Vorläufige Fassung
SCHLUSSANTRÄGE DES GENERALANWALTS
PRIIT PIKAMÄE
vom 22. Februar 2024(1)
Rechtssache C‑693/22
I. sp. z o. o.
gegen
M. W.
(Vorabentscheidungsersuchen des Sąd Rejonowy dla m. st. Warszawy w Warszawie [Rayongericht Warschau, Polen])
„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Verkauf einer aus personenbezogenen Daten bestehenden Datenbank im Rahmen eines Zwangsvollstreckungsverfahrens – Art. 4 Nr. 7 – Begriff „Verantwortlicher“ – Art. 5 Abs. 1 Buchst. b – Zweckbindung – Art. 6 Abs. 1, 3 und 4 – Rechtmäßigkeit der Verarbeitung – Erfüllung einer dem Verantwortlichen auferlegten rechtlichen Verpflichtung – Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe – Art. 23 Abs. 1 Buchst. j – Durchsetzung zivilrechtlicher Ansprüche – Erforderliche und verhältnismäßige Maßnahme“
1. Kann der Verkauf einer aus personenbezogenen Daten bestehenden Datenbank im Rahmen eines Zwangsvollstreckungsverfahrens mit den Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (im Folgenden: DSGVO)(2) vereinbar sein, wenn die betroffenen Personen einem solchen Verkauf nicht zugestimmt haben?
2. Dies ist im Kern die dem Gerichtshof vom Sąd Rejonowy dla m. st. Warszawy w Warszawie (Rayongericht Warschau, Polen) im Rahmen des vorliegenden Vorabentscheidungsersuchens gestellte Frage.
3. Der Gerichtshof wird sich insoweit mit einer besonderen Fallkonstellation im Hinblick auf die DSGVO auseinandersetzen und zu bestimmten Schlüsselelementen dieser Verordnung wie dem Begriff „Verantwortlicher“, der Rechtmäßigkeit der Verarbeitung und der Reichweite des Grundsatzes der Zweckbindung Stellung nehmen müssen.
Rechtlicher Rahmen
Unionsrecht
4. Art. 4 DSGVO sieht vor:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; …
2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
…
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
…“
5. Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 und 2 DSGVO bestimmt:
„(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; …
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);
…
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“
6. In Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO heißt es:
„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
…
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
…
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
…
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Wahrnehmung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. … Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“
7. Art. 23 („Beschränkungen“) Abs. 1 DSGVO sieht vor:
„(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:
…
j) die Durchsetzung zivilrechtlicher Ansprüche.“
Polnisches Recht
8. Art. 299 der Ustawa Kodeks spółek handlowych (Gesetz über das Gesetzbuch über die Handelsgesellschaften) vom 15. September 2000 (Dz. U. 2022, Pos. 1467, im Folgenden: Gesetzbuch über die Handelsgesellschaften) lautet:
„§ 1. Bleibt die Zwangsvollstreckung gegen die Gesellschaft erfolglos, so haften die Mitglieder des Vorstands gesamtschuldnerisch für die Verpflichtungen der Gesellschaft.
§ 2. Ein Vorstandsmitglied kann sich von der Haftung nach § 1 befreien, wenn es nachweist, dass rechtzeitig ein Konkursantrag gestellt wurde oder zum entsprechenden Zeitpunkt ein Beschluss über die Eröffnung eines Umstrukturierungsverfahrens bzw. über die Bestätigung eines Vergleichs im Vergleichsverfahren ergangen ist oder dass das Unterlassen des Konkursantrages nicht von ihm verschuldet wurde oder dass dem Gläubiger kein Schaden entstanden ist, obwohl ein Konkursantrag unterblieben und kein Beschluss über die Eröffnung eines Umstrukturierungsverfahrens oder über die Bestätigung eines Vergleichs im Vergleichsverfahren ergangen ist.“
9. In Art. 796 § 1 der Ustawa Kodeks postępowania cywilnego (Gesetz über die Zivilprozessordnung) vom 17. November 1964 (Dz. U. 2021, Pos. 1805) in geänderter Fassung (im Folgenden: Zivilprozessordnung) heißt es:
„Der Antrag auf Einleitung der Zwangsvollstreckung ist je nach Zuständigkeit an das Gericht oder den Gerichtsvollzieher zu richten. Die Stellung des Antrags an den Gerichtsvollzieher kann durch ein amtliches Formular erfolgen.“
10. Art. 799 § 1 Satz 1 der Zivilprozessordnung lautet:
„Ein Antrag auf Einleitung der Zwangsvollstreckung oder ein Ersuchen um Zwangsvollstreckung von Amts wegen ermöglicht die Durchführung der Zwangsvollstreckung mit allen zulässigen Mitteln, mit Ausnahme der Zwangsvollstreckung in unbewegliche Sachen.“
11. Art. 824 § 1 Nr. 3 der Zivilprozessordnung bestimmt:
„Das Verfahren wird von Amts wegen vollständig oder teilweise eingestellt,
...
3) wenn offensichtlich ist, dass die Zwangsvollstreckung keinen Betrag erbringen wird, der die Vollstreckungskosten übersteigt.“
12. Art. 831 der Zivilprozessordnung sieht vor:
㤠1. Der Zwangsvollstreckung unterliegen nicht:
…
3) unveräußerliche Rechte, es sei denn, ihre Übertragbarkeit ist durch Vertrag ausgeschlossen worden und in den Gegenstand der Leistung kann vollstreckt werden oder die Ausübung des Rechts kann einer anderen Person übertragen werden.“
13. Die Ustawa o komornikach sądowych (Gesetz über Gerichtsvollzieher) vom 22. März 2018 (Dz. U. 2022, Pos. 1168) in geänderter Fassung (im Folgenden: Gerichtsvollziehergesetz) regelt die Stellung und die Tätigkeiten der Gerichtsvollzieher. Art. 3 Abs. 1 und 3 sieht vor:
„1. Der Gerichtsvollzieher ist eine Behörde zur Durchführung von Handlungen im Vollstreckungs- und Sicherungsverfahren. Die entsprechenden Handlungen werden vom Gerichtsvollzieher ausgeführt, vorbehaltlich der in den Gesetzen vorgesehenen Ausnahmen.
…
3. Der Gerichtsvollzieher hat folgende Aufgaben:
1) die Vollstreckung gerichtlicher Entscheidungen in Fällen von Geldforderungen und nicht auf Geldzahlungen gerichteten Forderungen und die Sicherung von Forderungen, einschließlich Europäischer Beschlüsse zur vorläufigen Kontenpfändung, vorbehaltlich der [in der Zivilprozessordnung] vorgesehenen Ausnahmen;
…“
14. Art. 9 Abs. 1 des Gerichtsvollziehergesetzes bestimmt:
„Ein Gerichtsvollzieher darf die Annahme folgender Anträge nicht ablehnen:
1) auf Einleitung der Vollstreckung,
...
– für die er nach den Bestimmungen [der Zivilprozessordnung] zuständig ist.“
15. Art. 31 Abs. 1 Satz 1 des Gerichtsvollziehergesetzes lautet:
„Die durch Vollstreckung in ein Bankkonto, ein von einer Spar- und Kreditgenossenschaft geführtes Konto oder ein von einer Einrichtung, die Maklertätigkeiten ausübt, geführtes Konto infolge der ersten Zahlung des Schuldners der gepfändeten Forderung erlangten Beträge werden vom Gerichtsvollzieher frühestens am siebten Tag und spätestens am vierzehnten Tag nach ihrem Eingang an den Gläubiger überwiesen.“
16. Art. 2 Abs. 1 Nr. 1 der Ustawa o ochronie baz danych (Gesetz über den Schutz von Datenbanken) vom 27. Juli 2001 (Dz. U. 2021, Pos. 386) (im Folgenden: Datenbankschutzgesetz) sieht vor:
„Im Sinne des Gesetzes bedeutet:
1) Datenbank eine Sammlung von Daten oder anderen Materialien und Elementen, die nach einem bestimmten System oder einer bestimmten Methode zusammengestellt wurden, die einzeln auf beliebige Weise, auch elektronisch, zugänglich sind und für deren Erstellung, Überprüfung oder Darstellung ein erheblicher qualitativer oder quantitativer Aufwand erforderlich ist“.
17. Art. 6 Abs. 1 des Datenbankschutzgesetzes bestimmt:
„Der Hersteller der Datenbank hat das ausschließliche und veräußerliche Recht, die Daten zu extrahieren und sie ganz oder in einem qualitativ oder quantitativ wesentlichen Teil weiterzuverwenden.“
Ausgangsrechtsstreit, Vorlagefrage und Verfahren vor dem Gerichtshof
18. Die Gesellschaft I. (im Folgenden: Klägerin oder Gläubigergesellschaft) mit Sitz in Polen hat eine durch rechtskräftige gerichtliche Entscheidung bestätigte Forderung gegen die auf Online-Verkauf spezialisierte Gesellschaft NMW, deren Vorstand M. W. angehört.
19. Auf Antrag der Klägerin wurde gegen die Gesellschaft NMW ein Vollstreckungsverfahren zur Befriedigung dieser Forderung eingeleitet. Dieses Verfahren endete mit einer Entscheidung des Gerichtsvollziehers, die Vollstreckung einzustellen, da die Gesellschaft NMW über keine Vermögenswerte verfüge, die Gegenstand der Vollstreckung sein könnten. Daraufhin erhob die Klägerin beim vorlegenden Gericht gegen M. W. Klage gemäß Art. 299 § 1 des Gesetzbuchs über die Handelsgesellschaften, der für den Fall, dass eine Forderung nicht mit den Vermögenswerten der Schuldnergesellschaft gedeckt werden kann, die vermögensrechtliche Haftung der Mitglieder des Vorstands dieser Gesellschaft vorsieht.
20. M. W. beantragte, diese Klage abzuweisen, da die Gesellschaft NMW Vermögenswerte besitze, deren Wert jeweils höher sei als die Forderung der Klägerin, nämlich einen Quellcode einer Online-Shopping-Software kombiniert mit einer mit Cashback-Systemen vergleichbaren Dienstleistung (im Folgenden: M.‑Plattform) und zwei Datenbanken mit Daten von Nutzern dieser Plattform.
21. Das vorlegende Gericht weist jedoch darauf hin, dass der Verkauf der Plattform M. allein ohne diese Datenbanken auf dem Markt nicht so attraktiv wäre wie der Verkauf des gesamten „Pakets“.
22. Es sei daher erforderlich, so das Gericht, eine Antwort auf die Frage zu erhalten, ob die von NMW erstellten Datenbanken im Rahmen eines gerichtlichen Vollstreckungsverfahrens veräußert werden könnten. Eine Bejahung dieser Frage würde nämlich zur Abweisung der Klage im Ausgangsverfahren führen.
23. Hierzu stellt das vorlegende Gericht klar, dass es zwar nicht an die von M. W. zugrunde gelegte Bewertung der fraglichen Vermögensgegenstände gebunden sei – zumal diese Bewertung nicht durch einen gerichtlich bestellten Sachverständigen erfolgt sei –, dass die Antwort auf die obige Frage für die Entscheidung des Ausgangsrechtsstreits jedoch nichtsdestoweniger erforderlich sei, da die Vorschriften über den polnischen Zivilprozess die Erhebung eines solchen Beweises untersagten, wenn dessen Relevanz nicht zuvor festgestellt worden sei.
24. Nach Ansicht des vorlegenden Gerichts fallen die betreffenden Datenbanken unter den Begriff „Datenbank“ im Sinne von Art. 1 der Richtlinie 96/9/EG des Europäischen Parlaments und des Rates vom 11. März 1996 über den rechtlichen Schutz von Datenbanken(3), so dass ihre Inhaberin, die Gesellschaft NMW, nach Art. 7 dieser Richtlinie ein Vermögensrecht zur Veräußerung dieser Datenbanken habe. Vollstreckungsverfahren könnten nämlich in Bezug auf jedes Vermögensrecht durchgeführt werden, es sei denn, eine Bestimmung schließe eine solche Möglichkeit ausdrücklich aus. Der polnische Gesetzgeber habe jedoch keine Vorschrift vorgesehen, die die Zwangsvollstreckung in Datenbanken wie die vom Ausgangsverfahren betroffenen verbiete.
25. Das vorlegende Gericht äußert Zweifel daran, dass solche Datenbanken Gegenstand einer gerichtlichen Vollstreckung sein könnten, da sie personenbezogene Daten von Hunderttausenden von Nutzern der Plattform M. enthielten und es keinen Beweis dafür gebe, dass die Nutzer dieser Plattform der Verarbeitung ihrer personenbezogenen Daten in Form einer Bereitstellung dieser Daten an Dritte außerhalb der Plattform zugestimmt hätten. Es hat insoweit klargestellt, dass die fraglichen Daten nicht zu den besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO gehörten.
26. Das vorlegende Gericht fragt sich auch, in welchem Verhältnis die in der DSGVO festgelegten Beschränkungen für die Verarbeitung personenbezogener Daten zu dem sich aus der Richtlinie 96/9 und dem nationalen Recht ergebenden Recht, frei über eine Datenbank zu verfügen, stehen, das seiner Ansicht nach das Recht einschließt, die Datenbank im Rahmen eines Vollstreckungsverfahrens zu veräußern.
27. In diesem Zusammenhang hat der Sąd Rejonowy dla m. st. Warszawy w Warszawie (Rayongericht Warschau) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Frage zur Vorabentscheidung vorzulegen:
Ist Art. 5 Abs. 1 Buchst. a in Verbindung mit Art. 6 Abs. 1 Buchst. a, c und e sowie Abs. 3 DSGVO dahin gehend auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, die den Verkauf einer aus personenbezogenen Daten bestehenden Datenbank im Sinne von Art. 1 Abs. 2 der Richtlinie 96/9 im Rahmen eines Vollstreckungsverfahrens zulassen, wenn die jeweils betroffenen Personen einem solchen Verkauf nicht zugestimmt haben?
28. Die polnische Regierung und die Europäische Kommission haben schriftliche Erklärungen eingereicht. Diese Beteiligten sowie die Klägerin des Ausgangsverfahrens haben in der Sitzung vom 16. November 2023 mündlich verhandelt.
Würdigung
Zulässigkeit
29. Zunächst müssen zwei Fragen zur Zulässigkeit der vorliegenden Vorlagefrage behandelt werden.
30. Erstens hat die Klägerin des Ausgangsverfahrens in der mündlichen Verhandlung Zweifel an der Erheblichkeit dieser Frage geäußert. Die Gesellschaft NMW habe ihre wirtschaftliche Tätigkeit bereits vor einigen Jahren eingestellt. Sie verfüge nämlich über keinen Vorstand und keine Geschäftsführung mehr und erbringe seit April 2019 für die Nutzer der Plattform M. auch keine Dienstleistungen mehr(4). Somit habe sie zwangsläufig jede Verarbeitung personenbezogener Daten im Zusammenhang mit der Ausübung ihrer Tätigkeit eingestellt. Unter diesen Umständen hätten die Grundsätze der Zweckbindung und der Speicherbegrenzung die Löschung der betreffenden Daten erfordert, da andernfalls die Existenz der im Ausgangsverfahren in Rede stehenden Datenbanken selbst unrechtmäßig wäre. Angesichts dessen sei die Frage des vorlegenden Gerichts, die sich auf die Rechtmäßigkeit des Verkaufs dieser Datenbanken im Rahmen eines Zwangsvollstreckungsverfahrens beziehe, für die Entscheidung des Ausgangsrechtsstreits ohne Belang.
31. Es ist darauf hinzuweisen, dass personenbezogene Daten(5) nach Art. 5 Abs. 1 Buchst. e DSGVO in einer Form gespeichert werden müssen, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Folglich kann auch eine ursprünglich rechtmäßige Datenverarbeitung im Laufe der Zeit mit der DSGVO unvereinbar werden, wenn die Daten für die Erreichung dieser Zwecke nicht mehr erforderlich sind(6). In diesem Fall müssen die Daten gelöscht werden(7). Vorliegend wurden die fraglichen Daten zweifellos für die von NMW ausgeübte Tätigkeit des Online-Verkaufs erhoben. Sollte NMW diese Tätigkeit im April 2019 eingestellt haben, bestünde kaum Zweifel, dass diese Daten für die Erreichung dieses Zwecks nicht mehr erforderlich gewesen wären und somit hätten gelöscht werden müssen. Ohne eine solche Löschung stünde die Existenz der in Rede stehenden Datenbanken nicht im Einklang mit der DSGVO, und die fehlende Erheblichkeit der vorliegenden Vorlagefrage für die Entscheidung des Ausgangsrechtsstreits wäre offensichtlich.
32. Allerdings ist der Gerichtshof nach ständiger Rechtsprechung nur befugt, sich anhand des sachlichen und rechtlichen Rahmens, den das nationale Gericht in eigener Verantwortung festlegt, zur Auslegung des Unionsrechts zu äußern, ohne ihn in Frage stellen oder seine Richtigkeit überprüfen zu können(8).
33. Aus der Vorlageentscheidung geht jedoch an keiner Stelle hervor, dass die Gesellschaft NMW, wie von der Klägerin behauptet, ihre Tätigkeit im April 2019 eingestellt hätte.
34. Zweitens hat das vorlegende Gericht Zweifel an der Anwendbarkeit der DSGVO in Anbetracht der Bestimmungen der Richtlinie 96/9.
35. Einleitend ist darauf hinzuweisen, dass die Richtlinie 96/9 darauf abzielt, durch Annäherung der innerstaatlichen Rechtsvorschriften die zwischen diesen im Bereich des rechtlichen Schutzes von Datenbanken bestehenden Unterschiede zu beseitigen, die das Funktionieren des Binnenmarkts, den freien Verkehr von Waren und Dienstleistungen innerhalb der Union sowie die Entwicklung eines Informationsmarkts in der Union beeinträchtigten(9). Nach ihrem Art. 1 Abs. 1 betrifft diese Richtlinie den Rechtsschutz von Datenbanken in jeglicher Form, wobei nach Art. 1 Abs. 2 der Ausdruck „Datenbank“ „eine Sammlung von Werken, Daten oder anderen unabhängigen Elementen [bezeichnet], die systematisch oder methodisch angeordnet und einzeln mit elektronischen Mitteln oder auf andere Weise zugänglich sind“.
36. Die Richtlinie 96/9 verpflichtet alle Mitgliedstaaten, in ihrem nationalen Recht einen Schutz von Datenbanken durch ein Schutzrecht sui generis vorzusehen. Genauer gesagt behält Art. 7 Abs. 1 dieser Richtlinie dem Hersteller einer Datenbank, für die eine qualitativ und quantitativ wesentliche Investition erforderlich war, das Recht vor, die Entnahme und/oder Weiterverwendung der Gesamtheit oder eines wesentlichen Teils des Inhalts dieser Datenbank zu untersagen. Dieses Recht ist nach Art. 7 Abs. 3 der Richtlinie veräußerlich.
37. Nach Ansicht des vorlegenden Gerichts erfüllen die der Gesellschaft NMW gehörenden Datenbanken die Voraussetzungen, um unter den Schutz des Datenbankschutzgesetzes und der Richtlinie 96/9 zu fallen, wobei das Gesetz die Umsetzung der Richtlinie in die polnische Rechtsordnung darstelle. Art. 6 dieses Gesetzes sieht insbesondere vor, dass der Hersteller das ausschließliche und veräußerliche Recht hat, die Daten zu extrahieren und sie ganz oder in einem qualitativ oder quantitativ wesentlichen Teil weiterzuverwenden. Es handelt sich somit nach Ansicht des vorlegenden Gerichts um ein Vermögensrecht, das absoluten Charakter habe und erga omnes wirke. Nach polnischem Recht könne jedes Vermögensrecht von einem Vollstreckungsverfahren erfasst werden, es sei denn, das Gesetz sehe ausdrücklich eine Ausnahme vor. Der polnische Gesetzgeber habe jedoch keine Vorschrift vorgesehen, die die Zwangsvollstreckung in Datenbanken verbiete. Daraus folge, dass der Gerichtsvollzieher im vorliegenden Fall ein Recht auf Veräußerung der Datenbanken für Rechnung des Gläubigers habe, das sich aus dem Recht des vom Vollstreckungsverfahren betroffenen Herstellers ableite, über diese frei zu verfügen. Die Berufung auf dieses Recht könnte der Anwendung der Vorschriften der DSGVO in einem Fall wie dem vorliegenden entgegenstehen und somit die vorliegende Frage unzulässig machen.
38. Zunächst ist festzustellen, dass das in Art. 7 der Richtlinie 96/6 anerkannte Schutzrecht sui generis vom vorlegenden Gericht nicht zutreffend bestimmt wird. Es handelt sich in Wirklichkeit um ein Recht, sich Handlungen zu widersetzen, die insbesondere darin bestehen, die Datenbank oder einen wesentlichen Teil zu einem Bruchteil der zu ihrer unabhängigen Entwicklung erforderlichen Kosten zu rekonstruieren(10), wobei das vom Unionsgesetzgeber verfolgte Ziel darin besteht, der Person, die die Initiative ergriffen und das Risiko einer wesentlichen Investition in die Beschaffung, Überprüfung oder Darstellung des Inhalts einer Datenbank getragen hat, die Vergütung ihrer Investition zu garantieren, indem sie gegen die nicht genehmigte Aneignung der Ergebnisse dieser Investition geschützt wird(11).
39. Darüber hinaus und vor allem ergibt sich hinsichtlich des Verhältnisses zwischen der Richtlinie 96/9 und der DSGVO aus Art. 13 der Richtlinie, dass diese insbesondere die Bestimmungen über den Schutz personenbezogener Daten und die Achtung der Privatsphäre unberührt lässt, und aus ihrem 48. Erwägungsgrund, dass die Bestimmungen der Richtlinie die Anwendung der Datenschutzvorschriften der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(12), der Vorläuferin der DSGVO, unberührt lassen(13).
40. Nach meinem Dafürhalten sollte der Gerichtshof daher die Vorlagefrage beantworten.
Zur Beantwortung der Vorlagefrage
41. Mit seiner Frage möchte das vorlegende Gericht wissen, ob Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 Unterabs. 1 Buchst. a, c und e sowie Abs. 3 DSGVO dahin auszulegen sind, dass sie einer nationalen Regelung entgegenstehen, die es einem Gerichtsvollzieher erlaubt, im Rahmen eines Zwangsvollstreckungsverfahrens eine aus personenbezogenen Daten bestehende Datenbank zu verkaufen, wenn die jeweils betroffenen Personen einem solchen Verkauf nicht zugestimmt haben.
42. Meine rechtliche Würdigung wird wie folgt ablaufen. In Bezug auf die DSGVO wird auf die Frage der Anwendbarkeit dieser Verordnung im vorliegenden Fall und die Frage der Bestimmung des für die betreffende Verarbeitung Verantwortlichen eingegangen, bevor sie sich auf die Auslegung der Vorschriften über die Rechtmäßigkeit einer solchen Verarbeitung konzentriert.
43. Die in den vorliegenden Schlussanträgen entwickelten Überlegungen werden zeigen, dass die Bestimmungen des Unionsrechts, die der Gerichtshof zu berücksichtigen hat, nur teilweise mit den in der Vorlagefrage angeführten übereinstimmen. Die vorgeschlagene Antwort wird sich daher auf diese Bestimmungen beziehen(14).
Zum Vorliegen einer Verarbeitung und zur Identifizierung des Verantwortlichen
44. Die DSGVO zielt, wie sich aus ihrem zehnten Erwägungsgrund ergibt, insbesondere darauf ab, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck dafür zu sorgen, dass die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung personenbezogener Daten unionsweit gleichmäßig und einheitlich angewandt werden(15).
45. Nach ihrem Art. 2 Abs. 1 gilt diese Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
46. Abs. 2 dieses Artikels sieht eine Reihe von Ausnahmen vom Anwendungsbereich dieser Verordnung vor, die auf der Art der Tätigkeit beruhen, in deren Rahmen die Verarbeitung erfolgt. Aus der Rechtsprechung des Gerichtshofs ergibt sich, dass es in Anbetracht der Notwendigkeit, diese Ausnahmen eng auszulegen, erforderlich ist, dass die entsprechende Tätigkeit zu den ausdrücklich in Art. 2 Abs. 2 DSGVO genannten Tätigkeiten gehört oder dass sie derselben Kategorie wie diese zugeordnet werden kann. Somit reicht die Einstufung einer Tätigkeit als spezifische Tätigkeit des Staates oder einer Behörde nicht aus, um davon ausgehen zu können, dass die fragliche Verarbeitung im Rahmen einer Tätigkeit erfolgt, die nicht in den Anwendungsbereich des Unionsrechts im Sinne der Ausnahme in Art. 2 Abs. 2 Buchst. a DSGVO fällt(16).
47. Soweit hier von Interesse, ist darauf hinzuweisen, dass die Verarbeitung im Rahmen der Zwangsvollstreckung eines zivilrechtlichen Anspruchs nicht außerhalb des Anwendungsbereichs dieser Verordnung liegt.
48. Die Umrisse des Anwendungsbereichs der DSGVO werden durch den Begriff „Verarbeitung“ definiert. Nach Art. 4 Nr. 2 dieser Verordnung umfasst dieser Begriff jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie insbesondere „das Auslesen“, „das Abfragen“, „die Verwendung“ und jede „andere Form der Bereitstellung“ dieser Daten. Der Unionsgesetzgeber wollte diesen Begriff somit weit fassen(17).
49. Handelt es sich im vorliegenden Fall um eine Verarbeitung personenbezogener Daten?
50. Vorab ist eine Klarstellung erforderlich. Die Umsätze mit personenbezogenen Daten, die von der Gesellschaft NMW zum Zweck der Ausübung ihrer Tätigkeit des Online-Verkaufs über die Plattform M. getätigt wurden, fallen nicht in den Bereich der vom vorlegenden Gericht gestellten Frage. Diese Frage betrifft ausschließlich das Vollstreckungsverfahren im Hinblick auf die Zwangsversteigerung der betreffenden Datenbanken. Nach Ansicht des vorlegenden Gerichts hätte ein solches Verfahren eine Verarbeitung im Sinne der DSGVO zur Folge, für die der Gerichtsvollzieher verantwortlich wäre.
51. Die Erläuterungen, die die polnische Regierung in der mündlichen Verhandlung zu der dem Gerichtsvollzieher im Rahmen eines solchen Zwangsvollstreckungsverfahrens übertragenen Aufgabe vorgetragen hat, lassen meines Erachtens keinen Zweifel an der Richtigkeit dieser Auslegung.
52. Nach den Ausführungen dieser Regierung beginnt das fragliche Verfahren mit der Beschlagnahme der Datenbank, mit der der Gerichtsvollzieher Zugang zu den darin enthaltenen personenbezogenen Daten erhalte, um deren Wert zu schätzen und dies im Pfändungsprotokoll zu vermerken. Für die Zwecke einer solchen Schätzung führe der Gerichtsvollzieher eine Reihe von Vorgängen durch, die das Auslesen, das Abfragen und die Verwendung dieser Daten umfassten(18). Das Zwangsvollstreckungsverfahren ende mit der Veräußerung der Datenbank im Wege einer öffentlichen Versteigerung. Sobald der Zuschlag erfolgt und der gesamte Preis entrichtet worden sei, stelle der Gerichtsvollzieher dem Erwerber die Datenbank zur Verfügung.
53. Daraus ergibt sich, dass die in Datenbanken wie den fraglichen enthaltenen personenbezogenen Daten vom Gerichtsvollzieher im Rahmen der Schätzung ihres Werts zumindest ausgelesen, abgefragt und verwendet sowie anschließend dem Erwerber zur Verfügung gestellt werden. Hierzu ist festzustellen, dass eine Verarbeitung personenbezogener Daten aus mehreren Vorgängen bestehen kann, von denen jeder eine der verschiedenen Phasen betrifft, die eine Verarbeitung umfassen kann(19). Im vorliegenden Fall sind diese Vorgänge daher als „Verarbeitung“ im Sinne der DSGVO anzusehen.
54. Sodann ist der für diese Verarbeitung Verantwortliche zu bestimmen.
55. Nach Art. 4 Nr. 7 DSGVO umfasst der Begriff „Verantwortlicher“ natürliche oder juristische Personen, Behörden, Einrichtungen und andere Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden(20). Sind – wie in dieser Bestimmung ferner ausgeführt wird – die Zwecke und Mittel der Verarbeitung insbesondere durch das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach diesem Recht vorgesehen werden. Eine solche weite Definition des Begriffs „Verantwortlicher“ soll nach ständiger Rechtsprechung einen wirksamen und umfassenden Schutz der betroffenen Personen gewährleisten(21).
56. Erfolgt die Bestimmung der Zwecke und Mittel der Verarbeitung durch das nationale Recht, ist nach der jüngsten Rechtsprechung zu prüfen, ob dieses Recht den Verantwortlichen benennt oder die für seine Benennung maßgeblichen Kriterien vorsieht. Die Benennung des Verantwortlichen durch das nationale Recht kann nicht nur explizit, sondern auch implizit erfolgen. Im letzteren Fall ist es jedoch erforderlich, dass sich die entsprechende Festlegung mit hinreichender Bestimmtheit aus der Rolle, dem Auftrag oder den Aufgaben der betroffenen Person oder Einrichtung ergibt(22).
57. Im vorliegenden Fall ergibt sich aus Art. 3 Abs. 1 des Gerichtsvollziehergesetzes, dass der Gerichtsvollzieher eine Behörde ist, die vorbehaltlich der gesetzlich vorgesehenen Ausnahmen insbesondere Handlungen im Rahmen von Zwangsvollstreckungsverfahren ausführt. Außerdem geht, wie oben erwähnt, aus den Akten hervor, dass, wenn sich die Zwangsvollstreckung auf Datenbanken bezieht, diese Handlungen insbesondere im Auslesen, im Abfragen und in der Verwendung der darin enthaltenen personenbezogenen Daten im Rahmen der Schätzung des Werts dieser Datenbanken im Hinblick auf eine Veräußerung mittels einer öffentlichen Versteigerung sowie in der Bereitstellung an den Erwerber, sobald der Zuschlag erfolgt ist, bestehen. Das polnische Recht hat somit meines Erachtens zumindest implizit die Zwecke und Mittel der Verarbeitung personenbezogener Daten durch den Gerichtsvollzieher bestimmt.
58. Daher kann der Gerichtsvollzieher im vorliegenden Fall als Behörde, die mit der Durchführung jedes Zwangsvollstreckungsverfahrens, einschließlich des Verfahrens, das eine Datenbank zum Gegenstand hat, betraut ist, als Verantwortlicher für die Verarbeitung der darin enthaltenen personenbezogenen Daten im Sinne von Art. 4 Nr. 7 DSGVO angesehen werden.
59. Das vorlegende Gericht führt keine polnische Rechtsvorschrift an, die die Schuldnergesellschaft NMW zur Zusammenarbeit mit dem Gerichtsvollzieher verpflichtete, um ihm die Schätzung des Werts der betreffenden Datenbanken im Hinblick auf deren Zwangsversteigerung zu ermöglichen.
60. Es kann nicht ausgeschlossen werden, dass solche Verpflichtungen die Durchführung einer anderen Verarbeitung im Sinne der DSGVO zur Folge hätten, für die die genannte Gesellschaft verantwortlich wäre. Insoweit ist festzustellen, dass der Gerichtshof im Urteil Valsts ieņēmumu dienests (Verarbeitung personenbezogener Daten für steuerliche Zwecke) entschieden hat, dass in der rechtlich verpflichtenden Offenlegung und Bereitstellung personenbezogener Daten durch einen Wirtschaftsteilnehmer an die Steuerverwaltung eine solche Verarbeitung liegt, die zu der Verarbeitung, die diese Verwaltung aufgrund des Ersuchens um Offenlegung und Bereitstellung dieser Daten durchführt, hinzutritt(23).
61. Weniger wahrscheinlich, wenn auch abstrakt möglich, ist, dass der Gerichtsvollzieher und die Schuldnergesellschaft NMW gemeinsam für die Verarbeitung der fraglichen personenbezogenen Daten zum Zweck der Zwangsversteigerung verantwortlich gemacht werden können. Diese Schlussfolgerung ist entsprechend dem Urteil Belgischer Staat (Von einem Amtsblatt verarbeitete Daten) denkbar, sofern die verschiedenen Verarbeitungsvorgänge durch die im nationalen Recht vorgegebenen Zwecke und Mittel verbunden sind und das nationale Recht die jeweiligen Pflichten jedes gemeinsam Verantwortlichen festlegt(24).
62. Die folgende Analyse beruht jedoch auf der Annahme, dass im Hinblick auf die Umstände des vorliegenden Falls der Gerichtsvollzieher der einzige für die im Ausgangsverfahren in Rede stehende Verarbeitung Verantwortliche ist.
63. Als für die Verarbeitung Verantwortlicher ist der Gerichtsvollzieher nicht nur für die Einhaltung der für die Verarbeitung personenbezogener Daten geltenden Grundsätze verantwortlich(25), sondern auch Adressat einer erheblichen Anzahl von Pflichten, denen Rechte der betroffenen Personen entsprechen(26). Diese Verpflichtungen können vom nationalen Gesetzgeber nur unter den in Art. 23 DSGVO genannten Voraussetzungen beschränkt werden. Auf die in der mündlichen Verhandlung gestellte Frage nach der Existenz solcher Rechtsvorschriften im nationalen Recht hat die polnische Regierung nur auf Art. 4 des Datenschutzgesetzes verwiesen. Diese Bestimmung begrenzt jedoch lediglich den Umfang der Pflichten des Verantwortlichen, der eine öffentliche Aufgabe gemäß Art. 14 („Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden“) Abs. 1, 2 und 4 DSGVO wahrnimmt.
Zur Rechtmäßigkeit der in Rede stehenden Verarbeitung personenbezogener Daten
64. Wie der Gerichtshof wiederholt entschieden hat, muss jede Verarbeitung personenbezogener Daten insbesondere mit den in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätzen für die Datenverarbeitung im Einklang stehen und im Hinblick auf den Grundsatz der Rechtmäßigkeit der Verarbeitung die in Art. 6 der Verordnung aufgezählten Rechtmäßigkeitsvoraussetzungen erfüllen(27).
65. Art. 6 Abs. 1 Unterabs. 1 dieser Verordnung sieht eine erschöpfende und abschließende Liste der Fälle vor, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig eingestuft werden kann. Eine solche Einstufung setzt voraus, dass es sich bei der Verarbeitung um eine dieser Fallkonstellationen handelt. Hierzu ist festzustellen, dass die fragliche Verarbeitung nicht unter die in dieser Bestimmung vorgesehene grundlegende Fallkonstellation fällt, nämlich die, dass die betroffene Person ihre Einwilligung zu der Verarbeitung für einen oder mehrere bestimmte Zwecke gegeben hat(28). Wie aus der Vorlageentscheidung hervorgeht, ist im Ausgangsverfahren kein Beweis dafür erbracht worden, dass die Personen, die von den in den entsprechenden Datenbanken erhobenen personenbezogenen Daten betroffen sind, dem zugestimmt hätten, dass ihre Daten außerhalb der mit der Plattform M. verbundenen Tätigkeit an Dritte übermittelt bzw. im Rahmen eines Zwangsvollstreckungsverfahrens verkauft werden.
66. Nach Ansicht des vorlegenden Gerichts könnte die Verarbeitung durch den Gerichtsvollzieher unter Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO (erforderliche Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt) oder unter Art. 6 Abs. 1 Unterabs. 1 Buchst. e dieser Verordnung (erforderliche Verarbeitung für die Wahrnehmung einer dem Verantwortlichen übertragenen Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt) fallen(29).
67. Wie das vorlegende Gericht ausführt, verleiht Art. 3 des Gerichtsvollziehergesetzes dem Gerichtsvollzieher den Status einer Behörde. Meines Erachtens lässt sich schwerlich behaupten, dass die Vorgänge, die ihm im Rahmen der Durchführung einer Zwangsvollstreckung zur Befriedigung des Gläubigers übertragen werden, nicht die Wahrnehmung einer Aufgabe zum Ausdruck bringen, die in Ausübung öffentlicher Gewalt, die dem Gerichtsvollzieher übertragen wurde, erfolgt.
68. Im Übrigen ließe sich nicht leicht annehmen, dass die von Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO erfasste Fallkonstellation auf die vorliegende Situation anwendbar ist. Hierzu ist festzustellen, dass der Anwendungsbereich dieser Bestimmung eng begrenzt ist. Wie sich nämlich aus der Stellungnahme 6/2014 der „Artikel-29“- Datenschutzgruppe ergibt(30), muss die rechtliche Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt, hinreichend klar sein, was die von ihr geforderte Verarbeitung personenbezogener Daten angeht. Dies setzt insbesondere die Existenz von Rechtsvorschriften voraus, die sich ausdrücklich auf den Charakter und den Gegenstand der Verarbeitung beziehen(31).
69. Im vorliegenden Fall können meines Erachtens die vom vorlegenden Gericht angeführten Bestimmungen, nämlich Art. 3 Abs. 1, Art. 9 Abs. 1 Nr. 1 und Art. 31 Abs. 1 Satz 1 des Gerichtsvollziehergesetzes sowie Art. 796 § 1 und Art. 799 § 1 Satz 1 der Zivilprozessordnung, nicht als solche eingestuft werden, da sich aus diesen Bestimmungen nur ergibt, dass der Gerichtsvollzieher in seiner Eigenschaft als Behörde verpflichtet ist, jedem Antrag auf Durchführung einer Zwangsvollstreckung mit allen zulässigen Mitteln nachzukommen. Genauer gesagt erlegt das polnische Recht dem Gerichtsvollzieher offenbar keine gesetzliche Verpflichtung zur Zwangsversteigerung einer aus personenbezogenen Daten bestehenden Datenbank auf. Hierzu ist darauf hinzuweisen, dass Art. 831 § 1 Nr. 3 der Zivilprozessordnung „unveräußerliche Rechte“ von der Zwangsvollstreckung ausschließt, was als Verbot der Veräußerung einer Datenbank für den Fall verstanden werden könnte, dass sie mit der DSGVO unvereinbar wäre.
70. Jedenfalls muss nicht ausgeschlossen werden, dass auch die letztgenannte Fallkonstellation hier relevant ist. Zwar genügt es nach dem Wortlaut von Art. 6 Abs. 1 Unterabs. 1 DSGVO, wenn nur eine Fallkonstellation der Rechtmäßigkeit vorliegt, doch hat der Gerichtshof anerkannt, dass ein und dieselbe Verarbeitung mehreren dieser Fälle unterfallen kann(32).
71. Die in Rede stehende Verarbeitung fällt daher meines Erachtens unter die in Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO verankerte Fallkonstellation der Rechtmäßigkeit.
72. Bei dieser Fallkonstellation ist eine andere Voraussetzung für die Rechtmäßigkeit der Verarbeitung zu berücksichtigen. In Art. 6 Abs. 3 DSGVO heißt es nämlich, dass die Rechtsgrundlage für die Verarbeitungen insbesondere gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. e dieser Verordnung durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt wird und ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss(33).
73. Den Vorgaben von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO in Verbindung mit Art. 6 Abs. 3 DSGVO wird daher entsprochen, wenn insbesondere eine nationale Rechtsgrundlage vorliegt, die als Grundlage für die Verarbeitung personenbezogener Daten dient, wobei diese Verarbeitung durch Verantwortliche erfolgt, die insbesondere im Rahmen einer Aufgabe tätig werden, die in Ausübung öffentlicher Gewalt erfolgt, wie die vom Gerichtsvollzieher im Rahmen der Zwangsvollstreckung in die Vermögenswerte einer Gesellschaft wahrgenommene Aufgabe(34).
74. Meines Erachtens besteht diese Rechtsgrundlage aus sämtlichen in Nr. 69, erster Satz, der vorliegenden Schlussanträge genannten Bestimmungen des polnischen Rechts, aus denen hervorgeht, dass der Gerichtsvollzieher in seiner Eigenschaft als Behörde verpflichtet ist, jedem Antrag auf Durchführung einer Zwangsvollstreckung mit allen zulässigen Mitteln nachzukommen.
75. Die Frage, ob die in Rede stehende Verarbeitung mit der DSGVO im Einklang steht, macht es schließlich erforderlich, sich mit einer weiteren rechtlichen Problematik zu befassen, die im Mittelpunkt der vorliegenden Rechtssache steht.
76. Denn der Zweck der Verarbeitung personenbezogener Daten durch den Gerichtsvollzieher, d. h. die Zwangsversteigerung von Datenbanken mit Daten von Nutzern der Plattform M. zur Befriedigung der Gläubiger der Gesellschaft NMW, unterscheidet sich vom ursprünglichen Zweck der Verarbeitung personenbezogener Daten durch diese Gesellschaft, der darin bestand, die Nutzung der Plattform M. für die Tätigkeit des Online-Verkaufs dieser Gesellschaft zu ermöglichen.
77. Insoweit ist darauf hinzuweisen, dass nach Art. 5 Abs. 1 Buchst. b DSGVO, in dem der Grundsatz der „Zweckbindung“ verankert ist, personenbezogene Daten zum einen für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und zum anderen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Diese Bestimmung enthält jedoch keine Angaben dazu, unter welchen Voraussetzungen eine Weiterverarbeitung personenbezogener Daten als mit den Zwecken der ursprünglichen Erhebung der Daten vereinbar angesehen werden kann(35).
78. Aus Art. 6 Abs. 4 DSGVO ergibt sich im Licht des 50. Erwägungsgrundes dieser Verordnung(36), dass die Prüfung einer solchen Vereinbarkeit die Berücksichtigung einer Reihe von dort aufgezählten, nicht erschöpfenden Kriterien impliziert.
79. Es liegt auf der Hand, dass die Berücksichtigung dieser Kriterien im vorliegenden Fall nicht zu einer Bejahung der Vereinbarkeit der in Rede stehenden Zwecke führen könnte. Wie der Gerichtshof kürzlich ausgeführt hat, spiegeln die genannten Kriterien die Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten wider und ermöglichen es damit, sich zu vergewissern, dass diese Weiterverarbeitung nicht von den legitimen Erwartungen der betroffenen Personen hinsichtlich der weiteren Verwendung ihrer Daten abweicht(37). Eine solche Verbindung kann jedoch in der vorliegenden Rechtssache nicht hergestellt werden.
80. Jedenfalls geht aus Art. 6 Abs. 4 erster Satzteil DSGVO hervor, dass die Beurteilung der Vereinbarkeit der Zwecke nur dann erforderlich wird, wenn „die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 [DSGVO] genannten Ziele darstellt, [beruht]“.
81. Im vorliegenden Fall steht fest, dass die Nutzer der Plattform M. ihre Einwilligung zur Verarbeitung für einen anderen Zweck als den, für den ihre personenbezogenen Daten erhoben wurden, nicht erteilt haben. Es stellt sich daher die Frage, ob eine solche Verarbeitung auf einer Vorschrift des nationalen Rechts oder des Unionsrechts beruht und ob sie in einer demokratischen Gesellschaft als notwendige und verhältnismäßige Maßnahme zur Erreichung eines der in Art. 23 Abs. 1 DSGVO aufgezählten Ziele angesehen werden kann.
82. Insoweit erscheint es mir erforderlich, klarzustellen, dass diese Fallkonstellation vom Gerichtshof als eine echte Ausnahme vom Grundsatz der Zweckbindung ausgelegt wurde. Gestützt auf den 50. Erwägungsgrund der DSGVO hat der Gerichtshof festgestellt, dass der Verantwortliche somit zum Schutz dieser in Art. 23 Abs. 1 DSGVO genannten wichtigen Ziele des allgemeinen öffentlichen Interesses berechtigt ist, die personenbezogenen Daten ungeachtet der Vereinbarkeit dieser Verarbeitung mit den Zwecken, für die die personenbezogenen Daten ursprünglich erhoben wurden, weiterzuverarbeiten. Er kam daher zu dem Ergebnis, dass Art. 6 Abs. 4 erster Satzteil dieser Verordnung auf die von einem Gericht im Rahmen eines Zivilgerichtsverfahrens angeordnete Vorlegung eines Dokuments als Beweismittel anwendbar ist, das personenbezogene Daten Dritter enthält, die hauptsächlich zum Zweck der Steuerprüfung erhoben wurden(38).
83. Auch wenn diese Auslegung diejenigen enttäuschen mag, die den Standpunkt vertreten, dass das Recht auf Schutz personenbezogener Daten nur durch Maßnahmen der nationalen Gesetzgebung beschränkt werden können sollte, entspricht sie meines Erachtens voll und ganz dem Willen des Unionsgesetzgebers. Es ist nämlich darauf hinzuweisen, dass die Begründung zum Standpunkt des Rates in den Vorarbeiten zur DSGVO vielleicht noch deutlicher als ihr 50. Erwägungsgrund die Entscheidung zum Ausdruck bringt, dem für die Verarbeitung Verantwortlichen einen sorgfältig eingegrenzten Spielraum für die Durchführung einer Verarbeitung einzuräumen, die mit den zum Zeitpunkt der Erhebung der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, angegebenen Zwecken unvereinbar ist(39).
84. Da das Bestehen einer Rechtsgrundlage für die im vorliegenden Fall in Rede stehende Verarbeitung bereits festgestellt ist, ist als Nächstes zu klären, ob mit dieser Verarbeitung die in Art. 23 DSGVO genannten Ziele sichergestellt werden.
85. Zu diesen Zielen gehört nach Abs. 1 Buchst. j dieser Bestimmung „die Durchsetzung zivilrechtlicher Ansprüche“. Meines Erachtens ist die Verarbeitung der in Rede stehenden personenbezogenen Daten geeignet, die Erreichung dieses Ziels sicherzustellen. Insoweit ist darauf hinzuweisen, dass sich der Zweck dieser Verarbeitung nach den Angaben des vorlegenden Gerichts aus Art. 911 der Zivilprozessordnung in Verbindung mit Art. 31 Abs. 1 Satz 1 des Gerichtsvollziehergesetzes ergibt, die den Gerichtsvollzieher ermächtigen, die Datenbank zu verkaufen und sodann den durch diese Zwangsversteigerung erzielten Betrag an den Gläubiger zu überweisen.
86. Die Frage, ob die vom Gerichtsvollzieher im Rahmen des Zwangsvollstreckungsverfahrens vorgenommene Verarbeitung sich in einer Maßnahme konkretisiert, die in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist, um das Ziel der Durchsetzung zivilrechtlicher Ansprüche zu erreichen, fällt in die Zuständigkeit des vorlegenden Gerichts. Es ist jedoch Sache des Gerichtshofs, diesem Gericht auf der Grundlage der verfügbaren Informationen alle hierfür erforderlichen Hinweise hinsichtlich des Unionsrechts zu geben(40).
87. In Bezug auf die Notwendigkeit steht fest, dass eine Maßnahme notwendig ist, wenn das verfolgte rechtmäßige Ziel nicht durch eine ebenso geeignete, aber weniger belastende Maßnahme erreicht werden kann. Lässt sich, mit anderen Worten, die Durchsetzung des Antrags der Gläubigergesellschaft mit anderen Mitteln erreichen, die ebenso wirksam sind, aber weniger stark in das Recht der Nutzer der Plattform M. auf Privatsphäre und den Schutz personenbezogener Daten eingreifen? Insoweit beschränke ich mich auf den Hinweis, dass es nach Auffassung des vorlegenden Gerichts nicht möglich ist, die Gläubigergesellschaft ohne Zwangsversteigerung der betreffenden Datenbanken aus dem Vermögen der Schuldnergesellschaft zu befriedigen.
88. Was die Verhältnismäßigkeit betrifft, so erfordert die Prüfung eine Gewichtung der einander gegenüberstehenden Interessen anhand der konkreten Umstände des jeweiligen Einzelfalls.
89. Im vorliegenden Fall besteht das erste dieser Interessen, bei dem es sich um ein in Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) und Art. 16 AEUV verankertes Grundrecht handelt, im Schutz der Nutzer der Plattform M. bei der Verarbeitung personenbezogener Daten. Eng damit verknüpft ist das in Art. 7 der Charta verankerte Recht auf Achtung des Privatlebens. Wie im vierten Erwägungsgrund der DSGVO ausgeführt, ist das Recht auf Schutz personenbezogener Daten kein uneingeschränktes Recht, sondern es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Eines dieser Rechte ist das in Art. 17 der Charta verankerte Eigentumsrecht. Der Verkauf einer dem Schuldner gehörenden Datenbank im Rahmen eines Zwangsvollstreckungsverfahrens trägt meines Erachtens zur Achtung des Eigentumsrechts des Inhabers einer gerichtlich festgestellten Forderung bei.
90. Insoweit ist darauf hinzuweisen, dass Art. 17 der Charta Art. 1 des Zusatzprotokolls zur am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) entspricht, so dass er nach Art. 52 Abs. 3 der Charta die gleiche Bedeutung und Tragweite hat, wie sie die EMRK diesem Art. 1 zuschreibt.
91. Nach der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte bedeutet das Eigentumsrecht, dass die Staaten eine Handlungspflicht trifft, ein System der Vollstreckung gerichtlicher Entscheidungen einzurichten, das sowohl in der Praxis als auch rechtlich wirksam ist und es erlaubt sicherzustellen, dass die gesetzlichen Verfahren zur Vollstreckung rechtskräftiger gerichtlicher Entscheidungen unverzüglich Anwendung finden(41). Handelt es sich bei dem Gläubiger um einen privaten Akteur, ist der Staat verpflichtet, den Gläubigern bei der Vollstreckung der betreffenden Gerichtsentscheidungen die erforderliche Unterstützung zukommen zu lassen, beispielsweise durch einen Gerichtsvollzieherdienst(42). In diesem Zusammenhang kann, wenn die Behörden verpflichtet sind, zur Vollstreckung eines Urteils tätig zu werden, und sie davon Abstand nehmen, ihre Untätigkeit die Haftung des Staates insbesondere nach Art. 1 des Zusatzprotokolls Nr. 1 zur EMRK auslösen(43).
92. Im Rahmen der Beurteilung dieser Abwägung zwischen dem Eigentumsrecht einerseits und dem Recht auf Schutz personenbezogener Daten und auf Achtung der Privatsphäre andererseits ließe sich meines Erachtens ein spezifischer, sich aus den Akten ergebender Aspekt berücksichtigen.
93. Aus der Vorlageentscheidung ergibt sich, dass keine Bestimmung des polnischen Rechts subjektive Beschränkungen für den Erwerber einer Datenbank enthält, da die einzige Voraussetzung die volle Rechts- und Geschäftsfähigkeit ist, wobei diese Lücke zur Folge hat, dass der erwerbende Dritte auch eine außerhalb der Europäischen Union ansässige Einrichtung sein kann, die als solche nicht zur Einhaltung der in der DSGVO vorgesehenen Vorschriften über die Verarbeitung personenbezogener Daten verpflichtet ist.
94. In einem solchen Fall würde sich die in Rede stehende Verarbeitung meiner Ansicht nach als übermäßiges Opfer des Rechts auf Schutz personenbezogener Daten erweisen und könnte daher nicht als eine verhältnismäßige Maßnahme angesehen werden. Ein solches Ergebnis könnte, um das zu veranschaulichen, durch eine nationale Rechtsvorschrift vermieden werden, die dem Gerichtsvollzieher aufgibt, in das für die Versteigerung erstellte Lastenheft eine Klausel aufzunehmen, die dem erwerbenden Dritten die Einhaltung der Vorschriften der DSGVO auferlegt.
Ergebnis
95. Nach alledem schlage ich dem Gerichtshof vor, die Vorlagefrage des Sąd Rejonowy dla m. st. Warszawy w Warszawie (Rayongericht Warschau, Polen) wie folgt zu beantworten:
Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Abs. 3 und Abs. 4 erster Satzteil der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen, dass
er einer nationalen Regelung nicht entgegensteht, die es einem Gerichtsvollzieher erlaubt, im Rahmen eines Zwangsvollstreckungsverfahrens eine aus personenbezogenen Daten bestehende Datenbank zu verkaufen, wenn die von diesen Daten betroffenen Personen einem solchen Verkauf nicht zugestimmt haben, sofern die Verarbeitung dieser Daten durch den Gerichtsvollzieher in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, um die Durchsetzung eines zivilrechtlichen Anspruchs sicherzustellen.