Der EuGH antwortete auf diese Frage, dass der Petitionsausschuss eines Gliedstaats eines Mitgliedstaats insoweit, als dieser Ausschuss allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet, als „Verantwortlicher“ im Sinne der DSGVO einzustufen ist. Die von einem solchen Ausschuss vorgenommene Verarbeitung personenbezogener Daten unterliege daher der DSGVO.
Begründend führte der EuGH aus, dass die Tätigkeiten des Petitionsausschusses nicht unter eine in der DSGVO vorgesehene Ausnahme fallen:
- Die Definition des „Verantwortlichen“ (Art. 4 Z 7 DSGVO) sei nicht auf Behörden beschränkt, sondern hinreichend weit, um jede Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet, einzuschließen.
- Zum Argument des Landes Hessen, dass die Tätigkeiten eines parlamentarischen Ausschusses nicht in den Anwendungsbereich des Unionsrechts im Sinne von Art. 2 Abs. 2 DSGVO fallen, hielt der EuGH – unter Hinweis auf seine Judikatur zur früheren Datenschutz-Richtlinie 95/46/EG – fest, dass es nicht erforderlich ist, dass in jedem Einzelfall tatsächlich ein Zusammenhang mit dem freien Verkehr zwischen Mitgliedstaaten besteht.
- Art. 2 Abs. 2 lit. a DSGVO (Ausnahme für Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen) sei eng auszulegen, da er eine Ausnahme von der sehr weiten Definition des Anwendungsbereichs in Art. 2 Abs. 1 DSGVO darstelle. Der EuGH nahm wiederum Bezug auf seine Rechtsprechung zur Datenschutz-Richtlinie 95/46/EG und kam zum Ergebnis, dass es für die Geltung dieser Ausnahme nicht ausreicht, dass eine Tätigkeit eine spezifische des betreffenden Staates oder einer Behörde ist. Es sei nämlich erforderlich, dass die Tätigkeit zu denjenigen gehört, die ausdrücklich in den übrigen Ausnahmen (des Art. 2 DSGVO) genannt sind, oder dass sie derselben Kategorie wie diese zugeordnet werden könne – dies verneinte der EuGH im konkreten Fall. Zwar seien die Tätigkeiten des Petitionsausschusses des Hessischen Landtages zweifellos behördlicher Art und spezifische dieses Landes, da dieser Ausschuss mittelbar zur parlamentarischen Tätigkeit beiträgt, die Tätigkeiten seien jedoch auch politischer und administrativer Natur. Zudem gehe aus den dem EuGH vorliegenden Akten in keiner Weise hervor, dass diese Tätigkeiten den in Art. 2 Abs. 2 lit. b und d DSGVO genannten Tätigkeiten entsprechen oder derselben Kategorie wie diese zugeordnet werden können.
- Schließlich sei in der DSGVO, insbesondere in Erwägungsgrund 20 und in Art. 23, keine Ausnahme in Bezug auf parlamentarische Tätigkeiten vorgesehen.
Vgl. zu diesem Verfahren die Pressemitteilung und den Volltext der Entscheidung.
