Anwendbarkeit der DSGVO im Zivilprozess

Von Jan Pohle und Dr. Philipp Adelberg

In seinem Urteil vom 02.03.2023 hat der EuGH (C-268/21) im Rahmen einer Vorlage zur Vorabentscheidung Feststellungen darüber getroffen, ob und inwieweit Bestimmungen der DSGVO im Rahmen des nationalen Zivilprozessrechts der EU-Mitgliedsstaaten anwendbar sind. Konkret ging es um die Frage, ob personenbezogene Daten Dritter, die ursprünglich für steuerliche Zwecke erhoben wurden, nach Maßgabe des Art. 6 Abs. 3, Abs. 4 DSGVO in einem Zivilgerichtsverfahren als Beweismittel – und damit unter geändertem Verarbeitungszweck – datenschutzrechtlich konform verwertet werden können. Der EuGH bejaht in seiner Entscheidung die grundsätzliche Anwendbarkeit der DSGVO-Bestimmungen im Rahmen des nationalen Zivilprozessrechts der EU-Mitgliedsstaaten.

Hintergrund des Rechtsstreits

Beide Parteien des Rechtsstreits unterliegen schwedischem Recht. Die Klägerin errichtete für die Beklagte ein Bürogebäude. Die auf der betreffenden Baustelle arbeitenden Personen erfassten ihre Anwesenheitszeiten in einem elektronischen Personalverzeichnis. Ein solches ist nach dem schwedischen Steuerverfahrensgesetz bei der Ausführung von Baumaßnahmen verpflichtend zu führen – insbesondere zur Bekämpfung der Schwarzarbeit – und hat sämtliche Angaben zu beinhalten, die zur Identifizierung der an der jeweiligen wirtschaftlichen Tätigkeit beteiligten Personen erforderlich sind.   Dies umfasst u. a. die Identität, die nationale Steuer-Identifikationsnummer sowie Beginn und Ende der Arbeitszeit aller beteiligten Personen.

Die Klägerin erhob in erster Instanz Klage auf Bezahlung des ausstehenden Restbetrages der ausgeführten Arbeiten. Die Beklagte trat dem entgegen und machte unter anderem geltend, die zu vergütende Stundenzahl sei niedriger als im Klageantrag beziffert. Um dies nachzuweisen, beantragte die Beklagte die Vorlage des ungeschwärzten Personalverzeichnisses für den betreffenden Zeitraum. Nach schwedischem Recht besteht für den Fall, dass ein Dokument als Beweismittel in Betracht kommt, für die jeweilige Partei grundsätzlich eine Vorlagepflicht im Rahmen des Zivilprozesses.

Nach Ansicht der Klägerin verstößt dieses Vorgehen jedoch gegen den datenschutzrechtlichen Zweckbindungsgrundsatz aus Art. 5 Abs. 1 lit. b) DSGVO. Das Personalverzeichnis der Klägerin enthalte personenbezogene Daten, die erhoben worden seien, damit die schwedische Finanzverwaltung die Tätigkeit der Gesellschaft kontrollieren könne. Mit diesem Zweck sei es unvereinbar, diese Daten vor Gericht in ungeschwärzter Form offenzulegen. Nachdem die Klägerin in erster Instanz zur Vorlage einer ungeschwärzten Fassung des Personalverzeichnisses verurteilt wurde, legte das Berufungsgericht die Frage nach dessen Rechtmäßigkeit dem EuGH zur Vorabentscheidung vor.

Gründe der Entscheidung

Der EuGH stellt im Rahmen seiner Ausführungen zunächst klar, dass der sachliche Anwendungsbereich des Art. 2 Abs. 1 DSGVO sowohl für Verarbeitungsvorgänge gilt, die von Privatpersonen vorgenommen werden, als auch für Verarbeitungsvorgänge, die durch Behörden, einschließlich Justizbehörden wie etwa Gerichten, erfolgen. Eine Unterscheidung nach dem Urheber der Datenverarbeitung erfolgt insoweit nicht. Weiterhin stellt das Gericht klar, dass sowohl die Erstellung und Führung des elektronischen Personalregisters für steuerliche Zwecke als auch die im Rahmen eines Gerichtsverfahrens angeordnete Vorlage dieses Dokuments jeweils eine Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 2 DSGVO darstellt. Der Anwendungsbereich der DSGVO ist damit für den zu Grunde liegenden Fall eröffnet, sodass die gerichtlich angeordnete Vorlegung von Dokumenten als Beweismittel einer Rechtsgrundlage aus Art. 6 DSGVO bedarf.

In dem konkret zu entscheidenden Fall sah der EuGH Art. 6 Abs. 1 lit. e) DSGVO als einschlägig an, wonach eine Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe – hier die Rechtsprechungsbefugnisse der Gerichte – erforderlich ist und gem. Art. 6 Abs. 3 DSGVO im Recht des betreffenden Mitgliedstaates gesetzlich festgelegt ist. Letztere Voraussetzung ist nach Ansicht des EuGH aufgrund der nach schwedischen Recht bestehenden gerichtlichen Beweismittelvorlagepflicht bei grundsätzlicher Eignung ebenfalls erfüllt.

Indem der EuGH auch die von der Klägerin vorgebrachte Zweckänderung anerkennt – von steuerlichen hin zu zivilverfahrensrechtlichen Verarbeitungszwecken – sind die weiteren Voraussetzungen der konkreten Datenverarbeitung nach Auffassung des EuGH anhand der Maßgabe des Art. 6 Abs. 4 DSGVO zu bestimmen. Hiernach bedarf es insbesondere einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Art. 23 Abs. 1 DSGVO genannten Ziele darstellt. Der EuGH deutet in seiner Entscheidung an, dass seiner Ansicht nach Art. 23 Abs. 1 lit. j) DSGVO – die Durchsetzung zivilrechtlicher Ansprüche – als ein solches taugliches Ziel in Betracht käme. Jedoch betont er, dass es Sache des vorlegenden Gerichts sei, zu prüfen, ob die Voraussetzungen des Art. 6 Abs. 4 DSGVO iVm. Art. 23 Abs. 1 DSGVO gegeben seien. Hier bedarf es einer gerichtlichen Einzelfallentscheidung.  Jedenfalls sei die Vorschrift grundsätzlich anwendbar.

Fazit

Mit der ergangenen Entscheidung schafft der EuGH Rechtssicherheit in Fragen des Verhältnisses der DSGVO zum nationalen Zivilverfahrensrecht. Bei genauerer Betrachtung ist die Antwort hierauf, also die Anwendbarkeit von Art. 6 Abs. 3 und Abs. 4 DSGVO, wenig überraschend.

Die eigentliche Schlagkraft entfaltet das Urteil dennoch durch seine Verallgemeinerungsfähigkeit. Denn die Feststellungen des EuGH, dass Gerichte an die Grundsätze der DSGVO gebunden sind, sind ohne Weiteres auch auf die Verarbeitung personenbezogener Daten durch weitere Prozessbeteiligte übertragbar. Parteien und Prozessbevollmächtigte sollten daher die Vorgaben der DSGVO im Blick behalten, wenn sie Beweismittel vorlegen oder anderweitig personenbezogene Daten im Zusammenhang mit einem Rechtsstreit verarbeiten, d.h. unter anderem erhalten, nutzen oder weitergeben  – von dessen Anbahnung bis zum Ende einer nachfolgenden Zwangsvollstreckung.

In der vom EuGH angesprochenen notwendigen Einzelfallentscheidung in Bezug auf die Zweckänderung ist aus deutscher Perspektive außerdem an den privilegierenden Tatbestand des § 24 Abs. 1 Nr. 2 BDSG zu denken. Dieser gilt für die zweckändernde Datenverarbeitung durch nicht-öffentliche Stellen und statuiert diese als zulässig, wenn sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist, sofern nicht die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen.