Rechtssache C‑73/07

Tietosuojavaltuutettu

gegen

Satakunnan Markkinapörssi Oy

und

Satamedia Oy

(Vorabentscheidungsersuchen des Korkein hallinto-oikeus)

„Richtlinie 95/46/EG – Anwendungsbereich – Verarbeitung und Verkehr personenbezogener Steuerdaten – Schutz natürlicher Personen – Freiheit der Meinungsäußerung“

Leitsätze des Urteils

1.        Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46

(Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 3 Abs. 1)

2.        Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46

(Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 9)

3.        Rechtsangleichung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46

(Richtlinie 95/46 des Europäischen Parlaments und des Rates)

1.        Art. 3 Abs. 1 der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, der den Anwendungsbereich dieser Richtlinie festlegt, ist dahin auszulegen, dass eine Tätigkeit, bei der die Daten natürlicher Personen bezüglich ihres Einkommens aus Erwerbstätigkeit und Kapital und ihres Vermögens

– auf der Grundlage öffentlicher Dokumente der Steuerbehörden erfasst und zum Zweck der Veröffentlichung verarbeitet werden,

– in einem Druckerzeugnis, in alphabetischer Reihenfolge und nach Einkommenskategorien aufgeführt, in Form umfassender, nach Gemeinden geordneter Listen veröffentlicht werden,

– auf einer CD-ROM zur Verarbeitung zu kommerziellen Zwecken weitergegeben werden,

– im Rahmen eines Kurzmitteilungsdienstes verwendet werden, in dem Mobilfunkbenutzer nach Versendung einer Kurzmitteilung mit dem Namen und dem Wohnort einer bestimmten Person an eine bestimmte Nummer als Antwort Daten über das Einkommen dieser Person aus Erwerbstätigkeit und Kapital sowie über deren Vermögen erhalten können,

als „Verarbeitung personenbezogener Daten“ im Sinne dieser Vorschrift anzusehen ist.

(vgl. Randnr. 37, Tenor 1)

2.        Art. 9 der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, der das Verhältnis zwischen dem Schutz solcher Daten und der Freiheit der Meinungsäußerung regelt, ist dahin auszulegen, dass Tätigkeiten, bei denen die Daten natürlicher Personen bezüglich ihres Einkommens aus Erwerbstätigkeit und Kapital und ihres Vermögens

– auf der Grundlage öffentlicher Dokumente der Steuerbehörden erfasst und zum Zweck der Veröffentlichung verarbeitet werden,

– in einem Druckerzeugnis, in alphabetischer Reihenfolge und nach Einkommenskategorien aufgeführt, in Form umfassender, nach Gemeinden geordneter Listen veröffentlicht werden,

– auf einer CD-ROM zur Verarbeitung zu kommerziellen Zwecken weitergegeben werden,

– im Rahmen eines Kurzmitteilungsdienstes verwendet werden, in dem Mobilfunkbenutzer nach Versendung einer Kurzmitteilung mit dem Namen und dem Wohnort einer bestimmten Person an eine bestimmte Nummer als Antwort Daten über das Einkommen dieser Person aus Erwerbstätigkeit und Kapital sowie über deren Vermögen erhalten können,

als Verarbeitung personenbezogener Daten, die „allein zu journalistischen Zwecken“ im Sinne dieser Vorschrift erfolgt, anzusehen sind, wenn sie ausschließlich zum Ziel haben, Informationen, Meinungen oder Ideen, mit welchem Übertragungsmittel auch immer, in der Öffentlichkeit zu verbreiten, was zu prüfen Sache des nationalen Gerichts ist.

Jedenfalls sind diese Tätigkeiten nicht Medienunternehmen vorbehalten und können mit der Absicht verbunden sein, Gewinn zu erzielen.

(vgl. Randnrn. 61-62, Tenor 2)

3.        Die Verarbeitung personenbezogener Daten, bei der die auf der Grundlage öffentlicher Dokumente der Steuerbehörden erfassten und als solche in Medien bereits veröffentlichten Daten natürlicher Personen bezüglich ihres Einkommens aus Erwerbstätigkeit und Kapital und ihres Vermögens auf einer CD-ROM zur Verarbeitung zu kommerziellen Zwecken weitergegeben werden, fällt in den Anwendungsbereich der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Auch die Verwendung dieser Daten im Rahmen eines Kurzmitteilungsdienstes, in dem Mobilfunkbenutzer nach Versendung einer Kurzmitteilung mit dem Namen und dem Wohnort einer bestimmten Person an eine bestimmte Nummer als Antwort die betreffenden Daten erhalten können, fällt in den Anwendungsbereich dieser Richtlinie.

(vgl. Randnr. 49, Tenor 3)

URTEIL DES GERICHTSHOFS (Große Kammer)

16. Dezember 2008(*)

„Richtlinie 95/46/EG – Anwendungsbereich – Verarbeitung und Verkehr personenbezogener Steuerdaten – Schutz natürlicher Personen – Freiheit der Meinungsäußerung“

In der Rechtssache C‑73/07

betreffend ein Vorabentscheidungsersuchen nach Art. 234 EG, eingereicht vom Korkein hallinto-oikeus (Finnland) mit Entscheidung vom 8. Februar 2007, beim Gerichtshof eingegangen am 12. Februar 2007, in dem Verfahren

Tietosuojavaltuutettu

gegen

Satakunnan Markkinapörssi Oy,

Satamedia Oy

erlässt

DER GERICHTSHOF (Große Kammer)

unter Mitwirkung des Präsidenten V. Skouris, der Kammerpräsidenten P. Jann, C. W. A. Timmermans, A. Rosas, K. Lenaerts und A. Ó Caoimh sowie der Richter P. Kūris, E. Juhász, G. Arestis, A. Borg Barthet, J. Klučka, U. Lõhmus und E. Levits (Berichterstatter),

Generalanwältin: J. Kokott,

Kanzler: C. Strömholm, Verwaltungsrätin,

aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 12. Februar 2008,

unter Berücksichtigung der Erklärungen

–        der Satakunnan Markkinapörssi Oy und der Satamedia Oy, vertreten durch P. Vainio, lakimies,

–        der finnischen Regierung, vertreten durch J. Heliskoski als Bevollmächtigten,

–        der estnischen Regierung, vertreten durch L. Uibo als Bevollmächtigten,

–        der portugiesischen Regierung, vertreten durch L. I. Fernandes und C. Vieira Guerra als Bevollmächtigte,

–        der schwedischen Regierung, vertreten durch A. Falk und K. Petkovska als Bevollmächtigte,

–        der Kommission der Europäischen Gemeinschaften, vertreten durch C. Docksey und P. Aalto als Bevollmächtigte,

nach Anhörung der Schlussanträge der Generalanwältin in der Sitzung vom 8. Mai 2008

folgendes

Urteil

1        Das Vorabentscheidungsersuchen betrifft die Auslegung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281, S. 31, im Folgenden: Richtlinie).

2        Dieses Ersuchen ergeht im Rahmen eines Rechtsstreits zwischen dem Tietosuojavaltuutettu (Datenschutzbeauftragten) und der Tietosuojalautakunta (Datenschutzkommission) wegen der Verarbeitung personenbezogener Daten durch die Gesellschaften Satakunnan Markkinapörssi Oy (im Folgenden: Markkinapörssi) und Satamedia Oy (im Folgenden: Satamedia).

 Rechtlicher Rahmen

 Gemeinschaftsrecht

3        Wie sich aus ihrem Art. 1 Abs. 1 ergibt, bezweckt die Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.

4        Art. 1 Abs. 2 der Richtlinie bestimmt:

„Die Mitgliedstaaten beschränken oder untersagen nicht den freien Verkehr personenbezogener Daten zwischen Mitgliedstaaten aus Gründen des gemäß Absatz 1 gewährleisteten Schutzes.“

5        Der mit „Begriffsbestimmungen“ überschriebene Art. 2 der Richtlinie bestimmt:

„Im Sinne dieser Richtlinie bezeichnet der Ausdruck

a)      ‚personenbezogene Daten‘ alle Informationen über eine bestimmte oder bestimmbare natürliche Person (‚betroffene Person‘); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;

b)      ‚Verarbeitung personenbezogener Daten‘ (‚Verarbeitung‘) jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;

c)      ‚Datei mit personenbezogenen Daten‘ (‚Datei‘) jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten aufgeteilt geführt wird;

…“

6        Art. 3 der Richtlinie legt deren Anwendungsbereich wie folgt fest:

„(1) Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.

(2) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten,

–        die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich;

–        die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird.“

7        Das Verhältnis zwischen dem Schutz personenbezogener Daten und der Freiheit der Meinungsäußerung ist in Art. 9 der Richtlinie unter der Überschrift „Verarbeitung personenbezogener Daten und Meinungsfreiheit“ wie folgt geregelt:

„Die Mitgliedstaaten sehen für die Verarbeitung personenbezogener Daten, die allein zu journalistischen, künstlerischen oder literarischen Zwecken erfolgt, Abweichungen und Ausnahmen von diesem Kapitel sowie von den Kapiteln IV und VI nur insofern vor, als sich dies als notwendig erweist, um das Recht auf Privatsphäre mit den für die Freiheit der Meinungsäußerung geltenden Vorschriften in Einklang zu bringen.“

8        Hierzu ist dem 37. Erwägungsgrund der Richtlinie Folgendes zu entnehmen:

„Für die Verarbeitung personenbezogener Daten zu journalistischen, literarischen oder künstlerischen Zwecken, insbesondere im audiovisuellen Bereich, sind Ausnahmen von bestimmten Vorschriften dieser Richtlinie vorzusehen, soweit sie erforderlich sind, um die Grundrechte der Person mit der Freiheit der Meinungsäußerung und insbesondere der Freiheit, Informationen zu erhalten oder weiterzugeben, die insbesondere in Artikel 10 der Europäischen Konvention zum Schutze der Menschenrechte und der Grundfreiheiten garantiert ist, in Einklang zu bringen. Es obliegt deshalb den Mitgliedstaaten, unter Abwägung der Grundrechte Ausnahmen und Einschränkungen festzulegen, die bei den allgemeinen Maßnahmen zur Rechtmäßigkeit der Verarbeitung von Daten, bei den Maßnahmen zur Übermittlung der Daten in Drittländer sowie hinsichtlich der Zuständigkeiten der Kontrollstellen erforderlich sind, ohne dass jedoch Ausnahmen bei den Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung vorzusehen sind. Ferner sollte mindestens die in diesem Bereich zuständige Kontrollstelle bestimmte nachträgliche Zuständigkeiten erhalten, beispielsweise zur regelmäßigen Veröffentlichung eines Berichts oder zur Befassung der Justizbehörden.“

9        Der mit „Ausnahmen und Einschränkungen“ überschriebene Art. 13 der Richtlinie sieht vor:

„(1)      Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Pflichten und Rechte gemäß Artikel 6 Absatz 1, Artikel 10, Artikel 11 Absatz 1, Artikel 12 und Artikel 21 beschränken, sofern eine solche Beschränkung notwendig ist für

a)      die Sicherheit des Staates;

…“

10      Der mit „Sicherheit der Verarbeitung“ überschriebene Art. 17 der Richtlinie bestimmt:

„(1)      Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche die geeigneten technischen und organisatorischen Maßnahmen durchführen muss, die für den Schutz gegen die zufällige oder unrechtmäßige Zerstörung, den zufälligen Verlust, die unberechtigte Änderung, die unberechtigte Weitergabe oder den unberechtigten Zugang – insbesondere wenn im Rahmen der Verarbeitung Daten in einem Netz übertragen werden – und gegen jede andere Form der unrechtmäßigen Verarbeitung personenbezogener Daten erforderlich sind.

Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei ihrer Durchführung entstehenden Kosten ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.

(2)      Die Mitgliedstaaten sehen vor, dass der für die Verarbeitung Verantwortliche im Fall einer Verarbeitung in seinem Auftrag einen Auftragsverarbeiter auszuwählen hat, der hinsichtlich der für die Verarbeitung zu treffenden technischen Sicherheitsmaßnahmen und organisatorischen Vorkehrungen ausreichende Gewähr bietet; der für die Verarbeitung Verantwortliche überzeugt sich von der Einhaltung dieser Maßnahmen.

…“

 Nationales Recht

11      § 10 Abs. 1 des Grundgesetzes (Perustuslaki [731/1999]) vom 11. Juni 1999 bestimmt:

„Das Privatleben, die Ehre und der Hausfrieden eines jeden sind geschützt. Der Schutz der persönlichen Daten wird durch Gesetz näher geregelt.“

12      § 12 des Grundgesetzes sieht vor:

„Jeder hat Redefreiheit. Die Redefreiheit schließt das Recht ein, ohne vorherige Beschränkungen Informationen, Meinungen und andere Botschaften auszudrücken, zu veröffentlichen und zu empfangen. Nähere Vorschriften über die Ausübung der Redefreiheit werden durch Gesetz erlassen. …

Dokumente und andere Aufnahmen im Besitz von Behörden sind öffentlich, sofern deren Öffentlichkeit aus unerlässlichen Gründen nicht durch Gesetz besonders beschränkt worden ist. Jeder hat das Recht, aus öffentlichen Dokumenten und Aufnahmen Informationen zu entnehmen.“

13      Das Gesetz über personenbezogene Daten (Henkilötietolaki [523/1999]) vom 22. April 1999, mit dem die Richtlinie in das nationale Recht umgesetzt wird, gilt für die Verarbeitung derartiger Daten (§ 2 Abs. 1) mit Ausnahme von Personendateien, die nur in Medien veröffentlichtes Material als solches enthalten (§ 2 Abs. 4). Es gilt nur zum Teil für die Verarbeitung personenbezogener Daten zu redaktionellen, künstlerischen oder literarischen Zwecken (§ 2 Abs. 5).

14      Nach § 32 des Gesetzes über personenbezogene Daten hat der für die Dateien Verantwortliche die erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen, um die personenbezogenen Daten vor unberechtigtem Zugriff oder zufälligem Verlust oder vor zufälliger oder rechtswidriger Zerstörung, Änderung, Weitergabe, Übermittlung oder einer anderen ungesetzlichen Verarbeitung zu schützen.

15      Das Gesetz über die Öffentlichkeit der Tätigkeiten der Behörden (Laki viranomaisten toiminnan julkisuudesta [621/1999]) vom 21. Mai 1999 regelt ebenfalls den Zugang zu Informationen.

16      Nach § 1 Abs. 1 des Gesetzes sind Dokumente, die unter dieses Gesetz fallen, grundsätzlich öffentlich.

17      Nach § 9 dieses Gesetzes hat jedermann Recht auf Zugang zu Informationen, die in einem öffentlichen Dokument der Behörden enthalten sind.

18      § 16 Abs. 1 des Gesetzes regelt die Art des Zugangs zu einem solchen Dokument. Danach können die Behörden den Inhalt des Dokuments mündlich mitteilen oder dieses in ihren Räumen zur Einsichtnahme, zur Anfertigung einer Kopie oder zum Anhören aushändigen oder in Form einer Kopie oder eines Ausdrucks übergeben.

19      In § 16 Abs. 3 dieses Gesetzes sind die Voraussetzungen geregelt, unter denen personenbezogene Daten aus Dateien von Behörden weitergegeben werden können:

„Personenbezogene Daten aus einer Personendatei einer Behörde dürfen, wenn in diesem Gesetz nichts anderes bestimmt ist, in Form einer Kopie oder eines Ausdrucks oder in elektronischer Form weitergegeben werden, wenn der Empfänger gemäß den Vorschriften über den Schutz personenbezogener Daten zur Speicherung und Verarbeitung solcher Daten befugt ist. Für eine Direktvermarktung und für Meinungsforschung oder Marktuntersuchungen dürfen personenbezogene Daten jedoch nur weitergegeben werden, wenn dies besonders vorgesehen ist oder wenn der Betroffene seine Zustimmung erklärt hat.“

20      Dem vorlegenden Gericht zufolge geht das Gesetz über die Öffentlichkeit und Geheimhaltung von Steuerdaten (Laki verotustietojen julkisuudesta ja salassapidosta [1346/1999]) vom 30. Dezember 1999 dem Gesetz über personenbezogene Daten und dem Gesetz über die Öffentlichkeit der Tätigkeiten der Behörden vor.

21      Nach § 2 des Gesetzes über die Öffentlichkeit und Geheimhaltung von Steuerdaten finden die Vorschriften des Gesetzes über die Öffentlichkeit der Tätigkeiten der Behörden und des Gesetzes über personenbezogene Daten auf Steuerdokumente und -daten Anwendung, sofern gesetzlich nichts anderes bestimmt ist.

22      Art. 3 dieses Gesetzes bestimmt:

„Steuerdaten sind entsprechend den Vorschriften dieses Gesetzes öffentlich.

Jedermann hat gemäß den Bestimmungen des Gesetzes über die Öffentlichkeit der Tätigkeiten der Behörden Recht auf Zugang zu Informationen, die in einem öffentlichen Steuerdokument, das im Besitz der Steuerbehörden ist, enthalten sind, sofern sich aus diesem Gesetz nicht etwas anderes ergibt.“

23      Gemäß § 5 Abs. 1 des Gesetzes sind bei der jährlich durchzuführenden Veranlagung zur Einkommensteuer der Name des Steuerpflichtigen, sein Geburtsjahr und seine Heimatgemeinde öffentliche Steuerdaten. Ebenfalls öffentlich sind u. a. die Angaben über

„1.      das im Rahmen der staatlichen Steuer zu versteuernde Einkommen aus Erwerbstätigkeit;

2.      die im Rahmen der staatlichen Steuer zu versteuernden Kapitaleinkünfte und Vermögen;

3.      das im Rahmen der Gemeindesteuern zu versteuernde Einkommen;

4.      die Einkommensteuer, die Gemeindesteuer und der Gesamtbetrag der festgesetzten Steuern und Gebühren.

…“

24      Schließlich belegt Kapitel 24 § 8 des Strafgesetzbuchs (Rikoslaki in der Fassung des Gesetzes 531/2000) die Verbreitung von Informationen, die das Privatleben beeinträchtigen, mit Strafe. Danach wird bestraft, wer durch ein Massenmedium oder in anderer Weise eine Information, eine Andeutung oder ein Bild, die das Privatleben eines anderen betreffen, einer großen Zahl von Menschen zugänglich macht, sofern die Handlung geeignet ist, dem Verletzten einen Schaden oder eine Kränkung zuzufügen oder ihn in der allgemeinen Achtung herabzusetzen.

 Ausgangsverfahren und Vorlagefragen

25      Markkinapörssi erfasst seit vielen Jahren öffentliche Daten bei den Steuerbehörden, um diese jährlich auszugsweise in den Regionalausgaben der Zeitschrift Veropörssi zu veröffentlichen.

26      Die dort veröffentlichten Informationen umfassen Namen und Vornamen von etwa 1,2 Millionen natürlichen Personen, deren Einkommen bestimmte Schwellenwerte überschreitet, sowie auf 100 Euro genau deren Einkommen aus Kapital und Erwerbstätigkeit und Angaben zur Besteuerung ihres Vermögens. Diese Informationen werden in Gestalt einer alphabetischen Liste nach Gemeinde und Einkommenskategorie geordnet veröffentlicht.

27      Laut dem Vorlagebeschluss trägt Markkinapörssi vor, dass die in der Zeitschrift Veropörssi angegebenen personenbezogenen Daten auf Antrag kostenfrei entfernt werden können.

28      Auch wenn diese Zeitschrift Artikel, Zusammenfassungen und Anzeigen enthält, ist ihr Hauptzweck die Veröffentlichung persönlicher Steuerdaten.

29      Markkinapörssi gab die in der Zeitschrift Veropörssi veröffentlichten personenbezogenen Daten auf einer CD-ROM an Satamedia weiter, die die gleichen Anteilseigner hat, um die Daten über einen Kurzmitteilungsdienst zu verbreiten. Zu diesem Zweck schlossen die beiden Gesellschaften eine Vereinbarung mit einem Mobilfunkunternehmen, das für Rechnung von Satamedia einen Kurzmitteilungsdienst einrichtete, der es Nutzern von Mobiltelefonen ermöglicht, sich gegen Zahlung von etwa zwei Euro die in der Zeitschrift Veropörssi veröffentlichten Daten auf ihr Telefon senden zu lassen. Auf Antrag werden die personenbezogenen Daten aus diesem Dienst entfernt.

30      Der Tietosuojavaltuutettu und die Tietosuojalautakunta, die finnischen Datenschutzbehörden, wachen über die Verarbeitung personenbezogener Daten und sind zu Entscheidungen gemäß dem Gesetz über personenbezogene Daten befugt.

31      Auf Beschwerden von Privatpersonen hin, die eine Verletzung ihrer Privatsphäre rügten, ersuchte der Tietosuojavaltuutettu, der mit einer Untersuchung der Tätigkeiten von Markkinapörssi und Satamedia betraut war, am 10. März 2004 die Tietosuojalautakunta, jenen die Fortsetzung ihrer Tätigkeiten in Bezug auf die in Rede stehende Verarbeitung personenbezogener Daten zu untersagen.

32      Nachdem die Tietosuojalautakunta den Antrag des Tietosuojavaltuutettu zurückgewiesen hatte, legte dieser einen Rechtsbehelf beim Helsingin hallinto-oikeus (Verwaltungsgericht Helsinki) ein, das den Rechtsbehelf gleichfalls zurückwies. Der Tietosuojavaltuutettu legte daraufhin ein Rechtsmittel beim Korkein hallinto-oikeus ein.

33      Das vorlegende Gericht betont, dass das Rechtsmittel des Tietosuojavaltuutettu nicht die Weitergabe von Daten durch die finnischen Steuerbehörden betreffe. Es weist gleichfalls darauf hin, dass die Tatsache, dass die in Rede stehenden Steuerdaten öffentlich seien, nicht in Frage gestellt werde. Es hegt jedoch Zweifel in Bezug auf die spätere Verarbeitung dieser Daten.

34      Unter diesen Umständen hat es beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1.      Liegt eine Tätigkeit, die als „Verarbeitung personenbezogener Daten“ im Sinne von Art. 3 Abs. 1 der Richtlinie anzusehen ist, vor, wenn die Daten natürlicher Personen bezüglich ihres Einkommens aus Erwerbstätigkeit und Kapital und ihres Vermögens

a)      auf der Grundlage öffentlicher Dokumente der Steuerbehörden erfasst und zum Zweck der Veröffentlichung verarbeitet werden,

b)      in einem Druckerzeugnis, in alphabetischer Reihenfolge und nach Einkommenskategorien aufgeführt, in Form umfassender, nach Gemeinden geordneter Listen veröffentlicht werden,

c)      auf einer CD-ROM zur Verarbeitung zu kommerziellen Zwecken weitergegeben werden,

d)      im Rahmen eines Kurzmitteilungsdienstes verwendet werden, in dem Mobilfunkbenutzer nach Versendung einer Kurzmitteilung mit dem Namen und dem Wohnort einer bestimmten Person an eine bestimmte Nummer als Antwort Daten über das Einkommen dieser Person aus Erwerbstätigkeit und Kapital sowie über deren Vermögen erhalten können?

2.      Ist die Richtlinie dahin auszulegen, dass die verschiedenen vorstehend unter den Buchst. a bis d genannten Tätigkeiten als „Verarbeitung personenbezogener Daten allein zu journalistischen Zwecken“ im Sinne von Art. 9 der Richtlinie angesehen werden können, wenn berücksichtigt wird, dass Daten von mehr als einer Million von Steuerpflichtigen auf der Grundlage von Daten erhoben wurden, die nach den nationalen Rechtsvorschriften über die Öffentlichkeit öffentlich sind? Ist es für eine Beurteilung der Rechtssache von Bedeutung, dass der Hauptzweck dieser Tätigkeit die Veröffentlichung der genannten Daten ist?

3.      Ist Art. 17 der Richtlinie in Verbindung mit den Grundsätzen und Zielen der Richtlinie dahin auszulegen, dass die Veröffentlichung von Daten, die zu journalistischen Zwecken erhoben worden sind, und deren Weitergabe für eine Verarbeitung zu kommerziellen Zwecken gegen diese Vorschrift verstößt?

4.      Kann die Richtlinie so ausgelegt werden, dass diejenigen Personendateien, die nur in Medien veröffentlichtes Material als solches enthalten, überhaupt nicht in den Anwendungsbereich dieser Richtlinie fallen?

 Zu den Vorlagefragen

 Zur ersten Frage

35      Die in dieser Frage genannten Daten, die sich auf Namen und Vornamen bestimmter natürlicher Personen, deren Einkommen bestimmte Schwellenwerte überschreitet, sowie u. a. auf deren Einkommen aus Erwerbstätigkeit und Kapital bis auf 100 Euro genau beziehen, sind personenbezogene Daten im Sinne von Art. 2 Buchst. a der Richtlinie 95/46, da es sich um „Informationen über eine bestimmte oder bestimmbare natürliche Person“ handelt (vgl. auch Urteil vom 20. Mai 2003, Österreichischer Rundfunk u. a., C‑465/00, C‑138/01 und C‑139/01, Slg. 2003, I‑4989, Randnr. 64).

36      Sodann ergibt sich schon aus dem Wortlaut von Art. 2 Buchst. b der Richtlinie eindeutig, dass die in der ersten Frage genannte Tätigkeit unter die Definition der „Verarbeitung personenbezogener Daten“ im Sinne dieser Bestimmung fällt.

37      Infolgedessen ist auf die erste Frage zu antworten, dass Art. 3 Abs. 1 der Richtlinie dahin auszulegen ist, dass eine Tätigkeit, bei der die Daten natürlicher Personen bezüglich ihres Einkommens aus Erwerbstätigkeit und Kapital und ihres Vermögens

–        auf der Grundlage öffentlicher Dokumente der Steuerbehörden erfasst und zum Zweck der Veröffentlichung verarbeitet werden,

–        in einem Druckerzeugnis, in alphabetischer Reihenfolge und nach Einkommenskategorien aufgeführt, in Form umfassender, nach Gemeinden geordneter Listen veröffentlicht werden,

–        auf einer CD-ROM zur Verarbeitung zu kommerziellen Zwecken weitergegeben werden,

–        im Rahmen eines Kurzmitteilungsdienstes verwendet werden, in dem Mobilfunkbenutzer nach Versendung einer Kurzmitteilung mit dem Namen und dem Wohnort einer bestimmten Person an eine bestimmte Nummer als Antwort Daten über das Einkommen dieser Person aus Erwerbstätigkeit und Kapital sowie über deren Vermögen erhalten können,

als „Verarbeitung personenbezogener Daten“ im Sinne dieser Vorschrift anzusehen ist.

 Zur vierten Frage

38      Mit seiner vierten Frage, die an zweiter Stelle zu prüfen ist, möchte das vorlegende Gericht wissen, ob die in der ersten Frage unter den Buchst. c und d beschriebene Verarbeitung personenbezogener Daten, die Personendateien betrifft, die nur in Medien veröffentlichtes Material als solches enthalten, in den Anwendungsbereich der Richtlinie fällt.

39      Nach Art. 3 Abs. 2 der Richtlinie findet diese in zwei Fällen keine Anwendung auf die Verarbeitung personenbezogener Daten.

40      Der erste Fall betrifft die Verarbeitung personenbezogener Daten, die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich.

41      Diese Tätigkeiten, die in Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie beispielhaft aufgeführt werden, sind jedenfalls spezifische Tätigkeiten des Staates oder staatlicher Stellen, die mit den Tätigkeitsbereichen von Privatpersonen nichts zu tun haben. Sie sollen dazu dienen, den Umfang der in dieser Bestimmung geregelten Ausnahme festzulegen, so dass diese Ausnahme nur für Tätigkeiten gilt, die entweder dort ausdrücklich genannt sind oder derselben Kategorie zugeordnet werden können (eiusdem generis) (vgl. Urteil vom 6. November 2003, Lindqvist, C‑101/01, Slg. 2003, I‑12971, Randnrn. 43 und 44).

42      Bei der Verarbeitung personenbezogener Daten, wie sie in der ersten Frage unter den Buchst. c und d beschrieben wird, geht es jedoch um Tätigkeiten privater Gesellschaften. Diese Tätigkeiten finden nicht in einem Rahmen statt, der von staatlichen Stellen geschaffen ist und der öffentlichen Sicherheit dient. Folglich können solche Tätigkeiten nicht den in Art. 3 Abs. 2 der Richtlinie genannten gleichgestellt werden (vgl. in diesem Sinne Urteil vom 30. Mai 2006, Parlament/Rat, C‑317/04 und C‑318/04, Slg. 2006, I‑4721, Randnr. 58).

43      Was den zweiten Fall betrifft, der in Art. 3 Abs. 2 zweiter Gedankenstrich vorgesehen ist, so werden im zwölften Erwägungsgrund der Richtlinie als Beispiele für Datenverarbeitung, die von einer natürlichen Person in Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird, Schriftverkehr und die Führung von Anschriftenverzeichnissen genannt.

44      Demzufolge ist diese zweite Ausnahme dahin auszulegen, dass mit ihr nur Tätigkeiten gemeint sind, die zum Privat- oder Familienleben von Privatpersonen gehören (vgl. Urteil Lindqvist, Randnr. 47). Dies ist bei den Tätigkeiten von Markkinapörssi und Satamedia, durch die die erfassten Daten einer unbegrenzten Zahl von Personen zur Kenntnis gebracht werden sollen, offensichtlich nicht der Fall.

45      Infolgedessen ist festzustellen, dass die in der ersten Frage in den Buchst. c und d beschriebene Verarbeitung personenbezogener Daten nicht zu einem der in Art. 3 Abs. 2 der Richtlinie genannten Fälle gehört.

46      Im Übrigen sieht die Richtlinie keine weitere Einschränkung ihres Anwendungsbereichs vor.

47      In diesem Zusammenhang hat die Generalanwältin in Nr. 125 ihrer Schlussanträge darauf hingewiesen, dass Art. 13 der Richtlinie Ausnahmen nur von bestimmten Vorschriften zulässt, zu denen Art. 3 nicht gehört.

48      Schließlich würde eine allgemeine Ausnahme von der Anwendung der Richtlinie zugunsten veröffentlichter Informationen die Richtlinie weitgehend leerlaufen lassen. Es würde nämlich ausreichen, dass die Mitgliedstaaten Daten veröffentlichen ließen, um diese dem von der Richtlinie vorgesehenen Schutz zu entziehen.

49      Auf die vierte Frage ist daher zu antworten, dass die in der ersten Frage unter den Buchst. c und d beschriebene Verarbeitung personenbezogener Daten, die Behördendateien mit personenbezogenen Daten betrifft, die nur in Medien veröffentlichtes Material als solches enthalten, in den Anwendungsbereich der Richtlinie fällt.

 Zur zweiten Frage

50      Mit seiner zweiten Frage möchte das vorlegende Gericht wissen, ob Art. 9 der Richtlinie dahin auszulegen ist, dass die in der ersten Frage unter den Buchst. a bis d genannten Tätigkeiten, die Daten betreffen, die aus Dokumenten stammen, die nach den nationalen Rechtsvorschriften öffentlich sind, als Verarbeitung personenbezogener Daten, die allein zu journalistischen Zwecken erfolgt, anzusehen sind. Dem vorlegenden Gericht geht es dabei nach eigener Aussage auch um die Frage, ob es hierfür von Bedeutung ist, dass der Hauptzweck der betreffenden Tätigkeiten die Veröffentlichung der genannten Daten ist.

51      Einleitend ist festzustellen, dass die Bestimmungen einer Richtlinie nach ständiger Rechtsprechung mit Blick auf ihre Ziele und das mit ihr eingeführte System auszulegen sind (vgl. in diesem Sinne Urteil vom 11. September 2008, Caffaro, C‑265/07, Slg. 2008, I‑0000, Randnr. 14).

52      Wie sich aus ihrem Art. 1 ergibt, hat die Richtlinie unbestreitbar zum Ziel, dass die Mitgliedstaaten den freien Verkehr personenbezogener Daten ermöglichen und gleichzeitig den Schutz der Grundrechte und Grundfreiheiten, insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung dieser Daten gewährleisten.

53      Dieses Ziel lässt sich jedoch nur erreichen, wenn berücksichtigt wird, dass die genannten Grundrechte in einem gewissen Maße mit dem Grundrecht der Freiheit der Meinungsäußerung in Einklang gebracht werden müssen.

54      Dieser Einklang ist Gegenstand von Art. 9 der Richtlinie. Wie insbesondere aus ihrem 37. Erwägungsgrund hervorgeht, verfolgt die Richtlinie das Ziel, zwei Grundrechte miteinander in Einklang zu bringen, nämlich zum einen den Schutz der Privatsphäre und zum anderen die Freiheit der Meinungsäußerung. Diese Aufgabe obliegt den Mitgliedstaaten.

55      Um diese beiden „Grundrechte“ im Sinne der Richtlinie miteinander in Einklang zu bringen, sind die Mitgliedstaaten dazu aufgerufen, bestimmte Ausnahmen oder Einschränkungen in Bezug auf den Datenschutz und damit hinsichtlich des Grundrechts auf Privatsphäre vorzusehen, die in den Kapiteln II, IV und VI dieser Richtlinie genannt werden. Diese Ausnahmen dürfen allein zu journalistischen, künstlerischen oder literarischen Zwecken, die unter das Grundrecht der Freiheit der Meinungsäußerung fallen, gemacht werden, soweit sie sich als notwendig erweisen, um das Recht auf Privatsphäre mit den für die Freiheit der Meinungsäußerung geltenden Vorschriften in Einklang zu bringen.

56      In Anbetracht der Bedeutung, die der Freiheit der Meinungsäußerung in jeder demokratischen Gesellschaft zukommt, müssen einerseits die damit zusammenhängenden Begriffe, zu denen der des Journalismus gehört, weit ausgelegt werden. Um ein Gleichgewicht zwischen den beiden Grundrechten herzustellen, erfordert andererseits der Schutz der Privatsphäre, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Datenschutz, die in den vorstehend genannten Kapiteln der Richtlinie vorgesehen sind, auf das absolut Notwendige beschränken.

57      In diesem Zusammenhang sind folgende Gesichtspunkte zu berücksichtigen.

58      Erstens gelten die in Art. 9 der Richtlinie vorgesehenen Befreiungen und Ausnahmen, wie die Generalanwältin in Nr. 65 ihrer Schlussanträge ausgeführt hat und sich aus den Vorarbeiten zu der Richtlinie ergibt, nicht nur für Medienunternehmen, sondern für jeden, der journalistisch tätig ist.

59      Zweitens schließt die Tatsache, dass eine Veröffentlichung öffentlicher Daten mit der Absicht verbunden ist, Gewinn zu erzielen, nicht von vornherein aus, dass sie als eine Tätigkeit angesehen werden kann, die „allein zu journalistischen Zwecken erfolgt“. Denn wie Markkinapörssi und Satamedia in ihrer Stellungnahme und die Generalanwältin in Nr. 82 ihrer Schlussanträge ausführen, möchte jedes Unternehmen mit seiner Tätigkeit einen Gewinn erzielen. Ein gewisser kommerzieller Erfolg kann sogar die unverzichtbare Voraussetzung für den Fortbestand eines professionellen Journalismus sein.

60      Drittens muss die Entwicklung und die Vervielfältigung der Mittel zur Kommunikation und zur Verbreitung von Informationen berücksichtigt werden. Wie insbesondere die schwedische Regierung ausgeführt hat, ist der Träger, mit dem die verarbeiteten Daten übermittelt werden – ob es sich um einen klassischen Träger wie Papier oder Radiowellen oder aber um einen elektronischen Träger wie das Internet handelt –, nicht ausschlaggebend für die Beurteilung, ob es sich um eine Tätigkeit „allein zu journalistischen Zwecken“ handelt.

61      Nach alledem können Tätigkeiten wie die im Ausgangsverfahren in Rede stehenden, die Daten betreffen, die aus Dokumenten stammen, die nach den nationalen Rechtsvorschriften öffentlich sind, als journalistische Tätigkeiten eingestuft werden, wenn sie zum Zweck haben, Informationen, Meinungen oder Ideen, mit welchem Übertragungsmittel auch immer, in der Öffentlichkeit zu verbreiten. Journalistische Tätigkeiten sind nicht Medienunternehmen vorbehalten und können mit der Absicht verbunden sein, Gewinn zu erzielen.

62      Demzufolge ist auf die zweite Frage zu antworten, dass Art. 9 der Richtlinie dahin auszulegen ist, dass die in der ersten Frage unter den Buchst. a bis d genannten Tätigkeiten, die Daten betreffen, die aus Dokumenten stammen, die nach den nationalen Rechtsvorschriften öffentlich sind, als Verarbeitung personenbezogener Daten, die „allein zu journalistischen Zwecken“ im Sinne dieser Vorschrift erfolgt, anzusehen sind, wenn sie ausschließlich zum Ziel haben, Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten, was zu prüfen Sache des nationalen Gerichts ist.

Zur dritten Frage

63      Mit seiner dritten Frage möchte das vorlegende Gericht wissen, ob Art. 17 der Richtlinie dahin auszulegen ist, dass die Veröffentlichung von Daten, die zu journalistischen Zwecken erhoben worden sind, und deren Weitergabe für eine Verarbeitung zu kommerziellen Zwecken gegen diese Vorschrift verstößt.

64      In Anbetracht der Antwort auf die zweite Frage ist diese Frage nicht zu beantworten.

 Kosten

65      Für die Parteien des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem bei dem vorlegenden Gericht anhängigen Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:

1.      Art. 3 Abs. 1 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist dahin auszulegen, dass eine Tätigkeit, bei der die Daten natürlicher Personen bezüglich ihres Einkommens aus Erwerbstätigkeit und Kapital und ihres Vermögens

–        auf der Grundlage öffentlicher Dokumente der Steuerbehörden erfasst und zum Zweck der Veröffentlichung verarbeitet werden,

–        in einem Druckerzeugnis, in alphabetischer Reihenfolge und nach Einkommenskategorien aufgeführt, in Form umfassender, nach Gemeinden geordneter Listen veröffentlicht werden,

–        auf einer CD-ROM zur Verarbeitung zu kommerziellen Zwecken weitergegeben werden,

–        im Rahmen eines Kurzmitteilungsdienstes verwendet werden, in dem Mobilfunkbenutzer nach Versendung einer Kurzmitteilung mit dem Namen und dem Wohnort einer bestimmten Person an eine bestimmte Nummer als Antwort Daten über das Einkommen dieser Person aus Erwerbstätigkeit und Kapital sowie über deren Vermögen erhalten können,

als „Verarbeitung personenbezogener Daten“ im Sinne dieser Vorschrift anzusehen ist.

2.      Art. 9 der Richtlinie 95/46 ist dahin auszulegen, dass die in der ersten Frage unter den Buchst. a bis d genannten Tätigkeiten, die Daten betreffen, die aus Dokumenten stammen, die nach den nationalen Rechtsvorschriften öffentlich sind, als Verarbeitung personenbezogener Daten, die „allein zu journalistischen Zwecken“ im Sinne dieser Vorschrift erfolgt, anzusehen sind, wenn sie ausschließlich zum Ziel haben, Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten, was zu prüfen Sache des nationalen Gerichts ist.

3.      Die in der ersten Frage unter den Buchst. c und d beschriebene Verarbeitung personenbezogener Daten, die Behördendateien mit personenbezogenen Daten betrifft, die nur in Medien veröffentlichtes Material als solches enthalten, fällt in den Anwendungsbereich der Richtlinie 95/46.

Unterschriften

---

* Verfahrenssprache: Finnisch.