Der EuGH hat Anfang Mai dem Gespenst der Rechenschaftspflicht ein wenig seinen Schrecken genommen (C‑60/22): Schließt der Verantwortliche trotz Erforderlichkeit keine Vereinbarung über die gemeinsame Verantwortung (Art. 26 DSGVO) ab oder führt er kein Verarbeitungsverzeichnis (Art. 30 DSGVO), führt dies nicht zur Rechtswidrigkeit der Verarbeitung. Die betroffene Person hat daher keinen Anspruch auf Löschung oder Einschränkung der Verarbeitung.
Der EuGH begründet dies u. a. damit, dass sich die Rechtmäßigkeit einer Verarbeitung von Daten mit „normalem“ Schutzbedarf nur an den Anforderungen des Art. 6 DSGVO (Überschrift: „Rechtmäßigkeit der Verarbeitung“) bemisst. Heißt: Die Datenverarbeitung braucht eine Rechtsgrundlage, um rechtmäßig zu sein. Ob für eine Verarbeitung besondere Datenschutzvereinbarungen zwischen den beteiligten Akteuren erforderlich ist oder ein Verarbeitungsverzeichnis vorliegt, ist hierbei unerheblich. Gibt es eine gültige Rechtsgrundlage, dürfen die Daten auch weiterhin verarbeitet werden.
