Verbundene Rechtssachen C‑468/10 und C‑469/10
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
und
Federación de Comercio Electrónico y Marketing Directo (FECEMD)
gegen
Administración del Estado
(Vorabentscheidungsersuchen des Tribunal Supremo)
„Verarbeitung personenbezogener Daten – Richtlinie 95/46/EG – Art. 7 Buchst. f – Unmittelbare Wirkung“
Leitsätze des Urteils
1. Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Vollständige Harmonisierung – Abschließende Liste der Fälle rechtmäßiger Verarbeitung personenbezogener Daten
(Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 7)
2. Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Rechtmäßigkeitsvoraussetzungen für die Verarbeitung personenbezogener Daten
(Charta der Grundrechte der Europäischen Union, Art. 7 und 8; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 5 und 7 Buchst. f)
3. Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Gestaltungsspielraum der Mitgliedstaaten – Umfang
(Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 5)
4. Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46 – Rechtmäßigkeitsvoraussetzungen für die Verarbeitung personenbezogener Daten
(Charta der Grundrechte der Europäischen Union, Art. 7 und 8; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 7 Buchst. f)
5. Grundrechte – Achtung des Privatlebens – Schutz personenbezogener Daten – Aufgrund der Charta der Grundrechte der Europäischen Union in Kauf genommene Beschränkungen
(Charta der Grundrechte der Europäischen Union, Art. 7, 8 und 52 Abs. 1)
6. Handlungen der Organe – Richtlinien – Unmittelbare Wirkung – Voraussetzungen
(Art. 249, Abs. 3 EG; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 7 Buchst. f)
1. Die mit der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr angestrebte Harmonisierung der nationalen Rechtsvorschriften ist nicht auf eine Mindestharmonisierung beschränkt, sondern führt zu einer grundsätzlich umfassenden Harmonisierung. Im Hinblick darauf will diese Richtlinie den freien Verkehr personenbezogener Daten sicherstellen, wobei sie zugleich ein hohes Niveau des Schutzes der Rechte und Interessen der von diesen Daten betroffenen Personen gewährleistet. Daher ergibt sich aus diesem Ziel, dass Art. 7 dieser Richtlinie eine erschöpfende und abschließende Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Folglich dürfen die Mitgliedstaaten weder neue Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten neben Art. 7 dieser Richtlinie einführen, noch zusätzliche Bedingungen stellen, die die Tragweite eines der in diesem Artikel vorgesehenen Grundsätze verändern würden.
Diese Auslegung wird nicht durch die Möglichkeit der Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 in Frage gestellt, die Voraussetzungen näher zu bestimmen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist. Folglich dürfen die Mitgliedstaaten innerhalb des Ermessensspielraums, über den sie nach Art. 5 der Richtlinie 95/46 verfügen, keine anderen Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten als die in Art. 7 dieser Richtlinie aufgezählten Grundsätze einführen, und auch nicht durch zusätzliche Bedingungen die Tragweite der in diesem Art. 7 vorgesehenen Grundsätze verändern.
(vgl. Randnrn. 29-30, 32-33, 35-36)
2. Art. 7 Buchst. f der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist dahin auszulegen, dass er einer nationalen Regelung entgegensteht, die für die Verarbeitung personenbezogener Daten, die zur Verwirklichung eines berechtigten Interesses, das von dem für diese Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen diese Daten übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur verlangt, dass deren Grundrechte und Grundfreiheiten nicht verletzt werden, sondern auch, dass diese Daten in öffentlich zugänglichen Quellen enthalten sind, und damit kategorisch und verallgemeinernd jede Verarbeitung von Daten ausschließt, die nicht in solchen Quellen enthalten sind.
Denn zum einen ergibt sich aus dem Ziel dieser Richtlinie, ein gleichwertiges Schutzniveau in allen Mitgliedstaaten sicherzustellen, dass ihr Art. 7 eine erschöpfende und abschließende Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Die Mitgliedstaaten dürfen daher weder neue Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten einführen, noch zusätzliche Bedingungen stellen, die die Tragweite eines der in diesem Art. 7 vorgesehenen Grundsätze verändern würden. Außerdem dürfen die Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 auch keine anderen Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten als die in Art. 7 aufgezählten Grundsätze einführen, und auch nicht durch zusätzliche Bedingungen die Tragweite der in diesem Art. 7 vorgesehenen Grundsätze verändern.
Andererseits können die Mitgliedstaaten für die nach Art. 7 Buchst. f dieser Richtlinie erforderliche Abwägung der einander gegenüberstehenden Rechte und Interessen Leitlinien aufstellen. Sie können auch berücksichtigen, dass die Grundrechte der betroffenen Person durch diese Datenverarbeitung unterschiedlich stark beeinträchtigt sein können, je nachdem, ob die in Rede stehenden Daten bereits in öffentlich zugänglichen Quellen enthalten sind oder nicht. In letzterem Fall wird die Beeinträchtigung schwerer wiegen.
Es handelt sich jedoch nicht bloß um eine nähere Bestimmung, sondern um eine nach Art. 7 Buchst. f verbotene zusätzliche Bedingung, wenn eine nationale Regelung die Verarbeitung bestimmter Kategorien personenbezogener Daten ausschließt, indem sie für diese Kategorien das Ergebnis der Abwägung der einander gegenüberstehenden Rechte und Interessen abschließend vorschreibt, ohne Raum für ein Ergebnis zu lassen, das aufgrund besonderer Umstände des Einzelfalls anders ausfällt.
(vgl. Randnrn. 29-30, 32, 36, 44-49, Tenor 1)
3. Die Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr enthält Vorschriften, die durch eine gewisse Flexibilität gekennzeichnet sind, und überlässt es in vielen Fällen den Mitgliedstaaten, die Einzelheiten zu regeln oder zwischen Optionen zu wählen. Es ist somit wichtig, zwischen nationalen Maßnahmen, die zusätzliche Bedingungen vorsehen, mit denen die Tragweite eines in Art. 7 dieser Richtlinie enthaltenen Grundsatzes verändert wird, einerseits und nationalen Maßnahmen, die nur einen dieser Grundsätze näher bestimmen, andererseits zu unterscheiden. Die zuerst genannte Art von nationalen Maßnahmen ist verboten. Nur im Rahmen der zweiten Art von nationalen Maßnahmen verfügen die Mitgliedstaaten nach Art. 5 der Richtlinie über einen Ermessensspielraum.
(vgl. Randnr. 35)
4. Art. 7 Buchst. f der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sieht zwei kumulative Voraussetzungen vor, damit eine Verarbeitung personenbezogener Daten rechtmäßig ist, nämlich zum einen, dass die Verarbeitung personenbezogener Daten zur Verwirklichung des berechtigten Interesses erforderlich ist, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, und zum anderen, dass nicht die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Die zweite dieser Voraussetzungen erfordert eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, die grundsätzlich von den konkreten Umständen des betreffenden Einzelfalls abhängt und in deren Rahmen die Person oder die Einrichtung, die die Abwägung vornimmt, die Bedeutung der Rechte der betroffenen Person, die sich aus den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union ergeben, zu berücksichtigen hat.
(vgl. Randnrn. 38, 40)
5. Die in den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union anerkannte Achtung des Privatlebens hinsichtlich der Verarbeitung personenbezogener Daten erstreckt sich auf jede Information, die eine bestimmte oder bestimmbare natürliche Person betrifft. Allerdings geht aus den Art. 8 Abs. 2 und 52 Abs. 1 der Charta hervor, dass dieses Recht unter bestimmten Voraussetzungen Beschränkungen unterworfen werden kann.
(vgl. Randnr. 42)
6. Der Einzelne kann sich in all den Fällen, in denen die Bestimmungen einer Richtlinie inhaltlich unbedingt und hinreichend genau sind, vor den nationalen Gerichten gegenüber dem Staat auf diese Bestimmungen berufen, wenn der Staat die Richtlinie nicht fristgemäß oder unzulänglich in nationales Recht umgesetzt hat. Das ist bei Art. 7 Buchst. f der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr der Fall. Auch wenn diese Richtlinie den Mitgliedstaaten ein mehr oder weniger großes Ermessen bei der Umsetzung einiger ihrer Bestimmungen einräumt, begründet Art. 7 Buchst. f eine unbedingte Verpflichtung.
(vgl. Randnrn. 51-52, 55, Tenor 2)
URTEIL DES GERICHTSHOFS (Dritte Kammer)
24. November 2011(*)
„Verarbeitung personenbezogener Daten – Richtlinie 95/46/EG – Art. 7 Buchst. f – Unmittelbare Wirkung“
In den verbundenen Rechtssachen C‑468/10 und C‑469/10
betreffend Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Tribunal Supremo (Spanien) mit Entscheidungen vom 15. Juli 2010, beim Gerichtshof eingegangen am 28. September 2010, in den Verfahren
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),
Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)
gegen
Administración del Estado,
Beteiligte:
Unión General de Trabajadores (UGT) (C‑468/10 und C‑469/10),
Telefónica de España SAU (C‑468/10),
France Telecom España SA (C‑468/10 und C‑469/10),
Telefónica Móviles de España SAU (C‑469/10),
Vodafone España SA (C‑469/10),
Asociación de Usuarios de la Comunicación (C‑469/10),
erlässt
DER GERICHTSHOF (Dritte Kammer)
unter Mitwirkung des Kammerpräsidenten K. Lenaerts (Berichterstatter), der Richterin R. Silva de Lapuerta sowie der Richter E. Juhász, T. von Danwitz und D. Šváby,
Generalanwalt: P. Mengozzi,
Kanzler: M. Ferreira, Hauptverwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 15. September 2011,
unter Berücksichtigung der Erklärungen
– der Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), vertreten durch C. Alonso Martínez und A. Creus Carreras, abogados,
– der Federación de Comercio Electrónico y Marketing Directo (FECEMD), vertreten durch R. García del Poyo Vizcaya und M. Á. Serrano Pérez, abogados,
– der spanischen Regierung, vertreten durch M. Muñoz Pérez als Bevollmächtigten,
– der Europäischen Kommission, vertreten durch I. Martínez del Peral und B. Martenczuk als Bevollmächtigte,
aufgrund des nach Anhörung des Generalanwalts ergangenen Beschlusses, ohne Schlussanträge über die Rechtssache zu entscheiden,
folgendes
Urteil
1 Die Vorabentscheidungsersuchen betreffen die Auslegung von Art. 7 Buchst. f der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281, S. 31).
2 Diese Ersuchen ergehen im Rahmen von Rechtsstreitigkeiten zwischen der Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) und der Federación de Comercio Electrónico y Marketing Directo (FECEMD) auf der einen und der Administración del Estado auf der anderen Seite.
Rechtlicher Rahmen
Unionsrecht
Richtlinie 95/46
3 Die Erwägungsgründe 7, 8 und 10 der Richtlinie 95/46 lauten:
„(7) Das unterschiedliche Niveau des Schutzes der Rechte und Freiheiten von Personen, insbesondere der Privatsphäre, bei der Verarbeitung personenbezogener Daten in den Mitgliedstaaten kann die Übermittlung dieser Daten aus dem Gebiet eines Mitgliedstaats in das Gebiet eines anderen Mitgliedstaats verhindern. Dieses unterschiedliche Schutzniveau kann somit ein Hemmnis für die Ausübung einer Reihe von Wirtschaftstätigkeiten auf Gemeinschaftsebene darstellen, den Wettbewerb verfälschen und die Erfüllung des Auftrags der im Anwendungsbereich des Gemeinschaftsrechts tätigen Behörden verhindern. Dieses unterschiedliche Schutzniveau ergibt sich aus der Verschiedenartigkeit der einzelstaatlichen Rechts- und Verwaltungsvorschriften.
(8) Zur Beseitigung der Hemmnisse für den Verkehr personenbezogener Daten ist ein gleichwertiges Schutzniveau hinsichtlich der Rechte und Freiheiten von Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten unerlässlich. Insbesondere unter Berücksichtigung der großen Unterschiede, die gegenwärtig zwischen den einschlägigen einzelstaatlichen Rechtsvorschriften bestehen, und der Notwendigkeit, die Rechtsvorschriften der Mitgliedstaaten zu koordinieren, damit der grenzüberschreitende Fluss personenbezogener Daten kohärent und in Übereinstimmung mit dem Ziel des Binnenmarktes … geregelt wird, lässt sich dieses für den Binnenmarkt grundlegende Ziel nicht allein durch das Vorgehen der Mitgliedstaaten verwirklichen. Deshalb ist eine Maßnahme der Gemeinschaft zur Angleichung der Rechtsvorschriften erforderlich.
…
(10) Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der Achtung der Grundrechte und -freiheiten, insbesondere des auch in Artikel 8 der [am 4. November 1950 in Rom unterzeichneten] Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten [im Folgenden: EMRK] und in den allgemeinen Grundsätzen des Gemeinschaftsrechts anerkannten Rechts auf die Privatsphäre. Die Angleichung dieser Rechtsvorschriften darf deshalb nicht zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen, sondern muss im Gegenteil darauf abzielen, in der Gemeinschaft ein hohes Schutzniveau sicherzustellen.“
4 Art. 1 („Gegenstand der Richtlinie“) lautet:
„(1) Die Mitgliedstaaten gewährleisten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.
(2) Die Mitgliedstaaten beschränken oder untersagen nicht den freien Verkehr personenbezogener Daten zwischen Mitgliedstaaten aus Gründen des gemäß Absatz 1 gewährleisteten Schutzes.“
5 Art. 5 der Richtlinie lautet:
„Die Mitgliedstaaten bestimmen nach Maßgabe dieses Kapitels die Voraussetzungen näher, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist.“
6 Art. 7 der Richtlinie 95/46 bestimmt:
„Die Mitgliedstaaten sehen vor, dass die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist:
a) Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben;
oder
…
f) die Verarbeitung ist erforderlich zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person, die gemäß Artikel 1 Absatz 1 geschützt sind, [überwiegen].“
7 Art. 13 Abs. 1 der Richtlinie bestimmt:
Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Pflichten und Rechte gemäß Artikel 6 Absatz 1, Artikel 10, Artikel 11 Absatz 1, Artikel 12 und Artikel 21 beschränken, sofern eine solche Beschränkung notwendig ist für
a) die Sicherheit des Staates;
b) die Landesverteidigung;
c) die öffentliche Sicherheit;
d) die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder Verstößen gegen die berufsständischen Regeln bei reglementierten Berufen;
e) ein wichtiges wirtschaftliches oder finanzielles Interesse eines Mitgliedstaats oder der Europäischen Union einschließlich Währungs-, Haushalts- und Steuerangelegenheiten;
f) Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben c), d) und e) genannten Zwecke verbunden sind;
g) den Schutz der betroffenen Person und der Rechte und Freiheiten anderer Personen.“
Nationales Recht
Ley Orgánica 15/1999
8 Die Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal (Ley Orgánica vom 13. Dezember 1999 zum Schutz personenbezogener Daten) (BOE Nr. 298 vom 14. Dezember 1999, S. 43088) setzt die Richtlinie 95/46 in spanisches Recht um.
9 Art. 3 Buchst. j der Ley Orgánica 15/1999 zählt die „öffentlich zugänglichen Quellen“ in einer erschöpfenden und abschließenden Liste wie folgt auf:
„… Dateien, die jedermann offenstehen, ohne dass ihrer Einsicht eine einschränkende Vorschrift entgegensteht bzw. ohne dass sie von einer weiteren Voraussetzung als gegebenenfalls der Zahlung einer Gegenleistung abhängig gemacht wird. Öffentlich zugängliche Quellen sind ausschließlich das Wählerverzeichnis, Telefonverzeichnisse nach Maßgabe der für sie geltenden besonderen Vorschriften und Listen von Personen, die Berufsgruppen angehören und ausschließlich Angaben zu Namen, Titel, Beruf, Tätigkeit, akademischem Grad, die Anschrift und einen Hinweis auf die Zugehörigkeit zur Gruppe enthalten. Öffentlich zugängliche Quellen sind auch Amts- und Gesetzblätter sowie die Medien.“
10 Art. 6 Abs. 1 der Ley Orgánica 15/1999 macht die Datenverarbeitung von der unzweifelhaften Einwilligung der betroffenen Person abhängig, sofern nicht das Gesetz etwas anderes bestimmt. So sieht Art. 6 Abs. 2 a. E. dieses Gesetzes vor, dass die Einwilligung u. a. nicht erforderlich ist, „wenn die Daten in öffentlich zugänglichen Quellen enthalten sind und ihre Verarbeitung zur Verwirklichung des berechtigten Interesses erforderlich ist, das von dem für die Datei Verantwortlichen oder dem Dritten wahrgenommen wird, dem die Daten übermittelt werden, sofern nicht die Grundrechte und Grundfreiheiten der betroffenen Person verletzt werden“.
11 In Art. 11 Abs. 1 der Ley Orgánica 15/1999 wird die Notwendigkeit der Einwilligung der betroffenen Person zur Übermittlung personenbezogener Daten an Dritte nochmals betont; gemäß Abs. 2 dieses Artikels ist diese Einwilligung jedoch u. a. dann nicht erforderlich, wenn es sich um Daten handelt, die in öffentlich zugänglichen Quellen enthalten sind.
Real Decreto 1720/2007
12 Die spanische Regierung führte die Ley Orgánica 15/1999 mit dem Real Decreto 1720/2007 (BOE Nr. 17 vom 19. Januar 2008, S. 4103) durch.
13 Art. 10 Abs. 1 des Real Decreto 1720/2007 gestattet die Verarbeitung und Weitergabe personenbezogener Daten, wenn die betroffene Person zuvor einwilligt.
14 Jedoch bestimmt Art. 10 Abs. 2 des Real Decreto 1720/2007:
„… die Verarbeitung und Weitergabe personenbezogener Daten [ist] ohne Einwilligung der betroffenen Person möglich, wenn
a) es eine Vorschrift mit Gesetzesrang oder eine Bestimmung des Gemeinschaftsrechts gestattet, und insbesondere, wenn eine der nachstehenden Voraussetzungen vorliegt:
– Die Verarbeitung oder Weitergabe dient der Verwirklichung eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder dem Empfänger der Daten wahrgenommen wird, das durch diese Bestimmungen geschützt wird, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Personen im Sinne des Art. 1 der Ley Orgánica 15/1999 vom 13. Dezember 1999 überwiegen;
– die Verarbeitung oder Weitergabe der Daten ist erforderlich, damit der für die Verarbeitung Verantwortliche einer ihm aufgrund einer dieser Bestimmungen obliegenden Verpflichtung nachkommen kann;
b) die Daten, die der Verarbeitung oder Weitergabe unterliegen, in öffentlich zugänglichen Quellen enthalten sind und der für die Datei Verantwortliche oder der Dritte, an den die Daten übermittelt werden, ein berechtigtes Interesse an ihrer Verarbeitung oder ihrer Kenntnis haben, sofern nicht die Grundrechte und Grundfreiheiten der betroffenen Person verletzt werden.
Die Verwaltungsbehörden können jedoch auf der Grundlage dieses Absatzes Daten, die anhand von öffentlich zugänglichen Quellen erhoben wurden, nur dann an für private Dateien Verantwortliche übermitteln, wenn sie hierzu durch eine Vorschrift mit Gesetzesrang ermächtigt sind.“
Ausgangsverfahren und Vorlagefragen
15 Die ASNEF wie die FECEMD erhoben eine verwaltungsgerichtliche Klage gegen mehrere Artikel des Real Decreto 1720/2007.
16 Zu den angefochtenen Bestimmungen zählt Art. 10 Abs. 2 Buchst. a erster Gedankenstrich und Buchst. b Unterabs. 1 des Real Decreto, der nach Ansicht der ASNEF und der FECEMD gegen Art. 7 Buchst. f der Richtlinie 95/46 verstößt.
17 Die ASNEF und die FECEMD meinen insbesondere, dass im spanischen Recht zur Voraussetzung des berechtigten Interesses an der Verarbeitung von Daten ohne Einwilligung der betroffenen Person eine Voraussetzung hinzugefügt werde, die in der Richtlinie 95/46 nicht vorgesehen sei, nämlich dass die Daten in öffentlich zugänglichen Quellen enthalten sind.
18 Nach Auffassung des Tribunal Supremo hängt die Begründetheit der jeweils von der ASNEF und der FECEMD erhobenen Klagen weitgehend von der Auslegung des Art. 7 Buchst. f der Richtlinie 95/46 durch den Gerichtshof ab. Käme der Gerichtshof zu dem Ergebnis, dass die Mitgliedstaaten neben den in dieser Bestimmung vorgesehenen keine zusätzlichen Voraussetzungen einführen dürften und dieser Bestimmung unmittelbare Wirkung zukomme, dürfte Art. 10 Abs. 2 Buchst. b des Real Decreto 1720/2007 nicht angewendet werden.
19 Das Tribunal Supremo erläutert, dass das spanische Recht für die Verarbeitung personenbezogener Daten, die zur Verwirklichung eines berechtigten Interesses erforderlich sei, das von dem für diese Verarbeitung Verantwortlichen oder dem bzw. den Dritten, wahrgenommen werde, denen diese Daten übermittelt würden, bei Fehlen der Einwilligung der betroffenen Person nicht nur verlange, dass deren Grundrechte und Grundfreiheiten nicht verletzt würden, sondern auch, dass diese Daten in den in Art. 3 Buchst. j der Ley Orgánica 15/1999 aufgelisteten Dateien enthalten seien. Dabei werde der Anwendungsbereich von Art. 7 Buchst. f der Richtlinie 95/46 durch dieses Gesetz und das Real Decreto 1720/2007 eingeschränkt.
20 Nach Auffassung des Tribunal Supremo stellt diese Beschränkung ein Hindernis für den freien Verkehr personenbezogener Daten dar, das mit der Richtlinie 95/46 nur dann vereinbar sei, wenn es im Interesse der Grundrechte und Grundfreiheiten der betroffenen Person erforderlich sei. Daher bestehe die einzige Möglichkeit, einen Widerspruch zwischen dieser Richtlinie und dem spanischen Recht zu verhindern, darin, davon auszugehen, dass der freie Verkehr personenbezogener Daten, die in anderen als den in Art. 3 Buchst. j der Ley Orgánica 15/1999 aufgeführten Dateien enthalten seien, das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person beeinträchtige.
21 Das Tribunal Supremo stellt sich jedoch die Frage, ob eine solche Auslegung dem Willen des Unionsgesetzgebers entspricht.
22 Vor diesem Hintergrund ist das Tribunal Supremo der Auffassung, dass die Entscheidung der beiden bei ihm anhängigen Rechtssachen von der Auslegung unionsrechtlicher Vorschriften abhängt, und hat daher beschlossen, die Verfahren auszusetzen und dem Gerichtshof die folgenden Fragen, die in beiden Rechtssachen wörtlich übereinstimmen, zur Vorabentscheidung vorzulegen:
1. Ist Art. 7 Buchst. f der Richtlinie 95/46 dahin auszulegen, dass er einer nationalen Regelung entgegensteht, wonach für die Verarbeitung personenbezogener Daten, die zur Verwirklichung eines berechtigten Interesses des Verantwortlichen oder Dritter, denen sie übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur Voraussetzung ist, dass die Grundrechte und Grundfreiheiten der betroffenen Person nicht verletzt werden, sondern auch, dass die Daten in öffentlich zugänglichen Quellen enthalten sind?
2. Erfüllt Art. 7 Buchst. f die nach der Rechtsprechung des Gerichtshofs erforderlichen Voraussetzungen, um ihm unmittelbare Wirkung zuzuerkennen?
23 Mit Beschluss des Präsidenten des Gerichtshofs vom 26. Oktober 2010 sind die Rechtssachen C‑468/10 und C‑469/10 zu gemeinsamem schriftlichen und mündlichen Verfahren sowie zu gemeinsamer Entscheidung verbunden worden.
Zu den Vorlagefragen
Zur ersten Vorlagefrage
24 Mit seiner ersten Frage möchte das vorlegende Gericht wissen, ob Art. 7 Buchst. f der Richtlinie 95/46 dahin auszulegen ist, dass er einer nationalen Regelung entgegensteht, die für die Verarbeitung personenbezogener Daten, die zur Verwirklichung des berechtigten Interesses, das von dem für diese Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen diese Daten übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur verlangt, dass deren Grundrechte und Grundfreiheiten nicht verletzt werden, sondern auch, dass diese Daten in öffentlich zugänglichen Quellen enthalten sind.
25 Art. 1 der Richtlinie 95/46 verpflichtet die Mitgliedstaaten, den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. in diesem Sinne Urteil vom 16. Dezember 2008, Huber, C‑524/06, Slg. 2008, I‑9705, Randnr. 47).
26 Gemäß den Bestimmungen des Kapitels II („Allgemeine Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten“) der Richtlinie 95/46 muss jede Verarbeitung personenbezogener Daten – vorbehaltlich der in Art. 13 zugelassenen Ausnahmen – den in Art. 6 der Richtlinie aufgestellten Grundsätzen in Bezug auf die Qualität der Daten und einem der sechs in Art. 7 der Richtlinie aufgeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (vgl. in diesem Sinne Urteil vom 20. Mai 2003, Österreichischer Rundfunk u. a., C‑465/00, C‑138/01 und C‑139/01, Slg. 2003, I‑4989, Randnr. 65, sowie Urteil Huber, Randnr. 48).
27 Aus dem siebten Erwägungsgrund der Richtlinie 95/46 ergibt sich, dass die Errichtung und das Funktionieren des Binnenmarkts durch die in den nationalen Regelungen über die Verarbeitung personenbezogener Daten bestehenden Unterschiede in schwerwiegender Weise beeinträchtigt werden können (vgl. Urteil vom 6. November 2003, Lindqvist, C‑101/01, Slg. 2003, I‑12971, Randnr. 79).
28 In diesem Zusammenhang ist darauf hinzuweisen, dass die Richtlinie 95/46, wie sich insbesondere aus ihrem achten Erwägungsgrund ergibt, bezweckt, in allen Mitgliedstaaten ein gleichwertiges Schutzniveau hinsichtlich der Rechte und Freiheiten von Personen bei der Verarbeitung personenbezogener Daten herzustellen. Der zehnte Erwägungsgrund der Richtlinie ergänzt, dass die Angleichung der nationalen Rechtsvorschriften in dem entsprechenden Bereich nicht zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen darf, sondern im Gegenteil darauf abzielen muss, in der Union ein hohes Schutzniveau sicherzustellen (vgl. in diesem Sinne Urteile Lindqvist, Randnr. 95, und Huber, Randnr. 50).
29 So wurde entschieden, dass die Harmonisierung dieser nationalen Rechtsvorschriften nicht auf eine Mindestharmonisierung beschränkt ist, sondern zu einer grundsätzlich umfassenden Harmonisierung führt. Im Hinblick darauf will die Richtlinie 95/46 den freien Verkehr personenbezogener Daten sicherstellen, wobei sie zugleich ein hohes Niveau des Schutzes der Rechte und Interessen der von diesen Daten betroffenen Personen gewährleistet (vgl. Urteil Lindqvist, Randnr. 96).
30 Daher ergibt sich aus dem Ziel, ein gleichwertiges Schutzniveau in allen Mitgliedstaaten sicherzustellen, dass Art. 7 der Richtlinie 95/46 eine erschöpfende und abschließende Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann.
31 Diese Auslegung wird durch die Formulierung „lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfüllt ist“ in Art. 7 der Richtlinie 95/46 bestätigt, die den erschöpfenden und abschließenden Charakter der in diesem Artikel enthaltenen Liste unterstreicht.
32 Folglich dürfen die Mitgliedstaaten weder neue Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten neben Art. 7 der Richtlinie 95/46 einführen, noch zusätzliche Bedingungen stellen, die die Tragweite eines der sechs in diesem Artikel vorgesehenen Grundsätze verändern würden.
33 Die vorstehende Auslegung wird auch durch Art. 5 der Richtlinie 95/46 nicht in Frage gestellt. Dieser Artikel erlaubt nämlich den Mitgliedstaaten lediglich, nach Maßgabe des Kapitels II und damit des Art. 7 dieser Richtlinie die Voraussetzungen näher zu bestimmen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist.
34 Von dem Ermessen, über das die Mitgliedstaaten nach diesem Art. 5 verfügen, kann also nur im Einklang mit dem von der Richtlinie 95/46 verfolgten Ziel Gebrauch gemacht werden, ein Gleichgewicht zwischen dem freien Verkehr personenbezogener Daten und dem Schutz der Privatsphäre zu wahren (vgl. Urteil Lindqvist, Randnr. 97).
35 Die Richtlinie 95/46 enthält Vorschriften, die durch eine gewisse Flexibilität gekennzeichnet sind, und überlässt es in vielen Fällen den Mitgliedstaaten, die Einzelheiten zu regeln oder zwischen Optionen zu wählen (vgl. Urteil Lindqvist, Randnr. 83). Es ist somit wichtig, zwischen nationalen Maßnahmen, die zusätzliche Bedingungen vorsehen, mit denen die Tragweite eines in Art. 7 der Richtlinie 95/46 enthaltenen Grundsatzes verändert wird, einerseits und nationalen Maßnahmen, die nur einen dieser Grundsätze näher bestimmen, andererseits zu unterscheiden. Die zuerst genannte Art von nationalen Maßnahmen ist verboten. Nur im Rahmen der zweiten Art von nationalen Maßnahmen verfügen die Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 über einen Ermessensspielraum.
36 Folglich dürfen die Mitgliedstaaten nach Art. 5 der Richtlinie 95/46 auch keine anderen Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten als die in Art. 7 dieser Richtlinie aufgezählten Grundsätze einführen und auch nicht durch zusätzliche Bedingungen die Tragweite der sechs in diesem Art. 7 vorgesehenen Grundsätze verändern.
37 Im vorliegenden Fall sieht Art. 7 Buchst. f der Richtlinie 95/46 vor, dass die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie „erforderlich [ist] zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person, die gemäß Artikel 1 Absatz 1 geschützt sind, [überwiegen]“.
38 Dieser Art. 7 Buchst. f sieht zwei kumulative Voraussetzungen vor, damit eine Verarbeitung personenbezogener Daten rechtmäßig ist, nämlich zum einen, dass die Verarbeitung personenbezogener Daten zur Verwirklichung des berechtigten Interesses erforderlich ist, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, und zum anderen, dass nicht die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.
39 Demnach steht Art. 7 Buchst. f der Richtlinie 95/46 hinsichtlich der Verarbeitung personenbezogener Daten jeder nationalen Regelung entgegen, die bei Fehlen der Einwilligung der betroffenen Person neben den beiden in der vorstehenden Randnummer genannten kumulativen Voraussetzungen zusätzliche Erfordernisse aufstellt.
40 Jedoch ist zu berücksichtigen, dass die zweite dieser Voraussetzungen eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen erfordert, die grundsätzlich von den konkreten Umständen des betreffenden Einzelfalls abhängt und in deren Rahmen die Person oder die Einrichtung, die die Abwägung vornimmt, die Bedeutung der Rechte der betroffenen Person, die sich aus den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) ergeben, zu berücksichtigen hat.
41 Gemäß Art. 8 Abs. 1 der Charta hat „[j]ede Person … das Recht auf Schutz der sie betreffenden personenbezogenen Daten“. Dieses Grundrecht steht in engem Zusammenhang mit dem in Art. 7 der Charta verankerten Recht auf Achtung des Privatlebens (Urteil vom 9. November 2010, Volker und Markus Schecke und Eifert, C‑92/09 und C‑93/09, Slg. 2010, I‑0000, Randnr. 47).
42 Nach der Rechtsprechung des Gerichtshofs erstreckt sich die in den Art. 7 und 8 der Charta anerkannte Achtung des Privatlebens hinsichtlich der Verarbeitung personenbezogener Daten auf jede Information, die eine bestimmte oder bestimmbare natürliche Person betrifft (vgl. Urteil Volker und Markus Schecke und Eifert, Randnr. 52). Allerdings geht aus den Art. 8 Abs. 2 und 52 Abs. 1 der Charta hervor, dass dieses Recht unter bestimmten Voraussetzungen Beschränkungen unterworfen werden kann.
43 Außerdem ist es Sache der Mitgliedstaaten, bei der Umsetzung der Richtlinie 95/46 darauf zu achten, dass sie sich auf eine Auslegung derselben stützen, die es ihnen erlaubt, ein angemessenes Gleichgewicht zwischen den verschiedenen durch die Unionsrechtsordnung geschützten Grundrechten und Grundfreiheiten sicherzustellen (vgl. entsprechend Urteil vom 29. Januar 2008, Promusicae, C‑275/06, Slg. 2008, I‑271, Randnr. 68).
44 Bei der nach Art. 7 Buchst. f der Richtlinie 95/46 erforderlichen Abwägung kann berücksichtigt werden, dass die Grundrechte der betroffenen Person durch diese Datenverarbeitung unterschiedlich stark beeinträchtigt sein können, je nachdem, ob die in Rede stehenden Daten bereits in öffentlich zugänglichen Quellen enthalten sind oder nicht.
45 Denn im Unterschied zur Verarbeitung von Daten, die in öffentlich zugänglichen Quellen enthalten sind, impliziert die Verarbeitung von Daten aus nicht öffentlich zugänglichen Quellen zwangsläufig, dass der für die Verarbeitung Verantwortliche und gegebenenfalls der bzw. die Dritten, denen die Daten übermittelt werden, von Informationen über die Privatsphäre der betroffenen Person Kenntnis erlangen. Diese schwerere Beeinträchtigung der in den Art. 7 und 8 der Charta verbürgten Rechte der betroffenen Person ist gebührend zu berücksichtigen, indem sie gegen das berechtigte Interesse, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, abgewogen wird.
46 Insoweit ist darauf hinzuweisen, dass nichts dagegen spricht, dass die Mitgliedstaaten in der Ausübung ihres Ermessens nach Art. 5 der Richtlinie 95/46 Leitlinien für diese Abwägung aufstellen.
47 Es handelt sich jedoch nicht mehr um eine nähere Bestimmung im Sinne dieses Art. 5, wenn eine nationale Regelung die Verarbeitung bestimmter Kategorien personenbezogener Daten ausschließt, indem sie für diese Kategorien das Ergebnis der Abwägung der einander gegenüberstehenden Rechte und Interessen abschließend vorschreibt, ohne Raum für ein Ergebnis zu lassen, das aufgrund besonderer Umstände des Einzelfalls anders ausfällt.
48 Unbeschadet des Art. 8 der Richtlinie 95/46 über die Verarbeitung besonderer Kategorien personenbezogener Daten, der für den Rechtsstreit des Ausgangsverfahrens nicht einschlägig ist, verbietet daher Art. 7 Buchst. f der Richtlinie 95/46, dass ein Mitgliedstaat kategorisch und verallgemeinernd die Verarbeitung bestimmter Kategorien personenbezogener Daten ausschließt, ohne Raum für eine Abwägung der im konkreten Einzelfall einander gegenüberstehenden Rechte und Interessen zu lassen.
49 Aufgrund dieser Erwägungen ist auf die erste Vorlagefrage zu antworten, dass Art. 7 Buchst. f der Richtlinie 95/46 dahin auszulegen ist, dass er einer nationalen Regelung entgegensteht, die für die Verarbeitung personenbezogener Daten, die zur Verwirklichung des berechtigten Interesses, das von dem für diese Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen diese Daten übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur verlangt, dass deren Grundrechte und Grundfreiheiten nicht verletzt werden, sondern auch, dass diese Daten in öffentlich zugänglichen Quellen enthalten sind, und damit kategorisch und verallgemeinernd jede Verarbeitung von Daten ausschließt, die nicht in solchen Quellen enthalten sind.
Zur zweiten Vorlagefrage
50 Mit seiner zweiten Frage möchte das vorlegende Gericht wissen, ob Art. 7 Buchst. f der Richtlinie 95/46 unmittelbare Wirkung hat.
51 Insoweit ist zu beachten, dass sich nach ständiger Rechtsprechung des Gerichtshofs der Einzelne in all den Fällen, in denen die Bestimmungen einer Richtlinie inhaltlich unbedingt und hinreichend genau sind, vor den nationalen Gerichten gegenüber dem Staat auf diese Bestimmungen berufen kann, wenn der Staat die Richtlinie nicht fristgemäß oder unzulänglich in nationales Recht umgesetzt hat (vgl. Urteil vom 3. März 2011, Auto Nikolovi, C‑203/10, Slg. 2011, I‑0000, Randnr. 61 und die dort angeführte Rechtsprechung).
52 Es ist festzustellen, dass Art. 7 Buchst. f der Richtlinie 95/46 so genau ist, dass sich ein Einzelner darauf berufen und ein nationales Gericht ihn anwenden kann. Im Übrigen räumt zwar die Richtlinie 95/46 den Mitgliedstaaten unbestreitbar ein mehr oder weniger großes Ermessen bei der Umsetzung einiger ihrer Bestimmungen ein, doch begründet Art. 7 Buchst. f eine unbedingte Verpflichtung (vgl. entsprechend Urteil Österreichischer Rundfunk u. a., Randnr. 100).
53 Die Verwendung des Ausdrucks „sofern“ in Art. 7 Buchst. f der Richtlinie 95/46 reicht für sich nicht aus, um die Unbedingtheit dieser Bestimmung im Sinne dieser Rechtsprechung in Frage zu stellen.
54 Dieser Ausdruck zielt nämlich auf das Vorliegen einer der beiden in Art. 7 Buchst. f der Richtlinie 95/46 vorgesehenen kumulativen Voraussetzungen ab, von deren Einhaltung die Möglichkeit abhängt, personenbezogene Daten ohne Einwilligung der betroffenen Person zu verarbeiten. Da dieses Element festgelegt ist, nimmt es Art. 7 Buchst. f nicht seine Genauigkeit und Unbedingtheit.
55 Daher ist auf die zweite Frage zu antworten, dass Art. 7 Buchst. f der Richtlinie 95/46 unmittelbare Wirkung hat.
Kosten
56 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem bei dem vorlegenden Gericht anhängigen Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Dritte Kammer) für Recht erkannt:
1. Art. 7 Buchst. f der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist dahin auszulegen, dass er einer nationalen Regelung entgegensteht, die für die Verarbeitung personenbezogener Daten, die zur Verwirklichung eines berechtigten Interesses, das von dem für diese Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen diese Daten übermittelt werden, erforderlich ist, ohne Einwilligung der betroffenen Person nicht nur verlangt, dass deren Grundrechte und Grundfreiheiten nicht verletzt werden, sondern auch, dass diese Daten in öffentlich zugänglichen Quellen enthalten sind, und damit kategorisch und verallgemeinernd jede Verarbeitung von Daten ausschließt, die nicht in solchen Quellen enthalten sind.
2. Art. 7 Buchst. f der Richtlinie 95/46 hat unmittelbare Wirkung.
Unterschriften
* Verfahrenssprache: Spanisch.