Mit Urteil vom 18.12.2024 (Az. 6 K 1563/21.WI; aktuell noch nicht öffentlich abrufbar) hat das VG Wiesbaden im Nachgang zur Entscheidung des EuGH vom 21.3.2024 (Rechtssache C-61/22) u.a. dazu entschieden, wie sich Verstöße gegen die Pflicht zur Durchführung einer Datenschutzfolgeabschätzung (DSFA) nach Art. 35 DSGVO auf die Rechtmäßigkeit der Datenverarbeitung auswirken.

In seiner Entscheidung verweist das VG Wiesbaden insbesondere auch auf das EuGH-Verfahren in der Rechtssache C-60/22 (Urt. v. 4.5.2023).

In dem Verfahren ging es um die Frage, ob ein Betroffener einen Anspruch auf Ausstellung eines Personalausweises ohne die Aufnahme von Fingerabdrücken hat – dies lehnt das VG ab.

Datenverarbeitung ohne DSFA?

Der Betroffene argumentierte gegen die Zulässigkeit der Verarbeitung von Fingerabdrücken unter anderem, ob denn die Stadt Wiesbaden nicht verpflichtet sei, eine DSFA durchzuführen. Und wenn diese nicht (richtig) durchgeführt worden sei, ob sich dies nicht auf die Rechtmäßigkeit der Verarbeitung auswirke.

Das VG lehnt die Relevanz der Durchführung einer DSFA für die Frage der Rechtmäßigkeit einer Datenverarbeitung ab. „Dies hat keinen Einfluss auf die Rechtmäßigkeit der konkreten Datenverarbeitung.“

Keine Auswirkung auf die Rechtmäßigkeit

Nach Ansicht des VG wirkt sich eine nicht oder fehlerhaft durchgeführte DSFA nicht auf die materielle Zulässigkeit des Verarbeitungsvorgangs personenbezogener Daten aus.

Der EuGH habe in der Rechtssache C-60/22 ausgeführt, dass Art. 26 und Art. 30 DSGVO, die wie Art. 35 DSGVO ebenfalls zu Kapitel IV zählen, nur Pflichten des Verantwortlichen beziehungsweise Auftragsverarbeiters betreffen, jedoch nicht die Rechtmäßigkeit der Verarbeitung beeinflussen.

Kapitel IV der DSGVO betreffe die Pflichten des Verantwortlichen.

„Die Rechtmäßigkeit der Verarbeitung wird, wie sich aus der Überschrift von Art. 6 der DSGVO selbst ergibt, gerade in Art. 6 DSGVO geregelt.“

Diese Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, ist erschöpfend und abschließend, sodass eine Verarbeitung unter einen der in Art. 6 Abs. 1 Unterabs. 1 der DSGVO vorgesehenen Fälle subsumierbar sein muss, um als rechtmäßig angesehen werden zu können.

„Die Einhaltung der in Art. 35 DS-GVO vorgesehenen Pflicht zur Vornahme einer Datenschutzfolgeabwägung zählt nicht zu den in Art. 6 Abs. 1 Unterabs. 1 DS-GVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung.“