Informationspflichten bei Datenweitergabe

Bei der Übermittlung personenbezogener Daten müssen die Betroffenen informiert werden, wenn die Daten zur Verarbeitung genutzt werden. Diese Pflicht zur Information des Betroffenen besteht auch dann, wenn die personenbezogenen Daten zwischen zwei Behörden übermittelt werden.

Sachverhalt
Mehrere rumänische Staatsangehörige sind beruflich selbstständig tätig. Dafür haben sie personenbezogenen Daten, insbesondere die erzielten Einkünfte, an die rumänische Steuerverwaltung übermittelt. Diese hat die Einkünfte ohne Zustimmung der Betroffenen an die Nationale Kasse der Krankenversicherungen weiter geleitet. Die Krankenversicherung machte nach Prüfung der Einkünfte nunmehr erhebliche Nachzahlungsbeträge für rückständige Beitragszahlungen gegenüber den Betroffenen geltend.

Hiergegen richteten sich die Kläger und verwiesen darauf, dass eine derartige Übermittlung ohne Zustimmung zwischen zwei Behörden gegen das europäische Datenschutzrecht verstoße. Die Daten seien allein zur Ermittlung des individuellen Steuersatzes an die Steuerverwaltung übermittelt worden. Durch die Übermittlung an die Krankenkasse zur Ermittlung von Beiträgen, wurden diese Daten zu anderen Zwecken verwendet.

In Rumänien ist es nach dem nationalen Recht zulässig, wenn öffentliche Einrichtungen personenbezogene Daten an die Krankenversicherung übermitteln. Neben dem Namen und der Anschrift werden von der rumänischen Vorschrift auch die Informationen über das erzielte Einkommen umfasst. Das rumänische Gericht legte dem EuGH diesen Rechtsstreit zur Entscheidung vor, um zu klären, ob vorliegend europäisches oder nationales Recht Anwendung findet.

Entscheidung
Der EuGH hat entschieden, dass eine unberechtigte Weitergabe von personenbezogenen Daten zwischen zwei Behörden ohne Unterrichtung des Betroffen gegen europäisches Recht verstößt. Rechtsgrundlage ist allein die Datenschutzrichtlinie 95/46/EG. Diese regelt die Verarbeitung von personenbezogenen Daten, welche entweder bereits in einer Datei gesichert sind, oder noch gesichert werden sollen.

Bereits nach Treu und Glauben ist jede Behörde verpflichtet, bei der Verarbeitung von personenbezogenen Daten besonders sorgfältig vorzugehen. Dazu gehört auch die umgehende Unterrichtung der Betroffenen, sobald die bei ihr hinterlegten personenbezogenen Daten an eine andere öffentliche Einrichtung übermittelt werden sollen. Nur dann ist die weitere Behörde ermächtigt, die übermittelten Informationen zu speichern und in der Folge auch zu verarbeiten. Die europäische Richtlinie für die Übermittlung solcher Informationen lasse eine Einschränkung der grundsätzlich bestehenden Informationspflicht des Betroffenen nur durch nationale Rechtsvorschriften zu.

Die rumänische Vorschrift, wonach den Krankenkassen personenbezogene Daten zur Verarbeitung übersandt werden können, stellt keine geeignete Rechtsgrundlage dar. Zum einen wird in diesem Gesetz keinerlei Unterrichtung des Betroffenen festgelegt. Die Verwaltungsbehörden sind von der Pflicht zur Unterrichtung des Betroffenen daher gerade nicht entbunden. Zumal die erfassten Informationen und die Wege der Übermittlung in der Vorschrift nicht eindeutig benannt werden. Diese basieren lediglich auf einem bilateralen internen Protokoll zwischen der Steuerverwaltung und den Krankenkassen. Eine solche verwaltungsinterne Abrede ist nicht geeignet die Informationspflichten der Behörden einzuschränken und die Erfordernisse der europäischen Richtlinie zu erfüllen.

Bereits die Steuerverwaltung als übermittelnde Behörde der Daten hat damit gegen geltendes Recht verstoßen. Aber auch die Verarbeitung der Daten durch die Krankenkasse und die Erhebung von Beiträgen erfolgte in unzulässiger Weise. Die für die Datenverarbeitung verantwortliche Stelle muss die betroffene Person über die eigene Identität, die Zweckbestimmung der verarbeiteten personenbezogenen Daten sowie die weiteren wesentlichen Informationen nach Treu und Glauben aufklären, um eine zulässige Verarbeitung der Daten zu ermöglichen. Dazu gehören auch die Angaben der konkreten Datenkategorien, welche für die Verarbeitung benötigt werden sowie das Bestehen von Auskunfts- und Berichtigungsansprüchen. Gemessen an diesen Grundsätzen hat die Krankenkasse keinerlei Information der Betroffenen vorgenommen. Eine Verarbeitung der Daten und ein darauf folgender Beitragsbescheid durfte daher nicht erfolgen.

Fazit
Mit diesem Urteil hat der EuGH den Austausch von Daten zwischen Behörden ohne Zustimmung der Betroffenen stark eingeschränkt. Betroffen sind bei jeder Übermittlung und Verarbeitung personenbezogener Daten stets umfassend vorab zu informieren. Der Datenschutzstandard bleibt daher sehr hoch.

EuGH, Urteil vom 01.10.2015, Az. EuGH, C-201/14