Entscheidungsreferenz: cc • N° 11-26.099 • 2013-04-23 • Entscheidung einsehen →
Sie verwalten ein kleines Mehrfamilienhaus in Antibes und aktualisieren wie jedes Jahr die Verwaltungssoftware. Nichts Kompliziertes: eine neue Version, einige Sicherheitsupdates, die Oberfläche ändert sich ein wenig. Doch plötzlich warnt Sie Ihr Steuerberater: „Achtung, wenn Sie die Verarbeitung der Daten Ihrer Mieter ändern, müssen Sie möglicherweise eine neue Meldung bei der CNIL einreichen.“ Panik bricht aus: Muss alles neu gemacht werden? Wie lange dauert das? Was kostet das?
Diese Frage stellen sich täglich Hunderte von Eigentümern, Verwaltern und Immobilienfachleuten. Denn der Schutz personenbezogener Daten ist zu einem zentralen Thema geworden, und jeder Fehler kann teuer werden. Aber was gilt tatsächlich als eine Änderung, die eine Neuanmeldung erfordert? Die Antwort gibt ein Urteil des Kassationsgerichtshofs vom 23. April 2013 (Nr. 11-26.099), das einen Schlüsselbegriff klärt: die „wesentliche Änderung“.
Kurz gesagt, der Gerichtshof sagt uns, dass nur eine Änderung, die die zuvor bei der CNIL gemeldeten Informationen betrifft, gemeldet werden muss. Eine bloße technische Aktualisierung einer Software führt nicht zur Verpflichtung, eine neue Meldung einzureichen. Aber Vorsicht: Man muss wissen, was „wesentlich“ ist und was nicht. Lassen Sie uns diese Entscheidung gemeinsam entschlüsseln, mit konkreten Beispielen zur Orientierung.
Der Sachverhalt: eine alltägliche Geschichte
Der Fall betrifft eine von einem Verein betriebene Betreuungseinrichtung für Minderjährige. Für den Betrieb wird eine Verwaltungssoftware verwendet, die Daten über die Betreuer und die aufgenommenen Kinder speichert. Im Jahr 2007 beschließt die Leitung, von einer Software auf eine andere umzusteigen. Nichts Außergewöhnliches: ein Update, ein Anbieterwechsel, verbesserte Funktionen. Doch ein Arbeitnehmer ficht diesen Wechsel an und argumentiert, dass die erhobenen Daten personenbezogen seien und der Softwarewechsel zuvor bei der CNIL hätte gemeldet werden müssen. Er klagt vor dem Arbeitsgericht auf Schadensersatz.
Der Arbeitnehmer macht geltend, dass die gespeicherten Daten (Namen, Vornamen, Alter usw.) personenbezogene Daten seien und die Änderung der Verarbeitung eine vorherige Meldung erforderlich gemacht hätte. Der Verein verteidigt sich damit, dass der Wechsel von einer Software zur anderen lediglich eine technische Aktualisierung gewesen sei, ohne Auswirkungen auf die Art der verarbeiteten Daten. Das Berufungsgericht gibt dem Arbeitnehmer recht und stellt fest, dass die Daten personenbezogen seien und daher jede Änderung der Verarbeitung gemeldet werden müsse. Der Verein legt Revision ein.
Der Kassationsgerichtshof hebt das Berufungsurteil auf. Er wirft den Vorinstanzen vor, nicht geprüft zu haben, ob der Softwarewechsel nicht tatsächlich eine bloße Aktualisierung war, die keine neue Meldung erfordert. Mit anderen Worten: Es reicht nicht aus, dass die Daten personenbezogen sind, damit eine Änderung als wesentlich gilt. Vielmehr muss diese Änderung die Informationen betreffen, die der CNIL gemeldet wurden. Wenn die neue Software dieselben Daten auf dieselbe Weise verarbeitet, handelt es sich nur um eine technische Weiterentwicklung, nicht um eine wesentliche Änderung.
Die Argumentation des Gerichts – entschlüsselt
Die Argumentation des Kassationsgerichtshofs stützt sich auf Artikel 22 des Gesetzes vom 6. Januar 1978 über Datenverarbeitung, Dateien und Freiheiten (Informatique et Libertés) in der damals geltenden Fassung. Dieser Artikel sieht vor, dass Verarbeitungen personenbezogener Daten bei der CNIL gemeldet werden müssen, sofern keine Ausnahmen greifen. Er präzisiert jedoch auch, dass „jede wesentliche Änderung der in der Meldung enthaltenen Informationen“ der Kommission mitgeteilt werden muss. Die Frage ist also: Was ist eine wesentliche Änderung?
Der Gerichtshof antwortet, indem er zwei Dinge unterscheidet: einerseits die Art der verarbeiteten Daten (personenbezogen oder nicht), andererseits den Gegenstand der Meldung (die gemeldeten Informationen). Eine wesentliche Änderung ist eine Änderung, die die der CNIL übermittelten Informationen betrifft: den Zweck der Verarbeitung, die Datenkategorien, die Empfänger, die Speicherdauer usw. Eine bloße technische Aktualisierung – wie der Wechsel von einer Software zur anderen ohne Änderung dieser Elemente – ist dagegen nicht wesentlich.
Mit anderen Worten: Der Kassationsgerichtshof sagt: „Konzentrieren Sie sich nicht auf den Namen der Software oder ihre Version. Schauen Sie stattdessen, was sich konkret an der Datenverarbeitung ändert.“ Wenn Sie von Excel zu einer professionellen Software wechseln, aber weiterhin dieselben Informationen für dieselben Zwecke sammeln und nicht an neue Empfänger weitergeben, liegt keine wesentliche Änderung vor. Was nur wenige wissen: Diese Entscheidung erging unter der Geltung des alten Gesetzes, ist aber heute unter der DSGVO (Datenschutz-Grundverordnung) weiterhin relevant, die bei wesentlichen Änderungen eine Datenschutz-Folgenabschätzung vorschreibt.
Vorsicht jedoch: Diese Entscheidung ist kein Freibrief. Wenn die Aktualisierung eine Änderung der gemeldeten Informationen mit sich bringt – z. B. eine neue Verarbeitungsart, die die Rechte der betroffenen Personen beeinträchtigt –, ist eine neue Meldung erforderlich. Im Zweifel wenden Sie sich an einen Datenschutzexperten.
