Urteil : Anwendbarkeit der DS-GVO auf parlamentarische Untersuchungsausschüsse : aus der RDV 2/2024, Seite 115-117

Zu den Vorlagefragen:

Zur ersten Frage:

Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art.  16 Abs.  2 S.  1 AEUV und Art.  2 Abs. 2 Buchst. a) DS-GVO dahin auszulegen sind, dass eine Tätigkeit allein deshalb, weil es sich bei ihr um eine Tätigkeit eines vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses handelt, außerhalb des Anwendungsbereichs des Unionsrechts liegt und damit der Anwendung dieser Verordnung entzogen ist. […]

Aus der Rechtsprechung des Gerichtshofs ergibt sich, dass die in Art. 2 Abs. 2 DS-GVO vorgesehene Ausnahme eng auszulegen ist (Urt. v. 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 62 und die dort angeführte Rechtsprechung). In diesem Zusammenhang hat der Gerichtshof bereits entschieden, dass mit Art.  2 Abs.  2 Buchst. a) DS-GVO im Licht des 16. Erwägungsgrundes dieser Verordnung von deren Anwendungsbereich allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden, so dass der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, nicht dafür ausreicht, dass diese Ausnahme automatisch für diese Tätigkeit gilt (Urt. v. 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 66, und vom 22.10.2022, Koalitsia „Demokratichna Bulgaria – Obedinenie“, C-306/21, EU:C:2022:813, Rn. 39).

Diese Auslegung, die sich bereits daraus ergibt, dass Art. 2 Abs. 1 DS-GVO nicht danach unterscheidet, wer Urheber der betreffenden Verarbeitung ist, wird durch ihren Art.  4 Nr. 7 bestätigt, der den Begriff „Verantwortlicher“ als „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“, definiert.

Bei der Auslegung ebendieser Bestimmung hat der Gerichtshof festgestellt, dass, soweit ein Petitionsausschuss eines Parlaments eines Gliedstaats eines Mitgliedstaats allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet, er als „Verantwortlicher“ im Sinne dieser Bestimmung einzustufen ist, so dass die von einem solchen Ausschuss vorgenommene Verarbeitung personenbezogener Daten in den Anwendungsbereich dieser Verordnung fällt (Urt. v. 09.07.2020, Land Hessen, C-272/19, EU:C:2020:535, Rn. 74). […]

Nach alledem ist auf die erste Frage zu antworten, dass Art. 16 Abs. 2 S. 1 AEUV und Art. 2 Abs. 2 Buchst. a) DS-GVO dahin auszulegen sind, dass nicht angenommen werden kann, dass eine Tätigkeit allein deshalb außerhalb des Anwendungsbereichs des Unionsrechts liegt und damit der Anwendung der DS-GVO entzogen ist, weil sie von einem vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschuss ausgeübt wird.

Zur zweiten Frage:

Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 2 Abs. 2 Buchst. a) DS-GVO im Licht des 16. Erwägungsgrundes dieser Verordnung dahin auszulegen ist, dass die Tätigkeiten eines vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, die der Untersuchung der Tätigkeiten einer polizeilichen Staatsschutzbehörde aufgrund des Verdachts politischer Einflussnahme auf diese Behörde dienen, nicht als die nationale Sicherheit betreffende Tätigkeiten im Sinne dieser Bestimmung anzusehen sind, die außerhalb des Anwendungsbereichs des Unionsrechts liegen.

Wie in Rn. 37 des vorliegenden Urteils ausgeführt, ist Art. 2 Abs. 2 Buchst. a) DS-GVO eng auszulegen und soll allein Verarbeitungen personenbezogener Daten vom Anwendungsbereich dieser Verordnung ausnehmen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden.

Die im Sinne von Art. 2 Abs. 2 Buchst. a) DS-GVO auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten umfassen insbesondere solche, die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken (Urt. v. 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 67, und vom 22.10.2022, Koalitsia „Demokratichna Bulgaria – Obedinenie“, C-306/21, EU:C:2022:813, Rn. 40).

Nach Art.  4 Abs.  2 EUV bleiben solche Tätigkeiten in der alleinigen Verantwortung der Mitgliedstaaten (vgl. in diesem Sinne Urt. v. 15.07.2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, Rn. 36).

Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte, dass der BVT-Untersuchungsausschuss vom Nationalrat eingesetzt wurde, um eine mögliche politische Einflussnahme auf das BVT zu untersuchen, das während des im Ausgangsverfahren in Rede stehenden Zeitraums für Verfassungsschutz und Terrorismusbekämpfung zuständig war.

Der Präsident des Nationalrates und die tschechische Regierung vertreten im Wesentlichen die Ansicht, dass die Aufgaben des BVT, die „die nationale Sicherheit betreffende Tätigkeiten“ einschlossen, unter die in Art. 2 Abs. 2 Buchst. a) DS-GVO vorgesehene Ausnahme fielen. Aber auch die Tätigkeiten eines Untersuchungsausschusses des Parlaments eines Mitgliedstaats, die in der Kontrolle staatlicher Organe bestünden, die wie das BVT für die Gewährleistung der nationalen Sicherheit zuständig seien, fielen unter den Begriff der die nationale Sicherheit betreffenden Tätigkeiten. Zweck der Kontrolltätigkeit eines solchen Untersuchungsausschusses sei es nämlich, zu prüfen, ob die kontrollierten Behörden die nationale Sicherheit ordnungsgemäß gewährleisteten.

Hierzu ist darauf hinzuweisen, dass es gemäß Art. 4 Abs. 2 EUV zwar Sache der Mitgliedstaaten ist, ihre wesentlichen Sicherheitsinteressen festzulegen und die geeigneten Maßnahmen zu ergreifen, um ihre innere und äußere Sicherheit zu gewährleisten, doch kann die bloße Tatsache, dass eine nationale Maßnahme zum Schutz der nationalen Sicherheit getroffen wurde, nicht dazu führen, dass das Unionsrecht unanwendbar ist und die Mitgliedstaaten von der erforderlichen Beachtung dieses Rechts entbunden werden (vgl. in diesem Sinne Urt. v. 15.07.2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, Rn. 40 und die dort angeführte Rechtsprechung).

Wie bereits in Rn. 41 des vorliegenden Urteils ausgeführt, bezieht sich die in Art. 2 Abs. 2 Buchst. a) DS-GVO vorgesehene Ausnahme ausschließlich auf Kategorien von Tätigkeiten, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fallen, und nicht auf Kategorien von Personen (privater oder öffentlich-rechtlicher Natur) und – für den Fall, dass der Verantwortliche eine Behörde ist – auch nicht darauf, dass Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer bestimmten hoheitlichen Befugnis zuzurechnen sind, wenn diese Befugnis nicht mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist. Insoweit reicht der Umstand, dass der Verantwortliche eine Behörde ist, deren Haupttätigkeit in der Gewährleistung der nationalen Sicherheit besteht, als solcher nicht aus, um Verarbeitungen personenbezogener Daten durch diese Behörde im Rahmen anderer von ihr durchgeführter Tätigkeiten vom Anwendungsbereich der DS-GVO auszunehmen.

Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte, dass der im Ausgangsverfahren in Rede stehende Untersuchungsausschuss eine politische Kontrolle der Tätigkeit des BVT zum Gegenstand hatte, da der Verdacht politischer Einflussnahme auf das BVT bestand; diese Kontrolle scheint im Sinne der oben in Rn. 45 wiedergegebenen Rechtsprechung jedoch als solche weder eine Tätigkeit darzustellen, die der Wahrung der nationalen Sicherheit dient, noch eine Tätigkeit, die derselben Kategorie zugeordnet werden kann. Daraus folgt, dass diese Tätigkeit vorbehaltlich einer Überprüfung durch das vorlegende Gericht nach Art.  2 Abs.  2 Buchst. a) DS-GVO nicht vom Anwendungsbereich dieser Verordnung ausgenommen ist.

Allerdings kann ein parlamentarischer Untersuchungsausschuss wie der im Ausgangsverfahren in Rede stehende im Rahmen seiner Tätigkeiten Zugang zu Informationen, insbesondere zu personenbezogenen Daten, haben, die aus Gründen der nationalen Sicherheit besonders zu schützen sind, indem z.B. die Informationen, die den betroffenen Personen zur Datenerfassung zur Verfügung gestellt werden, oder auch deren Zugang zu diesen Daten eingeschränkt werden.

In diesem Zusammenhang sieht Art. 23 DS-GVO vor, dass die Pflichten und Rechte gemäß den Artt. 5, 12 bis 22 und 34 DS-GVO im Wege von Gesetzgebungsmaßnahmen beschränkt werden können, um u.a. die nationale Sicherheit oder eine Kontrollfunktion, die mit der Ausübung öffentlicher Gewalt – insbesondere im Rahmen der nationalen Sicherheit – verbunden ist, sicherzustellen.

So kann das Erfordernis der Gewährleistung der nationalen Sicherheit Beschränkungen der sich aus der DS-GVO ergebenden Pflichten und Rechte im Wege von Gesetzgebungsmaßnahmen rechtfertigen, insbesondere in Bezug auf die Erhebung personenbezogener Daten, die Unterrichtung der betroffenen Personen und ihren Zugang zu diesen Daten oder deren Offenlegung an andere Personen als den Verantwortlichen ohne Zustimmung der betroffenen Personen, soweit solche Beschränkungen den Wesensgehalt der Grundrechte und Grundfreiheiten der betroffenen Personen wahren und eine notwendige und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft darstellen.

Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte jedoch nicht, dass der BVT-Untersuchungsausschuss dargetan hätte, dass die Offenlegung der personenbezogenen Daten von WK, die im Rahmen der Veröffentlichung des Protokolls seiner Befragung vor diesem Untersuchungsausschuss auf der Webseite des Österreichischen Parlaments und ohne Zustimmung von WK erfolgte, für die Gewährleistung der nationalen Sicherheit erforderlich gewesen sei und auf einer dafür vorgesehenen nationalen Gesetzgebungsmaßnahme beruht habe. Es ist jedoch Sache des vorlegenden Gerichts, gegebenenfalls die in diesem Zusammenhang erforderlichen Überprüfungen vorzunehmen.

Nach alledem ist auf die zweite Frage zu antworten, dass Art. 2 Abs. 2 Buchst. a) DS-GVO im Licht des 16. Erwägungsgrundes dieser Verordnung dahin auszulegen ist, dass die Tätigkeiten eines vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, die der Untersuchung der Tätigkeiten einer polizeilichen Staatsschutzbehörde aufgrund des Verdachts politischer Einflussnahme auf diese Behörde dienen, als solche nicht als die nationale Sicherheit betreffende Tätigkeiten im Sinne dieser Bestimmung anzusehen sind, die außerhalb des Anwendungsbereichs des Unionsrechts liegen. […]