EuGH entscheidet: Auch indirekte Angaben können unter besondere Kategorien personenbezogener Daten fallen
12.06.2023 | Susanne Stingl
In einer aktuellen Entscheidung des Europäischen Gerichtshof (EuGH) stellt dieser fest, dass der Begriff der besonderen Kategorien personenbezogenen Daten weit auszulegen ist und auch solche Daten erfasst sind, aus denen sich indirekt eine sensible Information ergibt.
Nach Art. 9 DSGVO sind Daten, „aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist“ besonders geschützt. Deren Verarbeitung ist nur unter strengen Voraussetzungen möglich.
Im gegenständlichen Fall regelte ein Korruptionsgesetz in Litauen, dass Personen die im öffentlichen Dienst arbeiten, eine Erklärung über private Interessen abgeben mussten. Dabei wurden auch Angaben über Ehepartner:innen, Lebensgefährt:innen oder Partner:innen verlangt. Die Daten wurden auf einer Website veröffentlicht. Problematisch war, dass sich aus diesen Angaben indirekt sensible Daten ergeben, zum Beispiel zur sexuellen Orientierung, wenn der oder die Lebenspartner:in das gleiche Geschlecht hat. Das anfragende litauische Gericht legte dem EuGH die Frage vor, ob diese indirekte Ableitungsmöglichkeit ausreichend ist, um die Rechtsfolgen des Art. 9 DSGVO auszulösen.
Der EuGH stellte in der Vorabentscheidung fest, dass der Begriff weit auszulegen ist. Begründet wird dies zum einen mit dem Wortlaut („hervorgehen“), auf der anderen Seite mit dem Schutzzweck der Vorschrift. Geschützt werden sollen die betroffenen Personen vor einem Eingriff in ihre Grundrechte, vor allem dem Grundrecht auf Achtung der Privatsphäre. Dieser Schutzzweck würde nicht erfüllt, wenn Daten preisgegeben werden, aus denen sich auch indirekt sensible Daten ergeben. Daher fallen auch solche Daten unter Art. 9 DSGVO, aus denen sich mittels eines Denkvorgangs der Ableitung oder des Abgleichs indirekt sensible Informationen ergeben.
Daher sollte im Umgang mit Daten, vor allem auch bei Veröffentlichung und Weitergabe von Daten, stets geprüft werden, ob sich daraus besondere Kategorien personenbezogener Daten ableiten lassen. Im universitären Alltag kann sich das beispielsweise bei der Veröffentlichung von Lebensläufen ergeben oder im Rahmen von Forschungsprojekten anhand der „Financial Disclosure“. Die Verarbeitung besonderer Kategorien personenbezogener Daten ist dabei nicht grundsätzlich verboten. Es sind jedoch strengere Voraussetzungen daran geknüpft, die geprüft werden müssen. Im Zweifel sollte man eher den strengeren Maßstab ansetzen und die Vorgaben einhalten, die für besondere Kategorien personenbezogener Daten gelten.
Bei Fragen können Sie sich gern an dsb@ur.de wenden.
Quelle: EuGH, Urteil vom 01.08.2022
