Entscheidungsstichwort (Thema)
Vorlage zur Vorabentscheidung. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Aufgaben der Aufsichtsbehörde. Abhilfemaßnahmen. Geldbuße. Ermessen der Aufsichtsbehörde. Grenzen
Normenkette
EUVO 679/2016 Art. 57 Abs. 1 Buchst. a, f., Art. 58 Abs. 2
Beteiligte
Land Hessen (Obligation d’agir de l’autorité de protection des données) |
Tenor
Art. 57 Abs. 1 Buchst. a und f, Art. 58 Abs. 2 sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
sind dahin auszulegen, dass
die Aufsichtsbehörde im Fall der Feststellung einer Verletzung des Schutzes personenbezogener Daten nicht verpflichtet ist, nach diesem Art. 58 Abs. 2 eine Abhilfemaßnahme zu ergreifen, insbesondere eine Geldbuße zu verhängen, wenn ein solches Einschreiten nicht geeignet, erforderlich oder verhältnismäßig ist, um der festgestellten Unzulänglichkeit abzuhelfen und die umfassende Einhaltung dieser Verordnung zu gewährleisten.
Tatbestand
In der Rechtssache C-768/21
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Verwaltungsgericht Wiesbaden (Deutschland) mit Entscheidung vom 10. Dezember 2021, beim Gerichtshof eingegangen am 14. Dezember 2021, in dem Verfahren
TR
gegen
Land Hessen
erlässt
DER GERICHTSHOF (Erste Kammer)
unter Mitwirkung des Kammerpräsidenten A. Arabadjiev, der Richter T. von Danwitz, P. G. Xuereb und A. Kumin (Berichterstatter) sowie der Richterin I. Ziemele,
Generalanwalt: P. Pikamäe,
Kanzler: A. Calot Escobar,
aufgrund des schriftlichen Verfahrens,
unter Berücksichtigung der Erklärungen
- – von TR, vertreten durch Rechtsanwalt F. Wittmaack,
- – des Landes Hessen, vertreten durch Rechtsanwälte M. Kottmann und G. Ziegenhorn,
- – der österreichischen Regierung, vertreten durch J. Schmoll und M.-T. Rappersberger als Bevollmächtigte,
- – der portugiesischen Regierung, vertreten durch P. Barros da Costa, M. J. Ramos und C. Vieira Guerra als Bevollmächtigte,
- – der rumänischen Regierung, vertreten durch L.-E. Baţagoi und E. Gane als Bevollmächtigte,
- – der norwegischen Regierung, vertreten durch S.-E. Jahr Dahl, L.-M. Moen Jünge und M. Munthe-Kaas als Bevollmächtigte,
- – der Europäischen Kommission, vertreten durch A. Bouchagiar, M. Heller und H. Kranenborg als Bevollmächtigte,
nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 11. April 2024
folgendes
Urteil
Entscheidungsgründe
Rz. 1
Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 57 Abs. 1 Buchst. a und f, Art. 58 Abs. 2 sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).
Rz. 2
Es ergeht im Rahmen eines Rechtsstreits zwischen TR und dem Land Hessen (Deutschland) wegen der Weigerung des Hessischen Beauftragten für Datenschutz und Informationsfreiheit (im Folgenden: HBDI), gegenüber der Sparkasse X (im Folgenden: Sparkasse) Abhilfemaßnahmen zu ergreifen.
Rechtlicher Rahmen
Rz. 3
In den Erwägungsgründen 6, 7, 10, 129 und 148 der DSGVO heißt es:
„(6) Rasche technologische Entwicklungen und die Globalisierung haben den Datenschutz vor neue Herausforderungen gestellt. Das Ausmaß der Erhebung und des Austauschs personenbezogener Daten hat eindrucksvoll zugenommen. …
(7) Diese Entwicklungen erfordern einen soliden, kohärenteren und klar durchsetzbaren Rechtsrahmen im Bereich des Datenschutzes in der [Europäischen] Union, da es von großer Wichtigkeit ist, eine Vertrauensbasis zu schaffen, die die digitale Wirtschaft dringend benötigt, um im Binnenmarkt weiter wachsen zu können. …
…
(10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. …
…
(129) … Die Befugnisse der Aufsichtsbehörden sollten in Übereinstimmung mit den geeigneten Verfahrensgarantien nach dem Unionsrecht und dem Recht der Mitgliedstaaten unparteiisch, gerecht und innerhalb einer angemessenen Frist ausgeübt werden. Insbesondere sollte jede Maßnahme im Hinblick auf die Gewährleistung der Einhaltung dieser Verordnung geeignet, erforderlich und verhältnismäßig sein, wobei die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind, das Recht einer jeden Person, gehört zu werden, bevor eine individuelle Maßnahme getroffen wird, die nachteilige Auswirkungen a...