Verbundene Rechtssachen C‑26/22 und C‑64/22

UF
und
AB

gegen

Land Hessen

(Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden)

Urteil des Gerichtshofs (Erste Kammer) vom 7. Dezember 2023

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 5 Abs. 1 Buchst. a – Grundsatz der ‚Rechtmäßigkeit‘ – Art. 6 Abs. 1 Unterabs. 1 Buchst. f – Erforderlichkeit der Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten – Art. 17 Abs. 1 Buchst. d – Recht auf Löschung im Fall der unrechtmäßigen Verarbeitung personenbezogener Daten – Art. 40 – Verhaltensregeln – Art. 78 Abs. 1 – Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde – Beschluss der Aufsichtsbehörde über eine Beschwerde – Umfang der gerichtlichen Überprüfung dieses Beschlusses – Wirtschaftsauskunfteien – Speicherung von Daten aus einem öffentlichen Register im Zusammenhang mit der Restschuldbefreiung zugunsten einer Person – Speicherdauer“

1. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Rechtsbehelfe – Gerichtlicher Rechtsbehelf gegen den Beschluss einer Aufsichtsbehörde über eine Beschwerde – Gerichtliche Überprüfung – Umfang – Grenzen – Fehlen

   (Charta der Grundrechte der Europäischen Union, Art. 8 Abs. 3 und Art. 47; Verordnung 2016/679 des Europäischen Parlaments und des Rates, Erwägungsgründe 141 und 143 sowie Art. 52, Art. 78 Abs. 1 und Art. 79 Abs. 1)

   (vgl. Rn. 50-53, 58, 59, 62, 67-70, Tenor 1)

2. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Verarbeitung, die zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist – Verarbeitung, die für die Tätigkeit eines privaten Unternehmens erforderlich ist, die darin besteht, seinen Vertragspartnern Wirtschaftsauskünfte zur Bewertung der Kreditwürdigkeit ihrer potenziellen Kunden zu erteilen – Systematische Speicherung der Daten aus einem öffentlichen Register im Zusammenhang mit der Restschuldbefreiung zugunsten einer Person – Speicherdauer, die über die Frist für die Speicherung der Daten im öffentlichen Insolvenzregister hinausgeht – Unzulässigkeit

   (Charta der Grundrechte der Europäischen Union, Art. 7 und 8; Verordnung 2015/848 des Europäischen Parlaments und des Rates, 76. Erwägungsgrund und Art. 79 Abs. 4 und 5, sowie Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 Unterabs. 1 Buchst. f)

   (vgl. Rn. 75, 83, 88-100, 113, Tenor 2)

3. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Von der zuständigen Aufsichtsbehörde genehmigte Verhaltensregeln, die von einem Verband, der Verantwortliche oder Auftragsverarbeiter vertritt, ausgearbeitet wurden – Verhaltensregeln, die Voraussetzungen für die Rechtmäßigkeit einer Verarbeitung festlegen, die nicht jenen entsprechen, welche die Verordnung 2016/679 vorsieht – Nichtberücksichtigung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 6 Abs. 1 Unterabs. 1 Buchst. f und Art. 40 Abs. 1, 2 und 5)

   (vgl. Rn. 101-105)

4. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht auf Löschung – Umfang – Unrechtmäßige Verarbeitung von personenbezogenen Daten – Einbeziehung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 17 Abs. 1 Buchst. d)

   (vgl. Rn. 107, 108, 113, Tenor 4)

5. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht auf Löschung – Umfang – Widerspruchsrecht der betroffenen Person gegen eine Datenverarbeitung – Einbeziehung – Ausnahme – Vorliegen zwingender schutzwürdiger Gründe für die Verarbeitung, die die Interessen, Rechte und Freiheiten dieser Person überwiegen – Den Verantwortlichen treffende Beweislast

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 17 Abs. 1 Buchst. c und Art. 21 Abs. 1)

   (vgl. Rn. 109-113, Tenor 3)

Zusammenfassung

Die SCHUFA Holding AG, eine private Gesellschaft nach deutschem Recht, erfasst und speichert in ihren eigenen Datenbanken Informationen aus öffentlichen Registern, u. a. solche über Restschuldbefreiungen, mit denen sie gegebenenfalls ihre Vertragspartner versorgt. Sie löscht diese Informationen nach Ablauf einer Frist von drei Jahren nach deren Eintragung gemäß den Verhaltensregeln, die in Deutschland von dem Verband der Wirtschaftsauskunfteien ausgearbeitet wurden.

Nachdem UF und AB im Rahmen von Insolvenzverfahren durch Beschlüsse vorzeitige Restschuldbefreiungen erteilt worden waren, beantragten sie bei der SCHUFA, die Eintragungen in Bezug auf diese Beschlüsse zu löschen. Die Gesellschaft lehnte ihre Anträge mit der Begründung ab, dass die im deutschen Recht ( 1 ) vorgesehene Frist von sechs Monaten für die Löschung dieser Daten aus dem öffentlichen Register auf sie nicht anwendbar sei.

UF und AB erhoben jeweils beim HBDI ( 2 ), der zuständigen Aufsichtsbehörde, Beschwerde gegen die SCHUFA, die diese Aufsichtsbehörde mit der Begründung zurückwies, dass die Datenverarbeitung durch die SCHUFA rechtmäßig sei.

Das Verwaltungsgericht Wiesbaden (Deutschland), bei dem UF und AB Klagen gegen die Bescheide des HBDI erhoben haben, hat den Gerichtshof zur Auslegung mehrerer Bestimmungen der DSGVO ( 3 ) befragt, die u. a. die Erforderlichkeit der Datenverarbeitung zur Wahrung der Interessen und das Recht auf Löschung ( 4 ) betreffen.

In seinem Urteil stellt der Gerichtshof fest, dass die DSGVO ( 5 ) einer Praxis privater Wirtschaftsauskunfteien entgegensteht, die darin besteht, in ihren eigenen Datenbanken aus einem öffentlichen Register stammende Informationen über die Erteilung einer Restschuldbefreiung zugunsten natürlicher Personen für einen längeren Zeitraum zu speichern, als ihn die nationalen Rechtsvorschriften über die Speicherung dieser Daten in einem solchen Register vorsehen. Er äußert sich auch zu dem Recht der betroffenen Person, von dieser Gesellschaft die Löschung der sie betreffenden Daten zu verlangen.

Würdigung durch den Gerichtshof

Als Erstes weist der Gerichtshof darauf hin, dass nach der DSGVO eine Verarbeitung personenbezogener Daten insbesondere dann als rechtmäßig angesehen werden kann, wenn drei kumulative Voraussetzungen erfüllt sind: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen ( 6 ).

Zur ersten Voraussetzung weist der Gerichtshof darauf hin, dass die Verarbeitung personenbezogener Daten im vorliegenden Fall zwar den wirtschaftlichen Interessen einer privaten Gesellschaft dient, dass sie aber auch der Wahrung der berechtigten Interessen der Vertragspartner dieser Gesellschaft, die verpflichtet sind, die Kreditwürdigkeit der Personen zu bewerten, mit denen sie kreditrelevante Verträge abschließen wollen, und damit den sozioökonomischen Interessen des Kreditsektors dient.

In Bezug auf die zweite Voraussetzung weist der Gerichtshof darauf hin, dass die Datenverarbeitung nur dann als „erforderlich“ angesehen werden kann, wenn sie auf das zur Verwirklichung eines berechtigten Interesses, das von dem Verantwortlichen oder einem Dritten wahrgenommen wird, unbedingt Notwendige beschränkt ist.

Zur dritten Voraussetzung stellt der Gerichtshof fest, dass sich deren Prüfung im vorliegenden Fall mit der Prüfung der zweiten Voraussetzung deckt und eine Abwägung der einander gegenüberstehenden Rechte und Interessen gebietet, um zu beurteilen, ob die wahrgenommenen berechtigten Interessen nicht vernünftigerweise durch eine kürzere Dauer der Speicherung der Daten erreicht werden können.

So weist der Gerichtshof zur Abwägung der verfolgten berechtigten Interessen darauf hin, dass die Analyse einer Wirtschaftsauskunftei insoweit, als sie eine objektive und zuverlässige Bewertung der Kreditwürdigkeit der potenziellen Kunden der Vertragspartner dieses Unternehmens ermöglicht, Informationsunterschiede ausgleichen und damit Betrugsrisiken und andere Unsicherheiten verringern kann.

Was hingegen die Rechte und die Interessen der betroffenen Person betrifft, befindet der Gerichtshof, dass die Verarbeitung von Daten über die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch dieses Unternehmen einen schweren Eingriff in die Grundrechte der betroffenen Person darstellt ( 7 ). Solche Daten dienen nämlich als negativer Faktor bei der Beurteilung der Kreditwürdigkeit dieser Person und stellen daher sensible Informationen über ihr Privatleben dar, deren Verarbeitung ihren Interessen beträchtlich schaden kann. Zudem sind die Folgen für die Interessen und das Privatleben der betroffenen Person umso größer und die Anforderungen an die Rechtmäßigkeit der Speicherung dieser Informationen umso höher, je länger die fraglichen Daten gespeichert werden.

Im Übrigen stellt der Gerichtshof in Bezug auf die Speicherung der Daten in öffentlichen Insolvenzregistern fest, dass es den Mitgliedstaaten obliegt, Daten zu erheben und in nationalen Datenbanken zu speichern ( 8 ) und dass sie daher auch die Frist für die Speicherung dieser Daten festlegen müssen. Im vorliegenden Fall ging der nationale Gesetzgeber davon aus, dass nach Ablauf der Frist von sechs Monaten die Rechte und Interessen der betroffenen Person diejenigen der Öffentlichkeit, über diese Information zu verfügen, überwiegen.

Außerdem soll die erteilte Restschuldbefreiung dem Begünstigten ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat für diese Person im Allgemeinen existenzielle Bedeutung. Die Verwirklichung dieses Ziels wäre jedoch gefährdet, wenn die entsprechenden Informationen nach ihrer Löschung aus dem öffentlichen Insolvenzregister gespeichert und verwendet werden könnten.

Der Gerichtshof kommt daher zu dem Schluss, dass die Interessen des Kreditsektors, über Informationen hinsichtlich einer Restschuldbefreiung zu verfügen, die Speicherung der Daten nach Ablauf der Frist für die Speicherung im öffentlichen Insolvenzregister nicht rechtfertigen können.

Der Gerichtshof fügt hinzu, dass auch die Speicherung der Daten während des Zeitraums von sechs Monaten einen Eingriff in die Grundrechte der betroffenen Person darstellt. Insoweit ist es Sache des vorlegenden Gerichts, zu beurteilen, ob sich die parallele Speicherung dieser Daten durch private Unternehmen auf das unbedingt Notwendige beschränkt.

Was schließlich das Vorliegen von Verhaltensregeln betrifft, die die Löschung von Daten nach Ablauf einer Frist von drei Jahren vorsehen, stellt der Gerichtshof fest, dass solche Verhaltensregeln zwar zur ordnungsgemäßen Anwendung der DSGVO beitragen sollen ( 9 ), dass aber die in ihnen festgelegten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten nicht von den in der DSGVO festgelegten Bedingungen abweichen können. Daher können Verhaltensregeln, die zu einer anderen Beurteilung führen würden als derjenigen, die sich nach der DSGVO ergibt, nicht berücksichtigt werden.

Was als Zweites die Verpflichtungen des Verantwortlichen betrifft, die personenbezogenen Daten zu löschen, führt der Gerichtshof zum einen aus, dass der Verantwortliche die Löschung der Daten vornehmen muss, die einer unrechtmäßigen Verarbeitung unterzogen wurden, wie im vorliegenden Fall der durch das betreffende Unternehmen erfolgten Datenverarbeitung nach Ablauf der Frist von sechs Monaten für die Speicherung im öffentlichen Register ( 10 ). Zum anderen hätte die betroffene Person, selbst wenn das vorlegende Gericht zum Ergebnis gelangen sollte, dass die Datenverarbeitung während des Zeitraums von sechs Monaten rechtmäßig sei, das Recht, gegen eine solche Verarbeitung Widerspruch einzulegen ( 11 ) und die Löschung der sie betreffenden Daten zu verlangen, wenn es diesem Unternehmen nicht gelingt, das Vorliegen zwingender schutzwürdiger Gründe nachzuweisen, die die Interessen, Rechte und Freiheiten dieser Person überwiegen ( 12 ).

( 1 ) § 3 Abs. 1 der Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (InsBekV) vom 12. Februar 2002 (BGBl. I S. 677).

( 2 ) Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) (Deutschland).

( 3 ) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).

( 4 ) Art. 6 Abs. 1 Unterabs. 1 Buchst. f und Art. 17 Abs. 1 Buchst. c und d dieser Verordnung.

( 5 ) Art. 5 Abs. 1 Buchst. a in Verbindung mit Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO.

( 6 ) Gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO, der im vorliegenden Fall zur Anwendung kommt.

( 7 ) Rechte, die in den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union verankert sind und die Achtung des Privatlebens bzw. den Schutz personenbezogener Daten betreffen.

( 8 ) Gemäß Art. 79 Abs. 4 der Verordnung (EU) 2015/848 des Europäischen Parlaments und des Rates vom 20. Mai 2015 über Insolvenzverfahren (Neufassung) (ABl. 2015, L 141, S. 19). Art. 79 Abs. 5 dieser Verordnung sieht lediglich vor, dass die Mitgliedstaaten den betroffenen Personen mitteilen, für welchen Zeitraum ihre in Insolvenzregistern gespeicherten personenbezogenen Daten zugänglich sind, ohne eine Speicherfrist für diese Daten festzulegen.

( 9 ) Nach Art. 40 Abs. 1 und 2 DSGVO.

( 10 ) Gemäß Art. 17 Abs. 1 Buchst. d DSGVO.

( 11 ) Nach Art. 21 Abs. 1 DSGVO.

( 12 ) Gemäß Art. 17 Abs. 1 Buchst. c DSGVO.