Nexvyra

EuGH C-169/23 (Másdi, VO 2016/679) – Informationspflicht nach Art. 14 DSGVO auch bei selbst erzeugten Daten In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-11-02 · letzte Prüfung: 2026-11-02 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Mit Urteil vom 28.11.2024 in der Rechtssache C-169/23 (Másdi), ECLI:EU:C:2024:988, hat der Gerichtshof der Europäischen Union geklärt, wie Art. 13 und Art. 14 DSGVO (VO (EU) 2016/679) abzugrenzen sind: Alle personenbezogenen Daten, die der Verantwortliche nicht unmittelbar bei der betroffenen Person erhoben hat, fallen unter Art. 14 – das gilt sowohl für Daten, die er von Dritten erlangt, als auch für Daten, die er selbst im Rahmen seiner Aufgaben erzeugt (z. B. Seriennummern, QR-Codes, Gültigkeitsdaten, Scores, Berechnungen). Entsprechend greift auch die Ausnahme nach Art. 14 Abs. 5 Buchst. c DSGVO (Erlangung/Offenlegung ausdrücklich durch Unions- oder nationales Recht geregelt) für beide Kategorien – aber nur, wenn dieses Recht geeignete Schutzmaßnahmen vorsieht, die ein Schutzniveau gewährleisten, das dem von Art. 14 Abs. 1–4 zumindest gleichwertig ist. Die Aufsichtsbehörde darf im Beschwerdeverfahren (Art. 77 DSGVO) prüfen, ob das nationale Recht solche Maßnahmen enthält; die Prüfung umfasst aber nicht die TOM nach Art. 32 DSGVO.

Kernfakten

PunktWert
EntscheidungEuGH, Urteil vom 28.11.2024, Rs. C-169/23 (Vorabentscheidung), ECLI:EU:C:2024:988
ParteienNemzeti Adatvédelmi és Információszabadság Hatóság (ungarische Datenschutzbehörde) ./. UC
SachverhaltAusstellung von Covid-19-Immunitätszertifikaten durch die Regierungsbehörde Budapest; Streit um Informationspflicht zu selbst erzeugten Daten (Seriennummer, QR-Code, Strichcode, Gültigkeitsdauer)
Maßgebliche NormenArt. 13, Art. 14 Abs. 1, 5 Buchst. c, Art. 32, Art. 77 Abs. 1, Art. 78 DSGVO; ErwG 61, 62
Tenor 1Ausnahme des Art. 14 Abs. 5 Buchst. c betrifft unterschiedslos alle nicht bei der betroffenen Person erhobenen Daten – von Dritten erlangte und selbst erzeugte
Tenor 2Aufsichtsbehörde darf im Beschwerdeverfahren prüfen, ob das nationale Recht geeignete Maßnahmen zum Schutz der berechtigten Interessen vorsieht
Grenze der PrüfungKeine Prüfung der Geeignetheit der Sicherheitsmaßnahmen nach Art. 32 DSGVO; keine Gültigkeitsprüfung des nationalen Rechts (Rn. 67, 70)
SchutzmaßstabSchutzniveau mindestens gleichwertig zu Art. 14 Abs. 1–4 DSGVO (Rn. 54, 64)
Frist für Information (Art. 14 Abs. 3)Angemessene Frist, spätestens 1 Monat nach Erlangung; spätestens bei erster Mitteilung bzw. erster Offenlegung
Deutsche Ergänzung§ 33 BDSG (weitere Ausnahmen von Art. 14) – unmittelbare Geltung der DSGVO bleibt unberührt
SanktionVerstoß gegen Art. 12–14: Geldbuße bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 Buchst. b DSGVO)
BeweislastBeim Verantwortlichen (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO): Rechtsgrundlage für Ausnahme und gleichwertige Schutzmaßnahmen nachweisen

Geltungsbereich

Das Urteil betrifft alle Verantwortlichen – öffentliche Stellen wie Unternehmen –, die Daten nicht direkt bei der betroffenen Person erheben oder aus vorhandenen Daten neue personenbezogene Daten erzeugen: Behörden (Bescheide, Aktenzeichen, Zertifikate), Auskunfteien und Banken (Scores, Bonitätswerte), Arbeitgeber (Leistungsbewertungen, Kennzahlen), Online-Dienste (Profile, Segmente, Risikoklassen), Versicherer (Tarifeinstufungen). Die DSGVO ist als EU-Verordnung in Deutschland unmittelbar anwendbar; das BDSG ergänzt nur über Öffnungsklauseln.

Was das Urteil im Einzelnen bedeutet

Abgrenzung Art. 13 / Art. 14

Ausnahme Art. 14 Abs. 5 Buchst. c

Die Ausnahme setzt zweierlei voraus (Rn. 53):

  1. Die Erlangung oder Offenlegung ist durch Unions- oder mitgliedstaatliches Recht ausdrücklich geregelt.
  2. Dieses Recht sieht geeignete Maßnahmen zum Schutz der berechtigten Interessen vor – die betroffene Person muss Kontrolle über ihre Daten ausüben und ihre DSGVO-Rechte wahrnehmen können.

Die Aufsichtsbehörde prüft u. a., ob das Recht die Datenarten – auch die zu erzeugenden – hinreichend genau definiert und regelt, wie die betroffene Person tatsächlich Zugang zu den Informationen erhält (Rn. 66). Sind die Voraussetzungen nicht erfüllt, fordert sie den Verantwortlichen zur Information nach Art. 14 Abs. 1, 2 und 4 auf (Rn. 69).

Rolle der Aufsichtsbehörde

Was das für Unternehmen bedeutet

Was das für Verbraucher bedeutet

Betroffene haben grundsätzlich Anspruch auf Information auch über Daten, die eine Stelle über sie erzeugt (z. B. Score-Werte, Kennnummern). Beruft sich die Stelle auf eine gesetzliche Ausnahme, kann man Beschwerde bei der Aufsichtsbehörde einlegen; diese muss prüfen, ob das Gesetz ausreichende Schutzmaßnahmen vorsieht. Unabhängig davon bleibt das Auskunftsrecht nach Art. 15 DSGVO.

Häufige Fehler

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-11-02
Letzte Prüfung:
2026-11-02
In Kraft seit:
2024-11-28
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.