Jugement/arrêt, Cour constitutionnelle (Cour d'Arbitrage), 2021-01-14

Geschäftsverzeichnisnr. 7135
Entscheid Nr. 3/2021
vom 14. Januar 2021
ENTSCHEID
___________
In Sachen: Klage auf Nichtigerklärung von Artikel 221 § 2 des Gesetzes vom 30. Juli 2018
« über den Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten », erhoben von der VoG « Verband der Belgischen Unternehmen ».
Der Verfassungsgerichtshof,
zusammengesetzt aus den Präsidenten F. Daoût und L. Lavrysen, und den Richtern T. Merckx-Van Goey, R. Leysen, M. Pâques, Y. Kherbache und T. Detienne, unter Assistenz des Kanzlers P.-Y. Dutilleux, unter dem Vorsitz des Präsidenten F. Daoût,
erlässt nach Beratung folgenden Entscheid:
2
I. Gegenstand der Klage und Verfahren
Mit einer Klageschrift, die dem Gerichtshof mit am 5. März 2019 bei der Post aufgegebenem Einschreibebrief zugesandt wurde und am 6. März 2019 in der Kanzlei eingegangen ist, erhob die VoG « Verband der Belgischen Unternehmen », unterstützt und vertreten durch RÄin M. Grégoire, beim Kassationshof zugelassen, und RA C. De Jonghe, in Brüssel zugelassen, Klage auf Nichtigerklärung von Artikel 221 § 2 des Gesetzes vom 30. Juli 2018 « über den Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten » (veröffentlicht im Belgischen Staatsblatt vom 5. September 2018).
Schriftsätze wurden eingereicht von
- der Kammer der französischsprachigen und deutschsprachigen Rechtsanwaltschaften, unterstützt und vertreten durch RA E. Balate, in Mons zugelassen,
- der Kammer der flämischen Rechtsanwaltschaften, unterstützt und vertreten durch RA E. Jacobs, in Brüssel zugelassen,
- der VoG « Union des Villes et Communes de Wallonie »,
- dem Ministerrat, unterstützt und vertreten durch RÄin E. Cloots, RA S. Sottiaux und RA J. Roets, in Antwerpen zugelassen,
- der Regierung der Französischen Gemeinschaft, unterstützt und vertreten durch RA M. Uyttendaele und RÄin H. Debaty, in Brüssel zugelassen.
Die klagende Partei hat einen Erwiderungsschriftsatz eingereicht.
Gegenerwiderungsschriftsätze wurden eingereicht von
- der Kammer der flämischen Rechtsanwaltschaften,
- der VoG « Union des Villes et Communes de Wallonie »,
- dem Ministerrat,
- der Regierung der Französischen Gemeinschaft.
Durch Anordnung vom 21. Oktober 2020 hat der Gerichtshof nach Anhörung der referierenden Richter M. Pâques und Y. Kherbache beschlossen, dass die Rechtssache verhandlungsreif ist, dass keine Sitzung abgehalten wird, außer wenn eine Partei innerhalb von sieben Tagen nach Erhalt der Notifizierung dieser Anordnung einen Antrag auf Anhörung eingereicht hat, und dass vorbehaltlich eines solchen Antrags die Verhandlung am 12. November 2020 geschlossen und die Rechtssache zur Beratung gestellt wird.
Da keine Sitzung beantragt wurde, wurde die Rechtssache am 12. November 2020 zur Beratung gestellt.
3
Die Vorschriften des Sondergesetzes vom 6. Januar 1989 über den Verfassungsgerichtshof, die sich auf das Verfahren und den Sprachengebrauch beziehen, wurden zur Anwendung gebracht.
II. Rechtliche Würdigung
(…)
In Bezug auf die angefochtene Bestimmung und deren Kontext
B.1. Die klagende Partei beantragt die Nichtigerklärung von Artikel 221 § 2 des Gesetzes vom 30. Juli 2018 « über den Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten » (nachstehend: Gesetz vom 30. Juli 2018).
B.2. Das Gesetz vom 30. Juli 2018 ist Teil des Schutzes personenbezogener Daten im belgischen Recht nach der Annahme der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 « zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) » (nachstehend:
Datenschutz-Grundverordnung) auf der Ebene der Europäischen Union.
Der belgische Gesetzgeber hat eine Rahmengesetzgebung im Hinblick auf die Ausführung der Datenschutz-Grundverordnung angenommen, die insbesondere aus dem Gesetz vom 3. Dezember 2017 « zur Schaffung der Datenschutzbehörde » (nachstehend: Gesetz vom 3. Dezember 2017) und dem Gesetz vom 30. Juli 2018 besteht.
In Bezug auf das Recht der Europäischen Union
B.3. Mit der Datenschutz-Grundverordnung wird ein System von Sanktionen eingeführt, mit denen die Einhaltung der Pflichten der Verantwortlichen für die Verarbeitung personenbezogener Daten sichergestellt werden soll. Es gibt mehrere Arten von Sanktionen:
neben den von der Datenschutz-Grundverordnung vorgesehenen Abhilfebefugnissen 4
(Artikel 58 Absatz 2) führen die Mitgliedstaaten ebenfalls Geldbußen (Artikel 83) und strafrechtliche Sanktionen ein (Artikel 84).
B.4. Artikel 83 der Datenschutz-Grundverordnung mit der Überschrift « Allgemeine Bedingungen für die Verhängung von Geldbußen » bestimmt:
« 1. Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
2. Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und 5
k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
3. Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
4. Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2
Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;
b) die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43;
c) die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.
5. Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2
Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;
b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;
c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49;
d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden;
e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58
Absatz 1.
6. Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2
werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 %...