EuGH: Auch indirekt sensible Daten unterliegen Art. 9 DSGVO

Am 01. August 2022 hat der Europäische Gerichtshof auf Vorlage eines litauischen Verwaltungsgerichts ein Urteil (Rechtssache C-184/20) gesprochen, das den Anwendungsbereich von Art. 9 DSGVO im konkreten Fall auch auf „indirekt sensible Daten“ erweitert. Im Ergebnis kommt der EuGH dazu, dass nicht nur sensible Daten selbst Art. 9 DSGVO unterliegen, sondern auch Daten, die mittelbar den Rückschluss auf sensible Informationen zulassen.

Zur Bekämpfung von Korruption sind in Litauen u.a. Leiter*innen von Einrichtungen, die öffentliche Mittel erhalten, gesetzlich zur Abgabe bestimmter privater Erklärungen verpflichtet, die im Internet veröffentlicht werden. Der Leiter einer Umweltschutzorganisation hatte diese Erklärung im Hinblick auf die namentliche Nennung seines Partners verweigert. Er vertrat die Auffassung, dass bestimmte Informationen sein Recht auf Achtung der Privatsphäre tangierten. So sollten namensbezogene Angaben über den Ehegatten, Lebensgefährten oder Partner gemacht werden.

Der EuGH kam zu dem Ergebnis, dass auch die namensbezogene Angabe über Ehegatten und Partner „indirekt sensiblen Daten“ seien und damit den Regelungen von Art. 9 DSGVO unterliegen. So ließe die namentliche Nennung des Lebensgefährten einen Rückschluss auf die sexuelle Orientierung des Betroffenen zu. Wörtlich heißt es in der Entscheidung:

„Art. 8 Abs. 1 der Richtlinie 95/46 und Art. 9 Abs. 1 der Verordnung 2016/679 sind dahin auszulegen, dass die Veröffentlichung personenbezogener Daten, die geeignet sind, die sexuelle Orientierung einer natürlichen Person indirekt zu offenbaren, auf der Website der Behörde, die für die Entgegennahme und die inhaltliche Kontrolle von Erklärungen über private Interessen zuständig ist, eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne dieser Bestimmungen darstellt.“

Im Rahmen seiner Entscheidung wägt der EuGH darüber hinaus die entgegenstehenden Interessen der Beteiligten (Korruptionsbekämpfung vs. Recht auf Achtung des Privatlebens) ab. Er kommt bei der Abwägung zu dem Ergebnis, dass umfassende Veröffentlichungen auf der Homepage der Ethikkommission auf Basis einer gesetzlichen Rechtsgrundlage wegen des Grundsatzes der Datenminimierung nicht gerechtfertigt seien und daher auch nicht auf Basis von Art. 6 Abs. 1 li. c) DSGVO (Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung) verarbeitet werden dürften. Die Veröffentlichung der Daten dürfe sich nur auf für die Korruptionsbekämpfung relevante Daten (bspw. weitere selbständige Tätigkeiten der Person) beziehen.

Fazit:

Bei der Verarbeitung von Daten, die nur mittelbar einen Rückschluss auf besondere Datenkategorien zulassen, gelten die Regelungen des Art. 9 DSGVO. Verantwortliche Unternehmen sollten diesen Grundsatz im Rahmen von Datenverarbeitungsprozessen hinreichend beachten.