{
    "slug": "eugh-c-169-23-masdi-informationspflicht-art-14-selbst-erzeugte-daten",
    "titre": "EuGH C-169/23 (Másdi, VO 2016/679) – Informationspflicht nach Art. 14 DSGVO auch bei selbst erzeugten Daten",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Mit Urteil vom 28.11.2024 in der Rechtssache C-169/23 (Másdi), ECLI:EU:C:2024:988, hat der Gerichtshof der Europäischen Union geklärt, wie Art. 13 und Art. 14…",
    "resume_court": "Mit Urteil vom **28.11.2024** in der Rechtssache **C-169/23 (Másdi)**, ECLI:EU:C:2024:988, hat der **Gerichtshof der Europäischen Union** geklärt, wie **Art. 13 und Art. 14 DSGVO** ([VO (EU) 2016/679](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679)) abzugrenzen sind: Alle personenbezogenen Daten, die der Verantwortliche **nicht unmittelbar bei der betroffenen Person erhoben** hat, fallen unter **Art. 14** – das gilt sowohl für Daten, die er **von Dritten erlangt**, als auch für Daten, die er **selbst im Rahmen seiner Aufgaben erzeugt** (z. B. Seriennummern, QR-Codes, Gültigkeitsdaten, Scores, Berechnungen). Entsprechend greift auch die **Ausnahme nach Art. 14 Abs. 5 Buchst. c DSGVO** (Erlangung/Offenlegung ausdrücklich durch Unions- oder nationales Recht geregelt) für beide Kategorien – aber nur, wenn dieses Recht **geeignete Schutzmaßnahmen** vorsieht, die ein Schutzniveau gewährleisten, das dem von Art. 14 Abs. 1–4 **zumindest gleichwertig** ist. Die **Aufsichtsbehörde** darf im Beschwerdeverfahren (Art. 77 DSGVO) prüfen, ob das nationale Recht solche Maßnahmen enthält; die Prüfung umfasst aber **nicht die TOM nach Art. 32 DSGVO**.",
    "faits": [
        {
            "point": "Entscheidung",
            "valeur": "EuGH, Urteil vom 28.11.2024, Rs. C-169/23 (Vorabentscheidung), ECLI:EU:C:2024:988",
            "autorite": "A"
        },
        {
            "point": "Parteien",
            "valeur": "Nemzeti Adatvédelmi és Információszabadság Hatóság (ungarische Datenschutzbehörde) ./. UC",
            "autorite": "A"
        },
        {
            "point": "Sachverhalt",
            "valeur": "Ausstellung von Covid-19-Immunitätszertifikaten durch die Regierungsbehörde Budapest; Streit um Informationspflicht zu selbst erzeugten Daten (Seriennummer, QR-Code, Strichcode, Gültigkeitsdauer)",
            "autorite": "A"
        },
        {
            "point": "Maßgebliche Normen",
            "valeur": "Art. 13, Art. 14 Abs. 1, 5 Buchst. c, Art. 32, Art. 77 Abs. 1, Art. 78 DSGVO; ErwG 61, 62",
            "autorite": "A"
        },
        {
            "point": "Tenor 1",
            "valeur": "Ausnahme des Art. 14 Abs. 5 Buchst. c betrifft unterschiedslos alle nicht bei der betroffenen Person erhobenen Daten – von Dritten erlangte und selbst erzeugte",
            "autorite": "A"
        },
        {
            "point": "Tenor 2",
            "valeur": "Aufsichtsbehörde darf im Beschwerdeverfahren prüfen, ob das nationale Recht geeignete Maßnahmen zum Schutz der berechtigten Interessen vorsieht",
            "autorite": "A"
        },
        {
            "point": "Grenze der Prüfung",
            "valeur": "Keine Prüfung der Geeignetheit der Sicherheitsmaßnahmen nach Art. 32 DSGVO; keine Gültigkeitsprüfung des nationalen Rechts (Rn. 67, 70)",
            "autorite": "A"
        },
        {
            "point": "Schutzmaßstab",
            "valeur": "Schutzniveau mindestens gleichwertig zu Art. 14 Abs. 1–4 DSGVO (Rn. 54, 64)",
            "autorite": "A"
        },
        {
            "point": "Frist für Information (Art. 14 Abs. 3)",
            "valeur": "Angemessene Frist, spätestens 1 Monat nach Erlangung; spätestens bei erster Mitteilung bzw. erster Offenlegung",
            "autorite": "A"
        },
        {
            "point": "Deutsche Ergänzung",
            "valeur": "§ 33 BDSG (weitere Ausnahmen von Art. 14) – unmittelbare Geltung der DSGVO bleibt unberührt",
            "autorite": "A"
        },
        {
            "point": "Sanktion",
            "valeur": "Verstoß gegen Art. 12–14: Geldbuße bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 Buchst. b DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Beweislast",
            "valeur": "Beim Verantwortlichen (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO): Rechtsgrundlage für Ausnahme und gleichwertige Schutzmaßnahmen nachweisen",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "EuGH, Urteil vom 28.11.2024, C-169/23 (Másdi) – EUR-Lex (CELEX 62023CJ0169)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0169",
            "autorite": "A"
        },
        {
            "titre": "EuGH, C-169/23 – dejure.org",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=28.11.2024\u0026Aktenzeichen=C-169/23",
            "autorite": "A"
        },
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO), Art. 13, 14, 32, 77, 83 – EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "Ergänzende nationale Regelung: § 33 BDSG – gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__33.html",
            "autorite": "A"
        },
        {
            "titre": "Urteilsabdruck (Tenor und Gründe) – Betriebs-Berater/R\u0026W",
            "url": "https://betriebs-berater.ruw.de/wirtschaftsrecht/urteile/Zu-Auslegu-de-in-Ar-14-Ab-5-Buchs-c-DSG-enthalten-Ausnah-vo-de-Pflic-de-Verantwortlich-zu-Informati-de-betroffen-Pers-un-zu-Pruefungsumfa-de-Aufsichts-46982",
            "autorite": "A"
        },
        {
            "titre": "Bayerischer Landesbeauftragter für den Datenschutz, Newsletter 01/2025",
            "url": "https://www.datenschutz-bayern.de/newsletter/PiB_2025_01_DE.pdf",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EuGH C-169/23 (Másdi, VO 2016/679) – Informationspflicht nach Art. 14 DSGVO auch bei selbst erzeugten Daten?",
            "reponse": "Mit Urteil vom 28.11.2024 in der Rechtssache C-169/23 (Másdi), ECLI:EU:C:2024:988, hat der Gerichtshof der Europäischen Union geklärt, wie Art. 13 und Art. 14 DSGVO ([VO (EU) 2016/679](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679)) abzugrenzen sind: Alle personenbezogenen Daten, die der Verantwortliche nicht unmittelbar bei der betroffenen Person erhoben hat, fallen unter Art."
        },
        {
            "question": "Für wen gilt EuGH C-169/23 (Másdi, VO 2016/679)?",
            "reponse": "Das Urteil betrifft alle Verantwortlichen – öffentliche Stellen wie Unternehmen –, die Daten nicht direkt bei der betroffenen Person erheben oder aus vorhandenen Daten neue personenbezogene Daten erzeugen: Behörden (Bescheide, Aktenzeichen, Zertifikate), Auskunfteien und Banken (Scores, Bonitätswerte), Arbeitgeber (Leistungsbewertungen, Kennzahlen), Online-Dienste (Profile, Segmente, Risikoklassen), Versicherer…"
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EuGH C-169/23 (Másdi, VO 2016/679)?",
            "reponse": "„Selbst erzeugte Daten fallen unter Art. 13.\u0022 Falsch – sie werden nicht bei der betroffenen Person erhoben und unterliegen Art. 14 (Rn. 49). „Für selbst erzeugte Daten gibt es keine Ausnahme.\u0022 Falsch – Art. 14 Abs. 5 Buchst. c erfasst auch sie, sofern die Voraussetzungen streng erfüllt sind."
        }
    ],
    "wikidata": [],
    "valid_from": "2024-11-28",
    "valid_to": null,
    "derniere_revision": "2026-11-02",
    "derniere_verification": "2026-11-02",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eugh-c-169-23-masdi-informationspflicht-art-14-selbst-erzeugte-daten"
}