Urteil : Antragslose Löschungsanordnungen der Datenschutzaufsicht : aus der RDV 3/2024, Seite 176-177

Zu den Vorlagefragen:

Mit seiner ersten Frage möchte das vorlegende Gericht wissen, ob Art. 58 Abs. 2 Buchst. c), d) und g) DS‑GVO dahin auszulegen ist, dass die Aufsichtsbehörde eines Mitgliedstaats den Verantwortlichen oder Auftragsverarbeiter in Ausübung ihrer in diesen Bestimmungen vorgesehenen Abhilfebefugnisse selbst dann zur Löschung unrechtmäßig verarbeiteter personenbezogener Daten anweisen darf, wenn die betroffene Person keinen entsprechenden Antrag auf Ausübung ihrer Rechte nach Art. 17 Abs. 1 DS‑GVO gestellt hat. […]

Entspricht die Verarbeitung personenbezogener Daten nicht den u.a. in Art. 5 DS‑GVO festgelegten Grundsätzen, so dürfen die Aufsichtsbehörden der Mitgliedstaaten im Einklang mit ihren Aufgaben und Befugnissen nach den Artt. 57 und 58 DS‑GVO tätig werden. Zu diesen Aufgaben gehört es gem. Art. 57 Abs. 1 Buchst. a) DS‑GVO u.a., die Anwendung der Verordnung zu überwachen und durchzusetzen (vgl. in diesem Sinne Urt. v. 16.07.2020, Facebook Ireland und Schrems, C‑311/18, EU:C:2020:559, Rn. 108).

Der Gerichtshof hat insoweit bereits klargestellt, dass eine nationale Aufsichtsbehörde, wenn sie am Ende ihrer Untersuchung der Ansicht ist, dass die betroffene Person kein angemessenes Schutzniveau genießt, nach dem Unionsrecht verpflichtet ist, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen, und zwar unabhängig davon, welchen Ursprungs und welcher Art sie ist. Zu diesem Zweck werden in Art. 58 Abs. 2 DS‑GVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt. Es ist Sache der Aufsichtsbehörde, das geeignete Mittel zu wählen, um mit aller gebotenen Sorgfalt ihre Aufgabe zu erfüllen, die darin besteht, über die umfassende Einhaltung der DS‑GVO zu wachen (vgl. in diesem Sinne Urt. v. 16.07.2020, Facebook Ireland und Schrems, C‑311/18, EU:C:2020:559, Rn. 111 und 112).

Was insbesondere die Frage betrifft, ob die betreffende Aufsichtsbehörde solche Abhilfemaßnahmen von Amts wegen ergreifen kann, ist zunächst darauf hinzuweisen, dass Art.  58 Abs.  2 DS‑GVO seinem Wortlaut nach zwischen Abhilfemaßnahmen unterscheidet, die von Amts wegen angeordnet werden können, dies sind u.a. die in Art. 58 Abs. 2 Buchst. d) und g) genannten, und solchen, die nur auf Antrag der betroffenen Person auf Ausübung ihrer Rechte aus dieser Verordnung hin ergriffen werden können, etwa die in Art. 58 Abs. 2 Buchst. c) DS‑GVO genannten.

Wie sich aus dem Wortlaut von Art.  58 Abs.  2 Buchst.  c) DS‑GVO ausdrücklich ergibt, setzt die in dieser Bestimmung vor‑ gesehene Abhilfebefugnis, nämlich „den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen“, voraus, dass eine betroffene Person ihre Rechte zuvor mit einem entsprechenden Antrag geltend gemacht hat und dass diesem Antrag nicht vor der in der Bestimmung vorgesehenen Entscheidung der Aufsichtsbehörde stattgegeben wurde. Dagegen berechtigt der Wortlaut von Art. 58 Abs. 2 Buchst. d) und g) DS‑GVO nicht zu der Annahme, dass das Eingreifen der Aufsichtsbehörde eines Mitgliedstaats im Hinblick auf die Anwendung der dort genannten Maßnahmen allein auf die Fälle beschränkt wäre, in denen die betroffene Person einen entsprechenden Antrag gestellt hat, da dieser Wortlaut keine Bezugnahme auf einen solchen Antrag enthält.

Sodann ist in Bezug auf den Zusammenhang, in dem diese Bestimmungen stehen, festzustellen, dass der Wortlaut von Art. 17 Abs. 1 DS‑GVO durch die eine Verknüpfung anzeigende Konjunktion „und“ zwischen dem Recht der betroffenen Person, vom Verantwortlichen die unverzügliche Löschung der sie betreffenden Daten zu verlangen, und der Verpflichtung des Verantwortlichen zur unverzüglichen Löschung dieser personenbezogenen Daten unterscheidet. Daraus ist zu schließen, dass diese Bestimmung zwei voneinander unabhängige Fallgestaltungen regelt, nämlich zum einen die Löschung der Daten auf Antrag der betroffenen Person und zum anderen die Löschung aufgrund des Bestehens einer dem Verantwortlichen obliegenden eigenständigen, von einem Antrag der betroffenen Person unabhängigen Verpflichtung.

Wie nämlich der Europäische Datenschutzausschuss in seiner Stellungnahme Nr. 39/2021 ausgeführt hat, ist eine solche Unterscheidung erforderlich, da manche der in Art.  17 Abs.  1 DS-GVO genannten Fallgestaltungen Situationen erfassen, in denen die betroffene Person nicht notwendigerweise über die Verarbeitung von sie betreffenden personenbezogenen Daten informiert wurde, so dass allein der Verantwortliche feststellen kann, ob eine solche Verarbeitung stattfand. Dies ist insbesondere dann der Fall, wenn diese Daten im Sinne dieses Art. 17 Abs. 1 Buchst. d) unrechtmäßig verarbeitet wurden. Diese Auslegung wird gestützt von Art.  5 Abs.  2 i.V.m. Art.  5 Abs.  1 Buchst.  a) DS‑GVO, wonach der Verantwortliche u.a. sicherstellen muss, dass die von ihm durchgeführte Datenverarbeitung rechtmäßig ist (vgl. in diesem Sinne Urt. v. 04.05.2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C‑60/22, EU:C:2023:373, Rn. 54).

Schließlich spricht für eine solche Auslegung auch das mit Art. 58 Abs. 2 DS‑GVO verfolgte Ziel, wie es sich aus dem 129. ErwG ergibt, nämlich sicherzustellen, dass die Verarbeitung personenbezogener Daten mit dieser Verordnung übereinstimmt und dass Situationen, in denen gegen die DS‑GVO verstoßen wird, durch das Eingreifen der nationalen Aufsichtsbehörden wieder mit dem Unionsrecht in Einklang gebracht werden. […]

Unter diesen Umständen ist anzunehmen, dass die Aufsichtsbehörde eines Mitgliedstaats die Abhilfebefugnisse nach Art.  58 Abs.  2 DS‑GVO, insbesondere die dort in den Buchst.  d) und g) genannten Befugnisse, von Amts wegen ausüben darf, soweit die Ausübung dieser Befugnisse von Amts wegen erforderlich ist, damit sie ihre Aufgabe erfüllen kann. Ist also diese Behörde am Ende ihrer Untersuchung der Ansicht, dass die Verarbeitung nicht den Anforderungen der DS‑GVO entspricht, so muss sie nach dem Unionsrecht die geeigneten Maßnahmen erlassen, um den festgestellten Verstößen abzuhelfen, und zwar unabhängig davon, ob die betroffene Person zuvor einen Antrag auf Ausübung ihrer Rechte nach Art. 17 Abs. 1 DS‑GVO gestellt hat. […]