Dem Urteil lag folgender Sachverhalt zugrunde. Ein Unternehmen wollte bei Gericht mündlich Auskunft über die Vorstrafen einer Person aus einem Personenregister erhalten. Das Gericht lehnte die Auskunft jedoch ab und verwies auf den Datenschutz. Das Unternehmen legte gegen das Urteil Berufung ein und machte geltend, dass die mündliche Mitteilung der begehrten Informationen keine Verarbeitung personenbezogener Daten im Sinne der DSGVO darstelle.

Der EuGH sieht dies anders und stellt fest, dass auch eine mündliche Auskunft über personenbezogene Daten eine Verarbeitung gemäß Art. 4 Nr. 2 DSGVO darstellen und in den Anwendungsbereich der DSGVO fallen kann. Anders als noch das erstinstanzliche Gericht begründet der EuGH dies jedoch nicht damit, dass die mündliche Auskunft eine Abfrage in IT-Systemen und damit eine Verarbeitung personenbezogener Daten erfordere, weshalb die Auskunft auch nicht mündlich erteilt werden könne. Vielmehr sieht der EuGH bereits in der mündlichen Auskunft selbst eine Verarbeitung personenbezogener Daten und leitet dies wie folgt her.

Zunächst ist eine Verarbeitung nach der weiten Definition in Art. 4 Nr. 2 DSGVO jeder Vorgang, soweit er im Zusammenhang mit personenbezogenen Daten erfolgt. Der EuGH stellt in dem Urteil zudem klar, dass die Form der Verarbeitung unerheblich ist, soweit sie personenbezogene Daten betrifft. Andernfalls könnte die Anwendung der DSGVO einfach umgangen werden, wenn personenbezogene Daten z.B. mündlich statt schriftlich übermittelt werden. Jeder Vorgang im Zusammenhang mit personenbezogenen Daten und damit auch eine mündliche Auskunft ist nach dieser Definition eine Verarbeitung im Sinne der DSGVO.

Trotzdem ist nicht jede mündliche Auskunft von den Vorgaben der DSGVO erfasst. Dies ergibt sich aus Art. 2 Abs. 1 DSGVO. Danach gilt die DSGVO für eine nichtautomatisierte Verarbeitung personenbezogener Daten – wie eine mündliche Auskunft – nur dann, wenn die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Entscheidend dafür, ob eine mündliche Auskunft der DSGVO unterfällt, ist also, ob sich der Inhalt der Auskunft aus einem Dateisystem ergibt oder darin gespeichert werden soll.

Ein Dateisystem ist nach Art. 4 Nr. 6 DSGVO jede strukturierte Sammlung personenbezogener Daten, die so aufgebaut ist, dass die Daten zu einer bestimmten Person leicht wiederauffindbar sind. Auch hier ist die Form unerheblich. Dateisysteme können also z.B. bei öffentlichen und nicht-öffentlichen Stellen geführte Register, digitale oder analoge Personalakten oder auch CRM-Systeme sein.

Dass eine mündliche Auskunft Informationen aus einem solchen Dateisystem betrifft und somit der DSGVO unterfällt, war für das im Urteil relevante gerichtlich geführte Personenregister eindeutig zu bejahen.

In anderen Fällen wird dies jedoch nicht so einfach möglich sein. Gerade im Umgang mit Kunden- oder Mitarbeitenden-Daten sollte man sich nach diesem Urteil daher bewusst sein, dass auch die bloß mündliche Übermittlung entsprechender Informationen zur Anwendbarkeit der DSGVO führen kann. So wäre z.B. die mündliche Auskunft aus einer Personalakte nach dem Urteil des EuGH ebenfalls als Verarbeitung anzusehen, und auch telefonische Auskünfte von Callcenter-Agents sind nun eindeutig an den Anforderungen der DSGVO zu messen.

Wir unterstützen Sie gern bei notwendigen Anpassungen von Verarbeitungsverzeichnissen, Datenschutzhinweisen oder Schulungsunterlagen für Ihre Mitarbeitenden!