EuGH: Weite Auslegung von Art. 9 DSGVO – auch indirekte Offenbarung besonderer Kategorien personenbezogener Daten erfasst

Worum ging es im konkreten Fall?

Der Leiter einer öffentlichen Einrichtung nach litauischem Recht, die öffentliche Mittel erhielt, weigerte sich, eine sog. «Erklärung über private Interessen» abzugeben. Dazu wäre er jedoch gemäss litauischem Gesetz über den Interessenausgleich, das unter anderem die Gewährleistung der Unparteilichkeit sowie die Bekämpfung von Korruption im öffentlichen Dienst bezweckt, verpflichtet gewesen. Dieser Verstoss wurde in der Folge von der zuständigen litauischen Behörde, der Obersten Ethikkommission, festgestellt, woraufhin der betroffene Leiter den Entscheid an das zuständige Regionalverwaltungsgericht weiterzog. Im Wesentlichen argumentierte er, dass die Veröffentlichung dieser Erklärung jedenfalls sowohl sein eigenes Recht auf Achtung seines Privatlebens als auch das der anderen Personen, die er gegebenenfalls in seiner Erklärung angeben müsste, verletzen würde. Die Oberste Ethikkommission machte geltend, dass die Veröffentlichung einer solchen Erklärung zwar einen Eingriff in das Privatleben des Betroffenen und seines Ehegatten darstellen möge, doch sei dieser Eingriff im Gesetz über den Interessenausgleich vorgesehen. Das Regionalverwaltungsgericht hatte Zweifel, ob die Offenlegungspflicht mit der DSGVO vereinbar ist: «Die in einer Erklärung über private Interessen enthaltenen personenbezogenen Daten könnten Informationen über das Privatleben der erklärungspflichtigen Person, ihres Ehegatten, Lebensgefährten oder Partners oder ihrer Kinder offenlegen, so dass ihre Verbreitung geeignet sei, das Recht der betroffenen Personen auf Achtung ihres Privatlebens zu verletzen. Diese Daten könnten nämlich besonders sensible Informationen offenbaren, wie etwa die Tatsache, dass die betroffene Person in einer eheähnlichen Lebensgemeinschaft oder mit einer Person gleichen Geschlechts lebe, und die Verbreitung dieser Informationen könne zu erheblichen Unannehmlichkeiten im Privatleben dieser Personen führen. (…)». Auch wenn das Gesetz über den Interessenausgleich darauf abziele, die Wahrung des Grundsatzes der Transparenz bei der Wahrnehmung öffentlicher Aufgaben zu gewährleisten, sei es nicht zwingend erforderlich, die mitgeteilten Informationen im Internet zu veröffentlichen. Die Erklärung gegenüber den im Gesetz genannten Behörden sei ausreichend.

Das Regionalverwaltungsgericht setzte das Verfahren aus und legte dem EuGH zwei Fragen zur Vorabentscheidung (vgl. Urteil des EuGH vom 1. August 2022, C-184/20) vor:

• Ist die in Art. 6 Abs. 1 Unterabs. 1 Buchst. e der DSGVO festgelegte Bedingung, dass die Verarbeitung der personenbezogenen Daten für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, im Hinblick auf die in Art. 6 Abs. 3 der DSGVO festgelegten Anforderungen, einschliesslich der Anforderung, dass das Recht des Mitgliedstaats ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss, und ferner im Hinblick auf die Art. 7 und 8 der Charta dahin auszulegen, dass das nationale Recht nicht die Offenlegung der in Erklärungen über private Interessen enthaltenen Daten und deren Veröffentlichung auf der Website des Verantwortlichen, der Obersten Ethikkommission, verlangen darf, wodurch allen Personen, die Zugang zum Internet haben, Zugang zu diesen Daten gewährt wird?
• Ist das in Art. 9 Abs. 1 der DSGVO normierte Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten unter Berücksichtigung der in Art. 9 Abs. 2 der DSGVO festgelegten Bedingungen, einschliesslich der in Buchst. g dieser Bestimmung genannten Bedingung, dass die Verarbeitung personenbezogener Daten auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Massnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich sein muss, auch im Hinblick auf die Art. 7 und 8 der Charta dahin auszulegen, dass das nationale Recht nicht die Offenlegung von Daten in Erklärungen über private Interessen verlangen darf, durch die personenbezogene Daten offenbart werden können, einschliesslich solcher Daten, die Rückschlüsse auf politische Ansichten, Gewerkschaftszugehörigkeit, sexuelle Orientierung oder andere persönliche Informationen zulassen, und auch nicht ihre Veröffentlichung auf der Website des Verantwortlichen, der Obersten Ethikkommission, wodurch allen Personen, die Zugang zum Internet haben, Zugang zu diesen Daten gewährt wird?

Es ist hierbei hervorzuheben, dass die dem Gerichtshof vorgelegten Fragen ausschliesslich die Veröffentlichung der in der Erklärung über private Interessen enthaltenen Informationen auf der Website der Obersten Ethikkommission betreffen, und nicht die Erklärungspflicht als solche oder die Veröffentlichung einer Interessenerklärung unter anderen Umständen.

Nachfolgend werden beide Vorabentscheidungsfragen kurz beleuchtet, wobei der Schwerpunkt auf Letzterer liegen soll. Ergänzend ist darauf hinzuweisen, dass der EuGH die Fragen sowohl im Lichte der DSGVO als auch der EU-Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Richtlinie 95/46/EG), welche am 25. Mai 2018 durch die DSGVO aufgehoben wurde, geprüft hat, weil das in zeitlicher Hinsicht anwendbare Recht nicht abschliessend festgelegt wurde. Da beide Rechtsgrundlagen betreffend die einschlägigen Bestimmungen einen ähnlichen Regelungsinhalt aufweisen, wird im Folgenden ausschliesslich auf die Bestimmungen der DSGVO verwiesen.

Hohes Schutzniveau der Grundrechte gemäss DSGVO

Der EuGH stellt einleitend zur ersten Vorlagefrage fest, dass die DSGVO ein hohes Schutzniveau der Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten gewährleistet. Allerdings beanspruchen diese Grundrechte keine unbeschränkte Geltung, sondern müssen im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden. So muss eine Datenverarbeitung gewisse Bearbeitungsgrundsätze einhalten (Art. 5 DSGVO) und rechtmässig sein (sog. Erlaubnistatbestände in Art. 6 DSGVO). Gemäss EuGH liegt in casu ein Erlaubnistatbestand vor, weil die Datenverarbeitung zur Erfüllung einer rechtlichen Verpflichtung, fussend auf dem nationalen Gesetz über den Interessenausgleich, erforderlich ist (Art. 6 Abs. 1 lit. c DSGVO). Darüber hinaus muss die Regelung im Gesetz über den Interessenausgleich aber auch ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zum verfolgten (legitimen) Zweck stehen (Art. 6 Abs. 3 DSGVO). Da die gesetzliche Bestimmung unter anderem der Korruptionsbekämpfung dient, wird gemäss EuGH ein im öffentlichen Interesse liegendes und damit legitimes Ziel verfolgt. Zu prüfen blieb damit, ob die Online-Veröffentlichung eines Teiles der offengelegten Informationen verhältnismässig ist.

Schiesst die nationale Regelung übers Ziel hinaus?

Aus Sicht der Verhältnismässigkeit bestanden für den EuGH jedoch gewisse Vorbehalte. Folglich geht die Datenverarbeitung gemäss nationaler Regelung gemäss dem EuGH aufgrund der Online-Veröffentlichung namensbezogener Daten über Ehegatten, Lebensgefährten oder sonstige nahestehende Personen des Leiters einer öffentlichen Einrichtung über das erforderliche Mass zur Erreichung des angestrebten Ziels hinaus. Im Ergebnis wurde festgehalten, dass die Online-Veröffentlichung des Grossteils der in der Erklärung enthaltenen Informationen nicht den Erfordernissen einer ausgewogenen Gewichtung genügt. Denn die Veröffentlichung stellt aufgrund der freien Zugänglichkeit von Informationen über sensible Aspekte des Privatlebens der betroffenen Personen einen schweren Eingriff in die Grundrechte dar, ohne dass dieser durch etwaige Vorteile (bspw. im Bereich der Korruptionsverhütung) kompensiert werden könnte. Demnach steht die DSGVO der Regelung im Gesetz über den Interessenausgleich insoweit entgegen, als die Veröffentlichung namensbezogener Daten über den Ehegatten, Lebensgefährten oder Partner der erklärungspflichtigen Person oder über ihr nahestehende oder bekannte Personen, die einen Interessenkonflikt begründen können, oder Daten über jede in den letzten zwölf Kalendermonaten abgeschlossene Transaktion mit einem Wert von über 3’000 Euro betrifft.

Erfasst Art. 9 DSGVO auch die indirekte Offenbarung besonderer Kategorien personenbezogener Daten?

Die zweite Vorlagefrage betraf die Thematik, ob die indirekte Offenbarung sog. besonderer Kategorien personenbezogener Daten (bspw. politische Meinungen, sexuelle Orientierung, weltanschauliche Überzeugungen) den strengen Bestimmungen von Art. 9 Abs. 1 DSGVO (vgl. hierzu auch MLL-News vom 25.10.2019) unterstehen soll. Die im vorliegenden Fall zu veröffentlichenden Informationen sind für sich selbst genommen keine besonderen Kategorien personenbezogener Daten. Allerdings besteht gemäss dem litauischen Regionalverwaltungsgericht die Möglichkeit, dass aus den namensbezogenen Daten über Ehepartner oder Lebensgefährten bestimmte Informationen über das Sexualleben oder die sexuelle Orientierung der erklärungspflichtigen Person abgeleitet werden können. Indirekt könnten daher besondere Kategorien personenbezogener Daten offenbart und damit verarbeitet werden.

Auslegung des EuGH anhand des Wortlauts

Der EuGH beginnt mit der grammatikalischen Auslegung von Art. 9 Abs. 1 DSGVO. Hier finden sich sowohl Argumente für als auch gegen eine Subsumtion der bloss indirekten Offenbarung besonderer Kategorien personenbezogener Daten unter Art. 9 Abs. 1 DSGVO. So spricht das Verb «hervorgehen» («[…] Daten, aus denen […] weltanschauliche Überzeugungen […] hervorgehen») für eine Erfassung der indirekten Offenlegung sensibler Daten. Die Präpositionen «zu» und «über» (vgl. «Daten zum Sexualleben») weisen jedoch darauf hin, dass eine direktere Verbindung zwischen der Verarbeitung und den betreffenden Daten, bei denen auf ihr originäres Wesen abzustellen ist, bestehen muss. Letztere Auslegung, die zu einer Unterscheidung je nach Art der betroffenen sensiblen Daten führen würde, stünde allerdings gemäss EuGH nicht im Einklang mit einer kontextbezogenen Analyse der fraglichen Vorschriften. Sie liefe insbesondere Art. 4 Nr. 15 der DSGVO zuwider, wonach „Gesundheitsdaten“ personenbezogene Daten sind, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschliesslich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand „hervorgehen“, und stünde auch im Widerspruch zum 35. Erwägungsgrund der DSGVO, in dem es heisst, dass zu den personenbezogenen Gesundheitsdaten alle Daten zählen sollten, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person „hervorgehen“.

Weite Auslegung im Sinne des Schutzzwecks der DSGVO

Der EuGH spricht sich im Ergebnis für eine weite Auslegung aus. Auch die bloss indirekte Offenbarung besonderer Kategorien personenbezogener Daten untersteht den Anforderungen von Art. 9 Abs. 1 DSGVO. Er ruft wiederum das Ziel der DSGVO in Erinnerung, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Privatlebens – bei der Verarbeitung personenbezogener Daten zu gewährleisten. Die gegenteilige Auffassung würde zudem dem Zweck von Art. 9 DSGVO zuwiderlaufen, der für einen erhöhten Schutz im Bereich von besonderen Kategorien personenbezogener Daten sorgen soll, weil deren Verarbeitung einen besonders schweren Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen kann. Demnach stellt die Online-Veröffentlichung von namensbezogenen Daten über Ehepartner oder Lebensgefährten, durch die bestimmte Informationen über das Sexualleben oder die sexuelle Orientierung der erklärungspflichtigen Person abgeleitet werden können, eine Verarbeitung besonderer Kategorien personenbezogener Daten dar.

Welche Auswirkungen sind aufgrund des Entscheids zu erwarten und ist er auch für Schweizer Unternehmen relevant?

Es ist fraglich, inwieweit sich das vorliegende Urteil auf ähnliche Fallkonstellationen ausweiten lässt. Dies insbesondere, wenn die gedankliche Kombination von «normalen» personenbezogenen Daten und sensiblen Informationen nicht so eindeutig ist wie im vorliegenden Fall. Das gilt insbesondere dann, wenn noch der eine oder andere gedankliche Umweg eingeschlagen werden muss, um Rückschlüsse auf besondere Kategorien personenbezogener Daten ziehen zu können.

Der vorliegende Fall kann auch für Schweizer Unternehmen wegen des (extraterritorialen) Anwendungsbereichs der DSGVO (vgl. MLL-News vom 19.12.2019) relevant werden. Deshalb haben auch Schweizer Unternehmen von der erweiterten Auslegung im Zusammenhang mit der Verarbeitung besonderer Kategorien personenbezogener Daten Kenntnis zu nehmen und gegebenenfalls entsprechende Anpassungen vorzunehmen bzw. diese weite Auslegung bei der künftigen Implementierung neuer Datenverarbeitungen zu berücksichtigen.

Wie ist die Rechtslage in der Schweiz?

Auch das Schweizer Datenschutzrecht kennt eine besondere Kategorie von Personendaten. Das Schweizerische Datenschutzgesetz spricht in diesem Zusammenhang von besonders schützenswerten Daten (vgl. Art. 3 lit. c DSG; im Rahmen der Revision zum neuen DSG wurde die Definition noch erweitert, vgl. MLL-News vom 19.10.2020). Entgegen dem Wortlaut von Art. 9 Abs. 1 DSGVO sind beim schweizerischen Pendant keine Hinweise dahingehend erkennbar, dass auch eine bloss indirekte Offenbarung für die Qualifizierung als besonders schützenswerte Daten genügen würde. In einer Abklärung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB; vgl. Schlussbericht vom 1. Juni 2015) äusserte er sich im Zusammenhang mit besonders schützenswerten Daten dahingehend, dass eine entsprechende Qualifizierung vom Kontext abhängig ist, in welchem die Daten stehen und verwendet werden. Es ist deshalb davon auszugehen, dass die blosse Möglichkeit von Rückschlüssen auf sensible Daten für sich allein genommen nicht ausreicht. Entscheidend dürfte aber auch nach schweizerischem Recht der konkrete Kontext sein. Eine Einzelfallbeurteilung ist somit erforderlich.

Weitere Informationen:

• Urteil des EuGH vom 1. August 2022 (C-184/20)
• EU-Datenschutzgrundverordnung (DSGVO)
• Schlussbericht des EDÖB vom 1. Juni 2015
• MLL-News vom 25.10.2019: «Schwedische Datenschutzbehörde verhängt erste DSGVO-Busse wegen dem Einsatz einer Gesichtserkennungssoftware»
• MLL-News vom 19.12.2019: «EU-Datenschützer (EDSA) veröffentlichen definitive Leitlinien zum räumlichen Anwendungsbereich der DSGVO»
• MLL-News vom 19.10.2020: «Neues Schweizer Datenschutzrecht: wichtigste Regelungen der DSG-Revision im Überblick»