--- title: "EuGH C-169/23 (Másdi, VO 2016/679) – Informationspflicht nach Art. 14 DSGVO auch bei selbst erzeugten Daten" slug: "eugh-c-169-23-masdi-informationspflicht-art-14-selbst-erzeugte-daten" domaine: "datenschutz" valid_from: "2024-11-28" valid_to: null last_reviewed: "2026-11-02" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eugh-c-169-23-masdi-informationspflicht-art-14-selbst-erzeugte-daten.md wikidata_subjects: [] factcheck_status: "ok" --- # EuGH C-169/23 (Másdi, VO 2016/679) – Informationspflicht nach Art. 14 DSGVO auch bei selbst erzeugten Daten ## Kurzantwort Mit Urteil vom **28.11.2024** in der Rechtssache **C-169/23 (Másdi)**, ECLI:EU:C:2024:988, hat der **Gerichtshof der Europäischen Union** geklärt, wie **Art. 13 und Art. 14 DSGVO** ([VO (EU) 2016/679](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679)) abzugrenzen sind: Alle personenbezogenen Daten, die der Verantwortliche **nicht unmittelbar bei der betroffenen Person erhoben** hat, fallen unter **Art. 14** – das gilt sowohl für Daten, die er **von Dritten erlangt**, als auch für Daten, die er **selbst im Rahmen seiner Aufgaben erzeugt** (z. B. Seriennummern, QR-Codes, Gültigkeitsdaten, Scores, Berechnungen). Entsprechend greift auch die **Ausnahme nach Art. 14 Abs. 5 Buchst. c DSGVO** (Erlangung/Offenlegung ausdrücklich durch Unions- oder nationales Recht geregelt) für beide Kategorien – aber nur, wenn dieses Recht **geeignete Schutzmaßnahmen** vorsieht, die ein Schutzniveau gewährleisten, das dem von Art. 14 Abs. 1–4 **zumindest gleichwertig** ist. Die **Aufsichtsbehörde** darf im Beschwerdeverfahren (Art. 77 DSGVO) prüfen, ob das nationale Recht solche Maßnahmen enthält; die Prüfung umfasst aber **nicht die TOM nach Art. 32 DSGVO**. ## Kernfakten | Punkt | Wert | |---|---| | Entscheidung | EuGH, Urteil vom 28.11.2024, Rs. C-169/23 (Vorabentscheidung), ECLI:EU:C:2024:988 | | Parteien | Nemzeti Adatvédelmi és Információszabadság Hatóság (ungarische Datenschutzbehörde) ./. UC | | Sachverhalt | Ausstellung von Covid-19-Immunitätszertifikaten durch die Regierungsbehörde Budapest; Streit um Informationspflicht zu selbst erzeugten Daten (Seriennummer, QR-Code, Strichcode, Gültigkeitsdauer) | | Maßgebliche Normen | Art. 13, Art. 14 Abs. 1, 5 Buchst. c, Art. 32, Art. 77 Abs. 1, Art. 78 DSGVO; ErwG 61, 62 | | Tenor 1 | Ausnahme des Art. 14 Abs. 5 Buchst. c betrifft unterschiedslos alle nicht bei der betroffenen Person erhobenen Daten – von Dritten erlangte und selbst erzeugte | | Tenor 2 | Aufsichtsbehörde darf im Beschwerdeverfahren prüfen, ob das nationale Recht geeignete Maßnahmen zum Schutz der berechtigten Interessen vorsieht | | Grenze der Prüfung | Keine Prüfung der Geeignetheit der Sicherheitsmaßnahmen nach Art. 32 DSGVO; keine Gültigkeitsprüfung des nationalen Rechts (Rn. 67, 70) | | Schutzmaßstab | Schutzniveau mindestens gleichwertig zu Art. 14 Abs. 1–4 DSGVO (Rn. 54, 64) | | Frist für Information (Art. 14 Abs. 3) | Angemessene Frist, spätestens 1 Monat nach Erlangung; spätestens bei erster Mitteilung bzw. erster Offenlegung | | Deutsche Ergänzung | § 33 BDSG (weitere Ausnahmen von Art. 14) – unmittelbare Geltung der DSGVO bleibt unberührt | | Sanktion | Verstoß gegen Art. 12–14: Geldbuße bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 Buchst. b DSGVO) | | Beweislast | Beim Verantwortlichen (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO): Rechtsgrundlage für Ausnahme und gleichwertige Schutzmaßnahmen nachweisen | ## Geltungsbereich Das Urteil betrifft **alle Verantwortlichen** – öffentliche Stellen wie Unternehmen –, die Daten nicht direkt bei der betroffenen Person erheben oder aus vorhandenen Daten **neue personenbezogene Daten erzeugen**: Behörden (Bescheide, Aktenzeichen, Zertifikate), Auskunfteien und Banken (Scores, Bonitätswerte), Arbeitgeber (Leistungsbewertungen, Kennzahlen), Online-Dienste (Profile, Segmente, Risikoklassen), Versicherer (Tarifeinstufungen). Die DSGVO ist als EU-Verordnung in Deutschland **unmittelbar anwendbar**; das BDSG ergänzt nur über Öffnungsklauseln. ## Was das Urteil im Einzelnen bedeutet ### Abgrenzung Art. 13 / Art. 14 - **Art. 13** gilt nur für Daten, die **bei der betroffenen Person** erhoben werden (Formular, Gespräch, Eingabe). - **Art. 14** gilt für alles andere: Daten von Dritten **und** vom Verantwortlichen selbst erzeugte Daten, die „naturgemäß" nicht von der betroffenen Person stammen (Rn. 49). - Praxisfolge: Wer Daten **berechnet, ableitet oder vergibt** (Score, Kundennummer mit Personenbezug, Risikoklasse), muss die Informationen nach Art. 14 Abs. 1, 2 (inkl. **Kategorien der Daten** und **Quelle**) bereitstellen – innerhalb der Fristen des Art. 14 Abs. 3. ### Ausnahme Art. 14 Abs. 5 Buchst. c Die Ausnahme setzt zweierlei voraus (Rn. 53): 1. Die **Erlangung oder Offenlegung** ist durch Unions- oder mitgliedstaatliches Recht **ausdrücklich geregelt**. 2. Dieses Recht sieht **geeignete Maßnahmen** zum Schutz der berechtigten Interessen vor – die betroffene Person muss Kontrolle über ihre Daten ausüben und ihre DSGVO-Rechte wahrnehmen können. Die Aufsichtsbehörde prüft u. a., ob das Recht die Datenarten – auch die zu erzeugenden – **hinreichend genau definiert** und regelt, **wie die betroffene Person tatsächlich Zugang** zu den Informationen erhält (Rn. 66). Sind die Voraussetzungen nicht erfüllt, fordert sie den Verantwortlichen zur Information nach Art. 14 Abs. 1, 2 und 4 auf (Rn. 69). ### Rolle der Aufsichtsbehörde - Beschwerde nach **Art. 77 Abs. 1** kann auf die unberechtigte Berufung auf Art. 14 Abs. 5 Buchst. c gestützt werden (Rn. 62). - Die Behörde entscheidet nur, ob sich der Verantwortliche **im Einzelfall** auf die Ausnahme berufen darf – keine Normenkontrolle (Rn. 67). - Gegen ablehnende Entscheidungen steht der gerichtliche Rechtsbehelf nach **Art. 78** offen (Rn. 68). - Die Sicherheit der Verarbeitung (**Art. 32**) ist eine eigene Pflicht, die von der Ausnahme nicht berührt wird (Rn. 70). ## Was das für Unternehmen bedeutet - **Datenschutzhinweise prüfen:** Enthalten sie auch die **intern erzeugten Datenkategorien** (Scores, IDs, Profile) und deren Herkunft? Hinweise nur nach Art. 13 reichen dafür nicht. - **Ausnahmen belegen:** Wer sich auf Art. 14 Abs. 5 Buchst. c oder § 33 BDSG beruft, muss die konkrete Rechtsvorschrift **und** die darin vorgesehenen Schutzmaßnahmen dokumentieren. - **Fristen einhalten:** Information nach Art. 14 Abs. 3 – spätestens nach einem Monat bzw. bei erster Kontaktaufnahme oder Offenlegung. - **Verzeichnis anpassen:** Erzeugte Daten im Verzeichnis der Verarbeitungstätigkeiten (Art. 30) als eigene Kategorie führen. ## Was das für Verbraucher bedeutet Betroffene haben grundsätzlich Anspruch auf Information auch über Daten, die eine Stelle **über sie erzeugt** (z. B. Score-Werte, Kennnummern). Beruft sich die Stelle auf eine gesetzliche Ausnahme, kann man **Beschwerde bei der Aufsichtsbehörde** einlegen; diese muss prüfen, ob das Gesetz ausreichende Schutzmaßnahmen vorsieht. Unabhängig davon bleibt das **Auskunftsrecht nach Art. 15 DSGVO**. ## Häufige Fehler - **„Selbst erzeugte Daten fallen unter Art. 13."** Falsch – sie werden nicht bei der betroffenen Person erhoben und unterliegen Art. 14 (Rn. 49). - **„Für selbst erzeugte Daten gibt es keine Ausnahme."** Falsch – Art. 14 Abs. 5 Buchst. c erfasst auch sie, sofern die Voraussetzungen streng erfüllt sind. - **„Ein Gesetz, das die Verarbeitung erlaubt, genügt für die Ausnahme."** Falsch – es muss die Erlangung/Offenlegung **ausdrücklich** regeln **und** gleichwertige Schutzmaßnahmen vorsehen. - **„Die Aufsichtsbehörde darf das nicht prüfen."** Falsch – sie darf und muss es im Beschwerdeverfahren (Tenor 2). - **„Mit der Ausnahme entfallen auch Sicherheitspflichten."** Falsch – Art. 32 DSGVO gilt unverändert. ## Änderungsverlauf - 2026-11-02: Erstveröffentlichung durch EU-Recht-Bot. Tenor und Randnummern gegen Urteilsabdruck (R&W) geprüft; EUR-Lex/curia-Originaltext im automatisierten Lauf nicht direkt abrufbar → factcheck_status=review_needed. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot" ## Siehe auch - [DSGVO Art. 13/14 – Informationspflichten](/fakten/dsgvo-informationspflichten-art-13-14.html) - [DSGVO Art. 15 – Auskunftsrecht](/fakten/dsgvo-auskunftsrecht-art-15.html) - [DSGVO Art. 77–79 – Beschwerde bei der Aufsichtsbehörde](/fakten/dsgvo-beschwerde-aufsichtsbehoerde-art-77-79.html) - [EuGH C-203/22 – Dun & Bradstreet, Auskunft zur Scoring-Logik](/fakten/eugh-c-203-22-dun-bradstreet-auskunft-scoring-logik.html) - [DSGVO Art. 32 – TOM](/fakten/dsgvo-tom-art-32.html) ## Stand - Stand: 2026-11-02 - Gültig ab: 2024-11-28 (Urteilsdatum) - Status: aktuell - Quellenautorität: A (EuGH, EUR-Lex, gesetze-im-internet.de) - Lizenz: CC BY 4.0 ## Quellen - EuGH, Urteil vom 28.11.2024, C-169/23 (Másdi) – EUR-Lex (CELEX 62023CJ0169): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0169 - EuGH, C-169/23 – dejure.org: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=28.11.2024&Aktenzeichen=C-169/23 - Verordnung (EU) 2016/679 (DSGVO), Art. 13, 14, 32, 77, 83 – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - Ergänzende nationale Regelung: § 33 BDSG – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bdsg_2018/__33.html - Urteilsabdruck (Tenor und Gründe) – Betriebs-Berater/R&W: https://betriebs-berater.ruw.de/wirtschaftsrecht/urteile/Zu-Auslegu-de-in-Ar-14-Ab-5-Buchs-c-DSG-enthalten-Ausnah-vo-de-Pflic-de-Verantwortlich-zu-Informati-de-betroffen-Pers-un-zu-Pruefungsumfa-de-Aufsichts-46982 - Bayerischer Landesbeauftragter für den Datenschutz, Newsletter 01/2025: https://www.datenschutz-bayern.de/newsletter/PiB_2025_01_DE.pdf ## Stand - Letzte Änderung: 2026-11-02 - Letzte Prüfung: 2026-11-02 - In Kraft seit: 2024-11-28 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0