EuGH-Urteil vom 4.9.2025, Rechtssache C\u2011413\/23\u00a0P<\/p>\n
<\/p>\n
Sachverhalt:<\/strong><\/p>\n Nach der Abwicklung der spanischen Bank \u201eBanco Popular Espa\u00f1ol\u201c pr\u00fcfte der Einheitliche Abwicklungsausschuss (SRB), ob ehemalige Aktion\u00e4re und Gl\u00e4ubiger Anspruch auf Entsch\u00e4digung haben. Dazu konnten die Betroffenen ihre Stellungnahmen online abgeben. Einige dieser Beitr\u00e4ge leitete der SRB an Deloitte weiter, die die Auswirkungen der Abwicklung fachlich bewerten sollte. Jede online eingereichte Stellungnahme erhielt einen zuf\u00e4llig generierten 33-stelligen alphanumerischen Code. Der SRB verarbeitete die Eingaben, filterte Dubletten und \u00fcbermittelte thematisch sortierte Stellungnahmen an Deloitte. Deloitte hatte keinen Zugang zu der Registrierungsdatenbank (Ausweise, Nachweise etc). Nur der SRB konnte Stellungnahmen \u00fcber den Code konkreten Personen zuordnen.<\/p>\n Mehrere Betroffene beschwerten sich beim Europ\u00e4ischen Datenschutzbeauftragten (EDSB), weil sie nicht dar\u00fcber informiert worden seien, dass ihre Daten an Deloitte \u00fcbermittelt werden.<\/p>\n Der EDSB war der Ansicht, dass Deloitte im vorliegenden Fall eine Empf\u00e4ngerin personenbezogener Daten der Beschwerdef\u00fchrer sei. Er stellte au\u00dferdem fest, dass der SRB gegen die Informationspflicht \u00fcber Empf\u00e4nger versto\u00dfen habe. Nach dem EuG befasste sich nun der EuGH mit dem Fall.<\/p>\n <\/p>\n Entscheidung:<\/strong><\/p>\n Der EuGH best\u00e4tigte die Sicht des EDSB, dass die streitigen Informationen personenbezogene Daten sind und der SRB \u00fcber Empf\u00e4nger wie Deloitte bereits zum Zeitpunkt der Datenerhebung h\u00e4tte informieren m\u00fcssen (Art 15 Abs 1 lit d VO 2018\/1725). Der EuGH hielt dazu fest:<\/p>\n Meinungen in Stellungnahmen sind personenbezogene Daten.<\/strong> Informationen \u201e\u00fcber\u201c eine Person umfassen alle Arten von Angaben, also auch subjektive Einsch\u00e4tzungen<\/strong>. Die eingereichten Antworten spiegeln pers\u00f6nliche Ansichten der Verfasser wider und beziehen sich damit auf diese Personen. Eine zus\u00e4tzliche Pr\u00fcfung von Zweck und Auswirkungen ist hierf\u00fcr nicht erforderlich; es gen\u00fcgt der Inhalt.<\/p>\n Pseudonymisierte Daten k\u00f6nnen ggf. f\u00fcr einzelne Akteure nicht (mehr) personenbeziehbar sein. F\u00fcr den SRB blieben die \u00fcbermittelten Stellungnahmen jedoch personenbezogen, weil er die Zuordnungsinformationen<\/strong> (Registrierungsdatenbank + Code) besa\u00df. F\u00fcr den Empf\u00e4nger (Deloitte) kann Personenbezug fehlen, wenn effektive technische und organisatorische Ma\u00dfnahmen eine Re-Identifizierung nach allgemeinem Ermessen verhindern. Das \u00e4ndert aber nichts am Personenbezug beim Verantwortlichen<\/strong>, der pseudonymisiert. Pseudonymisierung ist daher nicht gleich Anonymisierung.<\/p>\n Die Pflicht, \u00fcber Empf\u00e4nger zu informieren (Art 15 Abs 1 lit d), greift zum Zeitpunkt der Erhebung und aus der Sicht des Verantwortlichen<\/strong>. Es kommt also nicht darauf an, ob der Empf\u00e4nger (Deloitte) selbst re-identifizieren k\u00f6nnte. Entscheidend ist, dass der SRB beim Einsammeln der Antworten personenbezogene Daten erhob und Empf\u00e4nger h\u00e4tte nennen m\u00fcssen, damit Betroffene ihre Einwilligung bzw. Mitwirkung in Kenntnis der Sachlage erteilen oder verweigern k\u00f6nnen.<\/p>\n Der EuGH hob das Urteil des EuG, mit dem die Entscheidung des Europ\u00e4ischen Datenschutzbeauftragten f\u00fcr nichtig erkl\u00e4rt wurde, auf und verwies das Verfahren zur Pr\u00fcfung eines zweiten (noch ungepr\u00fcften) Klagegrundes zur\u00fcck.<\/p>\n <\/p>\n <\/p>\n Link zur Entscheidung<\/a><\/p>\n Link zur Pressemitteilung<\/a><\/p>\n <\/p>\n Weitere Blog-Beitr\u00e4ge zum Thema Datenschutzrecht:<\/strong><\/p>\n Absage in Gehaltsverhandlungen irrt\u00fcmlich an Dritten versandt: EuGH zu Unterlassungs- und Schadenersatzanspr\u00fcchen nach der DSGVO. Negative Gef\u00fchle k\u00f6nnen ausreichen.<\/a><\/p>\n Darf die Datenschutzbeh\u00f6rde (DSB) die Bearbeitung \u201eexzessiver Beschwerden\u201c verweigern? EuGH: Anzahl ist nur Indiz f\u00fcr Missbrauchsabsicht.<\/a><\/p>\n Online-Apotheken und Datenschutz: EuGH stuft Kundendaten als Gesundheitsdaten ein. Klagebefugnis von Mitbewerbern bei Datenschutzverletzungen.<\/a><\/p>\n EuGH: Entschuldigung kann angemessener Ersatz eines immateriellen Schadens bei DSGVO-Verletzung sein.<\/a><\/p>\n EuGH: Meta (Facebook) muss Grundsatz der Datenminimierung einhalten. Keine zeitlich unbegrenzte und unterschiedslose Verarbeitung personenbezogener Daten f\u00fcr Werbung.<\/a><\/p>\n EuGH: Tempor\u00e4re Ver\u00f6ffentlichung personenbezogener Daten im Handelsregister kann immateriellen Schaden ausl\u00f6sen.<\/a><\/p>\n Sparkassen-Mitarbeiter greift mehrmals unbefugt auf personenbezogene Daten eines Kunden zu. EuGH: Aufsichtsbeh\u00f6rde muss nicht bei jedem Versto\u00df Abhilfema\u00dfnahme ergreifen oder Geldbu\u00dfe verh\u00e4ngen.<\/a><\/p>\n DSGVO gew\u00e4hrt Patienten das Recht auf eine kostenlose Erstkopie ihrer Krankengeschichte<\/a><\/p>\n EuGH: Verbandsklagen bei Datenschutzverst\u00f6\u00dfen m\u00f6glich, wenn bei Datenverarbeitung DSGVO-Informationspflichten verletzt wurden.<\/a><\/p>\n Video\u00fcberwachung deckt versuchtes Erschleichen einer Versicherungsleistung auf: Kein DSGVO-Schadenersatz f\u00fcr (behauptete) Datenschutzverletzung.<\/a><\/p>\n EuGH zum immateriellen DSGVO-Schadenersatz: \u201eVerlust der Kontrolle\u201c \u00fcber personenbezogene Daten ist Schaden. Keine Straf- sondern Ausgleichsfunktion.<\/a><\/p>\n