62022CJ0231_RES
Rechtssache C‑231/22
État belge
gegen
Autorité de protection des données
(Vorabentscheidungsersuchen der Cour d’appel de Bruxelles)
Urteil des Gerichtshofs (Dritte Kammer) vom 11. Januar 2024
„Vorlage zur Vorabentscheidung – Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und freier Datenverkehr (Datenschutz-Grundverordnung) – Verordnung (EU) 2016/679 – Art. 4 Nr. 7 – Ausdruck ‚Verantwortlicher‘ – Amtsblatt eines Mitgliedstaats – Pflicht zur unveränderten Veröffentlichung gesellschaftsrechtlicher Akte, die von Gesellschaften oder deren gesetzlichen Vertretern erstellt wurden – Art. 5 Abs. 2 – Aufeinanderfolgende Verarbeitung von in solchen Akten enthaltenen personenbezogenen Daten durch mehrere Personen oder unterschiedliche Einrichtungen – Festlegung der Zuständigkeiten“
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Ausdruck „Verantwortlicher“ – Amtsblatt eines Mitgliedstaats, das die Veröffentlichung von Dritten erstellter Rechtsakte und amtlicher Dokumente gewährleistet und über ihren Inhalt keine Kontrolle ausübt – Einbeziehung – Voraussetzung – Vorgabe der Zwecke und Mittel der durch dieses Amtsblatt ausgeführten Verarbeitung personenbezogener Daten durch das nationale Recht – Modalitäten – Keine Auswirkung der fehlenden Rechtspersönlichkeit
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nr. 7)
(vgl. Rn. 28, 30, 34-39, Tenor 1)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Grundsätze für die Verarbeitung – Bestimmung der für die Einhaltung dieser Grundsätze Verantwortlichen bei einer aufeinanderfolgenden Verarbeitung derselben Daten – Verantwortlichkeit des Amtsblatts eines Mitgliedstaats, das die Veröffentlichung von Dritten erstellter Rechtsakte und amtlicher Dokumente gewährleistet und die Eigenschaft eines Verantwortlichen hat – Umfang – Individuelle Verantwortlichkeit des Amtsblatts – Gemeinsame Verantwortlichkeit mit anderen Stellen – Voraussetzung – Vorgabe der die verschiedenen Verarbeitungsvorgänge verbindenden Zwecke und Mittel sowie der jeweiligen Pflichten der gemeinsam Verantwortlichen durch das nationale Recht – Modalitäten
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nr. 7, Art. 5 Abs. 1 und 2 sowie Art. 26 Abs. 1)
(vgl. Rn. 42-45, 49, 50, 52, Tenor 2)
Zusammenfassung
Der von der Cour d’appel de Bruxelles (Appellationshof Brüssel, Belgien) um Vorabentscheidung ersuchte Gerichtshof präzisiert zum einen die Bedeutung des Ausdrucks „Verantwortlicher“ und zum anderen die Grenzen der Pflichten eines Verantwortlichen, wenn die Verarbeitung derselben personenbezogenen Daten durch aufeinanderfolgende Stellen ausgeführt wird.
Am 12. Februar 2019 veröffentlichte der Moniteur belge, der in Belgien die Erstellung und Verbreitung eines breiten Spektrums amtlicher und für die Öffentlichkeit bestimmter Veröffentlichungen in Papierform und auf elektronischem Weg gewährleistet, einen Auszug aus dem Beschluss einer Gesellschaft, ihr Kapital herabzusetzen. Dieser Auszug, der vom Notar eines Gesellschafters der Gesellschaft erstellt und dem zuständigen Gericht übermittelt wurde, das ihn seinerseits der Direktion des Moniteur belge zum Zweck der Veröffentlichung übermittelte, enthielt personenbezogene Daten dieses Gesellschafters.
Nachdem die betroffene Person festgestellt hatte, dass die Passage mit ihren Daten infolge eines durch den Notar begangenen Fehlers in den Auszug aufgenommen worden war, verlangte sie auf der Grundlage ihres Rechts auf Löschung (
1
) die Löschung dieser Passage. Dieser Antrag wurde durch den Föderalen Öffentlichen Dienst Justiz (im Folgenden: FÖD Justiz), dem die Direktion des Moniteur belge unterstellt ist, jedoch abgelehnt. Nach der Ablehnung des Antrags reichte diese Person bei der Autorité de protection des données (Belgien) (im Folgenden: Datenschutzbehörde) eine Beschwerde gegen den FÖD Justiz ein. Mit Beschluss vom 23. März 2021 ordnete die Datenschutzbehörde dem FÖD Justiz gegenüber an, dem Löschungsantrag so bald wie möglich Folge zu leisten. Der belgische Staat erhob daraufhin bei der Cour d’appel de Bruxelles Klage auf Aufhebung des Beschlusses der Datenschutzbehörde.
In diesem Zusammenhang wollte die Cour d’appel de Bruxelles vom Gerichtshof wissen, ob der Moniteur belge als für die Verarbeitung „Verantwortlicher“ (
2
) eingestuft werden kann und ob er für die Einhaltung der Grundsätze für die Verarbeitung der Daten (
3
) allein verantwortlich ist oder ob diese Verantwortlichkeit kumulativ auch den Stellen obliegt, die die in der betreffenden Passage enthaltenen Daten zuvor verarbeitet haben.
Würdigung durch den Gerichtshof
Was erstens die Frage betrifft, ob die für das Amtsblatt eines Mitgliedstaats zuständige Einrichtung oder Stelle wie der Moniteur belge als „Verantwortlicher“ im Sinne der DSGVO eingestuft werden kann, stellt der Gerichtshof klar, dass in Anbetracht der weiten Definition dieses Ausdrucks die Vorgabe der Zwecke und Mittel der Verarbeitung und gegebenenfalls die Benennung des Verantwortlichen durch das nationale Recht nicht nur explizit, sondern auch implizit erfolgen kann. Im letzteren Fall ist es jedoch erforderlich, dass sich diese Vorgabe mit hinreichender Bestimmtheit aus der Rolle, dem Auftrag und den Aufgaben der betreffenden Einrichtung oder Stelle ergibt.
Der Gerichtshof stellt fest, dass im vorliegenden Fall das belgische Recht zumindest implizit die Zwecke und Mittel für die Verarbeitung personenbezogener Daten durch den Moniteur belge vorgegeben hat. Daraus folgt, dass der Moniteur belge als „Verantwortlicher“ angesehen werden kann.
Der Gerichtshof betont, dass dieses Ergebnis weder dadurch in Frage gestellt wird, dass der Moniteur belge keine Rechtspersönlichkeit besitzt, noch dadurch, dass er nach nationalem Recht die personenbezogenen Daten, die in den bei ihm eingegangenen Rechtsakten und Dokumenten enthalten sind, vor ihrer Veröffentlichung nicht kontrolliert.
Zwar hat diese Stelle das betreffende Dokument unverändert zu veröffentlichen, doch ist es allein ihre Sache, diese Aufgabe wahrzunehmen und anschließend den betreffenden Rechtsakt oder das betreffende Dokument zu veröffentlichen. Zum einen ist die Veröffentlichung solcher Rechtsakte und Dokumente ohne die Möglichkeit einer Kontrolle oder Änderung ihres Inhalts untrennbar mit den im nationalen Recht festgelegten Zwecken und Mitteln der Verarbeitung verbunden. Die Rolle dieses Amtsblatts beschränkt sich nämlich darauf, die Öffentlichkeit über die Existenz dieser Rechtsakte und Dokumente, wie sie ihm in Form einer Kopie nach dem anwendbaren nationalen Recht übermittelt werden, zu unterrichten, damit sie Dritten entgegengehalten werden können. Zum anderen würde es dem Ziel von Art. 4 Nr. 7 DSGVO zuwiderlaufen, das Amtsblatt eines Mitgliedstaats vom Ausdruck „Verantwortlicher“ auszunehmen, weil die in seinen Veröffentlichungen enthaltenen personenbezogenen Daten nicht seiner Kontrolle unterliegen.
Was zweitens die Frage betrifft, ob eine Stelle wie der Moniteur belge für die Einhaltung der in der DSGVO (
4
) genannten Grundsätze für die Verarbeitung personenbezogener Daten allein verantwortlich ist, stellt der Gerichtshof fest, dass die dem Moniteur belge übertragene Verarbeitung sowohl der Verarbeitung durch den Notar und durch die Geschäftsstelle des zuständigen Gerichts nachgelagert ist, als auch sich technisch von der Verarbeitung durch diese beiden Einrichtungen unterscheidet, da sie eine weitere Verarbeitung darstellt. Die von ihm durchgeführten Maßnahmen werden dem Moniteur belge nämlich durch das nationale Recht übertragen und umfassen u. a. die digitale Umwandlung der Daten, die in den ihm vorgelegten (Auszügen aus) Rechtsakten enthalten sind, die Veröffentlichung dieser Daten, ihre Zurverfügungstellung für eine breite Öffentlichkeit und ihre Speicherung. Daher ist davon auszugehen, dass der Moniteur belge für die Einhaltung sämtlicher dem Verantwortlichen durch die DSGVO auferlegten Pflichten verantwortlich ist.
Darüber hinaus weist der Gerichtshof darauf hin, dass Art. 4 Nr. 7 DSGVO nicht nur vorsieht, dass mehrere Personen gemeinsam als Verantwortliche über die Zwecke und Mittel einer Verarbeitung personenbezogener Daten entscheiden können, sondern auch, dass das nationale Recht diese Zwecke und Mittel selbst vorgeben und den Verantwortlichen bzw. die bestimmten Kriterien seiner Benennung vorsehen kann. Somit kann das nationale Recht bei einer Kette von Verarbeitungen, die von verschiedenen Personen oder Einrichtungen vorgenommen werden und dieselben personenbezogenen Daten betreffen, die Zwecke und Mittel sämtlicher Verarbeitungen vorgeben, die aufeinanderfolgend von den verschiedenen Personen oder Einrichtungen vorgenommen werden, um diese gemeinsam für die Verarbeitung verantwortlich zu machen.
Der Gerichtshof betont, dass nach der DSGVO (
5
) durch das nationale Recht eine gemeinsame Verantwortlichkeit mehrerer Akteure einer Kette von Verarbeitungen, die dieselben personenbezogenen Daten betreffen, begründet werden kann, sofern die verschiedenen Verarbeitungsvorgänge durch die im nationalen Recht vorgegebenen Zwecke und Mittel verbunden sind und das nationale Recht die jeweiligen Verpflichtungen jedes gemeinsam Verantwortlichen festlegt. Eine solche Vorgabe der Zwecke und Mittel, die die verschiedenen Verarbeitungen durch mehrere Akteure einer Kette verbinden, sowie der jeweiligen Pflichten dieser Akteure kann nicht nur unmittelbar, sondern auch mittelbar durch das nationale Recht erfolgen, sofern sich die mittelbare Vorgabe den Rechtsvorschriften, die für die betroffenen Personen oder Einrichtungen und für deren Verarbeitung personenbezogener Daten im Rahmen der nach dem nationalen Recht vorgeschriebenen Verarbeitungskette gelten, hinreichend deutlich entnehmen lässt.
Der Gerichtshof kommt daher zu dem Ergebnis, dass die für das Amtsblatt eines Mitgliedstaats zuständige Einrichtung oder Stelle, die als „Verantwortlicher“ eingestuft wird, in Bezug auf die von ihr nach nationalem Recht vorzunehmenden Verarbeitungen personenbezogener Daten für die Einhaltung der in der DSGVO genannten Grundsätze verantwortlich ist, es sei denn, aus dem nationalen Recht ergibt sich in Bezug auf diese Verarbeitungen eine gemeinsame Verantwortlichkeit mit anderen Stellen.
(
1
)	Geregelt in Art. 17 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
2
)	Im Sinne von Art. 4 Nr. 7 DSGVO.
(
3
)	Gemäß Art. 5 Abs. 2 DSGVO.
(
4
)	In Art. 5 Abs. 1 DSGVO in Form von Verpflichtungen vorgesehene Grundsätze.
(
5
)	Nach Art. 26 Abs. 1 in Verbindung mit Art. 4 Nr. 7 DSGVO.