Die Datenschutzrichtlinie regelt die Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.
Die Kläger des Ausgangsverfahrens, Frau Smaranda Bara und mehrere andere rumänische Staatsangehörige, sind selbständig tätig. Die rumänische Steuerverwaltung übermittelte die von ihnen erklärten Einkünfte der Nationalen Kasse der Krankenversicherungen, die daraufhin die Zahlung rückständiger Krankenversicherungsbeiträge verlangte.
von Carl Christian Müller
Die Kläger rügen bei der Curtea de Apel Cluj (Berufungsgericht Cluj, Rumänien), dass diese Übermittlung gegen die Richtlinie verstoße. Ihre Daten seien zu anderen Zwecken als denen, zu denen sie ursprünglich der Steuerverwaltung mitgeteilt worden seien, und ohne ihre vorherige Unterrichtung verwendet worden.
Das rumänische Recht gestattet es öffentlichen Einrichtungen, den Krankenkassen personenbezogene Daten zu übermitteln, damit diese die Versicherteneigenschaft der betroffenen Personen feststellen können. Diese Daten betreffen die Personalien (Vor- und Zuname sowie Anschrift), schließen aber keine Informationen über die erzielten Einkünfte ein.
In diesem Kontext möchte die Curtea de Apel Cluj vom Gerichtshof wissen, ob es gegen das Unionsrecht verstößt, wenn eine Verwaltungsbehörde eines Mitgliedstaats personenbezogene Daten zu ihrer anschließenden Verarbeitung an eine andere Verwaltungsbehörde übermittelt, ohne dass die betroffenen Personen von der Übermittlung und der Verarbeitung unterrichtet wurden. In seinem heutigen Urteil stellt der Gerichtshof fest, dass das Erfordernis, personenbezogene Daten nach Treu und Glauben zu verarbeiten, eine Verwaltungsbehörde verpflichtet, die betroffenen Personen davon zu unterrichten, dass ihre Daten einer anderen Verwaltungsbehörde übermittelt werden, um von dieser in ihrer Eigenschaft als deren Empfänger verarbeitet zu werden. Die Richtlinie verlangt ausdrücklich, dass eventuelle Beschränkungen der Informationspflicht durch Rechtsvorschriften vorgenommen werden.
Das rumänische Gesetz, das vorsieht, dass den Krankenkassen die personenbezogenen Daten kostenfrei übermittelt werden, stellt keine vorherige Unterrichtung dar, die es ermöglichen würde, den für die Verarbeitung Verantwortlichen von seiner Pflicht zu entbinden, die Personen zu unterrichten, bei denen er die Daten erhebt. Dieses Gesetz legt nämlich weder die übermittlungsfähigen Informationen noch die Übermittlungsmodalitäten fest; diese sind lediglich in einem bilateralen Protokoll enthalten, das zwischen der Steuerverwaltung und der Krankenkasse geschlossen wurde.
Hinsichtlich der anschließenden Verarbeitung der übermittelten Daten sieht die Richtlinie vor, dass der für die Verarbeitung Verantwortliche den betroffenen Personen seine eigene Identität, die Zweckbestimmungen der Verarbeitung sowie weitere Informationen mitteilt, die notwendig sind,
um eine Verarbeitung der Daten nach Treu und Glauben zu gewährleisten. Zu diesen weiteren Informationen gehören die Datenkategorien, die verarbeitet werden, sowie das Bestehen von Auskunfts- und Berichtigungsrechten. Der Gerichtshof weist darauf hin, dass die Verarbeitung der von der Steuerverwaltung
übermittelten Daten durch die Krankenkasse voraussetzte, dass die betroffenen Personen über die Zweckbestimmungen der Verarbeitung sowie über die verarbeiteten Datenkategorien unterrichtet werden. Im vorliegenden Fall ist keine solche Unterrichtung durch die Krankenkasse erfolgt. Der Gerichtshof gelangt daher zu dem Ergebnis, dass das Unionsrecht einer ohne vorherige Unterrichtung der betroffenen Personen erfolgenden Übermittlung personenbezogener Daten zwischen zwei Verwaltungsbehörden eines Mitgliedstaats zwecks Verarbeitung entgegensteht.
Urteil vom 01.10.2015 in der Rechtssache C-230/14
Smaranda Bara u. a./Presedintele Casei Nationale de Asigurari de Sanatate u. a.
Quelle: Pressemitteilung des Gerichtshofes der Europäischen Union vom 01.10.2015
Rechtsanwalt Carl Christian Müller, LL.M. Fachanwalt für Urheber- und Medienrecht