Der EuGH hat am 1. August 2022 einen Entscheid (C-184/20 (Urt. v. 1.8.2022) gefällt, worin dieser die Verarbeitung von Daten, welche auf sensible Informationen schliessen, als besondere Kategorie der personenbezogenen Daten gemäss Art. 9 DSGVO qualifiziert.
Der EuGH lässt es für die Anwendbarkeit des Art. 9 Abs. 1 DSGVO mithin genügen, wenn aus den Daten indirekt ein Aufschluss auf besondere Kategorien personenbezogener Daten möglich ist. Beispiel: gibt ein Mann an, dass er mit einem Mann verheiratet ist, offenbart dies nach Ansicht des EuGH wohl seine sexuelle Orientierung. Art. 9 Abs. 1 DSGVO ist demnach anwendbar, auch wenn die Daten dies selbst inhaltlich nicht (direkt) offenbaren.
Was war der Hintergrund?
In Littauen besteht für bestimmte Personen eine gesetzliche Pflicht, gewisse Daten an eine Behörde zu geben, welche diese dann auf ihrer Internetseite veröffentlicht. Zu diesen Daten gehören unter anderem namensbezogene Daten über die Ehegatten, Partner oder Lebensgefährten der erklärungspflichtigen Person sowie über die ihr nahestehende oder bekannte Personen, mit der sie einen Interessenskonflikt begründen könnte, sowie Angaben zum Gegenstand der Transaktion, wenn dieser einen Wert von mehr als 3000 Euro übersteigt. Dies dient der Transparenz und der Korruptionsbekämpfung.
Wie lautet die Begründung des EuGH?
Im Kern nennt der EuGH zwei Argumente:
- Eine enge Auslegung des Begriffs der «besonderen Kategorien personenbezogener Daten» liefe insbesondere Art. 4 Ziff. 15 der DSGVO zuwider, wonach „Gesundheitsdaten“ personenbezogene Daten sind. Diese Daten beziehen sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschliesslich der Erbrachten Gesundheitsdienstleistungen, welche somit auch im Widerspruch zu Erwägungsgrund 35 DSGVO stehen würden.
- Für eine weite Auslegung spreche ferner das Ziel der DSGVO. Dieses besteht darin, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Privatlebens – bei der Verarbeitung betreffender personenbezogener Daten zu gewährleisten.
Was sind die Folgen des Urteils?
Der Begriff «besondere Kategorien von Daten» nach Art. 9 DSGVO dürfte in Zukunft weiter ausgelegt werden. Art. 9 DSGVO ist somit grundsätzlich anwendbar. Im Zweifel muss jedoch für die Zulässigkeit der Verarbeitung eine Einwilligung eingeholt werden – die Rechtsgrundlage der Vertragsdurchführung würde dabei nicht ausreichen. Wie weit sich das Urteil verallgemeinern lässt, ist fraglich. Zum einen lassen sich sensible Informationen über die sexuelle Orientierung leicht ableiten und zum anderen geht es um eine Veröffentlichung von Daten, in deren Anschluss sich naturgemäss die weitere Verwendung der Daten nicht kontrollieren lässt. Es erscheint daher denkbar, dass der EuGH in einem anderen Kontext mögliche Rückschlüsse nicht als genügend erachten könnte. Dies würde auch der in der Lehre verschiedentlich vertretenen Meinung entsprechen, bei der Qualifikation der besonderen Kategorie personenbezogene Daten auch den Verarbeitungskontext und die Absicht des Verantwortlichen zu berücksichtigen.
Was gilt nach revidiertem DSG?
Der Wortlaut in Art. 5 lit. c revDSG enthält im Gegensatz zu Art. 9 Abs. 1 DSGVO den Hinweis des «hervorgehen» nicht. So lässt es sich in Frage stellen, ob mögliche Rückschlüsse für das Schweizer Recht ausreichen würden. Die Praxis jedoch geht davon aus, dass mögliche Rückschlüsse nicht genügen, jedenfalls nicht ohne Berücksichtigung des konkreten Bearbeitungskontexts.
Sehr gerne Unterstützung wir sie bei Fragen rund um den Datenschutz und die Datensicherheit. Wir freuen uns auf Ihre Kontaktaufnahme.
