Schutz personenbezogener Daten

Rechtssache C-474/24

AR,

YT,

DI,

RN

Beteiligte:

Österreichische Datenschutzbehörde,

Nationale Anti-Doping Agentur Austria GmbH (NADA Austria),

Österreichische Anti-Doping Rechtskommission (ÖADR)

(Vorabentscheidungsersuchen des Bundesverwaltungsgerichts [Österreich])

Einleitung

Rechtlicher Rahmen

Unionsrecht

Österreichisches Recht

Ausgangsverfahren, Vorlagefragen und Verfahren vor dem Gerichtshof

Würdigung

Erste Frage

Zur engen Auslegung der in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehenen Ausnahme

Die Tätigkeit der Dopingbekämpfung ist vom Anwendungsbereich der DSGVO nicht ausgenommen…

– … selbst wenn sie in die Zuständigkeit der Mitgliedstaaten fällt

– … und trotz ihres „fehlenden“ wirtschaftlichen Charakters

Ergebnis zur ersten Frage

Zweite Frage

Zur weiten Auslegung des Begriffs „Gesundheitsdaten“

Anwendung auf den vorliegenden Fall

Ergebnis zur zweiten Frage

Fünfte Frage

Bedeutung der im Sinne von Art. 10 DSGVO „strafrechtlichen“ Natur von Verurteilungen und Verstößen

Analyse der im Sinne von Art. 10 DSGVO „strafrechtlichen“ Natur von Verurteilungen und Dopingverstößen

– Rechtliche Einstufung des Verstoßes im innerstaatlichen Recht

– Natur des Verstoßes

– Schweregrad der Sanktion

Ergebnis zur fünften Frage

Sechste Frage

Dritte und vierte Frage

Zur Verhältnismäßigkeit der in Rede stehenden Veröffentlichung

– Vorbemerkungen und Hinweis auf die Grundsätze

– Zur Eignung der Veröffentlichung, die verfolgten Ziele zu erreichen

– Zur Erforderlichkeit der Veröffentlichung im Hinblick auf die angestrebten Ziele

– Zur Verhältnismäßigkeit im engeren Sinne, d. h. zur Abwägung der bestehenden Interessen

Zum Zeitpunkt der Abwägung

Ergebnis zur dritten und zur vierten Frage

Siebte Frage

Ist die Beschwerde bei der Aufsichtsbehörde vor der Verarbeitung der Daten zulässig?

Wird die Beschwerde bei der Aufsichtsbehörde „nachträglich“ zulässig?

Ergebnis zur siebten Frage

I. Ergebnis

1. Das für den Sport geltende Regelwerk befindet sich an der Schnittstelle mehrerer normativer Quellen. Ein Beleg dafür sind die Anti-Doping-Regelungen, die das Ergebnis einer normativen Zusammenarbeit privater und öffentlicher Akteure sind. Insbesondere der Welt-Anti-Doping-Code (WADC), der in Anwendung der Satzung der Welt-Anti-Doping-Agentur (WADA) verabschiedet wurde, ist ein privatrechtliches Instrument, zu dessen Einhaltung sich die Unterzeichnerstaaten im Rahmen des Internationalen UN-Übereinkommens gegen Doping im Sport verpflichtet haben (). Diese Regelung, die darauf abzielt, die der Dopingbekämpfung dienenden Politiken, Regeln und Vorschriften von Sportorganisationen und Behörden weltweit zu harmonisieren, bildet somit ein spezifisches transnationales sektorielles Rechtssystem ().

2. Der Gerichtshof hatte sich bereits mit der Vereinbarkeit sportlicher Regelwerke mit dem Unionsrecht zu befassen, insbesondere im Hinblick auf den freien Dienstleistungsverkehr oder den Wettbewerb ().

3. Die vorliegende Rechtssache bietet dem Gerichtshof erstmals () Gelegenheit, bestimmte Aspekte der Anti-Doping-Regelung im Hinblick auf die mit dem Schutz personenbezogener Daten verbundenen Erfordernisse zu prüfen. Es geht nämlich darum, einerseits die Anforderungen eines ethischen Sports, die im vorliegenden Fall zur namentlichen Online-Veröffentlichung der Sanktionen führen würden, die gegen Sportler verhängt werden, wenn sie gegen die Anti-Doping-Regeln verstoßen, und andererseits den Schutz der personenbezogenen Daten dieser Sportler, der sich aus der Verordnung (EU) 2016/679 (im Folgenden: DSGVO) () ergibt, in Einklang zu bringen.

4. Da der WADC derzeit überarbeitet wird (), könnte die Tragweite des zu erlassenden Urteils über die europäischen Grenzen hinausgehen.

Unionsrecht

5. Nach Art. 16 Abs. 1 AEUV hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. Art. 16 Abs. 2 AEUV bestimmt: „Das Europäische Parlament und der Rat erlassen gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und über den freien Datenverkehr. Die Einhaltung dieser Vorschriften wird von unabhängigen Behörden überwacht.“

6. Art. 165 Abs. 2 AEUV erwähnt als Ziel der Tätigkeit der Union u. a. die „Entwicklung der europäischen Dimension des Sports durch Förderung der Fairness und der Offenheit von Sportwettkämpfen und der Zusammenarbeit zwischen den für den Sport verantwortlichen Organisationen sowie durch den Schutz der körperlichen und seelischen Unversehrtheit der Sportler, insbesondere der jüngeren Sportler“. Zu diesem Zweck sieht Art. 165 Abs. 4 AEUV vor, dass „der Rat auf Vorschlag der Kommission Empfehlungen [erlässt]“.

7. Der 35. Erwägungsgrund der DSGVO sieht vor, dass „[z]u den personenbezogenen Gesundheitsdaten … alle Daten zählen [sollten], die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen. Dazu gehören auch Informationen über die natürliche Person, die im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen … für die natürliche Person erhoben werden, Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, auch aus genetischen Daten und biologischen Proben, abgeleitet wurden, und Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen.“

8. Art. 2 („Sachlicher Anwendungsbereich“) Abs. 1 DSGVO bestimmt, dass „[d]iese Verordnung … für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten [gilt], die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“. Aus Art. 2 Abs. 2 Buchst. a DSGVO ergibt sich, dass diese Verordnung keine Anwendung auf personenbezogene Daten findet, die „im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“, verarbeitet werden.

9. Nach Art. 4 („Begriffsbestimmungen“) Nr. 15 DSGVO bezeichnet der Ausdruck „Gesundheitsdaten“ im Sinne dieser Verordnung „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“.

10. Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO sieht vor: „(1) Personenbezogene Daten müssen a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘); … c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘); …“

11. Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO sieht vor: „(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: … c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; … e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; … (3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch a) Unionsrecht oder b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. …“

12. Art. 9 („Verarbeitung besonderer Kategorien personenbezogener Daten“) Abs. 1 DSGVO untersagt u. a. die Verarbeitung von Gesundheitsdaten. Aus Art. 9 Abs. 2 Buchst. g DSGVO geht hervor, dass Art. 9 Abs. 1 dieser Verordnung nicht gilt, wenn „die Verarbeitung … auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich [ist]“.

13. Art. 10 („Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten“) DSGVO sieht vor, dass „[d]ie Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln … nur unter behördlicher Aufsicht vorgenommen werden [darf] oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist. Ein umfassendes Register der strafrechtlichen Verurteilungen darf nur unter behördlicher Aufsicht geführt werden.“

14. Art. 77 („Recht auf Beschwerde bei einer Aufsichtsbehörde“) Abs. 1 DSGVO bestimmt: „Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

15. Art. 78 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“) Abs. 1 DSGVO sieht vor: „Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.“

Österreichisches Recht

16. Aus § 5 Abs. 5 des Bundesgesetzes zur Verhinderung von Doping im Sport (Anti-Doping-Bundesgesetz 2021) vom 23. Dezember 2020 (BGBl. I Nr. 152/2020) (im Folgenden: ADBG) ergibt sich, dass die Nationale Anti Doping Agentur Austria GmbH (Unabhängige Dopingkontrolleinrichtung, Österreich) (im Folgenden: NADA) eine gemeinnützige Gesellschaft mit beschränkter Haftung ist, die die Aufgaben der unabhängigen Dopingkontrolleinrichtung wahrnimmt und für die Verarbeitung personenbezogener Daten verantwortlich ist.

17. Nach § 5 Abs. 6 Z 4 ADBG informiert die NADA die Bundes-Sportorganisation (Österreich), Sportorganisationen, Sportlerinnen und Sportler, sonstige Personen und Wettkampfveranstalterinnen und -veranstalter und stellt der Allgemeinheit unentgeltlich bestimmte Informationen bereit, nämlich „die [ihr] zur Kenntnis gelangten Sicherungsmaßnahmen (z. B. Suspendierungen) und Sperren von Sportlerinnen bzw. Sportlern und sonstigen Personen und deren Aufhebung unter Angabe der Namen der betroffenen Personen, der Dauer der Sperre und Gründe hiefür, ohne dass auf besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, der betroffenen Personen rückgeschlossen werden kann. Bei besonders schutzbedürftigen Personen sowie Freizeitsportlerinnen und Freizeitsportlern kann diese Information unterbleiben.“

18. § 6 Abs. 2 ADBG sieht insbesondere vor, dass die NADA gemäß Art. 32 bis 34 DSGVO für die Sicherheit der personenbezogenen Daten und der besonderen Kategorien personenbezogener Daten zu sorgen hat. Diese Bestimmung stellt klar, dass sich „[d]ie Erforderlichkeit zur Datenverarbeitung … aus der wirksamen Umsetzung der Anti-Doping-Regelungen des WADC und der Bestimmungen dieses Bundesgesetzes [ergibt], sofern sich die betroffenen Personen vertraglich zur Einhaltung des WADC verpflichtet haben“. Außerdem dürfen „[b]esondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, … nur verarbeitet werden, sofern dies auf Grund der Anti-Doping-Bestimmungen dieses Bundesgesetzes oder des WADC unbedingt erforderlich ist“.

19. Die Österreichische Anti-Doping Rechtskommission (im Folgenden: ÖADR) ist eine öffentliche und von staatlichen Organen, Privaten und der NADA unabhängige Kommission, die gemäß § 7 Abs. 1 ADBG „Disziplinarverfahren für den jeweils zuständigen Bundes-Sportfachverband gemäß den geltenden Anti-Doping-Regelungen des zuständigen internationalen Sportfachverbandes durchzuführen [hat] (Anti-Doping-Verfahren)“.

20. Nach § 21 Abs. 3 ADBG hat die ÖADR „spätestens 20 Tage nach Rechtskraft des Erkenntnisses die [Bundes-Sportorganisation], Sportorganisationen, Sportlerinnen bzw. Sportler, sonstige Personen und Wettkampfveranstalterinnen und -veranstalter sowie die Allgemeinheit über verhängte Sicherungsmaßnahmen (z. B. Suspendierungen) und Entscheidungen in Anti-Doping-Verfahren unter Angabe des Namens der jeweils betroffenen Person, der Dauer der Sperre und Gründe hiefür, ohne dass auf Gesundheitsdaten der jeweils betroffenen Person rückgeschlossen werden kann, zu informieren. Bei besonders schutzbedürftigen Personen, Freizeitsportlerinnen und Freizeitsportlern sowie Personen, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich an der Aufdeckung von potentiellen Anti-Doping-Verstößen beigetragen haben, kann diese Information unterbleiben. Eine Offenlegung bei Freizeitsportlerinnen und Freizeitsportlern ist aus Gründen der öffentlichen Gesundheit vorzunehmen, wenn ein Anti-Doping-Verstoß gemäß § 1 Abs. 2 Z 3, 9 bis 11 festgestellt wurde.“

21. Aus § 23 Abs. 14 ADBG geht im Wesentlichen hervor, dass die gleichen Verpflichtungen auch für die Unabhängige Schiedskommission (Österreich) (im Folgenden: USK) gelten.

22. Im Rahmen von Anti-Doping-Verfahren wurden gegen die Sportler AR, YT, DI und RN (im Folgenden: Beschwerdeführer) Sperrentscheidungen (je nach Fall für einen bestimmten Zeitraum oder auf Lebenszeit) von der für die Durchführung von Anti-Doping-Verfahren zuständigen ÖADR bzw. von der für die Überprüfung der Entscheidungen der ÖADR zuständigen USK erlassen.

23. Gemäß den österreichischen Anti-Doping-Bestimmungen werden die von der ÖADR oder der USK verhängten Sperren in Form einer Liste auf der Website der NADA veröffentlicht. Für die Dauer der Sperren enthält diese Liste den Vor- und Nachnamen des betroffenen Sportlers, die ausgeübte Sportart, den begangenen Verstoß gegen die Anti-Doping-Regeln, die verhängte Sanktion sowie deren Beginn und Ende. Die ÖADR veröffentlicht dieselben Daten sowie gegebenenfalls die verbotene Substanz in einer Mitteilung auf ihrer eigenen Website.

24. Am 14. und 15. Oktober 2021 forderten die Beschwerdeführer die ÖADR und die NADA auf, ihre Namen und jeweiligen Sportarten nicht mehr öffentlich zugänglich zu machen. Die ÖADR und die NADA kamen diesen Aufforderungen nicht nach.

25. Am 22. Oktober 2021 legten die Beschwerdeführer bei der Österreichischen Datenschutzbehörde (im Folgenden: DSB) eine Beschwerde gemäß Art. 77 Abs. 1 DSGVO mit dem Ziel ein, die Verletzung des Rechts auf Löschung und Einschränkung der Daten festzustellen und die ÖADR und die NADA anzuweisen, die Veröffentlichung ihrer Namen und der von ihnen ausgeübten Sportarten auf den genannten Websites zu unterlassen. Sie machten ferner geltend, dass es sich um eine besondere Kategorie personenbezogener Daten sowie um die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne der Art. 9 und 10 DSGVO handele. Die im österreichischen Recht vorgesehene undifferenzierte Veröffentlichungsregelung sei mit Art. 6 Abs. 3 DSGVO unvereinbar und weder erforderlich noch verhältnismäßig.

26. Am 26. November 2021 wies die DSB diese Beschwerde als unbegründet ab. Was insbesondere YT betrifft, so wurde ihre Beschwerde wegen fehlenden Rechtsschutzinteresses abgewiesen, da ihre Daten noch nicht veröffentlicht worden seien.

27. Die Beschwerdeführer legten daraufhin gemäß Art. 78 Abs. 1 DSGVO beim Bundesverwaltungsgericht (Österreich), dem vorlegenden Gericht, einen Rechtsbehelf ein. In diesem Zusammenhang machte die NADA, die erste Beschwerdegegnerin des Ausgangsverfahrens, geltend, dass die Veröffentlichung personenbezogener Daten auf ihrer Website erforderlich sei, um einer ihr auferlegten gesetzlichen Verpflichtung nachzukommen und eine im öffentlichen Interesse liegenden Aufgabe im Sinne von Art. 6 Abs. 1 Buchst. c und e DSGVO zu erfüllen.

28. Das vorlegende Gericht setzte das Ausgangsverfahren wegen des von der USK in der Rechtssache NADA u. a. () vorgelegten Vorabentscheidungsersuchens aus. Nachdem dieses Ersuchen mit Urteil vom 7. Mai 2024 () als unzulässig zurückgewiesen worden war, nahm das vorlegende Gericht das nationale Verfahren wieder auf.

29. Unter diesen Umständen hat das Bundesverwaltungsgericht beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen: 1. Fallen Datenverarbeitungen von Personen, durch die ihr Name, die ausgeübte Sportart, der begangene Verstoß gegen Anti-Doping-Regelungen, die Sanktion sowie Beginn und Ende der Sanktion auf dem allgemein zugänglichen Teil der Website der NADA https://www.nada.at/de/recht/suspendierungen-sperren in Form eines Eintrags in einer Tabelle sowie in allgemein zugänglichen Pressemitteilungen der ÖADR unter https://www.oeadr.at veröffentlicht werden, in den Anwendungsbereich des Unionsrechts im Sinne des Art. 16 Abs. 2 erster Satz AEUV, so dass die DSGVO auf eine solche Verarbeitung personenbezogener Daten anwendbar ist? Falls Frage 1. bejaht wird: 2. Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um ein „Gesundheitsdatum“ im Sinne des Art. 9 DSGVO? 3. Steht die DSGVO – insbesondere im Hinblick auf Art. 6 Abs. 3 zweiter Unterabsatz DSGVO – einer nationalen Regelung entgegen, welche die Veröffentlichung des Namens der von der Entscheidung der Österreichischen Anti-Doping Rechtskommission oder der Unabhängigen Schiedskommission betroffenen Personen, der Dauer der Sperre und der Gründe hierfür vorsieht, ohne dass auf Gesundheitsdaten der betroffenen Person rückgeschlossen werden kann? Spielt es dabei eine Rolle, dass eine Veröffentlichung dieser Informationen gegenüber der Allgemeinheit laut der nationalen Regelung nur dann unterbleiben kann, wenn es sich beim Betroffenen um einen Freizeitsportler, eine minderjährige Person oder eine Person handelt, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich an der Aufdeckung von potenziellen Anti-Doping-Verstößen beigetragen hat? 4. Verlangt die DSGVO – insbesondere im Hinblick auf die Grundsätze des Art. 5 Abs. 1 Buchst. a und c DSGVO – vor der Veröffentlichung in jedem Fall eine Interessenabwägung der mit einer Veröffentlichung für den Betroffenen berührten Persönlichkeitsinteressen einerseits und dem Interesse der Allgemeinheit an der Information über den von einem Sportler begangenen Anti-Doping-Verstoß andererseits? 5. Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um eine Verarbeitung persönlicher Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO? 6. Falls Frage 5. bejaht wird: Müssen die Tätigkeiten bzw. Entscheidungen einer Behörde, der gemäß Art. 10 DSGVO die Aufsicht über die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln übertragen ist, einer gerichtlichen Überprüfung unterliegen? 7. Ist eine Beschwerde gemäß Art. 77 DSGVO betreffend eine geltend gemachte Verletzung nach Art. 17 DSGVO, wobei zum Zeitpunkt der Einbringung der Beschwerde bei der Aufsichtsbehörde und Entscheidung durch die Aufsichtsbehörde noch keine Verarbeitung personenbezogener Daten des Betroffenen vorlag, die Verarbeitung jedoch im Laufe des Verfahrens vor dem Rechtsmittelgericht eingetreten ist, zulässig bzw. wird diese nachträglich zulässig, wenn bereits bei Einbringung der Beschwerde konkrete Hinweise darauf bestehen, dass eine Verarbeitung personenbezogener Daten durch den Verantwortlichen unmittelbar bevorsteht bzw. in naher Zukunft stattfinden wird?

30. Die Beschwerdeführer des Ausgangsverfahrens, die NADA, die DSB, die Kommission sowie die österreichische, die lettische, die niederländische und die finnische Regierung haben schriftliche Erklärungen eingereicht. Die Beschwerdeführer des Ausgangsverfahrens, die NADA, die Kommission sowie die österreichische, die lettische und die finnische Regierung haben in der öffentlichen Sitzung vom 13. Mai 2025 auch mündliche Ausführungen gemacht.

31. Nach der Prüfung der ersten Frage zur Anwendbarkeit der DSGVO werde ich die zweite, die fünfte und die sechste Frage analysieren, die bestimmte besondere Daten betreffen, bevor ich mich mit den Fragen befasse, die den Grundsatz der Verhältnismäßigkeit betreffen (dritte und vierte Frage). Schließlich werde ich die siebte Frage prüfen, die eher verfahrensrechtlicher Natur ist.

Erste Frage

32. Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob die Umsetzung der Anti-Doping-Rechtsvorschriften eine „Tätigkeit“ darstellt, die in den „Anwendungsbereich des Unionsrechts“ im Sinne von Art. 16 Abs. 2 Satz 1 AEUV fällt.

33. Die Antwort auf diese Frage ist von großer Bedeutung, da die DSGVO im Fall der Verneinung dieser Frage keine Anwendung auf den Ausgangsrechtsstreit fände. Die auf der Grundlage von Art. 16 AEUV erlassene DSGVO schließt nämlich in ihrem Art. 2 Abs. 2 Buchst. a die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, „die nicht in den Anwendungsbereich des Unionsrechts fällt“, von ihrem Anwendungsbereich aus.

34. Zunächst möchte ich – auch wenn dies vom vorlegenden Gericht nicht erwähnt wird – darauf hinweisen, dass die in Art. 2 Abs. 2 Buchst. d DSGVO vorgesehene Ausnahme bestimmt, dass diese Verordnung auf die Verarbeitung personenbezogener Daten „durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung […]“ keine Anwendung findet. Hintergrund dieser Ausnahme ist, dass die solchen Zwecken dienende Verarbeitung personenbezogener Daten durch die „zuständigen Behörden“ in einem spezielleren Rechtsakt der Union geregelt wird, nämlich in der am selben Tag wie die DSGVO angenommene Richtlinie (EU) 2016/680 (). Im gegenwärtigen Stadium ist nicht auszuschließen, dass das materielle Kriterium dieser Ausnahme im vorliegenden Fall erfüllt sein könnte. Die Frage, ob die Verarbeitung der im vorliegenden Fall in Rede stehenden Daten zu den in Art. 2 Abs. 2 Buchst. d DSGVO genannten Zwecken erfolgt, führt uns nämlich zum Gegenstand der fünften Vorlagefrage (betreffend Art. 10 DSGVO), die sich darauf bezieht, ob die Verurteilungen und Verstöße, die Gegenstand der betreffenden Datenverarbeitung sind, strafrechtlichen Charakter haben oder nicht. Allerdings ist das organisationsrechtliche Kriterium der in Art. 2 Abs. 2 Buchst. d DSGVO vorgesehenen Ausnahme nicht angesprochen worden: Sind die NADA und die ÖADR „zuständige Behörden“ im Sinne von Art. 3 Nr. 7 der Richtlinie 2016/680? Wenn nein, ist die DSGVO anzuwenden, was meine Arbeitshypothese für die weitere Analyse sein wird. Sollte diese Frage jedoch bejaht werden und auch das materielle Kriterium erfüllt sein, würde sich die Frage stellen, ob statt der DSGVO die Richtlinie 2016/680 anzuwenden ist, was zu prüfen Sache des vorlegenden Gerichts wäre.

35. Nach dieser Vorbemerkung stelle ich fest, dass im vorliegenden Fall außer Streit steht, dass die in Rede stehenden Verarbeitungen personenbezogener Daten durch die österreichischen Anti-Doping-Behörden, nämlich die Veröffentlichung der Namen der betroffenen Sportler, der ausgeübten Sportart, des begangenen Verstoßes gegen die Anti-Doping-Regeln, der verhängten Sanktion sowie des Beginns und des Endes dieser Sanktion im Internet, Verarbeitungen entsprechen, auf die die DSGVO gemäß ihrem Art. 2 Abs. 1 Anwendung findet, nämlich ganz oder teilweise automatisierten Verarbeitungen personenbezogener Daten ().

36. Umstritten ist hingegen, ob diese Verarbeitung unter die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme fällt.

37. Im Rahmen meiner Würdigung werde ich zunächst auf den Grundsatz der engen Auslegung der in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehenen Ausnahme hinweisen und daraus in einem zweiten Schritt die Konsequenzen für die Anti-Doping-Tätigkeit im Hinblick auf die von der NADA vorgebrachten Argumente ableiten.

Zur engen Auslegung der in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehenen Ausnahme

38. Nach ständiger Rechtsprechung ist die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme, da sie die Anwendbarkeit der in der DSGVO vorgesehene Regelung zum Schutz personenbezogener Daten entfallen lässt und somit von deren Schutzziel abweicht, eng auszulegen ().

39. Wie im Wesentlichen in den Erwägungsgründen 6 bis 12 der DSGVO dargelegt, erfordern die rasche technologische Entwicklung, die Globalisierung und das Ausmaß der Erhebung und des Austauschs personenbezogener Daten einen soliden und kohärenten Rechtsrahmen im Bereich des Datenschutzes in der Union, der ein hohes und in allen Mitgliedstaaten gleichwertiges Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten gewährleistet und mit einer strikten Durchsetzung der Vorschriften einhergeht, um eine Vertrauensbasis zu schaffen, die die digitale Wirtschaft dringend benötigt, um im Binnenmarkt weiter wachsen zu können.

40. Unter diesem Gesichtspunkt ist der in Art. 2 DSGVO festgelegte sachliche Anwendungsbereich dieser Verordnung zwangsläufig weit gefasst und sind die in diesem Artikel vorgesehenen Ausnahmen eng auszulegen. So hat der Gerichtshof entschieden, dass Art. 2 Abs. 2 Buchst. a DSGVO im Licht des 16. Erwägungsgrundes dieser Verordnung allein darauf abzielt, die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vom Anwendungsbereich der DSGVO auszunehmen.

41. Die auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten umfassen insbesondere solche, die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken ().

42. Der Anwendung der DSGVO unterliegen jedoch nicht Personen als solche, sondern nur ihre betreffenden Tätigkeiten (). Der Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, reicht nämlich nicht aus, damit diese Ausnahme automatisch für diese Tätigkeit gilt (). Es reicht auch nicht aus, dass der Urheber der betreffenden Verarbeitung die nationale Sicherheit betreffende Tätigkeiten ausübt, da es allein auf die im Rahmen der betreffenden Verarbeitung ausgeübte Tätigkeit ankommt (). Ebenso wenig reicht es aus, dass im Rahmen einer Datenübermittlung zu gewerblichen Zwecken aus einem Mitgliedstaat in ein Drittland die betreffenden Daten bei ihrer Übermittlung oder im Anschluss daran von den Behörden des betreffenden Drittlands für Zwecke der öffentlichen Sicherheit, der Landesverteidigung und der Sicherheit des Staates verarbeitet werden können ().

43. Wie die österreichische Regierung hervorhebt, heißt es im vorliegenden Fall jedoch in § 1 Abs. 1 ADBG, dass „Doping … durch die Beeinflussung der sportlichen Leistungsfähigkeit sowohl dem Grundsatz der Fairness im sportlichen Wettbewerb als auch dem wahren, mit dem Sport ursprünglich verbundenen Wert (Sportsgeist) [widerspricht] und … außerdem der Gesundheit schaden [kann]“.

44. Daher kann nicht geltend gemacht werden, dass die Veröffentlichung personenbezogener Daten durch die NADA und die ÖADR eine Datenverarbeitung im Rahmen einer Tätigkeit – im vorliegenden Fall der Dopingbekämpfung – darstelle, die die nationale Sicherheit betreffe oder in diese in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Kategorie eingeordnet werden könnte.

45. Daraus ist zu schließen, dass die auf dieser Bestimmung der DSGVO beruhende Ausnahme auf die im vorliegenden Fall in Rede stehende Datenverarbeitung nicht anwendbar ist.

46. Die Argumente der NADA, die sich zum einen darauf stützen, dass die Dopingbekämpfung in die Zuständigkeit der Mitgliedstaaten falle, und zum anderen darauf, dass diese Tätigkeit keinen wirtschaftlichen Charakter habe, können diese Feststellung nicht entkräften, wie ich im Folgenden darlegen werde.

Die Tätigkeit der Dopingbekämpfung ist vom Anwendungsbereich der DSGVO nicht ausgenommen…

– … selbst wenn sie in die Zuständigkeit der Mitgliedstaaten fällt

47. Erstens vertritt die NADA die Auffassung, dass die Dopingbekämpfung ein Bereich sei, der gemäß der im Unionsrecht vorgesehenen Zuständigkeitsverteilung trotz der in Art. 165 AEUV vorgesehenen unterstützenden Zuständigkeit der Union im Bereich des Sports weiterhin in die Zuständigkeit der Mitgliedstaaten falle.

48. Der Umstand, dass die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit erfolgt, die in die Zuständigkeit der Mitgliedstaaten fällt, ist jedoch für sich genommen nicht maßgeblich, um diese Verarbeitung auf der Grundlage von Art. 2 Abs. 2 Buchst. a DSGVO vom Anwendungsbereich dieser Verordnung auszunehmen, da sie weder eine Tätigkeit ist, die der Wahrung der nationalen Sicherheit dient, noch eine Tätigkeit, die derselben Kategorie zugeordnet werden kann ().

49. Eine Verarbeitung im Rahmen einer Tätigkeit allein deshalb vom Anwendungsbereich der DSGVO auszunehmen, weil diese Tätigkeit in die Zuständigkeit der Mitgliedstaaten fällt, liefe meines Erachtens sowohl dem Wortlaut als auch dem Kontext und den Zielen dieser Verordnung zuwider.

50. Wenn der Wortlaut von Art. 2 Abs. 2 Buchst. a DSGVO den Begriff „Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“ verwendet, bezieht er sich nämlich nicht auf eine Zuständigkeitslogik, sondern auf eine materielle Logik der Definition des Anwendungsbereichs, die der dazu durch Art. 16 Abs. 2 AEUV ermächtigte Gesetzgeber in der DSGVO selbst vorgenommen hat. Diese Bestimmung „begründet und überträgt“ der Union eine Gesetzgebungsbefugnis für den Schutz und den freien Verkehr personenbezogener Daten und legt zu diesem Zweck einen spezifischen Anwendungsbereich fest (). Darüber hinaus geht der Begriff „Anwendungsbereich des Unionsrechts“ im besonderen Kontext des Schutzes personenbezogener Daten, insbesondere angesichts der eigenständigen Natur der mit ihrer Verarbeitung verbundenen Problematik, die einen eigenen und spezifischen gesetzgeberischen Eingriff erforderte, über die Fälle der „Durchführung des Unionsrechts“ im Sinne von Art. 51 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) hinaus (). Schließlich „bleibt das Unionsrecht in vielen Bereichen, die in die Zuständigkeit der Mitgliedstaaten fallen, nicht ohne Auswirkungen“ (). Dies trifft insbesondere auf die DSGVO zu, deren sektorübergreifender Anwendungsbereich angesichts ihrer Ziele, die in Nr. 39 der vorliegenden Schlussanträge aufgeführt sind, zwangsläufig weit gefasst ist.

51. Auch wenn die Tätigkeit der „Dopingbekämpfung“ nicht durch einen Rechtsakt der Union geregelt ist und in die Zuständigkeit der Mitgliedstaaten fällt, kann daraus somit nicht abgeleitet werden, dass die im Rahmen dieser Dopingbekämpfung durchgeführte Verarbeitung nicht in den „Anwendungsbereich des Unionsrechts“ im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO fällt, wie er vom Gerichtshof im spezifischen Kontext der DSGVO ausgelegt wurde.

52. Im Übrigen besteht für den Sport seit dem Vertrag von Lissabon eine unterstützende Zuständigkeit der Union (). So erwähnt Art. 165 Abs. 2 AEUV als eines der Ziele der Tätigkeit der Union die „Entwicklung der europäischen Dimension des Sports durch Förderung der Fairness und der Offenheit von Sportwettkämpfen und der Zusammenarbeit zwischen den für den Sport verantwortlichen Organisationen sowie durch den Schutz der körperlichen und seelischen Unversehrtheit der Sportler, insbesondere der jüngeren Sportler“. Diese Begriffe beziehen sich u. a. auf die Anti-Doping-Politik. Eine solche unterstützende Zuständigkeit verleiht der Union zwar keine Gesetzgebungskompetenz im Bereich des Sports. Auch wenn die Tätigkeit der Union nicht normativ ist, ist sie gleichwohl vorhanden und ermöglicht es der Union, gemäß Art. 6 AEUV Rechtsakte mit dem Ziel zu erlassen, die Maßnahmen der Mitgliedstaaten zu unterstützen, zu koordinieren oder zu ergänzen (). Der „sportliche“ Charakter der Anti-Doping-Regeln lässt daher nicht den Schluss zu, dass ihre Umsetzung eine Tätigkeit darstellt, die im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO nicht in den Anwendungsbereich des Unionsrechts fällt.

– … und trotz ihres „fehlenden“ wirtschaftlichen Charakters

53. Zweitens macht die NADA geltend, dass die Ausübung von Sport nur insoweit unter das Unionsrecht falle, als sie eine wirtschaftliche Tätigkeit darstelle. Die in Rede stehenden Anti-Doping-Regeln beruhten hingegen auf rein sportlichen Erwägungen, so dass die Verarbeitung der betreffenden Daten im vorliegenden Fall kein Aspekt des Wirtschaftslebens sei und daher nicht in den Anwendungsbereich des Unionsrechts falle.

54. Auch dieses Argument, das sich auf eine angebliche „Trennbarkeit“ der Anti-Doping-Regeln stützt, überzeugt mich nicht.

55. Die Aussage, dass „sportliche Betätigungen nur insoweit dem Gemeinschaftsrecht [unterfallen], als sie einen Teil des Wirtschaftslebens im Sinne von Art. 2 des [EG-]Vertrages ausmachen“, geht nämlich auf das Urteil vom 12. Dezember 1974, Walrave und Koch (), zurück. Seitdem hat die Union jedoch ihre Zuständigkeit im Bereich des Datenschutzes auf der Grundlage von Art. 16 AEUV ausgeübt. Die Mitgliedstaaten haben somit beabsichtigt, das Recht der Union zum Schutz personenbezogener Daten auch in nicht wirtschaftlichen Bereichen anzuwenden, wie sowohl aus dem Wortlaut als auch aus dem Kontext und den Zielen der DSGVO hervorgeht.

56. Zunächst einmal legt der Wortlaut von Art. 2 Abs. 2 Buchst. a DSGVO den sachlichen Anwendungsbereich dieser Verordnung fest, indem er auf den Begriff „Tätigkeit“ – und nicht „wirtschaftliche Tätigkeit“ – Bezug nimmt, die unter das Unionsrecht fällt oder nicht.

57. Zweitens bestätigt der Kontext der DSGVO, insbesondere ihre Bestimmungen zur Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen (Kapitel V DSGVO), diesen am Wortlaut orientierten Ansatz. Wenn die Voraussetzungen für eine solche Übermittlung nämlich nicht erfüllt sind, können gleichwohl Ausnahmen für bestimmte Fälle, wie Art. 49 DSGVO sie vorsieht, eine solche Übermittlung zulassen. So wird im 112. Erwägungsgrund der DSGVO ausdrücklich erwähnt, dass Ausnahmen für diese bestimmten Fälle „insbesondere für Datenübermittlungen gelten [sollten], die aus wichtigen Gründen des öffentlichen Interesses erforderlich sind, beispielsweise für den internationalen Datenaustausch … zur Verringerung und/oder Beseitigung des Dopings im Sport“. Wie die finnische Regierung ausgeführt hat, zeigt dieser Erwägungsgrund, dass der Unionsgesetzgeber die Verarbeitung personenbezogener Daten im Rahmen der Dopingkontrolle, obwohl sie eine nicht wirtschaftliche Tätigkeit betrifft, nicht als außerhalb des Anwendungsbereichs dieser Verordnung liegend angesehen hat.

58. Schließlich halte ich das Kriterium, das auf eine Verbindung zum Unionsrecht aufgrund einer wirtschaftlichen Tätigkeit gestützt wird, auch im Hinblick auf die Ziele der DSGVO für nicht relevant. Ein solches Kriterium würde nämlich dazu führen, dass der Anwendungsbereich der DSGVO im Einzelfall bestimmt werden müsste, je nachdem, ob die betreffende Datenverarbeitung einen Bezug zu bestimmten Vorschriften des Unionsrechts oder zu den Freiheiten des Binnenmarkts aufweist oder nicht. Ein solcher Ansatz, der je nach den konkreten Umständen des Einzelfalls variiert, würde nämlich dazu führen, dass die Abgrenzung des Anwendungsbereichs dieser Verordnung ungewiss wäre und von Zufälligkeiten abhinge (), was deren Hauptzweck zuwiderliefe, der darin besteht, eine gleichmäßige und einheitliche Anwendung der Datenschutzbestimmungen in der gesamten Union zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen.

59. Im Übrigen möchte ich hinzufügen, dass zumindest bei Berufssportlern ein Zusammenhang zwischen den Anti-Doping-Regelungen und ihrer beruflichen Tätigkeit und damit ein wirtschaftlicher Bezug insbesondere zur Freizügigkeit und zum freien Dienstleistungsverkehr nicht ausgeschlossen werden kann (). Aufgrund der – manchmal lebenslangen – Sperren können die verhängten Sanktionen nämlich erhebliche wirtschaftliche Folgen haben. Wenn man zur Bestimmung des Anwendungsbereichs der DSGVO auf das Vorliegen einer solchen wirtschaftlichen Verbindung zurückgreifen müsste, käme man zu dem zumindest unbefriedigenden Ergebnis, dass die DSGVO beispielsweise für Berufssportler gelten könnte, nicht aber für Amateursportler (). Eine solche unterschiedliche Behandlung, je nachdem, ob die Tätigkeit als wirtschaftlich angesehen wird oder nicht, ist mit der DSGVO und ihren dem Schutz personenbezogener Daten dienenden Zielen schwer vereinbar.

Ergebnis zur ersten Frage

60. In Anbetracht all dessen schlage ich dem Gerichtshof vor, auf die erste Frage zu antworten, dass Art. 16 Abs. 2 Satz 1 AEUV und Art. 2 Abs. 2 Buchst. a DSGVO dahin auszulegen sind, dass Verarbeitungen personenbezogener Daten, die gemäß den nationalen Anti-Doping-Regeln in der Veröffentlichung der Namen der betroffenen Sportler, der ausgeübten Sportart, des begangenen Verstoßes gegen die Anti-Doping-Regeln, der verhängten Sanktion sowie des Beginns und des Endes dieser Sanktion im Internet bestehen, nicht als im Rahmen einer „Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“ im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO erfolgt angesehen werden können.

Zweite Frage

61. Mit seiner zweiten Frage möchte das vorlegende Gericht wissen, ob sich die Veröffentlichung der in Rede stehenden personenbezogenen Daten auf „Gesundheitsdaten“ im Sinne von Art. 9 DSGVO bezieht.

Zur weiten Auslegung des Begriffs „Gesundheitsdaten“

62. Die Bedeutung dieser Frage liegt darin, dass Art. 9 DSGVO eine rechtliche Regelung vorsieht, die einen besonders hohen Schutz für sogenannte „sensible“ Kategorien personenbezogener Daten gewährt, zu denen auch „Gesundheitsdaten“ gehören. Diese Daten, die als zum Kern der Privatsphäre von Personen gehörend angesehen werden, erfordern als solche ein hohes Schutzniveau, sowohl durch den Schutz der Privatsphäre und des Berufsgeheimnisses als auch durch die Gesetzgebung zum Schutz personenbezogener Daten (). Ihre Verarbeitung ist daher nach Art. 9 Abs. 1 DSGVO verboten, sofern nicht eine der in Abs. 2 dieses Artikels vorgesehenen Ausnahmen zur Anwendung kommt. Dies spiegelt sich im 51. Erwägungsgrund der DSGVO wider, der die sensiblen Daten betrifft und dem zufolge ihr besonderer Schutz gerechtfertigt ist, „da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können“. Gemäß dem 54. Erwägungsgrund der DSGVO soll vermieden werden, dass diese Daten, wenn sie aus Gründen des öffentlichen Interesses verarbeitet werden, von „Dritte[n], unter anderem Arbeitgeber[n] oder Versicherungs- und Finanzunternehmen, … zu anderen Zwecken verarbeit[et werden]“ (). Außerdem hat das Gebot des Datenschutzes mit der Informatisierung der Strukturen im Gesundheitswesen und der Digitalisierung von Datenträgern und Datenflüssen noch an Bedeutung gewonnen ().

63. Hinzu kommt, dass das in Art. 9 Abs. 1 DSGVO vorgesehene Verbot der Verarbeitung von Gesundheitsdaten unabhängig davon gilt, ob die aus der fraglichen Verarbeitung hervorgegangene Information richtig ist oder nicht und ob der Verantwortliche mit dem Ziel handelt, Informationen zu erhalten, die unter eine der in dieser Bestimmung genannten besonderen Kategorien fallen (). Daraus ist abzuleiten, dass das Ziel des für die Verarbeitung Verantwortlichen und insbesondere die Tatsache, dass die Verarbeitung aufgrund einer rechtlichen Verpflichtung oder eines öffentlichen Interesses erforderlich ist, zwar einen relevanten Aspekt im Rahmen der möglichen Anwendung einer der zehn in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen darstellt, aber kein Aspekt ist, der im Stadium der Einstufung als Gesundheitsdaten zu berücksichtigen ist ().

64. Gemäß Art. 4 Nr. 15 DSGVO in Verbindung mit dem 35. Erwägungsgrund dieser Verordnung umfassen solche Daten alle personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und aus denen Informationen über ihren früheren, gegenwärtigen und künftigen Gesundheitszustand hervorgehen ().

65. Der Gerichtshof hat bereits entschieden, dass der in Art. 9 Abs. 1 DSGVO verwendete Begriff „Gesundheitsdaten“ in Anbetracht der Zielsetzung der DSGVO weit auszulegen ist (). Nach der systematischen und teleologischen Auslegung von Art. 4 Nr. 15 und Art. 9 DSGVO reicht es für die Einstufung als Gesundheitsdaten aus, dass aus den in Rede stehenden Daten, wenn auch nur indirekt, mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person geschlossen werden kann ().

66. In diesem Zusammenhang habe ich den Eindruck, dass man schematisch zwei Kategorien von Gesundheitsdaten unterscheiden könnte.

67. Zum einen handelt es sich um im medizinischen Bereich erzeugte Daten, die meines Erachtens „ihrer Natur nach“ ()„objektive“ () Gesundheitsdaten sind und, wie im 35. Erwägungsgrund der DSGVO dargelegt, Informationen betreffen, die sich beispielsweise auf eine physische oder psychische Erkrankung, eine Behinderung, ein Krankheitsrisiko, Vorerkrankungen oder eine klinische Behandlung beziehen. Sie sind in der Regel in der Krankenakte der betroffenen Person enthalten (). Ebenso sind Daten, die zwar keine medizinischen Daten sind, aber erhoben werden, um in die Krankenakte aufgenommen zu werden, wie dies bei den Verwaltungsdaten der Fall ist, die zur Aufnahme in diese Akte bestimmt sind, aus diesem Grund gemäß dem 35. Erwägungsgrund der DSGVO als „Gesundheitsdaten“ anzusehen. Sie werden daher als Daten angesehen, die die Gesundheit betreffen und aus denen Informationen über den Gesundheitszustand der betroffenen Person hervorgehen.

68. In diesem Rahmen kommt dem im 35. Erwägungsgrund der DSGVO erwähnten Begriff „Krankheitsrisiken“ zweifellos eine gewisse Bedeutung zu. Wie aus den Arbeiten der Artikel-29-Datenschutzgruppe hervorgeht, umfasst dieser Begriff Daten, die sich auf den potenziellen künftigen Gesundheitsstatus einer betroffenen Person beziehen. Somit wird das „wissenschaftlich erwiesene oder allgemein angenommene“ Risiko einer künftigen Erkrankung, für das als Beispiele übermäßiger Alkoholkonsum oder Tabakkonsum sowie Drogenkonsum angeführt werden, berücksichtigt ().

69. Zum anderen können Daten außerhalb des medizinischen Kontexts die Gesundheit betreffen, insbesondere wenn diese Daten, und sei es auch nur indirekt, Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand einer natürlichen Person offenbaren können (). Dies ist die „Grauzone“ () des Begriffs „Gesundheitsdaten“, die die Frage aufwirft, inwieweit ihr indirekter Bezug zur Gesundheit dazu führen kann, diese Daten als Gesundheitsdaten einzustufen. Hier kommt es entscheidend darauf an, ob sich aus den in Rede stehenden Daten Rückschlüsse auf den Gesundheitszustand der betroffenen Person ziehen lassen, unabhängig davon, ob es sich dabei um einen pathologischen oder physiologischen Zustand handelt, und unabhängig von der Zuverlässigkeit dieser Rückschlüsse. In dieser Hinsicht können Kontextfaktoren berücksichtigt werden (), ebenso wie der Zusammenhang zwischen der in Rede stehenden Information und der Fähigkeit, daraus einen Aspekt der Gesundheit einer Person abzuleiten ().

70. So hat die Artikel-29-Datenschutzgruppe beispielsweise Informationen über die Mitgliedschaft einer Person in Gruppen mit gesundheitsbezogenen Zielen wie „Weight Watchers“ oder „Anonyme Alkoholiker“ als Gesundheitsdaten angesehen (). Darüber hinaus könnten Rohdaten aus einer „Selbstmessung“ (z. B. das Gewicht oder der von einer Smartwatch aufgezeichnete Blutdruck), die an sich keine Gesundheitsdaten sind, in Kombination mit anderen Informationen Rückschlüsse auf die Gesundheit der betroffenen Person zulassen. Die Artikel-29-Datenschutzgruppe weist in diesem Zusammenhang darauf hin, dass eine Beurteilung von Fall zu Fall erfolgen muss: Eine Anwendung, die die Anzahl der zurückgelegten Schritte einige Tage lang verfolgt und speichert und diese Daten nach einer Woche löscht, verarbeitet möglicherweise keine „Gesundheitsdaten“. Dagegen ist davon auszugehen, dass eine Anwendung, die mehrere Jahre lang umfassende quantifizierte Aufzeichnungen einer Person kombiniert (z. B. Verfolgung der Schlaf- und Bewegungsgewohnheiten, detaillierte Aufzeichnungen über Ernährung, Gewicht, Body-Mass-Index, Blutdruck und andere Vitalstatistiken sowie ein Stimmungstagebuch), Gesundheitsdaten verarbeitet. In diesem Fall sind nicht nur die Rückschlüsse und Folgerungen, sondern auch die Rohdaten selbst als Gesundheitsdaten zu betrachten ().

Anwendung auf den vorliegenden Fall

71. Im Ausgangsverfahren sieht die in Rede stehende Regelung vor, dass neben der Angabe der Namen der betroffenen Sportler und der Dauer ihrer Sperre auch die Gründe für diese Sperre durch den Verweis auf die Kategorie der festgestellten Zuwiderhandlung(en) offengelegt werden. Wenn sich die Zuwiderhandlung auf eine verbotene Substanz oder Methode bezieht, wird auch diese in der auf der ÖADR-Website veröffentlichten Mitteilung angegeben ().

72. Zunächst ist darauf hinzuweisen, dass die Verstöße gegen die Anti-Doping-Bestimmungen, die der Öffentlichkeit bekannt gemacht werden, in verschiedene Kategorien unterteilt werden ().

73. Mit der DSB bin ich der Auffassung, dass nur die in den Kategorien 2.1 und 2.2 vorgesehenen Verstöße im Hinblick auf den Begriff „Gesundheitsdaten“ geprüft werden müssen. Die anderen Verstöße beziehen sich nämlich auf Zuwiderhandlungen, die meiner Meinung nach als solche nicht geeignet sind, auch nur indirekt Informationen über den Gesundheitszustand der betroffenen Person preiszugeben. Beispielsweise gibt die Information, dass ein Sportler seiner Meldepflicht nicht nachgekommen ist (Verstoß der Kategorie 2.4) oder mit verbotenen Substanzen gehandelt hat (Verstoß der Kategorie 2.7), keinerlei Aufschluss über seinen Gesundheitszustand.

74. Sodann ist darauf hinzuweisen, dass die Feststellung von Verstößen der Kategorien 2.1 und 2.2 Dopingtests des betroffenen Sportlers und die Analyse von Proben zur Feststellung verbotener Substanzen und Methoden erfordert. Ich füge hinzu, dass diese Analysen von akkreditierten Fachleuten () und somit in einem quasi-medizinischen oder sogar medizinischen Kontext durchgeführt werden. Die Feststellung solcher Verstöße führt uns somit zu dem Begriff „Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer Körpersubstanz … abgeleitet wurden“ im Sinne des 35. Erwägungsgrundes der DSGVO. Solche Informationen könnten daher als Daten angesehen werden, die ihrer Natur nach Gesundheitsdaten sind.

75. In dieser Hinsicht trifft es zwar zu, dass der Test zum Nachweis von Dopingmitteln durchgeführt wird, die zur Verbesserung der sportlichen Leistung eingenommen werden, und dass die Verarbeitung, die in der Weitergabe der betreffenden Informationen besteht, eine repressive Zielsetzung gegenüber dem betroffenen Sportler verfolgt und der Abschreckung dient. Hierzu ist jedoch darauf hinzuweisen, dass das angestrebte Ziel für die Einstufung der in Rede stehenden Daten nicht relevant ist ().

76. Auch der Umstand, dass Dopingmittel keine Arzneimittel sind, überzeugt mich nicht. Zum einen umfasst der Begriff „Gesundheitsdaten“ nämlich nicht nur medizinische Daten, die therapeutische Belange betreffen. Abgesehen davon sind auch bestimmte Arzneimittel bei unsachgemäßer Anwendung gesundheitsschädlich. Zum anderen zielt die Dopingbekämpfung zwar darauf ab, die Fairness und Gleichheit unter den Sportlern zu fördern, ist aber auch ein gesundheitspolitisches Anliegen (). So sind zahlreiche Substanzen oder Methoden u. a. aufgrund ihrer gesundheitsschädlichen Auswirkungen verboten, auch wenn diese Auswirkungen je nach Produkt, aufgenommener Menge oder Konstitution der betroffenen Person unterschiedlich sind ().

77. Meines Erachtens darf daher bei der Einstufung der in Rede stehenden Daten – unabhängig davon, ob das vom Sportler angestrebte Ziel in der Verbesserung seiner Leistung besteht – nicht außer Acht gelassen werden, welche Auswirkungen die Einnahme einer verbotenen Substanz auf die Gesundheit des Sportlers hat, gleichgültig ob diese Auswirkungen bereits vorhanden sind oder erst in Zukunft auftreten werden.

78. Schließlich scheint mir die Tatsache, dass der Name der im Körper nachgewiesenen verbotenen Substanz von der ÖADR im Internet veröffentlicht wird, geeignet zu sein, die Öffentlichkeit über die Gefahren zu informieren, die ihre Einnahme für die Gesundheit des betreffenden Sportlers mit sich bringen kann.

79. Zwar könnte die bloße Nennung des Namens der im Körper vorhandenen verbotenen Substanz an sich als unzureichend angesehen werden, um Informationen über den – auch nur künftigen – Gesundheitszustand des betroffenen Sportlers preiszugeben. In dieser Hinsicht könnte der Inhalt der Information als solcher als zu dürftig und der Zusammenhang mit dem Gesundheitszustand als zu indirekt oder sogar zu hypothetisch angesehen werden, um unter den Begriff „Gesundheitsdaten“ im Sinne der DSGVO zu fallen. Es lässt sich jedoch nicht ausschließen, dass diese Information in Verbindung mit anderen Elementen, wenn auch nur indirekt, mittels gedanklicher Kombination oder Ableitung Informationen über den – zumindest künftigen – Gesundheitszustand der betroffenen Person preisgeben könnte.

80. Daher bin ich der Auffassung, dass die Nennung des Namens der betreffenden Substanz (oder ihrer Kategorie) Hinweise liefert, die, auch wenn sie nicht sehr detailliert sind, indirekt Aufschluss über den Gesundheitszustand der betroffenen Person geben können. Im spezifischen Kontext der DSGVO handelt es sich bei einer solchen Angabe unter bestimmten Umständen, die zu prüfen Sache des vorlegenden Gerichts ist, um „Gesundheitsdaten“ im Sinne von Art. 4 Nr. 15 und Art. 9 Abs. 1 DSGVO in Verbindung mit dem 35. Erwägungsgrund dieser Verordnung.

81. Dagegen wäre dies meines Erachtens nicht der Fall, wenn die betreffende verbotene Substanz (oder ihre Kategorie) nicht erwähnt würde. Dann wäre es nämlich unmöglich, einen Zusammenhang zwischen der Feststellung eines Verstoßes aufgrund des Vorhandenseins einer verbotenen Substanz im Körper einerseits und den Informationen über den Gesundheitszustand der betroffenen Person andererseits herzustellen, auch nicht mittels einer „gedanklichen Kombination oder Ableitung“. Dieser Zusammenhang wäre meiner Meinung nach zu indirekt, als dass die offengelegten Informationen unter die Kategorie „Gesundheitsdaten“ der DSGVO fallen könnten.

Ergebnis zur zweiten Frage

82. Ich schlage dem Gerichtshof daher vor, für Recht zu erkennen, dass Art. 9 Abs. 1 DSGVO dahin auszulegen ist, dass die Bekanntgabe des Namens des betroffenen Sportlers, der Dauer seiner Sperre und der Gründe für diese Sperre keine Verarbeitung von Gesundheitsdaten im Sinne dieser Bestimmung darstellt, es sei denn, diese Gründe umfassen den Namen der im Körper des betreffenden Sportlers nachgewiesenen verbotenen Substanz(en), da diese Angabe geeignet ist, – wenn auch nur indirekt – Informationen über den zumindest künftigen Gesundheitszustand des betreffenden Sportlers preiszugeben, was zu prüfen Sache des vorlegenden Gerichts ist.

Fünfte Frage

83. Das vorlegende Gericht möchte im Wesentlichen wissen, ob die in Rede stehende Veröffentlichung eine Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO darstellt. Es stellt in diesem Zusammenhang klar, dass die Sanktionen im Ausgangsverfahren eine Aberkennung von Titeln und Preisgeldern sowie eine mehrjährige oder lebenslange Sperre von allen (nationalen und internationalen) Wettkämpfen umfassen. Es weist außerdem darauf hin, dass Sportorganisationen gemäß § 24 Abs. 4 ADBG keine nach Anti-Doping Recht gesperrten Personen „einsetzen“ und damit auch nicht entgeltlich beschäftigen dürfen.

84. Bevor ich die Natur der in Rede stehenden Verurteilungen und Dopingverstöße analysiere, möchte ich auf die Bedeutung einer strafrechtlichen Einstufung im Zusammenhang mit Art. 10 DSGVO hinweisen.

Bedeutung der im Sinne von Art. 10 DSGVO „strafrechtlichen“ Natur von Verurteilungen und Verstößen

85. Es ist darauf hinzuweisen, dass der Unionsgesetzgeber die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nicht verbietet, sondern einer verstärkten Kontrolle unterwirft, da sie erhebliche Auswirkungen auf das Leben der betroffenen Personen haben kann, insbesondere in Gestalt einer Rufschädigung oder Diskriminierung in anderen Bereichen. Eine solche Verarbeitung darf daher nur „unter behördlicher Aufsicht“ stattfinden oder wenn die Regelung, die diese Übermittlung gestattet, „geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen“ vorsieht (). Art. 10 DSGVO beschränkt diesen verstärkten Schutz ausschließlich auf den strafrechtlichen Bereich, wobei sich der Begriff „strafrechtlich“ sowohl auf „Verurteilungen“ als auch auf „Straftaten“ bezieht ().

86. So kann die Führung von Registern über strafrechtliche Verurteilungen und Straftaten durch private Stellen (), beispielsweise im Rahmen der Bekämpfung der Geldwäsche oder im Rahmen der Arbeit kriminaltechnischer Labors (), unter Art. 10 DSGVO fallen. Als weiteres Beispiel lässt sich die Verarbeitung personenbezogener Daten durch Einrichtungen der Autovermieter anführen, die einen Fahrer, der gegen die Straßenverkehrsordnung verstoßen hat, identifizieren und namhaft machen.

87. Im vorliegenden Fall stellt sich daher die Frage, ob die von der NADA und der ÖADR online gestellte „Sperrliste“ ein „Register“ strafrechtlicher Verurteilungen und Straftaten darstellt, das in den Anwendungsbereich von Art. 10 DSGVO fällt und somit einen verstärkten Schutz erfordert.

Analyse der im Sinne von Art. 10 DSGVO „strafrechtlichen“ Natur von Verurteilungen und Dopingverstößen

88. Nach der Rechtsprechung des Gerichtshofs bedarf der Begriff „Straftat“, der für die Bestimmung der Anwendbarkeit von Art. 10 DSGVO auf die Verarbeitung personenbezogener Daten entscheidend ist, in der gesamten Union einer autonomen und einheitlichen Auslegung, die unter Berücksichtigung des mit dieser Bestimmung verfolgten Ziels und des Kontexts, in den sie sich einfügt, gefunden werden muss, ohne dass es insoweit darauf ankommt, wie der betreffende Mitgliedstaat diese Verstöße einstuft; diese Einstufung kann in den einzelnen Staaten unterschiedlich sein.

89. Die drei vom Gerichtshof übernommenen „Engel-Kriterien“ (), nämlich die rechtliche Einordnung der Zuwiderhandlung im innerstaatlichen Recht, die Art der Zuwiderhandlung und der Schweregrad der dem Betroffenen drohenden Sanktion, sind somit für die Beurteilung des strafrechtlichen Charakters einer Zuwiderhandlung relevant.

90. Zwar ist es Sache des vorlegenden Gerichts, anhand der genannten Kriterien zu beurteilen, ob die im Ausgangsverfahren in Rede stehenden Verurteilungen und Verstöße strafrechtlicher Natur im Sinne von Art. 10 DSGVO sind, doch kann der Gerichtshof in seiner Vorabentscheidung Klarstellungen vornehmen, um diesem Gericht eine Richtschnur für seine Auslegung zu geben ().

91. Ich werde daher die im Ausgangsverfahren in Rede stehenden Verstöße und Verurteilungen anhand dieser drei Kriterien prüfen.

– Rechtliche Einstufung des Verstoßes im innerstaatlichen Recht

92. Aus dem Vorabentscheidungsersuchen geht hervor, dass nach österreichischem Recht die ÖADR Disziplinarverfahren für den zuständigen Sportfachverband durchführt. Ebenso hat die österreichische Regierung in der mündlichen Verhandlung ausgeführt, dass die Anti-Doping-Regelungen insofern einen Sui-generis-Charakter haben, als es sich bei Dopingverstößen um Verstöße gegen die Regeln der betreffenden Sportfachverbände handelt, zu deren Einhaltung sich die Sportler verpflichten (), und nicht um Verstöße gegen das Gesetz.

93. Die Einstufung von Dopingverstößen im nationalen Recht entspricht daher nicht einer „strafrechtlichen“ Einstufung im Sinne von Art. 10 DSGVO.

94. Allerdings muss die Tragweite dieses ersten Engel-Kriteriums relativiert werden, da sich auch für Zuwiderhandlungen, die im innerstaatlichen Recht nicht als „strafrechtlich“ eingestuft werden, ein solcher Charakter gleichwohl aus der Art der Zuwiderhandlung und dem Schweregrad der dem Betroffenen drohenden Sanktion ergeben kann (). Dies gilt insbesondere für den Bereich der Anti-Doping-Regelungen, da das eingeführte länderübergreifende System verschiedene internationale und nationale Akteure einbezieht () und die Mitgliedstaaten den WADC auf unterschiedliche Weise in ihre jeweiligen Rechtssysteme integriert haben. Die Umsetzung der Anti-Doping-Regelungen ist daher zwangsläufig je nach Staat unterschiedlich und hängt von den verschiedenen Modellen staatlicher Organisationen ab, auch wenn die NADO offenbar in den meisten Mitgliedstaaten keine strafrechtlichen Befugnisse in dieser Hinsicht haben ().

95. Es müssen daher die beiden anderen Engel-Kriterien geprüft werden.

– Natur des Verstoßes

96. Dieses zweite Kriterium erfordert die Prüfung, ob die dem in Rede stehenden Verstoß entsprechende Sanktion insbesondere eine repressive Zielsetzung verfolgt, ohne dass der bloße Umstand, dass mit ihr auch eine präventive Zielsetzung verfolgt wird, ihr ihre Einstufung als strafrechtliche Sanktion nehmen kann. Es liegt nämlich in der Natur strafrechtlicher Sanktionen, dass sie sowohl auf die Repression als auch auf die Prävention rechtswidriger Verhaltensweisen abzielen. Dagegen ist eine Maßnahme, die nur den durch den Verstoß entstandenen Schaden ersetzen soll, nicht strafrechtlicher Natur ().

97. Aus dem Vorabentscheidungsersuchen geht hervor, dass für Dopingverstöße zwei Arten von Sanktionen vorgesehen sind.

98. Zum einen handelt es sich um die Aberkennung von Titeln und Preisgeldern, d. h. um die Rückforderung der Gewinne, um sie denjenigen Sportlern zuzusprechen, die Anspruch darauf gehabt hätten, wenn der sanktionierte Sportler nicht am Wettkampf teilgenommen hätte. Eine solche Sanktion dürfte als Ahndung des Verstoßes gegen die „Spielregeln“ (die „lex sportiva“) angesehen werden können, die im Wesentlichen darauf abzielt, die Fairness des Wettbewerbs wiederherzustellen (), auch wenn dies nichts an ihrem Strafcharakter für den betroffenen Sportler ändert.

99. Zum anderen handelt es sich um den Ausschluss von der Teilnahme an Sportwettkämpfen, der einige Monate oder mehrere Jahre dauern oder gar, wie im Fall eines der Beschwerdeführer des Ausgangsverfahrens, zu einem lebenslangen Verbot der Teilnahme an allen Wettkämpfen führen kann. Dieser Ausschluss kann sicherlich als das Bestreben angesehen werden, den schuldigen Sportler zu „ächten“, um ihn von der Sportlergemeinschaft fernzuhalten oder auszuschließen und damit die Integrität dieser Gemeinschaft zu wahren. Er ist jedoch auch dazu bestimmt, den Sportler, der gegen die Anti-Doping-Regeln verstoßen hat, zu deren Einhaltung er sich verpflichtet hatte, zu bestrafen und andere Sportler davon abzuhalten, es ihm gleichzutun.

100. Somit besteht der Hauptzweck dieser Anti-Doping-Sanktionen, zumindest des Ausschlusses von der Teilnahme an Wettkämpfen, offenbar nicht darin, den Schaden zu ersetzen, den Dritte durch den Verstoß erlitten haben, sondern darin, das Verhalten des betroffenen Sportlers zu ahnden, was einer strafrechtlichen Verurteilung nahekommt (). In dieser Hinsicht haben die Anti-Doping-Regeln, auch wenn es sich nicht um ein Regelwerk des Strafrechts handelt, eine repressive Funktion ().

101. Die Einstufung als „strafrechtlich“ im Sinne dieses zweiten Engel-Kriteriums könnte jedoch in zweifacher Hinsicht Anlass zu Bedenken geben.

102. Ein erstes Bedenken ergibt sich aus der Feststellung, dass der Straßburger Gerichtshof Disziplinarverfahren eher unter den zivilrechtlichen Teil von Art. 6 EMRK subsumiert (), außer beispielsweise, wenn ein Freiheitsentzug droht und die Sanktion einen ausreichend hohen Schweregrad aufweist ().

103. Insbesondere ist das Straßburger Gericht der Ansicht, dass Art. 6 EMRK in seinem zivilrechtlichen Teil auf „Streitigkeiten über den Entzug des Rechts zur Ausübung eines Berufs“ anwendbar ist (), auch im Bereich des Sports ().

104. Der strafrechtliche Charakter eines Berufsverbots ist somit alles andere als selbstverständlich.

105. Gleichwohl kann daraus meines Erachtens nicht per se und kategorisch abgeleitet werden, dass eine Disziplinarstrafe, die zum Ausschluss von Sportwettkämpfen führt, niemals in den strafrechtlichen Bereich fallen kann.

106. Ein solcher Ansatz würde in der Tat rein formal erscheinen.

107. Darüber hinaus ist darauf hinzuweisen, dass die beiden Teile von Art. 6 EMRK, der zivilrechtliche und der strafrechtliche Teil, einander nicht zwangsläufig ausschließen ().

108. Schließlich ist zu beachten, dass der Straßburger Gerichtshof die strafrechtliche oder zivilrechtliche Natur der betreffenden Zuwiderhandlung im Hinblick auf die vor ihm erhobenen Rügen prüft, um zu beurteilen, ob die im zivilrechtlichen (Abs. 1) oder im strafrechtlichen Teil (Abs. 1 bis 3) von Art. 6 EMRK vorgesehenen Garantien für ein faires Verfahren Anwendung finden.

109. Im Zusammenhang mit Art. 10 DSGVO ist hingegen zu prüfen, ob es sich um eine Straftat oder strafrechtliche Verurteilung handelt, um festzustellen, ob die in Rede stehende Verarbeitung (hier die Veröffentlichung) Informationen betrifft, die einen verstärkten Schutz erfordern, der mit der Kontrolle durch eine Behörde einhergeht. Hinzu kommt, dass einer weiter gefassten Auslegung, die einen verstärkten Schutz der in Rede stehenden Rechte und Freiheiten gewährleistet, nichts entgegensteht (). In diesem Kontext von Art. 10 DSGVO ist es daher Sache des vorlegenden Gerichts, zu beurteilen, ob die Engel-Kriterien, insbesondere das zweite Kriterium bezüglich der Natur der Zuwiderhandlung, erfüllt sind oder nicht.

110. Ein zweites Bedenken ergibt sich aus dem Umstand, dass Dopingverstöße und darauf beruhende Verurteilungen nur eine bestimmte Personengruppe betreffen, nämlich Sportler, ähnlich wie Disziplinarmaßnahmen, die im Allgemeinen sicherstellen sollen, dass die Mitglieder der betreffenden Gruppe die für diese geltenden Verhaltensregeln einhalten (). Solche Bestimmungen sollen die Ehre und den Ruf des Berufsstands schützen und das Vertrauen der Öffentlichkeit in diesen Berufsstand aufrechterhalten ().

111. Eine solche Feststellung würde es zwar ermöglichen, die Zuwiderhandlung als „Disziplinarvergehen“ einzustufen, da sie einem bestimmten Kreis von Personen untersagt ist, die einem spezifischen Regelwerk unterliegen. Insoweit unterscheidet sich die vorliegende Rechtssache von der Rechtssache, die zum Urteil Latvijas Republikas Saeima geführt hat, in der die Verhängung von Strafpunkten für Verkehrsverstöße auf einer allgemein geltenden Vorschrift beruhte ().

112. Die Einstufung als „Straftat“ im Sinne von Art. 10 DSGVO ist jedoch nicht ausgeschlossen. Würde man den für disziplinarische Vorschriften charakteristischen engeren Anwendungsbereich ausreichen lassen, um die Einstufung des Verstoßes als „Straftat“ zu verhindern, wäre auch das nämlich wiederum ein Ansatz, der einem rein formalen Verständnis des Begriffs folgt. Ein solcher Ansatz lässt sich nur schwer mit der Rechtsprechung vereinbaren, die in diesem Zusammenhang vorschreibt, dass zur Definition der Natur der Zuwiderhandlung der repressive oder präventive Zweck der Sanktion herangezogen werden muss, im Gegensatz zu einem allein der Wiedergutmachung dienenden Zweck.

113. Im vorliegenden Fall zielen die Verurteilungen wegen Dopings jedoch, wie oben dargelegt (), nicht auf den Ersatz durch die genannten Verstöße gegebenenfalls verursachter Schäden ab (oder zumindest nicht nur, wenn man den Schaden für die Sportlergemeinschaft berücksichtigt), sondern verfolgen im Gegenteil ein repressives Ziel, das ihnen den Charakter einer „strafrechtlichen“ Verurteilung im Sinne der Auslegung dieses zweiten Kriteriums durch die Rechtsprechung verleihen kann, unabhängig davon, ob die anwendbare Vorschrift allgemeiner Natur ist oder nicht. Ich weise außerdem darauf hin, dass das Schiedsgericht für Sport (Tribunal arbitral du sport, Schweiz), eine internationale Institution, die Schiedsverfahren oder Mediation im Sportbereich anbietet, selbst den „quasi-strafrechtlichen“ Charakter von Anti-Doping-Sanktionen anerkennt, wenn dazu Anlass besteht ().

114. Darüber hinaus können bestimmte Dopingverstöße, wie beispielsweise der Handel mit verbotenen Substanzen, zu Sanktionen sowohl nach diesen Bestimmungen als auch nach den nationalen Strafvorschriften führen. Zwar hat der Straßburger Gerichtshof festgestellt, dass der Umstand, dass Handlungen, die eine Disziplinarstrafe nach sich ziehen können, zugleich auch Straftaten darstellen, nicht ausreicht, um eine nach dem Disziplinarrecht verantwortliche Person als einer Straftat „beschuldigt“ anzusehen (). Meines Erachtens könnte dies jedoch ein Gesichtspunkt sein, der im Rahmen des zweiten Engel-Kriteriums berücksichtigt werden sollte.

115. Daher halte ich es in diesem Stadium trotz der geäußerten Bedenken für nicht ausgeschlossen, dass bestimmte Dopingverstöße angesichts des repressiven oder präventiven Charakters der für sie vorgesehenen Sanktionen als Straftaten im Sinne von Art. 10 DSGVO angesehen werden können.

– Schweregrad der Sanktion

116. Dieses dritte Engel-Kriterium ist nach Maßgabe der in den einschlägigen Bestimmungen vorgesehenen Höchststrafe zu beurteilen ().

117. Der Schweregrad richtet sich nach dem begangenen Dopingverstoß. Beispielsweise hängt die Dauer der Sperre von den jeweiligen Dopingverstößen ab. Ebenso können in dieser Hinsicht auch die Rückfälligkeit des Täters und seine Absicht eine Rolle spielen ().

118. Aus dem Vorabentscheidungsersuchen geht hervor, dass es sich im vorliegenden Fall um „eine mehrjährige bzw. lebenslange Sperre von allen (nationalen und internationalen) Wettkämpfen“ handeln kann, was somit zu einem endgültigen Verbot der Ausübung des Sportlerberufs führen kann.

119. Es handelt sich zweifelsfrei nicht um eine Freiheitsstrafe. Dies ist jedoch nicht entscheidend, da „die vergleichsweise Geringfügigkeit der drohenden Strafe einem Verstoß nicht seinen strafrechtlichen Charakter nehmen kann“ (). Darüber hinaus kann die berufssportliche Karriere der betroffenen Person je nach Dauer der Sperre beendet sein, insbesondere angesichts des Alters der betroffenen Personen und der Tatsache, dass die Karriere in bestimmten Sportarten relativ kurz ist.

120. Zu dieser möglicherweise „lebenslangen“ Sperre kommt hinzu, dass es in der Praxis unmöglich ist, wieder eine Beschäftigung im Sportbereich zu finden, da der Umgang mit einer gesperrten Person während der gesamten Dauer der Sperre verboten ist.

121. Zu den wirtschaftlichen und finanziellen Folgen für die Betroffenen kommen schließlich noch eine gesellschaftliche Missbilligung und eine Stigmatisierung sowohl im öffentlichen als auch im privaten Bereich hinzu.

122. Daraus folgt meines Erachtens, dass eine solche Sanktion einen Schweregrad aufweist, der eine Wirkung haben kann, die einer strafrechtlichen Verurteilung im Sinne von Art. 10 DSGVO gleichkommt, was jedoch vom vorlegenden Gericht in jedem Einzelfall zu beurteilen ist.

123. Daher bin ich der Auffassung, dass Dopingverstöße und darauf beruhende Verurteilungen grundsätzlich dem disziplinarrechtlichen Bereich zugeordnet werden sollten, außer in Fällen, in denen die Verurteilung so schwer wiegt, dass sie in den strafrechtlichen Bereich fällt. Eine solche Beurteilung, die allein durch die Einstufung im innerstaatlichen Recht nicht in Frage gestellt werden kann, fügt sich im Übrigen in den Rahmen des repressiven und präventiven Ziels der Verurteilung ein, das der begangenen Zuwiderhandlung eine strafrechtliche Natur verleiht. In diesem Zusammenhang könnte ein lebenslanger Ausschluss von der Teilnahme an jeglichen Wettbewerben daher meines Erachtens eine Sanktion darstellen, deren Wirkung der einer strafrechtlichen Sanktion gleichkommt, so dass sie zur Anwendbarkeit von Art. 10 DSGVO führen kann.

124. Schließlich möchte ich noch hinzufügen, dass mich das Argument der NADA, die vor den Auswirkungen warnt, die die Anwendung von Art. 10 DSGVO auf die Verarbeitung von Daten über disziplinarische Verstöße und Verurteilungen für alle Berufsverbände mit sich bringen würde, nicht überzeugt. Hier geht es nämlich nicht darum, alle disziplinarischen Verstöße und Verurteilungen generell und abstrakt zu „kriminalisieren“. Die vorstehende Analyse hat gezeigt, dass die Beurteilung anhand der Umstände des jeweiligen Einzelfalls und im Hinblick auf die Auslegung von Art. 10 DSGVO erfolgen muss, der beim Vorliegen eines in seinen Anwendungsbereich fallenden „Registers“ von Verurteilungen und Straftaten einen verstärkten Schutz vorschreibt. Im Übrigen kann die Rechtsgrundlage für die Verarbeitung von Daten über solche als „strafrechtlich“ eingestuften Verstöße und Verurteilungen auch in Rechtsvorschriften der Union oder der Mitgliedstaaten bestehen, die „geeignete Garantien“ vorsehen.

Ergebnis zur fünften Frage

125. Meines Erachtens ist auf die fünfte Frage zu antworten, dass Art. 10 DSGVO dahin auszulegen ist, dass er auf die Verarbeitung personenbezogener Daten, die in der nationalen Anti-Doping-Regelung vorgesehene Verurteilungen oder Verstöße betreffen, anwendbar sein kann, sofern die damit verbundenen Verurteilungen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht eine repressive Zielsetzung verfolgen und einen solchen Schweregrad aufweisen, dass sie eine Wirkung haben, die einer strafrechtlichen Sanktion gleichkommt; dies zu prüfen ist Sache des vorlegenden Gerichts.

Sechste Frage

126. Für den Fall, dass die fünfte Frage bejaht wird, möchte das vorlegende Gericht wissen, ob die Tätigkeiten bzw. Entscheidungen einer Behörde, der gemäß Art. 10 DSGVO die Aufsicht über die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln übertragen ist, einer gerichtlichen Überprüfung unterliegen.

127. Erstens ist klarzustellen, dass es sich bei der in Rede stehenden Behörde um diejenige handelt, die die „behördliche Aufsicht“ im Sinne von Art. 10 DSGVO wahrnimmt und nicht mit der „Aufsichtsbehörde“ im Sinne von Art. 51 DSGVO () verwechselt werden darf. Ferner ist darauf hinzuweisen, dass die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nur unter behördlicher Aufsicht vorgenommen werden darf oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist (). Die Antwort auf diese Frage ist daher in Verbindung mit den Antworten auf die dritte und die vierte Vorlagefrage zu sehen, die weiter unten zu erörtern sein werden ().

128. Zweitens ist festzustellen, dass die DSGVO keine Definition des Begriffs „Behörde“ oder „behördliche Aufsicht“ im Sinne von Art. 10 dieser Verordnung enthält. In dieser Hinsicht obliegt es den Mitgliedstaaten, festzulegen, welche Stelle die „behördliche“ Aufsicht ausübt, wenn personenbezogene Daten im Sinne von Art. 10 DSGVO verarbeitet werden. Wie die Kommission ausführt, ist es nicht ausgeschlossen, dass mehrere Dienste als solche Stellen betrachtet werden können und es sich dabei nicht unbedingt um den „für die Verarbeitung Verantwortlichen“ handeln muss.

129. Drittens trifft es zwar zu, dass der Wortlaut von Art. 10 DSGVO als solcher keine gerichtliche Kontrolle der Tätigkeiten oder Entscheidungen dieser „Behörde“ vorsieht. Gleichwohl spricht die kontextbezogene Auslegung dieser Bestimmung für eine solche Kontrolle, wenn die Betroffenen ihre Rechte geltend machen wollen. Wie mehrere Beteiligte bin ich nämlich der Auffassung, dass die Kontrolle von Handlungen im Zusammenhang mit der Verarbeitung personenbezogener Daten auch dann, wenn diese Kontrolle auf eine Entscheidung einer Behörde im Sinne von Art. 10 DSGVO folgt, im Einklang mit Art. 79 Abs. 1 DSGVO stehen muss, auch wenn das vorlegende Gericht die letztgenannte Bestimmung in seiner Frage nicht erwähnt. Nach dieser Bestimmung hat jede betroffene Person unbeschadet eines verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 dieser Verordnung das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden. Im Übrigen ist, wie die finnische Regierung hervorhebt, schon das Vorhandensein einer wirksamen, zur Gewährleistung der Einhaltung des Unionsrechts dienenden gerichtlichen Kontrolle dem Wesen eines Rechtsstaats inhärent.

130. Viertens wird eine solche Auslegung durch das mit Art. 10 DSGVO verfolgte Ziel bestätigt, nämlich einen verstärkten Schutz gegen Verarbeitungen zu gewährleisten, die aufgrund der besonderen Sensibilität der betreffenden Daten einen besonders schweren Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen können (). Eine Auslegung von Art. 10 DSGVO, die Tätigkeiten oder Entscheidungen einer Behörde im Sinne dieser Bestimmung von vornherein und generell von jeder gerichtlichen Kontrolle ausschließt, liefe diesen Zwecken zuwider.

131. Unter diesen Umständen und in Ermangelung weiterer Einzelheiten zu den Tätigkeiten oder Entscheidungen der hier in Rede stehenden Behörde ist meines Erachtens auf die sechste Frage zu antworten, dass Art. 10 DSGVO im Licht von Art. 79 Abs. 1 dieser Verordnung dahin auszulegen ist, dass die Tätigkeiten oder Entscheidungen einer Behörde, der gemäß dieser Bestimmung die Aufsicht über die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln übertragen ist, einer gerichtlichen Kontrolle zugänglich sein müssen.

Dritte und vierte Frage

132. Im Rahmen dieser beiden Fragen, die zusammen geprüft werden können, möchte das vorlegende Gericht im Wesentlichen erstens wissen, ob Art. 5 Abs. 1 Buchst. a und c und Art. 6 Abs. 3 Unterabs. 2 DSGVO dahin ausgelegt werden können, dass sie einer den nationalen Anti-Doping-Stellen durch nationales Recht auferlegten Verpflichtung entgegenstehen, die betreffenden personenbezogenen Daten, d. h. insbesondere die Namen der wegen eines Dopingverstoßes sanktionierten Sportler, die Dauer der verhängten Sperre und die Gründe dafür, zu veröffentlichen.

133. Zweitens möchte es wissen, ob die DSGVO vor der Veröffentlichung eine einzelfallbezogene Interessenabwägung durch den für die Verarbeitung Verantwortlichen verlangt oder ob die vom Gesetzgeber vorgesehene Verhältnismäßigkeitsprüfung ausreicht.

Zur Verhältnismäßigkeit der in Rede stehenden Veröffentlichung

134. Der nationale Gesetzgeber hat im ADBG vorgesehen, dass bestimmte Daten (Name des Sportlers, Dauer und Gründe der Sperre) veröffentlicht und unentgeltlich () der Bundes-Sportorganisation, Sportorganisationen, Sportlerinnen und Sportlern, sonstigen Personen (Betreuern), Wettkampfveranstaltern sowie der Allgemeinheit bereitgestellt werden, ohne dass auf Gesundheitsdaten rückgeschlossen werden kann. Ferner ist vorgesehen, dass eine Veröffentlichung dieser Informationen gegenüber der Allgemeinheit nur dann unterbleiben kann, wenn es sich beim Betroffenen um einen Freizeitsportler, eine besonders schutzbedürftige Person (minderjährige Person) oder eine Person handelt, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich zur Aufdeckung von potenziellen Dopingverstößen beigetragen hat. Sofern ich mich nicht irre, sieht das ADBG in diesem Fall weder die Erwähnung der möglicherweise betroffenen verbotenen Substanz noch die Veröffentlichung durch Einstellen ins Internet ausdrücklich vor.

135. In der Praxis haben die NADA und die ÖADR diese Rechtsvorschriften in Bezug auf Berufssportler durch eine Veröffentlichung im Internet umgesetzt, wobei die Veröffentlichung durch die ÖADR auch die gegebenenfalls in Rede stehende verbotene Substanz erwähnt.

– Vorbemerkungen und Hinweis auf die Grundsätze

136. Das mit der DSGVO verfolgte Ziel, wie es aus ihrem Art. 1 sowie ihren Erwägungsgründen 1 und 10 hervorgeht, besteht unter anderem darin, ein hohes Schutzniveau für die Grundrechte und Grundfreiheiten natürlicher Personen zu gewährleisten, insbesondere für ihr Recht auf Privatsphäre bei der Verarbeitung personenbezogener Daten, das in Art. 8 Abs. 1 der Charta und in Art. 16 Abs. 1 AEUV verankert ist und eng mit dem in Art. 7 der Charta verankerten Recht auf Achtung des Privatlebens zusammenhängt.

137. In dieser Hinsicht beanspruchen die in den Art. 7 und 8 der Charta verbürgten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren ().

138. Im vorliegenden Fall werden die personenbezogenen Daten der betroffenen Sportler auf der Grundlage einer den für die Verarbeitung Verantwortlichen durch das nationale Recht auferlegten rechtlichen Verpflichtung veröffentlicht ().

139. Diese Datenverarbeitung kann daher als eine Fallgestaltung angesehen werden, die unter Art. 6 Abs. 1 Buchst. c DSGVO zu subsumieren ist, der vorsieht, dass eine Verarbeitung, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt, rechtmäßig ist. Da die Dopingbekämpfung als Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe eingestuft werden könnte (), kann die in Rede stehende Verarbeitung auch von dem in Art. 6 Abs. 1 Buchst. e DSGVO genannten Fall erfasst werden. Es ist jedoch nicht notwendig zu entscheiden, welche dieser Rechtmäßigkeitsvoraussetzungen im vorliegenden Fall anwendbar ist oder ob beide anwendbar sind ().

140. Art. 6 Abs. 3 DSGVO stellt in Bezug auf diese beiden in Art. 6 Abs. 1 Buchst. c und e DSGVO genannten Fälle der Rechtmäßigkeit der Verarbeitung klar, dass die Verarbeitung auf dem Unionsrecht oder dem Recht des Mitgliedstaats beruhen muss, dem der Verantwortliche unterliegt, und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss.

141. Ebenso muss jede Verarbeitung personenbezogener Daten unter anderem den in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen, insbesondere den Grundsätzen der Rechtmäßigkeit und der „Datenminimierung“, die in den Buchst. a bzw. c dieser Bestimmung aufgeführt sind. Nach dem Grundsatz der Datenminimierung müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein, womit der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht wird ().

142. Die vom vorlegenden Gericht gestellten Fragen erfordern daher die Prüfung, ob die nationale Gesetzgebung als Rechtsgrundlage für die in Rede stehende Verarbeitung die sich aus diesen Bestimmungen ergebenden Anforderungen erfüllt, d. h., ob sie einem im öffentlichen Interesse liegenden Ziel dient und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck steht.

143. Im vorliegenden Fall werden im Rahmen der Bekämpfung von Doping im Sport, die zweifellos ein im öffentlichen Interesse liegendes Ziel ist, Sanktionen für Verstöße gegen die Anti-Doping-Regeln verhängt. Hinzu kommt die öffentliche Bekanntgabe der betreffenden personenbezogenen Daten, mit der zwei ebenso legitime Ziele verfolgt werden, die von den beteiligten Parteien und der österreichischen Regierung in der mündlichen Verhandlung angesprochen wurden. Zum einen geht es darum, Sportler von Verstößen gegen die Anti-Doping-Bestimmungen abzuschrecken und auf diese Weise Doping im Sport zu verhindern. Zum anderen soll die Umgehung der Anti-Doping-Regeln verhindert werden, indem alle Personen, die den betreffenden Sportler sponsern oder beschäftigen könnten, darüber informiert werden, dass er gesperrt ist ().

144. Das vorlegende Gericht wird daher zu prüfen haben, ob die nationale Regelung, die die in Rede stehende Verarbeitung vorsieht, wie sie von der NADA und der ÖADR umgesetzt wird, geeignet ist, zur Erreichung der mit ihr verfolgten Ziele des Allgemeininteresses beizutragen, und ob sie erforderlich ist und in einem angemessenen Verhältnis zu diesen Zielen steht, wobei der Gerichtshof befugt ist, dem vorlegenden Gericht zweckdienliche Auslegungshinweise zu geben.

– Zur Eignung der Veröffentlichung, die verfolgten Ziele zu erreichen

145. Meines Erachtens kann die Veröffentlichung der in Rede stehenden Daten ohne allzu große Schwierigkeiten als geeignet angesehen werden, beide Ziele zu erreichen.

146. Erstens informiert die Veröffentlichung des Namens des sanktionierten Sportlers sowie der Gründe und der Dauer der Sperre die breite Öffentlichkeit darüber, dass Doping nicht ungestraft bleibt und nicht nur mit Sanktionen, sondern auch mit einer namentlichen Veröffentlichung der verhängten Sperre einhergeht. Dies ist geeignet, die Öffentlichkeit und unter ihnen die Sportler, gleich ob Berufssportler oder Amateure, von Verstößen gegen die Anti-Doping-Regeln abzuhalten, und entspricht somit dem Ziel der Abschreckung und Prävention.

147. Zweitens dient die Veröffentlichung dieser Sperre auch dazu, die Personen, die den betreffenden Sportler möglicherweise in irgendeiner sportbezogenen Funktion beschäftigen möchten, darüber zu informieren, dass er gesperrt ist und keine sportlichen Funktionen ausüben darf. Hinzu kommt, dass auch der Umgang mit einem gesperrten Sportler einen Verstoß gegen die Anti-Doping-Bestimmungen darstellt (). Eine solche Veröffentlichung kann mithin dazu beitragen, dass solche Verstöße nicht aus Unwissenheit begangen werden.

148. Ich sehe hingegen nicht, inwiefern die angestrebten Ziele durch die im nationalen Gesetz nicht ausdrücklich vorgesehene, aber von der ÖADR veröffentlichte Erwähnung der möglicherweise in Rede stehenden verbotenen Substanz erreicht werden können. Weder das Ziel der Abschreckung noch das Ziel, die Umgehung der Anti-Doping-Regeln zu verhindern, erfordern nämlich eine derart detaillierte Angabe des festgestellten Verstoßes.

– Zur Erforderlichkeit der Veröffentlichung im Hinblick auf die angestrebten Ziele

149. Nach dem 39. Erwägungsgrund der DSGVO setzt die Prüfung der Erforderlichkeit der betreffenden Verarbeitung im Hinblick auf die angestrebten Ziele voraus, dass überprüft wird, ob sich diese Ziele nicht ebenso wirksam durch alternative Maßnahmen erreichen lassen, die weniger stark in die in den Art. 7 und 8 der Charta verbürgten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten eingreifen ().

150. Was erstens das Ziel der Abschreckung betrifft, scheint mir die Veröffentlichung der Namen der betroffenen Sportler nicht in allen Fällen unbedingt notwendig zu sein.

151. Die Abschreckung ist zwar besonders wirksam, wenn die Sanktionen – insbesondere im Fall eines berühmten Sportlers – mit der Veröffentlichung seines Namens einhergehen. In diesem Bereich kommt Spitzensportlern und Sportlern mit einem gewissen Bekanntheitsgrad eine besondere Verantwortung zu, so dass die Veröffentlichung ihrer Namen im Hinblick auf das angestrebte Ziel umso relevanter sein kann.

152. Für Berufssportler, die nicht unter die im ADGB vorgesehenen Ausnahmen fallen, sieht die nationale Gesetzgebung jedoch eine automatische Bekanntgabe ihres Namens vor, deren Reichweite durch die Online-Veröffentlichung unbegrenzt ist (), und zwar ohne Berücksichtigung der besonderen Umstände im Zusammenhang mit den individuellen Gegebenheiten (Bekanntheit des Sportlers, Wettbewerbsniveau, Wiederholungsfall, Vorsatz usw.). Insoweit bin ich der Ansicht, dass diese nationalen Bestimmungen aufgrund ihres allgemeinen Charakters über das hinausgehen könnten, was zur Dopingprävention durch Abschreckung erforderlich ist.

153. Was zweitens das Ziel betrifft, eine Umgehung des Verbots des Umgangs mit einer gesperrten Person zu verhindern, setzt dieses Ziel die Kenntnis voraus, um welchen Sportler es sich handelt. Daher ist die Offenlegung des Namens der gesperrten Person erforderlich. Insoweit geht aus dem Vorabentscheidungsersuchen hervor, dass gemäß § 1 Abs. 2 Nr. 8 ADBG der Umgang eines Sportlers mit einer Betreuungsperson, die gesperrt ist oder sanktioniert wurde, gegen die Anti-Doping-Regeln verstoßen kann.

154. Gleichwohl geht die unbegrenzte Reichweite der Bekanntmachung, die mit der Veröffentlichung im Internet verbunden ist, meines Erachtens über das erforderliche Maß hinaus ().

155. Dieses Ziel, die Umgehung der Regeln zu verhindern, dürfte im Wesentlichen für die Welt des Sports gelten () und richtet sich an Personen, die für die Durchsetzung von Sanktionen zuständig sind oder Sportorganisationen oder -verbände leiten. In diesem Zusammenhang dürfte eine eingeschränktere Bekanntmachung der Identität des betreffenden Sportlers das Ziel wirksam erreichen können und den Schutz personenbezogener Daten weniger stark beeinträchtigen. Zudem hat die NADA in der mündlichen Verhandlung erklärt, dass die Information über die Sperre bei bestimmten Kategorien von Sportlern, die keine Spitzensportler seien, über die Verbände erfolgen könne.

156. Was Wirtschaftsteilnehmer oder Arbeitgeber außerhalb der Sportwelt betrifft, würde eine eingeschränktere Veröffentlichung ihnen sicherlich nicht ermöglichen, zu erfahren, dass der betreffende Sportler gesperrt und ihnen die Zusammenarbeit mit ihm untersagt ist. Sollte einer solchen nicht informierten Person eine Zusammenarbeit mit einer gesperrten Person (Sportler oder andere Person) vorgeworfen werden, ließe sich in diesem Fall meines Erachtens anhand der Beweislastregeln überprüfen, ob diese „Zusammenarbeit“ bewusst und absichtlich stattgefunden hat oder nicht (). Umgekehrt scheint mir die Online-Veröffentlichung der Sperre in Verbindung mit dem Namen der betreffenden Person letztendlich zur Folge zu haben, jedem Einzelnen die Verantwortung für die Überprüfung aufzuerlegen, ob die Person, mit der er einen Vertrag abschließt oder zusammenarbeitet, gesperrt ist oder nicht. Dieser Generalverdacht, der durch die Veröffentlichung der „Sperrliste“ im Internet hervorgerufen wird, scheint mir über das angestrebte Ziel hinauszugehen.

157. Ich füge hinzu, dass die Entscheidung der NADA und der ÖADR zugunsten einer Veröffentlichung im Internet auch das Recht auf Privatsphäre verletzen kann, insbesondere angesichts der allumfassenden Reichweite dieser Veröffentlichung (). Diese Auffassung vertritt auch die Artikel-29-Datenschutzgruppe, die auf die Gefahr einer Verwendung für andere Zwecke oder einer Weiterverarbeitung der im Internet veröffentlichten Daten hinweist, was einen noch größeren Eingriff darstellt ().

158. Nach meiner Auffassung ließen sich die beiden angestrebten Ziele durch eine namentliche, aber auf die zuständigen Stellen und Sportverbände beschränkte Veröffentlichung, die beispielsweise durch eine pseudonymisierte Veröffentlichung im Internet ergänzt wird, auf eine Weise erreichen, die den Schutz personenbezogener Daten weniger beeinträchtigt und dem Grundsatz der Datenminimierung besser entspricht.

159. Ich füge hinzu, dass mich das von NADA vorgebrachte Argument, das sich auf den Vergleich mit der Veröffentlichung von Sanktionen in anderen Berufen wie Rechtsanwälten oder Gesundheitsberufen stützt, nicht überzeugt. Wie die niederländische Regierung in diesem Zusammenhang dargelegt hat, erscheint die Veröffentlichung der Namen suspendierter Rechtsanwälte oder Ärzte nämlich erforderlich, da jeder Bürger Rechtsuchender oder Patient sein kann, während es im Rahmen des Dopings – abgesehen von besonderen, im Einzelfall zu beurteilenden Fallgestaltungen – ausreicht, dass der Name des betreffenden Sportlers in Sportkreisen, d. h. bei den betroffenen Sportverbänden, bekannt ist.

160. Daher habe ich ernsthafte Zweifel an der Erforderlichkeit der in Rede stehenden Verarbeitung im Hinblick auf die verfolgten Ziele.

– Zur Verhältnismäßigkeit im engeren Sinne, d. h. zur Abwägung der bestehenden Interessen

161. Um die Verhältnismäßigkeit der betreffenden Verarbeitung zu beurteilen, müssen die verschiedenen einander gegenüberstehenden Rechte, Freiheiten oder Interessen gegeneinander abgewogen werden. Eine dem Gemeinwohl dienende Zielsetzung kann nämlich nicht verfolgt werden, ohne den Umstand zu berücksichtigen, dass sie mit den betroffenen Grundrechten in Einklang gebracht werden muss, was im vorliegenden Fall eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung einerseits und der Rechte der Person, deren personenbezogene Daten offengelegt werden, andererseits erfordert ().

162. Ich füge hinzu, dass im Rahmen dieser Analyse die Antworten des Gerichtshofs auf die zweite Vorlagefrage zum Vorliegen von Gesundheitsdaten im Sinne von Art. 9 DSGVO und auf die fünfte Vorlagefrage zu Daten über strafrechtliche Verurteilungen oder Straftaten im Sinne von Art. 10 DSGVO zu berücksichtigen sind. Die Einhaltung des Grundsatzes der „Minimierung“ sensibler Daten im Sinne von Art. 9 DSGVO steht der Weitergabe personenbezogener Daten an die Öffentlichkeit nämlich nicht entgegen, wenn diese Weitergabe erforderlich und verhältnismäßig ist (). Dies gilt auch dann, wenn die fraglichen Daten unter Art. 10 DSGVO fallen, sofern die Regelung, die diese Übermittlung gestattet, geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht (). Allerdings kommt bei Daten, die unter diese beiden Bestimmungen fallen, den Interessen der betroffenen Personen bei der Abwägung der beteiligten Interessen besondere Bedeutung zu ().

163. Im vorliegenden Fall stellt die in Rede stehende Verarbeitung, die die Online-Veröffentlichung der Identität des betroffenen Sportlers umfasst, einen erheblichen Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten dar und kann zu einer Missbilligung durch die Gesellschaft und zu einer Stigmatisierung der betroffenen Person führen. Dies ist übrigens der hier beabsichtigte Effekt des „elektronischen Prangers“.

164. Die Schwere dieses Eingriffs muss daher gegen die Bedeutung der mit der Veröffentlichung verfolgten Ziele abgewogen werden.

165. Ich weise darauf hin, dass sich die Frage des vorlegenden Gerichts auf die vom ADBG vorgesehene Veröffentlichung bezieht, wie sie von der NADA und der ÖADR für Berufssportler umgesetzt wird, die nicht unter die vorgesehenen Ausnahmen fallen (die Freizeitsportler, schutzbedürftige Personen und „Whistleblower“ betreffen). In Bezug auf Berufssportler handelt es sich um eine namentliche Veröffentlichung, die zugleich in ihrer Reichweite unbegrenzt ist, da sie über das Internet einer breiten Öffentlichkeit zugänglich gemacht wird, manchmal in ihrer Dauer unbegrenzt ist, wenn es sich um lebenslange Sperren handelt (was auf einen der Beschwerdeführer des Ausgangsverfahrens zutrifft), sowie systematisch und automatisch erfolgt, was gemäß den Bestimmungen des ADBG keine individuelle Beurteilung anhand der Umstände erfordert.

166. Mit aller bei dieser Dimension der Verhältnismäßigkeitskontrolle stets gebotenen Zurückhaltung () neige ich zu der Ansicht, dass die Kombination dieser verschiedenen Aspekte (namentlicher, unbegrenzter, systematischer und automatischer Charakter der Veröffentlichung) unter bestimmten Umständen zu einem Eingriff in die Rechte auf Schutz der personenbezogenen Daten der betroffenen Personen führen kann, der den Erfordernissen einer ausgewogenen Abwägung der verschiedenen Interessen nicht genügt.

167. Beispielsweise könnte im Falle einer langen () oder sogar lebenslangen Sperre eines wenig bekannten Sportlers, dessen berufssportliche Karriere bereits seit einiger Zeit beendet ist, davon ausgegangen werden, dass die rechtmäßige Veröffentlichung seiner personenbezogenen Daten im Lauf der Zeit im Hinblick auf die angestrebten Zwecke unverhältnismäßig wird.

168. Die NADA trägt vor, dass keine Differenzierung nach der Schwere oder der Wiederholung der begangenen Verstöße vorgenommen werden sollte, da dies bei der Verhängung der Sanktion berücksichtigt werde und keinen Einfluss auf die Veröffentlichung habe, die unabhängig von den Umständen erfolgen müsse. Dieses Vorbringen überzeugt mich nicht. Die Veröffentlichung dient nämlich Zielen, die sich zwar in den Rahmen der Dopingbekämpfung einfügen, aber spezifisch sind und eine Abwägung der beteiligten Interessen erfordern, um den Anforderungen der DSGVO Rechnung zu tragen, die bei der Verhängung der Dopingstrafe nicht berücksichtigt wurden.

169. Daher halte ich eine Verpflichtung zur Veröffentlichung personenbezogener Daten, wie sie sich aus dem ADBG ergibt und von der ÖADR und der NADA umgesetzt wird, nur für zulässig, wenn sie in Anbetracht der angestrebten Ziele der Abschreckung und der Verhinderung der Umgehung der Anti-Doping-Regeln sowie unter Berücksichtigung der besonderen Umstände des Einzelfalls, insbesondere hinsichtlich der Reichweite und der Dauer der Veröffentlichung, verhältnismäßig bleibt; dies zu prüfen ist Sache des vorlegenden Gerichts.

Zum Zeitpunkt der Abwägung

170. Das vorlegende Gericht möchte wissen, ob die DSGVO vor der Veröffentlichung eine Einzelfallabwägung der beteiligten Interessen durch den für die Verarbeitung Verantwortlichen verlangt oder ob die vom Gesetzgeber vorgesehene Verhältnismäßigkeitskontrolle ausreicht.

171. Im vorliegenden Fall hat der Gesetzgeber unabhängig von den Umständen des Einzelfalls vordefinierte Situationen in Betracht gezogen, wobei er auf die Bestandteile der Veröffentlichung Bezug genommen und gleichwohl bestimmte Ausnahmen vorgesehen hat. Damit hat er die Veröffentlichung von vornherein eingegrenzt und eine gewisse Abwägung zwischen den Interessen der Sportler, deren personenbezogene Daten offengelegt werden, einerseits und den Interessen der Dopingbekämpfung andererseits vorgenommen.

172. Ich weise jedoch darauf hin, dass die vom nationalen Gesetzgeber benannten für die Verarbeitung Verantwortlichen, d. h. die in Rede stehenden nationalen Anti-Doping-Organisationen (hier die NADA und die ÖADR) gemäß Art. 5 Abs. 2 DSGVO weiterhin für die Durchführung der Verarbeitung verantwortlich und für die Einhaltung der Grundsätze der Rechtmäßigkeit und Verhältnismäßigkeit dieser Verarbeitung sowie für die Einhaltung des Grundsatzes der Datenminimierung rechenschaftspflichtig („accountable“) sind. Sie müssen ferner nachweisen können, dass Art. 5 Abs. 1 dieser Verordnung eingehalten wird.

173. Gemäß Art. 24 Abs. 1 und Art. 25 Abs. 1 DSGVO müssen sie außerdem sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung – treffen. Diese Maßnahmen, die überprüft und gegebenenfalls aktualisiert werden müssen, dienen der wirksamen Umsetzung der Datenschutzgrundsätze und der Aufnahme der notwendigen Garantien in die Verarbeitung, um den Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Person zu schützen ().

174. Ich stelle außerdem fest, dass es im vorliegenden Fall – auch wenn der Gesetzgeber die Zwecke der Verarbeitung sowie teilweise die Mittel dieser Verarbeitung festgelegt hat – die NADA und die ÖADR waren, die sich als für die Verarbeitung Verantwortliche und mit ihrer Durchführung Beauftragte für eine Veröffentlichung im Internet entschieden haben, wobei sich die ÖADR auch für eine Veröffentlichung des Namens der gegebenenfalls in Rede stehenden verbotenen Substanz entschieden hat.

175. In diesem Zusammenhang scheint mir die Antwort auf die gestellte Frage vom Inhalt und vom Grad der Präzision des für den Verantwortlichen geltenden nationalen Rechts abhängig zu sein. Meines Erachtens entbindet die Tatsache, dass der nationale Gesetzgeber den Grundsatz der Veröffentlichung vorgesehen hat, den für die Verarbeitung Verantwortlichen nicht von seiner Verpflichtung, die Anforderungen der DSGVO und den Schutz der Rechte der betroffenen Personen einzuhalten. Dies kann bedeuten, dass er im Rahmen der Anwendung der nationalen Rechtsvorschriften die besonderen Umstände des Einzelfalls zu berücksichtigen hat (). Zudem weise ich darauf hin, dass es ihm im vorliegenden Fall obliegt, bei der Veröffentlichung von Daten über gesperrte Sportler, die unter die im ADBG genannten Ausnahmen fallen, diese Abwägung im Einzelfall vorzunehmen.

176. Daher bin ich der Auffassung, dass die oben genannten Bestimmungen der DSGVO, auch wenn sie dies nicht in allen Fällen vorschreiben, bedeuten können, dass der für die Verarbeitung Verantwortliche eine Einzelfallabwägung der beteiligten Interessen vornehmen muss, insbesondere wenn er die Mittel der Verarbeitung festlegt, also auch vor der Veröffentlichung. In dieser Hinsicht könnten Gesichtspunkte berücksichtigt werden, die sich auf die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie auf die für die Rechte und Freiheiten der betroffenen Personen bestehenden Gefahren beziehen, deren Wahrscheinlichkeit und Schweregrad variieren können.

177. Weder das Argument, dass ein solches Ermessen des Verantwortlichen zu einer Diskriminierung zwischen Sportlern in vergleichbaren Situationen führen könnte, noch die u. a. von der Kommission und der NADA angeführten Risiken der Willkür, des Missbrauchs oder sogar der Korruption können es rechtfertigen, auf eine solche Einzelfallabwägung zu verzichten, die darauf abzielt, personenbezogene Daten in Übereinstimmung mit der DSGVO zu verarbeiten. Eine solche Abwägung kann nämlich gerade die Diskriminierung verhindern, die sich ergeben könnte, wenn unterschiedliche Situationen einer identischen Verarbeitung unterzogen würden.

178. Daraus folgt meines Erachtens, dass die Art. 5 und 6 DSGVO im Licht der Gesamtheit der Verpflichtungen und Verantwortlichkeiten des für die Verarbeitung Verantwortlichen so auszulegen sind, dass sie einer dieser Verarbeitung vorausgehenden Einzelfallabwägung der bestehenden Interessen durch den Verantwortlichen nicht entgegenstehen oder unter bestimmten Umständen eine solche Abwägung sogar verlangen, wenn diese für die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO erforderlich ist.

Ergebnis zur dritten und zur vierten Frage

179. In Anbetracht dessen schlage ich dem Gerichtshof vor, auf die dritte Frage zu antworten, dass Art. 5 Abs. 1 Buchst. a und c und Art. 6 Abs. 3 Unterabs. 2 DSGVO dahin auszulegen sind, dass sie einer den nationalen Anti-Doping-Organisationen auferlegten Verpflichtung entgegenstehen, personenbezogene Daten wie die Namen der wegen eines Dopingverstoßes sanktionierten Sportler, die Dauer der verhängten Sperre und ihre Gründe (insbesondere die Namen der verbotenen Substanz) zu veröffentlichen, wenn unter Berücksichtigung der konkreten Umstände das Erfordernis der Verhältnismäßigkeit, insbesondere im Hinblick auf die Reichweite und die Dauer der Veröffentlichung, nicht oder nicht mehr erfüllt ist, was zu prüfen Sache des vorlegenden Gerichts ist.

180. In Bezug auf die vierte Frage schlage ich dem Gerichtshof vor, zu entscheiden, dass die Art. 5 und 6 DSGVO im Licht aller Verpflichtungen und Verantwortlichkeiten des für die Verarbeitung Verantwortlichen so auszulegen sind, dass sie von diesem verlangen, vor der Verarbeitung der Daten eine Einzelfallabwägung der beteiligten Interessen vorzunehmen, wenn dies für eine im Einklang mit der DSGVO stehende Verarbeitung personenbezogener Daten erforderlich ist.

Siebte Frage

181. Um die siebte Frage zu verstehen, muss man sich den Kontext vor Augen führen, in dem sie gestellt wird. Die Beschwerdeführerin YT hatte noch vor der Veröffentlichung ihrer personenbezogenen Daten auf den Websites der NADA und der ÖADR bei der DSB eine Beschwerde gemäß Art. 17 der DSGVO eingereicht, der das Recht auf Löschung vorsieht. Die DSB wies die Beschwerde von YT ab, da die in Rede stehenden Daten noch nicht veröffentlicht worden waren. Im Laufe des Beschwerdeverfahrens, das sich gegen die Abweisung ihrer Beschwerde durch die DSB richtete, wurden diese Daten dann veröffentlicht.

182. Mit seiner siebten Frage möchte das vorlegende Gericht erstens wissen, ob eine Beschwerde gemäß Art. 77 DSGVO wegen einer geltend gemachten Verletzung des Rechts auf Löschung (Art. 17 DSGVO) zulässig ist, wenn die Verarbeitung personenbezogener Daten der betroffenen Person zum Zeitpunkt der Einreichung ihrer Beschwerde bei der Aufsichtsbehörde und zum Zeitpunkt der Entscheidung dieser Behörde noch nicht stattgefunden hat.

183. Zweitens fragt sich das vorlegende Gericht, ob eine solche Beschwerde im Nachhinein zulässig wird, wenn bereits bei Einbringung der Beschwerde konkrete Hinweise darauf bestanden, dass eine Verarbeitung personenbezogener Daten durch den Verantwortlichen unmittelbar bevorstand oder in naher Zukunft stattfinden würde.

Ist die Beschwerde bei der Aufsichtsbehörde vor der Verarbeitung der Daten zulässig?

184. Art. 77 Abs. 1 DSGVO sieht vor, dass jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, „wenn [sie] der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“.

185. Im Einklang mit der ständigen Rechtsprechung des Gerichtshofs werde ich bei der Auslegung dieser Bestimmung nicht nur ihren Wortlaut, sondern auch ihren Kontext und die mit der Regelung, zu der sie gehört, verfolgten Ziele berücksichtigen ().

186. Erstens schreibt der Wortlaut von Art. 77 DSGVO keine Frist für die Einreichung einer Beschwerde über die Verarbeitung personenbezogener Daten vor. In Fällen, in denen die Verarbeitung stattgefunden hat und anschließend beanstandet wird, kann die Behörde eine Überprüfung umso schneller vornehmen und der Schutz der betroffenen Person umso eher gewährleistet werden, je früher die Beschwerde eingereicht wird (). Hingegen ist der Fall, in dem die Verarbeitung noch nicht stattgefunden hat, im Wortlaut von Art. 77 Abs. 1 DSGVO nicht vorgesehen. Ich stelle in diesem Zusammenhang fest, dass diese Bestimmung den Ausdruck „verstößt“ im Präsens verwendet, was zu bedeuten scheint, dass die Verarbeitung bereits stattgefunden haben muss, die Möglichkeit einer künftigen Verarbeitung jedoch als solche nicht ausgeschlossen ist ().

187. Zweitens sind als kontextbezogene Gesichtspunkte die Aufgaben und Befugnisse der Aufsichtsbehörden zu erwähnen. In dieser Hinsicht ist jede Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, sich mit Beschwerden von betroffenen Personen zu befassen, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung zu unterrichten. Die Aufsichtsbehörde muss eine solche Beschwerde daher „mit aller gebotenen Sorgfalt“ bearbeiten ().

188. Darüber hinaus verleiht Art. 58 Abs. 1 DSGVO jeder Aufsichtsbehörde weitreichende Untersuchungsbefugnisse zur Bearbeitung eingereichter Beschwerden. Stellt eine solche Behörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt, wobei diese Behörde über ein Ermessen in Bezug auf die geeigneten und erforderlichen Mittel verfügt (). Zu den Befugnissen der Aufsichtsbehörde nach Art. 58 Abs. 2 Buchst. a DSGVO gehört es, einen Verantwortlichen zu „warnen“, dass „beabsichtigte“ Verarbeitungsvorgänge „voraussichtlich“ gegen die DSGVO verstoßen, was Teil eines Ansatzes ist, den man als „vorbeugenden Schutz“ der Rechte der betroffenen Person bezeichnen kann ().

189. All diese Anforderungen und Befugnisse der Aufsichtsbehörden zielen darauf ab, das Beschwerdeverfahren zu stärken, um es zu einem Mechanismus zu machen, der geeignet ist, die Rechte und Interessen der betroffenen Personen wirksam zu wahren, d. h. zu einem „echten verwaltungsrechtlichen Rechtsbehelf“ ().

190. Als weiterer kontextbezogener Gesichtspunkt ist darauf hinzuweisen, dass der Verantwortliche, wie von der Kommission ausgeführt, bestimmte Verpflichtungen erfüllen und insbesondere die betroffene Person vor der Verarbeitung informieren muss ().

191. Meines Erachtens kann daher ein vorsorglicher oder präventiver Ansatz der Aufsichtsbehörden bei der Bearbeitung von Beschwerden im Kontext der DSGVO nicht von vornherein ausgeschlossen werden.

192. Drittens wird diese Auslegung durch die Ziele dieser Verordnung bestätigt. Aus ihrem zehnten Erwägungsgrund geht nämlich hervor, dass sie darauf abzielt, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union zu gewährleisten. Im elften Erwägungsgrund dieser Verordnung heißt es zudem, dass ein wirksamer Schutz dieser Daten die Stärkung der Rechte der betroffenen Personen erfordert.

193. Würde man jedoch die den Aufsichtsbehörden in Art. 57 Abs. 1 Buchst. f DSGVO auferlegte Verpflichtung, sich mit Beschwerden zu befassen, durch eine Auslegung von Art. 77 Abs. 1 dieser Verordnung einschränken, nach der jede Möglichkeit ausgeschlossen wäre, eine Beschwerde bei einer Aufsichtsbehörde „im Vorfeld einer Verarbeitung“ einzureichen, könnte dies den Zielen dieser Verordnung zuwiderlaufen, insbesondere dem Ziel, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union zu gewährleisten.

194. Nach alledem kann meines Erachtens nicht ausgeschlossen werden, dass eine gemäß Art. 77 DSGVO eingelegte Beschwerde zulässig sein kann, obwohl die Verarbeitung personenbezogener Daten der betroffenen Person zum Zeitpunkt der Einreichung ihrer Beschwerde bei der Aufsichtsbehörde noch nicht stattgefunden hat.

195. Mit der Kommission und der österreichischen Regierung bin ich jedoch der Ansicht, dass der geltend gemachte Verstoß gegen die DSGVO dafür geeignet sein muss und dass die betreffende Verarbeitung – im vorliegenden Fall die Veröffentlichung personenbezogener Daten – nicht rein hypothetischer Natur sein darf ().

196. Im vorliegenden Fall ist der Gerichtshof mit einem Ersuchen befasst, das eine auf Art. 17 DSGVO gestützte, auf Löschung der in Rede stehenden Daten gerichtete Beschwerde betrifft, wobei die betroffene Beschwerdeführerin des Ausgangsverfahrens (YT) hierzu angegeben hat, dass die Veröffentlichung ihrer Daten „mit ziemlicher Sicherheit unmittelbar bevorstehe“.

197. Eine auf Löschung dieser Daten gerichtete Beschwerde setzt jedoch (ebenso wie ein Antrag auf Berichtigung der Daten) naturgemäß voraus, dass die betreffende Verarbeitung, in diesem Fall die Veröffentlichung der Daten, tatsächlich stattgefunden hat. Dem Verantwortlichen dürfte es nämlich unmöglich sein, aufgrund einer solchen Beschwerde tätig zu werden und Daten zu löschen, wenn diese noch nicht veröffentlicht wurden, es sei denn, diese Beschwerde wird dahin ausgelegt, dass sie in Wirklichkeit darauf abzielt, die Veröffentlichung dieser Daten zu unterbinden () (und nicht, sie zu löschen), was zu beurteilen Sache des vorlegenden Gerichts ist.

198. Ich füge hinzu, dass eine solche Auslegung nicht im Widerspruch zu dem Ziel steht, ein hohes Schutzniveau für personenbezogene Daten zu gewährleisten, da andere Bestimmungen der DSGVO es ermöglichen, auf Anträge einzugehen, die eine künftige Verarbeitung betreffen. Wie die österreichische Regierung ausführt, impliziert das in Art. 79 Abs. 1 DSGVO garantierte Recht auf einen wirksamen gerichtlichen Rechtsbehelf, dass im nationalen Recht prozessuale Maßnahmen für den Fall eines drohenden unrechtmäßigen Eingriffs in die durch die DSGVO gewährten Rechte vorgesehen sein müssen. Dies schließt die nach österreichischem Recht bestehende Möglichkeit ein, vor Beginn der Verarbeitung vorbeugende Unterlassungsklagen einzureichen oder, wenn die Verarbeitung bereits begonnen hat, die österreichische Behörde zu ersuchen, die Beschränkung dieser Verarbeitung auf der Grundlage von Art. 18 DSGVO zu überwachen.

199. Daher lässt sich meines Erachtens nicht ausschließen, dass eine nach Art. 77 DSGVO eingereichte Beschwerde zulässig sein kann, obwohl die Verarbeitung personenbezogener Daten der betroffenen Person zum Zeitpunkt der Einreichung ihrer Beschwerde bei der Aufsichtsbehörde noch nicht stattgefunden hat, aber auch nicht rein hypothetisch ist. Unter den Umständen des Ausgangsverfahrens ist die auf das Recht auf Löschung gemäß Art. 17 DSGVO gestützte Beschwerde jedoch unzulässig, weil sie eine Verarbeitung (hier die Veröffentlichung der personenbezogenen Daten der betroffenen Person) betrifft, die, auch wenn sie unmittelbar bevorsteht, weder zum Zeitpunkt der Einreichung der Beschwerde dieser Person bei der Aufsichtsbehörde noch zum Zeitpunkt des Erlasses der Entscheidung dieser Aufsichtsbehörde vorlag.

Wird die Beschwerde bei der Aufsichtsbehörde „nachträglich“ zulässig?

200. Diese Frage betrifft die Auslegung von Art. 77 DSGVO, der sich auf das Recht bezieht, eine Beschwerde bei der Aufsichtsbehörde einzureichen. Das vorlegende Gericht scheint somit zu fragen, ob eine solche Beschwerde, die für unzulässig erklärt wurde, nachträglich bei der Aufsichtsbehörde zulässig werden könnte, wenn die in Rede stehende Verarbeitung (hier die Veröffentlichung der Daten) erfolgt, während ein Rechtsmittel gegen die Entscheidung dieser Aufsichtsbehörde beim Rechtsmittelgericht anhängig ist. In diesem Zusammenhang ist es meines Erachtens Sache der innerstaatlichen Rechtsordnung, zu klären, ob das Rechtsmittelgericht in einem solchen Fall die Angelegenheit an die Aufsichtsbehörde zur erneuten Prüfung im Licht der neuen Tatsachen zurückverweisen könnte oder sogar müsste, ob es Sache der betroffenen Person ist, erneut Beschwerde einzulegen, oder ob das Rechtsmittelgericht über den bei ihm anhängigen Rechtsstreit unter Berücksichtigung der neuen Tatsachen, die im vorliegenden Fall in der Veröffentlichung der Daten bestehen, selbst entscheiden kann. Insoweit ist darauf zu achten, dass der wirksame Schutz der durch die DSGVO garantierten Rechte sowie die gleichmäßige und einheitliche Anwendung ihrer Bestimmungen gewährleistet sind.

201. Sofern die Frage des vorlegenden Gerichts im Einklang mit der österreichischen Regierung so zu verstehen ist, dass sie sich auf die Zulässigkeit einer solchen Beschwerde vor dem mit dem Rechtsmittel befassten Gericht bezieht, ist in diesem Fall zu prüfen, welche Auswirkungen sich aus einer Änderung der Sachlage – nämlich der Verarbeitung in Form der Veröffentlichung der personenbezogenen Daten, die nach der Entscheidung der Aufsichtsbehörde und während der Anhängigkeit eines nach Art. 78 DSGVO gegen diese Entscheidung eingelegten Rechtsbehelfs stattgefunden hat – ergeben, wenn zum Zeitpunkt der Beschwerde konkrete Anhaltspunkte dafür vorlagen, dass eine Verarbeitung personenbezogener Daten durch den Verantwortlichen unmittelbar bevorstand oder in naher Zukunft stattfinden würde.

202. Es ist darauf hinzuweisen, dass der Unionsgesetzgeber im Rahmen der DSGVO verschiedene Rechtsbehelfe für Personen vorgesehen hat, die einen Verstoß gegen diese Verordnung geltend machen, wobei jeder dieser Rechtsbehelfe „unbeschadet“ der anderen eingelegt werden können muss ().

203. So sieht Art. 78 Abs. 1 DSGVO vor, dass jede natürliche oder juristische Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde hat. Daraus folgt, dass die Gerichte, die mit einem Rechtsbehelf gegen eine Entscheidung einer Aufsichtsbehörde befasst sind, eine uneingeschränkte Zuständigkeit besitzen sollten, was die Zuständigkeit einschließt, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgebliche Sach- und Rechtsfragen zu prüfen (). Die gerichtliche Überprüfung einer von einer Aufsichtsbehörde getroffenen Entscheidung über eine Beschwerde muss daher, um „wirksam“ zu sein, wie es diese Bestimmung verlangt, umfassend sein (). Darüber hinaus garantiert Art. 79 Abs. 1 DSGVO jeder betroffenen Person „unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77“ das Recht auf einen wirksamen gerichtlichen Rechtsbehelf.

204. Zwar ist bereits festgestellt worden, dass der Unionsgesetzgeber mit dem Erlass der DSGVO keine umfassende Harmonisierung der Rechtsbehelfe, die nach den Art. 77 bis 79 DSGVO bei einem Verstoß gegen die Bestimmungen dieser Verordnung zur Verfügung stehen, vornehmen wollte (). Insbesondere sieht die DSGVO keine besonderen Bestimmungen für den Fall vor, dass wegen derselben Verarbeitung personenbezogener Daten in ein und demselben Mitgliedstaat sowohl eine Beschwerde bei einer Aufsichtsbehörde als auch gerichtliche Rechtsbehelfe eingelegt werden.

205. Gleichwohl hat der Unionsgesetzgeber, auch wenn er insoweit keine umfassende Harmonisierung anstrebte, die in der Vorlagefrage angesprochene Möglichkeit, die nachträgliche Zulässigkeit einer unter Umständen wie denen des Ausgangsverfahrens eingelegten Beschwerde anzuerkennen, nicht ausschließen wollen.

206. Mangels einer einschlägigen Unionsregelung ist es daher nach dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten Sache der einzelnen Mitgliedstaaten, die Modalitäten für das Verwaltungsverfahren und das Gerichtsverfahren zu regeln, die ein hohes Schutzniveau der dem Einzelnen aus dem Unionsrecht erwachsenden Rechte gewährleisten sollen. In dieser Hinsicht obliegt es dem nationalen Gericht, dafür zu sorgen, dass der wirksame Schutz der durch die DSGVO garantierten Rechte, die gleichmäßige und einheitliche Anwendung ihrer Bestimmungen sowie das in Art. 47 der Charta niedergelegte Recht auf einen wirksamen Rechtsbehelf bei einem Gericht gewährleistet sind ().

207. Daher hat das vorlegende Gericht auf der Grundlage der nationalen Verfahrensvorschriften zu bestimmen, wie die in den innerstaatlichen Rechtsvorschriften vorgesehenen Rechtsbehelfe im Einzelfall durchzuführen sind. Insoweit hat es sicherzustellen, dass die konkreten Modalitäten für die Ausübung der Rechtsbehelfe das Recht auf einen wirksamen Rechtsbehelf bei einem Gericht nicht unverhältnismäßig beeinträchtigen. Es muss auch dafür sorgen, dass die Wirksamkeit des Schutzes der durch die DSGVO garantierten Rechte gewährleistet ist und dass diese Modalitäten die Grundsätze der Wirksamkeit und der Äquivalenz beachten ().

208. Mangels näherer Angaben des vorlegenden Gerichts zu den nach seinem nationalen Recht bestehenden Möglichkeiten ist meines Erachtens davon auszugehen, dass Art. 77 Abs. 1 DSGVO in Verbindung mit Art. 78 Abs. 1 dieser Verordnung dahin auszulegen ist, dass er der Zulässigkeit einer Beschwerde, die zuvor von der Aufsichtsbehörde als unzulässig zurückgewiesen wurde, nicht entgegensteht, wenn die Datenverarbeitung während der Anhängigkeit eines gerichtlichen Rechtsbehelfsverfahrens über denselben Sachverhalt erfolgt. Es ist Sache der innerstaatlichen Rechtsordnung, unter Beachtung der Grundsätze der Äquivalenz und der Wirksamkeit die Voraussetzungen für eine solche Zulässigkeit sowohl vor der Aufsichtsbehörde als auch vor dem Gericht zu regeln, damit die Wirksamkeit des Schutzes der durch diese Verordnung garantierten Rechte, die gleichmäßige und einheitliche Anwendung ihrer Bestimmungen sowie das Recht auf einen wirksamen Rechtsbehelf bei einem Gericht gewährleistet sind.

Ergebnis zur siebten Frage

209. Unter Berücksichtigung aller vorstehenden Erwägungen schlage ich dem Gerichtshof vor, auf die siebte Frage zu antworten, dass Art. 77 DSGVO dahin auszulegen ist, dass eine auf Art. 17 DSGVO gestützte Beschwerde (mit der eine Verletzung des Rechts auf Löschung geltend gemacht wird) unzulässig ist, wenn sie eine in der Veröffentlichung personenbezogener Daten der betroffenen Person bestehende Verarbeitung betrifft, die, auch wenn sie unmittelbar bevorsteht, weder zum Zeitpunkt der Einreichung der Beschwerde dieser Person bei der Aufsichtsbehörde noch zum Zeitpunkt des Erlasses der Entscheidung dieser Behörde vorlag, jedoch unbeschadet der möglichen Zulässigkeit einer Beschwerde, die sich auf eine nicht rein hypothetische Verarbeitung personenbezogener Daten bezieht und eine vorbeugende oder sichernde Maßnahme der Aufsichtsbehörde rechtfertigen kann.

210. Darüber hinaus steht Art. 77 DSGVO im Licht von Art. 78 Abs. 1 dieser Verordnung der Zulässigkeit einer zuvor von der Aufsichtsbehörde als unzulässig zurückgewiesenen Beschwerde nicht entgegen, wenn die Datenverarbeitung während der Anhängigkeit des denselben Sachverhalt betreffenden gerichtlichen Rechtsbehelfsverfahrens erfolgt. Es ist Sache der innerstaatlichen Rechtsordnung, unter Beachtung der Grundsätze der Äquivalenz und der Wirksamkeit die Voraussetzungen für eine solche Zulässigkeit sowohl vor der Aufsichtsbehörde als auch vor dem Gericht zu regeln, damit die Wirksamkeit des Schutzes der durch diese Verordnung garantierten Rechte, die gleichmäßige und einheitliche Anwendung ihrer Bestimmungen sowie das Recht auf einen wirksamen Rechtsbehelf bei einem Gericht gewährleistet sind.

211. Nach alledem schlage ich dem Gerichtshof vor, auf die Vorlagefragen des Bundesverwaltungsgerichts (Österreich) wie folgt zu antworten: 1. Art. 16 Abs. 2 Satz 1 AEUV und Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG sind dahin auszulegen, dass Verarbeitungen personenbezogener Daten, die gemäß den nationalen Anti-Doping-Regeln in der Veröffentlichung der Namen der betroffenen Sportler, der ausgeübten Sportart, des begangenen Verstoßes gegen die Anti-Doping-Regeln, der verhängten Sanktion sowie des Beginns und des Endes dieser Sanktion im Internet bestehen, nicht als im Rahmen einer „Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“ im Sinne von Art. 2 Abs. 2 Buchst. a der Verordnung 2016/679 erfolgt angesehen werden können. 2. Art. 9 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass die Bekanntgabe des Namens des betroffenen Sportlers, der Dauer seiner Sperre und der Gründe für diese Sperre keine Verarbeitung von Gesundheitsdaten im Sinne dieser Bestimmung darstellt, es sei denn, diese Gründe umfassen den Namen der im Körper des betreffenden Sportlers nachgewiesenen verbotenen Substanz(en), da diese Angabe geeignet ist, – wenn auch nur indirekt – Informationen über den zumindest künftigen Gesundheitszustand des betreffenden Sportlers preiszugeben, was zu prüfen Sache des vorlegenden Gerichts ist. 3. Art. 5 Abs. 1 Buchst. a und c und Art. 6 Abs. 3 Unterabs. 2 der Verordnung 2016/679 sind dahin auszulegen, dass sie einer den nationalen Anti-Doping-Organisationen auferlegten Verpflichtung entgegenstehen, personenbezogene Daten wie die Namen der wegen eines Dopingverstoßes sanktionierten Sportler, die Dauer der verhängten Sperre und ihre Gründe (insbesondere die Namen der verbotenen Substanz) zu veröffentlichen, wenn unter Berücksichtigung der konkreten Umstände das Erfordernis der Verhältnismäßigkeit, insbesondere im Hinblick auf die Reichweite und die Dauer der Veröffentlichung, nicht oder nicht mehr erfüllt ist, was zu prüfen Sache des vorlegenden Gerichts ist. 4. Die Art. 5 und 6 der Verordnung 2016/679 sind im Licht aller Verpflichtungen und Verantwortlichkeiten des für die Verarbeitung Verantwortlichen dahin auszulegen, dass sie von diesem verlangen, vor der Verarbeitung der Daten eine Einzelfallabwägung der beteiligten Interessen vorzunehmen, wenn dies für eine im Einklang mit der Verordnung 2016/679 stehende Verarbeitung personenbezogener Daten erforderlich ist. 5. Art. 10 der Verordnung 2016/679 ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten, die in der nationalen Anti-Doping-Regelung vorgesehene Verurteilungen oder Verstöße betreffen, anwendbar sein kann, sofern die damit verbundenen Verurteilungen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht eine repressive Zielsetzung verfolgen und einen solchen Schweregrad aufweisen, dass sie eine Wirkung haben, die einer strafrechtlichen Sanktion gleichkommt; dies zu prüfen ist Sache des vorlegenden Gerichts. 6. Art. 10 der Verordnung 2016/679 ist im Licht von Art. 79 Abs. 1 dieser Verordnung dahin auszulegen, dass die Tätigkeiten oder Entscheidungen einer Behörde, der gemäß dieser Bestimmung die Aufsicht über die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln übertragen ist, einer gerichtlichen Kontrolle zugänglich sein müssen. 7. Art. 77 der Verordnung 2016/679 ist dahin auszulegen, – dass eine auf Art. 17 dieser Verordnung gestützte Beschwerde (mit der eine Verletzung des Rechts auf Löschung geltend gemacht wird) unzulässig ist, wenn sie eine in der Veröffentlichung personenbezogener Daten der betroffenen Person bestehende Verarbeitung betrifft, die, auch wenn sie unmittelbar bevorsteht, weder zum Zeitpunkt der Einreichung der Beschwerde dieser Person bei der Aufsichtsbehörde noch zum Zeitpunkt des Erlasses der Entscheidung dieser Behörde vorlag, jedoch unbeschadet der möglichen Zulässigkeit einer Beschwerde, die sich auf eine nicht rein hypothetische Verarbeitung personenbezogener Daten bezieht und eine vorbeugende oder sichernde Maßnahme der Aufsichtsbehörde rechtfertigen kann, – und dass er im Licht von Art. 78 Abs. 1 der Verordnung 2016/679 der Zulässigkeit einer zuvor von der Aufsichtsbehörde als unzulässig zurückgewiesenen Beschwerde nicht entgegensteht, wenn die Datenverarbeitung während der Anhängigkeit des denselben Sachverhalt betreffenden gerichtlichen Rechtsbehelfsverfahrens erfolgt. Es ist Sache der innerstaatlichen Rechtsordnung, unter Beachtung der Grundsätze der Äquivalenz und der Wirksamkeit die Voraussetzungen für eine solche Zulässigkeit sowohl vor der Aufsichtsbehörde als auch vor dem Gericht zu regeln, damit die Wirksamkeit des Schutzes der durch die Verordnung 2016/679 garantierten Rechte, die gleichmäßige und einheitliche Anwendung ihrer Bestimmungen sowie das Recht auf einen wirksamen Rechtsbehelf bei einem Gericht gewährleistet sind.