zugang zu dieser Information auf die Dauer eines Jahres begrenzt, während
die Basisdaten viel länger aufbewahrt werden, stellt keinen gerechten Ausgleich zwischen dem hier in Rede stehenden Interesse
und der fraglichen Verpflichtung dar, sofern nicht nachgewiesen wird, dass eine längere Aufbewahrung der betreffenden Information
den für die Verarbeitung Verantwortlichen über Gebühr belasten würde. Dies zu prüfen, ist Sache des nationalen Gerichts.

Kosten
Für die Beteiligten des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem bei dem vorlegenden Gericht anhängigen
Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von
Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Dritte Kammer) für Recht erkannt:
Nach Art. 12 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher
Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sind die Mitgliedstaaten verpflichtet, ein
Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Daten sowie den Inhalt der übermittelten Information
vorzusehen, das nicht nur für die Gegenwart, sondern auch für die Vergangenheit gilt. Es ist Sache der Mitgliedstaaten, eine
Frist für die Aufbewahrung dieser Information sowie einen darauf abgestimmten Zugang zu ihr festzulegen, die einen gerechten
Ausgleich bilden zwischen dem Interesse der betroffenen Person am Schutz ihres Privatlebens, insbesondere mit Hilfe der in
der Richtlinie 95/46 vorgesehenen Rechte und Rechtsbehelfe, auf der einen Seite und der Belastung, die die Pflicht zur Aufbewahrung
der betreffenden Information für den für die Verarbeitung Verantwortlichen darstellt, auf der anderen Seite.
Eine Regelung, die die Aufbewahrung der Information über die Empfänger oder Kategorien der Empfänger der Daten und den Inhalt
der übermittelten Daten und dementsprechend den Zugang zu dieser Information auf die Dauer eines Jahres begrenzt, während
die Basisdaten viel länger aufbewahrt werden, stellt keinen gerechten Ausgleich zwischen dem hier in Rede stehenden Interesse
und der fraglichen Verpflichtung dar, sofern nicht nachgewiesen wird, dass eine längere Aufbewahrung der betreffenden Information
den für die Verarbeitung Verantwortlichen über Gebühr belasten würde. Dies zu prüfen, ist Sache des nationalen Gerichts.
Unterschriften
*
Verfahrenssprache: Niederländisch.