Entscheidungsstichwort (Thema)
Vorlage zur Vorabentscheidung. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Normative Branchenorganisation, die ihren Mitgliedern Regeln für die Verarbeitung der Einwilligung von Nutzern anbietet. Begriff ‚personenbezogene Daten‘. Folge von Buchstaben und Zeichen, die in strukturierter und maschinenlesbarer Form die Präferenzen eines Internetnutzers in Bezug auf seine Einwilligung in die Verarbeitung seiner persönlichen Daten erfasst. Begriff ‚Verantwortlicher‘. Begriff ‚gemeinsam Verantwortliche‘. Organisation, die selbst keinen Zugang zu den von ihren Mitgliedern verarbeiteten personenbezogenen Daten hat. Verantwortlichkeit der Organisation, die sich auf die Weiterverarbeitung von Daten durch Dritte erstreckt
Normenkette
EUVO 679/2016; EUVO 679/2016 Art. 4 Nrn. 1, 7, Art. 26 Abs. 1
Beteiligte
Gegevensbeschermingsautoriteit |
Tenor
1.Art. 4 Nr. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen, dass
eine aus einer Kombination von Buchstaben und Zeichen bestehende Zeichenfolge wie der TC-String (Transparency and Consent String), die die Präferenzen eines Internetnutzers oder Nutzers einer Anwendung in Bezug auf dessen Einwilligung in die Verarbeitung der ihn betreffenden personenbezogenen Daten durch Anbieter von Websites oder Anwendungen sowie durch Datenbroker und Werbeplattformen enthält, ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt, soweit sie, wenn sie mit vertretbarem Aufwand einer Kennung wie insbesondere der IP-Adresse des Geräts dieses Nutzers zugeordnet werden kann, es erlaubt, die betreffende Person zu identifizieren. Unter diesen Umständen schließt der Umstand, dass eine Branchenorganisation, die im Besitz dieser Zeichenfolge ist, ohne einen Beitrag von außen weder Zugang zu den Daten hat, die von ihren Mitgliedern im Rahmen der von ihr aufgestellten Regeln verarbeitet werden, noch diese Zeichenfolge mit anderen Elementen kombinieren kann, nicht aus, dass diese Zeichenfolge ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt.
2.Art. 4 Nr. 7 und Art. 26 Abs. 1 der Verordnung 2016/679
sind dahin auszulegen, dass
- –
- zum einen eine Branchenorganisation, soweit sie ihren Mitgliedern einen von ihr aufgestellten Regelungsrahmen in Bezug auf die Einwilligung im Bereich der Verarbeitung personenbezogener Daten anbietet, der nicht nur verbindliche technische Vorschriften enthält, sondern auch Vorschriften, die detailliert festlegen, wie personenbezogene Daten, die diese Einwilligung betreffen, gespeichert und verbreitet werden müssen, als „gemeinsam Verantwortlicher“ im Sinne dieser Bestimmungen einzustufen ist, wenn sie unter Berücksichtigung der besonderen Umstände des vorliegenden Falles aus Eigeninteresse auf die betreffende Verarbeitung personenbezogener Daten Einfluss nimmt und damit gemeinsam mit ihren Mitgliedern die Zwecke der und die Mittel zur betreffenden Verarbeitung festlegt. Der Umstand, dass eine solche Branchenorganisation selbst keinen unmittelbaren Zugang zu den von ihren Mitgliedern innerhalb dieses Regelungsrahmens verarbeiteten personenbezogenen Daten hat, schließt nicht aus, dass sie ein gemeinsam Verantwortlicher im Sinne dieser Bestimmungen sein kann;
- –
- zum anderen sich die gemeinsame Verantwortlichkeit dieser Branchenorganisation nicht automatisch auf die Weiterverarbeitung personenbezogener Daten durch Dritte, wie beispielsweise Anbieter von Websites oder Anwendungen, erstreckt, was die Nutzerpräferenzen für gezielte Online-Werbung betrifft.
Tatbestand
In der Rechtssache C-604/22
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Hof van beroep te Brussel (Appellationshof Brüssel, Belgien) mit Entscheidung vom 7. September 2022, beim Gerichtshof eingegangen am 19. September 2022, in dem Verfahren
IAB Europe
gegen
Gegevensbeschermingsautoriteit,
Beteiligte:
Jef Ausloos,
Pierre Dewitte,
Johnny Ryan,
Fundacja Panoptykon,
Stichting Bits of Freedom,
Ligue des droits humains VZW,
erlässt
DER GERICHTSHOF (Vierte Kammer)
unter Mitwirkung des Kammerpräsidenten C. Lycourgos, der Richterin O. Spineanu-Matei, der Richter J.-C. Bonichot und S. Rodin sowie der Richterin L. S. Rossi (Berichterstatterin),
Generalanwältin: T. Ćapeta,
Kanzler: A. Lamote, Verwaltungsrätin,
aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 21. September 2023,
unter Berücksichtigung der Erklärungen
- – von IAB Europe, vertreten durch P. Craddock, Avocat, und K. Van Quathem, Advocaat,
- – der Gegevensbeschermingsautoriteit, vertreten durch E. Cloots, J. Roets und T. Roes, Advocaten,
- – von Jef Ausloos, Pierre Dewitte, Johnny Ryan, der Fundacja Panoptykon, der Stichting Bits of Freedom und der Ligue des Droits Humains VZW, vertreten ...