News
Anforderungen an Datenübermittlungen durch Unternehmen an Behörden
I. Schlussantrag des Generalanwalts
Der Generalanwalt beim EuGH äußerte sich in einem kürzlich veröffentlichten Schlussantrag zu den Anforderungen an Datenübermittlungen durch Unternehmen an Behörden
(Schlussanträge des Generalanwalts beim EuGH vom 2.9.2021, Az. C-175/20).
Dem Vorabentscheidungsverfahren ging ein Streit zwischen einem Unternehmen, das als Plattform das Inserieren u. a. von PKW anbietet (= Klägerin im Rahmen des Vorabentscheidungsverfahrens vor dem EuGH), sowie einer Steuerverwaltungsbehörde (= Beklagte im Rahmen des Vorabentscheidungsverfahrens vor dem EuGH) in Lettland voraus. Die Steuerverwaltungsbehörde verlangte von dem Unternehmen auf Grundlage von Art. 15 Abs. 6 lettisches Steuer- und Abgabengesetz, Angaben zu PKW-Inseraten (d. h. Link zum Inserat, Text des Inserats, Marke des Fahrzeugs, Modell, Fahrgestellnummer, Preis, Telefonnummern des Verkäufers) in einem elektronischen Format zu übermitteln. Das Begehren der Behörde führte schließlich zu einer gerichtlichen Auseinandersetzung. Das befasste lettische Gericht legte dem EuGH daraufhin verschiedene Fragen zu dem vorstehenden Fall vor, die zusammengefasst die Fragestellung verfolgten, ob das von der lettischen Steuerbehörde verfolgte Auskunftsbegehren nach Art. 15 Abs. 6 Steuer- und Abgabengesetz datenschutzrechtlich zulässig ist und wenn ja, unter welchen Bedingungen, also wie.
Bemerkenswert ist, dass sich der Generalanwalt dabei grundlegend dazu äußerte, welche Anforderungen sich für die Datenübermittlung durch das Unternehmen an die Steuerbehörde aus Art. 6 DSGVO ergeben:
1. Zweck der Datenverarbeitung
Nach Ansicht des Generalanwalts sind beide von der Steuerbehörde verfolgten Zwecke, also die Suche nach Informationen bestimmter Art (zur Aufdeckung von Gesetzesverstößen) sowie außerdem die Überprüfung, ob bestimmte Verstöße stattgefunden haben, grundsätzlich von Art. 6 DSGVO gedeckt. Entscheidend ist nach Ansicht des Generalanwalts insoweit, wie klar eine solche Datenverarbeitung (hier: Suche nach Informationen bestimmter Art (zur Aufdeckung von Gesetzesverstößen) sowie die Überprüfung, ob bestimmte Verstöße stattgefunden haben, durch die jeweilige Rechtsgrundlage (hier: Art. 15 Abs. 6 lettisches Steuer- und Abgabengesetz) gemäß den Anforderungen aus Art. 6 Abs. 3 DSGVO die von der Behörde verlangte Datenverarbeitung tatsächlich zulässt. Im streitgegenständlichen Fall lässt der Generalanwalt offen, ob das Ausmaß der von der Steuerbehörde geforderten Datenübermittlung tatsächlich von Art. 15 Abs. 6 lettisches Steuer- und Abgabengesetz gedeckt ist. Allerdings hält er es zumindest nach dem Anforderungsmaßstab der DSGVO für zulässig, dass Steuerbehörden Daten für einen unbegrenzten Zeitraum anfordern dürfen.
2. Umfang und Dauer der Datenverarbeitung
Außerdem sind nach Ansicht des Generalanwalts der Umfang und die Dauer der Datenverarbeitung für eine Datenübermittlung von einem Unternehmen an eine Behörde von Relevanz. Der Generalanwalt zeigt sich hinsichtlich dieser beiden Aspekte eher offen:
Solange eine „angemessene“ Rechtsgrundlage im Unions- oder nationalen Recht existiere, dürfe eine nationale Behörde grundsätzlich sämtliche notwendigen Daten anfordern, die sie für ihre gebotenen Ermittlungen benötigt, ohne dass eine zeitliche Befristung bestehe. Die einzige Beschränkung, die sich durch die DSGVO ergebe, sei die Verhältnismäßigkeit der angeforderten Daten. Das prüfende Gericht habe daher in Bezug auf alle mit der Datenverarbeitung verfolgten Zwecke im Lichte der tatsächlichen und rechtlichen Umstände des Einzelfalls eine Verhältnismäßigkeitsprüfung vorzunehmen. M. a. W. muss es prüfen, ob die Art der angeforderten Daten geeignet ist, damit die Beklagte (hier: Steuerbehörde) die für ihr erklärtes Ziel notwendigen Informationen erlangt.
3. Rechtsgrundlage der Datenübermittlung
Schließlich geht der Generalanwalt noch der Frage nach, welche Anforderungen eine Rechtsgrundlage aus dem Unionsrecht oder dem Recht der Mitgliedstaaten gemäß Art. 6 Abs. 3 DSGVO für die Datenübermittlung eines Unternehmens an eine Behörde erfüllen muss. Der Generalanwalt beantwortet diese Frage zunächst abstrakt wie folgt: „Je allgemeiner, größer und dauerhafter die Datenübermittlungen sind, desto solider, ausdifferenzierter und ausdrücklicher muss die gesetzliche Grundlage sein, da solche Datenübermittlungen einen größeren Eingriff in den Datenschutz darstellen. Demgegenüber kann, je geringfügiger und begrenzter die Anträge auf Offenlegung sind – üblicherweise in Bezug auf eine betroffene Person oder einige wenige oder auch auf eine begrenzte Datenmenge – diesen Anfragen umso eher auf Einzelfallebene als behördliche Anfragen auf einer eher weiten und allgemeinen Ermächtigungsgrundlage stattgegeben werden“. Der Generalanwalt hält die Anforderung der beklagten Steuerbehörde im zugrunde liegenden Rechtsstreit unter Beachtung des vorstehend dargestellten Maßstabs jedenfalls datenschutzrechtlich gemäß Art. 6 Abs. 1 lit. c), Abs. 3 DSGVO für zulässig. Allerdings müsse das vorlegende nationale Gericht in Kenntnis aller einschlägigen nationalen Vorschriften, also insbesondere ggf. vorhandener nationaler datenschutzrechtlicher Durchführungsbestimmungen prüfen, ob die streitgegenständliche Datenverarbeitung erlaubt ist.
II. Praktische Folgen für Unternehmen
Zunächst muss betont werden, dass es sich noch um eine Einschätzung des Generalanwalts und nicht um ein abschließendes Urteil des EuGH handelt. Gleichwohl folgt der EuGH regelmäßig den Einschätzungen des Generalanwalts, sodass es überwiegend wahrscheinlich ist, dass die vorstehenden Ausführungen des Generalanwalts Bestand haben werden.
Unternehmen sollten daher bei behördlichen Anfragen immer folgende Fragen beachten:
- Welche Zwecke verfolgt die Behörde mit ihrer Anfrage gegenüber dem Unternehmen?
- Sind die von der Behörde verfolgten Zwecke durch eine nationale Rechtsgrundlage gedeckt, die den Anforderungen insbesondere gemäß Art. 6 Abs. 3 DSGVO entspricht? (in Deutschland existiert diesbezüglich z. B. § 24 Abs. 1 BDSG)?
- Sind Art und Umfang der von der Behörde angeforderten Daten so umfangreich, dass sie als verhältnismäßig i. S. d. von der Behörde angegebenen Rechtsgrundlage zu bewerten sind Es gilt der Grundsatz: (je umfangreicher Art und Umfang der angeforderten Daten sind, desto höhere Anforderungen sind im Rahmen der Verhältnismäßigkeitsprüfung an die zugrunde gelegte Rechtsgrundlage zu stellen)?
- Existieren im Übrigen möglicherweise nationale datenschutzrechtliche Regelungen, die dem Begehren der Behörde entgegenstehen?
Zumindest im Rahmen des hiesigen Vorabentscheidungsverfahrens vor dem EuGH hatte die Steuerbehörde gegenüber dem klagenden Unternehmen gefordert, „die Informationen elektronisch in einem Format zu übermitteln, in dem es möglich ist, die Daten zu filtern und auszuwählen“. Unternehmen, die mit behördlichen Anfragen konfrontiert werden, sollten daher darauf achten, ob die Anfragen die oben benannten Kriterien erfüllen. Im Zweifel sollten Unternehmen die anfragende Behörde um Präzisierungen bitten. Hilfreich kann insoweit auch die Vorgabe in ErwG 31 DSGVO sein: „Anträge auf Offenlegung, die von Behörden ausgehen, sollten immer schriftlich erfolgen, mit Gründen versehen sein und gelegentlichen Charakter haben“.
News
Meldepflichten nach dem geplanten BSIG (Umsetzung NIS-2)
Als Umsetzung des Art. 23 Abs. 4 S. 1 NIS-2-Richtlinie finden sich in § 32 des Entwurfs zum Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG-E) Ausführungen zu Meldepflichten für besonders wichtige Einrichtungen sowie wichtige Einrichtungen. Das BSIG-E ist Teil des Entwurfs zum Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung.
Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen und Dokumentationsnachweis nach dem neuen BSIG
Das neue BSIG befindet sich auf der Zielgeraden des Gesetzgebungsverfahrens zur Umsetzung der NIS-2-Richtlinie. Im aktuellen Entwurf legt der dortige § 30 Abs. 1 Satz 1 BSIG fest, dass besonders wichtige und wichtige Einrichtungen verpflichtet sind, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen (TOM) zu ergreifen, um u.a. Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
Barrierefreiheitsstärkungsgesetz (Teil 2) – Für welche Apps und Websites gilt das BFSG?
In Teil 1 unserer Beitragsreihe zum Barrierefreiheitsstärkungsgesetz (BFSG) haben wir uns bereits mit den allgemeinen Anforderungen des BFSG befasst. In Teil 2 geht es darum, für welche Apps und Websites das BFSG gilt.
Piltz Legal Whitepaper zur KI-Verordnung
Die KI-Verordnung, auch bekannt als Artificial Intelligence Act („AI Act“), ist kürzlich in Kraft getreten. Erstmalig wird damit ein harmonisierter Rechtsrahmen auf europäischer Ebene zum Einsatz von Künstlicher Intelligenz (KI) geschaffen. Die Verordnung gilt aufgrund ihrer Rechtsnatur bereits mit ihrem Inkrafttreten unmittelbar in allen Mitgliedstaaten, ohne dass ein weiterer Vollzugsakt notwendig wird.
Barrierefreiheitsstärkungsgesetz (Teil 1) – Neue Pflichten für Unternehmen ab Juni 2025
Bestimmte Produkte und Dienstleistungen müssen ab dem 28. Juni 2025 barrierefrei zugänglich sein. Dies sieht das bereits im Juli 2021 veröffentlichte Barrierefreiheitsstärkungsgesetz (BFSG) vor. Konkret betrifft das BFSG vor allem auch die Gestaltung von Websites und Apps. Um Sie angemessen auf die Anforderungen des BFSG vorzubereiten, haben wir einen kurzen Überblick zu den wichtigsten Informationen erstellt.
Ist mein Unternehmen Anbieter nach der KI-Verordnung? Zum Begriff des „Inverkehrbringens“ nach der KI-VO
Die Einführung der KI-Verordnung (KI-VO) der Europäischen Union hat weitreichende Auswirkungen auf Unternehmen, die KI-Systeme entwickeln und / oder anbieten. Die KI-VO legt eine Vielzahl von Anforderungen fest, die in erster Linie von den Anbietern von KI-Systemen erfüllt werden müssen. Daher ist es für Unternehmen essenziell zu klären, ob sie als „Anbieter“ von KI-Systemen im Sinne der KI-VO gelten.