Nexvyra

EuGH C-46/23 (Újpest, VO 2016/679) – Löschanordnung der Datenschutzaufsicht von Amts wegen, ohne Antrag der betroffenen Person In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-31 · letzte Prüfung: 2026-10-31 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Mit Urteil vom 14. März 2024 in der Rechtssache C-46/23 (Újpesti Polgármesteri Hivatal) hat der Gerichtshof der Europäischen Union (Fünfte Kammer) entschieden: Eine Datenschutz-Aufsichtsbehörde darf den Verantwortlichen oder Auftragsverarbeiter von Amts wegen anweisen, unrechtmäßig verarbeitete personenbezogene Daten zu löschen – auch wenn die betroffene Person keinen Löschantrag nach Art. 17 Abs. 1 DSGVO gestellt hat. Rechtsgrundlage sind die Abhilfebefugnisse des Art. 58 Abs. 2 Buchst. d und g DSGVO (EUR-Lex, Amtsblatt-Mitteilung C/2024/3049; CURIA-Pressemitteilung Nr. 48/24). Die Befugnis besteht unabhängig davon, ob die Daten bei der betroffenen Person selbst erhoben wurden oder aus einer anderen Quelle stammen (Art. 13 vs. Art. 14 DSGVO). Begründung: Würde man einen Antrag verlangen, dürfte der Verantwortliche bei fehlendem Antrag die Daten weiter unrechtmäßig speichern – das widerspräche der Pflicht der Aufsicht, über die umfassende Einhaltung der DSGVO zu wachen (Art. 57 Abs. 1 Buchst. a DSGVO). Wer eine solche Anordnung nicht befolgt, riskiert eine Geldbuße bis 20 Mio. EUR oder 4 % des weltweiten Vorjahresumsatzes (Art. 83 Abs. 6 DSGVO).

Kernfakten

PunktWert
AktenzeichenC-46/23 (Vorabentscheidungsersuchen nach Art. 267 AEUV) [EUR-Lex C/2024/3049]
BezeichnungÚjpesti Polgármesteri Hivatal – Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala / Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Entscheidungsdatum14.03.2024
SpruchkörperGerichtshof, Fünfte Kammer [EUR-Lex C/2024/3049]
CELEX (Amtsblatt-Mitteilung)62023CA0046
Vorlegendes GerichtFővárosi Törvényszék (Hauptstädtisches Stuhlgericht Budapest, Ungarn)
Ausgelegte NormenArt. 58 Abs. 2 Buchst. d und g, Art. 17 Abs. 1 DSGVO (VO 2016/679)
Kernaussage 1Aufsichtsbehörde darf Löschung unrechtmäßig verarbeiteter Daten ohne vorherigen Antrag der betroffenen Person anordnen, wenn dies zur Erfüllung ihrer Aufgabe erforderlich ist [CURIA PM 48/24]
Kernaussage 2Gilt für direkt erhobene und für aus anderer Quelle stammende Daten gleichermaßen [CURIA PM 48/24]
SachverhaltBezirksverwaltung Újpest erhielt 2020 für ein Covid-19-Hilfsprogramm Daten von Staatskasse und Regierungsbehörde; Betroffene nicht binnen einem Monat informiert (Art. 14 DSGVO); Anordnung: Daten anspruchsberechtigter Nicht-Antragsteller löschen
Auswahl des MittelsErmessen der Behörde unter Berücksichtigung aller Umstände; Pflicht, mit aller gebotenen Sorgfalt über die Einhaltung der DSGVO zu wachen (Rn. 41 nach Sekundärquelle, Verweis auf C-311/18 Schrems II)
Sanktion bei Nichtbefolgungbis 20 Mio. EUR oder 4 % des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist Art. 83 Abs. 6 DSGVO, [EUR-Lex 32016R0679]
Rechtsnatur DSGVOEU-Verordnung – unmittelbar in DE anwendbar; Auslegung durch EuGH bindet deutsche Aufsichtsbehörden und Gerichte
Rechtsschutz DEKlage zum Verwaltungsgericht gegen die Anordnung Art. 78 DSGVO, [§ 20 BDSG]
Zuständige Aufsicht DE (nicht-öffentlich)Landesdatenschutzbehörden [§ 40 BDSG]
EDSA-BezugErgebnis entspricht EDSA-Stellungnahme 39/2021 zu Art. 58 Abs. 2 Buchst. g DSGVO

Geltungsbereich

Das Urteil betrifft jeden Verantwortlichen und jeden Auftragsverarbeiter im Anwendungsbereich der DSGVO (VO 2016/679) – Unternehmen, Vereine, freie Berufe ebenso wie öffentliche Stellen (im Ausgangsfall eine Kommunalverwaltung). Da die DSGVO eine EU-Verordnung ist, gilt sie unmittelbar in Deutschland; ein nationales Umsetzungsgesetz ist nicht nötig. Das BDSG ergänzt nur Zuständigkeit (§ 40 BDSG für den nicht-öffentlichen Bereich) und Rechtsweg (§ 20 BDSG).

Wichtig für öffentliche Stellen in Deutschland: Gegen Behörden werden zwar grundsätzlich keine Geldbußen verhängt (§ 43 Abs. 3 BDSG), Anordnungen nach Art. 58 Abs. 2 DSGVO – einschließlich der Löschanordnung – bleiben aber zulässig.

Was der EuGH konkret entschieden hat

1. Abhilfebefugnisse ohne Antrag. Art. 58 Abs. 2 DSGVO unterscheidet zwischen Befugnissen, die an einen Antrag der betroffenen Person anknüpfen (z. B. Buchst. c – Anweisung, Anträgen auf Ausübung von Betroffenenrechten zu entsprechen), und solchen, die die Behörde von Amts wegen ausüben kann. Zu Letzteren gehören Buchst. d (Anweisung, Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen) und Buchst. g (Anordnung der Löschung nach Art. 17 bzw. der Einschränkung nach Art. 18).

2. Art. 17 Abs. 1 DSGVO enthält zwei Löschfälle. Der Wortlaut („… und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen …") begründet neben dem Recht der betroffenen Person eine eigenständige Löschpflicht des Verantwortlichen, die auch ohne Antrag gilt – etwa wenn Daten unrechtmäßig verarbeitet wurden (Art. 17 Abs. 1 Buchst. d DSGVO).

3. Rechenschaftspflicht. Nach Art. 5 Abs. 1 Buchst. a und Abs. 2 DSGVO muss der Verantwortliche selbst die Rechtmäßigkeit seiner Verarbeitung sicherstellen und nachweisen – nicht die betroffene Person durch einen Antrag.

4. Herkunft der Daten unerheblich. Die Befugnis gilt für Daten, die bei der betroffenen Person erhoben wurden, ebenso wie für Daten aus Drittquellen (hier: Staatskasse, Regierungsbehörde).

Was das für Verantwortliche in Deutschland bedeutet

Häufige Fehler

Beispiel

Ein Online-Händler kauft eine Adressliste zu und nutzt sie für Werbebriefe, ohne die Betroffenen binnen eines Monats nach Art. 14 DSGVO zu informieren und ohne tragfähige Rechtsgrundlage. Nach einem Hinweis eines Mitbewerbers prüft die Landesdatenschutzbehörde. Auch wenn keiner der Adressaten Löschung verlangt hat, kann sie nach Art. 58 Abs. 2 Buchst. g DSGVO anordnen, die zugekauften Datensätze zu löschen. Befolgt der Händler die Anordnung nicht, droht ein Bußgeld nach Art. 83 Abs. 6 DSGVO; zusätzlich kann der ursprüngliche Verstoß nach Art. 83 Abs. 5 DSGVO geahndet werden.

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-10-31
Letzte Prüfung:
2026-10-31
In Kraft seit:
2024-03-14
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.