Hintergrund
Im Zentrum des Rechtsstreits steht der Gesamtverband „Autoteile-Handel“ e. V., der gegen einen LKW-Hersteller klagte (Urteil C‑319/22). Der LKW-Hersteller gewährt unabhängigen Wirtschaftsakteuren Zugang zu allgemeinen Fahrzeuginformationen, jedoch nicht zur Fahrzeugidentifikationsnummer (FIN). Diese ist nur von Werkstätten direkt einsehbar. Der Gesamtverband argumentierte, dass der Hersteller gemäß einem speziellen Kfz-Genehmigungsgesetz zur Herausgabe der FIN verpflichtet sei.
Das Landgericht Köln legte die Frage dem EuGH vor, der nicht nur die rechtliche Situation klären, sondern auch die datenschutzrechtlichen Implikationen beleuchten sollte. Ein zentraler Punkt des Urteils war die Frage, ob die FIN, die der Hersteller einem Fahrzeug zu dem Zwecke zuweist, dass es identifiziert werden kann, ein personenbezogenes Datum darstellt.
Personenbezug nach der DS-GVO
Die rechtliche Definition personenbezogener Daten gemäß Art. 4 Nr. 1 DS-GVO präzisiert sich als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. In diesem Kontext gilt eine Person als identifizierbar, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung, identifiziert werden kann.
Die Identifizierung einer Person beschränkt sich dabei nicht ausschließlich auf das alleinige Datum, sondern berücksichtigt grundsätzlich auch zusätzliches Wissen. Dieser Aspekt wirft die Frage auf, welches Zusatzwissen maßgeblich ist – allein das Wissen der Datenverantwortlichen oder sämtliche Informationen, die irgendeiner dritten Person bekannt sind.
Entscheidung des EuGH
Der EuGH stellte in Rn. 46 ff. fest, dass die FIN, ein alphanumerischer Code, für sich genommen grundsätzlich keinen direkten Rückschluss auf eine natürliche Person zulässt. In der Zulassungsbescheinigung ist die FIN jedoch zusammen mit der Anschrift und dem Namen des aktuellen sowie gegebenenfalls aller ehemaligen Kfz-Halter enthalten. Damit gilt, sofern unabhängige Wirtschaftsakteure vernünftigerweise über Mittel verfügen können, die es ermöglichen, die FIN einer identifizierten oder identifizierbaren natürlichen Person zuzuordnen, ist diese als personenbezogenes Datum zu bewerten. Die entscheidende Frage ist nun, welcher Akteur unter welchen Bedingungen Zugang zu der FIN und den weiteren Daten aus der Zulassungsbescheinigung hat.
Der EuGH überließ es dem Landgericht, die Klärung der Frage zu übernehmen, ob die unabhängigen Wirtschaftsakteure vernünftigerweise über Mittel verfügen könnten, die eine Zuordnung der FIN erlauben.
Das Kriterium “vernünftigerweise” ist bereits im Zusammenhang mit dem Personenbezug von IP-Adressen bekannt. Das Verständnis, dass eine IP-Adresse ein personenbezogenes Datum darstellt, wurde durch das Breyer-Urteil geprägt.
Ein Blick in die Vergangenheit - Das Breyer-Urteil und der Personenbezug von IP-Adressen
Im Breyer-Urteil aus dem Jahr 2016 entschied der EuGH über den Personenbezug von IP-Adressen und orientierte sich dabei am sogenannten „relativen Ansatz“.
Dieser Ansatz legt den Fokus auf die Perspektive des Datenverantwortlichen in Bezug auf die Identifizierbarkeit. Der EuGH erkannte an, dass auch das Zusatzwissen Dritter ausreicht, um eine Person als identifizierbar zu betrachten, vorausgesetzt, es ist vernünftigerweise wahrscheinlich, dass der Datenverantwortliche darauf zugreifen kann, beispielsweise wenn mithilfe der Staatsanwaltschaft und einem richterlichen Beschluss der Anschlussinhaber einer IP-Adresse beim entsprechenden Internetprovider ermittelt werden konnte.
In der Praxis hat sich ein sehr weites Verständnis etabliert. Selbst wenn Behörden und Unternehmen nicht tatsächlich in der Lage waren, die IP-Adresse einer bestimmten Person zuzuordnen, wurde und wird ein Personenbezug bejaht. Dies hat sich auch in der Rechtsprechung durchgesetzt, sodass jede Erhebung der IP-Adressen vor Gerichten und von Aufsichtsbehörden grundsätzlich, als Verarbeitung personenbezogener Daten betrachtet wird.
Ausdehnung auf Fahrzeughersteller
Der EuGH geht im aktuellen Fall davon aus, dass sich der Personenbezug – sollte er bei dem Gesamtverband zu bejahen sein – sich „mittelbar“ auch auf die Fahrzeughersteller ausdehnt.
In Rn. 49 hebt der EuGH hervor, dass die FIN für diese Wirtschaftsakteure und mittelbar für die Fahrzeughersteller, die die FIN bereitstellen, als personenbezogenes Datum gilt. Diese Einordnung erfolgt trotz der Tatsache, dass die FIN an sich für die Fahrzeughersteller kein persönliches Datum darstellt, insbesondere dann nicht, wenn das Fahrzeug, dem sie zugewiesen wurde, nicht einer natürlichen Person gehört.
Auffällig ist, dass der EuGH diese Erwähnung ohne jegliche Begründung einfügt und die Annahme trifft, dass trotz des zuvor festgelegten Grundsatzes auch für Fahrzeughersteller ein Personenbezug vorliegen soll, selbst wenn die FIN für sich genommen für die Fahrzeughersteller kein persönliches Datum darstellt. Dies ist besonders bemerkenswert, da diese Ansicht nur schwerlich in das Konzept des relativen Personenbezugs passt, welches der EuGH nur kurz zuvor wiederholt hatte.
Fazit
Zusammenfassend lässt sich festhalten, dass die klare Positionierung des EuGH, zugunsten eines relativ weiten Begriffsverständnisses bezüglich des Personenbezugs, von Wirtschaftsakteuren vorerst positiv aufgenommen wird. Die Zuwendung zu einer absoluten Theorie führt jedoch dazu, dass eine steigende Anzahl von Daten als personenbezogen betrachtet wird, was die Anwendbarkeit umfassender Pflichten gemäß der DS-GVO zur Folge hat.
Die „mittelbare“ Einbeziehung der Fahrzeughersteller erfordert eine gewisse Vorsicht, da dies zu einer erheblichen Ausdehnung des Personenbezugs führen kann, ohne dass die genaue Reichweite dieser Ausdehnung klar definiert ist. In der Praxis wird es für diejenigen, die zunächst nicht datenschutzverantwortlich sind, herausfordernd sein, sicher abzuschätzen, ob übermittelte Daten beim Empfänger aufgrund von Zusatzwissen als personenbezogen betrachtet werden müssen.
Die offene Frage, ob bei einer solchen Einschätzung ausschließlich der direkte Empfänger oder auch weitere Dritte, an die der Empfänger die Daten weiterleitet, berücksichtigt werden sollen, bleibt bestehen.
Es bleibt abzuwarten, welche Bedeutung der EuGH diesem scheinbar kleinen Aspekt in dem ansonsten begrüßenswerten Urteil beimessen wird.
Bis auf Weiteres bleibt jedoch eine erhebliche Unklarheit bei der Festlegung des Personenbezugs eines Datums bestehen, was Herausforderungen für die praktische Umsetzung und die Auswirkungen auf die Datenschutzpraxis mit sich bringt.