Der EuGH hatte sich im vorliegenden Urteil (Rs. C‑319/22 vom 9. November 2023) auf Vorlage des LG Köln mit der Frage zu befassen, ob Fahrzeugidentifikationsnummern (“FIN”; auch “VIN” genannt) Personendaten i.S.d. DSGVO darstellen.
Hintergrund ist die europarechtliche Pflicht der Fahrzeughersteller, über eine Website Zugang zu bestimmten Fahrzeuginformationen zur Verfügung zu stellen. Weil Scania dabei die FIN nicht bereitstellte, offenbar (auch) mit datenschutzrechtlichen Argumenten, klagte der Gesamtverband Autoteile-Handel e.V. Infolgedessen stellte sich die Frage, ob die FIN ein Personendatum ist und – wenn ja – ob die Bereitstellungspflicht als gesetzliche Grundlage i.S.v. Art. 6 Abs. 1 lit. c DSGVO gilt.
Der EuGH folgt bei der ersten Frage dem relativen Ansatz, unter Hinweis auf seine Breyer-Entscheidung:
45 Diese Definition [sc. des Personendatums] gilt, wenn die betreffenden Informationen aufgrund ihres Inhalts, ihres Zwecks und ihrer Auswirkungen mit einer bestimmten natürlichen Person verknüpft sind […]. Bei der Entscheidung, ob eine natürliche Person unmittelbar oder mittelbar identifizierbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen, ohne dass es jedoch erforderlich ist, dass sich alle zur Identifizierung dieser Person erforderlichen Informationen in den Händen einer einzigen Einrichtung befinden […]
48 Unter diesen Umständen handelt es sich bei der FIN um ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO der in der Zulassungsbescheinigung ausgewiesenen Person, sofern derjenige, der Zugang zur FIN hat, über Mittel verfügen könnte, die es ihm ermöglichen, die FIN zur Identifizierung des Halters des Fahrzeugs, auf das sich die FIN bezieht, oder zur Identifizierung der Person, die aufgrund eines anderen Rechtstitels denn als Halter über das betreffende Fahrzeug verfügen kann, zu nutzen.
49 Wie der Generalanwalt in den Nrn. 34 und 41 seiner Schlussanträge ausgeführt hat, stellt die FIN, wenn die unabhängigen Wirtschaftsakteure bei vernünftiger Betrachtung über Mittel verfügen können, die es ermöglichen, die FIN einer identifizierten oder identifizierbaren natürlichen Person zuzuordnen – was zu prüfen Sache des vorlegenden Gerichts ist –, für diese Wirtschaftsakteure sowie mittelbar für die Fahrzeughersteller, die die FIN bereitstellen, ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO dar, selbst wenn die FIN für sich genommen für die Fahrzeughersteller kein persönliches Datum darstellt, insbesondere dann nicht, wenn das Fahrzeug, dem sie zugewiesen wurde, nicht einer natürlichen Person gehört.
Damit stellt der EuGH (erneut; vgl. auch das Urteil des EuG in Rs. T‑557/20) klar, dass die Frage der Identifikationsmöglichkeit eines Datums nur aus der Warte von Stellen zu beurteilen ist, die Zugang zum Datum haben, nicht aber von Dritten. Das ist der relative Ansatz. Nicht gesagt ist damit, wie hoch die Schwelle der Identifikationsmöglichkeit genau anzusetzen ist und was eine “Identifikation” für sich genommen überhaupt heisst (hier spielt die Diskussion um die Singularisierung hinein), aber immerhin: Abstrakte Identifikationsmöglichkeiten Dritter fallen ausser Betracht.
Es wird nun Sache der nationalen Gerichte sein, die Frage des Personenbezugs aus dieser Optik zu prüfen.
Sollten sie zum Schluss kommen, dass eine Bekanntgabe von Personendaten vorliegt, ist sie aber durch die genannte Bekanntgabepflicht legitimiert:
58 Diese unionsrechtlichen Bestimmungen erlegen den Fahrzeugherstellern somit eine „rechtliche Verpflichtung“ im Sinne von Art. 6 Abs. 1 Buchst. c DSGVO auf, unabhängigen Wirtschaftsakteuren neben anderen Daten die FIN bereitzustellen. […]
60 Nach dem 50. Erwägungsgrund der Verordnung 2018/858 ist ein solcher Wettbewerb für ein besseres Funktionieren des Binnenmarkts notwendig, insbesondere für den freien Warenverkehr, die Niederlassungsfreiheit und die Dienstleistungsfreiheit. Somit liegt das in der vorstehenden Randnummer genannte Ziel im öffentlichen Interesse und ist folglich legitim […]
61 Was schließlich die dritte Voraussetzung für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten angeht, die in Art. 6 Abs. 3 DSGVO bestimmt ist und wonach diese Verarbeitung „in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck“ stehen muss, genügt […] die Feststellung, dass zum einen nur die Suche über die FIN zur exakten Identifizierung der Daten eines bestimmten Fahrzeugs führt und zum anderen die dem Gerichtshof vorliegende Akte keine andere, mildere Maßnahme der Identifizierung aufzeigt, die die Effektivität der Suche über die FIN wahrt und es zugleich ermöglicht, das in der vorstehenden Randnummer dargelegte, im öffentlichen Interesse liegende Ziel zu verfolgen.