Gilt die DSGVO auch für mündliche Auskünfte?

➧ Die Frage nach Geltung der DSGVO ist nur scheinbar exotisch

Der konkrete Fall spielt in Finnland. Ein Unternehmen beantragte bei einem Gericht mündliche Auskunft über Strafen, die möglicherweise gegen eine bestimmte Person verhängt worden waren.

Das wirkt zunächst sehr speziell. Doch vergleichbare Situationen sind recht häufig. Das zeigt sich an Beispielen, die dem Europäische Gerichtshof (EuGH) nicht vorlagen:

• Erstes Zusatzbeispiel: Jemand beantragt bei einem Einwohnermeldeamt eine mündliche Auskunft über die Anschrift einer Person.
• Zweites Zusatzbeispiel: Ein Unternehmen ruft beim jetzigen Arbeitgeber eines Bewerbers an und erkundigt sich über ihn.

Unabhängig von allen sonstigen Einzelheiten stellt sich beim Fall des EuGH und bei den beiden Zusatzbeispielen immer dieselbe Frage: Müssen die Beteiligten die Datenschutz-Grundverordnung (DSGVO) beachten oder nicht?

➧ Die Antwort hat erhebliche Auswirkungen

Falls die DSGVO anwendbar ist, kommt bekanntlich eine ganze Palette von Regelungen zur Anwendung. Das reicht von den Informationspflichten für den, der die Daten erhebt (siehe Art. 13 und 14 DSGVO) bis hin zum Recht der betroffenen Person auf Auskunft (siehe Art. 15 DSGVO). Sollte die DSGVO außen vor bleiben, kann man all das getrost ignorieren. Grund genug, sich das Thema genau anzusehen.

➧ Der Personenbezug ist vorliegend offensichtlich

Die DSGVO gilt ausdrücklich nur, wenn personenbezogene Daten verarbeitet werden (siehe Art. 2 Abs. 1 DSGVO). Dass es in dem Fall aus Finnland und in den beiden anderen Beispielen, die oben genannt wurden, um personenbezogene Daten geht, liegt auf der Hand. Denn die Daten sind jeweils unmittelbar mit einer bestimmten Person verknüpft.

➧ Der Begriff der Verarbeitung ist abstrakt definiert

Deutlich weniger klar ist die Frage, wie weit der Begriff der Verarbeitung reicht. Die DSGVO enthält dazu eine gesetzliche Definition von insgesamt beachtlicher Länge (siehe Art. 4 Nummer 2 DSGVO).

Genauer gesagt: Die eigentliche Definition ist eher kurz, an sie schließt sich noch eine ganze Liste konkreter Beispiele an. Die eigentliche Definition lautet: „Verarbeitung bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten.“

➧ Konkrete Beispiele erläutern den Begriff „Verarbeitung“

Als ein Beispiel für eine Verarbeitung nennt Art. 4 Nr. 2 DSGVO in der Liste der konkreten Beispiele „die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung“. Daraus kann man entnehmen, dass der Begriff wirklich jeden Weitertransport von personenbezogenen Daten erfassen will. Dies spricht dafür, dass auch mündlich erteilte Auskünfte als Verarbeitung anzusehen sind.

➧ Ob automatisiert oder nicht automatisiert, ist egal

Bleibt noch die Frage, ob es eine Rolle spielt, wie genau die mündliche Auskunft abläuft. Bei einer mündlichen Auskunft, die ein Mensch erteilt, kommt kein automatisiertes Verfahren zum Einsatz. Würde ein Chatbot die Auskunft erteilen, wäre dies anders. Dann wäre ein automatisiertes Verfahren im Einsatz.

Dieser Unterschied ist jedoch ohne Bedeutung. Denn der Begriff der Verarbeitung gilt ausdrücklich unabhängig davon, ob das Ganze „mit oder ohne Hilfe automatisierter Verfahren“ abläuft.

➧ Eine mündliche Auskunft ist eine Verarbeitung von Daten

Das Ergebnis der umfangreichen Überlegungen lässt sich recht kurz zusammenfassen. Eine mündliche Auskunft ist eine Verarbeitung von Daten im Sinn der DSGVO. Denn eine solche Auskunft bewirkt, dass Daten offengelegt werden. Und ob dies durch einen Menschen oder durch eine Maschine geschieht, ist für den Begriff der Verarbeitung ohne Belang.

➧ Die DSGVO gilt nur für bestimmte Formen der Verarbeitung

Damit sind die Überlegungen jedoch noch nicht zu Ende. Denn die DSGVO erfasst nicht jede Form der Verarbeitung von personenbezogenen Daten. In mathematischer Sprache könnte man formulieren: Dass eine Verarbeitung von Daten vorliegt, ist eine notwendige, jedoch keine hinreichende Bedingung dafür, dass die DSGVO anwendbar ist.

Hinzukommen muss noch eines der beiden folgenden Elemente (siehe Art. 2 Abs. 1 DSGVO):

• Entweder muss die Verarbeitung ganz oder teilweise automatisiert erfolgen. Dann ist sie immer von der DSGVO erfasst.
• Oder die Verarbeitung erfolgt nicht automatisiert. Dann gilt die DSGVO nur, wenn die Daten, um die es geht, „in einem Dateisystem gespeichert sind oder gespeichert werden sollen.“

➧ Bei nicht automatisierter Verarbeitung wichtig: Verwendung eines „Dateisystems“

Die mündliche Auskunft durch einen Menschen stellt eine nicht automatisierte Verarbeitung von Daten dar. Damit kommt die DSGVO nur zur Anwendung, wenn die Daten, die Gegenstand der Auskunft sind, entweder in einem „Dateisystem gespeichert sind“ oder „in einem Dateisystem gespeichert werden sollen“. Dies bedeutet für die Praxis:

• Werden die Daten, die Gegenstand der mündlichen Auskunft sind, vor der Erteilung der Auskunft aus einem Dateisystem entnommen, kommt die DSGVO zur Anwendung.
• Ebenso kommt die DSGVO zur Anwendung, wenn das zwar nicht der Fall ist, die Daten aber nach der mündlichen Auskunft in einem solchen Dateisystem gespeichert werden sollen.

➧ Der Begriff „Dateisystem“ wirkt beeindruckender als er ist

Auch beim Begriff des „Dateisystems“ hilft die DSGVO mit einer Definition weiter (siehe Art. 4 Nr. 6 DSGVO). Demnach ist ein Dateisystem „jede strukturierte Sammlung personenbezogener Daten“. Das kann eine Datenbank sein. Es reicht aber genauso ein Register mit Karteikarten oder die altbekannte Papierakte. Denn all diese Instrumente strukturieren personenbezogene Daten nach bestimmten Kriterien.

➧ Beim Ausgangsfall des EuGH ist das Ergebnis eindeutig

Im konkreten Fall, den der EuGH zu entscheiden hatte, wollte der Antragsteller von einem Gericht eine mündliche Auskunft über verhängte Strafen. Um diese Auskunft erteilen zu können, hätte das Gericht zuvor in seinem Register der Verurteilungen nachschauen müssen. Damit hätte es die Daten aus einem Dateisystem entnommen. Die Folge: Die DSGVO kommt zur Anwendung.

➧ Dasselbe gilt für das erste Zusatzbeispiel

Zum selben Ergebnis kommt man beim ersten Zusatzbeispiel, das oben genannt wurde. In diesem Beispiel wollte jemand von einem Einwohnermeldeamt Auskunft über die Anschrift einer bestimmten Person. Dieser Anschrift kann das Einwohnermeldeamt nur ermitteln, indem es die Person im Melderegister sucht. Damit entnimmt es die Daten aus einem Dateisystem. Die Folge: die DSGVO kommt zur Anwendung.

➧ Komplizierter wird es beim zweiten Zusatzbeispiel

Im zweiten Zusatzbeispiel, das oben genannt wurde, wird es differenzierter. In diesem Beispiel erkundigte sich ein Arbeitgeber über einen Bewerber telefonisch beim jetzigen Arbeitgeber des Bewerbers. Für die Anwendbarkeit der DSGVO kommt es zunächst einmal darauf an, woher die Informationen stammen, die der jetzige Arbeitgeber übermittelt:

• Entnimmt er sie aus einer Personaldatenbank oder einer Personalakte, kommt die DSGVO in jedem Fall zur Anwendung. Denn Personaldatenbank und Personalakte sind beides „Dateisysteme“.
• Entnimmt er die Informationen dagegen aus seinem Gedächtnis, bleibt zunächst einmal noch offen, ob die DSGVO anwendbar ist. Denn das eigene Gedächtnis gilt nicht als „Dateisystem“.

Im letztgenannten Fall kommt es für die Anwendbarkeit der DSGVO darauf an, wie der mögliche neue Arbeitgeber mit den Daten umgeht, die er vom jetzigen Arbeitgeber erhält:

• Nimmt er sie lediglich zur Kenntnis und behält sie für sich im Kopf, werden die Daten nicht in einem Dateisystem abgelegt. Die Folge: Die DSGVO kommt nicht zur Anwendung.
• Hält er die Daten dagegen in strukturierter Form fest, ob mittels EDV oder auf Papier, speichert er sie in einem Dateisystem. Die Folge: Die DSGVO kommt zur Anwendung.

➧ Das Ganze ist mehr als ein juristisches Glasperlenspiel

Wer bis hierher durchgehalten hat, gewinnt vielleicht den Eindruck, dass er es mit einem juristischen Glasperlenspiel zu tun hat. Doch die genauen Unterscheidungen haben ihren guten Grund.

Dieser Grund ist in Erwägungsgrund 4 zur DSGVO so formuliert: „Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht. Es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden.“

Genau dieser Abwägung geschieht durch Differenzierungen der beschriebenen Art. Wem sie zu kompliziert sind, der müsste damit leben, dass die DSGVO dann eben buchstäblich „alles“ erfasst. Dies dürfte wiederum kaum jemand wünschen.

➧ Das Urteil des EuGH ist leicht zu finden

Das erwähnte Urteil des EuGH stammt vom 7. März 2024 und trägt das Aktenzeichen C-740/22. Bei Eingabe des Aktenzeichens im Internet ist das Urteil problemlos zu finden.

Wer wenig Zeit hat oder ein eher geringes Interesse an den Besonderheiten von Auskünften aus finnischen Strafregistern, kann sich auf die Lektüre der Rn 25 bis 39 des Urteils beschränken. Dort findet er die Aussagen des EuGH, die unabhängig vom konkreten Fall allgemein gelten.

➧ Zusatzinformation für Interessierte: Das Ergebnis der Fälle

In diesem Newsletter ging es darum, wann die DSGVO anwendbar ist und wann nicht. Manche werden trotzdem wissen wollen, wie der konkrete Fall schließlich beim EuGH ausgegangen ist und wie die beiden Zusatzbeispiele zu entscheiden wären.

In Stichworten sieht das Ergebnis jeweils so aus:

• Fall aus Finnland, den der EuGH zu entscheiden hatte: In Finnland konnte bisher jeder, der dies wollte, beim zuständigen Strafgericht eine mündliche Auskunft über strafrechtliche Verurteilungen erhalten. Dies ist nach Auffassung des EuGH unzulässig. Eine so weitgehende Regelung lässt nämlich die berechtigten Interessen der Personen, um deren Strafen es geht, völlig außer Betracht.
• Zusatzbeispiel 1: Für Auskünfte aus dem Einwohnermelderegister gibt es in Deutschland spezielle Regelungen im Bundesmeldegesetz (BMG). Solche nationalen Regelungen sind nach der DSGVO zulässig. Es handelt sich um „spezifischere Bestimmungen“ gemäß Art. 6 Abs. 2 DSGVO. Wer so viele Angaben zu einer Person machen kann, dass sie sich identifizieren lässt, erhält beim Einwohnermeldeamt Auskunft über die aktuelle Anschrift dieser Person (§ 44 Abs. 1 BMG).
• Zusatzbeispiel 2: Dass ein potenzieller Arbeitgeber hinter dem Rücken eines Bewerbers Informationen bei dessen jetzigem Arbeitgeber einholt, ist unzulässig. Ausnahmen sind nur in Extremfällen denkbar, etwa, wenn es um berufsbezogene Straftaten geht.