SCHLUSSANTRÄGE DES GENERALANWALTS
PAOLO MENGOZZI
vom 1. Februar 2018(1)
Rechtssache C‑25/17
Tietosuojavaltuutettu
gegen
Jehovan todistajat – uskonnollinen yhdyskunta
(Vorabentscheidungsersuchen des Korkein hallinto-oikeus [Oberstes Verwaltungsgericht, Finnland])
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Richtlinie 95/46/EG – Anwendungsbereich – Begriff ‚ausschließlich persönliche oder familiäre Tätigkeit‘ – Daten, die von Mitgliedern einer Religionsgemeinschaft im Rahmen ihrer von Tür zu Tür durchgeführten Verkündigungstätigkeit erhoben und verarbeitet werden – Religionsfreiheit – Art. 10 der Charta der Grundrechte der Europäischen Union – Begriff ‚Datei‘ – Begriff ‚für die Verarbeitung personenbezogener Daten Verantwortlicher‘“
1. Ist die Gemeinschaft der Zeugen Jehovas zur Einhaltung der unionsrechtlichen Vorschriften über den Schutz personenbezogener Daten zu verpflichten, weil ihre Mitglieder, wenn sie ihrer Verkündigungstätigkeit von Tür zu Tür nachgehen, veranlasst sein können, Notizen anzufertigen, die den Inhalt ihrer Gespräche und insbesondere die religiöse Orientierung der von ihnen besuchten Personen wiedergeben? Dies ist im Wesentlichen die Frage, um die es im vorliegenden Vorabentscheidungsersuchen geht.
I. Rechtlicher Rahmen
A. Unionsrecht
2. Nach dem zwölften Erwägungsgrund der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(2) „[müssen] [d]ie Schutzprinzipien … für alle Verarbeitungen personenbezogener Daten gelten, sobald die Tätigkeiten des für die Verarbeitung Verantwortlichen in den Anwendungsbereich des Gemeinschaftsrechts fallen. Auszunehmen ist die Datenverarbeitung, die von einer natürlichen Person in Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten – wie zum Beispiel Schriftverkehr oder Führung von Anschriftenverzeichnissen – vorgenommen wird.“
3. Dem 27. Erwägungsgrund der Richtlinie 95/46 zufolge „[muss] Datenschutz … sowohl für automatisierte als auch für nicht automatisierte Verarbeitungen gelten. In der Tat darf der Schutz nicht von den verwendeten Techniken abhängen, da andernfalls ernsthafte Risiken der Umgehung entstehen würden. Bei manuellen Verarbeitungen erfasst diese Richtlinie lediglich Dateien, nicht jedoch unstrukturierte Akten. Insbesondere muss der Inhalt einer Datei nach bestimmten personenbezogenen Kriterien strukturiert sein, die einen leichten Zugriff auf die Daten ermöglichen. Nach der Definition in Artikel 2 Buchstabe c) können die Mitgliedstaaten die Kriterien zur Bestimmung der Elemente einer strukturierten Sammlung personenbezogener Daten sowie die verschiedenen Kriterien zur Regelung des Zugriffs zu einer solchen Sammlung festlegen. Akten und Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien strukturiert sind, fallen unter keinen Umständen in den Anwendungsbereich dieser Richtlinie.“
4. Art. 2 der Richtlinie 95/46 bestimmt:
„Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a) ‚personenbezogene Daten‘ alle Informationen über eine bestimmte oder bestimmbare natürliche Person (‚betroffene Person‘); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;
b) ‚Verarbeitung personenbezogener Daten‘ (‚Verarbeitung‘) jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;
c) ‚Datei mit personenbezogenen Daten‘ (‚Datei‘) jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten aufgeteilt geführt wird;
d) ‚für die Verarbeitung Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sind die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten in einzelstaatlichen oder gemeinschaftlichen Rechts- und Verwaltungsvorschriften festgelegt, so können der für die Verarbeitung Verantwortliche bzw. die spezifischen Kriterien für seine Benennung durch einzelstaatliche oder gemeinschaftliche Rechtsvorschriften bestimmt werden;
e) ‚Auftragsverarbeiter‘ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet;
…“
5. In Art. 3 der Richtlinie 95/46 heißt es:
„(1) Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.
(2) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten,
– die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich;
– die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird.“
6. Art. 8 Abs. 1 der Richtlinie 95/46 bestimmt, dass „[d]ie Mitgliedstaaten … die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von Daten über Gesundheit oder Sexualleben [untersagen]“. In Abs. 2 Buchst. d dieses Artikels heißt es weiter, dass „Absatz 1 … in folgenden Fällen keine Anwendung [findet]: … die Verarbeitung erfolgt auf der Grundlage angemessener Garantien durch eine politisch, philosophisch, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation, die keinen Erwerbszweck verfolgt, im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung nur auf die Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die Daten nicht ohne Einwilligung der betroffenen Personen an Dritte weitergegeben werden“.
B. Nationales Recht
7. Die Richtlinie 95/46 wurde durch das Henkilötietolaki 523/1999 (Gesetz 523/1999 über personenbezogene Daten) in das finnische Recht umgesetzt.
8. In § 3 Abs. 3 des Gesetzes über personenbezogene Daten wird der Ausdruck „Datei mit personenbezogenen Daten“ definiert als „Sammlung personenbezogener Daten, die aus wegen ihrer Zweckbestimmung zusammengehörenden Eintragungen besteht und die teilweise oder vollständig mit Hilfe automatisierter Datenverarbeitungsverfahren verarbeitet wird oder als Kartothek, Verzeichnis oder in damit vergleichbarer Weise organisiert wird, damit bestimmte Personen betreffende Daten leicht und ohne unangemessene Kosten aufgefunden werden können“.
9. Nach § 11 des Gesetzes über personenbezogene Daten ist die Verarbeitung sensibler Daten, darunter religiöse Überzeugungen, verboten. § 12 dieses Gesetzes sieht allerdings vor, dass die Verarbeitung solcher Daten, soweit sie religiöse Überzeugungen betreffen, zulässig ist, wenn die Daten im Rahmen der Tätigkeit von Verbänden oder Vereinigungen, die solche Überzeugungen vertreten, erhoben werden und Mitglieder dieser Verbände oder Vereinigungen oder Personen, die im Zusammenhang mit dem Tätigkeitszweck dieser Verbände oder Vereinigungen regelmäßige Kontakte zu diesen unterhalten, betreffen und nicht ohne Einwilligung der betroffenen Personen an Dritte weitergegeben werden.
10. Gemäß § 44 des Gesetzes über personenbezogene Daten kann die Datenschutzkommission auf Antrag des Datenschutzbeauftragten die Verarbeitung personenbezogener Daten verbieten, die gegen dieses Gesetz oder gegen aufgrund dieses Gesetzes erlassene Vorschriften und Bestimmungen verstößt, und anordnen, Fällen rechtswidriger Tätigkeit oder Versäumnis innerhalb einer angemessenen Frist abzuhelfen.
II. Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof
11. Am 17. September 2013 erließ die finnische Datenschutzkommission (im Folgenden: Datenschutzkommission) auf Antrag des Tietosuojavaltuutettu (Datenschutzbeauftragter, Finnland, Rechtsmittelführer des Ausgangsverfahrens) eine Entscheidung, mit der sie der Religionsgemeinschaft der Zeugen Jehovas (Rechtsmittelgegnerin des Ausgangsverfahrens, im Folgenden: Gemeinschaft) verbot, im Rahmen der von Tür zu Tür durchgeführten Verkündigungstätigkeit personenbezogene Daten zu erheben oder zu verarbeiten, ohne sich den im Gesetz über personenbezogene Daten vorgesehenen rechtlichen Voraussetzungen der Verarbeitung personenbezogener Daten zu unterwerfen. Die Datenschutzkommission war der Auffassung, die Gemeinschaft und ihre Mitglieder seien im Sinne des Gesetzes über personenbezogene Daten für die Verarbeitung sensibler personenbezogener Daten verantwortlich. Der Gemeinschaft wurde eine Frist von sechs Monaten gesetzt, um der Entscheidung nachzukommen.
12. Die Gemeinschaft erhob vor einem erstinstanzlichen Gericht Klage gegen diese Entscheidung und machte geltend, es handle sich um eine Datenverarbeitung zu rein persönlichen Zwecken im Sinne des Gesetzes über personenbezogene Daten. Mit Urteil vom 18. Dezember 2014 hob das Gericht die Entscheidung der Datenschutzkommission auf und stellte fest, dass die Gemeinschaft nicht für eine rechtswidrige Verarbeitung personenbezogener Daten verantwortlich sei.
13. Der Datenschutzbeauftragte legte beim vorlegenden Gericht ein Rechtsmittel ein, mit dem er die Aufhebung des Urteils vom 18. Dezember 2014 begehrt.
14. Die Tätigkeit der Mitglieder der Gemeinschaft wird vom vorlegenden Gericht wie folgt beschrieben: Im Rahmen ihrer Verkündigungstätigkeit gehen die Mitglieder von Tür zu Tür und machen sich Notizen über ihre Begegnungen mit Personen, die ihnen in der Regel unbekannt sind. Diese Daten werden zur Erinnerung erhoben, damit Informationen, die für einen erneuten Besuch von Nutzen sein können, wiederauffindbar sind. Die besuchten Personen, deren Daten sich in den Notizen der Mitglieder der Gemeinschaft finden, werden weder über die Erhebung noch über die Verarbeitung ihrer personenbezogenen Daten informiert. Als Datenträger werden Notizbücher oder Notizzettel verwendet. Bei den betreffenden Daten handelt es sich um Namen, Adressen und Zusammenfassungen der Gespräche, die u. a. religiöse Überzeugungen und Familienverhältnisse zum Gegenstand haben. Nach den Angaben des vorlegenden Gerichts wird die Verkündigungstätigkeit von der Gemeinschaft in der Weise organisiert, dass sie Gebietskarten erstellt und zum Zweck der Evangelisation Bezirke unter den Mitgliedern aufteilt. Die Gemeinden der Gemeinschaft (im Folgenden: Versammlungen) führen Verzeichnisse über die Verkündiger, in denen die Anzahl der von ihnen verteilten Publikationen und die von jedem Mitglied für die Verkündigungstätigkeit aufgewandte Zeit vermerkt wird.
15. Die Gemeinschaft hat bereits eine von ihr selbst herausgegebene Publikation genutzt, um Anleitungen zur Anfertigung von Notizen zu verbreiten(3). Die Daten wurden ursprünglich mittels Formularen erhoben, zu deren Verwendung die Gemeinschaft aber nicht mehr anhält, seitdem der Datenschutzbeauftragte eine entsprechende Empfehlung ausgesprochen hat. Außerdem führen die Versammlungen eine sogenannte „Verbotsliste“ von Personen, die darum gebeten haben, nicht mehr von den Mitgliedern der Gemeinschaft besucht zu werden. Diese Liste steht nach Ansicht des Datenschutzbeauftragten mit dem Gesetz über personenbezogene Daten im Einklang.
16. Der Datenschutzbeauftragte macht vor dem vorlegenden Gericht geltend, dass die von den Mitgliedern der Gemeinschaft bei ihrer Verkündigungstätigkeit erhobenen Daten eine Datei darstellten, da sie dieselbe Zweckbestimmung hätten und aufgezeichnet würden, um bei einem erneuten Besuch als Gedächtnisstütze zu dienen. Die auf der Grundlage persönlicher Notizen erfolgende Datenverarbeitung werde von der Gemeinschaft selbst im Detail gesteuert und organisiert; diese habe die tatsächliche Kontrolle über die Erhebung und Verarbeitung der Daten. Die Gemeinschaft und, soweit sie bei ihrer Verkündigungstätigkeit persönliche Notizen anfertigten, ihre Mitglieder seien zusammen als „für die Verarbeitung der Daten Verantwortliche“ anzusehen.
17. Die Gemeinschaft trägt ihrerseits vor, bei der Verkündigungstätigkeit, in deren Rahmen ein Mitglied gegebenenfalls Notizen anfertige, handle es sich um individuelle Religionsausübung. Diese Notizen seien rein persönlicher Natur. Ihre Anfertigung und die eventuell darauf folgende Verarbeitung der erhobenen Daten erfolgten unabhängig von der Existenz der Gemeinschaft; diese übe keinerlei Kontrolle aus, auch wenn sie Empfehlungen ausspreche und die spirituelle Leitlinie vorgebe, dass sich jedes Mitglied an der Evangelisation beteiligen müsse. Die Aufzeichnungen der Mitglieder würden nicht an die Gemeinschaft weitergeleitet, und diese habe keinen Zugriff darauf. Es gebe kein System, das die Daten zusammenführe und Recherchen ermögliche. Die Gemeinschaft wisse nicht, welche ihrer Mitglieder nach ihren Besuchen Notizen anfertigten. Die Datenerhebung betreffe nur Daten, die aus öffentlichen Quellen wie dem Telefonbuch zugänglich seien und vernichtet würden, sobald sie nicht mehr benötigt würden. Die nur aus eigenem Antrieb der Mitglieder erhobenen Daten stellten keine Datei dar, und die Gemeinschaft könne nicht als für die Verarbeitung personenbezogener Daten verantwortlich angesehen werden. Dies entspreche im Übrigen der Auffassung der dänischen, der niederländischen und der norwegischen Behörden, denen zufolge die im Ausgangsverfahren fragliche Tätigkeit nicht in den Anwendungsbereich der nationalen Vorschriften über die Erhebung und Verarbeitung personenbezogener Daten falle oder jedenfalls nicht gegen diese Vorschriften verstoße.
18. Nach Ansicht des vorlegenden Gerichts ist erstens der Anwendungsbereich des Gesetzes über personenbezogene Daten zu bestimmen, der dem Anwendungsbereich der Richtlinie 95/46 entspreche(4). Im Licht der Rechtsprechung des Gerichtshofs falle die im Rahmen einer Religionsausübung wie der Verkündigungstätigkeit vorgenommene Erhebung und Verarbeitung personenbezogener Daten wohl nicht unter die in Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 genannte Ausnahme, doch verbleibe eine Ungewissheit hinsichtlich der Frage, ob die Verkündigungstätigkeit als eine ausschließlich persönliche oder familiäre Tätigkeit im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 eingestuft werden könne. Für die Zwecke dieser Prüfung sei zu klären, welche Wirkung die Hinweise im zwölften Erwägungsgrund der Richtlinie 95/46 hätten, auch wenn die erhobenen Daten wohl über diejenigen hinausgingen, die üblicherweise für die Führung eines Anschriftenverzeichnisses erhoben würden, insbesondere weil es sich um sensible Daten handeln könne, die in Bezug auf den Mitgliedern unbekannte Personen erhoben würden. Zu berücksichtigen seien ferner die Präzisierung durch den 18. Erwägungsgrund der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG(5) und schließlich die Rolle der Gemeinschaft. Die Bestimmung des Anwendungsbereichs von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 erfordere eine Abwägung des Grundrechts auf Achtung des Privatlebens und der nicht weniger grundlegenden Religionsfreiheit, von der die Verkündigungstätigkeit eine Form der Ausübung darstelle.
19. Zweitens hat das vorlegende Gericht Zweifel bezüglich des Begriffs „Datei“ im Sinne von Art. 2 Buchst. c der Richtlinie 95/46. Wenn die im Ausgangsverfahren fragliche Tätigkeit nicht unter die Ausnahme gemäß Art. 3 Abs. 2 zweiter Gedankenstrich dieser Richtlinie falle, finde die Richtlinie nämlich, da keine automatisierte Verarbeitung der betreffenden Daten erfolge, nur dann Anwendung, wenn diese Daten in einer „Datei“ gespeichert seien. Hervorzuheben sei in diesem Zusammenhang der übereinstimmende Zweck der Notizen der Mitglieder, nämlich als Gedächtnisstütze zu dienen und bei einem erneuten Besuch das Wiederauffinden der Daten der betreffenden Personen zu erleichtern.
20. Drittens schließlich fragt sich das vorlegende Gericht, ob die Gemeinschaft allein oder zusammen mit ihren Mitgliedern als „für die Verarbeitung Verantwortlicher“ im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 angesehen werden kann, obwohl sie eine tatsächliche Kontrolle über die Datenerhebung auszuüben scheine, ohne dass gegenwärtig von ihr stammende Aufträge oder schriftliche Anweisungen bestünden. Dieser Begriff „für die Verarbeitung Verantwortlicher“ scheine in der Rechtsprechung des Gerichtshofs(6) weit ausgelegt zu werden. Auch wenn die Gemeinschaft möglicherweise keinen Zugriff auf die erhobenen Daten habe, sei besonders hervorzuheben, dass sie zur Verkündigungstätigkeit von Tür zu Tür aufrufe, ihren Mitgliedern in der Vergangenheit bereits Anleitungen zur Datenerhebung gegeben habe und ihnen zu diesem Zweck Formulare zur Verfügung gestellt habe.
21. Unter diesen Umständen hat das Korkein hallinto-oikeus (Oberstes Verwaltungsgericht) beschlossen, das Verfahren auszusetzen, und mit Vorlageentscheidung, die am 19. Januar 2017 bei der Kanzlei eingegangen ist, hat es dem Gerichtshof folgende Fragen zur Vorabentscheidung vorgelegt:
1. Sind die den Anwendungsbereich der Richtlinie 95/46 betreffenden Ausnahmen, die in Art. 3 Abs. 2 erster und zweiter Gedankenstrich dieser Richtlinie vorgesehen sind, dahin auszulegen, dass die von Mitgliedern einer Religionsgemeinschaft im Zusammenhang mit der von Tür zu Tür durchgeführten Verkündigungstätigkeit vorgenommene Erhebung und sonstige Verarbeitung personenbezogener Daten nicht in den Anwendungsbereich der Richtlinie fallen? Welche Bedeutung hat bei der Beurteilung der Anwendbarkeit der Richtlinie 95/46 zum einen, dass die Verkündigungstätigkeit, in deren Zusammenhang die Daten erhoben werden, von der Religionsgemeinschaft und ihren Versammlungen organisiert wird, und zum anderen, dass es sich zugleich auch um die persönliche Religionsausübung der Mitglieder der Religionsgemeinschaft handelt?
2. Ist die Definition des Begriffs „Datei“ in Art. 2 Buchst. c der Richtlinie 95/46 unter Berücksichtigung der Erwägungsgründe 26 und 27 der Richtlinie dahin auszulegen, dass die Gesamtheit der personenbezogenen Daten, die im Zusammenhang mit der oben beschriebenen von Tür zu Tür durchgeführten Verkündigungstätigkeit nicht automatisiert gesammelt werden (Name und Anschrift sowie andere mögliche die Person betreffende Daten und Charakterisierungen),
a) deswegen keine solche Datei darstellt, weil es sich dabei nicht um spezifische Kartotheken oder Verzeichnisse oder ähnliche der Suche dienende Ordnungssysteme im Sinne der Definition des finnischen Gesetzes über personenbezogene Daten handelt, oder
b) deswegen eine solche Datei darstellt, weil aus den Daten unter Berücksichtigung ihrer Zweckbestimmung tatsächlich leicht und ohne unangemessene Kosten die für eine spätere Verwendung benötigten Informationen abgerufen werden können, wie dies im finnischen Gesetz über personenbezogene Daten vorgesehen ist?
3. Ist die Wendung in Art. 2 Buchst. d der Richtlinie 95/46 „die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“ dahin auszulegen, dass eine Religionsgemeinschaft, die eine Tätigkeit organisiert, bei der personenbezogene Daten (u. a. durch die Aufteilung der Aktionsradien der Verkündiger, durch das Verfolgen der Verkündigungstätigkeit und das Vorhalten von Registern über Personen, die nicht möchten, dass Verkündiger zu ihnen kommen) erhoben werden, in Bezug auf diese Tätigkeit ihrer Mitglieder als für die Verarbeitung personenbezogener Daten Verantwortliche betrachtet werden kann, obwohl die Religionsgemeinschaft geltend macht, dass nur einzelne Verkündiger Zugang zu den aufgezeichneten Informationen haben?
4. Ist Art. 2 Buchst. d der Richtlinie 95/46 dahin auszulegen, dass die Religionsgemeinschaft nur dann als für die Verarbeitung Verantwortliche eingestuft werden kann, wenn sie andere spezifische Maßnahmen wie Aufträge oder schriftliche Anweisungen ergreift, mit denen sie das Erheben von Daten steuert, oder ist es ausreichend, dass die Religionsgemeinschaft eine tatsächliche Rolle bei der Steuerung der Tätigkeit ihrer Mitglieder spielt?
22. In der vorliegenden Rechtssache haben die Rechtsmittelgegnerin des Ausgangsverfahrens, die finnische, die tschechische und die italienische Regierung sowie die Europäische Kommission schriftliche Erklärungen eingereicht.
23. In der mündlichen Verhandlung vor dem Gerichtshof, die am 28. November 2017 stattgefunden hat, haben der Datenschutzbeauftragte, die Rechtsmittelgegnerin des Ausgangsverfahrens, die finnische Regierung und die Kommission mündliche Erklärungen abgegeben.
III. Würdigung
A. Zur Zuständigkeit des Gerichtshofs
24. Das vorliegende Vorabentscheidungsverfahren zeichnet sich dadurch aus, dass die Rechtsmittelgegnerin des Ausgangsverfahrens den Sachverhalt in der Form, wie er vom Datenschutzbeauftragten festgestellt und vom vorlegenden Gericht dargelegt wurde, vehement bestreitet. Sie trägt vor, der Gerichtshof müsse unter Berücksichtigung des Urteils Meilicke(7) die Beantwortung der vom Korkein hallinto-oikeus (Oberstes Verwaltungsgericht) gestellten Fragen ablehnen.
25. In jenem Urteil hat der Gerichtshof die „Spielregeln“ des in Vorabentscheidungsverfahren zu führenden Dialogs in Erinnerung gerufen. So sei der Gerichtshof zwar grundsätzlich gehalten, die Fragen des nationalen Gerichts – das allein über unmittelbare Kenntnis des Sachverhalts verfüge und somit die besten Voraussetzungen besitze, um die Notwendigkeit einer Vorabentscheidung für den Erlass seines Urteils zu beurteilen – zu beantworten, doch könne er seine eigene Zuständigkeit prüfen, um sich zu vergewissern, dass er mit seiner Vorabentscheidung tatsächlich zur Rechtspflege in den Mitgliedstaaten beitrage und nicht nur ein Gutachten zu allgemeinen oder hypothetischen Fragen abgebe. Es obliege daher dem nationalen Gericht, den Sachverhalt des Verfahrens zu klären, so dass sich der Gerichtshof über alle Tatsachen- und Rechtsfragen unterrichten könne, auf die es bei der von ihm vorzunehmenden Auslegung des Unionsrechts möglicherweise ankomme(8). Im Urteil Meilicke(9) war der Gerichtshof gerade der Auffassung, dass er vor die Aufgabe gestellt sei, über eine hypothetische Frage zu entscheiden, ohne über die tatsächlichen und rechtlichen Angaben zu verfügen, deren er für eine sachgerechte Beantwortung der ihm gestellten Fragen bedürfe. Er gelangte daher zu dem Ergebnis, dass keine Veranlassung bestehe, über die vorgelegten Fragen zu entscheiden.
26. Bei der Berufung auf diese Rechtsprechung verkennt die Rechtsmittelgegnerin des Ausgangsverfahrens nicht die Fortgeltung des Grundsatzes, dass eine starke Vermutung für die Entscheidungserheblichkeit der vom vorlegenden Gericht gestellten Fragen spricht und der Gerichtshof es nur in außergewöhnlichen Fällen ablehnen kann, darauf zu antworten(10). Die dem Gerichtshof in der vorliegenden Rechtssache vorgelegten Akten, insbesondere die Vorlageentscheidung, weisen aber keine derartigen Lücken auf, dass der Gerichtshof die Grenzen seiner Aufgabe überschritte, wenn er beschließen sollte, die ihm vom vorlegenden Gericht gestellten Vorabentscheidungsfragen zu beantworten(11). Jedenfalls obliegt es jenem Gericht, soweit es dafür zuständig ist(12), die Tatsachen endgültig festzustellen. Die in der Vorlageentscheidung angegebenen Tatsachen sind auf jeden Fall vollkommen ausreichend, um es dem Gerichtshof zu ermöglichen, sich in voller Kenntnis der Sachlage zu äußern(13).
B. Zu den Vorlagefragen
1. Zur ersten Frage
27. Mit seiner ersten Frage möchte das vorlegende Gericht zum einen wissen, ob die Tätigkeit der Mitglieder der Gemeinschaft der Zeugen Jehovas nach Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 der Anwendung der Bestimmungen dieser Richtlinie entzogen sein kann. Hierzu macht die Rechtsmittelgegnerin des Ausgangsverfahrens geltend, dass die im Ausgangsverfahren in Rede stehende Tätigkeit, die mit der Freiheit der Religion und der privaten und friedlichen Religionsausübung zusammenhängt, unter diese Ausnahme falle. Zum anderen fragt sich das vorlegende Gericht, ob diese Tätigkeit gemäß Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 – der die Verarbeitung personenbezogener Daten, die „von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“(14) vorgenommen wird, vom Anwendungsbereich der Richtlinie ausschließt – der Anwendung der Bestimmungen dieser Richtlinie entzogen sein kann.
a) Die Verkündigungstätigkeit ist nicht nach Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 vom Anwendungsbereich dieser Richtlinie ausgeschlossen
28. Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 sieht vor, dass diese Richtlinie keine Anwendung auf die Verarbeitung personenbezogener Daten findet, „die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich“. Das Vorbringen der Rechtsmittelgegnerin des Ausgangsverfahrens geht im Wesentlichen dahin, dass die Verkündigungstätigkeit, in deren Rahmen die Erhebung und Verarbeitung der Daten der von den Mitgliedern der Gemeinschaft besuchten Personen erfolge, eine nicht in den Anwendungsbereich des Unionsrechts fallende Tätigkeit im Sinne dieser Bestimmung sei(15). Die italienische Regierung stützt sich ihrerseits auf die Existenz von Art. 17 AEUV, der den Mitgliedstaaten die ausschließliche Zuständigkeit für den Erlass von Rechtsvorschriften über religiöse Organisationen garantiere, um zu demselben Ergebnis wie die Rechtsmittelgegnerin des Ausgangsverfahrens zu gelangen.
29. Vorab ist darauf hinzuweisen, dass der Gerichtshof wiederholt entschieden hat, dass die Richtlinie 95/46 ihren Anwendungsbereich „sehr weit“ definiere und die Anwendung der Schutzvorschriften u. a. nicht davon abhängig gemacht werde, dass die Datenverarbeitung in einem tatsächlichen Zusammenhang mit dem freien Verkehr zwischen Mitgliedstaaten stehe(16). Des Weiteren hat der Gerichtshof darauf hingewiesen, dass die Richtlinie über die in ihrem Art. 3 genannten Fälle hinaus keine weitere Einschränkung ihres Anwendungsbereichs vorsehe(17). In Anbetracht des Zwecks der Richtlinie 95/46, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten, insbesondere der Privatsphäre, natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten(18), verlangt dieser Schutz, dass „sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen“(19). Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 ist, wie jede Ausnahmeregelung, eng auszulegen.
30. Der Gerichtshof hat ferner entschieden, dass „[d]ie in Artikel 3 Absatz 2 erster Gedankenstrich der Richtlinie 95/46 beispielhaft aufgeführten Tätigkeiten … jedenfalls spezifische Tätigkeiten der Staaten oder der staatlichen Stellen [sind] und … mit den Tätigkeitsbereichen von Einzelpersonen nichts zu tun [haben]“(20). Er hat sodann klargestellt, dass diese Tätigkeiten „dazu dienen sollen, den Anwendungsbereich der dort geregelten Ausnahme festzulegen, so dass diese nur für Tätigkeiten gilt, die entweder dort ausdrücklich genannt sind oder derselben Kategorie zugeordnet werden können (ejusdem generis)“(21).
31. Insbesondere hat der Gerichtshof – in einem Verfahren, das die Tätigkeit einer Katechetin in einer schwedischen Kirchengemeinde betraf, die darin bestand, eine Website mit Informationen für Konfirmanden einzurichten – entschieden, dass „[e]hrenamtliche oder religionsgemeinschaftliche Tätigkeiten, wie sie von [der Klägerin des jenem Verfahren zugrunde liegenden Rechtsstreits] ausgeübt werden, [nicht] den in Artikel 3 Absatz 2 erster Gedankenstrich der Richtlinie 95/46 genannten Tätigkeiten … gleichzustellen [sind] und … daher von dieser Ausnahme nicht erfasst [werden]“(22). Generalanwalt Tizzano hatte zwar in seinen Schlussanträgen zu dieser Rechtssache das Gegenteil vertreten, allerdings nicht wegen des religiösen Kontexts, in dem die Tätigkeit der Klägerin des Ausgangsverfahrens stand, sondern weil weder ein Gewinnstreben noch ein grenzüberschreitender Gesichtspunkt noch irgendein Arbeitsverhältnis vorlag und damit kein Zusammenhang zwischen der genannten Tätigkeit und der Ausübung der durch den Vertrag garantierten Grundfreiheiten bestand(23). Im Urteil Lindqvist(24) hat der Gerichtshof nicht nur festgestellt, dass es angesichts des Hauptzwecks der Richtlinie 95/46 nicht notwendig sei, vor der Anwendung dieser Richtlinie zu prüfen, ob die betreffende Tätigkeit den freien Verkehr zwischen Mitgliedstaaten unmittelbar beeinträchtigt(25), sondern er hat auch – zumindest implizit – entschieden, dass die Tätigkeit der Klägerin des Ausgangsverfahrens, die voll und ganz im Rahmen der Ausübung ihrer Religionsfreiheit stand, zum „Tätigkeitsbereich von Einzelpersonen“ gehöre und nicht unter die „spezifische[n] Tätigkeiten der Staaten oder der staatlichen Stellen“(26) falle, die allein Gegenstand der in Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 geregelten Ausnahme seien.
32. Stellt die Einfügung von Art. 17 AEUV durch den Vertrag von Lissabon einen neuen Gesichtspunkt dar, der dazu führen kann, dass die vom Gerichtshof im Urteil Lindqvist(27) vorgenommene Auslegung zu revidieren ist?
33. Das glaube ich nicht.
34. Insoweit ist der Hinweis angebracht, dass der Gerichtshof, als er dieses Urteil erließ, bereits notwendigerweise im Blick hatte, dass es im Ausgangsrechtsstreit um eine religiöse Tätigkeit ging. Auch war ihm die im Anhang des Vertrags von Amsterdam enthaltene Erklärung Nr. 11 zum Status der Kirchen und weltanschaulichen Gemeinschaften(28), in der sich die Union bereits verpflichtete, den Status, den Kirchen und religiöse Vereinigungen oder Gemeinschaften in den Mitgliedstaaten nach deren Rechtsvorschriften genießen, zu achten und nicht zu beeinträchtigen, nicht unbekannt. Es erscheint kaum vorstellbar, dass der Gesetzgeber mit Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 die im Zusammenhang mit der Religionsfreiheit ausgeübten Tätigkeiten von Einzelpersonen vom Anwendungsbereich dieser Richtlinie ausschließen wollte, während er einige Artikel weiter eine spezielle Regelung für die Datenverarbeitung durch eine religiöse Organisation vorsah(29). Man könnte indes einwenden, dass die Richtlinie 95/46 älter ist als die Erklärung Nr. 11 im Anhang des Vertrags von Amsterdam. Jedoch ist zu beachten, dass der Unionsgesetzgeber, auch nachdem Art. 17 AEUV – der im 165. Erwägungsgrund der Verordnung 2016/679 inhaltsgleich wiedergegeben wird – in den Vertrag eingefügt wurde, bei seinem Ansatz geblieben ist und keinen Widerspruch darin gesehen hat, dass einerseits der in den Mitgliedstaaten geregelte Status der Religionsgemeinschaften anerkannt wird und andererseits bestätigt wird, dass die Datenverarbeitung durch Religionsgemeinschaften einer besonderen Regelung unterliegt(30). Jedenfalls kann ich darin, dass religiöse Tätigkeiten – zumindest solche wie die, um die es im Ausgangsverfahren geht – nicht unter Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 fallen, schwerlich irgendeine Bedrohung für den „Status“ der Religionsgemeinschaften, wie er in den Mitgliedstaaten festgelegt ist, erkennen(31).
35. Folglich fällt die im Ausgangsverfahren in Rede stehende Tätigkeit nicht unter die Ausnahme gemäß Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46.
b) Die Verkündigungstätigkeit ist nicht nach Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 vom Anwendungsbereich dieser Richtlinie ausgeschlossen
36. Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 sieht wörtlich vor, dass diese Richtlinie keine Anwendung auf die Verarbeitung personenbezogener Daten findet, „die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird“(32).
37. Von vornherein zurückzuweisen ist die von der Rechtsmittelgegnerin des Ausgangsverfahrens in der mündlichen Verhandlung vertretene Auslegung, dass die persönliche oder familiäre Art der von dieser Bestimmung erfassten Tätigkeit aus der Sicht desjenigen, dessen Daten erhoben werden, zu beurteilen sei. Da die als Verkündiger tätigen Mitglieder der Gemeinschaft die „besuchten“ Personen zu Hause aufsuchten, sei die fragliche Tätigkeit notwendigerweise familiärer Art. Einen solchen Ansatz hat der Gerichtshof niemals gewählt, wenn er geprüft hat, ob eine Tätigkeit „persönlicher oder familiärer“ Art im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 ist, sondern der gewählte Standpunkt war immer derjenige der Person, die die personenbezogenen Daten erhebt oder, im weiteren Sinne, verarbeitet(33).
38. Sodann ist darauf hinzuweisen, dass die oben getroffene Feststellung, dass der in Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 geregelte Ausschluss vom Anwendungsbereich dieser Richtlinie eng auszulegen ist(34), gleichermaßen für die Auslegung des zweiten Gedankenstrichs dieser Bestimmung gilt.
39. Des Weiteren ergibt sich aus der Rechtsprechung des Gerichtshofs, dass der Anwendungsbereich von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 im Licht des zwölften Erwägungsgrundes dieser Richtlinie deutlicher wird, in dem als Beispiele für Datenverarbeitung, die von einer natürlichen Person in Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird, Schriftverkehr und die Führung von Anschriftenverzeichnissen genannt werden(35). Somit „ist [diese Ausnahme] dahin auszulegen, dass mit ihr nur Tätigkeiten gemeint sind, die zum Privat- oder Familienleben von Einzelpersonen gehören“(36), was der Fall ist, wenn die Verarbeitung „in der ausschließlich persönlichen oder familiären Sphäre desjenigen vorgenommen wird, der die Daten verarbeitet“(37). Dem Gerichtshof zufolge ist dies offensichtlich nicht der Fall bei der Verarbeitung personenbezogener Daten, „die in deren Veröffentlichung im Internet besteht, so dass diese Daten einer unbegrenzten Zahl von Personen zugänglich gemacht werden“(38), oder „durch die die erfassten Daten einer unbegrenzten Zahl von Personen zur Kenntnis gebracht werden sollen“(39). Demnach kann alles, was „auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten … verarbeitet“, nicht als eine ausschließlich persönliche oder familiäre Tätigkeit im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 angesehen werden(40).
40. Aus dem Sachverhalt, den das vorlegende Gericht dem Gerichtshof geschildert hat, ergibt sich, dass die Verkündigungstätigkeit, bei der die personenbezogenen Daten der besuchten Personen erhoben werden, zumindest über die familiäre Sphäre desjenigen, der die Daten verarbeitet, hinausgeht, da sich die Verkündigung wesensgemäß dadurch auszeichnet, dass der Verkündiger mit Personen in Kontakt tritt, die er in der Regel nicht kennt und die seinen Glauben nicht teilen. Anders als beispielsweise die Führung eines Anschriftenverzeichnisses impliziert die Verkündigungstätigkeit notwendigerweise eine „Konfrontation“ mit der Sphäre, die außerhalb seines Haushalts und seiner Familie liegt. Die Art der erhobenen Daten – darunter solche, die nach der Richtlinie 95/46 einem verstärkten Schutz unterliegen(41) – spricht ebenfalls für einen deutlichen Unterschied zu dem Beispiel, das im zwölften Erwägungsgrund der Richtlinie 95/46 genannt wird.
41. Weiter folgt aus dem Sachverhalt, dass die Rolle, die der Religionsgemeinschaft und ihren Versammlungen nach dem Wortlaut der ersten Vorlagefrage zugeschrieben wird, nämlich die Organisation der Verkündigungstätigkeit, zwingend zu der Schlussfolgerung führt, dass nicht nur die familiäre, sondern auch die private Sphäre der Personen, die der Verkündigungstätigkeit nachgehen, überschritten wird.
42. Angesichts der gemeinschaftlichen Dimension der Verkündigungstätigkeit(42) und des Umstands, dass diese Tätigkeit notwendigerweise voraussetzt, dass derjenige, der in diesem Zusammenhang die Daten verarbeitet, seine private und familiäre Sphäre verlässt, um Personen, die nicht zu seinem engen Bekanntenkreis gehören, in deren Wohnung aufzusuchen, kann die von den Mitgliedern einer Religionsgemeinschaft im Rahmen einer von Tür zu Tür durchgeführten Verkündigungstätigkeit erfolgende Erhebung und Verarbeitung personenbezogener Daten nicht nach Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 vom Anwendungsbereich dieser Richtlinie ausgeschlossen werden.
43. Eine solche Auslegung erfüllt voll und ganz die Erfordernisse, dass die Ausschlüsse vom Anwendungsbereich der Richtlinie 95/46 eng auszulegen sind und sich auf das absolut Notwendige beschränken müssen, und entspricht einwandfrei dem Ziel dieser Richtlinie, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten, insbesondere der Privatsphäre, natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten(43).
44. Es bleibt allerdings zu überprüfen, ob eine solche Auslegung nicht die anderen Grundrechte verletzt, mit denen der Schutz der Privatsphäre und der personenbezogenen Daten in Einklang zu bringen ist(44), und dass sie zu einer gleichmäßigen Gewichtung dieses Schutzes auf der einen Seite und der Religionsfreiheit – aus der sich die Verkündigungsfreiheit ableiten lässt – auf der anderen Seite führt. Zwar hat sich der Gerichtshof in seiner Rechtsprechung, nach der die Bestimmungen der Richtlinie 95/46 notwendigerweise im Licht der durch die Charta der Grundrechte der Europäischen Union(45) (im Folgenden: Charta) garantierten Grundrechte auszulegen sind, bislang nur auf die Art. 7 und 8 der Charta bezogen(46), doch erscheint die Beachtung der weiteren Bestimmungen der Charta ebenso zwingend.
45. In Art. 10 Abs. 1 der Charta heißt es: „Jede Person hat das Recht auf … Religionsfreiheit. Dieses Recht umfasst die Freiheit, die Religion oder Weltanschauung zu wechseln, und die Freiheit, seine Religion oder Weltanschauung einzeln oder gemeinsam mit anderen öffentlich oder privat durch Gottesdienst, Unterricht, Bräuche und Riten zu bekennen.“ In der Erläuterung zu Art. 10 der Charta(47) wird klargestellt, dass dieses Recht dem Recht entspricht, das durch Art. 9 der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) garantiert ist, und nach Art. 52 Abs. 3 der Charta die gleiche Bedeutung und die gleiche Tragweite wie dieses hat. Folglich kann die Religionsfreiheit nur unter den in Art. 9 Abs. 2 EMRK genannten Voraussetzungen beschränkt werden, was bedeutet, dass jede Einschränkung gesetzlich vorgesehen und in einer demokratischen Gesellschaft für die öffentliche Sicherheit, zum Schutz der öffentlichen Ordnung, Gesundheit oder Moral oder zum Schutz der Rechte und Freiheiten anderer notwendig sein muss.
46. Die erste Erkenntnis, die sich aus Art. 9 Abs. 2 EMRK gewinnen lässt, ist, dass – entgegen dem Ergebnis, zu dem die Rechtsmittelgegnerin des Ausgangsverfahrens in ihrer Argumentation gelangt – die Religionsfreiheit und die daraus hervorgehende Verkündigungsfreiheit, so grundlegend sie auch sein mögen, nicht eine Art „Meta-Grundrecht“ bilden, das hierarchisch über den anderen Grundrechten stünde und keinerlei Schranken unterläge. Die Verkündigungsfreiheit mit dem Schutz der Privatsphäre in Konkordanz zu bringen, ist somit nicht nur möglich, sondern auch notwendig, um den „Schutz der Rechte und Freiheiten anderer“ zu gewährleisten, wie es diese Bestimmung verlangt.
47. In Bezug auf die Religionsfreiheit hat der Europäische Gerichtshof für Menschenrechte (im Folgenden: EGMR) entschieden, dass diese „zwar in erster Linie die innere Überzeugung betrifft, aber auch die Freiheit umfasst, seine Religion einzeln und privat oder gemeinsam mit anderen öffentlich und im Kreise von Glaubensgenossen zu bekennen. Außerdem hat der [EGMR] bereits Gelegenheit gehabt, negative Rechte aus Art. 9 [EMRK] anzuerkennen, insbesondere die Freiheit, keiner Religion anzugehören, und die Freiheit, eine Religion nicht auszuüben“(48).
48. Die von Tür zu Tür durchgeführte Verkündigungstätigkeit scheint mir den negativen Aspekt der Religionsfreiheit, wie er vom EGMR definiert wurde, nicht im eigentlichen Sinne zu beeinträchtigen. Meines Erachtens kann die Verkündigungsfreiheit keinen negativen Aspekt aufweisen, da sie notwendigerweise den Versuch impliziert, jemanden zu überzeugen, der einen Glauben nicht teilt oder überhaupt keinen Glauben hat. Wenn ich mir diese Ausdrucksweise gestatten darf, setzt die Verkündigungsfreiheit zwangsläufig ein „Zielpublikum“ voraus, dem man nicht das negative Recht zuerkennen kann, nicht missioniert zu werden oder keinem Bekehrungsversuch ausgesetzt zu werden, da anderenfalls die in Rede stehende Freiheit und ihre potenzielle, ebenfalls durch Art. 9 EMRK und Art. 10 Abs. 1 der Charta geschützte Folge, nämlich die Freiheit, seine Religion zu wechseln, ihres Gehalts beraubt würde(49).
49. Die vom vorlegenden Gericht beschriebene Tätigkeit der Verkündigung von Tür zu Tür scheint mir auch nicht die Grenzen zu erreichen, die der EGMR gesetzt hat; dieser verbietet nur den missbräuchlichen(50) oder unangemessenen Bekehrungseifer(51).
50. Damit die in Nr. 42 der vorliegenden Schlussanträge vorgeschlagene Auslegung von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 durch die Berücksichtigung von Art. 9 EMRK und somit Art. 10 Abs. 1 der Charta eine Änderung erfährt, müsste festgestellt werden, dass die Bindung der im Ausgangsverfahren fraglichen Tätigkeit an die Beachtung der Bestimmungen dieser Richtlinie einen unzulässigen oder unverhältnismäßigen Eingriff in die Verkündigungsfreiheit darstellt. Ich tue mich jedoch schwer, im vorliegenden Fall einen derartigen Eingriff zu erkennen, da die Anfertigung von Notizen und deren Weitergabe innerhalb der Religionsgemeinschaft keineswegs untrennbar mit der Verkündigungstätigkeit verbunden ist. Sollte ein solcher Eingriff dennoch festgestellt werden, wäre noch zu prüfen, ob er gesetzlich vorgesehen und in einer demokratischen Gesellschaft notwendig ist, um das legitime Ziel des Schutzes der Rechte und Freiheiten anderer zu erreichen. Dieser unterstellte Eingriff, der darin bestünde, die Vorgaben der Richtlinie 95/46 beachten zu müssen, wäre in der Tat gesetzlich vorgesehen, gerade weil er in der Richtlinie 95/46 vorgesehen ist, und aus den zuvor genannten Gründen wäre er in einer demokratischen Gesellschaft auch zum Schutz der Rechte und Freiheiten anderer notwendig, insbesondere zum Schutz des Rechts auf Privatsphäre und des Rechts der besuchten Personen auf Schutz ihrer personenbezogenen Daten; diesen Rechten ist in gleichem Maße Rechnung zu tragen.
51. Folglich kann der durch Art. 10 Abs. 1 der Charta gewährte Schutz nicht das Ergebnis in Frage stellen, dass die Verkündigungstätigkeit von Tür zu Tür, der die Mitglieder der Gemeinschaft nachgehen, keine ausschließlich persönliche oder familiäre Tätigkeit im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 ist.
52. Aus diesen Erwägungen ist auf die erste Frage des vorlegenden Gerichts zu antworten, dass eine von Tür zu Tür durchgeführte Verkündigungstätigkeit wie die im Ausgangsverfahren in Rede stehende keine ausschließlich persönliche oder familiäre Tätigkeit im Sinne von Art. 3 Abs. 2 zweiter Gedankenstrich der Richtlinie 95/46 darstellt.
2. Zur zweiten Frage
53. Mit der zweiten Frage des vorlegenden Gerichts wird der Gerichtshof erneut ersucht, sich mit dem Anwendungsbereich der Richtlinie 95/46 zu befassen, diesmal im Hinblick auf Art. 3 Abs. 1 der Richtlinie, der bestimmt, dass „[d]iese Richtlinie … für die … Verarbeitung personenbezogener Daten [gilt] …, die in einer Datei gespeichert sind oder gespeichert werden sollen“. Da offenbar feststeht, dass die Verarbeitung der durch die Mitglieder der Gemeinschaft erhobenen Daten zumindest teilweise nicht automatisiert erfolgt, findet die Richtlinie 95/46 nur dann Anwendung, wenn eine „Datei“ vorliegt; dieser Begriff wird in Art. 2 Buchst. c der Richtlinie 95/46 definiert als „jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten aufgeteilt geführt wird“. Das vorlegende Gericht führt aus, dass nach dem Gesetz über personenbezogene Daten das Fehlen einer Kartothek, eines spezifischen Verzeichnisses oder eines vergleichbaren Recherchesystems daran hindere, die von den Mitgliedern der Gemeinschaft verarbeiteten Daten als „Datei“ einzustufen. Fraglich sei aber, wie es sich auf diese Einstufung auswirke, dass die Daten zum Zweck eines erneuten Besuchs leicht und ohne unangemessene Kosten – diese beiden Kriterien werden im Gesetz über personenbezogene Daten genannt – aufgefunden werden könnten.
54. Die Rechtsmittelgegnerin des Ausgangsverfahrens macht auch in Bezug auf die zweite Frage geltend, dass sie äußerst theoretisch sei, da nicht nachgewiesen sei, dass ihre Mitglieder im Rahmen ihrer von Tür zu Tür durchgeführten Verkündigungstätigkeit tatsächlich Notizen anfertigten, wie sich aus der Begründung des Vorabentscheidungsersuchens ergebe. Zu diesem wiederholt erhobenen Vorwurf verweise ich auf die Nrn. 25 ff. der vorliegenden Schlussanträge. Im Einklang mit den Feststellungen des vorlegenden Gerichts gehen die folgenden Ausführungen von der Prämisse aus, dass die Mitglieder der Gemeinschaft im Rahmen der Verkündigungstätigkeit veranlasst sein können, Notizen anzufertigen.
55. Damit ist auf die Richtlinie 95/46 und ihre Definition des Begriffs „Datei“ zurückzukommen. Art. 2 Buchst. c der Richtlinie 95/46, der ziemlich unklar formuliert ist(52), ist in Verbindung mit dem 27. Erwägungsgrund dieser Richtlinie zu lesen, in dem angegeben wird, dass zum einen der Geltungsbereich des Datenschutzes nicht von den verwendeten Techniken abhängen darf, da andernfalls ernsthafte Risiken der Umgehung entstünden, und zum anderen die Richtlinie bei manuellen Verarbeitungen lediglich Dateien erfasst, die nach bestimmten personenbezogenen Kriterien strukturiert sind, die einen leichten Zugriff auf die Daten ermöglichen. Die Kriterien zur Bestimmung der Elemente einer strukturierten Sammlung personenbezogener Daten sowie die verschiedenen Kriterien zur Regelung des Zugriffs zu einer solchen Sammlung können von den Mitgliedstaaten festgelegt werden.
56. Nach der Rechtsprechung des Gerichtshofs wird der Anwendungsbereich der Richtlinie 95/46 in deren Art. 3 Abs. 1 sehr weit definiert(53). Es gilt daher zu vermeiden, diese Bestimmung in einer Weise auszulegen, die das durch die Richtlinie 95/46 gewährleistete hohe Datenschutzniveau beeinträchtigen würde.
57. Meiner Auffassung nach können die Notizen, die von den Mitgliedern der Gemeinschaft unter Umständen angefertigt werden, trotz einer vordergründigen Dezentralisierung(54) eine „Datei“ im Sinne der Richtlinie 95/46 darstellen. Eines der wichtigsten Kriterien, die diese Sammlung strukturieren, ist das geografische Kriterium. In gewisser Weise wird das Mitglied selbst insofern zu einem die Datensammlung strukturierenden Kriterium, als die Gemeinschaft die Bezirke nach geografischen Gesichtspunkten aufteilt. Sie weiß somit, dass Daten über eine bestimmte Person, die in einem bestimmten Viertel wohnt, von einem bestimmten Mitglied erhoben worden sein könnten. Selbst wenn man annimmt, dass die Gemeinschaft ihren Mitgliedern nicht mitteilt, welche Art von Daten erhoben wurde, ergibt sich diese Art faktisch von selbst aus dem angestrebten Zweck, nämlich erneute Besuche vorzubereiten. Das vorlegende Gericht hat dem Gerichtshof mitgeteilt, dass es sich um Namen, Adressen und Zusammenfassungen von Gesprächen handle, die religiöse Überzeugungen und Familienverhältnisse beträfen. Eine solche Struktur ermöglicht, auch wenn sie nicht besonders ausgeklügelt ist, einen leichten Zugriff auf die erhobenen Daten. Sie schafft außerdem eine Chronik über die Verkündigungstätigkeit der Gemeinschaft, und man kann sich leicht vorstellen, dass ein Mitglied im Fall eines Umzugs die erhobenen Informationen an ein neues Mitglied weitergibt, das das betreffende Gebiet übernimmt. Das Kriterium der Zugänglichkeit der Daten dürfte daher erfüllt sein(55).
58. So gesehen scheint das finnische Recht eine komplexere Struktur zu verlangen, als es die Richtlinie 95/46 erfordert, indem es nur Kartotheken, Verzeichnisse und vergleichbare Recherchesysteme als „Dateien“ einstuft. Es ist also nicht auszuschließen, dass das Gesetz über personenbezogene Daten gegenüber der Richtlinie 95/46 eine zusätzliche Einschränkung enthält. Allerdings hat das vorlegende Gericht den Gerichtshof nicht mit einer dahin gehenden Frage befasst, und es wird seine Sache sein, aus der Antwort, die der Gerichtshof auf die zweite Frage geben wird, die notwendigen Schlüsse zu ziehen, auch im Hinblick auf das nationale Recht.
59. Folglich ist festzustellen, dass Art. 3 Abs. 1 in Verbindung mit Art. 2 Buchst. c der Richtlinie 95/46 dahin auszulegen ist, dass eine Sammlung personenbezogener Daten, die von den Mitgliedern einer Religionsgemeinschaft im Rahmen einer Tätigkeit wie der im Ausgangsverfahren in Rede stehenden auf Basis einer bestimmten geografischen Aufteilung in nicht automatisierter Weise erhoben werden und dem Zweck dienen, erneute Besuche von Personen vorzubereiten, mit denen ein spiritueller Dialog aufgenommen wurde, eine Datei darstellen kann.
3. Zu den zusammen geprüften Fragen 3 und 4
60. Mit seinen Fragen 3 und 4, die zusammen zu prüfen sind, möchte das vorlegende Gericht wissen, ob Art. 2 Buchst. d der Richtlinie 95/46 dahin auszulegen ist, dass eine Religionsgemeinschaft, die eine Verkündigungstätigkeit organisiert, bei der personenbezogene Daten, die nur den Verkündigern zugänglich sind, erhoben werden, als „für die Verarbeitung Verantwortlicher“ im Sinne dieser Richtlinie angesehen werden kann. Hinsichtlich dieser Einstufung fragt das vorlegende Gericht außerdem, ob es spezifische Maßnahmen der Gemeinschaft, wie etwa schriftliche Anweisungen an ihre Mitglieder, geben muss oder ob es ausreichen kann, dass die Gemeinschaft tatsächlich in der Lage ist, die Tätigkeit ihrer Mitglieder zu steuern.
61. Bevor ich mit der Prüfung beginne, erlaube ich mir eine Vorbemerkung. Die Rechtsmittelgegnerin des Ausgangsverfahrens hat sowohl in ihren schriftlichen Erklärungen als auch in ihrem mündlichen Vortrag vor dem Gerichtshof in Abrede gestellt, bezüglich der von ihren Mitgliedern erhobenen Daten „für die Verarbeitung verantwortlich“ im Sinne der Richtlinie 95/46 zu sein, und sie hat eine gewisse Verärgerung darüber zum Ausdruck gebracht, dass behauptet werde, ihre Mitglieder handelten nach ihren Anweisungen und nicht aufgrund eines göttlichen Gebots. Ich wiederhole jedoch, dass die Feststellung der Anwendbarkeit der Richtlinie 95/46 auf den vorliegenden Fall, ebenso wie eine mögliche Einstufung der Gemeinschaft als „für die Verarbeitung Verantwortlicher“ im Sinne dieser Richtlinie, keine Tragweite haben kann, die über das hinausgeht, was sie ist, nämlich eine rechtliche Einstufung. Nach der Rechtsprechung des Gerichtshofs hat der für die Verarbeitung Verantwortliche im Sinne der Richtlinie 95/46 „in seinem Verantwortungsbereich im Rahmen seiner Befugnisse und Möglichkeiten dafür zu sorgen, dass die [Datenverarbeitung] den Anforderungen der Richtlinie 95/46 entspricht, damit die darin vorgesehenen Garantien ihre volle Wirksamkeit entfalten können und ein wirksamer und umfassender Schutz der betroffenen Personen, insbesondere ihres Rechts auf Achtung ihres Privatlebens, tatsächlich verwirklicht werden kann“(56). Es geht somit nur um eine rechtliche Einstufung und nicht darum, die Rolle der Gemeinschaft oder die grundlegende Motivation für die Verkündigungstätigkeit in irgendeiner Weise in Frage zu stellen.
62. Dies vorausgeschickt, komme ich nun zur Prüfung der Fragen.
63. Nach Art. 2 Buchst. d der Richtlinie 95/46 bezeichnet der Ausdruck „für die Verarbeitung Verantwortlicher“ „die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Gemäß der Rechtsprechung des Gerichtshofs ist dieser Begriff weit auszulegen, um einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten(57), wobei zu berücksichtigen ist, dass der für die Verarbeitung Verantwortliche im Rahmen des mit der Richtlinie 95/46 geschaffenen Systems eine grundlegende Rolle spielt(58).
64. Die „Artikel-29-Datenschutzgruppe“(59) ist der Auffassung, dass die Bestimmung des für die Verarbeitung Verantwortlichen im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 auf „einer faktischen anstelle einer formalen Analyse“ beruhe(60) und „die E[nt]scheidung über das ‚Warum‘ und das ‚Wie‘ bestimmter Verarbeitungstätigkeiten“ betreffe(61).
65. Es ist also zu untersuchen, ob die Gemeinschaft über die Zwecke und Mittel der Verarbeitung der von ihren Mitgliedern erhobenen Daten entscheidet. In dieser Hinsicht ist an den Wortlaut der dritten Vorlagefrage zu erinnern, wonach die Gemeinschaft die Tätigkeit, bei der ihre Mitglieder personenbezogene Daten erheben, in dem Sinne „organisiert“, dass sie die Aktionsradien der Verkündiger aufteilt, die Verkündigungstätigkeit verfolgt(62) und Register über Personen führt, die nicht besucht werden möchten. All diese Gesichtspunkte sprechen für eine zentrale Organisation der Verkündigungstätigkeit durch die Gemeinschaft. Vor diesem Hintergrund lässt sich schwerlich die Behauptung aufrechterhalten, dass diese Tätigkeit und die damit gegebenenfalls verbundene Erhebung personenbezogener Daten nur individuell erfolgten und mit der Gemeinschaft überhaupt nichts zu tun hätten(63).
66. Meiner Ansicht nach besteht – unter Berücksichtigung der Notwendigkeit, den Begriff „für die Verarbeitung Verantwortlicher“ im Sinne der Richtlinie 95/46 weit auszulegen und ein hohes Schutzniveau zu gewährleisten – ein hinreichendes Bündel von Indizien, um davon auszugehen, dass die Gemeinschaft über die Zwecke der Verarbeitung der von ihren Mitgliedern erhobenen personenbezogenen Daten entscheidet. Diese Zwecke bestehen im ständigen Streben nach Gewinnung neuer Mitglieder mittels größerer Effizienz der Verkündigungstätigkeit, wozu eine optimale Vorbereitung der Besuche gehört.
67. Was die Entscheidung der Gemeinschaft über die Mittel angeht, dürfte diese für denjenigen Zeitraum kaum bestreitbar sein, in dem die Gemeinschaft ihren Mitgliedern Formulare zur Verfügung stellte und in Artikeln in ihrem Mitteilungsblatt sehr konkrete Anleitungen zur Anfertigung von Notizen veröffentlichte. Die Formulare mögen zwar inzwischen nicht mehr verwendet werden, doch sei darauf hingewiesen, dass die Publikationen nach wie vor online verfügbar sind und auch nach Erlass der im Ausgangsrechtsstreit angefochtenen Entscheidung noch Anleitungen zur Anfertigung von Notizen veröffentlicht wurden(64).
68. In der Vorlagefrage wird jedenfalls davon ausgegangen, dass gegenwärtig keine schriftlichen Anweisungen existieren. Hinsichtlich der Bestimmung des „für die Verarbeitung Verantwortlichen“ im Sinne der Richtlinie 95/46 neige ich zu der Auffassung der finnischen, der tschechischen und der italienischen Regierung, dass ein übertriebener Formalismus dazu führen könnte, dass die Bestimmungen der Richtlinie 95/46 leicht umgangen werden könnten, und daher von einer eher faktischen als formalen Betrachtung auszugehen ist, um zu beurteilen, ob die Gemeinschaft bei der Entscheidung über die Zwecke und Mittel der Verarbeitung eine tatsächliche Rolle spielt.
69. Eine solche Auslegung wird auch durch den Wortlaut von Art. 2 Buchst. d der Richtlinie 95/46 gestützt, der keinen Hinweis auf das Erfordernis schriftlicher Anweisungen enthält. Im gleichen Sinne scheint die Vorschrift von der Artikel-29-Datenschutzgruppe verstanden zu werden, nach deren Ansicht ein tatsächlicher Einfluss genügen kann, um den für die Verarbeitung der Daten Verantwortlichen zu bestimmen(65).
70. Natürlich ist nicht der Gerichtshof, sondern das vorlegende Gericht dafür zuständig, einen tatsächlichen Einfluss festzustellen; dieses sollte dabei aber beachten, dass der Begriff „für die Verarbeitung Verantwortlicher“ im Sinne der Richtlinie 95/46 weit auszulegen ist. Auch wenn ich soeben zu dem Ergebnis gelangt bin, dass keine schriftlichen Anweisungen vorauszusetzen sind, um diesen Begriff keinem zu strengen Formalismus zu unterwerfen, sollte die Beurteilung eines tatsächlichen Einflusses doch nach Maßstäben erfolgen, die angemessen überprüfbar sind. Insofern bin ich ehrlich gesagt nicht von der Auffassung der Kommission überzeugt, dass das vorlegende Gericht zu prüfen habe, ob die Aufforderung der Gemeinschaft von deren Mitgliedern als „moralisch hinreichend verbindlich“ wahrgenommen wird.
71. Was die Frage angeht, ob der für die Verarbeitung Verantwortliche notwendigerweise Zugriff auf die Daten haben muss, weise ich auch hier darauf hin, dass ein solches Erfordernis nicht Teil der Definition ist, die sich in der Richtlinie 95/46 findet. So sieht es auch die Artikel-29-Datenschutzgruppe, der zufolge die Unfähigkeit, alle Verpflichtungen eines für die Verarbeitung Verantwortlichen – z. B. das Recht auf Auskunft – direkt zu erfüllen, die Einstufung als für die Verarbeitung Verantwortlicher nicht ausschließt(66). Die Richtlinie 95/46 sieht sogar gerade für eine solche Konstellation ausdrücklich vor, dass die Verantwortlichkeit gemeinsam ausgeübt werden kann(67). In dieser Hinsicht teile ich voll und ganz die Auffassung des Generalanwalts Bot, dass eine „Auslegung, die dem Bestehen einer umfassenden Kontrolle über alle Gesichtspunkte der Verarbeitung Vorrang einräumt, zu schwerwiegenden Lücken im Bereich des Schutzes personenbezogener Daten führen [kann]“(68).
72. Ich schließe meine Analyse mit dem Hinweis, dass die etwaige Feststellung im Ausgangsrechtsstreit, dass die Gemeinschaft verantwortlich ist, keineswegs ausschließen würde, dass die Mitglieder der Gemeinschaft mitverantwortlich sind, wobei „[d]ie Prüfung der gemeinsamen Kontrolle … in gleicher Weise erfolgen [sollte] wie die Prüfung der ‚alleinigen‘ Kontrolle: Dabei sollte ein materieller und funktioneller Ansatz verfolgt werden, wobei der Schwerpunkt auf der Frage liegen sollte, ob mehr als eine Partei über die Zwecke und die wesentlichen Elemente der Mittel entscheiden. Die Beteiligung der Parteien an der Bestimmung der Zwecke und Mittel der Verarbeitung kann im Rahmen einer gemeinsamen Kontrolle jedoch verschiedene Formen aufweisen und muss nicht gleichmäßig verteilt sein.“(69) Der Sachverhalt, den das vorlegende Gericht dem Gerichtshof geschildert hat, legt insoweit nahe, dass die Mitglieder der Gemeinschaft die Möglichkeit haben, konkret auf die Mittel der Verarbeitung Einfluss zu nehmen (indem sie die zu besuchenden Personen auswählen, über die Zweckmäßigkeit der Anfertigung von Notizen entscheiden, den Datenträger für diese Notizen wählen, den Umfang der erhobenen Daten bestimmen usw.).
73. Aus diesen Gründen schlage ich dem Gerichtshof die Antwort vor, dass Art. 2 Buchst. d der Richtlinie 95/46 dahin auszulegen ist, dass eine Religionsgemeinschaft, die eine Verkündigungstätigkeit organisiert, bei der personenbezogene Daten erhoben werden, als für die Verarbeitung Verantwortliche angesehen werden kann, auch wenn sie auf die von ihren Mitgliedern erhobenen personenbezogenen Daten selbst keinen Zugriff hat. Hinsichtlich der Bestimmung des „für die Verarbeitung Verantwortlichen“ im Sinne der Richtlinie 95/46 ist nicht vorauszusetzen, dass schriftliche Anweisungen existieren, sondern es ist – gegebenenfalls anhand eines Indizienbündels – festzustellen, ob der Verantwortliche in der Lage ist, einen tatsächlichen Einfluss auf die Erhebung und Verarbeitung der personenbezogenen Daten auszuüben; dies zu prüfen ist Sache des vorlegenden Gerichts.
IV. Ergebnis
74. Nach alledem schlage ich dem Gerichtshof vor, die Vorlagefragen des Korkein hallinto-oikeus (Oberstes Verwaltungsgericht, Finnland) wie folgt zu beantworten:
1. Eine von Tür zu Tür durchgeführte Verkündigungstätigkeit wie die im Ausgangsverfahren in Rede stehende fällt nicht unter die Ausnahme gemäß Art. 3 Abs. 2 erster und zweiter Gedankenstrich der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.
2. Art. 3 Abs. 1 in Verbindung mit Art. 2 Buchst. c der Richtlinie 95/46 ist dahin auszulegen, dass eine Sammlung personenbezogener Daten, die von den Mitgliedern einer Religionsgemeinschaft im Rahmen einer Tätigkeit wie der im Ausgangsverfahren in Rede stehenden auf Basis einer bestimmten geografischen Aufteilung in nicht automatisierter Weise erhoben werden und dem Zweck dienen, erneute Besuche von Personen vorzubereiten, mit denen ein spiritueller Dialog aufgenommen wurde, eine Datei darstellen kann.
3. Art. 2 Buchst. d der Richtlinie 95/46 ist dahin auszulegen, dass eine Religionsgemeinschaft, die eine Verkündigungstätigkeit organisiert, bei der personenbezogene Daten erhoben werden, als für die Verarbeitung Verantwortliche angesehen werden kann, auch wenn sie auf die von ihren Mitgliedern erhobenen personenbezogenen Daten selbst keinen Zugriff hat. Hinsichtlich der Bestimmung des „für die Verarbeitung Verantwortlichen“ im Sinne der Richtlinie 95/46 ist nicht vorauszusetzen, dass schriftliche Anweisungen existieren, sondern es ist – gegebenenfalls anhand eines Indizienbündels – festzustellen, ob der Verantwortliche in der Lage ist, einen tatsächlichen Einfluss auf die Erhebung und Verarbeitung der personenbezogenen Daten auszuüben; dies zu prüfen ist Sache des vorlegenden Gerichts.