Im sog. „FIN-Urteil“ vom 9.11.2023 (C-319/22, Rn. 52 ff, Volltext: https://buff.ly/3GZQ4l4) beantwortet der EuGH die Frage, auf welcher datenschutzrechtlichen Rechtsgrundlage die Übermittlung der FIN basiert. Dabei erläutert er anschaulich, welche Voraussetzungen vorliegen müssen, damit eine Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
Worum ging es in dem Rechtsstreit?
In dem Rechtsstreit klagte der Deutsche Gesamtverband Autoteile-Handel gegen den Lkw-Hersteller Scania, welcher Reparatur- und Wartungsinformationen auf seiner Website bereitstellt. Streitpunkt war, dass Scania es unterließ, den unabhängigen Wirtschaftsakteuren, wie z.B. Ersatzteilhändlern, die sogenannte FIN zur Verfügung zu stellen. Durch die FIN (kurz für Fahrzeugidentifikationsnummer, englisch: VIN) können Fahrzeuge eindeutig identifiziert werden; allerdings kann es sich dabei auch um ein personenbezogenes Datum handeln, wenn hierüber der Halter identifizierbar ist, sodass zusätzlich das Datenschutzrecht zu beachten ist.
Im Raum stand die Frage: Sind die Fahrzeughersteller verpflichtet, unabhängigen Wirtschaftsakteuren die FIN zugänglich zu machen, wenn diese für die Reparatur und Wartung ihrer Fahrzeuge erforderlich ist?
Welche Entscheidung traf der EuGH nun?
In seinem Urteil entschied der EuGH, dass die Fahrzeughersteller auch die FIN bereitstellen müssen. Er stellte fest, dass die DSGVO dem Ganzen nicht entgegensteht, selbst wenn die FIN als personenbezogenes Datum eingestuft wird. Grund dafür ist, dass die Verarbeitung der personenbezogenen Daten für die Erfüllung der Informationszugangsverschaffungspflicht der Fahrzeughersteller erforderlich ist.
Wann eine solche Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung rechtmäßig ist, findet sich in Art. 6 Abs. 1 Satz 1 Buchst. c DSGVO. Dieser muss dabei immer zusammen mit Art. 6 Abs. 3 DSGVO gelesen werden. Art. 6 Abs. 3 DSGVO legt fest, welche Mindestanforderungen das EU-Recht oder das nationale Recht (siehe Art. 6 Abs. 3 Satz 1 DSGVO) erfüllen muss, um hieraus eine rechtliche Pflicht zur Verarbeitung abzuleiten. Diese Mindestanforderungen ergeben sich aus Art. 6 Abs. 3 Satz 2, Abs. 3 Satz 4 DSGVO. Demgegenüber enthält Art. 6 Abs. 3 Satz 3 DSGVO optionale Festlegungen, welche die rechtliche Verpflichtung konkretisieren können, nicht müssen.
Welche Voraussetzungen müssen allgemein vorliegen?
Es ergibt sich, dass für eine erforderliche Verarbeitung von personenbezogenen Daten zur Erfüllung einer rechtlichen Pflicht allgemein vier Voraussetzungen vorliegen müssen:
- Eine Rechtsgrundlage im Unionsrecht oder im Recht des Mitgliedstaates, dem der Verantwortliche unterliegt. Nicht ausreichend ist eine vertragliche Pflicht; diese werden über Art. 6 Abs. 1 Satz 1 Buchst. b DSGVO erfasst.
- Der Zweck der Verarbeitung muss im Unionsrecht/nationalen Recht definiert sein.
- Das Unionsrecht/nationales Recht muss ein im öffentlichen Interesse liegendes Ziel verfolgen. Achtung: Es geht nicht um Ausübung öffentlicher Gewalt durch öffentliche Stellen, sondern darum, dass die rechtliche Pflicht im öffentlichen Interesse liegt.
- Die Verarbeitung muss in angemessenem Verhältnis zu dem im öffentlichen Interesse liegenden Ziel stehen.
Auf welcher Rechtsgrundlage basierte die Entscheidung im konkreten Fall?
Im konkreten Fall ging es um Art. 61 Abs. 1 Verordnung 2018/858:
„Die Hersteller gewähren unabhängigen Wirtschaftsakteuren uneingeschränkten, standardisierten und diskriminierungsfreien Zugang zu Fahrzeug-OBD-Informationen, […] einschließlich der vollständigen Referenzinformationen […] sowie zu Fahrzeugreparatur- und -wartungsinformationen. […]“
Eine konkrete Vorgabe, für den Zweck „Bereitstellung der genannten Informationen für definierte Empfänger“ auch personenbezogene Daten zu verarbeiten, enthält Art. 61 Abs. 1 VO 2018/858 nicht. Das ist nach dem EuGH keine Voraussetzung für eine rechtliche Pflicht. Es genügt, wenn die Verarbeitung der Daten aus der rechtlichen Pflicht folgt und diese den obigen vier Bedingungen entspricht. Die Ansicht, wonach die Verarbeitung unmittelbar durch Unionsrecht/nationales Recht angeordnet werden muss, um eine Rechtspflicht nach Art. 6 Abs. 1 Satz 1 Buchst. c DSGVO zu begründen, ist hinfällig.
Im konkreten Fall bejaht der EuGH das Vorliegen der vier Bedingungen bei Art. 61 Abs. 1 VO 2018/858 (ausführlich Rn. 55).
Was sind die Folgen?
Wer Verarbeitungen auf Art. 6 Abs. 1 Satz 1 Buchst. c DSGVO zur Erfüllung einer rechtlichen Verpflichtung stützt, muss vorher prüfen, ob die vier Bedingungen aus Art. 6 Abs. 3 DSGVO gegeben sind. Das Ergebnis der Prüfung ist zwecks Erfüllung der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO zu dokumentieren. (Hier: Urteil zur Rechenschaftspflicht, C-60/22)