DS-GVO-Vorlagefragen an den EuGH

Vorabentscheidungsersuchen

Vorlagefragen

NEU C-730/25, Vinted, Vorabentscheidungsersuchen vom Lietuvos vyriausiasis administracinis teismas (Litauen), eingereicht am 17.11.2025

1. Sind Art. 55 Abs. 1, 56 Abs. 1, 57 Abs. 1, 58 Abs. 1 und Abs. 2 DS-GVO sowie Art. 60 DS-GVO dahin auszulegen, dass sie einer Praxis eines Mitgliedstaats entgegenstehen, wonach die Aufsichtsbehörde über eine Beschwerde im Zusammenhang mit der grenzüberschreitenden Datenverarbeitung ausschließlich deshalb nicht mehr entscheiden und/oder Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO treffen kann, weil die im nationalem Recht vorgesehene zweijährige Verjährungsfrist für die Verhängung einer Geldbuße abgelaufen ist?

2. Sind Art. 57 Abs. 1 lit. f. und 58 Abs. 1 und Abs. 2 DS-GVO dahin auszulegen, dass eine Aufsichtsbehörde, wenn sie die Beschwerde einer betroffenen Person über einen konkreten Verstoß prüft, über andere Verstöße gegen die DS-GVO im Zusammenhang mit derselben Datenverarbeitung, die bei der Prüfung der Beschwerde aufgedeckt wurden, entscheiden darf (oder muss), oder muss sie sich auf den Gegenstand der Beschwerde beschränken?

3. Ist Art. 57 Abs. 1 lit. f. DS-GVO dahin auszulegen, dass die Aufsichtsbehörde bei Eingang einer Beschwerde einer betroffenen Person verpflichtet ist, den Umfang der Untersuchung klar zu definieren und dem Verantwortlichen genau vorzugeben, welche Informationen von ihm benötigt werden, um sicherzustellen, dass die Beschwerde ordnungsgemäß untersucht wird?

4. Sind Art. 5 Abs. 2 und 24 DS-GVO dahin auszulegen, dass der Verantwortliche nach dem Grundsatz der Rechenschaftspflicht verpflichtet ist, alle verfügbaren Daten der betroffenen Person, die die Beschwerde eingereicht hat, während der gesamten Dauer der Untersuchung der Beschwerde zu sichern, auch wenn diese Daten nicht im direkten Zusammenhang mit dem Umfang der von der Aufsichtsbehörde geprüften Beschwerde stehen, und dass diese Speicherung mit dem in Art. 5 Abs. 1 lit. c DS-GVO verankerten Grundsatz der Datenminimierung und dem Grundsatz der Speicherbegrenzung nach lit. e vereinbar ist?

5. Sind Art. 5 Abs. 1 lit. a und 12 Abs. 1 und Abs. 4 DS-GVO dahin auszulegen, dass der Verantwortliche, wenn eine betroffene Person einen pauschalen Antrag auf Löschung ihrer personenbezogenen Daten gem. Art. 17 DS-GVO stellt, ohne die Gründe für die Löschung anzugeben, die Löschung der Daten verweigern darf und nicht verpflichtet ist, die betroffene Person zu informieren, dass er von sich aus geprüft hat, ob mind. einer der in Art. 17 Abs. 1 DS-GVO genannten Löschungsgründe vorliegt? Ist darüber hinaus der in Art. 5 Abs. 1 lit. a und 12 Abs. 1 DS-GVO iVm Art. 12 Abs. 4 DS-GVO verankerte Grundsatz der Transparenz für den Fall, dass die auf einen Antrag nach Art. 17 DS-GVO gestützte Löschung personenbezogener Daten verweigert wird, dahin auszulegen, dass er den Verantwortlichen verpflichtet, der betroffenen Person Informationen über alle Gründe für die Verarbeitung der personenbezogenen Daten zu erteilen, einschließlich der Zwecke der verbleibenden Verarbeitungsvorgänge, der Datenkategorien, der Verarbeitungsvorgänge und der Rechtsgrundlage?

6. Sind Art. 5 Abs. 1 lit. a, 6 Abs. 1 lit. f., 13 Abs. 1 lit. d, 14 Abs. 3 lit. a und 14 Abs. 5 DS-GVO dahin auszulegen, dass die Verpflichtung des Verantwortlichen, die betroffene Person über die Verarbeitung personenbezogener Daten im Zusammenhang mit Shadow Banning zu informieren, erfüllt ist und als mit dem Grundsatz der Transparenz vereinbar angesehen wird, wenn der Verantwortliche in seiner Datenschutzerklärung angibt, dass bei Verstößen gegen die Regeln der Plattform eine Sperre erfolgt (ohne die möglichen Arten der Sperre einschließlich Shadow Banning zu spezifizieren) und dass die personenbezogenen Daten (einschließlich des Grundes für die Sperre, der Dauer und der Profildaten) auf der Grundlage des berechtigten Interesses am Schutz und der Gewährleistung der Sicherheit der Plattform, ihrer Nutzer und Mitglieder verarbeitet werden, die betroffene Person jedoch individuell weder zu Beginn noch später über die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Shadowban informiert wird, sondern erst nach Ablauf der Dauer des Shadow Banning (maximal 30 Tage) und nach Verhängung einer vollständigen Sperre Informationen über die Verarbeitung personenbezogener Daten aufgrund der Sperre (vollständige Sperre, nicht Shadow Banning) erhält? Für den Fall, dass die letzte Frage zu verneinen ist, ist Art. 14 Abs. 5 lit. b DS-GVO dahin auszulegen, dass sich der Verantwortliche auf die in dieser Bestimmung vorgesehene Ausnahme von der Informationspflicht berufen kann, wenn die Verarbeitung zu Zwecken des Shadow Banning erfolgt?

7. Sind Art. 5 Abs. 1 lit. a und 6 Abs. 1 lit. f. DS-GVO dahin auszulegen, dass das Handeln eines Verantwortlichen, der personenbezogene Daten eines Nutzers zum Zweck des Shadow Banning verarbeitet, ohne die betroffene Person über eine solche Verarbeitung zu informieren, aber zum Schutz der Plattform, ihrer Nutzer und ihrer Mitglieder, als mit den Anforderungen der DS-GVO an die Rechtmäßigkeit vereinbar angesehen werden kann?

NEU C-676/25, Viva credit, Vorabentscheidungsersuchen vom Administrativen sad – Varna (Bulgarien), eingereicht am 22.10.2025

1. Sind Art. 8 GRCh, Art. 12 Abs. 1 und 5 und 15 Abs. 3 DS-GVO iVm den Erwägungsgründen 58, 60-63 dieser Verordnung sowie mit den Urteilen des Gerichtshofs in den Rechtssachen C-487/21 und C-307/22 dahin zu verstehen, dass im Zusammenhang mit beendeten Rechtsbeziehungen zwischen einem Darlehensgeber und einem Darlehensnehmer aufgrund eines Darlehensvertrags das Recht der betroffenen Person, eine Kopie der personenbezogenen Daten zu erhalten, die Gegenstand einer Verarbeitung in Form einer Speicherung (Archivierung) für die Dauer und die Zwecke der Anwendung von Maßnahmen zur Bekämpfung der Geldwäsche sind, eine Verpflichtung des Verantwortlichen bedingt, auf jeden Antrag hin auch eine vollständige Kopie des Darlehensvertrags vorzulegen, in Bezug auf den die Einwilligung zur Verarbeitung der Daten erteilt wurde?

2. Ist das Recht auf Datenübertragbarkeit nach Art. 20 Abs. 1 DS-GVO dahin auszulegen, dass es auch das Recht der betroffenen Person umfasst, eine vollständige Kopie der Darlehensverträge in Papierform zu erhalten, bei deren Abschluss sie ihre personenbezogenen Daten bereitgestellt hat, wenn die Verträge beendet sind und die auf ihrer Grundlage erhobenen/verarbeiteten Daten vom Verantwortlichen ausschließlich für die Zwecke und die Dauer der Anwendung von Maßnahmen zur Bekämpfung der Geldwäsche gespeichert werden?

3. Wie ist das Verhältnis zwischen einerseits den Grundsätzen der Transparenz, Datenminimierung und Richtigkeit gem. Art. 5 Abs. 1 lit. a, c und d DS-GVO und den Rechten gem. Art. 15 Abs. 1 und 3 DS-GVO sowie Art. 20 Abs. 1 DS-GVO – auf Auskunft und Übertragbarkeit der personenbezogenen Daten, die Gegenstand einer Verarbeitung in Form von Speicherung (Archivierung) für die Zwecke und die Dauer der Anwendung von Maßnahmen zur Bekämpfung der Geldwäsche sind – und andererseits der Verpflichtung des Verantwortlichen, der betroffenen Person neben einer Kopie der Daten auch eine vollständige Kopie des Darlehensvertrags zur Verfügung zu stellen, wenn: 1. dieser nach einem Profiling der betroffenen Person durch Algorithmen für maschinelles Lernen geschlossen wurde und 2. Der Verantwortliche nachweist, dass die betroffene Person bereits darüber verfügt?

4. Falls die Verpflichtung zur Bereitstellung einer vollständigen Kopie des Darlehensvertrags nicht absolut ist (nicht unterstellt wird), die Daten nur in Form der Speicherung (Archivierung) für die Zwecke und die Dauer der Anwendung von Maßnahmen zur Bekämpfung der Geldwäsche verarbeitet werden und die betroffene Person geltend macht, dass sie ohne die vollständige Kopie des Vertrags den Kontext und die Auswirkungen der Verarbeitung nicht verstehen kann, nach welchen objektiven Kriterien und unter welchen Voraussetzungen sollte das nationale Gericht beurteilen, ob der Verantwortliche verpflichtet ist, eine vollständige Kopie des Darlehensvertrags zur Verfügung zu stellen?

5. Unterliegt iRd Anwendungsbereichs des Schutzes nach Art. 79 DS-GVO und Art. 8 GRCh die Beurteilung des Verantwortlichen, dass

der Darlehensvertrag Klauseln enthalte, die nicht in den Anwendungsbereich des Rechts nach Art. 15 Abs. 1 und Abs. 3 DS-GVO fielen, und dass der Antrag unverhältnismäßig und repetitiv sei, einer gerichtlichen Kontrolle und nach welchen objektiven Kriterien/unter welchen Voraussetzungen sollte diese Kontrolle durch das nationale Gericht erfolgen?

NEU C-654/25, Undealm, Vorabentscheidungsersuchen vom BGH, eingereicht am 6.10.2025

1. Ist Art. 4 Nr. 1 DS-GVO dahingehend auszulegen, dass im Falle der automatisierten Übermittlung einer dynamischen Internetprotokoll-Adresse (IP-Adresse) diese bereits dann ein personenbezogenes Datum darstellt, wenn ein Dritter über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt?

Oder ist Voraussetzung für die Annahme eines personenbezogenen Datums, dass der für die Übermittlung Verantwortliche oder der Empfänger über Mittel verfügen, die vernünftigerweise eingesetzt werden können, die betreffende Person – ggf. mit Hilfe eines Dritten – bestimmen zu lassen?

Falls letzteres zutrifft: Genügt es insoweit, dass unter bestimmten Voraussetzungen rechtliche Möglichkeiten zur Identifizierung der betroffenen Person bestehen können oder müssen diese Voraussetzungen in tatsächlicher und rechtlicher Sicht im konkreten Fall vorgelegen haben?

2. Ist Art. 82 Abs. 1 DS-GVO dahingehend auszulegen, dass ein immaterieller Schaden auch dann vorliegen kann, wenn die betroffene Person einen Verstoß des Verantwortlichen gegen die DS-GVO bewusst und allein zu dem Zweck herbeiführt, den Verstoß dokumentieren und ggü. dem Verantwortlichen geltend machen zu können?

Falls ja: Kann das Vorliegen eines immateriellen Schadens auch dann bejaht werden, wenn gleichartige Verstöße in großer Zahl in automatisierter Weise provoziert werden?

3. Falls beide unter Ziff. 2 aufgeworfenen Fragen bejaht werden:

Ist Art. 82 Abs. 1 DS-GVO dahingehend auszulegen, dass in einem Fall der in Frage 2 beschriebenen Art ein Anspruch auf Ersatz immateriellen Schadens wegen missbräuchlichen Verhaltens der betroffenen Person verneint werden kann, weil trotz formaler Einhaltung der in der Unionsregelung vorgesehenen Bedingungen das Ziel dieser Regelung nicht erreicht wurde und die Absicht bestand, sich einen aus der Unionsregelung resultierenden Vorteil zu verschaffen, indem die Voraussetzungen für seine Erlangung künstlich geschaffen werden? Kommt es insoweit darauf an, ob die Erlangung eines finanziellen Vorteils die alleinige Motivation für die Provokation des Verstoßes gegen die Verordnung war?

NEU EuGH C-594/25, Vodafone, Vorabentscheidungsersuchen vom LG Lübeck, eingereicht am 9.9.2025

Das LG Lübeck hat dieses Vorabentscheidungsersuchen zurückgenommen

1. Ist Art. 6 Abs. 1 lit. f DS-GVO dahingehend auszulegen, dass dieser auf Sachverhalte Anwendung findet, in denen über die Zulässigkeit der Übermittlung von Informationen von Mobilfunkunternehmen an privatrechtlich organisierte Wirtschaftsauskunfteien entschieden werden muss, die keine negativen Zahlungserfahrungen oder sonstiges nicht vertragsgemäßes Verhalten zum Inhalt haben, sondern die Beauftragung, Durchführung und Beendigung eines Vertrags (im Folgenden: Positivdaten) betreffen?

2. Falls Frage 1. bejaht wird: Ist Art. 6 Abs. 1 lit. f DS-GVO dahingehend auszulegen, dass dieser die Übermittlung von Positivdaten von Mobilfunkunternehmen an privatrechtlich organisierte Auskunfteien ohne Einwilligung der Betroffenen jedenfalls dann nicht zu rechtfertigen vermag, wenn die Auskunfteien die übermittelten Daten sodann auch zur Profilbildung (Scoring) verwenden?

3. Falls Frage 1 verneint wird oder Frage 1 und 2. bejaht werden: Ist Art. 82 Abs. 1 und 2 DS-GVO dahingehend auszulegen, dass ein schadensbegründender Kontrollverlust auch dann vorliegt, wenn Positivdaten ohne Einwilligung des Betroffenen von Mobilfunkunternehmen an privatrechtlich organisierte Auskunfteien übermittelt und dort frühestens nach deutlich über einem Jahr gelöscht wurden und der betroffene Verbraucher bei Vertragsschluss auf die Datenübermittlung hingewiesen wurde?

NEU C-568/25, Universal Versand, Vorabentscheidungsersuchen vom Obersten Gerichtshof (Österreich), eingereicht am 27.8.2025

1. Ist Art. 22 Abs. 1 DS-GVO dahin auszulegen, dass die Entscheidung eines Versandhändlers, die vom Kunden bei seiner Bestellanfrage gewünschte Zahlungsart „Teilzahlung“ oder „auf offene Rechnung“ abzulehnen, sich dem Kunden ggü. aber bereit zu erklären, die Geschäftsbeziehung entweder mit der Zahlungsart „Kreditkarte“ oder mit der Zahlungsart „PayPal“ einzugehen, die ausschließlich auf einer automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit eines Kunden beruht, die sich daraus ergibt, dass entweder nach einer automatischen Anfrage bei einer Auskunftei von dieser die Rückmeldung erstattet wird, dass der Kunde dort unbekannt ist, oder dass – bei einem bekannten Kunden – ein internes Bonitäts-Scoring zum Ergebnis gelangt, dass der Kunde über keine ausreichende Bonität verfügt, ggü. dem Kunden „rechtliche Wirkung“ entfaltet oder ihn „in ähnlicher Weise erheblich beeinträchtigt“, sofern durch diese Entscheidung nicht der Auftrag an sich abgelehnt wird, sondern der Kunde nur auf die vom Versandhändler vorgegebenen Zahlungsarten eingeschränkt wird?

Falls die Frage 1. bejaht wird:

2. a) Ist Art. 22 Abs. 2 lit. a DS-GVO dahin auszulegen, dass es für die Frage, ob eine auf einer automatisierten Einschätzung der Zahlungsausfallswahrscheinlichkeit des potenziellen Kunden beruhende Entscheidung eines Versandhändlers wie in Frage 1. beschrieben, für den Abschluss eines Vertrags zwischen dem Kunden und dem Versandhändler „erforderlich“ ist, darauf ankommt, dass zwischen dem Vertragszweck des mit dem Kunden abzuschließenden Vertrags und der Einschätzung der Zahlungsausfallswahrscheinlichkeit des Kunden ein unmittelbarer sachlicher Zusammenhang bestehen muss?

2. b) Müssen zur Bejahung der Erforderlichkeit nach Art. 22 Abs. 2 lit. a DS-GVO die erhobenen Datenkategorien entweder für sich oder in ihrer Kombination objektiv dazu geeignet sein, die Zahlungsausfallswahrscheinlichkeit einzuschätzen?

Hat der Versandhändler oder der Kunde zu behaupten und zu beweisen, welche Datenkategorien zum Zweck der Einschätzung der Zahlungsausfallswahrscheinlichkeit konkret erhoben wurden und, dass diese Datenkategorien entweder für sich oder in ihrer Kombination objektiv dazu geeignet sind, die Zahlungsausfallswahrscheinlichkeit einzuschätzen?

Falls die Frage 1. bejaht wird:

3. Ist Art. 22 Abs. 2 lit. a DS-GVO dahin auszulegen, dass gerade eine Entscheidungsfindung in automatisierter Form des Verantwortlichen für den Abschluss oder die Erfüllung des Vertrags erforderlich ist?

Falls die Frage 3. bejaht wird?

3. a) Ist Art. 22 Abs. 2 lit. a DS-GVO dahin auszulegen, dass es für die Frage, ob eine Entscheidung eines Versandhändlers wie unter Frage 1. beschrieben, für den Abschluss des Vertrags erforderlich ist, darauf ankommt, ob die automatisierte Entscheidungsfindung betreffend die Gewährung oder Ablehnung der gewünschten Zahlungsart mit vertretbarem Aufwand auch durch Menschen erfolgen kann? Welche Bedeutung haben dafür die Anzahl der beim Versandhändler einlangenden Bestellungen und die typische Erwartung der Kunden im Online-Bestellverfahren, umgehend darüber informiert zu werden, ob die von ihnen gewünschte Zahlungsart vom Versandhändler akzeptiert wird oder nicht?

NEU C-523/25, Stichting Data Bescherming Nederland, Vorabentscheidungsersuchen der Rechtbank Rotterdam (Niederlande), eingereicht am 1.8.2025

1. Art. 80 Abs. 1 DS-GVO formuliert Voraussetzungen in Bezug auf einen Interessenverband im Sinne dieser Bestimmung. Lässt es das Unionsrecht zu, dass die Niederlande in der Wet afwikkeling massaschade in collectieve actie (Gesetz über die Abwicklung von Massenschäden mittels einer Verbandsklage [WAMCA]) weitere Zulässigkeitsvoraussetzungen für Interessenverbände vorsehen, die Klagen iSd Art. 77, 78, 79 und 82 DS-GVO zugunsten von betroffenen natürlichen Personen erheben?

2. Sind die Zulässigkeitsvoraussetzungen in der WAMCA, insb. zu Gleichartigkeit und Repräsentativität, für Interessenvertreter, die zugunsten von betroffenen Personen eine Verbandsklage auf Schadensersatz gegen einen Verantwortlichen oder Auftragsverarbeiter wegen Verstößen gegen die DS-GVO erheben möchten, im Licht von Art. 80 Abs. 1 DS-GVO rechtmäßig?

3. Besagt die Voraussetzung in Art. 80 Abs. 1 DS-GVO, dass ein Interessenverband im Bereich des Schutzes der Rechte und Freiheiten von betroffenen Personen in Bezug auf den Schutz ihrer personenbezogenen Daten tätig ist, mehr oder etwas anderes als die nationale Voraussetzung, dass der Interessenverband über ausreichende Erfahrung und Fachkenntnisse in Bezug auf das durchzuführende Verfahren verfügt (Art. 3:305a Abs. 2 lit. e des Burgerlijk Wetboek [BGB] [BW]), iVm den Anforderungen an die Satzung (Art. 3:305a Abs. 1 BW)?

Ergibt sich aus der Voraussetzung betreffend die Tätigkeit in Art. 80 Abs. 1 DS-GVO, dass der Interessenverband eine Leistungsbilanz vorweisen muss?

4. Steht der Auftragsbegriff in Art. 80 Abs. 1 DS-GVO und/oder die Regelung in Art. 80 Abs. 2 DS-GVO einer nationalen Regelung entgegen, nach der ein Interessenverband, der die Voraussetzungen von Art. 80 Abs. 1 DS-GVO erfüllt, zugunsten von betroffenen Personen eine Verbandsklage auf Schadensersatz gegen einen Verantwortlichen oder Auftragsverarbeiter wegen Verstößen gegen die DS-GVO erheben kann, obwohl dieser Interessenverband nicht von den betroffenen Personen beauftragt worden ist?

5. Inwieweit ist es iRv Frage 4 bei der Auslegung des Auftragsbegriffs in Art. 80 DS-GVO von Bedeutung, dass nach der nationalen Regelung (WAMCA) die betroffene Person nicht vorher zum Ausdruck bringen muss, dass sie an die Verbandsklage auf Schadensersatz gebunden sein möchte? Dabei gilt, dass sie sich (im gegebenen Fall) zu zwei Zeitpunkten schriftlich dazu äußern kann, ob sie die Interessenvertretung durch den Interessenvertreter nicht in Anspruch nehmen und folglich nicht gebunden sein will, nämlich (i) innerhalb einer vom Gericht festzulegenden Frist ab dem Zeitpunkt, an dem der ausschließliche Interessenvertreter vom Gericht bestimmt wird (Art. 1018f Abs. 1 des Wetboek van rechtsvordering [Zivilprozessordnung] [Rv]), und (ii) innerhalb einer vom Gericht festzulegenden Frist, wenn die Parteien eine Vergleichsvereinbarung geschlossen haben (Art. 1018h Abs. 5 Rv).

NEU C-458/25, Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen, Vorabentscheidungsersuchen des Hof van Cassatie (Niederlande), eingereicht am 11.7.2025

Steht Art. 83 Abs. 7 DS-GVO iVm den Erwägungsgründen 38 und 58 sowie Art. 6 Abs. 1 lit. f, 8 und 57 Abs. 1 lit. b dieser Verordnung einer nationalen Regelung entgegen, die es der Aufsichtsbehörde nicht gestattet, gegen juristische Personen des Privatrechts, die subventionierten freien Unterricht erteilen, eine Geldbuße zu verhängen?

EuGH C-416/25, Freie und Hansestadt Hamburg, Vorabentscheidungsersuchen vom BGH, eingereicht am 25.6.2025

1. Sind Art. 2 Abs. 2 lit. d DS-GVO und Art. 1 Abs. 1, Art. 2 Abs. 1 JI-RL dahingehend auszulegen, dass sich die Beurteilung eines Anspruchs auf Ersatz des immateriellen Schadens wegen Verletzung der Auskunftspflicht im Hinblick auf die Verarbeitung von personenbezogenen Daten durch ein Gericht in einem Verfahren wegen einer Ordnungswidrigkeit (Bußgeldverfahren) nach dem in Umsetzung der JI-RL (Art. 56 und Art. 14 JI-RL) erlassenen nationalen Recht oder nach der DS-GVO (Art. 82 iVm Art. 15 DS-GVO) richtet?

2. a) Falls die DS-GVO anwendbar ist:

Sind die Regelungen in Art. 82 Abs. 1, Abs. 2 S. 1 DS-GVO dahingehend zu verstehen, dass sie einer betroffenen Person auch wegen Verletzung ihres Auskunftsrechts nach Art. 15 DS-GVO einen Anspruch auf Schadensersatz für den wegen einer verspäteten oder unvollständigen Auskunft entstandenen immateriellen Schaden einräumen?

b) Falls die JI-RL anwendbar ist:

Ist Art. 56 JI-RL dahingehend zu verstehen, dass die Mitgliedstaaten auch für die Verletzung des Auskunftsrechts nach den Art. 14 JI-RL umsetzenden nationalen Vorschriften ein Recht auf Schadensersatz für den wegen einer verspäteten oder unvollständigen Auskunft entstandenen immateriellen Schaden vorzusehen haben?

3. Falls Frage 2 a) oder 2b) bejaht wird:

Stellt bereits die mit einer Verletzung der Auskunftspflicht (nach Art. 15 DS-GVO bzw. nach den auf Art. 14 JI-RL beruhenden nationalen Vorschriften) einhergehende Ungewissheit des Betroffenen über die Verarbeitung seiner personenbezogenen Daten und die daraus resultierende Hinderung daran, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen und etwaige diesbezügliche Rechte geltend zu machen, einen immateriellen Schaden iSv Art. 82 DS-GVO bzw. Art. 56 JI-RL dar?

NEU EuGH C-317/25, Groupe Canal +, Vorabentscheidungsersuchen des Conseil d'État (Frankreich), eingereicht am 6.5.2025

Ist Art. 7 DS-GVO, iVm ihren Art. 4, 13 und 14 sowie iVm den Art. 2 und 13 der RL 2002/58/EG des Europäischen Parlaments und des Rates v. 12.7.2002 dahin auszulegen, dass, wenn eine Stelle bei der Erhebung personenbezogener Daten von ihren Kunden bzw. Teilnehmern deren Einwilligung einholt, damit diese Daten für Zwecke elektronischer Direktwerbung durch sie selbst oder durch ihre Partner verwendet werden dürfen, wodurch die Stelle selbst über Zweck und Mittel der Verarbeitung entscheidet und somit als Verantwortlicher iSd Datenschutzrechts gilt, die informierte Abgabe der Einwilligung zwingend voraussetzt, dass die betroffenen Personen vorab über die Identität der Partner der betreffenden Stelle informiert werden, die Empfänger der Daten sind und ihnen elektronische Direktwerbung zusenden oder zusenden lassen können?

EuGH C-273/25, Erser, Vorabentscheidungsersuchen des LG Erfurt, eingereicht am 8.4.2025

1. Ist Art. 82 Abs. 1 DS-GVO dahin auszulegen, dass ein nationales Gericht bei einem Verstoß gegen die DS-GVO einer betroffenen Person Schadensersatz zusprechen muss, die lediglich nachgewiesen hat, dass ein Dritter (und nicht der beklagte datenschutzrechtlich Verantwortliche) ihre personenbezogenen Daten im Internet veröffentlicht hat? Mit anderen Worten: Stellt der bloße und ggf. nur kurzzeitige Verlust der Kontrolle über eigene Daten einen immateriellen Schaden iSd Art. 82 Abs. 1 DS-GVO dar?

2. Falls Frage 1 bejaht wird: Inwieweit unterscheidet sich die Antwort oder macht es einen Unterschied, wenn die veröffentlichten Daten nur aus bestimmten personenbezogenen Daten bestehen (einschließlich allenfalls numerische Nutzer-ID, Name und Geschlecht), welche die betroffene Person bereits selbst im Internet veröffentlicht hatte, iVm der Telefonnummer der betroffenen Person, die ein Dritter (bei dem es sich nicht um den beklagten datenschutzrechtlich Verantwortlichen handelt) mit diesen personenbezogenen Daten verknüpft hat?

EuGH C-222/25, Rahapesu Andmebüroo, Vorabentscheidungsersuchen des Riigikohus (Estland), eingereicht am 21.3.2025

1. Sind Art. 2 Abs. 2 lit. d DS-GVO und Art. 2 Abs. 1 iVm Art. 1 der RL (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates dahin auszulegen, dass die mögliche Verarbeitung personenbezogener Daten durch eine zentrale Meldestelle eine Verarbeitung personenbezogener Daten durch die zuständige Behörde zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, darstellen kann, auch wenn es sich bei der zentralen Meldestelle nicht um eine Ermittlungsbehörde iSd Strafprozessordnung handelt?

2. Sind Art. 23 Abs. 2 lit. h DS-GVO und Art. 15 Abs. 3 der RL 2016/680 dahin auszulegen, dass einer betroffenen Person in einem Verwaltungs- oder Gerichtsverfahren auch die Bekanntgabe des Rechtsakts verweigert werden darf, auf dessen Grundlage ihr die Auskunft über sie betreffende personenbezogene Daten verweigert wurde, um zu verhindern, dass die Tatsache der Verarbeitung sie betreffender personenbezogener Daten bestätigt oder widerlegt wird, wenn die betroffene Person keine Kenntnis davon hat, ob eine solche Verarbeitung stattgefunden hat oder nicht, und darf ggü. der betroffenen Person in einem solchen Fall auch die Auskunft unterlassen werden, ob sie die Möglichkeit hat, die in Art. 17 Abs. 1 der RL 2016/680 vorgesehene Maßnahme in Anspruch zu nehmen?

3. Ist Art. 15 der RL 2016/680 bzw. Art. 23 DS-GVO dahin auszulegen, dass damit eine nationale Regelung vereinbar ist, die dem Leiter einer zentralen Meldestelle die Befugnis verleiht, die Rechte der betroffenen Person einzuschränken, und bei der der Zweck, die Voraussetzungen sowie der zeitliche und räumliche Umfang der Einschränkung der Rechte der betroffenen Person iVm anderen, darunter auch nachrangigen Rechtsvorschriften, zum Ausdruck gebracht werden?

4. Ist Art. 15 der RL 2016/680 bzw. Art. 23 DS-GVO dahin auszulegen, dass damit eine nationale Regelung vereinbar ist, die die Ausübung des in Art. 14 der RL 2016/680 bzw. Art. 15 DS-GVO vorgesehenen Rechts bis zur Vernichtung der Daten in vollem Umfang einschränkt, sodass es der betroffenen Person unmöglich ist, jemals Auskunft über diese Daten zu erhalten?

EuGH C-214/25, Your personal driver – II, Vorabentscheidungsersuchen des Giudice di pace di Roma (Italien), eingereicht am 19.3.2025

Ist das Recht der EU – insb. Art. 5 Abs. 4 EUV sowie Art. 5 Abs. 1 lit. b, c und e und Art. 6 DS-GVO – dahin auszulegen, dass es einer Regelung über die Erhebung und Verarbeitung von Fahrgastdaten, wie sie in Art. 11 des Gesetzes Nr. 21 vom 15.1.1992 in der durch das Gesetz Nr. 12 vom 11.2.2019 geänderten Fassung enthalten ist, entgegensteht?

EuGH C-205/25, Bayerisches Landesamt für Datenschutzaufsicht, Vorabentscheidungsersuchen des VG Ansbach, eingereicht am 17.3.2025

1. Ist Art. 15 DS-GVO iVm Art. 4 Nr. 7 DS-GVO dahingehend auszulegen, dass eine Aufsichtsbehörde nach Art. 4 Nr. 21 DS-GVO, die iRe von einer betroffenen Person eingeleiteten Beschwerdeverfahrens nach Art. 77 DS-GVO tätig wird, gleichzeitig iSv Art. 15 DS-GVO iVm Art. 4 Nr. 7 DS-GVO „Verantwortlicher“ und damit auf Grundlage des Art. 15 DS-GVO ggü. der betroffenen Person zur Auskunft verpflichtet ist?

2. Für den Fall, dass Frage 1 mit „ja“ beantwortet wird: Ist das Unionsrecht, insb. Art. 23 DS-GVO, dahingehend auszulegen, dass es einer nationalen Regelung – wie dem im Ausgangsverfahren streitigen Art. 20 Abs. 2 BayDSG – entgegensteht, wonach Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der Aufsichtsbehörden nach Art. 4 Nr. 21 DS-GVO pauschal nicht bestehen?

EuGH C-185/25, Waldfelber, Vorabentscheidungsersuchen des Oberster Gerichtshof (Österreich), eingereicht am 7.3.2025

1. Ist Art. 4 Ziff. 7 DS-GVO dahin auszulegen, dass eine natürliche Person, die in Ausübung ihrer Tätigkeit mittels der ihr zur Verfügung gestellten und vorgegebenen Mittel bei der Verarbeitung von personenbezogenen Daten nicht in eigenem persönlichen Interesse, sondern als Leiter einer Organisation (Einrichtung oder andere Stelle ohne Rechtspersönlichkeit), hinter der aber ein Rechtsträger steht, handelt, „Verantwortlicher“ ist, der vor Gericht in Anspruch genommen werden kann?

2. a) Ist Art. 15 Abs. 1 lit. g DS-GVO dahin auszulegen, dass in einem Fall, in dem die verarbeiteten Daten in einer faktischen Äußerung oder wertenden Einschätzung über die betroffene Person in einer E-­Mail bestehen, zu „allen verfügbaren Informationen über die Herkunft der Daten“ nur der Verfasser der E-­Mail zählt, oder zählt dazu auch der Personenkreis, mit dem der Verfasser über die betroffene Person gesprochen hat?

2. b) Für den Fall, dass nicht gespeicherte Namen der Gesprächspartner „verfügbare Informationen über die Herkunft der Daten“ iSd Art. 15 Abs. 1 lit. g DS-GVO sind:

Hat bei der Abwägung der Interessen der von der Datenverarbeitung betroffenen Person mit den Interessen eines solchen Gesprächspartners der Umstand Bedeutung, dass für diesen nicht absehbar war, dass seine Äußerungen zum Gegenstand einer Datenverarbeitung gemacht werden?

3. Ist Art. 82 Abs. 2 DS-GVO dahin auszulegen, dass in negativen Folgen für den Betroffenen, die auf einem zeitlich nach der Verarbeitung der personenbezogenen Daten liegenden, allein gegen die Verpflichtung zur Auskunft nach Art. 15 Abs. 1 DS-GVO liegenden Verstoß gegen diese Verordnung beruhen, ein Schaden liegt, der durch „eine nicht dieser Verordnung entsprechende Verarbeitung“ verursacht wurde und die Verpflichtung des Verantwortlichen zur Leistung von Ersatz nach sich zieht?

4. Für den Fall der Bejahung der Fragen 1 oder 3: Steht Art. 82 DS-GVO innerstaatlichen Regelungen, wonach der Ersatz des Schadens, den ein Organ eines Rechtsträgers in hoheitlicher Vollziehung des Gesetzes einem Geschädigten zugefügt hat, gegen das Organ selbst nicht geltend gemacht werden kann, entgegen?

EuGH – C-114/25, Himov, Vorabentscheidungsersuchen des Sofiyski rayonen sad (Bulgarien), eingereicht am 3.2.2025

EuGH – C-40/25, CRIF, Vorabentscheidungsersuchen des OLG Wien (Österreich), eingereicht am 23.1.2025

Ist Art 17 der DS-GVO dahin gehend auszulegen, dass der betroffenen Person, deren personenbezogene Daten von dem Verantwortlichen unrechtmäßig durch Weiterleitung offengelegt wurden, ein Anspruch gegen den Verantwortlichen auf Unterlassung einer erneuten unrechtmäßigen Weiterleitung dieser Daten zusteht, wenn sie vom Verantwortlichen deshalb keine Löschung der Daten verlangt, weil die betroffene Person dann nicht in der Datenbank des Verantwortlichen gefunden werden kann, was einen Vertragsabschluss erschweren oder sogar verhindern kann, falls die Kunden des Verantwortlichen ihre Geschäftsentscheidungen von einer erfolgreichen Suche der betroffenen Person in der Datenbank des Verantwortlichen abhängig machen?

EuGH – C-12/25, Bisdom Gent, Vorabentscheidungsersuchen des Hof van beroep te Brussel (Belgien), eingereicht am 9.1.2025

Ist Art. 17 der DS-GVO iVm dem Recht auf Schutz personenbezogener Daten iSv Art. 8 der Charta der Grundrechte der EU (im Folgenden: Charta), der Gedanken-­, Gewissens und Religionsfreiheit iSv Art. 10 der Charta und Art. 9 [der Konvention zum Schutz der Menschenrechte und Grundfreiheiten] sowie dem Grundsatz der Trennung von Kirche und Staat iSd Art. 19 und 21 der Belgische Grondwet (Verfassung Belgiens) dahin auszulegen, dass eine Person, die als Minderjährige getauft wurde und sich nach Eintritt der Volljährigkeit von der römisch-katholischen Kirche distanzieren möchte, ein Recht auf Löschung ihrer personenbezogenen Daten aus dem Taufregister hat?

Macht es dabei für die Anwendung von Art. 17 Abs. 1 lit. c der DS-GVO einen Unterschied, dass nach Aussage des Verantwortlichen die Eintragung ins Taufregister die o. g. Grundrechte (Religionsfreiheit) des Verantwortlichen und der von ihm vertretenen römisch-katholischen Kirchengemeinschaft berührt?

Macht es dabei einen Unterschied, dass dieses Taufregister nicht digital ist, sondern ein einzigartiger körperlicher Träger in Form eines doppelseitigen Buchs, bei dem auch auf der Rückseite Daten anderer betroffener Personen vermerkt sind?

Macht es dabei einen Unterschied, dass das Buch selbst ein historisches Artefakt ist und das Taufregister eine einzigartige Wiedergabe historischer Fakten ist, die nirgendwo sonst festgehalten werden, sodass die Datenverarbeitung auch für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke iSv Art. 17 Abs. 3 lit. d der DS-GVO erfolgt?

Sofern ein Recht auf Löschung gem. Art. 17 Abs. 1 der DS-GVO und keine Ausnahme von diesem Recht nach Art. 17 Abs. 3 der DS-GVO vorliegen sollte, wird dann dem Recht auf Löschung in gleichwertiger Weise durch einen Randvermerk im Taufregister entsprochen, dass die Person die Kirche verlassen hat?

EuGH – C-798/24, Jautiva, Vorabentscheidungsersuchen des Satversmes tiesa (Lettland), eingereicht am 19.11.2024

3. Ist Art. 5 Abs. 1 lit. b DS-GVO dahin auszulegen, dass mit der Verarbeitung personenbezogener Daten der Aktionäre einer Aktiengesellschaft der Zweck verfolgt werden kann, erstens ein transparentes Unternehmensumfeld und den Schutz der Interessen Dritter zu gewährleisten, zweitens Geldwäsche sowie Terrorismus- und Proliferationsfinanzierung zu verhindern und drittens die Informationen bereitzustellen, die zur Durchsetzung von nationalen und internationalen Sanktionen sowie von Sanktionen der EU benötigt werden?

4. Erlauben es die Grundsätze, die in Art. 5 Abs. 1 DS-GVO verankert sind, zur Erreichung der o. g. Zwecke eine nationale Regelung zu erlassen, nach der jedermann personenbezogene Daten sämtlicher Aktionäre einer Aktiengesellschaft erhalten kann, ohne ein berechtigtes Interesse an der Erlangung solcher Daten nachweisen zu müssen?

EuGH – C-541/24, Naltov, Vorabentscheidungsersuchen des Sofiyski rayonen sad (Bulgarien), eingereicht am 9.8.2024

1. Ist Art. 47 iVm den Art. 7 und 8 der Charta der Grundrechte der EU1 (im Folgenden: Charta) und der DS-GVO (im Folgenden: DS-GVO) dahin auszulegen, dass einem Rechtsanwalt, der in einer bestimmten Rs. keine der Parteien vertritt, allein aufgrund seiner Eigenschaft als Rechtsanwalt uneingeschränkte Akteneinsicht in dieser Rs. gewährt werden kann?

2. Ist Art. 47 iVm den Art. 7 und 8 der Charta und der DS-GVO dahin auszulegen, dass eine Person, die in einer bestimmten Rs. weder Partei noch Rechtsanwalt einer Partei ist, stets ein berechtigtes Interesse nachweisen muss, um Akteneinsicht in dieser Rs. zu erhalten?

3. Ist Art. 47 iVm den Art. 7 und 8 der Charta und Art. 6 Abs. 1 lit. a DS-GVO dahin auszulegen, dass stets die Einwilligung aller Parteien in einer Rs. erforderlich ist, um einer Person, die in dieser Rs. weder Partei noch Rechtsanwalt ist, Akteneinsicht in der Rs. zu gewähren?

4. Sind Art. 47 der Charta und Art. 19 EUV dahin auszulegen, dass ein Disziplinarverfahren gegen den Richter eingeleitet werden kann, der einer Person, die in einer bestimmten Rs. weder Partei noch Rechtsanwalt ist, Akteneinsicht in dieser Rs. gewährt hat:

a) bevor eine nationale Rechtsvorschrift für unionsrechtswidrig erklärt worden ist

b) nachdem eine nationale Rechtsvorschrift für unionsrechtswidrig erklärt worden ist?

5. Sind Art. 47 der Charta und Art. 19 EUV dahin auszulegen, dass ein nationales Gericht sich weigern kann, die Weisungen eines anderen nationalen Gerichts zu befolgen, das die Rechtmäßigkeit eines Verwaltungsakts prüft, der den Ablauf des Verfahrens vor dem erstgenannten Gericht regelt, wenn das erstgenannte nationale Gericht Zweifel an der Vereinbarkeit einer nationalen Regelung mit dem Unionsrecht hat und der Auffassung ist, dass der angefochtene Verwaltungsakt mit dem Unionsrecht vereinbar ist?

6. Ist Art. 19 Abs. 1 EUV iVm Art. 47 der Charta (Erfordernis der Unabhängigkeit und Unparteilichkeit der Gerichte) dahin auszulegen, dass alle Richter in der Union einheitliche harmonisierte ethische Mindeststandards für ihr Verhalten und insb. den Grundsatz des Datenschutzes (Vertraulichkeit und Berufsgeheimnis) beachten müssen?

EuGH – C-526/24, Brillen Rottler, Vorabentscheidungsersuchen des AG Arnsberg, eingereicht am 31.7.2024

1. Ist Art. 12 Abs. 5 S. 2 DS-GVO dahingehend auszulegen, dass ein exzessiver Antrag auf Auskunft durch den Betroffenen nicht bei der ersten Antragstellung ggü. dem Verantwortlichen vorliegen kann?

2. Ist Art. 12 Abs. 5 S. 2 DS-GVO dergestalt auszulegen, dass der Verantwortliche ein Auskunftsersuchen des Betroffenen verweigern kann, wenn der Betroffene beabsichtigt, mit dem Auskunftsersuchen Schadenersatzansprüche gegen den Verantwortlichen zu provozieren.

3. Ist Art. 12 Abs. 5 S. 2 DS-GVO dahingehend auszulegen, dass öffentlich zugängliche Informationen über den Betroffenen, die den Schluss zulassen, dass dieser in einer Vielzahl von Fällen bei Datenschutzverstößen Schadenersatzansprüche gegen Verantwortliche geltend macht, die Verweigerung der Auskunft rechtfertigen können?

4. Ist Art. 4 Nr. 2 DS-GVO dergestalt auszulegen, dass das Auskunftsersuchen eines Betroffenen ggü. dem Verantwortlichen gem. Art. 15 Abs. 1 DS-GVO und/oder dessen Beantwortung eine Verarbeitung iSv Art. 4 Nr. 2 DS-GVO darstellt?

5. Ist Art. 82 Abs. 1 DS-GVO in Ansehung von Erwägungsgrund 146 S. 1 DS-GVO dahingehend auszulegen, dass lediglich diejenigen Schäden ersatzfähig sind, die dem Betroffenen aufgrund einer Verarbeitung entstehen bzw. entstanden sind? Bedeutet dies, dass für einen Schadenersatzanspruch nach Art. 82 Abs. 1 DS-GVO — das Vorliegen eines kausalen Schadens des Betroffenen unterstellt — zwingend eine Verarbeitung der personenbezogenen Daten des Betroffenen vorgelegen haben muss?

6. Falls Frage 5 bejaht wird: Führt dies dazu, dass dem Betroffenen — das Vorliegen eines kausalen Schadens unterstellt — allein aus der Verletzung seines Auskunftsrechts nach Art. 15 Abs. 1 DS-GVO kein Schadenersatzanspruch nach Art. 82 Abs. 1 DS-GVO zusteht?

7. Ist Art. 82 Abs. 1 DS-GVO dergestalt auszulegen, dass der Rechtsmissbrauchseinwand des Verantwortlichen in Bezug auf ein Auskunftsersuchen des Betroffenen in Ansehung des Unionsrechts nicht darin bestehen kann, dass der Betroffene die Verarbeitung seiner personenbezogenen Daten allein oder u. a. deswegen herbeigeführt hat, um Schadenersatzansprüche geltend zu machen?

8. Falls die Fragen 5 und 6 verneint werden: Stellt allein der mit einem Verstoß gegen Art. 15 Abs. 1 DS-GVO einhergehende Kontrollverlust und/oder die Ungewissheit über die Verarbeitung der personenbezogenen Daten des Betroffenen einen immateriellen Schaden des Betroffenen iSd Art. 82 Abs. 1 DS-GVO dar oder bedarf es darüber hinaus einer weiteren (objektiven oder subjektiven) Einschränkung und/oder (spürbaren) Beeinträchtigung des Betroffenen?

EuGH – C-484/24 – NTH Haustechnik, Vorabentscheidungsersuchen des LAG Niedersachsen, eingereicht am 10.7.2024

1. Genügen die Regelungen der Art. 92 GG, §§ 138, 286, 355 ff. ZPO im Falle einer unter Art. 6 Abs. 1 lit. e, Abs. 3 DS-GVO fallenden eigenständigen justiziellen Verarbeitungstätigkeit dem aus Art. 8 Abs. 2, Art. 52 Abs. 1 GrCh und aus Art. 5 Abs. 1 lit. c DS-GVO folgenden Bestimmtheitsgebot, sofern die justizielle Verarbeitungstätigkeit für eine Partei oder einen Dritten mit Grundrechtseingriffen verbunden ist?

2. a) Kann sich ein nationales Gericht bei der Verarbeitung von – insb. personenbezogenen – Daten darauf berufen, diese Verarbeitung sei ihm nach Art. 17 Abs. 3 lit. e DS-GVO gestattet, oder stellen die Art. 6 und 9 DS-GVO die ausschließliche Grundlage für eine justizielle Verarbeitungstätigkeit dar?

b) Falls Art. 17 Abs. 3 lit. e DS-GVO grds. eine rechtliche Basis für justizielle Verarbeitungstätigkeit zu bilden vermag:

aa) Gilt dies auch für die Fälle, in denen die ursprüngliche Erhebung dieser Daten durch eine Prozesspartei oder einen Dritten nicht in rechtmäßiger Weise erfolgte?

bb) Führt die Verarbeitung ursprünglich unrechtmäßig erhobener Daten nach dem allgemein geltenden Grundsatz von Treu und Glauben (Art. 5 Abs. 1 lit. a DS-GVO) sekundärrechtlich zu einer Einschränkung der justiziellen Verarbeitung in dem Sinne, dass Art. 17 Abs. 3 lit. e DS-GVO nur unter bestimmten Voraussetzungen oder in bestimmten Grenzen anwendbar ist?

cc) Ist die Regelung des Art. 17 Abs. 3 lit. e DS-GVO derart zu verstehen, dass ein Verbot der gerichtlichen Verwertung von ursprünglich unrechtmäßig erlangten Daten immer dann ausscheidet – die Verwertung dieser Daten durch das Gericht also immer dann zu erfolgen hat –, wenn die ursprüngliche Datenerhebung nicht verdeckt erfolgte und zum Nachweis einer vorsätzlich begangenen Pflichtverletzung eingesetzt worden ist?

3. Unabhängig davon, ob die justizielle Datenverarbeitungstätigkeit Art. 17 Abs. 3 lit. e DS-GVO oder Art. 6 Abs. 1 lit. c bzw. e, Abs. 3, Art. 9 DS-GVO oder anderen unionsrechtlichen Vorschriften unterfällt:

a) Ist aus den datenschutzrechtlichen Grundsätzen der Erforderlichkeit und der Datenminimierung nach Art. 52 Abs. 1 S. 2 GrCh, Art. 5 Abs. 1 lit. a DS-GVO im Hinblick insb. auf die Verarbeitung ursprünglich unrechtmäßig erhobener oder gespeicherter Daten die Notwendigkeit einer umfassenden Verhältnismäßigkeitsprüfung und Abwägung durch die Gerichte herzuleiten?

b) Welche Auswirkungen hat Art. 5 Abs. 1 lit. e DS-GVO, welcher regelt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie dies ihr Zweck erfordert, auf die nachfolgende justizielle Datenverarbeitungstätigkeit insb. für die Fälle, dass die ursprüngliche Datenerhebung anderen Zwecken diente, oder – die ursprüngliche unrechtmäßige Datenerhebung lange zurückliegt, oder – eine unrechtmäßige Speicherung über längere Zeiträume aufrechterhalten wurde, oder die unrechtmäßige Datenerhebung Daten betrifft, die vor langer Zeit – ggf. unrechtmäßig – gespeichert wurden, oder die datenverarbeitende oder -erhebende Stelle oder Person sich einseitig oder individualvertraglich oder kollektivrechtlich zu deren Löschung binnen eines bestimmten Zeitraumes verpflichtet, die Löschung jedoch nicht vorgenommen hat?

c) Folgt aus dem Unionsrecht, insb. aus Art. 8 GrCh, Art. 6 Abs. 1 lit. c bzw. e, Abs. 3, Art. 9 DS-GVO, dass das nationale Gericht Beweismittel, die unter Verletzung von Persönlichkeitsrechten beschafft wurden, nur dann verwerten kann, wenn ein anerkennenswertes Interesse der beweisbelasteten Partei vorliegt, das über das schlichte Beweisinteresse hinausgeht, oder folgen aus dem Unionsrecht insoweit keine Vorgaben, sodass es Sache der nationalen Rechtsordnung ist, hierzu Regelungen zu treffen?

d) Folgt aus Art. 47 Abs. 2 GRC, welcher das Recht auf effektiven gerichtlichen Rechtsschutz und insb. auf ein faires Verfahren verbürgt, wonach die Parteien eines Zivilprozesses grds. in der Lage sein müssen, ihr Rechtsschutzziel hinreichend zu begründen und unter Beweis zu stellen, dass die gerichtliche Verarbeitung von rechtswidrig durch den Arbeitgeber erhobenen personenbezogenen Daten des klagenden Arbeitnehmers sich nur dann als unangemessen und unverhältnismäßig ieS darstellen kann, wenn sich die Datenerhebung nach Unionsrecht als schwerwiegende Verletzung von Art. 7 und Art. 8 GRC erwiese und andere mögliche Sanktionen für den Arbeitgeber (zB Schadensersatz nach Art. 82 DS-GVO und Verhängung von Geldbußen nach Art. 83 DS-GVO) gänzlich unzureichend wären, oder kann sich eine Unangemessenheit und Unverhältnismäßigkeit bereits bei anderen, weniger schwerwiegenden datenschutzrechtlichen Verstößen bei der ursprünglichen Datenerhebung ergeben?

e) Hat das Gericht bei der Entscheidung, ob es die ursprünglich von einer Partei oder einem Dritten erhobenen Daten im Rahmen seiner justiziellen Datenverarbeitungstätigkeit verwertet, zu berücksichtigen, ob der Datenerhebende seinen Informationspflichten nach Art. 13 DS-GVO nachgekommen ist? Falls ja: Unter welchen Voraussetzungen und nach welchen Maßstäben hat das Gericht dies zu berücksichtigen?

f.) Schließt der Umstand, dass das Gericht bei der Verarbeitung personenbezogener Daten an die DS-GVO und die Charta der Grundrechte der EU gebunden ist, auch die personenbezogenen Daten Dritter ein? In welcher Weise wirkt sich ein etwaig ggü. Dritten erfolgter datenschutzrechtlicher Verstoß bei der ursprünglichen Datenerhebung bzgl. der nachfolgenden justiziellen Datenverarbeitung in einem Streit zwischen zwei Parteien aus? Kann sich eine Partei auf einen nicht ihr, aber Dritten ggü. erfolgten Verstoß berufen, oder ist das nicht der Fall?

EuGH – C-480/24 – Čiekuri-Shishki, Vorabentscheidungsersuchen des Augstākā tiesa (Senāts) (Lettland), eingereicht am 9.7.2024

7. Sollten die Daten der von den Sanktionen betroffenen natürlichen Person (Vor- und Familienname) in den Gründen der Entscheidung des Gerichts offengelegt werden? Und sollten diese personenbezogenen Daten bei der Veröffentlichung der Entscheidung des Gerichts durch ein Pseudonym ersetzt werden?

EuGH C-474/24 – NADA Austria u. a., Vorabentscheidungsersuchen des Bundesverwaltungsgerichts (Österreich), eingereicht am 4.7.2024

1. Fallen Datenverarbeitungen von Personen, durch die ihr Name, die ausgeübte Sportart, der begangene Verstoß gegen Anti-Doping-Regelungen, die Sanktion sowie Beginn und Ende der Sanktion auf dem allgemein zugänglichen Teil der Webseite der Nationalen Anti-Doping Agentur Austria GmbH (NADA Austria) https://www.nada.at/de/recht/suspendierungen-sperren in Form eines Eintrags in einer Tabelle sowie in allgemein zugänglichen Pressemitteilungen der Österreichischen Anti-Doping Rechtskommission ( ÖADR ) unter https://www.oeadr.at veröffentlicht werden, in den Anwendungsbereich des Unionsrechts iSd Art. 16 Abs. 2 erster S. AEUV, sodass die DS-GVO auf eine solche Verarbeitung personenbezogener Daten anwendbar ist?

2. Falls Frage 1. bejaht wird: Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um ein „Gesundheitsdatum“ iSd Art. 9 DS-GVO?

3. Steht die DS-GVO – insb. im Hinblick auf Art. 6 Abs. 3 zweiter Unterabsatz DS-GVO – einer nationalen Regelung entgegen, welche die Veröffentlichung des Namens der von der Entscheidung der österreichischen Anti-Doping Rechtskommission oder der Unabhängigen Schiedskommission betroffenen Personen, der Dauer der Sperre und der Gründe hierfür vorsieht, ohne dass auf Gesundheitsdaten der betroffenen Person rückgeschlossen werden kann? Spielt es dabei eine Rolle, dass eine Veröffentlichung dieser Informationen ggü. der Allgemeinheit laut der nationalen Regelung nur dann unterbleiben kann, wenn es sich beim Betroffenen um einen Freizeitsportler, eine minderjährige Person oder eine Person handelt, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich an der Aufdeckung von potenziellen Anti-Doping-Verstößen beigetragen hat?

4. Verlangt die DS-GVO – insb. im Hinblick auf die Grundsätze des Art. 5 Abs. 1 lit. a und lit. c DS-GVO – vor der Veröffentlichung in jedem Fall eine Interessenabwägung der mit einer Veröffentlichung für den Betroffenen berührten Persönlichkeitsinteressen einerseits und dem Interesse der Allgemeinheit an der Information über den von einem Sportler begangenen Anti-Doping-Verstoß andererseits?

5. Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um eine Verarbeitung persönlicher Daten über strafrechtliche Verurteilungen und Straftaten iSd Art. 10 DS-GVO?

6. Falls Frage 5. bejaht wird: Müssen die Tätigkeiten bzw. Entscheidungen einer Behörde, der gem. Art. 10 DS-GVO die Aufsicht über die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln übertragen ist, einer gerichtlichen Überprüfung unterliegen?

7. Ist eine Beschwerde gem. Art. 77 DS-GVO betreffend eine geltend gemachte Verletzung nach Art. 17 DS-GVO, wobei zum Zeitpunkt der Einbringung der Beschwerde bei der Aufsichtsbehörde und Entscheidung durch die Aufsichtsbehörde noch keine Verarbeitung personenbezogener Daten des Betroffenen vorlag, die Verarbeitung jedoch im Laufe des Verfahrens vor dem Rechtsmittelgericht eingetreten ist, zulässig bzw. wird diese nachträglich zulässig, wenn bereits bei Einbringung der Beschwerde konkrete Hinweise darauf bestehen, dass eine Verarbeitung personenbezogener Daten durch den Verantwortlichen unmittelbar bevorsteht bzw. in naher Zukunft stattfinden wird?

EuGH – C-468/24 – Netz Niederösterreich, Vorabentscheidungsersuchen des Landesgericht St. Pölten (Österreich), eingereicht am 3.7.2024

5. Sind die Art. 5 Abs. 1 lit. f., Art. 13, Art. 32 Abs. 2 DS-GVO und Art. 7, Art. 8 Abs. 1 und 2 der Charta der Grundrechte der EU (2000/C 364/01) (im Folgenden: „GRC“) dahin auszulegen, dass sie einer nationalen Vorschrift (§ 1 Abs. 6 Intelligente Messgeräte-Einführungsverordnung, BGBl II Nr. 138/2012 idF BGBl II Nr. 9/2022 vom 13.1.2022, in der Folge kurz: IME-VO) entgegenstehen, nach welcher nur die jeweilige Konfiguration des Ableseintervalls für den Endverbraucher ersichtlich sein muss, nicht aber, ob der Netzbetreiber einen „begründeten Einzelfall“ (§ 84a Abs. 1 EIWOG) erkannt hat und Daten des Endverbrauchers vor dem festgelegten Intervall abgerufen hat?

EuGH – C-414/24 – DocFinder u. a., Vorabentscheidungsersuchen des Verwaltungsgerichtshofs (Österreich), eingereicht am 13.6.2024

Sind die Art. 77 und 79 DS-GVO vor dem Hintergrund der Ausführungen des EuGH in den Urteilen vom 12. Jänner 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, sowie vom 7.12.2023, SCHUFA Holding [Restschuldbefreiung], C-26/22 und C-64/22, dahingehend auszulegen,

1. dass die innerstaatlich vorgesehene Möglichkeit der Zurückweisung einer Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DS-GVO auf Grund der bereits zuvor erfolgten Einlegung eines gerichtlichen Rechtsbehelfs nach Art. 79 DS-GVO in derselben Rs. und des Umstands der Anhängigkeit dieses Rechtsbehelfs bei Gericht eine zulässige Modalität zur Regelung des Zusammenspiels dieser Rechtsbehelfe (im Sinn der genannten Rspr. des EuGH) darstellt,

und falls die erste Frage verneint wird,

2. dass die innerstaatlich vorgesehene Möglichkeit der Zurückweisung einer Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DS-GVO auf Grund des Umstandes, dass in dem zur selben Rs. anhängig gemachten Verfahren über den gerichtlichen Rechtsbehelf nach Art. 79 DS-GVO bereits eine (wenn auch noch nicht rechtskräftige) inhaltliche Entscheidung ergangen ist, eine zulässige Modalität zur Regelung des Zusammenspiels dieser Rechtsbehelfe (im Sinn der genannten Rspr. des EuGH) darstellt?

EuGH – C-312/24 – Darashev, Vorabentscheidungsersuchen des Sofiyski rayonen sad (Bulgarien), eingereicht am 29.4.2024

Ist Art. 2 [Abs.] 1 DS-GVO dahin auszulegen, dass eine Datenverarbeitung Tätigkeiten ein und derselben Organisationsstruktur umfasst, in der ein Teil ihrer Direktionen die Aufgaben eines Dienstgebers wahrnimmt, während eine einzige andere Direktion die Eigenschaft einer Ermittlungsbehörde im Strafverfahren gegen Bedienstete der anderen Direktionen innehat? Falls dies zu bejahen ist:

Ist der Ausdruck „Verarbeitung personenbezogener Daten“ in Art. 4 Nr. 2 DS-GVO dahin auszulegen, dass darunter eine Tätigkeit fällt, in deren Rahmen zur Personalakte eines Bediensteten Informationen hinzugefügt werden, die der Dienstgeber in seiner Eigenschaft als Ermittlungsbehörde durch eine seiner Direktionen in Bezug auf genau diesen Bediensteten erlangt hat?

Ist der Ausdruck „Dateisystem“ in Art. 4 Nr. 6 DS-GVO dahin auszulegen, dass eine Personalakte eines Bediensteten oder Arbeitnehmers davon erfasst ist, der in einer Direktion des Dienstgebers arbeitet, wobei die Informationen von einer anderen Direktion des Dienstgebers erhoben wurden, welche die Eigenschaft einer Ermittlungsbehörde hat?

Ist Art. 9 Abs. 2 lit. b DS-GVO dahin auszulegen, dass eine Organisationseinheit eines Dienstgebers Daten darüber sammeln und speichern darf, dass der Bedienstete Verdächtiger/Beschuldigter/Angeklagter in einem Strafverfahren war, wobei diese Informationen von einer anderen Organisationseinheit des Dienstgebers erhoben wurden, welche die Eigenschaft einer Ermittlungsbehörde hat?

Ist das „Recht auf Vergessenwerden“ gem. Art. 17 Abs. 1 lit. a DS-GVO dahin auszulegen, dass ein Dienstgeber jegliche Daten aus der Personalakte des Bediensteten löschen muss, die er durch eine andere seiner Direktionen, welche die Eigenschaft einer Behörde für die Ermittlung gegen seinen Bediensteten hat, darüber erhoben und gespeichert hat, dass der Bedienstete:

4.1. wegen einer Straftat in [einem] anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

4.2. wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

Sind „unrechtmäßig verarbeitete“ personenbezogene Daten gem. Art. 17 Abs. 1 lit. d DS-GVO dahin auszulegen, dass sie Daten umfassen, die der Dienstgeber durch eine andere seiner Organisationseinheiten erhalten, erhoben und gespeichert hat, die Aufgaben der Ermittlung im Strafverfahren gegen Bedienstete anderer Organisationseinheiten des Dienstgebers wahrnimmt, wobei diese Daten in der Personalakte gespeichert sind und den Umstand betreffen, dass der Bedienstete wegen einer Straftat verdächtigt/beschuldigt/angeklagt ist, und zwar:

5.1. wegen einer Straftat in [einem] anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

5.2. wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

Sind „personenbezogene Daten“ iSv Art. 3 Nr. 1 der RL (EU) 2016/6801 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates iVm Art. 52 der Charta der Grundrechte der EU dahin auszulegen, dass es sich um Daten handelt, die der Dienstgeber durch eine seiner Organisationseinheiten erlangt, erhoben und gespeichert hat, welche die Aufgaben einer Ermittlungsbehörde in einem Strafverfahren gegen einen Bediensteten wahrnimmt, der seinen Dienst in einer anderen Organisationseinheit des Dienstgebers versieht?

Ist „Verarbeitung“ iSv Art. 3 Nr. 2 der RL (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates iVm Art. 52 der Charta der Grundrechte der EU dahin auszulegen, dass darunter eine Tätigkeit der Speicherung von Daten in der Personalakte des Bediensteten durch den Dienstgeber fällt, die der Dienstgeber durch eine seiner Organisationseinheiten erlangt, erhoben und gespeichert hat, welche die Aufgaben einer Ermittlungsbehörde in einem Strafverfahren gegen einen Bediensteten des Dienstgebers wahrnimmt, der seinen Dienst in einer anderen Organisationseinheit des Dienstgebers versieht?

Ist Art. 9 Abs. 1 der RL (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates iVm Art. 52 der Charta der Grundrechte der EU dahin auszulegen, dass er dem Dienstgeber gestattet, Informationen über einen Bediensteten zu erheben und zu speichern, der verdächtigt/beschuldigt/angeklagt ist, wobei der Dienstgeber diese Informationen durch eine andere seiner Organisationseinheiten erhoben hat, welche die Eigenschaft einer Ermittlungsbehörde im Strafverfahren gegen diesen Bediensteten innehat?

Ist Art. 16 Abs. 2 der RL (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates iVm Art. 52 der Charta der Grundrechte der EU dahin auszulegen, dass der Dienstgeber jegliche Daten aus der Personalakte des Bediensteten löschen muss, die der Dienstgeber durch eine andere seiner Organisationseinheiten erhoben und gespeichert hat, welche die Eigenschaft einer Ermittlungsbehörde im Strafverfahren gegen diesen Bediensteten innehat, und die den Umstand betreffen, dass der Bedienstete:

9.1. wegen einer Straftat in [einem] anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

9.2. wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

Ist Art. 1 der RL 2000/78/EG des Rates vom 27.11.2000 zur Festlegung eines allgemeinen Rahmens für die Verwirklichung der Gleichbehandlung in Beschäftigung und Beruf dahin auszulegen, dass er es dem Dienstgeber, dessen eine Organisationseinheit Ermittlungshandlungen gegen einen Bediensteten einer anderen Organisationseinheit setzt, nicht gestattet, den beruflichen Aufstieg eines Bediensteten nur auf der Grundlage dessen zu verwehren, dass der Bedienstete:

10.1. wegen einer Straftat in [einem] anhängigen Strafverfahren verdächtigt/beschuldigt/angeklagt ist;

10.2. wegen einer Straftat verdächtigt/beschuldigt/angeklagt wurde, in Bezug auf die ein Strafverfahren ausgesetzt oder eingestellt wurde?

EuGH – C-199/24 – ND/Garrapatica AB, Vorabentscheidungsersuchen des Attunda tingsrätt (Schweden), eingereicht am 13.3.2024

1. Ermöglicht Art. 85 Abs. 1 der DS-GVO es den Mitgliedstaaten, über die ihnen gem. Art. 85 Abs. 2 DS-GVO obliegenden Aufgaben hinaus Gesetzgebungsmaßnahmen in Bezug auf die Verarbeitung personenbezogener Daten zu erlassen, die zu anderen als journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt?

2. Falls die vorstehende Frage zu bejahen ist: Erlaubt Art. 85 Abs. 1 DS-GVO, das Recht auf den Schutz personenbezogener Daten gem. dieser Verordnung dadurch mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang zu bringen, dass Personen, deren personenbezogenen Daten in der Form verarbeitet werden, dass Angaben zu strafrechtlichen Verurteilungen dieser Personen der Öffentlichkeit gegen Entgelt im Internet zugänglich gemacht werden, sich hiergegen rechtlich nur dadurch wehren können, dass sie Strafanzeige wegen Verleumdung stellen oder Schadensersatz wegen Verleumdung verlangen?

3. Falls die erste Frage oder die zweite Frage verneint wird: Kann eine Tätigkeit, die darin besteht, ohne Anpassung oder redaktionelle Überarbeitung öffentliche Dokumente, nämlich strafrechtliche Verurteilungen, der Öffentlichkeit gegen Entgelt im Internet zugänglich zu machen, als Verarbeitung personenbezogener Daten angesehen werden, die zu den in Art. 85 Abs. 2 DS-GVO genannten Zwecken erfolgt?

EuGH – C-683/23 – Encarna, Vorabentscheidungsersuchen des Juzgado de Primera Instancia de Barcelona (Spanien), eingereicht am 14.11.2023

Der Präsident des Gerichtshofs hat die Streichung der Rs. angeordnet.

1. Verstößt die Weitergabe der personenbezogenen Daten der Parteien sowie von Mädchen, Jungen und Jugendlichen durch das Gericht an den Elternbeistand und die Genehmigung des Zugangs zu ihren in Archiven Dritter (einschließlich Patientenakten) verarbeiteten personenbezogenen Daten ohne Rechtsvorschrift gegen Art. 6 Abs. 4 DS-GVO?

2. Wenn das Gericht die personenbezogenen Daten der Parteien und der Mädchen, Jungen und Jugendlichen weitergeben darf: Verstößt die Weitergabe dieser Daten durch das Gericht an den Elternbeistand gegen Art. 16 AEUV sowie Art. 7 GRCh (Achtung des Privat- und Familienlebens), Art. 8 GRCh (Schutz personenbezogener Daten) und Art. 52 GRCh (Tragweite und Auslegung der Rechte und Grundsätze) der Charta der Grundrechte der EU?

3. Steht die Weitergabe von Daten an den Elternbeistand ohne vorherige Anhörung des Minderjährigen hierzu und ohne Würdigung des Kindeswohls im Einklang mit Art. 6 Abs. 4 DS-GVO iVm Art. 24 GRCh?

4. Verstößt es gegen Art. 48 Abs. 1 des Übereinkommens von Istanbul, der es untersagt, verpflichtende alternative Mittel der Streitbeilegung einzusetzen, iVm den Art. 7 und 24 GRCh, dass die Daten des Minderjährigen für Entscheidungen, die die Ausübung der elterlichen Verantwortung und/oder der Personensorge und/oder die Besuchsregelung betreffen, in Fällen, in denen eine Gewaltsituation vorliegt, an den Elternbeistand weitergegeben werden?

5. Verstößt es gegen Art. 47 GRCh (Recht auf einen wirksamen Rechtsbehelf), wenn das Gericht die personenbezogenen Daten der Parteien weitergeben darf und infolge dieser Weitergabe die Kosten des Elternbeistands, weil sie vom Gericht auferlegt werden, zwangsläufig von den Parteien zu tragen sind, obwohl sie ein anerkanntes Recht auf Prozesskostenhilfe haben?

EuGH – C-599/23 – Obshtina Burgas u. a., Vorabentscheidungsersuchen des Rayonen sad Aytos (Bulgarien), eingereicht am 28.9.2023

Das vom Rayonen sad Aytos (Rayongericht Aytos, Bulgarien) mit Entscheidung vom 18.9.2023 vorgelegte Vorabentscheidungsersuchen ist offensichtlich unzulässig.

EuGH – C-563/23 – Natsionalnata agentsia za prihodite, Vorabentscheidungsersuchen des Sofiyski rayonen sad (Bulgarien), eingereicht am 12.9.2023

Die Rs. C-563/23 wird aus dem Register des Gerichtshofs gestrichen.

1. Ist Art. 4 Ziff. 7 DS-GVO dahin auszulegen, dass eine Gerichtsbehörde, die einer anderen staatlichen Behörde den Zugang zu Daten über die Kontoguthaben steuerpflichtiger Personen gestattet, über die Zwecke oder Mittel der Verarbeitung von personenbezogenen Daten entscheidet und deshalb „Verantwortlicher“ für die Verarbeitung von personenbezogenen Daten ist?

2. Falls die erste Frage verneint wird, ist Art. 51 DS-GVO dahin auszulegen, dass eine Gerichtsbehörde, die einer anderen staatlichen Behörde den Zugang zu Daten über die Kontoguthaben steuerpflichtiger Personen gestattet, für die Überwachung [der Anwendung] dieser Verordnung verantwortlich ist und deshalb als „Aufsichtsbehörde“ in Bezug auf diese Daten zu qualifizieren ist?

3. Falls eine der vorstehenden Fragen bejaht wird, ist Art. 32 Abs. 1 lit. b DS-GVO bzw. Art. 57 Abs. 1 lit. a DS-GVO dahin auszulegen, dass eine Gerichtsbehörde, die einer anderen staatlichen Behörde den Zugang zu Daten über die Kontoguthaben steuerpflichtiger Personen gestattet, verpflichtet ist, bei Vorliegen von Daten über eine von der Stelle, der dieser Zugang gewährt werden soll, in der Vergangenheit begangene Verletzung des Schutzes personenbezogener Daten Informationen über die für den Schutz der Daten getroffenen Maßnahmen einzuholen und bei seiner Entscheidung über die Gestattung des Zugangs die Angemessenheit dieser Maßnahmen zu beurteilen?

4. Ist unabhängig von den Antworten auf die [zweite] und die [dritte] Frage Art. 79 Abs. 1 DS-GVO iVm Art. 47 GRCh dahin auszulegen, dass, wenn das nationale Recht eines Mitgliedstaats vorsieht, dass bestimmte Kategorien von Daten nur nach einer Gestattung durch ein Gericht offengelegt werden können, das hierfür zuständige Gericht den Personen, deren Daten offengelegt werden, von Amts wegen Rechtsschutz gewähren muss, indem es die Behörde, die den Zugang zu den Daten beantragt hat und von der bekannt ist, dass ihr nach einer Verletzung des Schutzes personenbezogener Daten verbindliche Anweisungen durch die Behörde nach Art. 51 Abs. 1 DS-GVO erteilt wurden, verpflichtet, Informationen zur Durchführung der ihr mit Verwaltungsentscheidung auferlegten Maßnahmen gem. Art. 58 Abs. 2 lit. d DS-GVO zur Verfügung zu stellen?

EuGH C-693/22 – I, Vorabentscheidungsersuchen des Sąd Rejonowy dla m. st. Warszawy w Warszawie (Polen), eingereicht am 10.11.2022

Die Rs. C-693/22 wird aus dem Register des Gerichtshofs gestrichen.

Ist Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 lit. a, c und e sowie Abs. 3 DS-GVO dahin gehend auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, die den Verkauf einer aus personenbezogenen Daten bestehenden Datenbank iSv Art. 1 Abs. 2 RL 96/9/EG (Datenbank-RL) iRe Vollstreckungsverfahrens zulassen, wenn die jeweils betroffenen Personen einem solchen Verkauf nicht zugestimmt haben?

EuGH C-672/22 – DKV, Vorabentscheidungsersuchen des OLG Koblenz, eingereicht am 27.10.2022

Das OLG Koblenz (Deutschland) hat dem Gerichtshof am 5.4.2023 über e-Curia mitgeteilt, dass der bei ihm anhängige Rechtsstreit beendet sei. Unter diesen Umständen ist gem. Art. 100 der Verfahrensordnung des Gerichtshofs die Streichung der vorliegenden Rs. im Register des Gerichtshofs anzuordnen. Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des bei dem nationalen Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Aus diesen Gründen hat der Präsident des Gerichtshofs beschlossen: Die Rs. C-672/22 wird im Register des Gerichtshofs gestrichen.

1. Ist Art. 15 Abs. 3 S. 1 DS-GVO iVm Art. 12 Abs. 5 DS-GVO dahin auszulegen, dass der Verantwortliche (hier: der Versicherer) auch dann verpflichtet ist, dem Betroffenen (hier: dem Versicherungsnehmer) eine erste Kopie seiner vom Verantwortlichen verarbeiteten personenbezogenen Daten unentgeltlich zur Verfügung zu stellen, wenn der Betroffene die Kopie nicht zur Verfolgung der in Erwägungsgrund 63 S. 1 DS-GVO genannten Zwecke begehrt, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu werden und deren Rechtmäßigkeit überprüfen zu können, sondern einen anderen – datenschutzfremden, aber legitimen – Zweck (hier: die Prüfung der Wirksamkeit von Beitragserhöhungen zur privaten Krankenversicherung) verfolgt, und dies selbst dann, wenn Angaben gefordert werden, die dem Versicherten bereits iRd Beitragserhöhungsverfahrens nach § 203 VVG brieflich mitgeteilt wurden?

2. Falls die Frage 1 bejaht wird: Gehören zu den personenbezogenen Daten iSv Art. 4 Nr. 1 und Art. 15 Abs. 3 S. 1 DS-GVO die folgenden Angaben:

a) Angaben zu Beitragsanpassungen, die der Versicherer in der privaten Krankenversicherung im Verhältnis zum Versicherungsnehmer vorgenommen hat, insb. zum Betrag der vorgenommenen Anpassung und zu den betroffenen Versicherungstarifen und

b) der Wortlaut der Begründungen für die Beitragsanpassungen (§ 203 Abs. 5 VVG).

3. Falls die Frage 1 bejaht wird und auch Frage 2 ganz oder teilweise bejaht wird: Umfasst der Anspruch eines Versicherungsnehmers in der privaten Krankenversicherung auf Zurverfügungstellung einer Kopie der vom Versicherer verarbeiteten personenbezogenen Daten auch einen Anspruch auf Überlassung einer Kopie der Nachträge zum Versicherungsschein, die der Versicherer dem Versicherungsnehmer zur Mitteilung einer Beitragserhöhung übersendet hat, sowie der mitversendeten Anschreiben und Beiblätter oder ist er nur auf Herausgabe einer Kopie der personenbezogenen Daten des Versicherten als solche gerichtet, wobei es dem datenverarbeitenden Versicherer überlassen bleibt, in welcher Weise er dem betroffenen Versicherungsnehmer die Daten zusammenstellt?

EuGH C-280/22 – Kinderrechtencoalitie Vlaanderen and Liga voor Mensenrechten, Vorabentscheidungsersuchen des Raad van State (Belgien), eingereicht am 25.4.2022

Der Präsident des Gerichtshofs hat die Streichung der Rs. angeordnet.

Sind Art. 3 Abs. 5 und 6 sowie Art. 14 VO (EU) 2019/1157 des Europäischen Parlaments und des Rates v. 20.6.2019 zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente, die Unionsbürgern und deren Familienangehörigen ausgestellt werden, die ihr Recht auf Freizügigkeit ausüben iVm dem Durchführungsbeschluss C(2018) 7767 der Kommission v. 30.11.2018 zur Festlegung der technischen Spezifikationen für die einheitliche Gestaltung des Aufenthaltstitels für Drittstaatsangehörige und zur Aufhebung der Entscheidung K(2002) 3069 gültig und vereinbar mit Art. 16 AEUV und – in Bezug auf Art. 3 Abs. 5 und 6 – Art. 21 AEUV sowie mit den Art. 7, 8 und 52 GRCh iVm – Art. 1, 2, 3, 4, 5, 6, 9, 25, 32, 35 und 36 VO (EU) 2016/679 des Europäischen Parlaments und des Rates v. 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der RL 95/46/EG,

- Art. 1, 2, 3, 4, 8, 9, 10, 27 und 28 RL (EU) 2016/680 des Europäischen Parlaments und des Rates v. 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates und

- Art. 1, 2, 3, 4, 5, 10, 28 und 42 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates v. 23.10.2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der VO (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG, sofern Art. 3 Abs. 5 und 6 der VO (EU) 2019/1157 vorschreibt, dass zwei Fingerabdrücke des Personalausweisinhabers in einem interoperablen digitalen Format auf einem Speichermedium, mit dem der Personalausweis versehen ist, zu speichern sind und sofern Art. 3 Abs. 5 und 6 sowie Art. 14 der VO 2019/1157 iVm Anhang III des Durchführungsbeschlusses C(2018) 7767 der Kommission v. 30.11.2018 vorschreiben, dass die Fingerabdruckdaten auf den in Art. 2 lit. a und c genannten Personalausweisen und Aufenthaltsdokumenten in der Form zu speichern sind, dass ein digitales Bild der Fingerabdrücke auf einem elektronischen Mikrochip, der die RFID-Technologie verwendet und drahtlos/kontaktlos ausgelesen werden kann, gespeichert wird?

EuGH C-63/22 – SCHUFA Holding, Vorabentscheidungsersuchen des VG Wiesbaden, eingereicht am 1.2.2022

Das VG Wiesbaden hat dieses Vorabentscheidungsersuchen zurückgenommen.

1. Ist eine nationale Rechtsvorschrift, wie § 31 BDSG, die die Einmeldung von „Negativ-Merkmalen“ (offene Forderungsbeträge) an eine Auskunftei durch einen Gläubiger für zulässig erklärt, mit Art. 6 Abs. 1 UAbs. 1 lit. f. DS-GVO vereinbar, wenn die Rechtsvorschrift die Einmeldung von Daten zur Ermittlung eines Wahrscheinlichkeitswertes/Scorewerts über die Zahlungsfähigkeit und Zahlungswilligkeit einer natürlichen Person bei kumulativem Vorliegen abschließend aufgelisteter Voraussetzungen ohne weitere Abwägung und ohne Betrachtung des Einzelfalls für zulässig erklärt?

2. Sind die einmeldende Stelle und die Wirtschaftsauskunftei gemeinsam Verantwortliche iSv Art. 26 der VO (EU) 2016/679, wenn die Wirtschaftsauskunftei die von einem Kreditinstitut eingemeldeten Daten nach der vertraglichen Gestaltung zwischen einmeldender Stelle und einer Wirtschaftsauskunftei (hier der SCHUFA) nicht auf ihre Richtigkeit hin zu überprüfen hat?

EuGH C-552/21 – SCHUFA Holding ua, Vorabentscheidungsersuchen des VG Wiesbaden, eingereicht am 7.9.2021

Das VG Wiesbaden hat dieses Vorabentscheidungsersuchen zurückgenommen.

1. Ist Art. 77 Abs. 1 iVm Art. 78 Abs. 1d DS-GVO dahingehend zu verstehen, dass das Ergebnis der Aufsichtsbehörde, welches diese dem Betroffenen mitteilt,

a) den Charakter der Bescheidung einer Petition hat?

Dies mit der Folge, dass die gerichtliche Kontrolle einer aufsichtsbehördlichen Beschwerdeentscheidung nach Art. 78 Abs. 1 DS-GVO sich grds. darauf beschränkt, ob die Behörde sich mit der Beschwerde befasst, den Beschwerdegegenstand angemessen untersucht und den Bf. über das Ergebnis der Prüfung unterrichtet hat, oder

b) als eine behördliche Sachentscheidung zu verstehen ist?

Dies mit der Folge, dass die gerichtliche Kontrolle einer aufsichtsbehördlichen Beschwerdeentscheidung nach Art. 78 Abs. 1 DS-GVO dazu führt, dass die Sachenscheidung voll inhaltlich von dem Gericht zu überprüfen ist, wobei im Einzelfall – zB bei einer Ermessensreduzierung auf Null – die Aufsichtsbehörde durch das Gericht auch zu einer konkreten Maßnahme iSd Art. 58 DS-GVO verpflichtet werden kann.

2. Ist eine Datenspeicherung bei einer privaten Wirtschaftsauskunftei, bei der personenbezogene Daten aus einem öffentlichen Register, wie den „nationalen Datenbanken“ iSd Art. 79 Abs. 4 und 5 der VO (EU) 2015/848 des Europäischen Parlaments und des Rates v. 20.5.2015 über Insolvenzverfahren (ABl. L 141/19v. 5.6.2015), ohne konkreten Anlass gespeichert werden, um im Falle einer Anfrage eine Auskunft erteilen zu können, mit Art. 7 und 8 GRCh vereinbar?

3. Sind private Paralleldatenbanken (insb. Datenbanken einer Auskunftei), die neben den staatlichen Datenbanken errichtet werden und in denen die Daten aus den staatlichen Datenbanken (hier Insolvenzbekanntmachungen) länger gespeichert werden, als in dem engen Rahmen der VO (EU) 2015/848 iVm dem nationalen Recht geregelt, grds. zulässig oder ergibt sich aus dem Recht auf Vergessen nach Art. 17 Abs. 1 lit. d DS-GVO, dass diese Daten zu löschen sind, wenn

a) eine mit dem öffentlichen Register identische Verarbeitungsdauer vorgesehen ist, oder

b) eine Speicherdauer vorgesehen ist, die über die für öffentliche Register vorgesehene Speicherfrist hinausgeht?

4. Soweit Art. 6 Abs. 1 UAbs. 1 lit. f. DS-GVO als alleinige Rechtsgrundlage für eine Datenspeicherung bei privaten Wirtschaftsauskunfteien hinsichtlich der auch in öffentlichen Registern gespeicherten Daten in Betracht kommt, ist dann ein berechtigtes Interesse einer Wirtschaftsauskunftei schon dann zu bejahen, wenn diese Auskunftei die Daten aus dem öffentlichen Verzeichnis ohne konkreten Anlass übernimmt, damit diese Daten dann bei einer Anfrage zur Verfügung stehen?

5. Dürfen Verhaltensregeln, die von den Aufsichtsbehörden nach Art. 40 DS-GVO genehmigt worden sind und Prüf- und Löschfristen vorsehen, die über die Speicherfristen öffentlicher Register hinausgehen, die nach des Art. 6 Abs. 1 UAbs. 1 lit. f. DS-GVO vorgegebene Abwägung suspendieren?

EuGH C-701/20 – Avis Autovermietung Gesellschaft mbH gegen Verein für Konsumenteninformation, Vorabentscheidungsersuchen des ÖOGH (Österreich), eingereicht am 22.12.2020

Das ÖOGH hat dieses Vorabentscheidungsersuchen zurückgenommen.

Stehen die Regelungen in Kapitel VIII, insb. in Art. 80 Abs. 1 und 2 sowie 84 Abs. 1 der VO (EU) 2016/679 des Europäischen Parlaments und des Rates v. 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der RL 95/46/EG (DS-GVO) nationalen Regelungen entgegen, die – neben den Eingriffsbefugnissen der zur Überwachung und Durchsetzung der VO zuständigen Aufsichtsbehörden und den Rechtsschutzmöglichkeiten der betroffenen Personen – einerseits Mitbewerbern und andererseits nach dem nationalen Recht berechtigten Verbänden, Einrichtungen und Kammern die Befugnis einräumen, wegen Verstößen gegen die DS-GVO unabhängig von der Verletzung konkreter Rechte einzelner betroffener Personen und ohne Auftrag einer betroffenen Person gegen den Verletzter im Wege einer Klage vor den Zivilgerichten unter den Gesichtspunkten des Verbots der Vornahme unlauterer Geschäftspraktiken oder des Verstoßes gegen ein Verbraucherschutzgesetz oder des Verbots der Verwendung unwirksamer Allgemeiner Geschäftsbedingungen vorzugehen?