Referenzentscheidung: cc • N° 87-83.429 • 1987-11-03 • Entscheidung einsehen →
Stellen Sie sich vor: Sie sind Eigentümer in Parentis-en-Born und verwalten die Vermietung Ihrer Wohnung selbst. Um die Mieten zu verfolgen, haben Sie eine kleine Excel-Tabelle mit Namen, Adressen und Telefonnummern Ihrer Mieter erstellt. Ein praktisches Werkzeug, denken Sie. Aber wussten Sie, dass diese einfache Tabelle unter das französische Datenschutzgesetz fallen kann? Die Frage, die sich jeder Eigentümer stellt, ist: Wie weit reicht der Schutz personenbezogener Daten? Die Antwort findet sich in einem grundlegenden Urteil des Kassationsgerichtshofs vom 3. November 1987, das eine weite Definition von „personenbezogenen Informationen“ aufstellte: „Informationen, die in irgendeiner Form, direkt oder indirekt, die Identifizierung der natürlichen Personen ermöglichen, auf die sie sich beziehen.“ Eine Definition, die fast 40 Jahre später der Eckpfeiler unseres Datenschutzrechts bleibt.
Der Sachverhalt: eine Geschichte, wie sie täglich vorkommt
1986 wurde eine Person vor dem Strafgericht verfolgt, weil sie eine automatisierte Verarbeitung personenbezogener Informationen ohne die erforderliche vorherige Anmeldung bei der Commission nationale de l'informatique et des libertés (CNIL) durchgeführt hatte. Kurz gesagt, sie hatte eine Computerdatenbank mit personenbezogenen Daten erstellt, ohne die Formalitäten des Gesetzes vom 6. Januar 1978 über Informatik, Dateien und Freiheiten einzuhalten. Der Fall gelangte vor den Kassationsgerichtshof, jedoch nicht zur Schuldfrage, sondern zu einer Vorfrage: Musste der Richter eine vorrangige Verfassungsfrage vorlegen? Der Gerichtshof verneinte dies mit der Begründung, dass der Tatbestand materiell erfüllt sei, sobald eine Verarbeitung ohne Anmeldung stattgefunden habe. Das Wesentliche liegt jedoch woanders: In dieser Entscheidung erinnert der Gerichtshof daran, was eine personenbezogene Information ist. Damals war die Debatte hitzig: War eine direkte Identifizierung (Name + Vorname) erforderlich oder reichte es aus, dass die Information durch Verknüpfung eine Person identifizieren konnte? Der Gerichtshof entschied: Selbst indirekt, sobald die Identifizierung möglich ist, ist die Information personenbezogen. Mit anderen Worten: Eine Telefonnummer, eine IP-Adresse, eine Bankkontonummer können personenbezogene Daten sein, auch ohne den Namen. Diese Entscheidung hatte erhebliche Auswirkungen, da sie Richtern und Bürgern einen weiten Auslegungsspielraum zum Schutz der Privatsphäre gab.
Die Begründung des Gerichts – aufgeschlüsselt
Der Kassationsgerichtshof stützt sich auf Artikel 4 des Gesetzes vom 6. Januar 1978, der personenbezogene Informationen definiert. Er stellt klar, dass der Personenbezug weder vom Träger (Papier, elektronisch) noch davon abhängt, ob die Information direkt mit einem Namen verknüpft ist. Wesentlich ist, dass sie die Identifizierung „ermöglicht“. Die Richter verwenden das Verb „ermöglichen“ im weiteren Sinne: Es reicht aus, dass die Information durch eine Schlussfolgerung oder Verknüpfung zu einer natürlichen Person führen kann. Diese Begründung ist innovativ, da sie zukünftige Technologien vorwegnimmt. 1987 sprach man noch nicht von DNA, Gesichtserkennung oder Geolokalisierung. Dennoch umfasst die Definition des Gerichtshofs bereits diese Techniken. Der Gerichtshof bestätigt damit eine extensive, bürgerfreundliche Auslegung. Die Argumente der Verteidigung – die den Begriff auf direkt identifizierende Daten beschränken wollte – werden zurückgewiesen. Diese Entscheidung ist weder eine Bestätigung noch eine Abkehr: Es ist eine Grundsatzentscheidung, die erste, die eine so klare Definition liefert. Sie wurde später von der Datenschutz-Grundverordnung (DSGVO) von 2016 aufgegriffen, die mit derselben Logik von „personenbezogenen Daten“ spricht. Was nur wenige wissen: Diese Entscheidung hat die europäische Rechtsprechung beeinflusst.
Was das für Sie konkret bedeutet
Wenn Sie als Eigentümer-Vermieter in Mimizan Ihre Vermietungen über eine Software oder eine einfache Excel-Tabelle verwalten, besitzen Sie personenbezogene Daten: Name, Adresse, Telefon, IBAN, Mietbetrag. Sie müssen das Gesetz einhalten: Ihre Mieter informieren, Ihre Verarbeitung bei der CNIL anmelden (falls erforderlich) oder einen Datenschutzbeauftragten benennen und diese Informationen sichern. Im Falle eines Datenlecks oder Missbrauchs können Sie strafrechtlich verfolgt werden. Als Mieter schützt Sie diese Entscheidung: Wenn Ihr Vermieter Daten ohne Ihre Einwilligung erhebt oder für andere Zwecke verwendet (z. B. um Ihnen Werbung zu senden), können Sie Anzeige erstatten. Als Käufer: Bei einem Verkauf verarbeitet der Notar Ihre personenbezogenen Daten; er muss dieselben Regeln einhalten. In meiner Praxis bin ich auf Fälle gestoßen, in denen ein Eigentümer die Namen und Adressen seiner Mieter auf einer Website veröffentlichte, um sie als Zahlungssäumige anzuprangern. Das ist ein klarer Gesetzesverstoß, der mit einer Geldstrafe von bis zu 300.000 € und fünf Jahren Haft geahndet werden kann. Ein weiteres Beispiel: Ein Wohnungseigentümerverwalter, der die Liste der Eigentümer mit ihren ausstehenden Salden in alle Briefkästen wirft. Auch das ist verboten. Wenn Sie in einer solchen Situation sind, hier einige praktische Ratschläge: ...
