Europäischer Gerichtshof (Europäische Union, )
Urteil vom 2018-07-10, Aktenzeichen C-25/17
ECLI: ECLI:EU:C:2018:551

Tenor:
URTEIL DES GERICHTSHOFS (Große Kammer)
10. Juli 2018 ( *1 )
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46/EG – Anwendungsbereich dieser Richtlinie – Art. 3 – Erhebung personenbezogener Daten durch Mitglieder einer Religionsgemeinschaft im Rahmen ihrer von Tür zu Tür durchgeführten Verkündigungstätigkeit – Art. 2 Buchst. c – Begriff ‚Datei mit personenbezogenen Daten‘ – Art. 2 Buchst. d – Begriff ‚für die Verarbeitung Verantwortlicher‘ – Art. 10 Abs. 1 der Charta der Grundrechte der Europäischen Union“
In der Rechtssache C‑25/17
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Korkein hallinto-oikeus (Oberster Verwaltungsgerichtshof, Finnland) mit Entscheidung vom 22. Dezember 2016, beim Gerichtshof eingegangen am 19. Januar 2017, in dem Verfahren auf Betreiben des
Tietosuojavaltuutettu,
Beteiligte:
Jehovan todistajat – uskonnollinen yhdyskunta,
erlässt
DER GERICHTSHOF (Große Kammer)
unter Mitwirkung des Präsidenten K. Lenaerts, des Vizepräsidenten A. Tizzano, der Kammerpräsidentin R. Silva de Lapuerta, der Kammerpräsidenten T. von Danwitz (Berichterstatter), J. L. da Cruz Vilaça, J. Malenovský, E. Levits und C. Vajda, der Richter A. Borg Barthet, J.‑C. Bonichot, A. Arabadjiev, S. Rodin und F. Biltgen, der Richterin K. Jürimäe und des Richters C. Lycourgos,
Generalanwalt: P. Mengozzi,
Kanzler: C. Strömholm, Verwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 28. November 2017,
unter Berücksichtigung der Erklärungen
–
des Tietosuojavaltuutettu, vertreten durch R. Aarnio als Bevollmächtigten,
der Jehovan todistajat – uskonnollinen yhdyskunta, vertreten durch S. H. Brady, asianajaja, und P. Muzny,
der finnischen Regierung, vertreten durch H. Leppo als Bevollmächtigte,
der tschechischen Regierung, vertreten durch M. Smolek und J. Vláčil als Bevollmächtigte,
der italienischen Regierung, vertreten durch G. Palmieri als Bevollmächtigte im Beistand von P. Gentili, avvocato dello Stato,
der Europäischen Kommission, vertreten durch P. Aalto, H. Kranenborg und D. Nardi als Bevollmächtigte,
nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 1. Februar 2018
folgendes
Urteil
1
Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 2 Buchst. c und d sowie Art. 3 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) im Licht von Art. 10 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta).
2
Es ergeht im Rahmen eines vom Tietosuojavaltuutettu (Datenschutzbeauftragter, Finnland) angestrengten Verfahrens betreffend die Rechtmäßigkeit einer Entscheidung der Tietosuojalautakunta (Datenschutzkommission, Finnland), mit der sie der Jehovan todistajat – uskonnollinen yhdyskunta (Religionsgemeinschaft der Zeugen Jehovas, im Folgenden: Gemeinschaft der Zeugen Jehovas) verbot, im Rahmen der von Tür zu Tür durchgeführten Verkündigungstätigkeit personenbezogene Daten zu erheben oder zu verarbeiten, ohne dass die nach finnischem Recht geltenden Voraussetzungen für die Verarbeitung personenbezogener Daten eingehalten werden.
Rechtlicher Rahmen
Unionsrecht
3
In den Erwägungsgründen 10, 12, 15, 26 und 27 der Richtlinie 95/46 heißt es: „(10) Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der Achtung der Grundrechte und ‑freiheiten, insbesondere des auch in Artikel 8 der [am 4. November 1950 in Rom unterzeichneten] Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten und in den allgemeinen Grundsätzen des Gemeinschaftsrechts anerkannten Rechts auf die Privatsphäre. Die Angleichung dieser Rechtsvorschriften darf deshalb nicht zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen, sondern muss im Gegenteil darauf abzielen, in der Gemeinschaft ein hohes Schutzniveau sicherzustellen. … (12) Die Schutzprinzipien müssen für alle Verarbeitungen personenbezogener Daten gelten, sobald die Tätigkeiten des für die Verarbeitung Verantwortlichen in den Anwendungsbereich des Gemeinschaftsrechts fallen. Auszunehmen ist die Datenverarbeitung, die von einer natürlichen Person in Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten – wie zum Beispiel Schriftverkehr oder Führung von Anschriftenverzeichnissen – vorgenommen wird[.] … (15) Die Verarbeitung solcher Daten wird von dieser Richtlinie nur erfasst, wenn sie automatisiert erfolgt oder wenn die Daten, auf die sich die Verarbeitung bezieht, in Dateien enthalten oder für solche bestimmt sind, die nach bestimmten personenbezogenen Kriterien strukturiert sind, um einen leichten Zugriff auf die Daten zu ermöglichen. … (26) Die Schutzprinzipien müssen für alle Informationen über eine bestimmte oder bestimmbare Person gelten. Bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen. … (27) Datenschutz muss sowohl für automatisierte als auch für nicht automatisierte Verarbeitungen gelten. In der Tat darf der Schutz nicht von den verwendeten Techniken abhängen, da andernfalls ernsthafte Risiken der Umgehung entstehen würden. Bei manuellen Verarbeitungen erfasst diese Richtlinie lediglich Dateien, nicht jedoch unstrukturierte Akten. Insbesondere muss der Inhalt einer Datei nach bestimmten personenbezogenen Kriterien strukturiert sein, die einen leichten Zugriff auf die Daten ermöglichen. Nach der Definition in Artikel 2 Buchstabe c) können die Mitgliedstaaten die Kriterien zur Bestimmung der Elemente einer strukturierten Sammlung personenbezogener Daten sowie die verschiedenen Kriterien zur Regelung des Zugriffs zu einer solchen Sammlung festlegen. Akten und Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien strukturiert sind, fallen unter keinen Umständen in den Anwendungsbereich dieser Richtlinie.“
In den Erwägungsgründen 10, 12, 15, 26 und 27 der Richtlinie 95/46 heißt es:
„(10)
Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der Achtung der Grundrechte und ‑freiheiten, insbesondere des auch in Artikel 8 der [am 4. November 1950 in Rom unterzeichneten] Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten und in den allgemeinen Grundsätzen des Gemeinschaftsrechts anerkannten Rechts auf die Privatsphäre. Die Angleichung dieser Rechtsvorschriften darf deshalb nicht zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen, sondern muss im Gegenteil darauf abzielen, in der Gemeinschaft ein hohes Schutzniveau sicherzustellen.
…
(12)
Die Schutzprinzipien müssen für alle Verarbeitungen personenbezogener Daten gelten, sobald die Tätigkeiten des für die Verarbeitung Verantwortlichen in den Anwendungsbereich des Gemeinschaftsrechts fallen. Auszunehmen ist die Datenverarbeitung, die von einer natürlichen Person in Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten – wie zum Beispiel Schriftverkehr oder Führung von Anschriftenverzeichnissen – vorgenommen wird[.]
(15)
Die Verarbeitung solcher Daten wird von dieser Richtlinie nur erfasst, wenn sie automatisiert erfolgt oder wenn die Daten, auf die sich die Verarbeitung bezieht, in Dateien enthalten oder für solche bestimmt sind, die nach bestimmten personenbezogenen Kriterien strukturiert sind, um einen leichten Zugriff auf die Daten zu ermöglichen.
(26)
Die Schutzprinzipien müssen für alle Informationen über eine bestimmte oder bestimmbare Person gelten. Bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen. …
(27)
Datenschutz muss sowohl für automatisierte als auch für nicht automatisierte Verarbeitungen gelten. In der Tat darf der Schutz nicht von den verwendeten Techniken abhängen, da andernfalls ernsthafte Risiken der Umgehung entstehen würden. Bei manuellen Verarbeitungen erfasst diese Richtlinie lediglich Dateien, nicht jedoch unstrukturierte Akten. Insbesondere muss der Inhalt einer Datei nach bestimmten personenbezogenen Kriterien strukturiert sein, die einen leichten Zugriff auf die Daten ermöglichen. Nach der Definition in Artikel 2 Buchstabe c) können die Mitgliedstaaten die Kriterien zur Bestimmung der Elemente einer strukturierten Sammlung personenbezogener Daten sowie die verschiedenen Kriterien zur Regelung des Zugriffs zu einer solchen Sammlung festlegen. Akten und Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien strukturiert sind, fallen unter keinen Umständen in den Anwendungsbereich dieser Richtlinie.“
4
Art. 1 Abs. 1 der Richtlinie 95/46 bestimmt: „Die Mitgliedstaaten gewährleisten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.“
Art. 1 Abs. 1 der Richtlinie 95/46 bestimmt:
„Die Mitgliedstaaten gewährleisten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.“
5
Art. 2 dieser Richtlinie sieht vor: „Im Sinne dieser Richtlinie bezeichnet der Ausdruck a) ‚personenbezogene Daten‘ alle Informationen über eine bestimmte oder bestimmbare natürliche Person (‚betroffene Person‘); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind; b) ‚Verarbeitung personenbezogener Daten‘ (‚Verarbeitung‘) jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten; c) ‚Datei mit personenbezogenen Daten‘ (‚Datei‘) jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten aufgeteilt geführt wird; d) ‚für die Verarbeitung Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sind die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten in einzelstaatlichen oder gemeinschaftlichen Rechts- und Verwaltungsvorschriften festgelegt, so können der für die Verarbeitung Verantwortliche bzw. die spezifischen Kriterien für seine Benennung durch einzelstaatliche oder gemeinschaftliche Rechtsvorschriften bestimmt werden; …“
Art. 2 dieser Richtlinie sieht vor:
„Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a)
‚personenbezogene Daten‘ alle Informationen über eine bestimmte oder bestimmbare natürliche Person (‚betroffene Person‘); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;
b)
‚Verarbeitung personenbezogener Daten‘ (‚Verarbeitung‘) jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;
c)
‚Datei mit personenbezogenen Daten‘ (‚Datei‘) jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten aufgeteilt geführt wird;
d)
‚für die Verarbeitung Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sind die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten in einzelstaatlichen oder gemeinschaftlichen Rechts- und Verwaltungsvorschriften festgelegt, so können der für die Verarbeitung Verantwortliche bzw. die spezifischen Kriterien für seine Benennung durch einzelstaatliche oder gemeinschaftliche Rechtsvorschriften bestimmt werden;
…“
6
Nach Art. 3 der Richtlinie gilt: „(1) Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen. (2) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten, – die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich; – die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird.“
Nach Art. 3 der Richtlinie gilt:
„(1) Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.
(2) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten,
die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich;
die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird.“
Finnisches Recht
7
Die Richtlinie 95/46 wurde durch das Henkilötietolaki (523/1999) (Gesetz über personenbezogene Daten [523/1999], im Folgenden: Gesetz Nr. 523/1999) in finnisches Recht umgesetzt.
8
§ 2 („Soveltamisala“ [Anwendungsbereich]) dieses Gesetzes sieht in seinen Abs. 2 und 3 vor: „Dieses Gesetz gilt für die automatisierte Verarbeitung personenbezogener Daten. Es gilt auch für andere Verarbeitungen personenbezogener Daten, wenn diese Daten eine Datei mit personenbezogenen Daten oder einen Teil einer solchen Datei bilden oder bilden sollen. Dieses Gesetz gilt nicht für die Verarbeitung personenbezogener Daten, die eine natürliche Person zu ausschließlich persönlichen Zwecken oder damit vergleichbaren gewöhnlichen und privaten Zwecken vornimmt.“
§ 2 („Soveltamisala“ [Anwendungsbereich]) dieses Gesetzes sieht in seinen Abs. 2 und 3 vor:
„Dieses Gesetz gilt für die automatisierte Verarbeitung personenbezogener Daten. Es gilt auch für andere Verarbeitungen personenbezogener Daten, wenn diese Daten eine Datei mit personenbezogenen Daten oder einen Teil einer solchen Datei bilden oder bilden sollen.
Dieses Gesetz gilt nicht für die Verarbeitung personenbezogener Daten, die eine natürliche Person zu ausschließlich persönlichen Zwecken oder damit vergleichbaren gewöhnlichen und privaten Zwecken vornimmt.“
9
In § 3 Abs. 3 des Gesetzes Nr. 523/1999 wird der Ausdruck „Datei mit personenbezogenen Daten“ definiert als „Sammlung personenbezogener Daten, die aus wegen ihrer Zweckbestimmung zusammengehörenden Eintragungen besteht und die teilweise oder vollständig mit Hilfe automatisierter Datenverarbeitungsverfahren verarbeitet wird oder als Kartothek, Verzeichnis oder in damit vergleichbarer Weise organisiert wird, damit bestimmte Personen betreffende Daten leicht und ohne unangemessene Kosten aufgefunden werden können“.
10
Nach § 44 dieses Gesetzes kann die Datenschutzkommission auf Antrag des Datenschutzbeauftragten die Verarbeitung personenbezogener Daten verbieten, die gegen dieses Gesetz oder gegen aufgrund dieses Gesetzes erlassene Vorschriften und Bestimmungen verstößt, und anordnen, Fällen rechtswidriger Tätigkeit oder Versäumnis innerhalb einer angemessenen Frist abzuhelfen.
Ausgangsrechtsstreit und Vorlagefragen
11
Am 17. September 2013 erließ die Datenschutzkommission auf Antrag des Datenschutzbeauftragten eine Entscheidung, mit der sie der Gemeinschaft der Zeugen Jehovas verbot, im Rahmen der von ihren Mitgliedern von Tür zu Tür durchgeführten Verkündigungstätigkeit personenbezogene Daten zu erheben oder zu verarbeiten, ohne dass die in den §§ 8 und 12 des Gesetzes Nr. 523/1999 geregelten rechtlichen Voraussetzungen für die Verarbeitung solcher Daten eingehalten werden. Die Datenschutzkommission verpflichtete die Gemeinschaft auf der Grundlage von § 44 Abs. 2 dieses Gesetzes, binnen einer Frist von sechs Monaten dafür zu sorgen, dass keine personenbezogenen Daten mehr für ihre Zwecke erhoben werden, ohne dass die genannten Voraussetzungen eingehalten werden.
12
In der Begründung ihrer Entscheidung vertrat die Datenschutzkommission die Auffassung, dass die Erhebung der in Rede stehenden Daten durch die Mitglieder der Gemeinschaft der Zeugen Jehovas eine Verarbeitung personenbezogener Daten im Sinne des genannten Gesetzes darstelle und diese Gemeinschaft sowie ihre Mitglieder gemeinsam für diese Verarbeitung verantwortlich seien.
13
Die Gemeinschaft der Zeugen Jehovas erhob beim Helsingin hallinto-oikeus (Verwaltungsgericht Helsinki, Finnland) Klage gegen diese Entscheidung. Mit Urteil vom 18. Dezember 2014 hob dieses Gericht die Entscheidung auf und begründete dies namentlich damit, dass die Gemeinschaft der Zeugen Jehovas nicht im Sinne des Gesetzes Nr. 523/1999 für die Verarbeitung personenbezogener Daten verantwortlich sei und ihre Tätigkeit keine rechtswidrige Verarbeitung solcher Daten darstelle.
14
Der Datenschutzbeauftragte focht dieses Urteil vor dem Korkein hallinto-oikeus (Oberster Verwaltungsgerichtshof, Finnland) an.
15
Nach den Feststellungen jenes Gerichts stellt sich der Sachverhalt wie folgt dar: Die Mitglieder der Gemeinschaft der Zeugen Jehovas machen sich im Rahmen ihrer von Tür zu Tür durchgeführten Verkündigungstätigkeit Notizen über Besuche bei Personen, die weder ihnen noch der Gemeinschaft bekannt sind. Zu den erhobenen Daten können u. a. die Namen und Adressen der aufgesuchten Personen sowie Informationen über ihre religiösen Überzeugungen und Familienverhältnisse gehören. Diese Daten werden als Gedächtnisstütze erhoben, und um für den Fall eines erneuten Besuchs wiederauffindbar zu sein, ohne dass die betroffenen Personen hierin eingewilligt hätten oder darüber informiert worden wären.
16
Die Gemeinschaft der Zeugen Jehovas hat ihren Mitgliedern Anleitungen zur Anfertigung solcher Notizen gegeben, die in mindestens einem ihrer der Verkündigungstätigkeit gewidmeten Mitteilungsblätter abgedruckt sind. Die Gemeinschaft und ihre Gemeinden organisieren und koordinieren die von Tür zu Tür durchgeführte Verkündigungstätigkeit ihrer Mitglieder insbesondere dadurch, dass sie Gebietskarten erstellen, auf deren Grundlage Bezirke unter den Mitgliedern, die sich an der Verkündigungstätigkeit beteiligen, aufgeteilt werden, und indem sie Verzeichnisse über die Verkündiger und die Anzahl der von ihnen verbreiteten Publikationen der Gemeinschaft führen. Außerdem führen die Gemeinden der Gemeinschaft der Zeugen Jehovas eine Liste der Personen, die darum gebeten haben, nicht mehr von den Verkündigern aufgesucht zu werden. Die in dieser Liste, der sogenannten „Verbotsliste“, enthaltenen personenbezogenen Daten werden von den Mitgliedern der Gemeinschaft verwendet. Früher stellte die Gemeinschaft ihren Mitgliedern für die Erhebung dieser Daten im Rahmen ihrer Verkündigungstätigkeit Formulare zur Verfügung; deren Verwendung wurde aber infolge einer Empfehlung des Datenschutzbeauftragten eingestellt.
17
Nach eigenen Angaben verlangt die Gemeinschaft der Zeugen Jehovas nicht von ihren verkündigenden Mitgliedern, dass sie Daten erheben, und kennt, soweit eine solche Datenerhebung dennoch erfolgt, weder die Beschaffenheit der angefertigten Notizen – bei denen es sich im Übrigen, so die Gemeinschaft, nur um informelle persönliche Notizen handelt – noch die Identität der verkündigenden Mitglieder, die die Daten erhoben haben.
18
Zur Notwendigkeit des vorliegenden Vorabentscheidungsersuchens führt der Korkein hallinto-oikeus (Oberster Verwaltungsgerichtshof) aus, die Prüfung der Ausgangsrechtssache erfordere die Berücksichtigung zum einen der Rechte auf Schutz des Privatlebens und auf Schutz personenbezogener Daten und zum anderen der Religions- und der Vereinigungsfreiheit, die sowohl durch die Charta und die Europäische Konvention zum Schutz der Menschenrechte und Grundfreiheiten als auch durch die finnische Verfassung garantiert würden.
19
Das vorlegende Gericht neigt zu der Auffassung, dass die von Mitgliedern einer Religionsgemeinschaft wie der Gemeinschaft der Zeugen Jehovas von Tür zu Tür durchgeführte Verkündigungstätigkeit nicht zu den Tätigkeiten zählt, die nach Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 von deren Anwendungsbereich ausgenommen sind. Fraglich sei jedoch, ob es sich dabei um eine ausschließlich persönliche oder familiäre Tätigkeit im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich dieser Richtlinie handle. Insoweit sei zu berücksichtigen, dass die erhobenen Daten im vorliegenden Fall über bloße Notizen in einem Anschriftenverzeichnis hinausgingen, da sich die angefertigten Notizen auf fremde Personen bezögen und sensible Daten über deren religiöse Überzeugungen enthielten. Zu beachten sei auch, dass die Verkündigungstätigkeit von Tür zu Tür eine wesentliche Betätigungsform der Gemeinschaft der Zeugen Jehovas darstelle, die von ihr und ihren Gemeinden organisiert und koordiniert werde.
20
Da die erhobenen Daten, um die es im Ausgangsverfahren gehe, nicht automatisiert verarbeitet würden, sei mit Blick auf Art. 3 Abs. 1 der Richtlinie 95/46 in Verbindung mit deren Art. 2 Buchst. c ferner zu klären, ob die Sammlung dieser Daten eine Datei im Sinne dieser Bestimmungen bilde. Nach Angaben der Gemeinschaft der Zeugen Jehovas würden ihr diese Daten nicht übermittelt, so dass sie keine sichere Kenntnis von Beschaffenheit und Umfang der erhobenen Daten haben könne. Es könne aber davon ausgegangen werden, dass der Zweck der Erhebung und der anschließenden Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten darin bestehe, die eine bestimmte Person oder Adresse betreffenden Daten zur späteren Verwendung leicht wiederzufinden. Allerdings seien die erhobenen Daten nicht in Form einer Kartothek strukturiert.
21
Für den Fall, dass die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten in den Anwendungsbereich der Richtlinie 95/46 fallen sollte, hebt das vorlegende Gericht hervor, dass sich dann die Frage stelle, ob die Gemeinschaft der Zeugen Jehovas als für diese Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d dieser Richtlinie anzusehen sei. Die aus dem Urteil vom 13. Mai 2014, Google Spain und Google (C–131/12, EU:C:2014:317), hervorgegangene Rechtsprechung des Gerichtshofs lege den Begriff „für die Verarbeitung Verantwortlicher“ weit aus. Überdies heiße es in der Stellungnahme 1/2010 der nach Art. 29 der Richtlinie 95/46 eingesetzten Arbeitsgruppe vom 16. Februar 2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, zu berücksichtigen seien insbesondere die Fähigkeit zur tatsächlichen Kontrolle und die Vorstellung, die sich die Person, deren Daten verarbeitet würden, von dem für die Verarbeitung Verantwortlichen bilde.
22
Im vorliegenden Fall sei zu berücksichtigen, dass die Gemeinschaft der Zeugen Jehovas die Verkündigungstätigkeit von Tür zu Tür organisiere, koordiniere und zu ihr ermutige und dass sie in ihren Publikationen Anleitungen zur Erhebung von Daten im Rahmen dieser Tätigkeit gegeben habe. Zudem habe der Datenschutzbeauftragte festgestellt, dass es der Gemeinschaft tatsächlich möglich sei, die Methoden der Datenverarbeitung zu bestimmen und diese Verarbeitung zu verbieten oder einzuschränken, und dass sie über den Zweck und die Mittel der Verarbeitung im Voraus entschieden habe, indem sie Anleitungen zur Datenerhebung gegeben habe. Im Übrigen zeugten auch die einst verwendeten Formulare von der starken Einbindung der Gemeinschaft in die Datenverarbeitung.
23
Zu bedenken sei allerdings auch, dass die Mitglieder der Gemeinschaft der Zeugen Jehovas selbst über die Datenerhebung entscheiden und deren Modalitäten bestimmen könnten. Zudem erhebe die Gemeinschaft selbst keine Daten und habe keinen Zugang zu den von ihren Mitgliedern erhobenen Daten, mit Ausnahme der in der „Verbotsliste“ enthaltenen. Dies schließe aber nicht aus, dass es mehrere für die Verarbeitung Verantwortliche geben könne, von denen jeder seine eigene Zuständigkeit und Verantwortlichkeit trage.
24
Unter diesen Umständen hat der Korkein hallinto-oikeus (Oberster Verwaltungsgerichtshof) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
Zu den Anträgen auf Wiedereröffnung des mündlichen Verfahrens
25
Mit zwei Schriftsätzen, die am 12. Dezember 2017 und am 15. Februar 2018 bei der Kanzlei des Gerichtshofs eingegangen sind, hat die Gemeinschaft der Zeugen Jehovas beantragt, gemäß Art. 83 der Verfahrensordnung des Gerichtshofs die Wiedereröffnung des mündlichen Verfahrens zu beschließen. Zur Stützung ihres ersten Antrags macht die Gemeinschaft insbesondere geltend, ihr sei in der mündlichen Verhandlung keine Gelegenheit eingeräumt worden, auf die Ausführungen der anderen Beteiligten, die zum Teil im Widerspruch zum Sachverhalt des Ausgangsverfahrens gestanden hätten, zu erwidern. In Bezug auf ihren zweiten Antrag trägt die Gemeinschaft im Wesentlichen vor, die Schlussanträge des Generalanwalts beruhten auf ungenauen oder potenziell irreführenden Tatsachenangaben, von denen einige nicht aus der Vorlageentscheidung hervorgingen.
26
Nach Art. 83 seiner Verfahrensordnung kann der Gerichtshof jederzeit nach Anhörung des Generalanwalts die Wiedereröffnung des mündlichen Verfahrens beschließen, insbesondere wenn er sich für unzureichend unterrichtet hält, wenn eine Partei nach Abschluss des mündlichen Verfahrens eine neue Tatsache unterbreitet hat, die von entscheidender Bedeutung für die Entscheidung des Gerichtshofs ist, oder wenn ein zwischen den Parteien oder den in Art. 23 der Satzung des Gerichtshofs der Europäischen Union bezeichneten Beteiligten nicht erörtertes Vorbringen entscheidungserheblich ist.
27
Keine dieser Voraussetzungen ist hier erfüllt. Insbesondere enthalten die Anträge der Gemeinschaft der Zeugen Jehovas auf Wiedereröffnung des mündlichen Verfahrens kein neues Vorbringen, das für die vorliegende Rechtssache entscheidungserheblich wäre. Zudem haben diese Partei sowie die anderen in Art. 23 der Satzung des Gerichtshofs der Europäischen Union bezeichneten Beteiligten sowohl im schriftlichen als auch im mündlichen Verfahren ihre Erklärungen zum Gegenstand der Vorlagefragen, d. h. zur Auslegung von Art. 2 Buchst. c und d sowie Art. 3 der Richtlinie 95/46 im Licht von Art. 10 der Charta, abgegeben.
28
Was den Sachverhalt des Ausgangsverfahrens anbelangt, ist darauf hinzuweisen, dass es im Rahmen des Verfahrens nach Art. 267 AEUV allein Sache des vorlegenden Gerichts ist, den rechtlichen Rahmen festzulegen, in den sich seine dem Gerichtshof vorgelegten Fragen einfügen. Folglich kann eine Hauptpartei nicht geltend machen, dass einige der tatsächlichen Prämissen, auf denen das Vorbringen der anderen in Art. 23 der Satzung des Gerichtshofs der Europäischen Union bezeichneten Beteiligten oder die Würdigung des Generalanwalts beruhe, unrichtig seien, um die Wiedereröffnung des mündlichen Verfahrens nach Art. 83 der Verfahrensordnung zu begründen (vgl. in diesem Sinne Urteil vom 26. Juni 2008, Burda, C‑284/06, EU:C:2008:365, Rn. 44, 45 und 47).
29
Unter diesen Umständen ist der Gerichtshof nach Anhörung des Generalanwalts der Ansicht, dass er über alle Angaben verfügt, die er zur Beantwortung der Fragen des vorlegenden Gerichts benötigt, und dass für die vorliegende Rechtssache kein nicht erörtertes Vorbringen entscheidungserheblich ist. Daher sind die Anträge auf Wiedereröffnung des mündlichen Verfahrens zurückzuweisen.
Zur Zulässigkeit des Vorabentscheidungsersuchens
30
Die Gemeinschaft der Zeugen Jehovas macht geltend, das Vorabentscheidungsersuchen sei unzulässig. Sie bestreitet nicht nur die wesentlichen Tatsachen, auf denen dieses Ersuchen beruht, sondern trägt auch vor, es beziehe sich auf das Verhalten einiger ihrer Mitglieder, die nicht Partei des Ausgangsverfahrens seien. Somit betreffe das Ersuchen ein hypothetisches Problem.
31
Hierzu ist darauf hinzuweisen, dass es allein Sache des mit dem Rechtsstreit befassten nationalen Gerichts, in dessen Verantwortungsbereich die zu erlassende gerichtliche Entscheidung fällt, ist, im Hinblick auf die Besonderheiten der Rechtssache sowohl die Erforderlichkeit einer Vorabentscheidung zum Erlass seines Urteils als auch die Erheblichkeit der dem Gerichtshof vorgelegten Fragen zu beurteilen. Daher ist der Gerichtshof grundsätzlich gehalten, über die ihm vorgelegten Fragen zu befinden, wenn sie die Auslegung des Unionsrechts betreffen. Der Gerichtshof kann die Beantwortung einer Vorlagefrage eines nationalen Gerichts nur ablehnen, wenn die erbetene Auslegung des Unionsrechts offensichtlich in keinem Zusammenhang mit der Realität oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder wenn der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind (vgl. in diesem Sinne Urteil vom 27. Juni 2017, Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, Rn. 24 und 25 sowie die dort angeführte Rechtsprechung).
32
Im vorliegenden Fall enthält die Vorlageentscheidung die tatsächlichen und rechtlichen Angaben, die für das Verständnis der Vorlagefragen und ihrer Tragweite erforderlich sind. Zudem und vor allem findet sich in den Akten kein Anhaltspunkt dafür, dass die erbetene Auslegung des Unionsrechts in keinem Zusammenhang mit der Realität oder dem Gegenstand des Ausgangsrechtsstreits steht oder eine hypothetische Frage betrifft, etwa weil die Mitglieder der Gemeinschaft der Zeugen Jehovas, deren Erhebung personenbezogener Daten den Vorlagefragen zugrunde liegt, nicht Partei des Ausgangsverfahrens sind. Aus der Vorlageentscheidung ergibt sich nämlich, dass die zur Vorabentscheidung vorgelegten Fragen gestellt werden, damit das vorlegende Gericht klären kann, ob diese Gemeinschaft selbst in Bezug auf die Erhebung personenbezogener Daten, die ihre Mitglieder im Rahmen ihrer Verkündigungstätigkeit von Tür zu Tür vornehmen, als Verantwortliche im Sinne der Richtlinie 95/46 angesehen werden kann.
33
Somit ist das Vorabentscheidungsersuchen zulässig.
Zu den Vorlagefragen
Zur ersten Frage
34
Mit seiner ersten Frage möchte das vorlegende Gericht wissen, ob Art. 3 Abs. 2 der Richtlinie 95/46 im Licht von Art. 10 Abs. 1 der Charta dahin auszulegen ist, dass die Erhebung personenbezogener Daten, die durch Mitglieder einer Religionsgemeinschaft im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgt, und die anschließenden Verarbeitungen dieser Daten Verarbeitungen personenbezogener Daten darstellen, die für die Ausübung von Tätigkeiten im Sinne von Art. 3 Abs. 2 erster Gedankenstrich dieser Richtlinie erfolgen, oder Verarbeitungen personenbezogener Daten, die von natürlichen Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen werden, wie in Art. 3 Abs. 2 zweiter Gedankenstrich dieser Richtlinie vorgesehen.
35
Zur Beantwortung dieser Frage ist zunächst darauf hinzuweisen, dass die Richtlinie 95/46, wie sich aus ihrem Art. 1 Abs. 1 und ihrem zehnten Erwägungsgrund ergibt, darauf abzielt, ein hohes Niveau des Schutzes der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere ihrer Privatsphäre, bei der Verarbeitung personenbezogener Daten zu gewährleisten (Urteile vom 13. Mai 2014, Google Spain und Google, C‑131/12, EU:C:2014:317, Rn. 66, sowie vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, Rn. 26).
36
Art. 3 der Richtlinie 95/46, in dem deren Anwendungsbereich definiert wird, bestimmt in Abs. 1, dass diese Richtlinie für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen, gilt.
37
In seinem zweiten Absatz sieht dieser Artikel jedoch zwei Ausnahmen vom Anwendungsbereich der Richtlinie vor, die eng auszulegen sind (vgl. in diesem Sinne Urteile vom 11. Dezember 2014, Ryneš, C‑212/13, EU:C:2014:2428, Rn. 29, und vom 27. September 2017, Puškár, C‑73/16, EU:C:2017:725, Rn. 38). Im Übrigen sieht die Richtlinie 95/46 keine weitere Einschränkung ihres Anwendungsbereichs vor (Urteil vom 16. Dezember 2008, Satakunnan Markkinapörssi und Satamedia, C‑73/07, EU:C:2008:727, Rn. 46).
38
Was erstens die Ausnahme nach Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 anbelangt, ist bereits entschieden worden, dass die Tätigkeiten, die in dieser Vorschrift beispielhaft aufgeführt werden, allesamt spezifische Tätigkeiten des Staates oder staatlicher Stellen sind, die mit den Tätigkeitsbereichen von Privatpersonen nichts zu tun haben. Mit Hilfe dieser Tätigkeiten soll die Reichweite der in dieser Vorschrift geregelten Ausnahme festgelegt werden, so dass diese nur für Tätigkeiten gilt, die entweder dort ausdrücklich genannt sind oder derselben Kategorie zugeordnet werden können (Urteile vom 6. November 2003, Lindqvist, C‑101/01, EU:C:2003:596, Rn. 43 und 44, vom 16. Dezember 2008, Satakunnan Markkinapörssi und Satamedia, C‑73/07, EU:C:2008:727, Rn. 41, sowie vom 27. September 2017, Puškár, C‑73/16, EU:C:2017:725, Rn. 36 und 37).
39
Im vorliegenden Fall ist aber die Erhebung personenbezogener Daten, die durch Mitglieder der Gemeinschaft der Zeugen Jehovas im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgt, lediglich Teil einer religiösen Betätigung von Privatpersonen. Eine solche Tätigkeit stellt also keine spezifische Tätigkeit staatlicher Stellen dar und kann daher nicht mit den Tätigkeiten gleichgesetzt werden, die in Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 genannt werden.
40
Was zweitens die Ausnahme nach Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 betrifft, so nimmt diese Bestimmung vom Anwendungsbereich dieser Richtlinie die Datenverarbeitung aus, die zur Ausübung von Tätigkeiten vorgenommen wird, von denen es nicht einfach heißt, dass sie persönlich und familiär sein müssen, sondern dass sie „ausschließlich“ persönlich oder familiär sein müssen (vgl. in diesem Sinne Urteil vom 11. Dezember 2014, Ryneš, C‑212/13, EU:C:2014:2428, Rn. 30).
41
Die Ausdrücke „persönlich“ und „familiär“ im Sinne dieser Bestimmung beziehen sich auf die Tätigkeit der Person, die personenbezogene Daten verarbeitet, und nicht auf die Person, deren Daten verarbeitet werden (vgl. in diesem Sinne Urteil vom 11. Dezember 2014, Ryneš, C‑212/13, EU:C:2014:2428, Rn. 31 und 33).
42
Nach der Rechtsprechung des Gerichtshofs ist Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 dahin auszulegen, dass er nur Tätigkeiten betrifft, die zum Privat- oder Familienleben von Privatpersonen gehören. Insofern kann eine Tätigkeit nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden, wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet (vgl. in diesem Sinne Urteile vom 6. November 2003, Lindqvist, C‑101/01, EU:C:2003:596, Rn. 47, vom 16. Dezember 2008, Satakunnan Markkinapörssi und Satamedia, C‑73/07, EU:C:2008:727, Rn. 44, sowie vom 11. Dezember 2014, Ryneš, C‑212/13, EU:C:2014:2428, Rn. 31 und 33).
43
Da die im Ausgangsverfahren in Rede stehenden Verarbeitungen personenbezogener Daten unzweifelhaft im Rahmen der Ausübung der von Tür zu Tür durchgeführten Verkündigungstätigkeit der Mitglieder der Gemeinschaft der Zeugen Jehovas erfolgen, ist zu klären, ob eine solche Tätigkeit ausschließlich persönlich oder familiär im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 ist.
44
Insoweit ergibt sich aus der Vorlageentscheidung, dass die Verkündigungstätigkeit von Tür zu Tür, in deren Rahmen die Mitglieder der Gemeinschaft der Zeugen Jehovas personenbezogene Daten erheben, wesensgemäß den Zweck hat, den Glauben dieser Gemeinschaft unter Personen zu verbreiten, die, wie der Generalanwalt in Nr. 40 seiner Schlussanträge im Wesentlichen ausgeführt hat, nicht zum Haushalt der verkündigenden Mitglieder gehören. Diese Tätigkeit ist also auf einen Bereich außerhalb der privaten Sphäre dieser Mitglieder gerichtet.
45
Des Weiteren ist der Vorlageentscheidung zu entnehmen, dass einige der Daten, die von den verkündigenden Mitgliedern der Gemeinschaft erhoben werden, von diesen an die Gemeinden der Gemeinschaft weitergegeben werden, die auf der Grundlage dieser Daten Listen von Personen führen, die von diesen Mitgliedern nicht mehr aufgesucht werden möchten. Die Mitglieder machen also im Rahmen ihrer Verkündigungstätigkeit zumindest einen Teil der erhobenen Daten einem potenziell unbegrenzten Personenkreis zugänglich.
46
Zu der Frage, ob der Umstand, dass die Verarbeitung personenbezogener Daten im Rahmen einer mit der Religionsausübung zusammenhängenden Tätigkeit erfolgt, der Verkündigungstätigkeit von Tür zu Tür einen ausschließlich persönlichen oder familiären Charakter verleiht, ist darauf hinzuweisen, dass die in Art. 10 Abs. 1 der Charta verankerte Gewissens- und Religionsfreiheit insbesondere die Freiheit jeder Person umfasst, ihre Religion oder Weltanschauung einzeln oder gemeinsam mit anderen öffentlich oder privat durch Gottesdienst, Unterricht, Bräuche und Riten zu bekennen.
47
Die Charta legt dem in dieser Bestimmung genannten Begriff „Religion“ eine weite Bedeutung bei, die sowohl das forum internum, d. h. den Umstand, Überzeugungen zu haben, als auch das forum externum, d. h. die Bekundung des religiösen Glaubens in der Öffentlichkeit, umfassen kann (Urteil vom 29. Mai 2018, Liga van Moskeeën en Islamitische Organisaties Provincie Antwerpen u. a., C‑426/16, EU:C:2018:335, Rn. 44 sowie die dort angeführte Rechtsprechung).
48
Da die Freiheit, seine Religion einzeln oder gemeinsam mit anderen öffentlich oder privat zu bekennen, verschiedene Formen wie Unterricht, Bräuche oder Riten annehmen kann, umfasst sie auch das Recht auf den Versuch, andere Personen beispielsweise im Wege der Verkündigung zu überzeugen (EGMR, 25. Mai 1993, Kokkinakis/Griechenland, CE:ECHR:1993:0525JUD001430788, § 31, sowie EGMR, 8. November 2007, Perry/Lettland, CE:ECHR:2007:1108JUD003027303, § 52).
49
Auch wenn die von Mitgliedern einer Religionsgemeinschaft von Tür zu Tür durchgeführte Verkündigungstätigkeit demnach durch Art. 10 Abs. 1 der Charta als Ausdruck des Glaubens des Verkündigers bzw. der Verkündiger geschützt wird, hat dies allerdings nicht die Wirkung, dieser Tätigkeit einen ausschließlich persönlichen oder familiären Charakter im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 zu verleihen.
50
Entsprechend den Darlegungen in den Rn. 44 und 45 des vorliegenden Urteils geht die Verkündigungstätigkeit nämlich über die private Sphäre eines als Verkündiger tätigen Mitglieds einer Religionsgemeinschaft hinaus.
51
Nach alledem ist auf die erste Frage zu antworten, dass Art. 3 Abs. 2 der Richtlinie 95/46 im Licht von Art. 10 Abs. 1 der Charta dahin auszulegen ist, dass die Erhebung personenbezogener Daten, die durch Mitglieder einer Religionsgemeinschaft im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgt, und die anschließenden Verarbeitungen dieser Daten weder Verarbeitungen personenbezogener Daten darstellen, die für die Ausübung von Tätigkeiten im Sinne von Art. 3 Abs. 2 erster Gedankenstrich dieser Richtlinie erfolgen, noch Verarbeitungen personenbezogener Daten, die von natürlichen Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen werden, wie in Art. 3 Abs. 2 zweiter Gedankenstrich dieser Richtlinie vorgesehen.
Zur zweiten Frage
52
Mit seiner zweiten Frage möchte das vorlegende Gericht wissen, ob Art. 2 Buchst. c der Richtlinie 95/46 dahin auszulegen ist, dass der in dieser Bestimmung genannte Begriff „Datei“ eine Sammlung personenbezogener Daten, die im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erhoben wurden und zu denen Namen und Adressen sowie weitere Informationen über die aufgesuchten Personen gehören, umfasst, sofern diese Daten in der Praxis zur späteren Verwendung leicht wiederauffindbar sind, oder ob diese Sammlung nur dann unter den genannten Begriff fällt, wenn sie aus spezifischen Kartotheken oder Verzeichnissen oder anderen der Recherche dienenden Ordnungssystemen besteht.
53
Wie aus ihrem Art. 3 Abs. 1 sowie aus ihren Erwägungsgründen 15 und 27 hervorgeht, gilt die Richtlinie 95/46 genauso für die automatisierte wie für die manuelle Verarbeitung personenbezogener Daten, damit der Schutz, den sie den von der Datenverarbeitung betroffenen Personen verleiht, nicht von den verwendeten Techniken abhängt und keine Risiken der Umgehung dieses Schutzes entstehen. Allerdings geht daraus ebenfalls hervor, dass die Richtlinie für manuelle Verarbeitungen personenbezogener Daten nur dann gilt, wenn die verarbeiteten Daten in einer Datei gespeichert sind oder gespeichert werden sollen.
54
Da im vorliegenden Fall die im Ausgangsverfahren fraglichen Verarbeitungen personenbezogener Daten nicht automatisiert erfolgen, stellt sich die Frage, ob die verarbeiteten Daten im Sinne von Art. 2 Buchst. c und Art. 3 Abs. 1 der Richtlinie 95/46 in einer Datei gespeichert sind oder gespeichert werden sollen.
55
Insoweit geht aus Art. 2 Buchst. c der Richtlinie 95/46 hervor, dass der Begriff „Datei“„jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten aufgeteilt geführt wird“, umfasst.
56
Entsprechend dem oben in Rn. 53 genannten Ziel wird der Begriff „Datei“ in dieser Bestimmung weit definiert, insbesondere dadurch, dass „jede“ strukturierte Sammlung personenbezogener Daten einbezogen wird.
57
Gemäß den Erwägungsgründen 15 und 27 der Richtlinie 95/46 muss der Inhalt einer Datei so strukturiert sein, dass er einen leichten Zugriff auf die personenbezogenen Daten ermöglicht. In Art. 2 Buchst. c dieser Richtlinie ist zwar nicht näher geregelt, nach welchen Kriterien die Datei strukturiert sein muss, aber den genannten Erwägungsgründen zufolge müssen die Kriterien „personenbezogen“ sein. Demnach ist mit dem Erfordernis, dass die Sammlung personenbezogener Daten „nach bestimmten Kriterien strukturiert“ sein muss, nur gemeint, dass die Daten über eine bestimmte Person leicht wiederauffindbar sind.
58
Abgesehen von diesem Erfordernis regelt Art. 2 Buchst. c der Richtlinie 95/46 weder die Modalitäten, nach denen eine Datei strukturiert werden muss, noch die Form, die sie aufweisen muss. Insbesondere geht weder aus dieser noch aus irgendeiner anderen Bestimmung dieser Richtlinie hervor, dass die in Rede stehenden personenbezogenen Daten in spezifischen Kartotheken oder Verzeichnissen oder einem anderen Recherchesystem enthalten sein müssten, damit das Vorliegen einer Datei im Sinne dieser Richtlinie bejaht werden kann.
59
Im vorliegenden Fall geht aus den Feststellungen des vorlegenden Gerichts hervor, dass die Daten, die im Rahmen der im Ausgangsverfahren fraglichen Verkündigungstätigkeit von Tür zu Tür erhoben werden, zum Zweck der Gedächtnisstütze auf Basis einer Aufteilung nach Bezirken erhoben werden, um die Organisation erneuter Besuche von Personen, die bereits aufgesucht wurden, zu erleichtern. Sie enthalten nicht nur Informationen zum Inhalt von Gesprächen über die Überzeugungen der aufgesuchten Person, sondern auch deren Namen und Adresse. Zudem werden diese Informationen zumindest teilweise für die Erstellung von Listen verwendet, die von den Gemeinden der Gemeinschaft der Zeugen Jehovas geführt werden und Personen betreffen, die von den verkündigenden Mitgliedern dieser Gemeinschaft nicht mehr aufgesucht werden möchten.
60
Somit scheinen die personenbezogenen Daten, die im Rahmen der im Ausgangsverfahren fraglichen Verkündigungstätigkeit von Tür zu Tür erhoben werden, nach Kriterien strukturiert zu sein, die gemäß dem Zweck dieser Datenerhebung gewählt werden, nämlich erneute Besuche vorzubereiten und Listen von Personen zu führen, die nicht mehr aufgesucht werden möchten. Wie sich aus der Vorlageentscheidung ergibt, werden diese Kriterien – etwa die Namen und Adressen der aufgesuchten Personen, ihre Überzeugungen oder auch ihre Ablehnung erneuter Besuche – so gewählt, dass sie es ermöglichen, die Daten über bestimmte Personen leicht wiederzufinden.
61
Insofern ist die Frage, nach welchem genauen Kriterium und in welcher genauen Form die Sammlung der von den einzelnen Verkündigern erhobenen personenbezogenen Daten tatsächlich strukturiert ist, ohne Belang, soweit in dieser Sammlung die Daten über eine bestimmte bereits aufgesuchte Person leicht wiederauffindbar sind, was jedoch das vorlegende Gericht anhand sämtlicher Umstände des Ausgangsverfahrens zu prüfen hat.
62
Somit ist auf die zweite Frage zu antworten, dass Art. 2 Buchst. c der Richtlinie 95/46 dahin auszulegen ist, dass der in dieser Bestimmung genannte Begriff „Datei“ eine Sammlung personenbezogener Daten, die im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erhoben wurden und zu denen Namen und Adressen sowie weitere Informationen über die aufgesuchten Personen gehören, umfasst, sofern diese Daten nach bestimmten Kriterien so strukturiert sind, dass sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind. Um unter diesen Begriff zu fallen, muss eine solche Sammlung nicht aus spezifischen Kartotheken oder Verzeichnissen oder anderen der Recherche dienenden Ordnungssystemen bestehen.
Zu den Fragen 3 und 4
63
Mit seinen Fragen 3 und 4, die zusammen zu prüfen sind, möchte das vorlegende Gericht wissen, ob Art. 2 Buchst. d der Richtlinie 95/46 im Licht von Art. 10 Abs. 1 der Charta dahin auszulegen ist, dass eine Religionsgemeinschaft gemeinsam mit ihren als Verkündiger tätigen Mitgliedern als Verantwortliche für die Verarbeitungen personenbezogener Daten angesehen werden kann, die durch diese Mitglieder im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgen, die von dieser Gemeinschaft organisiert und koordiniert wird und zu der sie ermuntert, und ob es hierfür erforderlich ist, dass die Gemeinschaft Zugriff auf diese Daten hat oder ihren Mitgliedern nachweislich schriftliche Anleitungen oder Anweisungen zu diesen Datenverarbeitungen gegeben hat.
64
Im vorliegenden Fall hat die Datenschutzkommission in der im Ausgangsverfahren streitigen Entscheidung die Auffassung vertreten, die Gemeinschaft der Zeugen Jehovas sei gemeinsam mit ihren als Verkündiger tätigen Mitgliedern für die Verarbeitungen personenbezogener Daten verantwortlich, die durch diese Mitglieder im Rahmen der Verkündigungstätigkeit von Tür zu Tür erfolgten. Da allein die Verantwortlichkeit der Gemeinschaft in Abrede gestellt wird, scheint diejenige der verkündigenden Mitglieder nicht in Frage gestellt zu sein.
65
Wie Art. 2 Buchst. d der Richtlinie 95/46 ausdrücklich vorsieht, bezeichnet der Begriff „für die Verarbeitung Verantwortlicher“ die natürliche oder juristische Person, die „allein oder gemeinsam mit anderen“ über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Demnach bezieht sich dieser Begriff nicht zwingend auf eine einzige natürliche oder juristische Person, sondern kann mehrere an dieser Verarbeitung beteiligte Akteure betreffen, wobei dann jeder von ihnen den Datenschutzvorschriften unterliegt (vgl. in diesem Sinne Urteil vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, Rn. 29).
66
Da das Ziel dieser Bestimmung darin besteht, durch eine weite Definition des Begriffs des „Verantwortlichen“ einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten, hat das Bestehen einer gemeinsamen Verantwortlichkeit nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure für dieselbe Verarbeitung personenbezogener Daten zur Folge. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein, so dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist (vgl. in diesem Sinne Urteil vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, Rn. 28, 43 und 44).
67
Insoweit kann weder aus dem Wortlaut von Art. 2 Buchst. d noch aus irgendeiner anderen Bestimmung der Richtlinie 95/46 geschlossen werden, dass die Entscheidung über die Zwecke und Mittel der Verarbeitung mittels schriftlicher Anleitungen oder Anweisungen seitens des für die Verarbeitung Verantwortlichen erfolgen muss.
68
Hingegen kann eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für die Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 angesehen werden.
69
Im Übrigen setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach dieser Bestimmung nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat (vgl. in diesem Sinne Urteil vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, Rn. 38).
70
Im vorliegenden Fall ist es der Vorlageentscheidung zufolge zwar Sache der verkündigenden Mitglieder der Gemeinschaft der Zeugen Jehovas, zu entscheiden, unter welchen konkreten Umständen sie personenbezogene Daten über aufgesuchte Personen erheben, welche Daten sie genau erheben und auf welche Weise sie sie anschließend verarbeiten. Allerdings erfolgt die Erhebung personenbezogener Daten, wie oben in den Rn. 43 und 44 dargelegt, im Rahmen der Ausübung der Verkündigungstätigkeit von Tür zu Tür, mit der die verkündigenden Mitglieder der Gemeinschaft der Zeugen Jehovas den Glauben ihrer Gemeinschaft verbreiten. Wie sich aus der Vorlageentscheidung ergibt, stellt diese Verkündigungstätigkeit eine wesentliche Betätigungsform dieser Gemeinschaft dar, die von ihr organisiert und koordiniert wird und zu der sie ermuntert. In diesem Rahmen werden die Daten als Gedächtnisstütze zum Zweck der späteren Verwendung und für den Fall eines erneuten Besuchs erhoben. Schließlich führen die Gemeinden der Gemeinschaft der Zeugen Jehovas auf der Grundlage der Daten, die sie von den verkündigenden Mitgliedern erhalten, Listen von Personen, die nicht mehr von diesen Mitgliedern aufgesucht werden möchten.
71
Somit scheint die Erhebung personenbezogener Daten über aufgesuchte Personen und die anschließende Verarbeitung dieser Daten der Umsetzung des Ziels der Gemeinschaft der Zeugen Jehovas – nämlich der Verbreitung ihres Glaubens – zu dienen und folglich von ihren verkündigenden Mitgliedern im Interesse der Gemeinschaft vorgenommen zu werden. Überdies ist der Gemeinschaft der Zeugen Jehovas nicht nur allgemein bekannt, dass solche Datenverarbeitungen zum Zweck der Verbreitung ihres Glaubens erfolgen, sondern sie organisiert und koordiniert die Verkündigungstätigkeit ihrer Mitglieder insbesondere dadurch, dass sie die Tätigkeitsbezirke der verschiedenen Verkündiger einteilt.
72
Daraus lässt sich schließen, dass die Gemeinschaft der Zeugen Jehovas ihre verkündigenden Mitglieder dazu ermuntert, im Rahmen ihrer Verkündigungstätigkeit personenbezogene Daten zu verarbeiten.
73
Auf der Grundlage der dem Gerichtshof vorgelegten Akten ist somit davon auszugehen, dass die Gemeinschaft der Zeugen Jehovas dadurch, dass sie die Verkündigungstätigkeit ihrer Mitglieder, mit der ihr Glaube verbreitet werden soll, organisiert und koordiniert und zu ihr ermuntert, gemeinsam mit ihren verkündigenden Mitgliedern an der Entscheidung über den Zweck und die Mittel der Verarbeitungen personenbezogener Daten der aufgesuchten Personen mitwirkt, was jedoch das vorlegende Gericht anhand sämtlicher Umstände des vorliegenden Falles zu beurteilen hat.
74
Diese Feststellung wird nicht durch den Grundsatz der organisatorischen Autonomie der Religionsgemeinschaften in Frage gestellt, der sich aus Art. 17 AEUV ergibt. Die für jedermann geltende Pflicht, die Vorschriften des Unionsrechts über den Schutz personenbezogener Daten einzuhalten, kann nämlich nicht als Eingriff in die organisatorische Autonomie der Religionsgemeinschaften angesehen werden (vgl. entsprechend Urteil vom 17. April 2018, Egenberger, C‑414/16, EU:C:2018:257, Rn. 58).
75
Nach alledem ist auf die Fragen 3 und 4 zu antworten, dass Art. 2 Buchst. d der Richtlinie 95/46 im Licht von Art. 10 Abs. 1 der Charta dahin auszulegen ist, dass eine Religionsgemeinschaft gemeinsam mit ihren als Verkündiger tätigen Mitgliedern als Verantwortliche für die Verarbeitungen personenbezogener Daten angesehen werden kann, die durch diese Mitglieder im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgen, die von dieser Gemeinschaft organisiert und koordiniert wird und zu der sie ermuntert, ohne dass es hierfür erforderlich wäre, dass die Gemeinschaft Zugriff auf diese Daten hat oder ihren Mitgliedern nachweislich schriftliche Anleitungen oder Anweisungen zu diesen Datenverarbeitungen gegeben hat.
Kosten
76
Für die Parteien des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem beim vorlegenden Gericht anhängigen Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:
1. Art. 3 Abs. 2 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist im Licht von Art. 10 Abs. 1 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass die Erhebung personenbezogener Daten, die durch Mitglieder einer Religionsgemeinschaft im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgt, und die anschließenden Verarbeitungen dieser Daten weder Verarbeitungen personenbezogener Daten darstellen, die für die Ausübung von Tätigkeiten im Sinne von Art. 3 Abs. 2 erster Gedankenstrich dieser Richtlinie erfolgen, noch Verarbeitungen personenbezogener Daten, die von natürlichen Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen werden, wie in Art. 3 Abs. 2 zweiter Gedankenstrich dieser Richtlinie vorgesehen.
1.
Art. 3 Abs. 2 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist im Licht von Art. 10 Abs. 1 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass die Erhebung personenbezogener Daten, die durch Mitglieder einer Religionsgemeinschaft im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgt, und die anschließenden Verarbeitungen dieser Daten weder Verarbeitungen personenbezogener Daten darstellen, die für die Ausübung von Tätigkeiten im Sinne von Art. 3 Abs. 2 erster Gedankenstrich dieser Richtlinie erfolgen, noch Verarbeitungen personenbezogener Daten, die von natürlichen Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen werden, wie in Art. 3 Abs. 2 zweiter Gedankenstrich dieser Richtlinie vorgesehen.
2. Art. 2 Buchst. c der Richtlinie 95/46 ist dahin auszulegen, dass der in dieser Bestimmung genannte Begriff „Datei“ eine Sammlung personenbezogener Daten, die im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erhoben wurden und zu denen Namen und Adressen sowie weitere Informationen über die aufgesuchten Personen gehören, umfasst, sofern diese Daten nach bestimmten Kriterien so strukturiert sind, dass sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind. Um unter diesen Begriff zu fallen, muss eine solche Sammlung nicht aus spezifischen Kartotheken oder Verzeichnissen oder anderen der Recherche dienenden Ordnungssystemen bestehen.
2.
Art. 2 Buchst. c der Richtlinie 95/46 ist dahin auszulegen, dass der in dieser Bestimmung genannte Begriff „Datei“ eine Sammlung personenbezogener Daten, die im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erhoben wurden und zu denen Namen und Adressen sowie weitere Informationen über die aufgesuchten Personen gehören, umfasst, sofern diese Daten nach bestimmten Kriterien so strukturiert sind, dass sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind. Um unter diesen Begriff zu fallen, muss eine solche Sammlung nicht aus spezifischen Kartotheken oder Verzeichnissen oder anderen der Recherche dienenden Ordnungssystemen bestehen.
3. Art. 2 Buchst. d der Richtlinie 95/46 ist im Licht von Art. 10 Abs. 1 der Charta der Grundrechte dahin auszulegen, dass eine Religionsgemeinschaft gemeinsam mit ihren als Verkündiger tätigen Mitgliedern als Verantwortliche für die Verarbeitungen personenbezogener Daten angesehen werden kann, die durch diese Mitglieder im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgen, die von dieser Gemeinschaft organisiert und koordiniert wird und zu der sie ermuntert, ohne dass es hierfür erforderlich wäre, dass die Gemeinschaft Zugriff auf diese Daten hat oder ihren Mitgliedern nachweislich schriftliche Anleitungen oder Anweisungen zu diesen Datenverarbeitungen gegeben hat.
3.
Art. 2 Buchst. d der Richtlinie 95/46 ist im Licht von Art. 10 Abs. 1 der Charta der Grundrechte dahin auszulegen, dass eine Religionsgemeinschaft gemeinsam mit ihren als Verkündiger tätigen Mitgliedern als Verantwortliche für die Verarbeitungen personenbezogener Daten angesehen werden kann, die durch diese Mitglieder im Rahmen einer Verkündigungstätigkeit von Tür zu Tür erfolgen, die von dieser Gemeinschaft organisiert und koordiniert wird und zu der sie ermuntert, ohne dass es hierfür erforderlich wäre, dass die Gemeinschaft Zugriff auf diese Daten hat oder ihren Mitgliedern nachweislich schriftliche Anleitungen oder Anweisungen zu diesen Datenverarbeitungen gegeben hat.
Unterschriften
( *1 ) Verfahrenssprache: Finnisch.

Tatbestand:

Entscheidungsgründe:

Rechtsmittelbelehrung:

Zitierte Normen: Art. 267 AEUV
Art. 17 AEUV