Vorabentscheidungsverfahren EuGH: mündliche Übermittlungen im Anwendungsbereich der DSGVO?

Dortmund, 27.03.2023: Das Berufungsgericht für Ost-Finnland hat dem EuGH im Rahmen eines Vorabentscheidungsverfahrens u. a. die Frage vorgelegt, ob eine mündliche Übermittlung personenbezogener Daten eine Verarbeitung gem. Art. 2 Abs. 1, 4 Nr. 2 DSGVO darstellt (AZ C-740/22).

Grund für die Vorlage an den EuGH ist das Begehren einer Prozesspartei im Ausgangsverfahren. Sie begehrt mündlich Auskunft über möglicherweise anhängige oder abgeschlossene Strafverfahren gegen eine natürliche Person aus dem Personenregister eines Gerichts, das Informationen über Strafurteile oder Delikte natürlicher Personen enthält. Problematisch ist im vorliegenden Fall, ob der Verarbeitungsvorgang in Form der mündlichen Übermittlung den Anwendungsbereich der DSGVO eröffnet. Der sachliche Anwendungsbereich der DSGVO ist gem. Art. 2 Abs. 1 eröffnet, wenn es sich um eine ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten handelt sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Der Begriff der Verarbeitung wird in Art. 4 Abs. 2 DSGVO definiert. Diese Definition legt auch die Offenlegung durch Übermittlung personenbezogener Daten als Verarbeitung fest. In der Definition ist allerdings nicht enthalten, ob die Übermittlung mündlich oder schriftlich geschehen muss. Daher ist fraglich, ob eine mündliche Übermittlung als nicht-automatisierte Verarbeitung mit Speicherung in einem Dateiensystem zu werten ist.

Der Bundes- und auch der kirchliche Gesetzgeber haben sich im Bereich des Beschäftigtendatenschutzes für eine deutlichere Einordnung mündlicher Übermittlungen entschieden (§ 26 BDSG und § 53 KDG). Der Anwendungsbereich des § 53 KDG ist auch eröffnet, wenn personenbezogene Daten verarbeitet werden, ohne dass sie automatisiert verarbeitet oder in oder aus einer nicht automatisierten Datei verarbeitet oder für die Verarbeitung in einer solchen Datei erhoben werden. Damit fällt auch die Verarbeitung von personenbezogenen Daten während eines Gespräches oder Telefonats in den Anwendungsbereich der Norm.

Welche Auswirkungen die Entscheidung des EuGH auf die Praxis haben wird, unabhängig davon wie er entscheidet, bleibt abzuwarten. Die zukünftige Entscheidung des EuGH kann jedenfalls über Art. 91 DSGVO auch zur Auslegung des sachlichen Anwendungsbereichs des KDG (§§ 2 Abs. 1, 4 Nr. 2 KDG) herangezogen werden, da Art 2 Abs. 1 DSGVO und § 2 Abs. 1 KDG wortlautgleich sind. Auch katholische Einrichtungen sollten die Entwicklungen in diesem Vorlageverfahren daher im Auge behalten.