Conclusiones del Abogado General Sr. P. Pikamäe, presentadas el 31 de marzo de 2022.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2022:248
• Celex Number: 62021CC0077
• Date: 31 March 2022
• Court: Court of Justice (European Union)

Vorläufige Fassung

Schlussanträge DES GeneralanwaltS

PRIIT PIKAMÄE

vom 31. März 2022(1)

Rechtssache C‑77/21

Digi Távközlési és Szolgáltató Kft.

gegen

Nemzeti Adatvédelmi és Információszabadság Hatóság

(Vorabentscheidungsersuchen des Fővárosi Törvényszék [Hauptstädtischer Gerichtshof, Ungarn])

„Vorabentscheidungsersuchen Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten Verordnung (EU) 2016/679 Art. 5 Abs. 1 Buchst. b und e Grundsatz der Zweckbindung Grundsatz der Speicherbegrenzung Rechtmäßig erhobene und gespeicherte personenbezogene Daten von Kunden Einrichtung einer weiteren spezifischen internen Datenbank nach einer technischen Störung Nachträgliche Überprüfung der Zwecke der Verarbeitung Doppelte Zweckbindung Fehlende Identität der Zwecke der Verarbeitung mit den Zwecken der Datenerhebung Vereinbarkeit der Verarbeitung mit den Zwecken der Erhebung Art. 6 Abs. 4 Keine Löschung der Datenbank nach Behebung der technischen Störung Erreichung der Zwecke der Verarbeitung“

1. Unter welchen Bedingungen darf ein Internet- und TV-Anbieter die rechtmäßig erhobenen und bereits gespeicherten personenbezogenen Daten seiner Kunden auf einem zusätzlichen internen Datenträger ohne deren ausdrückliche Einwilligung, aber zur Überbrückung einer technischen Störung speichern?

2. Dies ist eine der in der vorliegenden Rechtssache aufgeworfenen Fragen, die dem Gerichtshof Gelegenheit gibt, seine immer umfangreichere Rechtsprechung zur Verordnung (EU) 2016/679(2) zu ergänzen, insbesondere in Bezug auf die in deren Art. 5 Abs. 1 Buchst. b und e verankerten Grundsätze der Zweckbindung und der Speicherbegrenzung.

I. Rechtlicher Rahmen

3. Für die vorliegende Rechtssache relevant sind die Art. 4 bis 6, 13 und 32 der DSGVO.

II. Ausgangsverfahren und Vorlagefragen

4. Die Digi Távközlési és Szolgáltató Kft. (im Folgenden: Digi) ist einer der führenden Anbieter von Internet- und Fernsehdiensten in Ungarn.

5. Im April 2018 richtete Digi im Anschluss an eine technische Serverstörung unter der Bezeichnung „test“ eine Datenbank ein, in die sie personenbezogene Daten von ungefähr einem Drittel ihrer Privatkunden kopierte.

6. Am 23. September 2019 erfuhr Digi, dass ein „ethischer Hacker“ auf die personenbezogenen Daten von rund 322 000 Personen zugegriffen hatte. Der Hacker selbst setzte das Unternehmen schriftlich mit einer E‑Mail vom 21. September 2019 davon in Kenntnis und rief zum Beweis einen Eintrag in der Testdatenbank auf. Digi behob den Fehler, schloss mit dem Hacker eine Vertraulichkeitsvereinbarung und gewährte ihm eine Belohnung.

7. Nachdem Digi die Testdatenbank gelöscht hatte, notifizierte sie am 25. September 2019 die Verletzung des Schutzes personenbezogener Daten der Nemzeti Adatvédelmi és Információszabadság Hatóság (Nationale Behörde für Datenschutz und Informationsfreiheit, im Folgenden: Behörde), die daraufhin ein Untersuchungsverfahren einleitete.

8. Mit Entscheidung vom 18. Mai 2020 stellte die Behörde namentlich fest, dass Digi gegen Art. 5 Abs. 1 Buchst. b und e der DSGVO verstoßen habe, da sie die Testdatenbank nach der Durchführung der notwendigen Tests und Fehlerbeseitigungen nicht gelöscht und dadurch in dieser Testdatenbank eine große Menge personenbezogener Daten fast 18 Monate ohne irgendeinen Zweck und in einer Weise gespeichert habe, die die Identifizierung der betroffenen Personen ermöglicht habe. Die unterbliebene Löschung dieser Datenbank habe die Verletzung personenbezogener Daten ermöglicht. Ferner war die Behörde der Auffassung, Digi habe gegen Art. 32 Abs. 1 und 2 der DSGVO verstoßen. Aufgrund dessen verhängte sie gegen Digi eine Geldbuße in Höhe von 100 000 000 ungarischen Forint (HUF) (etwa 270 000 Euro).

9. Digi focht diese Entscheidung vor dem vorlegenden Gericht als rechtswidrig an.

10. Letzteres führt aus, die Erhebung der von Digi in die Testdatenbank kopierten personenbezogenen Daten sei für den Zweck des Abschlusses von Abonnementverträgen erfolgt, und ihre Rechtmäßigkeit sei von der Behörde nicht in Frage gestellt worden. Es möchte jedoch wissen, ob sich der Zweck der Erhebung und der Verarbeitung der Daten beim Kopieren von für einen bestimmten Zweck erhobenen Daten in eine andere Datenbank ändert. Außerdem müsse es klären, ob die Einrichtung einer Testdatenbank und die weitere Verarbeitung von Kundendaten auf diese Weise mit dem Zweck der Erhebung dieser Daten vereinbar sei. In dieser Hinsicht sei dem Grundsatz der Zweckbindung nicht klar zu entnehmen, in welchen internen Systemen der für die Verarbeitung Verantwortliche rechtmäßig erhobene Daten verarbeiten dürfe und ob er solche Daten in eine Testdatenbank kopieren könne, ohne dass sich der Zweck der Datenerhebung ändere.

11. Für den Fall, dass die Einrichtung der Testdatenbank mit dem Zweck der Erhebung unvereinbar ist, fragt sich das vorlegende Gericht ferner, ob, da der Zweck der Verarbeitung von Kundendaten in einer anderen Datenbank nicht die Fehlerkorrektur, sondern der Abschluss von Verträgen sei, die erforderliche Speicherdauer an der für die Fehlerkorrektur erforderlichen Zeit oder vielmehr an der für die Erfüllung der vertraglichen Verpflichtungen erforderlichen Zeit ausgerichtet werden müsse.

12. Unter diesen Umständen hat der Fővárosi Törvényszék (Hauptstädtischer Gerichtshof, Ungarn) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1. Ist der Begriff „Zweckbindung“ in Art. 5 Abs. 1 Buchst. b der DSGVO dahin auszulegen, dass es mit diesem Begriff auch vereinbar ist, wenn der für die Verarbeitung Verantwortliche personenbezogene Daten, die im Übrigen zu einem begrenzten legitimen Zweck erhoben und in einer mit diesem Zweck vereinbaren Weise gespeichert wurden, parallel in einer anderen Datenbank speichert, oder vielmehr dahin, dass die Speicherung der Daten in einer parallelen Datenbank nicht mehr mit dem legitimen Zweck vereinbar ist, für den die betreffenden Daten erhoben wurden?

2. Sollte die erste Frage dahin beantwortet werden, dass die parallele Speicherung von Daten für sich genommen mit dem Grundsatz der „Zweckbindung“ unvereinbar ist, ist es dann mit dem in Art. 5 Abs. 1 Buchst. e der DSGVO niedergelegten Grundsatz der „Speicherbegrenzung“ vereinbar, wenn der Verantwortliche personenbezogene Daten, die im Übrigen zu einem begrenzten legitimen Zweck erhoben und gespeichert wurden, parallel in einer anderen Datenbank speichert?

III. Verfahren vor dem Gerichtshof

13. Die Klägerin und die Beklagte des Ausgangsverfahrens, die ungarische, die tschechische und die portugiesische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen eingereicht. In der Sitzung vom 17. Januar 2022 haben die Klägerin und die Beklagte des Ausgangsverfahrens sowie die ungarische Regierung und die Kommission auch mündliche Ausführungen gemacht.

IV. Würdigung

A. Zur Zulässigkeit

14. Sowohl die Behörde als auch die ungarische Regierung äußern Zweifel an der Zulässigkeit des Vorabentscheidungsersuchens, da die gestellten Fragen nicht den Sachverhalt des Ausgangsverfahrens widerspiegelten und für dessen Entscheidung nicht unmittelbar erheblich seien.

15. Nach ständiger Rechtsprechung des Gerichtshofs ist es allein Sache des nationalen Gerichts, das mit dem Rechtsstreit befasst ist und in dessen Verantwortungsbereich die zu erlassende Entscheidung fällt, anhand der Besonderheiten der Rechtssache sowohl die Erforderlichkeit einer Vorabentscheidung für den Erlass seines Urteils als auch die Erheblichkeit der Fragen zu beurteilen, die es dem Gerichtshof vorlegt. Daher ist der Gerichtshof grundsätzlich gehalten, über ihm vorgelegte Fragen zu befinden, wenn sie die Auslegung oder die Gültigkeit einer Vorschrift des Unionsrechts betreffen. Folglich gilt für Fragen nationaler Gerichte eine Vermutung der Entscheidungserheblichkeit. Der Gerichtshof kann die Beantwortung einer Vorlagefrage eines nationalen Gerichts nur ablehnen, wenn die Auslegung, um die er ersucht wird, ersichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder wenn der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind. Im vorliegenden Fall enthält das Vorabentscheidungsersuchen genügend tatsächliche und rechtliche Angaben, um die Tragweite der Vorlagefragen zu verstehen. Zudem und vor allem enthalten die dem Gerichtshof vorliegenden Akten keinen Anhaltspunkt dafür, dass die begehrte Auslegung des Unionsrechts in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht oder hypothetischer Natur wäre(3).

16. Insoweit ist darauf hinzuweisen, dass das vorlegende Gericht mit einer Klage auf Nichtigerklärung einer Entscheidung befasst ist, mit der Digi in ihrer Eigenschaft als für die Verarbeitung Verantwortliche wegen eines angeblichen Verstoßes gegen die in Art. 5 Abs. 1 Buchst. b und e der DSGVO genannten Grundsätze der Zweckbindung und der Speicherbegrenzung belangt wird, auf die sich das Auslegungsersuchen dieses Gerichts bezieht. Das Vorabentscheidungsersuchen ist daher als zulässig anzusehen.

B. Zum rechtlichen Prüfungsrahmen

17. Es ist festzustellen, dass sich das Vorabentscheidungsersuchen ausschließlich auf die Auslegung von Art. 5 der DSGVO im Rahmen eines Ausgangsrechtsstreits bezieht, in dem es um die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten durch Digi geht, einem der größten Anbieter von Internet- und Fernsehdiensten in Ungarn, der somit ein Betreiber ist, der Zugang zu öffentlich zugänglichen Online-Kommunikationsdiensten anbietet.

18. Allerdings ist zu beachten, dass die Richtlinie 2002/58/EG(4) ihrem Art. 1 Abs. 1 zufolge die Harmonisierung der Vorschriften der Mitgliedstaaten vorsieht, die erforderlich sind, um u. a. einen gleichwertigen Schutz der Grundrechte und Grundfreiheiten...