Zum Schutz personenbezogener Daten kann die Aufsichtsbehörde eines Mitgliedstaats selbst dann die Löschung unrechtmäßig verarbeiteter Daten anordnen, wenn die betroffene Person zuvor keinen entsprechenden Antrag gestellt hat. Das hat der Europäische Gerichtshof (EuGH) entschieden. Eine solche Löschung könne sich sowohl auf bei der betroffenen Person erhobene als auch auf aus einer anderen Quelle stammende Daten beziehen.

2020 beschloss die Kommunalverwaltung im ungarischen Újpest, Personen, die zu einer von der Covid-19-Pandemie gefährdeten Gruppe gehörten, finanziell zu unterstützen. Sie ersuchte deshalb die ungarische Staatskasse und eine Regierungsbehörde in Budapest, ihr die zur Prüfung der Anspruchsvoraussetzungen erforderlichen personenbezogenen Daten zu übermitteln. Aufgrund eines Hinweises stellte die zuständige ungarische Datenschutzbehörde (Aufsichtsbehörde) fest, dass sowohl die Verwaltung Újpest als auch die ungarische Staatskasse und die Regierungsbehörde gegen Regelungen der Datenschutz-Grundverordnung (DS-GVO) verstoßen hatten. Entsprechende Geldbußen wurden verhängt.

Die Aufsichtsbehörde stellte fest, dass die Verwaltung Újpest die betroffenen Personen innerhalb der dafür geltenden Frist von einem Monat weder über die Verwendung ihrer Daten und den Zweck dieser Verarbeitung noch über ihre Datenschutzrechte informiert hatte. Zudem wies sie die Verwaltung Újpest an, die Daten anspruchsberechtigter Personen, die keine Unterstützung beantragt hatten, zu löschen.

Die Verwaltung Újpest hat diese Entscheidung beim Hauptstädtischen Stuhlgericht (Ungarn) angefochten. Sie meint, die Aufsichtsbehörde sei nicht befugt, die Löschung personenbezogener Daten anzuordnen, wenn die betroffene Person zuvor keinen entsprechenden Antrag gestellt habe. Das ungarische Gericht bat den Gerichtshof um Auslegung der DS-GVO.

Dieser entschied, dass die Aufsichtsbehörde eines Mitgliedstaats von Amts wegen die Löschung unrechtmäßig verarbeiteter Daten anordnen darf. Es bedürfe keines entsprechenden Antrags der betroffenen Person, falls die Löschung für die Aufsichtsbehörde erforderlich sei, um ihre Aufgabe ordnungsgemäß zu erfüllen. Diese bestehe darin, über die umfassende Einhaltung der DS-GVO zu wachen. Erkennt die Aufsichtsbehörde, dass eine Datenverarbeitung nicht der DS-GVO entspricht, so müsse sie dem festgestellten Verstoß abhelfen, und zwar auch dann, wenn die betroffene Person zuvor keinen Antrag gestellt hat, betont der EuGH. Denn das Erfordernis einer solchen Antragstellung würde bedeuten, dass der Verantwortliche bei fehlendem Antrag die betreffenden personenbezogenen Daten weiterhin speichern und unrechtmäßig verarbeiten dürfte. Außerdem könne die Aufsichtsbehörde eines Mitgliedstaats die Löschung unrechtmäßig verarbeiteter Daten unabhängig davon anordnen, ob sie unmittelbar bei der betroffenen Person erhoben wurden oder aus einer anderen Quelle stammen.

Gerichtshof der Europäischen Union, Urteil vom 14.03.2024, C-46/23