[et_pb_section fb_built=“1″ _builder_version=“4.18.0″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.18.0″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.18.0″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.18.0″ _module_preset=“default“ hover_enabled=“0″ global_colors_info=“{}“ sticky_enabled=“0″]<\/p>\n
EuGH-Entscheidung vom 7.12.2023, verbundene Rechtssachen C\u201126\/22 und C\u201164\/22<\/p>\n
<\/p>\n
Sachverhalt:<\/strong><\/p>\n Im Rahmen der sie betreffenden Insolvenzverfahren wurde den Kl\u00e4gern mit gerichtlichen Beschl\u00fcssen eine vorzeitige Restschuldbefreiung erteilt. Die \u00f6ffentliche Bekanntmachung dieser Beschl\u00fcsse im \u00f6ffentlichen Insolvenzregister im Internet wurde nach sechs Monaten gel\u00f6scht. Die SCHUFA ist eine private Wirtschaftsauskunftei, die in ihren eigenen Datenbanken Informationen aus \u00f6ffentlichen Registern erfasst und speichert, insbesondere solche \u00fcber Restschuldbefreiungen. Sie l\u00f6scht letztere Informationen nach Ablauf einer Frist von drei Jahren.<\/p>\n Die Kl\u00e4ger wandten sich an die SCHUFA, um bei dieser die L\u00f6schung der Eintragungen in Bezug auf die sie betreffenden Beschl\u00fcsse \u00fcber die Restschuldbefreiung zu erwirken. Die SCHUFA lehnte ihre Antr\u00e4ge ab. Die Kl\u00e4ger erhoben daraufhin jeweils Beschwerde beim HBDI (Der Hessische Beauftragte f\u00fcr Datenschutz und Informationsfreiheit) als zust\u00e4ndiger Aufsichtsbeh\u00f6rde. Der HBDI vertrat die Auffassung, dass die Datenverarbeitung durch die SCHUFA rechtm\u00e4\u00dfig sei. Die Kl\u00e4ger erhoben daraufhin beim Verwaltungsgericht Wiesbaden Klage gegen den Bescheid des HBDI.\u00a0Das Verwaltungsgericht Wiesbaden legte die verfahren dem EuGH zur Vorabentscheidung vor.<\/p>\n <\/p>\n Entscheidung:<\/strong><\/p>\n Der EuGH hielt zun\u00e4chst fest, dass die Rechtm\u00e4\u00dfigkeit der Verarbeitung personenbezogener Daten im vorliegenden Fall allein im Licht von Art.\u00a06 Abs.\u00a01 Buchst.\u00a0f DSGVO zu beurteilen ist. Demnach ist die Verarbeitung personenbezogener Daten nur rechtm\u00e4\u00dfig<\/strong>, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich<\/strong> ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person<\/strong> \u00fcberwiegen.<\/p>\n Somit ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen<\/strong> rechtm\u00e4\u00dfig:<\/p>\n Im vorliegenden Fall macht die SCHUFA hinsichtlich der Verfolgung eines berechtigten Interesses geltend, dass die Kreditauskunfteien Daten verarbeiteten, die zur Beurteilung der Bonit\u00e4t von Personen oder Unternehmen erforderlich seien, um diese Informationen ihren Vertragspartnern zur Verf\u00fcgung stellen zu k\u00f6nnen. Diese T\u00e4tigkeit sch\u00fctze nicht nur die wirtschaftlichen Interessen der Unternehmen, sondern die Ermittlung der Kreditw\u00fcrdigkeit und die Erteilung von Bonit\u00e4tsausk\u00fcnften bilde auch ein Fundament des Kreditwesens und der Funktionsf\u00e4higkeit der Wirtschaft.<\/p>\n Zu Art.\u00a06 Abs.\u00a01 Unterabs.\u00a01 Buchst.\u00a0f der DSGVO hat der EuGH bereits entschieden, dass diese Bestimmung dahin auszulegen ist, dass eine Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig<\/strong> ist.<\/p>\n Zur Interessenabw\u00e4gung hielt der EuGH fest, dass die Analyse einer Wirtschaftsauskunftei als objektive und zuverl\u00e4ssige Bewertung der Kreditw\u00fcrdigkeit potenzieller Kunden Betrugsrisiken und andere Unsicherheiten verringern kann. Die Verarbeitung von Daten \u00fcber die Erteilung einer Restschuldbefreiung, wie etwa die Speicherung, Analyse und Weitergabe dieser Daten an einen Dritten, durch eine Wirtschaftsauskunftei stellt jedoch einen schweren Eingriff<\/strong> in die in den Art.\u00a07 und 8 der Charta verankerten Grundrechte<\/strong> der betroffenen Person dar (Recht auf Privat- und Familienleben, Recht auf Schutz personenbezogener Daten). Solche Daten dienen n\u00e4mlich als negativer Faktor bei der Beurteilung der Kreditw\u00fcrdigkeit<\/strong> der betroffenen Person und stellen daher sensible Informationen \u00fcber ihr Privatleben<\/strong> dar. Die Folgen f\u00fcr die betroffenen Person sind umso gr\u00f6\u00dfer und die Anforderungen an die Rechtm\u00e4\u00dfigkeit der Speicherung dieser Informationen umso h\u00f6her, je l\u00e4nger die fraglichen Daten durch Wirtschaftsauskunfteien gespeichert werden.<\/p>\n Im vorliegenden Fall sieht der deutsche Gesetzgeber vor, dass die Information \u00fcber die Erteilung einer Restschuldbefreiung im Insolvenzregister nur sechs Monate lang<\/strong> gespeichert wird. Unter diesen Umst\u00e4nden k\u00f6nnen die Interessen des Kreditsektors keine l\u00e4ngere Verarbeitung<\/strong> bzw. Speicherung personenbezogener Daten als im \u00f6ffentlichen Insolvenzregister rechtfertigen, sofern die Speicherung nicht auf Art.\u00a06 Abs.\u00a01 Unterabs.\u00a01 Buchst.\u00a0f DSGVO gest\u00fctzt werden kann.<\/p>\n Soweit die Speicherung der Daten nicht rechtm\u00e4\u00dfig ist, wie dies nach Ablauf der sechs Monate der Fall<\/strong> ist, hat die betroffene Person das Recht auf L\u00f6schung<\/strong> dieser Daten. Was die parallele Speicherung solcher Informationen durch die SCHUFA w\u00e4hrend dieser sechs Monate angeht, ist es Sache des vorlegenden Gerichts, die in Rede stehenden Interessen gegeneinander abzuw\u00e4gen, um die Rechtm\u00e4\u00dfigkeit dieser Speicherung zu beurteilen. Sollte es zu dem Ergebnis kommen, dass die parallele Speicherung w\u00e4hrend der sechs Monate rechtm\u00e4\u00dfig<\/strong> ist, hat die betroffene Person dennoch das Recht, Widerspruch gegen die Verarbeitung ihrer Daten<\/strong> einzulegen, sowie das Recht auf deren L\u00f6schung<\/strong>, es sei denn, die SCHUFA weist das Vorliegen zwingender schutzw\u00fcrdiger Gr\u00fcnde<\/strong> nach.<\/p>\n <\/p>\n Link zur Entscheidung<\/a><\/p>\n \u00a0Link zur Pressemitteilung<\/a><\/p>\n ***<\/strong><\/p>\n <\/p>\n EuGH-Entscheidung vom 7.12.2023, Rechtssache C\u2011634\/21<\/p>\n <\/p>\n Sachverhalt:<\/strong><\/p>\n Die SCHUFA prognostiziert aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren f\u00fcr diese die Wahrscheinlichkeit eines k\u00fcnftigen Verhaltens (\u201eScore-Wert<\/em>\u201c), wie beispielsweise die R\u00fcckzahlung eines Kredits. Die Erstellung von Score-Werten (\u201eScoring<\/em>\u201c) basiert auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein \u00e4hnliches Verhalten vorausgesagt werden kann. Dem Kl\u00e4ger wurde durch die SCHUFA eine negative Auskunft erteilt, woraufhin ihm ein Kredit verweigert wurde.<\/p>\n Das Verwaltungsgericht Wiesbaden legte den Fall dem EuGH zur Vorabentscheidung vor.<\/p>\n <\/p>\n Entscheidung:<\/strong><\/p>\n Gem\u00e4\u00df Art.\u00a022 Abs.\u00a01 DSGVO hat eine betroffene Person das Recht, nicht einer ausschlie\u00dflich auf einer automatisierten Verarbeitung \u2013 einschlie\u00dflich Profiling \u2013 beruhenden Entscheidung unterworfen zu werden, die ihr gegen\u00fcber rechtliche Wirkung entfaltet oder sie in \u00e4hnlicher Weise erheblich beeintr\u00e4chtigt<\/strong>. Die Anwendbarkeit dieser Bestimmung h\u00e4ngt somit von drei kumulativen Voraussetzungen ab, n\u00e4mlich davon, dass erstens eine \u201eEntscheidung\u201c vorliegen muss, zweitens diese Entscheidung \u201eausschlie\u00dflich auf einer automatisierten Verarbeitung, \u2013 einschlie\u00dflich Profiling \u2013 [beruhen]\u201c muss und drittens sie \u201egegen\u00fcber [der betroffenen Person] rechtliche Wirkung\u201c entfalten oder sie \u201ein \u00e4hnlicher Weise erheblich\u201c beeintr\u00e4chtigen muss.<\/p>\n Der EuGH hielt fest, dass bei einem solchen \u201eScoring\u201c alle drei Voraussetzungen erf\u00fcllt<\/strong> sind. Art.\u00a022 Abs.\u00a01 DSGVO verleiht der betroffenen Person das \u201eRecht\u201c, nicht einer ausschlie\u00dflich auf einer automatisierten Verarbeitung \u2013 einschlie\u00dflich Profiling \u2013 beruhenden Entscheidung unterworfen zu werden. Diese Bestimmung stellt ein grunds\u00e4tzliches Verbot<\/strong> auf, dessen Verletzung von einer solchen Person nicht individuell geltend gemacht zu werden braucht. Der Erlass einer ausschlie\u00dflich auf einer automatisierten Verarbeitung beruhenden Entscheidung ist nur in den in Art.\u00a022 Abs.\u00a02 genannten F\u00e4llen zul\u00e4ssig. Der Verantwortliche unterliegt auch zus\u00e4tzlichen Informationspflichten<\/strong> nach Art.\u00a013 Abs.\u00a02 Buchst.\u00a0f und Art.\u00a014 Abs.\u00a02 Buchst.\u00a0g DSGVO. Der betroffenen Person steht nach Art.\u00a015 Abs.\u00a01 Buchst.\u00a0h DSGVO ein Auskunftsrecht<\/strong> gegen\u00fcber dem Verantwortlichen zu, das insbesondere \u201eaussagekr\u00e4ftige Informationen \u00fcber die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung f\u00fcr die betroffene Person\u201c betrifft.<\/p>\n Der EuGH kam schlussendlich zu dem Ergebnis, dass \u201eScoring\u201c als eine von der DSGVO grunds\u00e4tzlich verbotene \u201eautomatisierte Entscheidung im Einzelfall\u201c anzusehen<\/strong> ist, sofern die Kunden der SCHUFA, wie beispielsweise Banken, ihm eine ma\u00dfgebliche Rolle im Rahmen der Kreditgew\u00e4hrung<\/strong> beimessen. Es obliegt dem vorlegenden Verwaltungsgericht Wiesbaden zu beurteilen, ob das deutsche Bundesdatenschutzgesetz im Einklang mit der DSGVO eine g\u00fcltige Ausnahme von diesem Verbot enth\u00e4lt. Trifft dies zu, wird das Gericht au\u00dferdem zu pr\u00fcfen haben, ob die in der DSGVO vorgesehenen allgemeinen Voraussetzungen f\u00fcr die Datenverarbeitung erf\u00fcllt sind.<\/p>\n <\/p>\n Link zur Entscheidung<\/a><\/p>\n Link zur Pressemitteilung\u00a0<\/a><\/p>\n <\/p>\n Weitere Blog-Beitr\u00e4ge zum Thema Datenschutzrecht:<\/strong><\/p>\n EuGH: Keine Bagatellgrenze f\u00fcr immateriellen Schaden infolge DSGVO-Versto\u00df. Jedoch Nachweis erforderlich, dass immaterieller Schaden tats\u00e4chlich entstanden ist.<\/a><\/p>\n EuGH: Datenschutzverletzung allein begr\u00fcndet nicht Unangemessenheit von Sicherheitsma\u00dfnahmen. Bef\u00fcrchtung eines Datenmissbrauchs kann immateriellen Schaden darstellen.<\/a><\/p>\n Immaterieller Schadenersatz bei Verst\u00f6\u00dfen gegen die DSGVO? Versto\u00df allein gen\u00fcgt nicht. Schaden erforderlich. Aber: Keine \u201eErheblichkeitsschwelle\u201c.<\/a><\/p>\n EuGH zu DSGVO-Geldbu\u00dfen: Versto\u00df muss schuldhaft begangen worden sein. H\u00f6he richtet sich nach weltweitem Jahresumsatz.<\/a><\/p>\n DSGVO-Schadenersatz f\u00fcr Schulwart, der irrt\u00fcmlich in Lehrerbewertungs-App aufgenommen wurde.<\/a><\/p>\n Erfassen des Stromverbrauchs durch \u201eSmart Meter\u201c: Kein Anspruch auf Schadenersatz auf Grundlage der DSGVO aufgrund Sorgen allgemeiner Natur<\/a><\/p>\n \u201eEin Idiotenhaufen \u2026 zum Durchdrehen\u201c. Berechtigtes Interesse und Erforderlichkeit der Einsichtnahme eines Arbeitgebers in das E-Mail-Konto von Mitarbeitern.<\/a><\/p>\n EuGH: DSGVO gew\u00e4hrt Recht auf Auskunft \u00fcber Zeitpunkt und Grund f\u00fcr Abfrage personenbezogener Daten. Jedoch zumeist keine Auskunft \u00fcber konkreten Arbeitnehmer, der die Abfrage vornimmt.<\/a><\/p>\n EuGH: Recht auf \u201eKopie\u201c von verarbeiteten personenbezogenen Daten = Ausfolgung originalgetreuer und verst\u00e4ndlicher Reproduktion aller dieser Daten.<\/a><\/p>\n\n