SCHLUSSANTRÄGE DES GENERALANWALTS
DÁMASO RUIZ-JARABO COLOMER
vom 22. Dezember 20081(1)
Rechtssache C‑553/07
College van burgemeester en wethouders van Rotterdam
gegen
M. E. E. Rijkeboer
(Vorabentscheidungsersuchen des Raad van State [Niederlande])
„Datenschutz – Grundrechte – Richtlinie 95/46/EG – Recht auf Auskunft über personenbezogene Daten – Löschung – Auskünfte an Dritte – Frist für die Ausübung des Auskunftsrechts – Grundsatz der Verhältnismäßigkeit“
I – Einleitung
1. Der Raad van State (Staatsrat der Niederlande) hat dem Gerichtshof ein Ersuchen um Vorabentscheidung über die Auslegung der Art. 7 und 12 der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(2) vorgelegt. Die Vorlage begibt sich auf ein heikles Terrain: die Löschung personenbezogener Daten in den Händen einer Kommunalverwaltung, die an Dritte weitergegeben wurden, und das entsprechende Recht auf Auskunft über die die Verarbeitung betreffenden Daten.
2. Grundsätzlich hat die Vernichtung von Daten Schutzcharakter. Sie hat jedoch auch andere Folgen, denn mit den Dateien geht auch die Spur ihrer Verwendung verloren. Wer scheinbar geschützt war, ist gleichzeitig geschädigt, denn er wird nie erfahren, wie seine personenbezogenen Daten von ihrem Inhaber verwendet wurden(3).
3. Vor dem Hintergrund dieser Diskussion hat der Gerichtshof zu entscheiden, ob die Frist für die Löschung der Daten als zeitliche Begrenzung des Rechts auf Auskunft über ihre Verarbeitung wirkt. In diesem Fall wäre festzustellen, ob der Zeitraum eines Jahres zum Schutz der in der Richtlinie 95/46 vorgesehenen Befugnisse ausreichend und verhältnismäßig ist.
II – Sachverhalt
4. Dem Vorlagebeschluss zufolge stellte Herr Rijkeboer beim College van burgemeester en wethouders van Rotterdam (Stadtverwaltung Rotterdam, im Folgenden: College) einen Antrag auf Angabe sämtlicher Übermittlungen ihn betreffender Auskünfte der Gemeindeverwaltung an Dritte in den beiden vorhergehenden Jahren. Mit Bescheiden vom 27. und vom 29. November 2005 lehnte das College seinen Antrag teilweise ab und übermittelte ihm lediglich die das vorhergehende Jahr betreffenden Daten. Da er mit der Entscheidung der Kommune nicht einverstanden war, legte Herr Rijkeboer einen Widerspruch ein, der am 13. Februar 2006 ebenfalls für unbegründet erklärt wurde.
5. Nach der erfolglosen Durchführung des außergerichtlichen Rechtsbehelfsverfahrens erklärte die Rechtbank Rotterdam (Gericht Rotterdam) die von Herrn Rijkeboer erhobene Klage für begründet. Mit Urteil vom 17. November 2006 hob die Rechtbank Rotterdam den Bescheid, mit dem der Antrag teilweise abgelehnt worden war, auf und ordnete an, dass das College einen neuen Bescheid zu erlassen habe.
6. Am 28. Dezember 2006 legte das College bei der Kammer für Verwaltungssachen des Raad van State ein Rechtsmittel ein. Dieses Gericht hat das Ausgangsverfahren ausgesetzt und den Gerichtshof um Vorabentscheidung ersucht.
III – Rechtlicher Rahmen
A – Gemeinschaftsrecht
7. Art. 6 Abs. 1 und 2 EU verankert mit folgenden Worten die Grundrechtsbindung der Union:
„(1) Die Union beruht auf den Grundsätzen der Freiheit, der Demokratie, der Achtung der Menschenrechte und Grundfreiheiten sowie der Rechtsstaatlichkeit; diese Grundsätze sind allen Mitgliedstaaten gemeinsam.
(2) Die Union achtet die Grundrechte, wie sie in der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten gewährleistet sind und wie sie sich aus den gemeinsamen Verfassungsüberlieferungen der Mitgliedstaaten als allgemeine Grundsätze des Gemeinschaftsrechts ergeben.
…“
8. Das Grundrecht auf Schutz der Privatsphäre als allgemeiner Grundsatz des Gemeinschaftsrechts hat seinen Ausdruck im gesetzten Recht in der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr gefunden. Dieser Rechtstext, dessen Regelungen in Art. 8 der Charta der Grundrechte der Europäischen Union kodifiziert wurden, definiert den Begriff „Daten“ und ordnet deren Löschung an, wenn sie eine Zeit lang verarbeitet wurden. Die Art. 2 Buchst. a und 6 der Richtlinie legen dazu Folgendes fest:
„Artikel 2
…
a) ‚personenbezogene Daten‘ alle Informationen über eine bestimmte oder bestimmbare natürliche Person; als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.
…
Artikel 6
(1) Die Mitgliedstaaten sehen vor, dass personenbezogene Daten:
…
e) nicht länger, als es für die Realisierung der Zwecke, für die sie erhoben oder weiterverarbeitet werden, erforderlich ist, in einer Form aufbewahrt werden, die die Identifizierung der betroffenen Personen ermöglicht. Die Mitgliedstaaten sehen geeignete Garantien für personenbezogene Daten vor, die über die vorgenannte Dauer hinaus für historische, statistische oder wissenschaftliche Zwecke aufbewahrt werden.“
9. Um Transparenz bei der Verarbeitung zu gewährleisten, sind in den Art. 10 und 11 der Richtlinie Informationspflichten für den Inhaber der Daten vorgesehen, die davon abhängen, ob diese Informationen von der betroffenen Person verlangt wurden. Den für die Dateien Verantwortlichen treffen u. a. folgende Obliegenheiten:
„Artikel 10
Information bei der Erhebung personenbezogener Daten bei der betroffenen Person
Die Mitgliedstaaten sehen vor, dass die Person, bei der die sie betreffenden Daten erhoben werden, vom für die Verarbeitung Verantwortlichen oder seinem Vertreter zumindest die nachstehenden Informationen erhält, sofern diese ihr noch nicht vorliegen:
a) Identität des für die Verarbeitung Verantwortlichen und gegebenenfalls seines Vertreters,
b) Zweckbestimmungen der Verarbeitung, für die die Daten bestimmt sind,
c) weitere Informationen, beispielsweise betreffend
– die Empfänger oder Kategorien der Empfänger der Daten,
– die Frage, ob die Beantwortung der Fragen obligatorisch oder freiwillig ist, sowie mögliche Folgen einer unterlassenen Beantwortung,
– das Bestehen von Auskunfts- und Berichtigungsrechten bezüglich sie betreffender Daten,
sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten erhoben werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.
Artikel 11
Informationen für den Fall, dass die Daten nicht bei der betroffenen Person erhoben wurden
(1) Für den Fall, dass die Daten nicht bei der betroffenen Person erhoben wurden, sehen die Mitgliedstaaten vor, dass die betroffene Person bei Beginn der Speicherung der Daten bzw. im Fall einer beabsichtigten Weitergabe der Daten an Dritte spätestens bei der ersten Übermittlung vom für die Verarbeitung Verantwortlichen oder seinem Vertreter zumindest die nachstehenden Informationen erhält, sofern diese ihr noch nicht vorliegen:
a) Identität des für die Verarbeitung Verantwortlichen und gegebenenfalls seines Vertreters,
b) Zweckbestimmungen der Verarbeitung,
c) weitere Informationen, beispielsweise betreffend
– die Datenkategorien, die verarbeitet werden,
– die Empfänger oder Kategorien der Empfänger der Daten,
– das Bestehen von Auskunfts- und Berichtigungsrechten bezüglich sie betreffender Daten,
sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten erhoben werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.
…“
10. Die betroffenen Personen können über die Verarbeitung ihrer Daten wachen, indem sie von dem sogenannten „Auskunftsrecht“ Gebrauch machen, dessen Grundzüge in Art. 12 der Richtlinie 95/46 niedergelegt sind. Im Rahmen der vorliegenden Rechtssache ist der erste in diesem Artikel geregelte Fall von Bedeutung:
„Artikel 12
Auskunftsrecht
Die Mitgliedstaaten garantieren jeder betroffenen Person das Recht, vom für die Verarbeitung Verantwortlichen Folgendes zu erhalten:
a) frei und ungehindert in angemessenen Abständen ohne unzumutbare Verzögerung oder übermäßige Kosten
– die Bestätigung, dass es Verarbeitungen sie betreffender Daten gibt oder nicht gibt, sowie zumindest Informationen über die Zweckbestimmungen dieser Verarbeitungen, die Kategorien der Daten, die Gegenstand der Verarbeitung sind, und die Empfänger oder Kategorien der Empfänger, an die die Daten übermittelt werden;
– eine Mitteilung in verständlicher Form über die Daten, die Gegenstand der Verarbeitung sind, sowie die verfügbaren Informationen über die Herkunft der Daten;
– Auskunft über den logischen Aufbau der automatisierten Verarbeitung der sie betreffenden Daten, zumindest im Fall automatisierter Entscheidungen im Sinne von Artikel 15 Absatz 1;
…“
11. Die Mitgliedstaaten können die Pflicht zur Löschung sowie das Auskunftsrecht in den in Art. 13 der Richtlinie 95/46 genannten Fällen beschränken:
„Artikel 13
Ausnahmen und Einschränkungen
(1) Die Mitgliedstaaten können Rechtsvorschriften erlassen, die die Pflichten und Rechte gemäß Artikel 6 Absatz 1, Artikel 10, Artikel 11 Absatz 1, Artikel 12 und Artikel 21 beschränken, sofern eine solche Beschränkung notwendig ist für
a) die Sicherheit des Staates;
b) die Landesverteidigung;
c) die öffentliche Sicherheit;
d) die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten oder Verstößen gegen die berufsständischen Regeln bei reglementierten Berufen;
e) ein wichtiges wirtschaftliches oder finanzielles Interesse eines Mitgliedstaats oder der Europäischen Union einschließlich Währungs-, Haushalts- und Steuerangelegenheiten;
f) Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben c), d) und e) genannten Zwecke verbunden sind;
g) den Schutz der betroffenen Person und der Rechte und Freiheiten anderer Personen.
…“
B – Nationales Recht
12. In der niederländischen Rechtsordnung wurde die Richtlinie 95/46 durch ein allgemeines Gesetz, die Wet bescherming persoonsgegevens (Datenschutzgesetz), umgesetzt. Im vorliegenden Vorabentscheidungsverfahren ist dieses Gesetz nur subsidiär anwendbar, da auf kommunaler Ebene ein besonderes Gesetz maßgeblich ist, die Wet gemeentelijke basisadministratie persoonsgegevens (Gesetz über personenbezogene Daten der Gemeindeverwaltung). Die Voraussetzungen, unter denen der Einzelne Auskunft über die Verarbeitung seiner Daten erhalten kann, sind in dessen Art. 103 Abs. 1 geregelt:
„Art. 103
1. Das College van burgemeester en wethouders teilt dem Betroffenen auf seinen Antrag schriftlich innerhalb von vier Wochen mit, ob ihn betreffende Daten in dem Jahr, das dem Antrag vorausgeht, aus der Verwaltung an einen Abnehmer oder Dritten übermittelt worden sind.
…“
IV – Vorlagefrage
13. Der Vorlagebeschluss des Raad van State ist am 12. Dezember 2007 in das Register der Kanzlei des Gerichtshofs eingetragen worden. Mit ihm ist folgende Frage gestellt worden:
Ist die im Gesetz vorgesehene Beschränkung der Mitteilung von Daten auf ein Jahr vor Stellung des entsprechenden Antrags mit Art. 12 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr in Verbindung mit Art. 6 Abs. 1 Buchst. e dieser Richtlinie und dem Verhältnismäßigkeitsgrundsatz vereinbar?
14. Das College, die Regierungen der Niederlande, des Vereinigten Königreichs, der Hellenischen Republik, der Tschechischen Republik und des Königreichs Spanien sowie die Kommission haben innerhalb der in Art. 23 der Satzung des Gerichtshofs bestimmten Frist schriftliche Erklärungen eingereicht.
15. In der mündlichen Verhandlung vom 20. November 2008 sind die Vertreter des College und von Herrn Rijkeboer sowie die Bevollmächtigten der Regierungen der Niederlande, der Tschechischen Republik, des Königreichs Spanien und des Vereinigten Königreichs sowie der Europäischen Kommission erschienen, um mündliche Ausführungen zu machen.
V – Abgrenzung der zu erörternden Frage
16. Die vorliegende Rechtssache wirft mehrere Fragen von einer gewissen begrifflichen Komplexität auf. Im Wesentlichen wird gefragt, ob es eine spezifische Frist für die Löschung von Informationen über die Verarbeitung personenbezogener Daten geben kann. Werden sie aufgrund der Richtlinie 95/46 gelöscht, schließt sich die Zugangstür zum Auskunftsrecht, denn es besteht keine Möglichkeit, Auskunft über Daten zu verlangen, die nicht mehr existieren. Deshalb muss sich die Debatte auf die Beschränkung einer Befugnis, die in der Richtlinie 95/46 ebenfalls ausdrücklich geregelt ist, orientieren. Das Spannungsverhältnis zwischen der Löschung und der Auskunft offenbart eine Kollision innerhalb der Richtlinie, zu der der Gerichtshof Stellung nehmen muss.
17. Daher ist festzustellen, ob die Angaben zur Verarbeitung genauso wie die personenbezogenen Daten behandelt werden oder behandelt werden können. Zudem ist zu prüfen, ob die Frist für die Löschung in jedem Fall als Grenze des Auskunftsrechts wirkt. Diese Zweifel sind in einem etwas unklaren tatsächlichen und rechtlichen Rahmen zu lösen, denn der Raad van State hat nicht angegeben, ob die Frist für die Löschung der Verarbeitungsdaten der Frist für die Löschung der personenbezogenen Daten entspricht oder kürzer ist. Deshalb sind beide Fälle zu untersuchen, um dem ersuchenden Gericht eine sachdienliche Antwort geben zu können.
VI – Eine einleitende Erörterung: Die Interessenabwägung im Licht der Grundrechte der Union
A – Das Grundrecht auf Schutz der Privatsphäre und seine Entwicklung auf gemeinschaftlicher Ebene
18. Die Europäische Union beruht nach den Postulaten ihrer Verfassungscharta(4) auf den Grundrechten, deren Wahrung der Gerichtshof zu sichern hat(5). Nach einer jahrelangen Entwicklung der Rechtsprechung, die mit den Urteilen Stauder(6) und Internationale Handelsgesellschaft(7) begann, verliehen die Mitgliedstaaten dem strukturellen Charakter dieser Rechte volle Wirksamkeit, als sie Art. F der Einheitlichen Europäischen Akte annahmen, der später zu Art. 6 EU wurde. In dieser Bestimmung wird erklärt, dass die Union diese Rechte achtet, wie sie in der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK)(8) gewährleistet sind und wie sie sich aus den gemeinsamen Verfassungsüberlieferungen der Mitgliedstaaten ergeben.
19. Das Recht auf Schutz der Privatsphäre fügt sich in diese Überlieferungen ein. Seit dem frühen Urteil Stauder(9) ordnet die Rechtsprechung die Verteidigung der Privatsphäre den allgemeinen Grundsätzen des Gemeinschaftsrechts zu. Anfänglich tat sie das im Rahmen der Prüfung der Verpflichtung zur Auskunft über Daten wie Namen(10) oder medizinische Unterlagen(11) in ihrer innerstaatlichen(12) bzw. gemeinschaftlichen(13) Anwendung. Kurz danach, im Laufe der neunziger Jahre, bestätigte der Gerichtshof, dass dieses Recht Auswirkungen im Bereich des Privatlebens(14) und der Familie(15) hat.
20. Der Erlass der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr im Jahr 1995 stellte einen Wendepunkt dar. Die einschlägige Rechtsprechung des Gerichtshofs, die bis dahin verstreut und kasuistisch war, fand einen solideren Unterbau für ihre Entscheidungen, denn die Richtlinie umschrieb detailliert den Gegenstand(16), die Subjekte(17) und die Rechtsmittel, die dem Einzelnen zur Verfügung stehen, wenn ihn betreffende Informationen verbreitet werden(18). Im 10. Erwägungsgrund findet die Zielsetzung der Richtlinie 95/46 als Instrument zum Schutz der in der EMRK und den allgemeinen Grundsätzen des Gemeinschaftsrechts verankerten Grundrechte ihren Ausdruck(19). Im Urteil Österreichischer Rundfunk wurde bestätigt, dass die Richtlinie 95/46 zwar als Hauptziel die Gewährleistung des freien Verkehrs personenbezogener Daten anstrebt, aber auch eine bedeutende Komponente als Hüterin der Grundrechte beinhaltet(20).
21. Zusammengefasst stellt die Richtlinie 95/46 eine Weiterentwicklung des Grundrechts auf Schutz der Privatsphäre unter dem Aspekt der automatischen Verarbeitung personenbezogener Daten dar(21).
22. Zum Beweis dieses Kodifizierungsbemühens genügt die Feststellung, dass Art. 8 der Charta der Grundrechte der Europäischen Union(22) über den „Schutz personenbezogener Daten“ ein Recht auf Intimität und eine Verarbeitung nach Treu und Glauben vorsieht und auch das Recht auf Auskunft über die Daten und ihre Berichtigung anerkennt. Trotz der Vorsicht, mit der die Charta anzuwenden ist(23), kann ihr Wortlaut kaum ignoriert werden und es ist nicht zu bestreiten, dass diese Elemente des Rechts zu den gemeinsamen Verfassungsüberlieferungen der Mitgliedstaaten gehören(24). Diese Beurteilung wird bekräftigt, wenn man berücksichtigt, dass seit der Annahme der Richtlinie 95/46 mehr als zehn Jahre vergangen sind und auf diesem Gebiet eine effiziente Harmonisierung vollzogen wurde(25).
23. In Art. 8 der Charta werden zwei Gesichtspunkte hervorgehoben, die den vorliegenden Rechtsstreit betreffen. Beide spiegeln sich in den Art. 6 und 12 der Richtlinie 95/46 wider: einerseits die Verpflichtung zur Löschung der Daten in einem Zeitraum, der den für die Erfüllung ihrer Aufgaben erforderlichen Zeitraum nicht überschreitet (Art. 6 Abs. 1 Buchst. e), und andererseits das uneingeschränkte Recht auf Auskunft über die Empfänger, an die die Daten übermittelt wurden (Art. 12 Buchst. a). Da die Charta derartige Aspekte umfasst und sie in den „essenziellen Bereich“ des Grundrechts auf Schutz der Privatsphäre aufnimmt, erfordert die Vorlagefrage des Raad van State eine Güter- und Interessenabwägung, um eine vernünftige Antwort zu finden, die diese Bestimmungen mit ihrem jeweiligen verfassungsrechtlichen Rahmen in Einklang bringt(26).
24. Vorab ist bei der Darstellung der Schlüssel zur Auslegung der Richtlinie 95/46 deren teleologische Komponente zu untersuchen, um das überwiegende Interesse zu bestimmen.
B – Das Grundrecht auf Schutz der Privatsphäre und die ihm innewohnenden Spannungen
25. Dieser Rechtsstreit betrifft nicht zwei Grundrechte, sondern zwei Seiten derselben Münze. Im Gegensatz zu den Fällen, in denen beispielsweise das Recht auf Schutz der Ehre und die Informationsfreiheit oder das Recht auf Schutz der Privatsphäre und das Recht auf Eigentum kollidieren, stehen nunmehr zwei Verpflichtungen, die die öffentliche Gewalt treffen, zur Diskussion: die Verpflichtung, Fristen für die Vernichtung von personenbezogenen Daten einzuführen, und die Verpflichtung, zu gewährleisten, dass die betroffenen Personen Auskunft über diese Daten erhalten. Diese Besonderheit unterscheidet den Fall von Herrn Rijkeboer von anderen vom Gerichtshof bereits entschiedenen Fällen, wie den Rechtssachen Lindqvist(27) oder Promusicae(28), in denen der Schutz der Privatsphäre der Religionsfreiheit bzw. dem Recht auf Eigentum entgegenstand(29). Hier hingegen gibt es nur ein Recht, das in einem inneren Konflikt steht und das zwei Seelen hat, wodurch es zu einer Art Dr. Jekyll und Mr. Hyde wird, denn in seinem Inneren wohnen Güte und kalte, kalkulierte Unbarmherzigkeit zusammen.
26. Die Aufbewahrung von Daten durch die für die Verarbeitung Verantwortlichen ist eine Verpflichtung mit Verfallsdatum, denn die Richtlinie 95/46 schreibt vor, dass sie nicht länger aufbewahrt werden dürfen, als es für die Realisierung ihrer Zwecke oder der Zwecke, denen sie später zugeführt werden, erforderlich ist. So nachdrücklich wird dies in Art. 6 gesagt, und den Mitgliedstaaten wird die Festlegung der jeweiligen Zeiträume nach den Sektoren und den Zielen überlassen, die die Grundlage für die Einrichtung und spätere Löschung der Dateien bilden. Trotz der Flexibilität, die die Bestimmung der jeweiligen nationalen Rechtsordnung verleiht, erlaubt es Art. 13 der Richtlinie 95/46, Ausnahmen hiervon vorzusehen, und gestattet eine über die normale Dauer hinausgehende Aufbewahrung, wenn es allgemeine Belange wie die Sicherheit des Staats, die Bekämpfung der Kriminalität und die wissenschaftliche Forschung erfordern.
27. In der Begründung der Richtlinie wird dieser Umstand nicht erwähnt und den Grenzen der Aufbewahrung keine größere Bedeutung beigemessen. Demnach wird diese Verpflichtung nur in den Art. 6 und 12 behandelt, und angesichts des großzügigen Ermessens, das die Richtlinie 95/46 den Mitgliedstaaten einräumt, bin ich der Auffassung, dass der Gemeinschaftsgesetzgeber sich nicht auf diesen Gesichtspunkt konzentriert hat, wie der Vergleich seiner Regelung mit der des Auskunftsrechts zeigt(30).
28. Dass die betroffene Person Auskunft über die Daten verlangen kann sowie ihre Berichtigung, Löschung oder Sperrung beantragen kann, stellt einen wesentlichen Aspekt der Richtlinie 95/46 dar. Die Erwägungsgründe 38 und 40 veranschaulichen diesen Gedanken, nicht nur, weil sie die Bedeutung des Auskunftsrechts bestätigen, sondern auch wegen der impliziten Verbindung zwischen der Information, über die die betroffene Peron verfügt, und ihrer Verarbeitung. Damit die in Art. 12 anerkannten Rechte in Anspruch genommen werden können, bedarf es einer Reihe von Grundprinzipien, denn andernfalls wären die Schutzmechanismen der Bestimmung inhaltslos. Der 41. Erwägungsgrund bringt dies klar zum Ausdruck, wenn es dort heißt, dass „[j]ede Person … ein Auskunftsrecht hinsichtlich der sie betreffenden Daten, die Gegenstand einer Verarbeitung sind, haben [muss], damit sie sich insbesondere von der Richtigkeit dieser Daten und der Zulässigkeit ihrer Verarbeitung überzeugen kann“(31). An diesem Punkt werden die sogenannten „Grundsätze in Bezug auf die Qualität der Daten“ in Kapitel II Abschnitt I der Richtlinie 95/46 relevant, zu denen auch die Anordnung gehört, sie „nicht länger [aufzubewahren], als es für die Realisierung der Zwecke, für die sie erhoben oder weiterverarbeitet werden, erforderlich ist“. Die Verpflichtung zur Löschung der Dateien steht mit der Verpflichtung zur Verarbeitung der Daten „nach Treu und Glauben“ sowie zur Gewährleistung ihrer Qualität in Verbindung, damit sie den Zwecken entsprechen, für die sie erhoben und/oder weiterverarbeitet werden, dafür erheblich sind, nicht darüber hinausgehen und sachlich richtig sind(32).
C – Der akzessorische Charakter von Art. 6 gegenüber Art. 12 der Richtlinie 95/46
29. Ich bin mir der Schwierigkeit bewusst, die die Feststellung eines vorrangigen Interesses im Verhältnis zwischen den Art. 6 und 12 der Richtlinie 95/46 mit sich bringt. Gewichtige Gründe sprechen dafür, dass die Löschung der Schlüssel des Systems ist, das mit der Richtlinie 95/46 eingeführt und mit dem ein Auskunftsrecht begründet wird, das es dem Einzelnen ermöglicht, die Löschung der Daten zu überwachen. Auf dieselbe Weise ist das Recht auf den Schutz in Art. 12 ausgestaltet, denn das Auskunftsrecht stellt eine echte subjektive Dimension der Richtlinie dar, die es dem Einzelnen im Ergebnis erlaubt, zur Verteidigung seiner Interessen zu reagieren.
30. Vor diesem Hintergrund kann ich der Versuchung nicht widerstehen, mir das alte Dilemma vom Ei und von der Henne ins Gedächtnis zu rufen. Wer von beiden war zuerst da? Kann man für immer mit der Frage leben und anerkennen, dass es niemals eine Lösung geben wird, da beide Meinungen ewige Wahrheiten sind, wie Aristoteles schrieb(33)?
31. Die Gerichte verfügen nicht über die Denkfreiheit des Philosophen und müssen sich um eine Antwort bemühen, auch wenn diese nicht immer die treffendste ist. So wie es Wissenschaftler gibt, die im ewigen Streit zwischen Henne und Ei Stellung bezogen haben(34), neige ich daher dazu, einen Weg aus dem Konflikt zwischen den Art. 6 und 12 der Richtlinie 95/46 vorzuschlagen.
32. Aus den Ausführungen in den Nrn. 29 bis 35 dieser Schlussanträge ziehe ich den Schluss, dass in der Richtlinie 95/46 die Löschung dem Auskunftsrecht untergeordnet ist. Diese Bestimmungen begründen ein Recht, das mit der Einrichtung der Datei entsteht und mit ihrer Löschung erlischt. Demnach ist die Löschung der Daten nur ein Augenblick im Leben des Auskunftsrechts, ein Merkmal, das Art. 12 bedingt und rechtfertigt.
33. Geht man weiter in diese Richtung, gelangt man zu der Überzeugung, dass das Auskunftsrecht das Ziel verfolgt, dass die betroffene Person die auf sie bezogenen Daten erfährt. Ein weiterer Schritt ist, nach dem Zweck der Recherche zu fragen. In vielen Fällen will die betroffene Person die Rechtmäßigkeit der Verarbeitung ihrer Daten überprüfen. Die Richtlinie 95/46 erlegt den für die Verarbeitung Verantwortlichen bei der Ausübung ihrer Tätigkeit die Beachtung einer Reihe von Prinzipien auf, aber sie konzentriert sich auch auf die Schutzmechanismen, zu denen das Auskunftsrecht als Werkzeug der betroffenen Person zur Überwachung und Durchsetzung des Rechts gehört.
34. Art. 12 als Achse des Systems der in der Richtlinie 95/46 verankerten Garantien würde es somit an Logik fehlen, wenn diejenigen, die im Besitz fremder Daten sind, keinen Vorschriften unterliegen. Wie die Kommission in der mündlichen Verhandlung treffend dargelegt hat, wird das Auskunftsrecht gerade deshalb eingeführt, weil es Grundsätze für die Verarbeitung (Art. 6) gibt(35). Es wird als Grundpfeiler der Richtlinie errichtet, wie Art. 12 belegt, der die Nuance „frei und ungehindert“ unterstreicht(36). Angesichts des Gewährleistungscharakters der Richtlinie 95/46, die ganz auf den Schutz der betroffenen Personen gerichtet ist, ist offensichtlich, das der Verpflichtung zur Aufbewahrung eine Hilfsfunktion gegenüber dem Auskunftsrecht zukommt. Seine nachhaltige subjektive Bestimmung und sein Zweck, Grundrechte zu schützen (in diesem Fall das Recht auf Schutz der Privatsphäre), konsolidieren diesen Gedanken und stellen die Art. 6 zugrunde liegenden Interessen auf eine niedrigere normative Ebene.
35. Diese Schlussfolgerung wird durch die Systematik des Art. 8 der Charta der Grundrechte der Europäischen Union bestätigt, deren hermeneutischer Wert außer Zweifel steht(37) und die das Auskunftsrecht in Abs. 1 der Bestimmung ansiedelt. Sodann werden in Abs. 2 die Grundsätze für die Verarbeitung aufgelistet, jedoch in einer hierarchischen Ordnung, in der das Recht der betroffenen Person Vorrang vor den Verantwortlichkeiten desjenigen hat, der die Daten verwendet.
36. Mit dieser Perspektive als Ausgangspunkt und nach diesem Hinweis auf die subjektive Dimension der Richtlinie 95/46, in der Art. 12 gegenüber Art. 6 ein besonderes Gewicht zukommt, untersuche ich nun die Frage des Staatsrats der Niederlande.
VII – Personenbezogene Daten und Verarbeitungsdaten
37. Wie ich in den Nrn. 16 und 17 dieser Schlussanträge dargelegt habe, sind zwei Fälle getrennt zu prüfen, die sich je nach den Umständen des Einzelfalls ergeben können. Zu untersuchen ist die Rechtmäßigkeit der Frist für den Zugang zu den Verarbeitungsdaten zum einen für den Fall, dass sie kürzer ist als die für die Hauptdaten vorgesehene, und zum anderen für den Fall, dass sie der für den Zugang zu den Hauptdaten geltenden entspricht. Im ersten Fall ist zu prüfen, ob die Richtlinie diese auf der Art der verlangten Daten beruhende unabhängige Regelung des Auskunftsrechts zulässt. Im zweiten Fall entsteht die Schwierigkeit, zu präzisieren, ob eine Auskunft nach der Löschung möglich ist.
38. Um die Frage des Raad van State angemessen beantworten zu können, ist es unerlässlich, vorab festzustellen, ob die Fristen für die Löschung allgemein auf alle Daten anzuwenden sind, einschließlich der sich auf die Verarbeitungen beziehenden, oder ob sie nach der Art der personenbezogenen Daten unterschieden werden können. Je nach den Zielen, die mit der jeweiligen Art von Daten verfolgt werden, besteht insoweit ein wesentlicher Unterschied.
39. Die griechische und die tschechische Regierung haben in der mündlichen Verhandlung hervorgehoben, dass mit jeder Art von Daten unterschiedliche Zwecke verfolgt würden. Im Folgenden sollen die Vor- und Nachteile dieser Überlegung sowie ihre Folgen für den vorliegenden Fall dargelegt werden.
40. Die Vernichtung personenbezogener Daten dient dem Schutz der betroffenen Person, denn durch die Tilgung der Information erlischt jegliches Risiko einer rechtswidrigen Verarbeitung. Der Umstand, dass die Richtlinie 95/46 in Art. 6 keine Frist vorsieht, hat eine gewisse Logik, denn jede Datei dient ihren eigenen Zielen, und nach dem Subsidiaritätsprinzip ist der nationale Gesetzgeber am besten in der Lage, zu entscheiden, wie viel Zeit die für die Verarbeitung Verantwortlichen bis zur Löschung haben. Die Löschung der Verarbeitungsdaten erfüllt jedoch andere Ziele, denn sie schützt nicht die betroffene Person, und der Einzelne verliert, wenn er nicht vom Auskunftsrecht Gebrauch macht, die Spur der Daten, weil sich die relevanten Daten dann nicht mehr in den Händen des Verantwortlichen befinden, so dass die Löschung die Abnehmer der Daten begünstigt, deren Identität und Absichten gelöscht werden.
41. Dieser Ansatz verdeutlicht die latenten begrifflichen Schwierigkeiten dieser Rechtssache. Es trifft zu, dass zwischen der Löschung der Daten und der Löschung der Verarbeitungsdaten unterschieden werden kann(38). Es sind ungleiche Rechtsgüter sowie autonome Funktionen betroffen, die die Richtlinie 95/46 getrennt regelt. Doch ruft eine solche Konstruktion, auf die Spitze getrieben, wenig wünschenswerte Folgen hervor. Erstens ist die Ungleichheit im Wortlaut der Richtlinie 95/46 nicht vorgesehen, denn Art. 6 regelt die Löschung der Daten in totum, während Art. 12 zwar verschiedene Arten von Daten auflistet, dies aber tut, um das Auskunftsrecht mit Inhalt zu füllen, und nicht zum Zweck der Aufgliederung(39). Zweitens ist das Auskunftsrecht so ausgestaltet, dass es „frei und ungehindert“ ausgeübt werden kann, unter Zugrundelegung seiner weiten Bedeutung. Wie weiter unten skizziert wird, kann die Intensität, mit der diese Befugnis geschützt wird, zwar begrenzt werden, doch der Wortlaut des Art. 12 schließt es aus, dass es Auskünfte erster und zweiter Klasse gibt. Drittens bilden, wie die Kommission, das Königreich Spanien und das Vereinigte Königreich in der mündlichen Verhandlung hervorgehoben haben, beide Arten von Daten eine technologische Einheit, sie werden gewöhnlich in denselben Dateien verarbeitet, und ihre gemeinsame Verarbeitung bringt keine besonders schwere Belastung für die für die Verarbeitung Verantwortlichen mit sich.
42. Deshalb schließe ich aus, dass die auf die Verarbeitung bezogenen Daten rechtlich eigenständig sind und eine eigene Rechtsstellung haben. Die Verarbeitungsdaten betreffen die personenbezogenen Daten, die verarbeitet werden, denn sie geben Aufschluss über die Art und Weise und die Bedingungen, unter denen sie verarbeitet wurden, was mich zu der Annahme führt, dass diese Daten einen wesentlichen Bestandteil der gemeinschaftlichen Definition von „Daten“ im Sinne des Art. 2 Buchst. b der Richtlinie 95/46 bilden. Um eine Antwort zu entwerfen, die für das ersuchende Gericht von Nutzen ist, ist diese Feststellung im Licht der beiden Fälle, die ich in den Nrn. 16 und 17 dieser Schlussanträge dargestellt habe, zu differenzieren.
VIII – Erster Fall: eine kürzere Frist für die Löschung der auf die Verarbeitung bezogenen Daten
43. Die vom Raad van State vorgelegte Frage scheint sich auf diesen Fall zu beziehen: Das niederländische Recht sieht eine lange Aufbewahrung personenbezogener Daten vor, regelt aber einen kürzeren Zeitraum von einem Jahr für die Löschung der Verarbeitungsdaten. Im Vorlagebeschluss werden jedoch die im Ausgangsverfahren streitigen Daten nicht detailliert dargestellt, weshalb ich es wage, die erste Antwort mit Blick auf den zitierten Fall vorzuschlagen.
44. Aus den in den Nrn. 37 und 42 dieser Schlussanträge dargelegten Gründen bin ich der Ansicht, dass die Richtlinie 95/46 nicht zwischen personenbezogenen Daten und Verarbeitungsdaten unterscheidet. Im Bewusstsein der Schwierigkeiten bei der Speicherung, die ein solcher Ansatz implizieren würde, vertrete ich die Auffassung, dass die Frist für die Löschung in Art. 6 der Richtlinie 95/46 für beide Arten von Daten dieselbe ist. Wenn auch der Zweck der Löschung im Hinblick auf die Daten unterschiedlich ist, fällt es mir schwer, unterschiedliche Regelungen auf der Grundlage einer derart künstlichen Trennung zu konzipieren, vor allem, wenn sie auf ein Grundrecht anzuwenden sind.
45. Wie ich in den Nrn. 29 bis 35 dieser Schlussanträge vorausgeschickt habe, räumt der Wortlaut der Richtlinie dem Auskunftsrecht, dem die Verpflichtung zur Löschung untergeordnet ist, Vorrang ein. Bei der Erreichung dieses Ziels sind die personenbezogenen sowie die Verarbeitungsdaten besser geschützt, wenn sie über denselben Zeitraum aufbewahrt werden.
46. In manchen Fällen erscheint die Aufbewahrungsdauer lang, doch ist diese Dauer durch das allgemeine Interesse gerechtfertigt, das auch angeführt werden kann, um die Lebensdauer der auf die Verarbeitung bezogenen Daten zu verlängern. Wenn die Speicherung übermäßig verlängert wird, weil die Daten eine historische, statistische oder wissenschaftliche Verwendung finden, verlangt die Richtlinie 95/46 von den Mitgliedstaaten, besondere Vorkehrungen zu treffen, die die Verwendung dieser Dateien an die Umstände, die ihre ausgedehnte Aufbewahrung rechtfertigen, anpassen(40). Deshalb sind andere Maßnahmen vorzusehen, die den Schutz der betroffenen Person gewährleisten, wenn auch angepasst an die historische oder kulturelle Verwendung im Sinne von Art. 6 Buchst. e der Richtlinie 95/46.
47. Darüber hinaus hat, worauf das College in seinen schriftlichen Erklärungen und in der mündlichen Verhandlung hingewiesen hat, diese Verpflichtung zur Speicherung der auf die Verarbeitung bezogenen Daten in mit den personenbezogenen Daten gemeinsamen Fristen andere Grenzen. Das vom College angeführte Beispiel erscheint mir im Hinblick auf den Schutz der auf einen Dritten bezogenen Daten, der wiederum den Schutz der Richtlinie 95/46 genießt, entscheidend, was nicht bedeutet, dass die von der Übermittlung der Daten ursprünglich betroffene Person vollständig schutzlos gestellt werden darf. Dieser Vorbehalt impliziert – ausschließlich im Hinblick auf die personenbezogenen Daten des Empfängers –, dass die ursprünglich betroffene Person denselben Beschränkungen unterliegt wie jeder andere Empfänger im Sinne der Richtlinie 95/46.
48. Demzufolge ist es nicht erforderlich, die Verhältnismäßigkeit der im niederländischen Recht vorgesehenen Frist von einem Jahr zu untersuchen, wenn personenbezogene Daten und Verarbeitungsdaten einer gemeinsamen Löschungsfrist unterliegen. Wäre der Zeitraum für die Aufbewahrung der Daten länger als der für die Verarbeitungsdaten, würde die Beantwortung der Vorlagefrage hier enden.
49. Stünde die Rechtssache in einem anderen Regelungszusammenhang, würde sich die Beantwortung des Vorabentscheidungsersuchens ändern, sofern es eine Übereinstimmung zwischen den Fristen gäbe und die betroffene Person Auskunft über bereits vernichtete Daten begehren würde.
IX – Zweiter Fall: eine für die Löschung beider Arten von Daten gemeinsame Frist
A – Der Wortlaut des Art. 12 der Richtlinie 95/46
50. Spanien, die Tschechische Republik und die Niederlande bringen unter Hinweis auf Art. 12 Buchst. a Unterabs. 2 vor, Art. 12 stelle das Bindeglied zwischen der Auskunft und der in Art. 6 vorgeschriebenen Löschung dar. Die Bestimmung verlange von den Mitgliedstaaten, „das Recht [zu garantieren], vom für die Verarbeitung Verantwortlichen eine Mitteilung in verständlicher Form über die Daten, die Gegenstand der Verarbeitung sind, sowie die verfügbaren Informationen über die Herkunft der Daten“ zu erhalten. Seinem Wortlaut lasse sich auch entnehmen, dass die Richtlinie das Recht auf Auskunft über die verarbeiteten Daten beschränke, was Anträge auf Zugang nach Abschluss der Verarbeitung, d. h. nach der Löschung, ausschließe. Für diese Auslegung spreche der Vergleich der verschiedenen Sprachfassungen, die in der Intensität, mit der sie den zeitlichen und unveränderlichen Charakter des Rechts regeln, variierten.
51. Das Argument überzeugt nicht, da zwar die englische von Daten „undergoing processing“(41) spricht, die spanische Fassung aber mehrdeutiger ist. Ich räume ein, dass eine strikte Auslegung der Bestimmung mit der in Art. 6 vorgegebenen Verpflichtung zur Löschung kohärenter wäre. Ich glaube jedoch nicht, dass der Vergleich etwas Entscheidendes beiträgt, zumal es Gründe gibt – die ich weiter unten darlegen werde –, um vom grammatischen Diktat des Art. 12 eine Ausnahme zu machen(42).
52. Ich schließe mich auch nicht der Auffassung des Königreichs Spanien an, dass Art. 12 eine weitere Ausnahme hinzuzufügen sei, die zu denen des Art. 13 der Richtlinie 95/46 hinzukomme(43). Nachdem sie bejaht hat, dass die Auskunft auf die Daten, die Gegenstand der gegenwärtigen Verarbeitung sind, beschränkt sei, gelangt die spanische Regierung zu dem Ergebnis, dass den Beschränkungen des Art. 13 stillschweigend eine weitere hinzugefügt werde, deren Wortlaut aus der genannten Verpflichtung in Art. 6 der Richtlinie 95/46 abgeleitet sei. Diese Erklärung überzeugt mich nicht, sie bestätigt vielmehr in bezeichnender Weise die Annahme, die sie widerlegen will: Wenn in Art. 13 die Ausnahmen von einem weitgehenden Auskunftsrecht zusammengefasst sind, müssen diese Ausnahmen insoweit eng ausgelegt werden. Wenn es nicht angebracht ist, einer großzügigen Ausnahme durch diese Beschränkungen zuzustimmen, wäre es noch weniger hinnehmbar, andere Kategorien ex novo zu schaffen.
53. Zusammenfassend neige ich aufgrund des Wortlauts der Bestimmungen dazu, eine einschränkende Auslegung des Auskunftsrechts auszuschließen. Diese Gründe führen nicht zu einer einheitlichen Konzeption der Frist, denn nach der inneren Hierarchie der Richtlinie hat das Auskunftsrecht Vorrang vor der Löschung. Folglich stellt die Löschung der Dateien eine Grenze des Auskunftsrechts dar, die nur statthaft ist, wenn bestimmte Garantien erfüllt sind. Das bedeutet, dass die Wahrnehmung des Rechts an Voraussetzungen geknüpft werden kann (z. B. durch die Einführung einer Frist), sofern die betroffene Person auf andere Weise geschützt ist. Andernfalls gäbe es Löschungsfristen, die rechtswidrig wären, weil sie das Auskunftsrecht beeinträchtigen würden, was nicht bedeutet, dass zwischen den Daten unterschieden und die Verantwortlichen verpflichtet werden müssten, die auf die Verarbeitung bezogenen Daten auf Dauer aufzubewahren. Es bedeutet im Gegenteil, dass die Frist für die Löschung verlängert werden muss, so dass die Auskunft sichergestellt ist.
54. Folglich spreche ich mich dafür aus, dass die Frist für die Vernichtung ebenfalls eine Beschränkung des Rechts des Art. 12 der Richtlinie 95/46 darstellt. Dieser Zeitraum kann aber gegen die Richtlinie verstoßen, wenn die Erreichung der mit ihr verfolgten Ziele übermäßig erschwert wird.
B – Eine Ausnahme von der Regel: die Information des Betroffenen
55. Aus den dargelegten Gründen bin ich der Meinung, dass die Frist für die Löschung als Zügel für das Auskunftsrecht dient, obgleich es Umstände gibt, unter denen es zu einem Missverhältnis zwischen der Frist für die Löschung und der für die Ausübung des Auskunftsrechts kommt. Mit dem Gebrauch des Wortes „Missverhältnis“ spiele ich auf die Möglichkeit an, dass die Zeit im Hinblick auf die Löschung verhältnismäßig und im Hinblick auf das Auskunftsrecht unverhältnismäßig sein kann und umgekehrt. Ich bin mir über die praktischen Schwierigkeiten dieser Betrachtungsweise bewusst, aber eine solche Folge könnte unter ganz besonderen Umständen entstehen, wenn der Betroffene unzureichend über seine Rechte belehrt wurde.
56. Zu diesem Ergebnis kommt man, wenn man auf der Linie mit dem Vorbringen der Hellenischen Republik und der Kommission ein Informationsdefizit zulasten der betroffenen Person feststellt. Um dies zu erklären, sollte daran erinnert werden, dass mit den Art. 10 und 11 der Richtlinie 95/46 die Verpflichtung eingeführt wird, dem Betroffenen eine Reihe von Hinweisen zu geben und/oder Genehmigungen bei ihm einzuholen, zu denen die Information über die Weitergabe an Dritte gehört; diese Verpflichtung ist wenig konkret formuliert, so dass den Mitgliedstaaten ein weiter Handlungsspielraum verbleibt. Die Art und Weise, in der die jeweilige Rechtsordnung diese Verpflichtungen ausgestaltet hat, konditioniert die Antwort in einer Rechtssache wie der vorliegenden. Nichts spricht dagegen, dass jemandem, der vor der Weitergabe nicht über die Identität des Empfängers oder die Fristen für das Auskunftsrecht informiert wurde, ein erhöhter Schutz zugute kommt(44). Diese Schlussfolgerung steht im Einklang mit dem Vorrang, den die Richtlinie 95/46 dem subjektiven Recht der betroffenen Person einräumt, das in einer Weise beschränkt werden muss, dass seine Ausübung auch nach der Löschung gewährleistet ist.
57. Die Anwendung dieser Doktrin in einigen Fällen führt zu einer Lösung, deren Verwirklichung unmöglich ist. Wenn das College von Amts wegen sämtliche Daten von Herrn Rijkeboer aus den dem letzten Jahr vorausgegangenen Jahren vernichtet hat, könnte der Antrag des Betroffenen ins Leere gehen. Es erscheint offenkundig, dass die Stadt Rotterdam nicht in der Lage ist, etwas herauszugeben, das sie nicht mehr hat. Möglicherweise besteht dieses Hindernis auch in anderen nationalen Rechtsordnungen, wenn auch nur für einen bestimmten Zeitraum, nämlich den, der bis zur Anpassung der mit dem Gemeinschaftsrecht unvereinbaren Gesetzgebung vergeht. In der Zwischenzeit steht dem Betroffenen weiterhin das Verfahren der Haftung des Staates wegen Verstoßes gegen seine gemeinschaftsrechtlichen Verpflichtungen zur Verfügung: Mangels einer Umsetzung, die den Einzelnen vollständig zufriedenstellt, verschaffen ihm diese Bestimmungen zumindest eine finanzielle Entschädigung, zu deren Anerkennung die nationalen Gerichte verpflichtet sind(45).
58. Letzten Endes ist diese Rechtssache – einen nordamerikanischen Begriff gebrauchend – durch einen hard look im Hinblick auf die Verhältnismäßigkeit zu lösen(46), wenn der Raad van State darauf hinweist, dass im Ausgangsverfahren Informationsdefizite festgestellt worden seien. In solchen Fällen ist es unverzichtbar, dass die Frist für die Löschung nicht automatisch als Hindernis für das Auskunftsrecht wirkt. Die Verhältnismäßigkeitsprüfung muss auf ihrem höchsten Schutzniveau erfolgen, was eine so kurze Frist wie die eines Jahres kaum akzeptabel machen würde.
59. Unter diesen Voraussetzungen schließe ich mich denjenigen an, die die Löschung und die Auskunft als Teile einer einzigen Realität und damit hinsichtlich der Festlegung der Frist als Einheit auffassen. Die Löschung nach Art. 6 der Richtlinie 95/46 umfasst sämtliche Informationselemente, einschließlich der Weitergabe an Dritte. Folglich wirkt die zeitliche Begrenzung für die Löschung indirekt auch als Frist für die Festlegung der Dauer des Auskunftsrechts. Die Unterscheidung zwischen Datenkategorien hinsichtlich des Zugangs läuft auf die Schaffung einer Unterscheidung hinaus, die in der Richtlinie 95/46 nicht vorhanden ist und deren praktische Wirksamkeit darüber hinaus nicht offensichtlich erscheint(47).
60. Ausnahmen sind möglich, wenn ein Defizit an Transparenz bei der Information des Betroffenen über seine Rechte besteht. Unter diesen Gegebenheiten muss die Frist für die Löschung verlängert werden, um das Auskunftsrecht zu bewahren.
C – Die Einjahresfrist und das Prinzip der Verhältnismäßigkeit
61. Die niederländische Gesetzgebung sieht eine Sonderregelung für die Verarbeitung personenbezogener Daten durch die Gemeinden vor, die sich, soweit dies hier von Bedeutung ist, durch eine allgemeine Frist von einem Jahr für ihre Vernichtung auszeichnet. Ich habe bereits die Gründe vorausgeschickt, aus denen dieser Zeitraum gemeinsam nach Art. 6 und Art. 12 der Richtlinie 95/46 zu untersuchen ist. Nunmehr ist die Vereinbarkeit dieser Frist mit dem Grundsatz der Verhältnismäßigkeit festzustellen, dessen Anwendbarkeit eine Voraussetzung dieser Artikel darstellt, denn sie geben einem Grundrecht Sinn.
62. Die Regierungen des Vereinigten Königreichs, des Königreichs Spanien und der Tschechischen Republik haben sich vor allem mit den Schwierigkeiten befasst, die die Gewährleistung des Auskunftsrechts bereitet, wenn die Daten gelöscht wurden. Unter dieser Prämisse haben sie der in Rede stehenden Frist keine besondere Aufmerksamkeit gewidmet. Die griechische und die tschechische Regierung sind jedoch in ihren schriftlichen Erklärungen auf die Folgewirkungen der niederländischen Frist im Licht der Richtlinie 95/46 und des Grundsatzes der Verhältnismäßigkeit eingegangen. Nach Ansicht der Hellenischen Republik und der Kommission erweist sich dieser Zeitraum als zu kurz und ist infolgedessen mit dem Gemeinschaftsrecht unvereinbar. Das College beruft sich auf die Rechtmäßigkeit der Frist unter Hinweis auf die Besonderheiten des niederländischen Systems, das die Kürze der Frist zum Schutz der betroffenen Person durch andere Vorkehrungen ausgleiche.
63. Bei der Prüfung der Verhältnismäßigkeit der nationalen Frist sollte vorab an einige Regeln erinnert werden, denn der Gerichtshof hat bei anderer Gelegenheit ähnliche Fristen untersucht. Der Rechtsprechung lässt sich eine variable Betrachtungsweise entnehmen, die vom Kontext des jeweiligen Falles abhängt und die je nach den Umständen zu einer mehr oder weniger intensiven Kontrolle führt(48). Besteht die Möglichkeit, dass Grundrechte berührt werden, ist eine gewissenhafte Prüfung der Frist für ihre Wahrnehmung vorzunehmen(49). Dennoch hängt diese Prüfung von unterschiedlichen Faktoren ab.
64. Wie ich in den Nrn. 55 bis 60 dieser Schlussanträge vorausgeschickt habe, ist der Grad der Informationen, die die betroffene Person während der Verarbeitung der Daten erhalten hat, in Betracht zu ziehen; dabei können die folgenden Kriterien aufgestellt werden.
65. Nach Art. 10 und 11 der Richtlinie hat der Betroffene das Recht, dass ihm eine Reihe von Informationen mitgeteilt werden, darunter insbesondere die Identität der „Empfänger oder Kategorien der Empfänger der Daten …, sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten erhoben werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten“. Die beiden Vorschriften unterscheiden zwischen der Information, die die betroffene Person selbst einholt, und der, die anderer Herkunft ist, auch wenn in beiden Fällen über die Weitergabe der Daten an Dritte informiert werden muss.
66. Der nationale Gesetzgeber hat ein weites Ermessen bei der Umsetzung der sich aus den Art. 10 und 11 ergebenden Verpflichtung, doch verfolgen diese Vorschriften das Ziel, den Einzelnen darüber zu unterrichten, dass seine Daten weitergegeben wurden, um ihm die Möglichkeit zu geben, auf seinen Wunsch Auskunft über die Verarbeitung zu erhalten und zu überprüfen, ob sie im Einklang mit den Grundsätzen des Art. 6 der Richtlinie 95/46 steht. Jedoch sind die Hinweise von Fall zu Fall unterschiedlich, und es ist Sache des vorlegenden Gerichts, festzustellen, ob die niederländische Rechtsordnung sowie die entsprechende Gemeindepraxis die Regelungen der Art. 10 und 11 beachten. Es muss festgestellt werden, ob Herr Rijkeboer über den Zeitraum von einem Jahr unterrichtet wurde, der ihm für die Ausübung seiner Rechte zustand. Die Mitgliedstaaten sind nicht verpflichtet, die Frist mitzuteilen, da dies in den Art. 10 und 11 nicht vorgesehen ist(50). Jedoch ist bei der Beurteilung ihrer Länge die Feststellung von großer Bedeutung, ob dieser Umstand der betroffenen Person mitgeteilt wurde. Andernfalls kann ein so kurzer Zeitraum wie der eines Jahres in Ermangelung weiter gehender Erklärungen des für die Verarbeitung Verantwortlichen nur schwer als mit dem Grundsatz der Verhältnismäßigkeit und damit der Richtlinie 95/46 vereinbar angesehen werden.
67. Ebenso kommt der Art der weitergegebenen Informationen eine besondere Bedeutung zu, denn wie die Richtlinie anerkennt, können die mitzuteilenden Daten die Identität der Empfänger, aber auch die „Kategorien der Empfänger“ umfassen. Die zweite Option schließt ein, dass den zur Verfügung gestellten Listen nicht immer zu entnehmen ist, wer Zugang zu den Dateien hatte, und benachteiligt den Betroffenen bei der Ausübung des Auskunftsrechts. Es ist Sache des nationalen Gerichts, festzustellen, in welchem Umfang Herrn Rijkeboer mitgeteilt wurde, an wen und unter welchen Bedingungen die Daten weitergegeben wurden. Im Rahmen dieser Prüfung ist die Frist nachhaltiger zu kontrollieren, wenn die Identität der Empfänger nicht mitgeteilt wurde, da die betroffene Person befürchten muss, dass die Verarbeitung nicht mit den Grundsätzen des Art. 6 im Einklang steht.
68. Schließlich wären einige Beweislastregeln festzulegen. Um feststellen zu können, wie seine personenbezogenen Daten verarbeitet wurden, musste Herr Rijkeboer als Träger eines Grundrechts ein gerichtliches Verfahren anstrengen(51). Die Vereinbarkeit mit der Richtlinie 95/46 hängt von einer Reihe kasuistischer Elemente ab, die auf dem nationalen Gesetz selbst und der Praxis der Gemeindeverwaltung beruhen. Herr Rijkeboer muss zwar zur Geltendmachung seines Grundrechts unweigerlich gerichtlich vorgehen, er sollte aber nicht die Beweislast für die Mängel der Rechtsordnung seines Lands auf diesem Gebiet tragen müssen, denn der Wortlaut der Richtlinie 95/46 führt auf der Linie mit den Darlegungen in den Nrn. 29 bis 35 dieser Schlussanträge zu der Annahme, dass das Auskunftsrecht vorrangigen Charakter hat und jede Ausnahme mit größter Vorsicht abzuwägen ist. Angesichts des Vorrangs der subjektiven Dimension der Gemeinschaftsbestimmungen über den Datenschutz ist es Sache der für diese Daten Verantwortlichen, nachzuweisen, dass das rechtliche Umfeld und die bei der Verarbeitung vorherrschenden Praktiken Garantien bieten, die eine Frist von nur einem Jahr für die Ausübung des Rechts nach Art. 12 der Richtlinie 95/46 rechtfertigen.
69. In den schriftlichen Erklärungen, die es im Rahmen dieses Vorabentscheidungsverfahrens eingereicht hat, hat das College einige Anhaltspunkte hierzu beigebracht. Mit der nationalen Regelung wird ein System der Gewichte und Gegengewichte („checks and balances“, wie es das College anschaulich ausdrückt) geschaffen, das das Auskunftsrecht mit gewissen Schutzvorkehrungen harmonisiert, wie Begrenzung des Empfängerkreises, die Bindung an spezifische Zwecke in bestimmten Fällen, vorherige Zustimmung des Betroffenen oder ein Mechanismus der Überwachung durch eine unabhängige Einrichtung. Darüber hinaus wird dem Betroffenen, wie das College vorträgt, die Jahresfrist sowohl individuell als auch kollektiv (über das Internet und in Broschüren, die den Einwohnern zur Verfügung gestellt werden) mitgeteilt(52).
70. Ich bin mir der Folgen bewusst, die diese Rechtssache für diejenigen haben kann, die für die diesem Gesetz unterliegenden Dateien verantwortlich sind. Jedoch lässt mich der herausragende Wert des Schutzes des Einzelnen zu einem Ausgleich zwischen der Verteidigung der Rechte und einer effizienten Verwaltung der Dateien neigen. Deshalb sollten die Art. 6 und 12 der Richtlinie 95/46 dahin gehend ausgelegt werden, dass sie mit einer Frist von einem Jahr für die Wahrnehmung des Rechts auf Auskunft über die Verarbeitung unvereinbar sind, sofern
– dem Betroffenen die Weitergabe nicht mitgeteilt wurde,
– sie ihm zwar mitgeteilt wurde, er aber nicht über die Frist informiert wurde,
– oder sie ihm zwar mitgeteilt wurde, er aber nicht ausreichend über die Identität der Empfänger informiert wurde.
71. Da es um ein Grundrecht geht, hat das College zu beweisen, dass die nationalen Vorschriften und die Verwaltungspraxis ein angemessenes Informationsniveau für den Betroffenen gewährleisten, das es ihm ermöglicht, von seinem Auskunftsrecht ohne Einschränkungen Gebrauch zu machen.
72. Es ist Sache des Raad van State, im Licht der dargestellten Kriterien sowie der im Vorabentscheidungs- wie im Ausgangsverfahren vorgetragenen tatsächlichen und rechtlichen Umstände die Art. 6 und 12 der Richtlinie wie in den Nrn. 70 und 71 dieser Schlussanträge dargestellt anzuwenden.
X – Ergebnis
73. Aufgrund der vorstehenden Erwägungen schlage ich dem Gerichtshof vor, die Vorlagefrage des Raad van State wie folgt zu beantworten:
Die auf die Verarbeitung bezogenen Daten einschließlich derjenigen über die Weitergabe an Dritte sind personenbezogene Daten im Sinne von Art. 2 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281, S. 31). Um die praktische Wirksamkeit der Richtlinie 95/46 zu gewährleisten, muss die Frist für die Löschung der auf die Verarbeitung bezogenen Daten mit der Frist für die Löschung der personenbezogenen Daten übereinstimmen, unbeschadet der Rechte und Pflichten, die die Richtlinie für Dritte, die Empfänger der Daten sind, begründet.
Art. 6 und 12 der Richtlinie 95/46 sind mit einer Frist von einem Jahr für die Ausübung des Rechts auf Auskunft über die Verarbeitung unvereinbar, sofern
– dem Betroffenen die Weitergabe nicht mitgeteilt wurde,
– sie ihm zwar mitgeteilt wurde, er aber nicht über die Frist informiert wurde,
– oder sie ihm zwar mitgeteilt wurde, er aber nicht ausreichend über die Identität der Empfänger informiert wurde.
Es ist Sache des für die Verarbeitung Verantwortlichen, zu beweisen, dass die nationalen Vorschriften und die Verwaltungspraxis ein angemessenes Informationsniveau für den Betroffenen gewährleisten, das es ihm ermöglicht, von seinem Auskunftsrecht ohne Einschränkungen Gebrauch zu machen.