EuGH: fehlendes oder unvollständiges Verzeichnis der Verarbeitungstätigkeiten führt nicht zur Unrechtmäßigkeit der Datenverarbeitung

Gleiches gilt für einen fehlenden oder unvollständigen Vertrag über gemeinsame Verantwortlichkeit nach Art.26 DSGVO. So das Gericht in der Entscheidung vom 4. Mai 2023 (Az.: C-60/22) zu dem Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden (Beschluss vom 27. Januar 2022, Az.: 6 K 2132/19.WI.A) in einem verwaltungsrechtlichen Rechtsstreit über die Zuerkennung der Flüchtlingseigenschaft nach § 3 AsylG.

In der Folge sieht der EuGH auch kein Recht des Betroffenen auf Löschung oder Einschränkung der Verarbeitung von personenbezogenen Daten trotz der Nichteinhaltung von Art. 30 DSGVO und Art. 26 DSGVO.

Das Gericht führt unter anderem in den Entscheidungsgründen aus:

„…Das Fehlen einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung nach Art. 26 der DS-GVO oder eines Verzeichnisses von Verarbeitungstätigkeiten im Sinne von Art. 30 dieser Verordnung reicht nämlich für sich genommen nicht aus, um nachzuweisen, dass ein Verstoß gegen das Grundrecht auf den Schutz personenbezogener Daten vorliegt. Insbesondere stellen zwar, wie aus den Erwägungsgründen 79 und 82 der DS-GVO hervorgeht, die klare Aufteilung der Verantwortlichkeiten zwischen den gemeinsam Verantwortlichen und das Verzeichnis von Verarbeitungstätigkeiten Mittel dar, um sicherzustellen, dass die Verantwortlichen die von dieser Verordnung vorgesehenen Garantien für den Schutz der Rechte und Grundfreiheiten der betroffenen Personen wahren. Gleichwohl belegt das Fehlen eines solchen Verzeichnisses oder einer solchen Vereinbarung für sich genommen nicht, dass diese Rechte und Grundfreiheiten verletzt wurden.

Hieraus ergibt sich, dass ein Verstoß gegen die Art. 26 und 30 der DS-GVO durch den Verantwortlichen keine „unrechtmäßige Verarbeitung“ im Sinne von Art. 17 Abs. 1 Buchst. d oder Art. 18 Abs. 1 Buchst. b dieser Verordnung in Verbindung mit ihren Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 Unterabs. 1 darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung gewährt.

Wie alle Regierungen, die schriftliche Erklärungen eingereicht haben, und die Kommission geltend gemacht haben, ist ein solcher Verstoß mithin unter Rückgriff auf andere von der DS-GVO vorgesehene Maßnahmen zu heilen, wie etwa durch die Ausübung von „Abhilfebefugnissen“ durch die Aufsichtsbehörde im Sinne von Art. 58 Abs. 2 der DS-GVO, insbesondere die Anordnung, Verarbeitungsvorgänge in Einklang mit dieser Verordnung zu bringen, gemäß Buchst. d dieser Bestimmung, die Einlegung einer Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 Abs. 1 der DS-GVO oder den Ersatz des vom Verantwortlichen etwaig verursachten Schadens nach Art. 82 dieser Verordnung.

In Anbetracht der vom vorlegenden Gericht zum Ausdruck gebrachten Bedenken ist schließlich noch darauf hinzuweisen, dass der Umstand, dass im vorliegenden Fall keine Geldbuße nach Art. 58 Abs. 2 Buchst. i und Art. 83 der DS-GVO verhängt werden kann, weil das nationale Recht eine solche Sanktion gegenüber dem Bundesamt verbietet, einer wirksamen Anwendung dieser Verordnung nicht im Wege steht. Insoweit genügt nämlich der Hinweis, dass den Mitgliedstaaten in Art. 83 Abs. 7 der DS-GVO ausdrücklich die Befugnis eingeräumt wird, zu regeln, ob und in welchem Umfang gegen Behörden und öffentliche Stellen solche Geldbußen verhängt werden können. Daher können die verschiedenen alternativen Maßnahmen, die in der DS-GVO vorgesehen sind und in der vorstehenden Randnummer aufgeführt werden, eine solche wirksame Anwendung sicherstellen.

Folglich ist auf die erste Frage zu antworten, dass Art. 17 Abs. 1 Buchst. d und Art. 18 Abs. 1 Buchst. b der DS-GVO dahin auszulegen sind, dass der Verstoß eines Verantwortlichen gegen die Pflichten aus den Art. 26 und 30 dieser Verordnung über den Abschluss einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung für die Verarbeitung bzw. das Führen eines Verzeichnisses von Verarbeitungstätigkeiten keine unrechtmäßige Verarbeitung darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung verleiht, weil dieser Verstoß als solcher nicht bedeutet, dass der Verantwortliche gegen den Grundsatz der „Rechenschaftspflicht“ im Sinne von Art. 5 Abs. 2 in Verbindung mit Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 Unterabs. 1 der DS-GVO verstößt…“