URTEIL DES GERICHTSHOFS (Dritte Kammer)
7. Mai 2009(*)
„Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46/EG – Achtung des Privatlebens – Löschung der Daten – Auskunftsrecht hinsichtlich der Daten und ihrer Empfänger – Frist für die Ausübung des Auskunftsrechts“
In der Rechtssache C‑553/07
betreffend ein Vorabentscheidungsersuchen nach Art. 234 EG, eingereicht vom Raad van State (Niederlande) mit Entscheidung vom 5. Dezember 2007, beim Gerichtshof eingegangen am 12. Dezember 2007, in dem Verfahren
College van burgemeester en wethouders van Rotterdam
gegen
M. E. E. Rijkeboer
erlässt
DER GERICHTSHOF (Dritte Kammer)
unter Mitwirkung des Kammerpräsidenten A. Rosas, der Richter A. Ó Caoimh, J. Klučka und U. Lõhmus sowie der Richterin P. Lindh (Berichterstatterin),
Generalanwalt: D. Ruiz-Jarabo Colomer,
Kanzler: M. Ferreira, Hauptverwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 20. November 2008,
unter Berücksichtigung der Erklärungen
– des College van burgemeester en wethouders van Rotterdam, vertreten durch R. de Bree, advocaat,
– von M. E. E. Rijkeboer, vertreten durch W. van Bentem, juridisch adviseur,
– der niederländischen Regierung, vertreten durch C. M. Wissels und C. ten Dam als Bevollmächtigte,
– der tschechischen Regierung, vertreten durch M. Smolek als Bevollmächtigten,
– der griechischen Regierung, vertreten durch E.‑M. Mamouna und V. Karra als Bevollmächtigte,
– der spanischen Regierung, vertreten durch M. Muñoz Pérez als Bevollmächtigten,
– der Regierung des Vereinigten Königreichs, vertreten durch Z. Bryanston-Cross und H. Walker als Bevollmächtigte im Beistand von J. Stratford, Barrister,
– der Kommission der Europäischen Gemeinschaften, vertreten durch R. Troosters und C. Docksey als Bevollmächtigte,
nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 22. Dezember 2008
folgendes
Urteil
1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 12 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281, S. 31, im Folgenden: Richtlinie).
2 Dieses Ersuchen ergeht im Rahmen eines Rechtsstreits zwischen Herrn Rijkeboer und dem College van burgemeester en wethouders van Rotterdam (Stadtverwaltung Rotterdam, im Folgenden: College) wegen der teilweisen Ablehnung des Antrags von Herrn Rijkeboer auf Auskunftserteilung über die Übermittlung seiner personenbezogenen Daten an Dritte in den beiden Jahren vor der Stellung seines Antrags durch das College.
Rechtlicher Rahmen
Gemeinschaftsrecht
3 In den Erwägungsgründen 2 und 10 der Richtlinie, die die Grundrechte und ‑freiheiten betreffen, heißt es:
„(2) Die Datenverarbeitungssysteme stehen im Dienste des Menschen; sie haben, ungeachtet der Staatsangehörigkeit oder des Wohnorts der natürlichen Personen, deren Grundrechte und ‑freiheiten und insbesondere deren Privatsphäre zu achten und zum wirtschaftlichen und sozialen Fortschritt, zur Entwicklung des Handels sowie zum Wohlergehen der Menschen beizutragen.
…
(10) Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der Achtung der Grundrechte und ‑freiheiten, insbesondere des auch in Artikel 8 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten und in den allgemeinen Grundsätzen des Gemeinschaftsrechts anerkannten Rechts auf die Privatsphäre. …“
4 Nach dem 25. Erwägungsgrund der Richtlinie finden die Prinzipien zum Schutz der Personen zum einen ihren Niederschlag in den Pflichten, die den für die Verarbeitung verantwortlichen Personen obliegen; diese Pflichten betreffen insbesondere die Datenqualität. Zum anderen kommen sie zum Ausdruck in den Rechten der Personen, deren Daten Gegenstand von Verarbeitungen sind, über diese informiert zu werden, Zugang zu den Daten zu erhalten, ihre Berichtigung verlangen bzw. unter gewissen Voraussetzungen Widerspruch gegen die Verarbeitung einlegen zu können.
5 Im 40. Erwägungsgrund der Richtlinie, der sich auf die Verpflichtung bezieht, die betroffene Person zu unterrichten, wenn die Daten nicht bei ihr erhoben worden sind, heißt es, dass diese Verpflichtung nicht besteht, wenn die Unterrichtung der betroffenen Person unmöglich ist oder unverhältnismäßigen Aufwand erfordert, und dass diesbezüglich die Zahl der betroffenen Personen, das Alter der Daten und etwaige Ausgleichsmaßnahmen in Betracht gezogen werden können.
6 Dem 41. Erwägungsgrund der Richtlinie zufolge muss jede Person ein Auskunftsrecht hinsichtlich der sie betreffenden Daten, die Gegenstand einer Verarbeitung sind, haben, damit sie sich insbesondere von der Richtigkeit dieser Daten und der Zulässigkeit ihrer Verarbeitung überzeugen kann.
7 Art. 1 („Gegenstand der Richtlinie“) lautet:
„(1) Die Mitgliedstaaten gewährleisten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.
(2) Die Mitgliedstaaten beschränken oder untersagen nicht den freien Verkehr personenbezogener Daten zwischen Mitgliedstaaten aus Gründen des gemäß Absatz 1 gewährleisteten Schutzes.“
8 Der Begriff „personenbezogene Daten“ ist in Art. 2 Buchst. a der Richtlinie definiert als alle Informationen über eine bestimmte oder bestimmbare natürliche Person („betroffene Person“).
9 Der Ausdruck „Verarbeitung personenbezogener Daten“ bezeichnet gemäß Art. 2 Buchst. b der Richtlinie
„jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten“.
10 Nach Art. 2 Buchst. d der Richtlinie ist „für die Verarbeitung Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
11 Art. 2 Buchst. g der Richtlinie definiert den „Empfänger“ als die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die Daten erhält, gleichgültig, ob es sich bei ihr um einen „Dritten“ im Sinne von Art. 2 Buchst. f der Richtlinie handelt oder nicht.
12 Art. 6 der Richtlinie stellt Grundsätze in Bezug auf die Qualität der Daten auf. Was die Aufbewahrung der Daten angeht, sehen die Mitgliedstaaten nach seinem Abs. 1 Buchst. e vor, dass personenbezogene Daten „nicht länger, als es für die Realisierung der Zwecke, für die sie erhoben oder weiterverarbeitet werden, erforderlich ist, in einer Form aufbewahrt werden, die die Identifizierung der betroffenen Personen ermöglicht. Die Mitgliedstaaten sehen geeignete Garantien für personenbezogene Daten vor, die über die vorgenannte Dauer hinaus für historische, statistische oder wissenschaftliche Zwecke aufbewahrt werden.“
13 Die Art. 10 und 11 der Richtlinie legen fest, welche Informationen die betroffene Person vom für die Verarbeitung Verantwortlichen oder seinem Vertreter erhält, wenn die Daten bei ihr erhoben wurden, und welche Informationen, wenn sie nicht bei ihr erhoben wurden.
14 Art. 12 der Richtlinie („Auskunftsrecht“) lautet:
„Die Mitgliedstaaten garantieren jeder betroffenen Person das Recht, vom für die Verarbeitung Verantwortlichen Folgendes zu erhalten:
a) frei und ungehindert in angemessenen Abständen ohne unzumutbare Verzögerung oder übermäßige Kosten
– die Bestätigung, dass es Verarbeitungen sie betreffender Daten gibt oder nicht gibt, sowie zumindest Informationen über die Zweckbestimmungen dieser Verarbeitungen, die Kategorien der Daten, die Gegenstand der Verarbeitung sind, und die Empfänger oder Kategorien der Empfänger, an die die Daten übermittelt werden;
– eine Mitteilung in verständlicher Form über die Daten, die Gegenstand der Verarbeitung sind, sowie die verfügbaren Informationen über die Herkunft der Daten;
– Auskunft über den logischen Aufbau der automatisierten Verarbeitung der sie betreffenden Daten, zumindest im Fall automatisierter Entscheidungen im Sinne von Artikel 15 Absatz 1;
b) je nach Fall die Berichtigung, Löschung oder Sperrung von Daten, deren Verarbeitung nicht den Bestimmungen dieser Richtlinie entspricht, insbesondere wenn diese Daten unvollständig oder unrichtig sind;
c) die Gewähr, dass jede Berichtigung, Löschung oder Sperrung, die entsprechend Buchstabe b) durchgeführt wurde, den Dritten, denen die Daten übermittelt wurden, mitgeteilt wird, sofern sich dies nicht als unmöglich erweist oder kein unverhältnismäßiger Aufwand damit verbunden ist.“
15 Art. 13 („Ausnahmen und Einschränkungen“) Abs. 1 der Richtlinie ermächtigt die Mitgliedstaaten, insbesondere von den Art. 6 und 12 der Richtlinie abzuweichen, wenn dies zur Wahrung bestimmter öffentlicher Interessen, darunter der Sicherheit des Staates, der Landesverteidigung, der Verfolgung von Straftaten, und anderer Interessen, und zwar des Schutzes der betroffenen Person und der Rechte und Freiheiten anderer Personen, notwendig ist.
16 Nach Art. 14 der Richtlinie erkennen die Mitgliedstaaten das Recht der betroffenen Person an, unter bestimmten Voraussetzungen dagegen Widerspruch einlegen zu können, dass sie betreffende Daten verarbeitet werden.
17 Nach Art. 17 Abs. 1 Unterabs. 2 der Richtlinie sehen die Mitgliedstaaten vor, dass der für die Verarbeitung Verantwortliche geeignete technische und organisatorische Maßnahmen durchführen muss, die unter Berücksichtigung des Standes der Technik und der bei ihrer Durchführung entstehenden Kosten ein Schutzniveau gewährleisten müssen, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.
18 Gemäß den Art. 22 und 23 Abs. 1 der Richtlinie sehen die Mitgliedstaaten vor, dass jede Person bei der Verletzung der Rechte, die ihr durch die für die betreffende Verarbeitung geltenden einzelstaatlichen Rechtsvorschriften garantiert sind, bei Gericht einen Rechtsbehelf einlegen kann und dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder jeder anderen mit den einzelstaatlichen Vorschriften zur Umsetzung der Richtlinie nicht zu vereinbarenden Handlung ein Schaden entsteht, das Recht hat, von dem für die Verarbeitung Verantwortlichen Schadensersatz zu verlangen.
Nationales Recht
19 Die Richtlinie wurde durch ein allgemeines Gesetz, die Wet bescherming persoonsgegevens (Datenschutzgesetz) in niederländisches Recht umgesetzt. Außerdem wurden spezielle Gesetze erlassen, um der Richtlinie nachzukommen. Hierzu gehört das im Ausgangsverfahren streitige Gesetz, und zwar die Wet gemeentelijke basisadministratie persoonsgegevens (Gesetz über das Basisdatenregister der Gemeinden für personenbezogene Daten, Stb. 1994, Nr. 494, im Folgenden: Wet GBA).
20 Art. 103 Abs. 1 der Wet GBA sieht vor, dass das College dem Betroffenen auf seinen Antrag schriftlich innerhalb von vier Wochen die ihn betreffenden Daten mitteilt, die im Zeitraum eines Jahres vor der Antragstellung aus dem Basisdatenregister an einen Abnehmer oder Dritten übermittelt worden sind.
21 Nach Art. 110 der Wet GBA behält das College in dem Jahr, das auf die Übermittlung von Daten folgt, eine Aufzeichnung dieser Übermittlung, außer wenn sich die betreffende Übermittlung auf andere Art und Weise aus dem Basisdatenregister ergibt.
22 Den schriftlichen Erklärungen des College ist zu entnehmen, dass es sich bei den von der Gemeinde aufbewahrten Daten insbesondere um Namen, Geburtsdatum, Verwaltungsnummer, Sozialversicherungsnummer, Wohnort, Adresse und Tag der Eintragung bei der Gemeinde, Zivilstand, Vormundschaft, Sorgerecht für Minderjährige, Staatsangehörigkeit und Aufenthaltsrecht von Ausländern handelt.
Ausgangsrechtsstreit und Vorlagefrage
23 Mit Schreiben vom 26. Oktober 2005 beantragte Herr Rijkeboer beim College, ihm alle Fälle mitzuteilen, in denen in den beiden vorausgehenden Jahren ihn betreffende Angaben aus der Gemeindeverwaltung an Dritte übermittelt worden seien. Er begehrte Auskunft über die Identität dieser Dritten und den Inhalt der Informationen, die an sie weitergeleitet worden waren. Herr Rijkeboer, der in eine andere Gemeinde verzogen war, wollte insbesondere wissen, wem seine frühere Adresse mitgeteilt worden war.
24 Mit Bescheiden vom 27. Oktober und 29. November 2005 gab das College diesem Antrag nur teilweise statt, indem es ihm gemäß Art. 103 Abs. 1 der Wet GBA nur in Bezug auf den Zeitraum eines Jahres vor der Stellung seines Antrags Auskunft erteilte.
25 Die Übermittlung der Daten wird nach Maßgabe des „Logisch Ontwerp GBA“ gespeichert. Es handelt sich um ein automatisiertes System, das vom Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministerium für innere Angelegenheiten und Angelegenheiten des Königreichs) eingerichtet worden ist. Dem Vorabentscheidungsersuchen zufolge wurden die von Herrn Rijkeboer angeforderten Daten, die vom Tag der Antragstellung aus gerechnet mehr als ein Jahr alt waren, automatisch gelöscht; das sei mit Art. 100 der Wet GBA vereinbar.
26 Herr Rijkeboer legte beim College Widerspruch ein, soweit ihm Auskunft über die Empfänger verwehrt wurde, an die ihn betreffende Daten, die von der Antragstellung aus gerechnet mehr als ein Jahr alt waren, weitergegeben worden waren. Nach Zurückweisung dieses Widerspruchs mit Bescheid vom 13. Februar 2006 erhob Herr Rijkeboer Klage bei der Rechtbank Rotterdam.
27 Das Gericht gab der Klage mit der Begründung statt, dass die in Art. 103 Abs. 1 der Wet GBA vorgesehene Beschränkung des Rechts auf Auskunft über die an Empfänger übermittelten Daten auf das der Antragstellung vorausgehende Jahr nicht mit Art. 12 der Richtlinie vereinbar sei. Auch die in Art. 13 der Richtlinie aufgeführten Ausnahmen lägen nicht vor.
28 Das College legte gegen dieses Urteil beim Raad van State Rechtsmittel ein. Dieser stellt fest, dass der das Auskunftsrecht betreffende Art. 12 der Richtlinie keine Frist für die Inanspruchnahme dieses Rechts festlege. Dieser Artikel verbiete es dem nationalen Gesetzgeber jedoch nicht zwingend, eine zeitliche Beschränkung für das Recht der betroffenen Person auf Auskunft über die Empfänger, an die ihre personenbezogenen Daten übermittelt worden seien, festzulegen; das Gericht hegt insoweit aber Zweifel.
29 Unter diesen Umständen hat der Raad van State beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Frage zur Vorabentscheidung vorzulegen:
Ist die im Gesetz vorgesehene Beschränkung der Mitteilung von Daten auf ein Jahr vor Stellung des entsprechenden Antrags mit Art. 12 Buchst. a der Richtlinie in Verbindung mit Art. 6 Abs. 1 Buchst. e dieser Richtlinie und dem Verhältnismäßigkeitsgrundsatz vereinbar?
Zur Vorlagefrage
30 Vorab ist zu bemerken, dass im Rahmen des durch Art. 234 EG geschaffenen Systems der richterlichen Zusammenarbeit die Auslegung der Vorschriften des Gemeinschaftsrechts dem Gerichtshof obliegt. Die Auslegung nationaler Rechtsvorschriften ist Sache der nationalen Gerichte (vgl. Urteil vom 14. Februar 2008, Gysen, C‑449/06, Slg. 2008, I‑553, Randnr. 17).
31 Deshalb ist die Frage des vorlegenden Gerichts dahin zu verstehen, dass mit ihr im Wesentlichen festgestellt werden soll, ob nach der Richtlinie, insbesondere ihrem Art. 12, das Recht einer Person auf Auskunft über die Empfänger oder Kategorien der Empfänger von personenbezogenen Daten, die diese Person betreffen, sowie den Inhalt der übermittelten Daten auf den Zeitraum eines Jahres vor der Stellung ihres Auskunftsantrags beschränkt werden darf.
32 Das vorlegende Gericht hebt zwei Bestimmungen der Richtlinie hervor, und zwar Art. 6 Abs. 1 Buchst. e über die Aufbewahrung personenbezogener Daten und Art. 12 Buchst. a über das Recht auf Auskunft über diese Daten. Dagegen führen weder das Gericht noch die Beteiligten, die beim Gerichtshof Erklärungen abgegeben haben, die in Art. 13 der Richtlinie aufgeführten Ausnahmen an.
33 Art. 6 der Richtlinie behandelt die Qualität der Daten. Nach seinem Abs. 1 Buchst. e sind die Mitgliedstaaten verpflichtet, vorzusehen, dass personenbezogene Daten nicht länger aufbewahrt werden, als es für die Realisierung der Zwecke, für die sie erhoben oder weiterverarbeitet werden, erforderlich ist. Die Daten müssen daher gelöscht werden, wenn diese Zwecke realisiert sind.
34 Nach Art. 12 Buchst. a der Richtlinie müssen die Mitgliedstaaten der betroffenen Person ein Recht auf Auskunft über ihre personenbezogenen Daten sowie über die Empfänger und die Kategorien der Empfänger dieser Daten gewähren, ohne dass dort eine Frist angegeben wird.
35 Diese beiden Artikel dienen also dem Schutz der betroffenen Person. Das vorlegende Gericht möchte wissen, ob zwischen den beiden Artikeln ein Zusammenhang dahin gehend besteht, dass das Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der personenbezogenen Daten sowie den Inhalt der übermittelten Daten möglicherweise von der Dauer der Aufbewahrung dieser Daten abhängt.
36 Die beim Gerichtshof abgegebenen Erklärungen lassen unterschiedliche Standpunkte über die Wechselwirkung zwischen diesen beiden Bestimmungen erkennen.
37 Das College sowie die niederländische, die tschechische und die spanische Regierung wie auch die Regierung des Vereinigten Königreichs sind der Auffassung, dass das Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger aus Art. 12 Buchst. a der Richtlinie nur für die Gegenwart und nicht für die Vergangenheit gelte. Sobald die Daten nach den nationalen Regelungen gelöscht worden seien, könne die betroffene Person keine Auskunft mehr über sie erhalten. Diese Folge verstoße nicht gegen die Richtlinie.
38 Das College und die niederländische Regierung machen dementsprechend geltend, dass Art. 103 Abs. 1 der Wet GBA, wonach die Gemeinde dem Betroffenen auf seinen Antrag die Daten mitteile, die im Lauf des Jahres vor der Stellung seines Antrags an Empfänger übermittelt worden seien, über die Anforderungen der Richtlinie hinausgehe.
39 Die Kommission und die griechische Regierung tragen vor, dass die Richtlinie ein Auskunftsrecht nicht nur für die Gegenwart, sondern auch für den Zeitraum vor der Stellung des Auskunftsantrags vorsehe. Ihre Standpunkte unterscheiden sich aber hinsichtlich der genauen Dauer dieses Auskunftsrechts.
40 Um die Bedeutung des Auskunftsrechts beurteilen zu können, zu dem die Richtlinie verhelfen soll, ist zunächst festzustellen, auf welche Daten sich das Auskunftsrecht bezieht, und anschließend auf den Zweck des Art. 12 Buchst. a der Richtlinie im Licht der mit ihr verfolgten Ziele einzugehen.
41 In einem Fall wie dem von Herrn Rijkeboer spielen zwei Kategorien von Daten eine Rolle.
42 Die erste betrifft die Daten privater Art, die die Gemeinde von einer Person besitzt, wie ihr Name und ihre Adresse, die hier Basisdaten bilden. Den mündlichen Erklärungen des College und der niederländischen Regierung zufolge können diese Daten lange aufbewahrt werden. Sie sind „personenbezogene Daten“ im Sinne von Art. 2 Buchst. a der Richtlinie, da es sich um Informationen über eine bestimmte oder bestimmbare natürliche Person handelt (vgl. in diesem Sinne Urteile des Gerichtshofs vom 20. Mai 2003, Österreichischer Rundfunk u. a., C‑465/00, C‑138/01 und C‑139/01, Slg. 2003, I‑4989, Randnr. 64, vom 6. November 2003, Lindqvist, C‑101/01, Slg. 2003, I‑12971, Randnr. 24, und vom 16. Dezember 2008, Huber, C‑524/06, Slg. 2008, I‑0000, Randnr. 43).
43 Die zweite Kategorie bezieht sich auf die Information über die Empfänger oder Kategorien der Empfänger, an die diese Basisdaten übermittelt werden, sowie über den Inhalt dieser Daten und betrifft daher die Verarbeitung der Basisdaten. Nach den im Ausgangsverfahren streitigen Rechtsvorschriften wird die betreffende Information nur ein Jahr lang aufbewahrt.
44 Die im Ausgangsverfahren in Rede stehende zeitliche Begrenzung des Rechts auf Auskunft über den oder die Empfänger personenbezogener Daten sowie den Inhalt der übermittelten Daten betrifft somit diese zweite Kategorie von Daten.
45 Um feststellen zu können, ob Art. 12 a der Richtlinie eine solche zeitliche Begrenzung zulässt, ist er im Hinblick auf seinen Zweck im Licht der mit der Richtlinie verfolgten Ziele auszulegen.
46 Nach ihrem Art. 1 soll die Richtlinie die Grundrechte und Grundfreiheiten und insbesondere die Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten schützen und dadurch den freien Verkehr dieser Daten zwischen den Mitgliedstaaten ermöglichen.
47 Die Bedeutung der Privatsphäre wird in den Erwägungsgründen 2 und 10 der Richtlinie hervorgehoben und in der Rechtsprechung des Gerichtshofs betont (vgl. in diesem Sinne Urteile Österreichischer Rundfunk u. a., Randnr. 70, und Lindqvist, Randnrn. 97 und 99, sowie Urteile vom 29. Januar 2008, Promusicae, C‑275/06, Slg. 2008, I‑271, Randnr. 63, und vom 16. Dezember 2008, Satakunnan Markkinapörssi und Satamedia, C‑73/07, Slg. 2008, I‑0000, Randnr. 52).
48 Wie sich aus dem 25. Erwägungsgrund der Richtlinie ergibt, finden außerdem die Prinzipien dieses Schutzes zum einen ihren Niederschlag in den Pflichten, die den für die Verarbeitung verantwortlichen Personen obliegen, wobei diese Pflichten insbesondere die Datenqualität – Gegenstand des Art. 6 der Richtlinie – betreffen; zum anderen kommen sie in den Rechten der Personen, deren Daten Gegenstand von Verarbeitungen sind, zum Ausdruck, über diese informiert zu werden, Zugang zu diesen Daten zu erhalten und ihre Berichtigung verlangen bzw. unter gewissen Voraussetzungen Widerspruch gegen die Verarbeitung einlegen zu können.
49 Dieses Recht auf Schutz der Privatsphäre setzt voraus, dass sich die betroffene Person vergewissern kann, dass ihre personenbezogenen Daten fehlerfrei verarbeitet werden und die Verarbeitung zulässig ist, d. h. insbesondere, dass die sie betreffenden Basisdaten richtig sind und dass sie an Empänger gerichtet sind, die zu ihrer Verarbeitung befugt sind. Wie es im 41. Erwägungsgrund der Richtlinie heißt, muss die betroffene Person, um die nötigen Nachprüfungen durchführen zu können, ein Auskunftsrecht hinsichtlich der sie betreffenden Daten haben, die Gegenstand einer Verarbeitung sind.
50 Hierzu sieht Art. 12 Buchst. a der Richtlinie ein Recht auf Auskunft über die Basisdaten sowie über die Empfänger oder Kategorien der Empfänger vor, an die die Daten übermittelt werden.
51 Dieses Auskunftsrecht ist erforderlich, um der betroffenen Person die Wahrnehmung der in Art. 12 Buchst. b und c der Richtlinie genannten Rechte zu ermöglichen, nämlich für den Fall, dass die Verarbeitung ihrer Daten nicht den Bestimmungen der Richtlinie entspricht, deren Berichtigung, Löschung oder Sperrung durch den für die Verarbeitung Verantwortlichen zu verlangen (Buchst. b) oder ihn zu verpflichten, diese Berichtigung, Löschung oder Sperrung den Dritten, an die diese Daten übermittelt worden sind, mitzuteilen, sofern sich dies nicht als unmöglich erweist und kein unverhältnismäßiger Aufwand damit verbunden ist (Buchst. c).
52 Das Auskunftsrecht ist außerdem notwendig, um der betroffenen Person die Inanspruchnahme des in Art. 14 der Richtlinie enthaltenen Rechts auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder des in deren Art. 22 und 23 vorgesehenen gerichtlichen Rechtsschutzes im Schadensfall zu ermöglichen.
53 Was das Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Basisdaten sowie über den Inhalt der übermittelten Daten anbelangt, stellt die Richtlinie nicht klar, ob sich dieses Recht auf die Vergangenheit bezieht und, wenn ja, für welchen Zeitraum.
54 Hierzu ist festzustellen, dass das betreffende Recht, um die praktische Wirksamkeit der in den Randnrn. 51 und 52 des vorliegenden Urteils genannten Bestimmungen zu gewährleisten, zwingend für die Vergangenheit gelten muss. Denn andernfalls wäre die betroffene Person weder in der Lage, wirksam ihr Recht auf Veranlassung der Berichtigung, Löschung oder Sperrung von Daten wahrzunehmen, die ihrer Ansicht nach unbefugt verarbeitet wurden oder falsch sind, noch, einen gerichtlichen Rechtsbehelf einzulegen und Schadensersatz zu erlangen.
55 Es stellt sich die Frage, wie weit dieses Recht zurückreicht.
56 Der Gerichtshof hat bereits entschieden, dass die Bestimmungen der Richtlinie verhältnismäßig allgemein gehalten sind, da die Richtlinie auf viele ganz unterschiedliche Situationen Anwendung finden soll und da sie Vorschriften enthält, die durch eine gewisse Flexibilität gekennzeichnet sind, und es in vielen Fällen den Mitgliedstaaten überlässt, die Einzelheiten zu regeln oder zwischen Optionen zu wählen (vgl. Urteil Lindqvist, Randnr. 83). Der Gerichtshof hat deshalb anerkannt, dass die Mitgliedstaaten zur Umsetzung der Richtlinie in vielerlei Hinsicht über einen Handlungsspielraum verfügen (vgl. Urteil Lindqvist, Randnr. 84). Dieser Handlungsspielraum, der bei der Umsetzung von Art. 12 Buchst. a der Richtlinie zum Tragen kommt, ist jedoch nicht unbegrenzt.
57 Die Frist für die Geltendmachung des Rechts auf Auskunft über die Empfänger oder Kategorien der Empfänger und den Inhalt der übermittelten Daten muss so festgelegt werden, dass die betroffene Person die verschiedenen Rechte ausüben kann, die in der Richtlinie vorgesehen und in den Randnrn. 51 und 52 des vorliegenden Urteils aufgeführt sind.
58 Die Dauer der Aufbewahrung der Basisdaten kann einen nützlichen Anhaltspunkt bilden, ist aber nicht entscheidend.
59 Tatsächlich ist der Anwendungsbereich der Richtlinie, wie der Gerichtshof bereits anerkannt hat (vgl. Urteile Österreichischer Rundfunk u. a., Randnr. 43, und Lindqvist, Randnr. 88), sehr weit und sind die von der Richtlinie erfassten personenbezogenen Daten vielfältig. Die Dauer ihrer Aufbewahrung, die nach Art. 6 Abs. 1 Buchst. e der Richtlinie in Abhängigkeit von den Zwecken definiert ist, für die sie erhoben oder weiterverarbeitet werden, kann daher variieren. Ist die Dauer der Aufbewahrung der Basisdaten sehr lang, kann das Interesse der betroffenen Person an der Geltendmachung der in Randnr. 57 des vorliegenden Urteils erwähnten Rechte und Rechtsbehelfe in bestimmten Fällen nachlassen. Sind z. B. die Empfänger solcher Daten zahlreich oder ist die Frequenz der Übermittlungen an eine geringere Zahl von Empfängern hoch, könnte die Pflicht, die Information über die Empfänger oder Kategorien der Empfänger sowie über den Inhalt der übermittelten Daten genauso lange aufzubewahren, den für die Verarbeitung Verantwortlichen über Gebühr belasten.
60 Die Richtlinie verlangt von den Mitgliedstaaten jedoch nicht, dem für die Verarbeitung Verantwortlichen derartige Lasten aufzuerlegen.
61 So sieht Art. 12 Buchst. c der Richtlinie ausdrücklich einen Vorbehalt in Bezug auf dessen Pflicht vor, den Dritten, an die die Daten übermittelt worden sind, Berichtigungen, Löschungen oder Sperrungen mitzuteilen, und zwar für den Fall, dass sich dies als unmöglich erweist oder ein unverhältnismäßiger Aufwand damit verbunden ist.
62 Anderen Passagen der Richtlinie zufolge kann die Unverhältnismäßigkeit berücksichtigt werden, die bestimmte Maßnahmen aufweisen könnten. Zur Pflicht, die betroffene Person zu unterrichten, heißt es im 40. Erwägungsgrund der Richtlinie, dass die Zahl der betroffenen Personen und das Alter der Daten in Betracht gezogen werden können. Ferner sehen die Mitgliedstaaten nach Art. 17 der Richtlinie, der die Sicherheit der Verarbeitung betrifft, vor, dass der für die Verarbeitung Verantwortliche die geeigneten technischen und organisatorischen Maßnahmen durchführen muss, damit unter Berücksichtigung des Standes der Technik und der bei ihrer Durchführung entstehenden Kosten ein Schutzniveau gewährleistet wird, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.
63 Entsprechende Erwägungen gelten für die Festlegung einer Frist für die Ausübung des Rechts auf Auskunft über die Empfänger oder Kategorien der Empfänger sowie über den Inhalt der übermittelten Daten. Demnach können die Mitgliedstaaten zusätzlich zu den in Randnr. 57 des vorliegenden Urteils angeführten Erwägungen mehrere Umstände in Betracht ziehen, insbesondere die nationalen Rechtsvorschriften für Rechtbehelfsfristen, die mehr oder weniger sensible Natur der Basisdaten, die Dauer der Aufbewahrung dieser Daten und die Zahl der betroffenen Empfänger.
64 Es ist daher Sache der Mitgliedstaaten, eine Frist für die Aufbewahrung der Information über die Empfänger oder Kategorien der Empfänger sowie den Inhalt der übermittelten Daten festzulegen und einen Zugang zu dieser Information vorzusehen und dabei für einen gerechten Ausgleich zu sorgen zwischen dem Interesse der betroffenen Person am Schutz ihrer Privatsphäre, insbesondere mit Hilfe des Rechts auf Berichtigung, Löschung oder Sperrung der Daten, falls deren Verarbeitung nicht der Richtlinie entspricht, sowie des Widerspruchsrechts und des gerichtlichen Rechtsschutzes, auf der einen Seite und der Belastung, die die Pflicht zur Aufbewahrung der betreffenden Information für den für die Verarbeitung Verantwortlichen darstellt, auf der anderen Seite.
65 Zu berücksichtigen ist bei der Festlegung der betreffenden Frist ferner die Pflicht aus Art. 6 Buchst. e der Richtlinie, vorzusehen, dass personenbezogene Daten nicht länger, als es für die Realisierung der Zwecke, für die sie erhoben oder weiterverarbeitet werden, erforderlich ist, in einer Form aufbewahrt werden, die die Identifizierung der betroffenen Person ermöglicht.
66 Im vorliegenden Fall stellt eine Regelung, die die Aufbewahrung der Information über die Empfänger oder Kategorien der Empfänger der Daten und den Inhalt der übermittelten Daten und damit übereinstimmend den Zugang zu dieser Information auf die Dauer eines Jahres begrenzt, während die Basisdaten viel länger aufbewahrt werden, keinen gerechten Ausgleich zwischen dem hier in Rede stehenden Interesse und der fraglichen Verpflichtung dar, sofern nicht nachgewiesen wird, dass eine längere Aufbewahrung der betreffenden Information den für die Verarbeitung Verantwortlichen über Gebühr belasten würde. Es ist jedoch Sache des nationalen Gerichts, im Licht der in den vorausgehenden Randnummern aufgeführten Erwägungen die erforderlichen Prüfungen vorzunehmen.
67 Nach alledem kann dem Vorbringen einiger Mitgliedstaaten, wonach die Anwendung der Art. 10 und 11 der Richtlinie die Gewährung eines Rechts auf Auskunft über die Empfänger oder Kategorien der Empfänger aus Art. 12 Buchst. a der Richtlinie für die Vergangenheit überflüssig machte, nicht gefolgt werden.
68 Mit den Art. 10 und 11 der Richtlinie wird nämlich dem für die Verarbeitung Verantwortlichen oder seinem Vertreter die Pflicht auferlegt, unter bestimmten Voraussetzungen die betroffene Person u. a. über die Empfänger oder Kategorien der Empfänger der Daten zu informieren. Der für die Verarbeitung Verantwortliche oder sein Vertreter müssen selbst die betroffene Person hiervon unterrichten, namentlich zum Zeitpunkt der Erhebung der Daten oder, wenn sie nicht unmittelbar bei dieser Person erhoben werden, zum Zeitpunkt der Speicherung der Daten oder gegebenenfalls zum Zeitpunkt ihrer Weitergabe an einen Dritten.
69 Mit diesen Bestimmungen sollen also andere Pflichten auferlegt werden, als sie sich aus Art. 12 Buchst. a der Richtlinie ergeben. Folglich entbinden sie die Mitgliedstaaten nicht davon, vorzusehen, dass der für die Verarbeitung Verantwortliche der betroffenen Person Auskunft über die Empfänger oder Kategorien der Empfänger sowie die übermittelten Daten gewähren muss, wenn diese beschließt, von dem Recht Gebrauch zu machen, das ihr aufgrund von Art. 12 Buchst. a der Richtlinie verliehen ist. Die Mitgliedstaaten müssen Maßnahmen ergreifen, mit denen zum einen die Bestimmungen der Art. 10 und 11 der Richtlinie über die Informationspflicht und zum anderen die des Art. 12 Buchst. a der Richtlinie umgesetzt werden, ohne dass die zuerst genannten Bestimmungen die Pflichten abschwächen können, die sich aus Letzteren ergeben.
70 Daher ist auf die Vorlagefrage wie folgt zu antworten:
– Nach Art. 12 Buchst. a der Richtlinie sind die Mitgliedstaaten verpflichtet, ein Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Daten sowie den Inhalt der übermittelten Information vorzusehen, das nicht nur für die Gegenwart, sondern auch für die Vergangenheit gilt. Es ist Sache der Mitgliedstaaten, eine Frist für die Aufbewahrung dieser Information sowie einen darauf abgestimmten Zugang zu ihr festzulegen, die einen gerechten Ausgleich bilden zwischen dem Interesse der betroffenen Person am Schutz ihres Privatlebens, insbesondere mit Hilfe der in der Richtlinie vorgesehenen Rechte und Rechtsbehelfe, auf der einen Seite und der Belastung, die die Pflicht zur Aufbewahrung der betreffenden Information für den für die Verarbeitung Verantwortlichen darstellt, auf der anderen Seite.
– Eine Regelung, die die Aufbewahrung der Information über die Empfänger oder Kategorien der Empfänger der Daten und den Inhalt der übermittelten Daten und dementsprechend den Zugang zu dieser Information auf die Dauer eines Jahres begrenzt, während die Basisdaten viel länger aufbewahrt werden, stellt keinen gerechten Ausgleich zwischen dem hier in Rede stehenden Interesse und der fraglichen Verpflichtung dar, sofern nicht nachgewiesen wird, dass eine längere Aufbewahrung der betreffenden Information den für die Verarbeitung Verantwortlichen über Gebühr belasten würde. Dies zu prüfen, ist Sache des nationalen Gerichts.
Kosten
71 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren ein Zwischenstreit in dem bei dem vorlegenden Gericht anhängigen Rechtsstreit; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.
Aus diesen Gründen hat der Gerichtshof (Dritte Kammer) für Recht erkannt:
Nach Art. 12 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sind die Mitgliedstaaten verpflichtet, ein Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Daten sowie den Inhalt der übermittelten Information vorzusehen, das nicht nur für die Gegenwart, sondern auch für die Vergangenheit gilt. Es ist Sache der Mitgliedstaaten, eine Frist für die Aufbewahrung dieser Information sowie einen darauf abgestimmten Zugang zu ihr festzulegen, die einen gerechten Ausgleich bilden zwischen dem Interesse der betroffenen Person am Schutz ihres Privatlebens, insbesondere mit Hilfe der in der Richtlinie 95/46 vorgesehenen Rechte und Rechtsbehelfe, auf der einen Seite und der Belastung, die die Pflicht zur Aufbewahrung der betreffenden Information für den für die Verarbeitung Verantwortlichen darstellt, auf der anderen Seite.
Eine Regelung, die die Aufbewahrung der Information über die Empfänger oder Kategorien der Empfänger der Daten und den Inhalt der übermittelten Daten und dementsprechend den Zugang zu dieser Information auf die Dauer eines Jahres begrenzt, während die Basisdaten viel länger aufbewahrt werden, stellt keinen gerechten Ausgleich zwischen dem hier in Rede stehenden Interesse und der fraglichen Verpflichtung dar, sofern nicht nachgewiesen wird, dass eine längere Aufbewahrung der betreffenden Information den für die Verarbeitung Verantwortlichen über Gebühr belasten würde. Dies zu prüfen, ist Sache des nationalen Gerichts.
Unterschriften