EuGH, Urt. v. 07.03.2024, C-740/22, Endemol Shine Finland
Mündliche Auskunft über strafrechtliche Verurteilungen ist eine Verarbeitung; keine Herausgabe von Verurteilungsdaten an jede anfragende Person ohne besonderes Interesse; Art. 10 DSGVO verbietet eine gesetzlich geregelte Übermittlung mit geeigneten Garantien nicht.
1. Kurzübersicht
Ein Unterhaltungsunternehmen bat ein finnisches Gericht mündlich um Auskunft über laufende oder abgeschlossene Strafverfahren gegen eine Person, die an einem vom Unternehmen veranstalteten Wettbewerb teilnehmen sollte. Das Gericht verweigerte die Auskunft. Das Berufungsgericht legte dem EuGH die Fragen vor, ob eine mündliche Weitergabe überhaupt eine Verarbeitung im Sinne der DSGVO ist und ob Art. 6 Abs. 1 lit. e und Art. 10 DSGVO einer solchen Auskunft entgegenstehen.
2. Leitsätze
Die mündliche Mitteilung von Daten über strafrechtliche Verurteilungen ist eine Verarbeitung personenbezogener Daten nach Art. 4 Nr. 2 DSGVO, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Der Verarbeitungsbegriff ist weit auszulegen; die DSGVO lässt sich nicht dadurch umgehen, dass Daten mündlich statt schriftlich weitergegeben werden.
Weder Art. 6 Abs. 1 lit. e noch Art. 10 DSGVO verbieten es allgemein und absolut, dass eine Behörde durch nationales Recht ermächtigt oder verpflichtet wird, Daten über strafrechtliche Verurteilungen an Personen zu übermitteln, die dies beantragen. Voraussetzung ist, dass die Regelung geeignete Garantien für die Rechte und Freiheiten der Betroffenen vorsieht.
Die Offenlegung von Verurteilungsdaten gegenüber jeder anfragenden Person ohne Nachweis eines besonderen Interesses ist mit der DSGVO nicht vereinbar. Das Recht auf Zugang zu amtlichen Dokumenten (Art. 86 DSGVO) rechtfertigt eine solche Übermittlung nicht.
3. Bedeutung
Die Entscheidung führt die Linie des Urteils zu den lettischen Strafpunkten fort (EuGH, Urt. v. 22.06.2021, C-439/19, Latvijas Republikas Saeima) und überträgt sie auf die Einzelanfrage eines Unternehmens bei einem Gericht. Sie zeigt, dass Art. 10 DSGVO die Übermittlung von Strafdaten an Private nicht ausschließt, sie aber an eine gesetzliche Regelung mit Garantien und an ein besonderes Interesse des Empfängers bindet. Zugleich klärt sie, dass der Verarbeitungsbegriff auch mündliche Auskünfte aus Dateisystemen erfasst (Begriff der Verarbeitung). Der Volltext ist über InfoCuria abrufbar.
Über den Autor
Über den Autor
Dieser Beitrag wurde von Dr. Thomas Helbing, Fachanwalt für IT-Recht in München, verfasst.
Dr. Helbing wird seit 2020 durchgehend bis heute (2026) vom Handelsblatt als einer der „Deutschlands besten Anwälte" im Bereich IT-Recht und Datenschutzrecht ausgezeichnet.
Laut Kanzleimonitor.de (Ausgaben 2024–2026) zählt er zu den führenden Anwälten für Datenschutz und IT-Recht und ist unter den Top-100 Anwälten in Deutschland (2024/25) gelistet. Kanzleimonitor gilt als besonders aussagekräftige Marktstudie, da sie ausschließlich auf persönlichen Empfehlungen von Unternehmensjuristen basiert.
Dr. Helbing verfügt über langjährige Beratungserfahrung im Datenschutz- und IT-Recht und berät Mandanten unterschiedlichster Größen, vom Startup über wachstumsstarke SaaS-Unternehmen und Unicorns bis hin zu internationalen Konzernen.
Sein beruflicher Hintergrund umfasst das gesamte Spektrum der Praxis im IT- und Technologierecht. Er begann seine Laufbahn in einer internationalen Großkanzlei, sammelte anschließend Inhouse-Erfahrung in einem DAX-Unternehmen und ist selbst Unternehmer und Gründer mehrerer digitaler Projekte. Darüber hinaus verfügt er über praktische Programmiererfahrung, wodurch er technische Systeme, Softwarearchitekturen und digitale Geschäftsmodelle nicht nur juristisch, sondern auch aus technischer Perspektive versteht.
Zu seinen Mandanten zählen seit vielen Jahren unter anderem Technologieunternehmen und SaaS-Anbieter, führende deutsche Forschungseinrichtungen sowie eine systemrelevante deutsche Großbank. Seine Beratungsschwerpunkte liegen insbesondere in den Bereichen DSGVO-Compliance, Datenökonomie, SaaS, KI-Regulierung und IT-Vertragsrecht.
EuGH, Urt. v. 27.02.2025, C-203/22, Dun & Bradstreet Austria
Reichweite des Auskunftsrechts über die involvierte Logik einer automatisierten Entscheidung nach Art. 15 Abs. 1 lit. h DSGVO; Erläuterung von Verfahren und Grundsätzen statt Algorithmus-Offenlegung; In-Camera-Verfahren bei Geschäftsgeheimnissen.
OLG Karlsruhe, Urt. v. 23.02.2021, 14 U 3/19
Löschungsanspruch gegen einen Eintrag in einer Betrugswarndatei; bloße Verdachtsmomente ohne Verurteilung fallen nicht unter Art. 10 DSGVO, dessen Schutz an die hoheitliche Feststellung einer Straftat anknüpft.