In Rechtssache C‑710/23 hatte der EuGH über die Frage zu entscheiden, ob Angaben zur Vertretern juristischer Personen bei der Offenlegung amtlicher Dokumente nach dem nationalen Informationsfreiheitsrecht (Öffentlichkeitsrecht) dem Schutz der DSGVO unterstehen. Konkret ging es um ein Zugangsgesuch beim Gesundheitsministerium zu Informationen über Personen, die vom Ministerium abgeschlossene Verträge über den Kauf von Covid-19-Tests und Zertifikate für diese Tests unterzeichnet hatten. Das Ministerium hatte die Angaben über diese unterzeichnenden Personen vor Offenlegung der Verträge geschwärzt.
Begriff der Verarbeitung personenbezogener Daten
Der EuGH stellt zunächst wenig überraschend klar, dass Name, Unterschrift oder Kontaktdaten einer natürlichen Person auch dann “personenbezogene Daten” sind, wenn sie nur offengelegt werden, um die Vertretungsbefugnis zu dokumentieren, und die Weitergabe dieser Daten im Rahmen eines Informationszugangsverfahrens ist eine “Verarbeitung”. Die DSGVO findet auf diese Weitergabe also Anwendung:
31 Nach alledem ist auf die erste Frage zu antworten, dass Art. 4 Nrn. 1 und 2 DSGVO dahin auszulegen ist, dass die Offenlegung des Vornamens, des Nachnamens, der Unterschrift und der Kontaktdaten einer natürlichen Person, die eine juristische Person vertritt, eine Verarbeitung personenbezogener Daten darstellt. Der Umstand, dass die Offenlegung allein zu dem Zweck erfolgt, die Identifizierung der natürlichen Person zu ermöglichen, die befugt ist, im Namen der juristischen Person zu handeln, ist insoweit ohne Belang.
Verhältnis zum Öffentlichkeitsrecht
Zudem dürfen Mitgliedstaaten vorsehen, dass betroffene Personen vor der Weitergabe ihrer Daten in amtlichen Dokumenten zu informieren und ggf. anzuhören sind, auch über die DSGVO hinaus (die DSGVO selbst würde diese Offenlegung hier wohl erlauben, auf Basis von Art. 6 Abs. 1 lit. c und e). Diese Befugnis stützt sich auf Art. 86 DSGVO:
Personenbezogene Daten in amtlichen Dokumenten, die sich im Besitz einer Behörde oder einer öffentlichen Einrichtung oder einer privaten Einrichtung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe befinden, können von der Behörde oder der Einrichtung gemäß dem Unionsrecht oder dem Recht des Mitgliedstaats, dem die Behörde oder Einrichtung unterliegt, offengelegt werden, um den Zugang der Öffentlichkeit zu amtlichen Dokumenten mit dem Recht auf Schutz personenbezogener Daten gemäß dieser Verordnung in Einklang zu bringen.
Dabei ging es um die Rechtsprechung des tschechischen Obersten Verwaltungsgerichts, wonach Behörden vor einer Bekanntgabe von Personendaten im Rahmen eines Informationszugangsverfahrens die betroffenen Personen benachrichtigen und ihre Stellungnahme einholen müssen. Solche Regelungen dürfen die Offenlegung aber nicht unmöglichen, wo die DSGVO sie erlaubt, z.B. wenn eine Konsultation nicht mit zumutbaren Mitteln realisierbar wäre:
48 Nach alledem ist auf die zweite Frage zu antworten, dass Art. 6 Abs. 1 Buchst. c und e DSGVO in Verbindung mit deren Art. 86 dahin auszulegen ist, dass er einer nationalen Rechtsprechung nicht entgegensteht, die einen Verantwortlichen, bei dem es sich um eine Behörde handelt, die das Recht der Öffentlichkeit auf Zugang zu amtlichen Dokumenten und das Recht auf den Schutz personenbezogener Daten in Einklang zu bringen hat, dazu verpflichtet, die betroffene natürliche Person vor der Offenlegung amtlicher Dokumente, die solche Daten enthalten, zu unterrichten und zu konsultieren, soweit eine solche Verpflichtung nicht unmöglich durchzuführen ist oder einen unverhältnismäßigen Aufwand erfordert und daher nicht zu einer unverhältnismäßigen Einschränkung des Rechts der Öffentlichkeit auf Zugang zu diesen Dokumenten führt.
Dieser zweite Teil des Urteils ist insofern überraschend, als die DSGVO nicht das Öffentlichkeitsprinzip regelt und keinen Anspruch auf Zugang zu amtlichen Dokumenten vermittelt, sondern diesen Zugang höchstens mehr oder weniger stark einschränkt. Insofern können nationale Regelungen, die den Zugang aus datenschutzrechtlichen Motiven stärker beschränken oder sogar ausschliessen, eigentlich nicht gegen die DSGVO verstossen.