Ist eine Fahrzeug-Identifikationsnummer (FIN) ein personenbezogenes Datum? Es gibt sicherlich spannendere Fragen und so manch einer mag alleine die Überlegung für unwichtig halten, doch dem Sachverhalt ist durchaus Aufmerksamkeit zu schenken. Denn der Europäische Gerichtshof (EuGH) hat bereits am 09.11.2023 eine bedeutende Entscheidung (vgl. Rechtssache C‑319/22) bzgl. der Auslegung gefällt, wann sachbezogene Seriennummern ein personenbezogenes Datum sind.
Der Auslöser
Ein Autohersteller (Scania CV AB) machte Reparatur- und Wartungsinformationen gemäß Art. 61 Abs. 1 der EU-Verordnung 2018/858 gegenüber freien Ersatzteilhändlern und anderen „unabhängigen Wirtschaftsakteuren“ auf seiner Website zugänglich. Hierbei veröffentlichte er zunächst nicht die FIN. Der Kläger (Gesamtverband Autoteile-Handel e. V.) vertrat die Meinung, dass der Autohersteller in diesem Fall seiner rechtlichen Verpflichtungen aus Art. 61 Abs. 1 EU-Verordnung 2018/858 nicht ordnungsgemäß nachgekommen sei, da die FIN fehlte. Der Autohersteller verneinte dies mit der Begründung, dass die FIN ein personenbezogenes Datum sei und nicht ohne entsprechende Ermächtigungsgrundlage aus der DSGVO oder einem nationalen Spezialgesetz an Dritte herausgegeben werden darf.
Die Fragen an den EuGH
Welche konkreten Pflichten über Form, Inhalt und Umfang hat der Fahrzeughersteller gem. Art. 61 Abs.1 und Abs. 2 EU-Verordnung 2018/858 einzuhalten und stellt nach Art. 61 Abs. 1 der EU-Verordnung 2018/858 für Fahrzeughersteller eine rechtliche Verpflichtung im Sinne des Art. 6 Abs. 1 lit. c DSGVO dar, welche die Herausgabe von FIN bzw. mit FIN verknüpften Informationen an unabhängige Wirtschaftsakteure als andere Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO rechtfertigt?
Die FIN stellt gemäß Art. 2 Abs. 2 der Verordnung Nr. 19/2011 die Fahrzeug-Identifikationsnummer eines Fahrzeugs dar. Sie also ein alphanumerische:r Code, den der Hersteller einem Fahrzeug zu dem Zweck zuweist, dass sich jedes Fahrzeug einwandfrei identifizieren lässt. Dieser Code enthält u. a. Informationen über den Herstellercode, die Baureihe, das Modelljahr sowie die Fahrzeugnummerierung. Somit alle relevanten Daten, um ein Fahrzeug eindeutig zu identifizieren. Wird die FIN ausschließlich unter diesem Aspekt betrachtet, so stellt diese kein personenbezogenes, sondern ein sachbezogenes Datum dar.
Personenbezogenes oder sachbezogenes Datum?
Nach Art. 4 Nr. 1 der DSGVO sind personenbezogene Daten „alle Informationen, die sich auf eine identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der psychischen, physiologischen, genetischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann“.
Sachdaten sind dagegen Daten, bei denen kein Personenbezug besteht, sondern die sich nur auf eine Sache beziehen. Allerdings ist die FIN neben dem Namen und der Anschrift des Fahrzeughalters in der Zulassungsbescheinigung hinterlegt. Name und Anschrift eines Fahrzeughalters sind selbstverständlich personenbezogene Daten i. S. d. Art. 4 Nr. 1 DSGVO. Durch die Zusammenführung der FIN mit den in der Zulassungsbescheinigung enthaltenen Daten ist nun ein Personenbezug gegeben, sodass die FIN folglich zu einem personenbezogenen Datum wird und damit unter den sachlichen Anwendungsbereich der DSGVO (Art. 2 Abs. 1 DSGVO) fällt.
Die Entscheidung des EuGH
Der EuGH kam zu dem Ergebnis, dass die FIN an sich kein eigenständiges personenbezogenes Datum ist, sondern erst durch die Hinzuziehung weiterer geeigneter Mittel, in diesem Fall der Zulassungsbescheinigung zu einem solchen wird. Dabei beruht die Entscheidung auf der Begriffsbestimmung gemäß Art. 4 Nr. 1 der DSGVO, wonach personenbezogene Daten alle Informationen sind, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Der EuGH definiert den Begriff der Identifizierbarkeit einer Person dabei in seinem Urteil dahingehend, dass eine Person identifizierbar ist, wenn alle Mittel berücksichtigt sind, die diese
„vernünftigerweise entweder von dem Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen, ohne dass es jedoch erforderlich ist, dass sich alle zur Identifizierung dieser Person erforderlichen Informationen in den Händen einer einzigen Einrichtung befinden.”
(Urteil des EuGH vom 09.11.2023, Az. C‑319/22, Rn. 45; Urteil des EuGH vom 19.10.2016, Az. C‑582/14, Rn. 42 und 43)
Im Falle des hier vorliegenden Rechtsstreites war also zu klären, ob die Ersatzteilhändler oder andere unabhängige Akteure über Mittel und Zusatzinformationen verfügen, um bzgl. der FIN einen Personenbezug herstellen zu können. Ist dies nicht der Fall, ist die FIN auch kein personenbezogenes Datum. Der EuGH stellt aber in diesem Einzelfall klar, dass der Autohersteller die FIN auch herausgeben muss, da er nach Art. 61 Abs. 1 der Fahrzeuggenehmigungsverordnung (EU-Verordnung 2018/858) zur Herausgabe verpflichtet ist. Somit besteht für die Übermittlung der FIN eine Rechtsgrundlage, denn
die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
Art. 6 Abs. 1 S. 1 lit. c DSGVO
Die Auswirkungen
Eine FIN bzw. alphanumerischer Code ist für sich genommen kein personenbezogenes Datum, kann aber durch Hinzuziehung weiterer Informationen zu einem personenbezogenen Datum werden. Daher lässt sich dieses Urteil durchaus auf jede andere Art von Kennziffer oder Seriennummer übertragen, welche ohne Hinzuziehung von weiteren Informationen keine natürliche Person identifizierbar machen. Somit ist stets im Einzelfall zu prüfen, ob jene Stelle über entsprechende Mittel und Zusatzinformationen verfügt, um einen Personenbezug bei einem rein sachbezogenen Datum herzustellen.
Also lassen Sie sich gute beraten.
