Der Europäische Gerichtshof („EuGH“) hat in der Sache C-319/22 entschieden, dass die Fahrzeug-Identifizierungsnummer („FIN“, in der Praxis oft nach der englischen Übersetzung „Vehicle Identification Number“ als „VIN“ bezeichnet) (i) zumindest als solche kein personenbezogenes Datum darstellt, (ii) jedoch zu einem wird, wenn derjenige, der Zugang zu ihr hat über Mittel verfügt, die er „vernünftigerweise“ zur Identifizierung des Halters des Fahrzeugs einsetzen kann.
Dies setzt die Rechtsprechung des EuGH fort, dass häufig keine pauschale Aussage darüber möglich ist, ob eine Information ein personenbezogenes Datum ist, sondern vielmehr die Umstände des konkreten Falles zu betrachten sind. Allerdings vermeidet der EuGH auch in diesem Urteil wieder eine Festlegung über praxisrelevante Fragen, insbesondere dazu wann jene Mittel „vernünftigerweise“ zur Identifizierung der betreffenden Person eingesetzt werden können.
Gegenstand des Verfahrens waren drei Vorlagefragen des Landgerichts Köln vom 11. Mai 2022. Im Ausgangsrechtsstreit stritten die Scania CV AB und der Gesamtverband Autoteile-Handel e.V. über Pflichten des Herstellers (konkret über Form, Inhalt und Umfang dieser Pflichten) nach Art. 61 Abs. 1 und 2 der Verordnung (EU) 2018/858 (Verordnung über die Genehmigung und die Marktüberwachung von Kraftfahrzeugen und Kraftfahrzeuganhängern sowie von Systemen, Bauteilen und selbstständigen technischen Einheiten für diese Fahrzeuge – „VO 2018/858“). Zur Beantwortung der dritten Vorlagefrage musste der EuGH auch darüber entscheiden, ob es sich bei der FIN um ein personenbezogenes Datum handelt.
Für die Definition der Identifizierbarkeit einer Person greift der EuGH wiederholt auf seine Rechtsprechung zur Rs. Breyer zurück und verweist darauf, dass für die Frage der Identifizierbarkeit:
„alle Mittel berücksichtigt werden [sollten], die vernünftigerweise entweder von dem Verantwortlichen […] oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen, ohne dass es jedoch erforderlich ist, dass sich alle zur Identifizierung dieser Person erforderlichen Informationen in den Händen einer einzigen Einrichtung befinden“.
Dies steht auch im Einklang mit Erwägungsgrund 26 der Datenschutz-Grundverordnung („DSGVO“). Das Gericht schließt sich daher der Ansicht des Generalanwalts an, dass die FIN zwar:
„als solche keine ‚personenbezogenen‘ Daten darstellen“, aber: „für denjenigen, der bei vernünftiger Betrachtung über Mittel verfügt, die es ermöglichen, sie einer bestimmten Person zuzuordnen, zu personenbezogenen Daten [werden]“.
Hintergrund ist auch, dass der Generalanwalt die FIN als im Prinzip bloßen „alphanumerischen Code“ beschreibt, den der Hersteller einem Fahrzeug zuweist und der strenggenommen nur dessen genauer Identifizierung dient. Der Natur nach sei die FIN also eigentlich ein sachbezogenes, aber nicht personenbezogenes Merkmal. Allerdings bemerken Generalanwalt und EuGH auch, dass Zulassungsbescheinigungen Informationen wie FIN, Name und Anschrift des Inhabers der Zulassungsbescheinigung enthalten müssen.
Daher handelt es sich bei der FIN um ein personenbezogenes Datum „der in der Zulassungsbescheinigung ausgewiesenen Person“, unter der Voraussetzung, dass „derjenige, der Zugang zur FIN hat, über Mittel verfügen könnte, die es ihm ermöglichen, die FIN zur Identifizierung des Halters des Fahrzeugs, auf das sich die FIN bezieht, oder zur Identifizierung der Person, die aufgrund eines anderen Rechtstitels denn als Halter über das betreffende Fahrzeug verfügen kann, zu nutzen“. Vollständigkeitshalber stellt der EuGH auch klar, dass die FIN für sich genommen für die Fahrzeughersteller kein personenbezogenes Datum darstellt, wenn das Fahrzeug, dem die FIN zugewiesen wurde, nicht einer natürlichen Person gehört. Allerdings schließt der EuGH nicht aus, dass die FIN auch in diesen Fällen ein personenbezogenes Datum darstellen kann, nämlich wenn die FIN mit anderen Daten kombiniert wird.
Für den konkreten Fall überlässt es der EuGH dem vorlegenden Gericht zu bewerten, ob „die unabhängigen Wirtschaftsakteure bei vernünftiger Betrachtung über Mittel verfügen können, die es ermöglichen, die FIN einer identifizierten oder identifizierbaren natürlichen Person zuzuordnen“, also ob es sich bei der FIN um ein personenbezogenes Datum handelt.
Neben der Frage der FIN als personenbezogenes Datum entschied der EuGH auch über den Zugang zu Fahrzeugdaten nach Art. 61 VO 2018/858:
Leider verpasst der EuGH die Gelegenheit in praxisrelevanten Fragen für Klarheit zu sorgen:
In der Praxis sollte zudem beachtet werden, dass die FIN nur selten isoliert vorliegt und häufig im Zusammenhang mit weiteren Daten verarbeitet wird, die bereits unabhängig von der FIN eine Identifikation erlauben können (z.B. bei Nutzeraccounts für Connected Car Anwendungen). Jedenfalls in solchen Fällen wird auch die FIN in der Praxis sehr leicht zum personenbezogenen Datum, zumindest für den die weiteren Informationen Verarbeitenden (z.B. im Zusammenhang mit einer Connected Car Anwendung).
Außerdem erscheint es wahrscheinlich, dass die Datenschutzbehörden in ihrer Absicht, die betroffene Person umfassend zu schützen, personenbezogene Daten weiterhin weit auslegen, also eher niedrige Schwellenwerte für das Vorliegen „vernünftiger” Mitteln zur Identifizierung der betreffenden Person anwenden (wie es die Aufsichtsbehörden auch im Anschluss an die Rechtssache Breyer getan haben).
Es bleiben also viele Fragen offen, und dies wird sicher nicht die letzte EuGH-Entscheidung zur Definition von personenbezogenen Daten bleiben.