Urteil des Gerichtshofes (Dritte Kammer) vom 24. November 2011.#Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10) und Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10) gegen Administración del Estado.#Ersuchen um Vorabentscheidung: Tribunal Supremo - Spanien.#Verarbeitung personenbezogener Daten - Richtlinie 95/46/EG - Art. 7 Buchst. f - Unmittelbare Wirkung.#Verbundene Rechtssachen C-468/10 und C-469/10.
Datum: 2011-11-24
Autor: Mengozzi, Gerichtshof
ECLI:EU:C:2011:777

Verbundene Rechtssachen C‑468/10 und C‑469/10
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
und
Federación de Comercio Electrónico y Marketing Directo (FECEMD)
gegen
Administración del Estado
(Vorabentscheidungsersuchen des Tribunal Supremo)
„Verarbeitung personenbezogener Daten – Richtlinie 95/46/EG – Art. 7 Buchst. f – Unmittelbare Wirkung“
Leitsätze des Urteils
1.        Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Vollständige
Harmonisierung – Abschließende Liste der Fälle rechtmäßiger Verarbeitung personenbezogener Daten
(Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 7)
2.        Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Rechtmäßigkeitsvoraussetzungen
für die Verarbeitung personenbezogener Daten
(Charta der Grundrechte der Europäischen Union, Art. 7 und 8; Richtlinie 95/46 des Europäischen Parlaments und des Rates,
Art. 5 und 7 Buchst. f)
3.        Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Gestaltungsspielraum
der Mitgliedstaaten – Umfang
(Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 5)
4.        Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Rechtmäßigkeitsvoraussetzungen
für die Verarbeitung personenbezogener Daten
(Charta der Grundrechte der Europäischen Union, Art. 7 und 8; Richtlinie 95/46 des Europäischen Parlaments und des Rates,
Art. 7 Buchst. f)
5.        Grundrechte – Achtung des Privatlebens – Schutz personenbezogener Daten – Aufgrund der Charta der Grundrechte der Europäischen
Union in Kauf genommene Beschränkungen
(Charta der Grundrechte der Europäischen Union, Art. 7, 8 und 52 Abs. 1)
6.        Handlungen der Organe – Richtlinien – Unmittelbare Wirkung – Voraussetzungen
(Art. 249, Abs. 3 EG; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 7 Buchst. f)
1.        Die mit der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr
angestrebte Harmonisierung der nationalen Rechtsvorschriften ist nicht auf eine Mindestharmonisierung beschränkt, sondern
führt zu einer grundsätzlich umfassenden Harmonisierung. Im Hinblick darauf will diese Richtlinie den freien Verkehr personenbezogener
Daten sicherstellen, wobei sie zugleich ein hohes Niveau des Schutzes der Rechte und Interessen der von diesen Daten betroffenen
Personen gewährleistet. Daher ergibt sich aus diesem Ziel, dass Art. 7 dieser Richtlinie eine erschöpfende und abschließende
Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Folglich
dürfen die Mitgliedstaaten weder neue Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten neben
Art. 7 dieser Richtlinie einführen, noch zusätzliche Bedingungen stellen, die die Tragweite eines der in diesem Artikel vorgesehenen
Grundsätze verändern würden.
Diese Auslegung wird nicht durch die Möglichkeit der Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 in Frage gestellt, die
Voraussetzungen näher zu bestimmen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist. Folglich dürfen die
Mitgliedstaaten innerhalb des Ermessensspielraums, über den sie nach Art. 5 der Richtlinie 95/46 verfügen, keine anderen Grundsätze
in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten als die in Art. 7 dieser Richtlinie aufgezählten Grundsätze
einführen, und auch nicht durch zusätzliche Bedingungen die Tragweite der in diesem Art. 7 vorgesehenen Grundsätze verändern.
(vgl. Randnrn. 29-30, 32-33, 35-36)
2.        Art. 7 Buchst. f der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum
freien Datenverkehr ist dahin auszulegen, dass er einer nationalen Regelung entgegensteht, die für die Verarbeitung personenbezogener
Daten, die zur Verwirklichung eines berechtigten Interesses, das von dem für diese Verarbeitung Verantwortlichen oder von
dem bzw. den Dritten wahrgenommen wird, denen diese Daten übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen
Person nicht nur verlangt, dass deren Grundrechte und Grundfreiheiten nicht verletzt werden, sondern auch, dass diese Daten
in öffentlich zugänglichen Quellen enthalten sind, und damit kategorisch und verallgemeinernd jede Verarbeitung von Daten
ausschließt, die nicht in solchen Quellen enthalten sind.
Denn zum einen ergibt sich aus dem Ziel dieser Richtlinie, ein gleichwertiges Schutzniveau in allen Mitgliedstaaten sicherzustellen,
dass ihr Art. 7 eine erschöpfende und abschließende Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener
Daten als rechtmäßig angesehen werden kann. Die Mitgliedstaaten dürfen daher weder neue Grundsätze in Bezug auf die Zulässigkeit
der Verarbeitung personenbezogener Daten einführen, noch zusätzliche Bedingungen stellen, die die Tragweite eines der in diesem
Art. 7 vorgesehenen Grundsätze verändern würden. Außerdem dürfen die Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 auch
keine anderen Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten als die in Art. 7 aufgezählten
Grundsätze einführen, und auch nicht durch zusätzliche Bedingungen die Tragweite der in diesem Art. 7 vorgesehenen Grundsätze
verändern.
Andererseits können die Mitgliedstaaten für die nach Art. 7 Buchst. f dieser Richtlinie erforderliche Abwägung der einander
gegenüberstehenden Rechte und Interessen Leitlinien aufstellen. Sie können auch berücksichtigen, dass die Grundrechte der
betroffenen Person durch diese Datenverarbeitung unterschiedlich stark beeinträchtigt sein können, je nachdem, ob die in Rede
stehenden Daten bereits in öffentlich zugänglichen Quellen enthalten sind oder nicht. In letzterem Fall wird die Beeinträchtigung
schwerer wiegen.
Es handelt sich jedoch nicht bloß um eine nähere Bestimmung, sondern um eine nach Art. 7 Buchst. f verbotene zusätzliche Bedingung,
wenn eine nationale Regelung die Verarbeitung bestimmter Kategorien personenbezogener Daten ausschließt, indem sie für diese
Kategorien das Ergebnis der Abwägung der einander gegenüberstehenden Rechte und Interessen abschließend vorschreibt, ohne
Raum für ein Ergebnis zu lassen, das aufgrund besonderer Umstände des Einzelfalls anders ausfällt.
(vgl. Randnrn. 29-30, 32, 36, 44-49, Tenor 1)
3.        Die Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr
enthält Vorschriften, die durch eine gewisse Flexibilität gekennzeichnet sind, und überlässt es in vielen Fällen den Mitgliedstaaten,
die Einzelheiten zu regeln oder zwischen Optionen zu wählen. Es ist somit wichtig, zwischen nationalen Maßnahmen, die zusätzliche
Bedingungen vorsehen, mit denen die Tragweite eines in Art. 7 dieser Richtlinie enthaltenen Grundsatzes verändert wird, einerseits
und nationalen Maßnahmen, die nur einen dieser Grundsätze näher bestimmen, andererseits zu unterscheiden. Die zuerst genannte
Art von nationalen Maßnahmen ist verboten. Nur im Rahmen der zweiten Art von nationalen Maßnahmen verfügen die Mitgliedstaaten
nach Art. 5 der Richtlinie über einen Ermessensspielraum.
(vgl. Randnr. 35)
4.        Art. 7 Buchst. f der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum
freien Datenverkehr sieht zwei kumulative Voraussetzungen vor, damit eine Verarbeitung personenbezogener Daten rechtmäßig
ist, nämlich zum einen, dass die Verarbeitung personenbezogener Daten zur Verwirklichung des berechtigten Interesses erforderlich
ist, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt
werden, und zum anderen, dass nicht die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Die zweite dieser
Voraussetzungen erfordert eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, die grundsätzlich
von den konkreten Umständen des betreffenden Einzelfalls abhängt und in deren Rahmen die Person oder die Einrichtung, die
die Abwägung vornimmt, die Bedeutung der Rechte der betroffenen Person, die sich aus den Art. 7 und 8 der Charta der Grundrechte
der Europäischen Union ergeben, zu berücksichtigen hat.
(vgl. Randnrn. 38, 40)
5.        Die in den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union anerkannte Achtung des Privatlebens hinsichtlich
der Verarbeitung personenbezogener Daten erstreckt sich auf jede Information, die eine bestimmte oder bestimmbare natürliche
Person betrifft. Allerdings geht aus den Art. 8 Abs. 2 und 52 Abs. 1 der Charta hervor, dass dieses Recht unter bestimmten
Voraussetzungen Beschränkungen unterworfen werden kann.
(vgl. Randnr. 42)
6.        Der Einzelne kann sich in all den Fällen, in denen die Bestimmungen einer Richtlinie inhaltlich unbedingt und hinreichend
genau sind, vor den nationalen Gerichten gegenüber dem Staat auf diese Bestimmungen berufen, wenn der Staat die Richtlinie
nicht fristgemäß oder unzulänglich in nationales Recht umgesetzt hat. Das ist bei Art. 7 Buchst. f der Richtlinie 95/46 zum
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr der Fall. Auch wenn diese
Richtlinie den Mitgliedstaaten ein mehr oder weniger großes Ermessen bei der Umsetzung einiger ihrer Bestimmungen einräumt,
begründet Art. 7 Buchst. f eine unbedingte Verpflichtung.
(vgl. Randnrn. 51-52, 55, Tenor 2)
URTEIL DES GERICHTSHOFS (Dritte Kammer)
24. November 2011(*)
„Verarbeitung personenbezogener Daten – Richtlinie 95/46/EG – Art. 7 Buchst. f – Unmittelbare Wirkung“
In den verbundenen Rechtssachen C‑468/10 und C‑469/10
betreffend Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Tribunal Supremo (Spanien) mit Entscheidungen vom
15. Juli 2010, beim Gerichtshof eingegangen am 28. September 2010, in den Verfahren
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),
Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)
gegen
Administración del Estado,
Beteiligte:
Unión General de Trabajadores (UGT) (C‑468/10 und C‑469/10),
Telefónica de España SAU (C‑468/10),
France Telecom España SA (C‑468/10 und C‑469/10),
Telefónica Móviles de España SAU (C‑469/10),
Vodafone España SA (C‑469/10),
Asociación de Usuarios de la Comunicación (C‑469/10),
erlässt
DER GERICHTSHOF (Dritte Kammer)
unter Mitwirkung des Kammerpräsidenten K. Lenaerts (Berichterstatter), der Richterin R. Silva de Lapuerta sowie der Richter
E. Juhász, T. von Danwitz und D. Šváby,
Generalanwalt: P. Mengozzi,
Kanzler: M. Ferreira, Hauptverwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 15. September 2011,
unter Berücksichtigung der Erklärungen
–        der Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), vertreten durch C. Alonso Martínez und A. Creus
Carreras, abogados,
–        der Federación de Comercio Electrónico y Marketing Directo (FECEMD), vertreten durch R. García del Poyo Vizcaya und M. Á.
Serrano Pérez, abogados,
–        der spanischen Regierung, vertreten durch M. Muñoz Pérez als Bevollmächtigten,
–        der Europäischen Kommission, vertreten durch I. Martínez del Peral und B. Martenczuk als Bevollmächtigte,
aufgrund des nach Anhörung des Generalanwalts ergangenen Beschlusses, ohne Schlussanträge über die Rechtssache zu entscheiden,
folgendes
Urteil
1        Die Vorabentscheidungsersuchen betreffen die Auslegung von Art. 7 Buchst. f der Richtlinie 95/46/EG des Europäischen Parlaments
und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien
Datenverkehr (ABl. L 281, S. 31).
2        Diese Ersuchen ergehen im Rahmen von Rechtsstreitigkeiten zwischen der Asociación Nacional de Establecimientos Financieros
de Crédito (ASNEF) und der Federación de Comercio Electrónico y Marketing Directo (FECEMD) auf der einen und der Administración
del Estado auf der anderen Seite.
Rechtlicher Rahmen
Unionsrecht
Richtlinie 95/46
3        Die Erwägungsgründe 7, 8 und 10 der Richtlinie 95/46 lauten:
„(7)      Das unterschiedliche Niveau des Schutzes der Rechte und Freiheiten von Personen, insbesondere der Privatsphäre, bei der Verarbeitung
personenbezogener Daten in den Mitgliedstaaten kann die Übermittlung dieser Daten aus dem Gebiet eines Mitgliedstaats in das
Gebiet eines anderen Mitgliedstaats verhindern. Dieses unterschiedliche Schutzniveau kann somit ein Hemmnis für die Ausübung
einer Reihe von Wirtschaftstätigkeiten auf Gemeinschaftsebene darstellen, den Wettbewerb verfälschen und die Erfüllung des
Auftrags der im Anwendungsbereich des Gemeinschaftsrechts tätigen Behörden verhindern. Dieses unterschiedliche Schutzniveau
ergibt sich aus der Verschiedenartigkeit der einzelstaatlichen Rechts- und Verwaltungsvorschriften.
(8)      Zur Beseitigung der Hemmnisse für den Verkehr personenbezogener Daten ist ein gleichwertiges Schutzniveau hinsichtlich der
Rechte und Freiheiten von Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten unerlässlich. Insbesondere unter
Berücksichtigung der großen Unterschiede, die gegenwärtig zwischen den einschlägigen einzelstaatlichen Rechtsvorschriften
bestehen, und der Notwendigkeit, die Rechtsvorschriften der Mitgliedstaaten zu koordinieren, damit der grenzüberschreitende
Fluss personenbezogener Daten kohärent und in Übereinstimmung mit dem Ziel des Binnenmarktes … geregelt wird, lässt sich dieses
für den Binnenmarkt grundlegende Ziel nicht allein durch das Vorgehen der Mitgliedstaaten verwirklichen. Deshalb ist eine
Maßnahme der Gemeinschaft zur Angleichung der Rechtsvorschriften erforderlich.
…
(10)      Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der
Achtung der Grundrechte und -freiheiten, insbesondere des auch in Artikel 8 der [am 4. November 1950 in Rom unterzeichneten]
Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten [im Folgenden: EMRK] und in den allgemeinen Grundsätzen
des Gemeinschaftsrechts anerkannten Rechts auf die Privatsphäre. Die Angleichung dieser Rechtsvorschriften darf deshalb nicht
zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen, sondern muss im Gegenteil darauf abzielen,
in der Gemeinschaft ein hohes Schutzniveau sicherzustellen.“
4        Art. 1 („Gegenstand der Richtlinie“) lautet:
„(1)       Die Mitgliedstaaten gewährleisten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und
insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.
(2)       Die Mitgliedstaaten beschränken oder untersagen nicht den freien Verkehr personenbezogener Daten zwischen Mitgliedstaaten
aus Gründen des gemäß Absatz 1 gewährleisteten Schutzes.“
5        Art. 5 der Richtlinie lautet:
„Die Mitgliedstaaten bestimmen nach Maßgabe dieses Kapitels die Voraussetzungen näher, unter denen die Verarbeitung personenbezogener
Daten rechtmäßig ist.“
6        Art. 7 der Richtlinie 95/46 bestimmt:
„Die Mitgliedstaaten sehen vor, dass die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden
Voraussetzungen erfüllt ist:
a)      Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben;
oder
…
f)      die Verarbeitung ist erforderlich zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen
oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte
und Grundfreiheiten der betroffenen Person, die gemäß Artikel 1 Absatz 1 geschützt sind, [überwiegen].“
7        Art. 13 Abs. 1 der Richtlinie bestimmt:
Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Pflichten und Rechte gemäß Artikel 6 Absatz 1, Artikel 10,
Artikel 11 Absatz 1, Artikel 12 und Artikel 21 beschränken, sofern eine solche Beschränkung notwendig ist für
a)      die Sicherheit des Staates;
b)      die Landesverteidigung;
c)      die öffentliche Sicherheit;
d)      die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder Verstößen gegen die berufsständischen Regeln bei
reglementierten Berufen;
e)      ein wichtiges wirtschaftliches oder finanzielles Interesse eines Mitgliedstaats oder der Europäischen Union einschließlich
Währungs-, Haushalts- und Steuerangelegenheiten;
f)      Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter
den Buchstaben c), d) und e) genannten Zwecke verbunden sind;
g)      den Schutz der betroffenen Person und der Rechte und Freiheiten anderer Personen.“
Nationales Recht
Ley Orgánica 15/1999
8        Die Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal (Ley Orgánica vom 13. Dezember 1999
zum Schutz personenbezogener Daten) (BOE Nr. 298 vom 14. Dezember 1999, S. 43088) setzt die Richtlinie 95/46 in spanisches
Recht um.
9        Art. 3 Buchst. j der Ley Orgánica 15/1999 zählt die „öffentlich zugänglichen Quellen“ in einer erschöpfenden und abschließenden
Liste wie folgt auf:
„… Dateien, die jedermann offenstehen, ohne dass ihrer Einsicht eine einschränkende Vorschrift entgegensteht bzw. ohne dass
sie von einer weiteren Voraussetzung als gegebenenfalls der Zahlung einer Gegenleistung abhängig gemacht wird. Öffentlich
zugängliche Quellen sind ausschließlich das Wählerverzeichnis, Telefonverzeichnisse nach Maßgabe der für sie geltenden besonderen
Vorschriften und Listen von Personen, die Berufsgruppen angehören und ausschließlich Angaben zu Namen, Titel, Beruf, Tätigkeit,
akademischem Grad, die Anschrift und einen Hinweis auf die Zugehörigkeit zur Gruppe enthalten. Öffentlich zugängliche Quellen
sind auch Amts- und Gesetzblätter sowie die Medien.“
10      Art. 6 Abs. 1 der Ley Orgánica 15/1999 macht die Datenverarbeitung von der unzweifelhaften Einwilligung der betroffenen Person
abhängig, sofern nicht das Gesetz etwas anderes bestimmt. So sieht Art. 6 Abs. 2 a. E. dieses Gesetzes vor, dass die Einwilligung
u. a. nicht erforderlich ist, „wenn die Daten in öffentlich zugänglichen Quellen enthalten sind und ihre Verarbeitung zur
Verwirklichung des berechtigten Interesses erforderlich ist, das von dem für die Datei Verantwortlichen oder dem Dritten wahrgenommen
wird, dem die Daten übermittelt werden, sofern nicht die Grundrechte und Grundfreiheiten der betroffenen Person verletzt werden“.
11      In Art. 11 Abs. 1 der Ley Orgánica 15/1999 wird die Notwendigkeit der Einwilligung der betroffenen Person zur Übermittlung
personenbezogener Daten an Dritte nochmals betont; gemäß Abs. 2 dieses Artikels ist diese Einwilligung jedoch u. a. dann nicht
erforderlich, wenn es sich um Daten handelt, die in öffentlich zugänglichen Quellen enthalten sind.
Real Decreto 1720/2007
12      Die spanische Regierung führte die Ley Orgánica 15/1999 mit dem Real Decreto 1720/2007 (BOE Nr. 17 vom 19. Januar 2008, S. 4103)
durch.
13      Art. 10 Abs. 1 des Real Decreto 1720/2007 gestattet die Verarbeitung und Weitergabe personenbezogener Daten, wenn die betroffene
Person zuvor einwilligt.
14      Jedoch bestimmt Art. 10 Abs. 2 des Real Decreto 1720/2007:
„… die Verarbeitung und Weitergabe personenbezogener Daten [ist] ohne Einwilligung der betroffenen Person möglich, wenn
a)       es eine Vorschrift mit Gesetzesrang oder eine Bestimmung des Gemeinschaftsrechts gestattet, und insbesondere, wenn eine der
nachstehenden Voraussetzungen vorliegt:
–        Die Verarbeitung oder Weitergabe dient der Verwirklichung eines berechtigten Interesses, das von dem für die Verarbeitung
Verantwortlichen oder dem Empfänger der Daten wahrgenommen wird, das durch diese Bestimmungen geschützt wird, sofern nicht
das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Personen im Sinne des Art. 1 der Ley Orgánica 15/1999
vom 13. Dezember 1999 überwiegen;
–        die Verarbeitung oder Weitergabe der Daten ist erforderlich, damit der für die Verarbeitung Verantwortliche einer ihm aufgrund
einer dieser Bestimmungen obliegenden Verpflichtung nachkommen kann;
b)      die Daten, die der Verarbeitung oder Weitergabe unterliegen, in öffentlich zugänglichen Quellen enthalten sind und der für
die Datei Verantwortliche oder der Dritte, an den die Daten übermittelt werden, ein berechtigtes Interesse an ihrer Verarbeitung
oder ihrer Kenntnis haben, sofern nicht die Grundrechte und Grundfreiheiten der betroffenen Person verletzt werden.
Die Verwaltungsbehörden können jedoch auf der Grundlage dieses Absatzes Daten, die anhand von öffentlich zugänglichen Quellen
erhoben wurden, nur dann an für private Dateien Verantwortliche übermitteln, wenn sie hierzu durch eine Vorschrift mit Gesetzesrang
ermächtigt sind.“
Ausgangsverfahren und Vorlagefragen
15      Die ASNEF wie die FECEMD erhoben eine verwaltungsgerichtliche Klage gegen mehrere Artikel des Real Decreto 1720/2007.
16      Zu den angefochtenen Bestimmungen zählt Art. 10 Abs. 2 Buchst. a erster Gedankenstrich und Buchst. b Unterabs. 1 des Real
Decreto, der nach Ansicht der ASNEF und der FECEMD gegen Art. 7 Buchst. f der Richtlinie 95/46 verstößt.
17      Die ASNEF und die FECEMD meinen insbesondere, dass im spanischen Recht zur Voraussetzung des berechtigten Interesses an der
Verarbeitung von Daten ohne Einwilligung der betroffenen Person eine Voraussetzung hinzugefügt werde, die in der Richtlinie
95/46 nicht vorgesehen sei, nämlich dass die Daten in öffentlich zugänglichen Quellen enthalten sind.
18      Nach Auffassung des Tribunal Supremo hängt die Begründetheit der jeweils von der ASNEF und der FECEMD erhobenen Klagen weitgehend
von der Auslegung des Art. 7 Buchst. f der Richtlinie 95/46 durch den Gerichtshof ab. Käme der Gerichtshof zu dem Ergebnis,
dass die Mitgliedstaaten neben den in dieser Bestimmung vorgesehenen keine zusätzlichen Voraussetzungen einführen dürften
und dieser Bestimmung unmittelbare Wirkung zukomme, dürfte Art. 10 Abs. 2 Buchst. b des Real Decreto 1720/2007 nicht angewendet
werden.
19      Das Tribunal Supremo erläutert, dass das spanische Recht für die Verarbeitung personenbezogener Daten, die zur Verwirklichung
eines berechtigten Interesses erforderlich sei, das von dem für diese Verarbeitung Verantwortlichen oder dem bzw. den Dritten,
wahrgenommen werde, denen diese Daten übermittelt würden, bei Fehlen der Einwilligung der betroffenen Person nicht nur verlange,
dass deren Grundrechte und Grundfreiheiten nicht verletzt würden, sondern auch, dass diese Daten in den in Art. 3 Buchst. j
der Ley Orgánica 15/1999 aufgelisteten Dateien enthalten seien. Dabei werde der Anwendungsbereich von Art. 7 Buchst. f der
Richtlinie 95/46 durch dieses Gesetz und das Real Decreto 1720/2007 eingeschränkt.
20      Nach Auffassung des Tribunal Supremo stellt diese Beschränkung ein Hindernis für den freien Verkehr personenbezogener Daten
dar, das mit der Richtlinie 95/46 nur dann vereinbar sei, wenn es im Interesse der Grundrechte und Grundfreiheiten der betroffenen
Person erforderlich sei. Daher bestehe die einzige Möglichkeit, einen Widerspruch zwischen dieser Richtlinie und dem spanischen
Recht zu verhindern, darin, davon auszugehen, dass der freie Verkehr personenbezogener Daten, die in anderen als den in Art. 3
Buchst. j der Ley Orgánica 15/1999 aufgeführten Dateien enthalten seien, das Interesse oder die Grundrechte und Grundfreiheiten
der betroffenen Person beeinträchtige.
21      Das Tribunal Supremo stellt sich jedoch die Frage, ob eine solche Auslegung dem Willen des Unionsgesetzgebers entspricht.
22      Vor diesem Hintergrund ist das Tribunal Supremo der Auffassung, dass die Entscheidung der beiden bei ihm anhängigen Rechtssachen
von der Auslegung unionsrechtlicher Vorschriften abhängt, und hat daher beschlossen, die Verfahren auszusetzen und dem Gerichtshof
die folgenden Fragen, die in beiden Rechtssachen wörtlich übereinstimmen, zur Vorabentscheidung vorzulegen:
1.      Ist Art. 7 Buchst. f der Richtlinie 95/46 dahin auszulegen, dass er einer nationalen Regelung entgegensteht, wonach für die
Verarbeitung personenbezogener Daten, die zur Verwirklichung eines berechtigten Interesses des Verantwortlichen oder Dritter,
denen sie übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur Voraussetzung ist, dass
die Grundrechte und Grundfreiheiten der betroffenen Person nicht verletzt werden, sondern auch, dass die Daten in öffentlich
zugänglichen Quellen enthalten sind?
2.      Erfüllt Art. 7 Buchst. f die nach der Rechtsprechung des Gerichtshofs erforderlichen Voraussetzungen, um ihm unmittelbare
Wirkung zuzuerkennen?
23      Mit Beschluss des Präsidenten des Gerichtshofs vom 26. Oktober 2010 sind die Rechtssachen C‑468/10 und C‑469/10 zu gemeinsamem
schriftlichen und mündlichen Verfahren sowie zu gemeinsamer Entscheidung verbunden worden.
Zu den Vorlagefragen
Zur ersten Vorlagefrage
24      Mit seiner ersten Frage möchte das vorlegende Gericht wissen, ob Art. 7 Buchst. f der Richtlinie 95/46 dahin auszulegen ist,
dass er einer nationalen Regelung entgegensteht, die für die Verarbeitung personenbezogener Daten, die zur Verwirklichung
des berechtigten Interesses, das von dem für diese Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen
wird, denen diese Daten übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur verlangt,
dass deren Grundrechte und Grundfreiheiten nicht verletzt werden, sondern auch, dass diese Daten in öffentlich zugänglichen
Quellen enthalten sind.
25      Art. 1 der Richtlinie 95/46 verpflichtet die Mitgliedstaaten, den Schutz der Grundrechte und Grundfreiheiten und insbesondere
den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. in diesem
Sinne Urteil vom 16. Dezember 2008, Huber, C‑524/06, Slg. 2008, I‑9705, Randnr. 47).
26      Gemäß den Bestimmungen des Kapitels II („Allgemeine Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener
Daten“) der Richtlinie 95/46 muss jede Verarbeitung personenbezogener Daten – vorbehaltlich der in Art. 13 zugelassenen Ausnahmen
– den in Art. 6 der Richtlinie aufgestellten Grundsätzen in Bezug auf die Qualität der Daten und einem der sechs in Art. 7
der Richtlinie aufgeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (vgl. in diesem Sinne
Urteil vom 20. Mai 2003, Österreichischer Rundfunk u. a., C‑465/00, C‑138/01 und C‑139/01, Slg. 2003, I‑4989, Randnr. 65,
sowie Urteil Huber, Randnr. 48).
27      Aus dem siebten Erwägungsgrund der Richtlinie 95/46 ergibt sich, dass die Errichtung und das Funktionieren des Binnenmarkts
durch die in den nationalen Regelungen über die Verarbeitung personenbezogener Daten bestehenden Unterschiede in schwerwiegender
Weise beeinträchtigt werden können (vgl. Urteil vom 6. November 2003, Lindqvist, C‑101/01, Slg. 2003, I‑12971, Randnr. 79).
28      In diesem Zusammenhang ist darauf hinzuweisen, dass die Richtlinie 95/46, wie sich insbesondere aus ihrem achten Erwägungsgrund
ergibt, bezweckt, in allen Mitgliedstaaten ein gleichwertiges Schutzniveau hinsichtlich der Rechte und Freiheiten von Personen
bei der Verarbeitung personenbezogener Daten herzustellen. Der zehnte Erwägungsgrund der Richtlinie ergänzt, dass die Angleichung
der nationalen Rechtsvorschriften in dem entsprechenden Bereich nicht zu einer Verringerung des durch diese Rechtsvorschriften
garantierten Schutzes führen darf, sondern im Gegenteil darauf abzielen muss, in der Union ein hohes Schutzniveau sicherzustellen
(vgl. in diesem Sinne Urteile Lindqvist, Randnr. 95, und Huber, Randnr. 50).
29      So wurde entschieden, dass die Harmonisierung dieser nationalen Rechtsvorschriften nicht auf eine Mindestharmonisierung beschränkt
ist, sondern zu einer grundsätzlich umfassenden Harmonisierung führt. Im Hinblick darauf will die Richtlinie 95/46 den freien
Verkehr personenbezogener Daten sicherstellen, wobei sie zugleich ein hohes Niveau des Schutzes der Rechte und Interessen
der von diesen Daten betroffenen Personen gewährleistet (vgl. Urteil Lindqvist, Randnr. 96).
30      Daher ergibt sich aus dem Ziel, ein gleichwertiges Schutzniveau in allen Mitgliedstaaten sicherzustellen, dass Art. 7 der
Richtlinie 95/46 eine erschöpfende und abschließende Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener
Daten als rechtmäßig angesehen werden kann.
31      Diese Auslegung wird durch die Formulierung „lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist“
in Art. 7 der Richtlinie 95/46 bestätigt, die den erschöpfenden und abschließenden Charakter der in diesem Artikel enthaltenen
Liste unterstreicht.
32      Folglich dürfen die Mitgliedstaaten weder neue Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener
Daten neben Art. 7 der Richtlinie 95/46 einführen, noch zusätzliche Bedingungen stellen, die die Tragweite eines der sechs
in diesem Artikel vorgesehenen Grundsätze verändern würden.
33      Die vorstehende Auslegung wird auch durch Art. 5 der Richtlinie 95/46 nicht in Frage gestellt. Dieser Artikel erlaubt nämlich
den Mitgliedstaaten lediglich, nach Maßgabe des Kapitels II und damit des Art. 7 dieser Richtlinie die Voraussetzungen näher
zu bestimmen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist.
34      Von dem Ermessen, über das die Mitgliedstaaten nach diesem Art. 5 verfügen, kann also nur im Einklang mit dem von der Richtlinie
95/46 verfolgten Ziel Gebrauch gemacht werden, ein Gleichgewicht zwischen dem freien Verkehr personenbezogener Daten und dem
Schutz der Privatsphäre zu wahren (vgl. Urteil Lindqvist, Randnr. 97).
35      Die Richtlinie 95/46 enthält Vorschriften, die durch eine gewisse Flexibilität gekennzeichnet sind, und überlässt es in vielen
Fällen den Mitgliedstaaten, die Einzelheiten zu regeln oder zwischen Optionen zu wählen (vgl. Urteil Lindqvist, Randnr. 83).
Es ist somit wichtig, zwischen nationalen Maßnahmen, die zusätzliche Bedingungen vorsehen, mit denen die Tragweite eines in
Art. 7 der Richtlinie 95/46 enthaltenen Grundsatzes verändert wird, einerseits und nationalen Maßnahmen, die nur einen dieser
Grundsätze näher bestimmen, andererseits zu unterscheiden. Die zuerst genannte Art von nationalen Maßnahmen ist verboten.
Nur im Rahmen der zweiten Art von nationalen Maßnahmen verfügen die Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 über
einen Ermessensspielraum.
36      Folglich dürfen die Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 auch keine anderen Grundsätze in Bezug auf die Zulässigkeit
der Verarbeitung personenbezogener Daten als die in Art. 7 dieser Richtlinie aufgezählten Grundsätze einführen und auch nicht
durch zusätzliche Bedingungen die Tragweite der sechs in diesem Art. 7 vorgesehenen Grundsätze verändern.
37      Im vorliegenden Fall sieht Art. 7 Buchst. f der Richtlinie 95/46 vor, dass die Verarbeitung personenbezogener Daten rechtmäßig
ist, wenn sie „erforderlich [ist] zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen
oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte
und Grundfreiheiten der betroffenen Person, die gemäß Artikel 1 Absatz 1 geschützt sind, [überwiegen]“.
38      Dieser Art. 7 Buchst. f sieht zwei kumulative Voraussetzungen vor, damit eine Verarbeitung personenbezogener Daten rechtmäßig
ist, nämlich zum einen, dass die Verarbeitung personenbezogener Daten zur Verwirklichung des berechtigten Interesses erforderlich
ist, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt
werden, und zum anderen, dass nicht die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.
39      Demnach steht Art. 7 Buchst. f der Richtlinie 95/46 hinsichtlich der Verarbeitung personenbezogener Daten jeder nationalen
Regelung entgegen, die bei Fehlen der Einwilligung der betroffenen Person neben den beiden in der vorstehenden Randnummer
genannten kumulativen Voraussetzungen zusätzliche Erfordernisse aufstellt.
40      Jedoch ist zu berücksichtigen, dass die zweite dieser Voraussetzungen eine Abwägung der jeweiligen einander gegenüberstehenden
Rechte und Interessen erfordert, die grundsätzlich von den konkreten Umständen des betreffenden Einzelfalls abhängt und in
deren Rahmen die Person oder die Einrichtung, die die Abwägung vornimmt, die Bedeutung der Rechte der betroffenen Person,
die sich aus den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) ergeben, zu berücksichtigen
hat.
41      Gemäß Art. 8 Abs. 1 der Charta hat „[j]ede Person … das Recht auf Schutz der sie betreffenden personenbezogenen Daten“. Dieses
Grundrecht steht in engem Zusammenhang mit dem in Art. 7 der Charta verankerten Recht auf Achtung des Privatlebens (Urteil
vom 9. November 2010, Volker und Markus Schecke und Eifert, C‑92/09 und C‑93/09, Slg. 2010, I‑0000, Randnr. 47).
42      Nach der Rechtsprechung des Gerichtshofs erstreckt sich die in den Art. 7 und 8 der Charta anerkannte Achtung des Privatlebens
hinsichtlich der Verarbeitung personenbezogener Daten auf jede Information, die eine bestimmte oder bestimmbare natürliche
Person betrifft (vgl. Urteil Volker und Markus Schecke und Eifert, Randnr. 52). Allerdings geht aus den Art. 8 Abs. 2 und
52 Abs. 1 der Charta hervor, dass dieses Recht unter bestimmten Voraussetzungen Beschränkungen unterworfen werden kann.
43      Außerdem ist es Sache der Mitgliedstaaten, bei der Umsetzung der Richtlinie 95/46 darauf zu achten, dass sie sich auf eine
Auslegung derselben stützen, die es ihnen erlaubt, ein angemessenes Gleichgewicht zwischen den verschiedenen durch die Unionsrechtsordnung
geschützten Grundrechten und Grundfreiheiten sicherzustellen (vgl. entsprechend Urteil vom 29. Januar 2008, Promusicae, C‑275/06,
Slg. 2008, I‑271, Randnr. 68).
44      Bei der nach Art. 7 Buchst. f der Richtlinie 95/46 erforderlichen Abwägung kann berücksichtigt werden, dass die Grundrechte
der betroffenen Person durch diese Datenverarbeitung unterschiedlich stark beeinträchtigt sein können, je nachdem, ob die
in Rede stehenden Daten bereits in öffentlich zugänglichen Quellen enthalten sind oder nicht.
45      Denn im Unterschied zur Verarbeitung von Daten, die in öffentlich zugänglichen Quellen enthalten sind, impliziert die Verarbeitung
von Daten aus nicht öffentlich zugänglichen Quellen zwangsläufig, dass der für die Verarbeitung Verantwortliche und gegebenenfalls
der bzw. die Dritten, denen die Daten übermittelt werden, von Informationen über die Privatsphäre der betroffenen Person Kenntnis
erlangen. Diese schwerere Beeinträchtigung der in den Art. 7 und 8 der Charta verbürgten Rechte der betroffenen Person ist
gebührend zu berücksichtigen, indem sie gegen das berechtigte Interesse, das von dem für die Verarbeitung Verantwortlichen
oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, abgewogen wird.
46      Insoweit ist darauf hinzuweisen, dass nichts dagegen spricht, dass die Mitgliedstaaten in der Ausübung ihres Ermessens nach
Art. 5 der Richtlinie 95/46 Leitlinien für diese Abwägung aufstellen.
47      Es handelt sich jedoch nicht mehr um eine nähere Bestimmung im Sinne dieses Art. 5, wenn eine nationale Regelung die Verarbeitung
bestimmter Kategorien personenbezogener Daten ausschließt, indem sie für diese Kategorien das Ergebnis der Abwägung der einander
gegenüberstehenden Rechte und Interessen abschließend vorschreibt, ohne Raum für ein Ergebnis zu lassen, das aufgrund besonderer
Umstände des Einzelfalls anders ausfällt.
48      Unbeschadet des Art. 8 der Richtlinie 95/46 über die Verarbeitung besonderer Kategorien personenbezogener Daten, der für den
Rechtsstreit des Ausgangsverfahrens nicht einschlägig ist, verbietet daher Art. 7 Buchst. f der Richtlinie 95/46, dass ein
Mitgliedstaat kategorisch und verallgemeinernd die Verarbeitung bestimmter Kategorien personenbezogener Daten ausschließt,
ohne Raum für eine Abwägung der im konkreten Einzelfall einander gegenüberstehenden Rechte und Interessen zu lassen.
49      Aufgrund dieser Erwägungen ist auf die erste Vorlagefrage zu antworten, dass Art. 7 Buchst. f der Richtlinie 95/46 dahin auszulegen
ist, dass er einer nationalen Regelung entgegensteht, die für die Verarbeitung personenbezogener Daten, die zur Verwirklichung
des berechtigten Interesses, das von dem für diese Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen
wird, denen diese Daten übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur verlangt,
dass deren Grundrechte und Grundfreiheiten nicht verletzt werden, sondern auch, dass diese Daten in öffentlich zugänglichen
Quellen enthalten sind, und damit kategorisch und verallgemeinernd jede Verarbeitung von Daten ausschließt, die nicht in solchen
Quellen enthalten sind.
Zur zweiten Vorlagefrage
50      Mit seiner zweiten Frage möchte das vorlegende Gericht wissen, ob Art. 7 Buchst. f der Richtlinie 95/46 unmittelbare Wirkung
hat.
51      Insoweit ist zu beachten, dass sich nach ständiger Rechtsprechung des Gerichtshofs der Einzelne in all den Fällen, in denen
die Bestimmungen einer Richtlinie inhaltlich unbedingt und hinreichend genau sind, vor den nationalen Gerichten gegenüber
dem Staat auf diese Bestimmungen berufen kann, wenn der Staat die Richtlinie nicht fristgemäß oder unzulänglich in nationales
Recht umgesetzt hat (vgl. Urteil vom 3. März 2011, Auto Nikolovi, C‑203/10, Slg. 2011, I‑0000, Randnr. 61 und die dort angeführte
Rechtsprechung).
52      Es ist festzustellen, dass Art. 7 Buchst. f der Richtlinie 95/46 so genau ist, dass sich ein Einzelner darauf berufen und
ein nationales Gericht ihn anwenden kann. Im Übrigen räumt zwar die Richtlinie 95/46 den Mitgliedstaaten unbestreitbar ein
mehr oder weniger großes Ermessen bei der Umsetzung einiger ihrer Bestimmungen ein, doch begründet Art. 7 Buchst. f eine unbedingte
Verpflichtung (vgl. entsprechend Urteil Österreichischer Rundfunk u. a., Randnr. 100).
53      Die Verwendung des Ausdrucks „sofern“ in Art. 7 Buchst. f der Richtlinie 95/46 reicht für sich nicht aus, um die Unbedingtheit
dieser Bestimmung im Sinne dieser Rechtsprechung in Frage zu stellen.
54      Dieser Ausdruck zielt nämlich auf das Vorliegen einer der beiden in Art. 7 Buchst. f der Richtlinie 95/46 vorgesehenen kumulativen
Voraussetzungen ab, von deren Einhaltung die Möglichkeit abhängt, personenbezogene Daten ohne Einwilligung der betroffenen
Person zu verarbeiten. Da dieses Element festgelegt ist, nimmt es Art. 7 Buchst. f nicht seine Genauigkeit und Unbedingtheit.
55      Daher ist auf die zweite Frage zu antworten, dass Art. 7 Buchst. f der Richtlinie 95/46 unmittelbare Wirkung hat.
Kosten
56      Für die Beteiligten des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem bei dem vorlegenden Gericht anhängigen
Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von
Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Dritte Kammer) für Recht erkannt:
1.      Art. 7 Buchst. f der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher
Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist dahin auszulegen, dass er einer nationalen
Regelung entgegensteht, die für die Verarbeitung personenbezogener Daten, die zur Verwirklichung eines berechtigten Interesses,
das von dem für diese Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen diese Daten übermittelt
werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur verlangt, dass deren Grundrechte und Grundfreiheiten
nicht verletzt werden, sondern auch, dass diese Daten in öffentlich zugänglichen Quellen enthalten sind, und damit kategorisch
und verallgemeinernd jede Verarbeitung von Daten ausschließt, die nicht in solchen Quellen enthalten sind.
2.      Art. 7 Buchst. f der Richtlinie 95/46 hat unmittelbare Wirkung.
Unterschriften
* Verfahrenssprache: Spanisch.