Das Datenschutzrecht kennt „normale“ personenbezogene Daten (zB Geburtsdaten) und besondere Kategorien personenbezogener Daten gemäß Art 9 DSGVO („sensible Daten“, zB Herkunft, Religion, sexuelle Orientierung). Die Abgrenzung zu besonderen Kategorien ist für die datenschutzrechtliche Praxis von großer Bedeutung, da für besondere Kategorien von Daten wesentlich strengere Anforderungen gelten und zB das Erfordernis einer Datenschutzfolgeabschätzung bei ihnen wesentlich wahrscheinlicher ist. In einem aktuellen Urteil (EuGH 1.8.2022, C-184/20, Vyriausioji tarnybinės etikos komisija) zeigt der EuGH ein sehr weites Verständnis besonderer Kategorien personenbezogener Daten.
Der Sachverhalt
Zur Vermeidung von Interessenkonflikten und Korruptionsbekämpfung sind nach einem litauischen Gesetz unter anderem Leiter von Einrichtungen, die öffentliche Fördermittel erhalten, verpflichtet, eine „Erklärung über private Interessen“ abzugeben. Diese Erklärung umfasst beispielsweise die namentliche Nennung von Ehegatten, Lebensgefährten oder Partnern. Die in der Erklärung enthaltenen Daten werden frei zugänglichen im Internet veröffentlicht.
Der Leiter einer solchen Einrichtung verweigerte die Abgabe der Erklärung und monierte, dass die Veröffentlichung der Informationen auf der Webseite sein Recht auf Achtung des Privatlebens verletze und die Bekanntgabe des vollen Namens des Lebenspartners einen Rückschluss auf seine sexuelle Orientierung zulasse.
Die Entscheidung des EuGH
Der EuGH entschied, dass für die Klärung der Frage, ob Daten besonderer Kategorien verarbeitet werden, nicht auf die Intention des Verantwortlichen abzustellen ist. Der konkrete Verwendungszusammenhang bzw die Auswertungsabsicht von personenbezogenen Daten besonderer Kategorien sind somit nicht entscheidend. Ob Daten unter besondere Kategorien nach Art 9 DSGVO fallen, ist rein objektiv auf Grundlage des Informationsgehalts der Daten zu beurteilen. Maßgeblich ist nach dem EuGH, ob „mittels gedanklicher Kombination oder Ableitung auf die sexuelle Orientierung einer natürlichen Person geschlossen werden kann“.
Tipps für die Praxis
Auch wenn die Entscheidung noch sehr neu ist und die Urteilsbegründung recht knapp ausfällt, ist aufgrund des weiten Verständnisses des EuGH vom Begriff personenbezogener Daten besonderer Kategorien Handlungsbedarf geboten. Insbesondere ist im Hinblick auf laufende Verarbeitungstätigkeiten zu prüfen, ob die verarbeiteten Daten einen mittelbaren Rückschluss auf sensible Informationen im Sinne des
Art 9 DSGVO zulassen. Unter Umständen müssen Datenschutzinformationen aktualisiert und Einwilligungen neu eingeholt werden.