Bislang herrschte in Deutschland die Auffassung vor, der Datenschutz sei nur von Behörden und anderen öffentlichen Stellen sowie von Unternehmen zu beachten. Der Bundestag und die Landesparlamente gehörten danach bisher nur insofern zu den Adressaten des Datenschutzrechts, als die Parlamentsverwaltung Daten von Bürgerinnen und Bürgern (etwa im Zusammenhang mit Petitionen) verarbeiten. Soweit die Verarbeitung solcher Daten für parlamentarische Zwecke in Rede steht, wurde bisher angenommen, dass sie nur durch eine Entscheidung des jeweiligen Parlaments (zB durch die Geschäftsordnung oder eine gesonderte Datenschutzordnung) begrenzt werden kann. Selbst solche parlamentsinternen Regeln fehlen bisher in vielen deutschen Parlamenten. Zudem wurde den unabhängigen Datenschutzbehörden bisher stets unter Verweis auf die Gewaltenteilung das Recht zur Kontrolle des Datenschutzes im parlamentarischen Raum abgesprochen.
Mit diesen Vorstellungen hat der Europäische Gerichtshof (EuGH) in seinem Urteil v. 16.1.2024 (Rechtssache C-33/22, Österreichische Datenschutzbehörde/WK, https://curia.europa.eu/juris/document/document.jsf?text=&docid=281303&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=3027209) aufgeräumt. In dem zugrundeliegenden Fall hatte ein Polizist vor einem parlamentarischen Untersuchungsausschuss zur möglichen politischen Beeinflussung des österreichischen Verfassungsschutzes als Zeuge ausgesagt. Obwohl ihm auf seine Bitte hin Anonymität zugesichert worden war, erschien das Protokoll seiner Vernehmung anschließend unter voller Namensnennung auf der Webseite des Österreichischen Parlaments. Die Datenschutzbehörde wies seine Beschwerde dagegen unter Hinweis auf den Gewaltungsteilungsgrundsatz zurück.
Der EuGH weist zunächst in Fortführung seiner bisherigen Rechtsprechung auf den weiten Anwendungsbereich der Datenschutz-Gundverordnung hin, die allgemein „für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“ gilt, ohne dies auf bestimmte öffentliche oder private Stellen zu begrenzen. Schon 2020 hatte der Gerichtshof die Geltung der Grundverordnung für Petitionsausschüsse klargestellt. Das Argument des Österreichischen Parlaments, ein Untersuchungsausschuss im Gegensatz zu Petitionsausschüssen unmittelbar und ausschließlich parlamentarisch tätig und könne daher nicht der Datenschutz-Grundverordnung unterliegen, ließ der Gerichtshof nicht gelten. Nicht genug damit: der EuGH lehnte auch das Argument des Österreichischen Nationalrats ab, die Grundverordnung sei nicht anwendbar, weil der Untersuchungsgegenstand des Ausschusses die nationale Sicherheit berühre. Insbesondere war der Gerichtshof nicht davon überzeugt, dass es die nationale Sicherheit erfordert hätte, den Namen des Zeugen, der anonym bleiben wollte, zu veröffentlichen.
Schließlich widerspricht der EuGH – und das ist besonders bemerkenswert – der Auffassung der österreichischen Datenschutzbehörde, sie sei durch den Verfassungsgrundsatz der Gewaltenteilung daran gehindert, den Datenschutz im parlamentarischen Raum zu kontrollieren. Wenn ein Mitgliedstaat nur eine einzige Datenschutzbehörde eingerichtet hat und keine Kontrollbefugnis etwa gegenüber parlamentarischen Untersuchungsausschüssen eingeräumt hat, kann er sich nicht auf innerstaatliche Regelungen – auch wenn sie wie das Gewaltenteilungsprinzip Verfassungsrang haben – berufen, um eine Datenverarbeitung im parlamentarischen Raum der unabhängigen Datenschutzkontrolle zu entziehen.
Dieses Urteil dürfte weitreichende Folgen auch in Deutschland haben, wo zwar – anders als in Österreich – neben dem Bundesbeauftragten für Datenschutz und Informationsfreiheit auch in allen Bundesländern Aufsichtsbehörden für den Datenschutz bestehen; diese haben jedoch nach deutschem Recht bisher keine Kontrollrechte im parlamentarischen Raum. Dass dies mit dem Unionsrecht nicht zu vereinbaren ist, hat der EuGH jetzt klargestellt.
Dr. Alexander Dix