Der EuGH (C-60/22) hat klargestellt, dass ein Verstoß gegen die Art. 26 und 30 DSGVO allein keine rechtswidrige Verarbeitung darstellt, die der betroffenen Person ein Recht auf Löschung oder Einschränkung der Verarbeitung verleiht, da dieser Verstoß als solcher nicht bedeutet, dass der Verantwortliche gegen den Grundsatz der „Rechenschaftspflicht“ im Sinne von Art. 5 Abs. 2 in Verbindung mit Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 Unterabs. 1 DSGVO verstößt.
Hierzu führt der EuGH aus, dass das Fehlen einer Vereinbarung zur Festlegung der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) oder eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO) für sich genommen nicht ausreicht, um eine Verletzung des Grundrechts auf Schutz personenbezogener Daten nachzuweisen. Insbesondere stellen zwar, wie aus den Erwägungsgründen 79 und 82 der DSGVO hervorgeht, die klare Aufteilung der Zuständigkeiten zwischen den gemeinsam Verantwortlichen und das Verzeichnis der Verarbeitungstätigkeiten Mittel dar, um sicherzustellen, dass die Verantwortlichen die in dieser Verordnung vorgesehenen Garantien für den Schutz der Rechte und Grundfreiheiten der betroffenen Personen einhalten. Das Fehlen eines solchen Verzeichnisses oder einer solchen Vereinbarung allein ist jedoch kein Beweis dafür, dass diese Rechte und Grundfreiheiten verletzt wurden.
Zusammenfassend bedeutet dies also, dass weder eine notwendige, aber fehlende Vereinbarung nach Art. 26 DSGVO noch ein fehlendes Verarbeitungsverzeichnis nach Art. 30 DSGVO zur Unzulässigkeit der Verarbeitung personenbezogener Daten (jedenfalls für sich genommen) führen können.
- Gesichtserkennung als Beweismittel: Pflichtverteidiger! - 11. Dezember 2025
- Journalismus oder Spendensammlung: Steuerlichen Einordnung von Blog-Einnahmen - 10. Dezember 2025
- Geldfälschung und Sammlermünzen - 9. Dezember 2025
