1. Art. 14 Abs. 5 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass die in dieser Bestimmung vorgesehene Ausnahme von der Pflicht des Verantwortlichen zur Information der betroffenen Person unterschiedslos alle personenbezogenen Daten betrifft, die der Verantwortliche nicht unmittelbar bei der betroffenen Person erhoben hat, unabhängig davon, ob der Verantwortliche diese Daten von einer anderen Person als der betroffenen Person erlangt hat oder er selbst sie im Rahmen der Erfüllung seiner Aufgaben erzeugt hat.
2. Art. 14 Abs. 5 Buchst. c und Art. 77 Abs. 1 der Verordnung 2016/679 sind dahin auszulegen, dass die Aufsichtsbehörde im Rahmen eines Beschwerdeverfahrens prüfen darf, ob das Recht des Mitgliedstaats, dem der Verantwortliche unterliegt, für die Zwecke der Anwendung der in Art. 14 Abs. 5 Buchst. c dieser Verordnung vorgesehenen Ausnahme geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsieht. Diese Prüfung betrifft jedoch nicht die Geeignetheit der Maßnahmen, zu deren Durchführung der Verantwortliche nach Art. 32 der genannten Verordnung verpflichtet ist, um die Sicherheit der Verarbeitung personenbezogener Daten zu gewährleisten.
EuGH, Urteil vom 28.11.2024 – C-169/23
(Tenor)