Rechtsprechung / Europäischer Gerichtshof

Europäischer Gerichtshof Urteil vom 14.07.2026 – C-474/24

Große Kammer · ECLI:EU:C:2026:579

Zitiert von 1 Entscheidungen Zitiert 8+ Entscheidungen 15+ zitierte Normen

Leitsatz
1. Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV ist dahin auszulegen, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt. 2. Art. 9 der Verordnung 2016/679 ist dahin auszulegen, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt. Anders verhält es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen. 3. Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 der Verordnung 2016/679 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann, sofern diese Regelung es den Verantwortlichen ermöglicht, außerhalb dieser Ausnahmen vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vorzunehmen, um sicherzustellen, dass diese Veröffentlichung im Einklang mit dieser Verordnung erfolgt. 4. Art. 10 der Verordnung 2016/679 ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung findet, da sich die Vorschriften über die genannten Verstöße und diese Sanktionen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht ebenso wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten, nur an eine bestimmte Gruppe von Personen, nämlich Sportler, richten. 5. Art. 77 der Verordnung 2016/679 ist dahin auszulegen, dass eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird.

URTEIL DES GERICHTSHOFS (Große Kammer) 14. Juli 2026 ( „Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 2 – Sachlicher Anwendungsbereich – Art. 5 und 6 – Grundsätze für die Verarbeitung und Rechtmäßigkeit der Verarbeitung – Art. 9 – Begriff ‚Gesundheitsdaten‘ – Art. 10 – Begriff ‚personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten‘ – Bekämpfung von Doping im Sport – Veröffentlichung des Namens einer Person, die gegen Anti-Doping-Vorschriften verstoßen hat, der Dauer ihrer Sperre für Sportveranstaltungen und der Gründe für diese Sperre im Internet – Interessenabwägung – Verhältnismäßigkeit – Art. 77 – Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, wenn eine solche Veröffentlichung unmittelbar bevorsteht“ In der Rechtssache C‑474/24 betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Bundesverwaltungsgericht (Österreich) mit Beschluss vom 28. Juni 2024, beim Gerichtshof eingegangen am 4. Juli 2024, in dem Verfahren AR, YT, DI, RN Mitbeteiligte: Österreichische Datenschutzbehörde, Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), Österreichische Anti-Doping Rechtskommission (ÖADR) erlässt DER GERICHTSHOF (Große Kammer) unter Mitwirkung des Präsidenten K. Lenaerts, des Vizepräsidenten T. von Danwitz, der Kammerpräsidenten C. Lycourgos und I. Jarukaitis, der Kammerpräsidentin M. L. Arastey Sahún, der Kammerpräsidenten J. Passer (Berichterstatter), M. Condinanzi und F. Schalin sowie der Richter E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, S. Gervasoni und N. Fenger, Generalanwalt: D. Spielmann, Kanzler: R. Şereş, Verwaltungsrätin, aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 13. Mai 2025, unter Berücksichtigung der Erklärungen – von AR, YT, DI und RN, vertreten durch Rechtsanwalt J. Öhlböck, – der Österreichischen Datenschutzbehörde, vertreten durch M. Schmidl und E. Wagner als Bevollmächtigte, – der Nationalen Anti-Doping Agentur Austria GmbH (NADA Austria), vertreten durch Rechtsanwältin T. Grünvaldska, Rechtsanwalt A. Schütz und K. Van Quathem, Advocaat, – der österreichischen Regierung, vertreten durch J. Schmoll und C. Gabauer als Bevollmächtigte, – der lettischen Regierung, vertreten durch J. Davidoviča, K. Pommere und S. Zellis als Bevollmächtigte, – der niederländischen Regierung, vertreten durch M. K. Bulterman und H. S. Gijzen als Bevollmächtigte, – der polnischen Regierung, vertreten durch B. Majczyna als Bevollmächtigten, – der finnischen Regierung, vertreten durch M. Pere als Bevollmächtigte, – der Europäischen Kommission, vertreten durch A. Bouchagiar, M. Heller und H. Kranenborg als Bevollmächtigte, nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 25. September 2025 folgendes Urteil

1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 16 Abs. 2 Satz 1 AEUV und von Art. 5 Abs. 1 Buchst. a und c, Art. 6 Abs. 3 Unterabs. 2 sowie der Art. 9, 10, 17 und 77 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).

2 Es ergeht im Rahmen eines Rechtsstreits zwischen den Sportlern AR, YT, DI und RN auf der einen und der Nationalen Anti-Doping Agentur Austria GmbH (NADA Austria) sowie der Österreichischen Anti-Doping Rechtskommission (ÖADR) auf der anderen Seite wegen der Veröffentlichung einer Reihe von Informationen im Internet, die sich auf diese Sportler beziehen und von ihnen begangene Verstöße gegen österreichische Anti-Doping-Vorschriften betreffen. Rechtlicher Rahmen WADC

3 Wie sich aus der Erklärung von Kopenhagen vom 5. März 2003 gegen Doping im Sport ergibt, ist der von der Welt-Anti-Doping-Agentur ausgearbeitete Welt-Anti-Doping-Code in seiner 2021 geltenden Fassung (im Folgenden: WADC) der grundlegende Text für die weltweite Bekämpfung von Doping im Sport. Der WADC ist ein privates Regelwerk, zu dessen Einhaltung sich die Unterzeichnerstaaten des am 19. Oktober 2005 in Paris unterzeichneten und am 1. Februar 2007 in Kraft getretenen Internationalen Übereinkommens der Vereinten Nationen gegen Doping im Sport verpflichtet haben. Sowohl diese Erklärung als auch dieses Übereinkommen wurde von allen Mitgliedstaaten der Europäischen Union unterzeichnet.

4 In den Art. 2.1 bis 2.11 WADC sind die Kategorien von Verstößen gegen Anti-Doping-Regelungen aufgeführt.

5 Art. 2.6 WADC, der sich auf den Besitz einer verbotenen Substanz oder die Anwendung einer verbotenen Methode durch einen Sportler oder ein Mitglied des Betreuungsstabs eines Sportlers bezieht, erlaubt in Verbindung mit Art. 4.4 WADC die Verwendung bestimmter Substanzen zu therapeutischen Zwecken.

6 Art. 14.3.2 WADC schreibt vor, dass die betreffenden Anti-Doping-Organisationen „die in der Anti-Doping-Angelegenheit getroffene Entscheidung, einschließlich der betroffenen Sportart, der verletzten Anti-Doping-Regel, des Namens des Athleten bzw. der anderen Personen, die den Verstoß begangen haben, der involvierten verbotenen Substanz oder verbotenen Methode (falls zutreffend) und der auferlegten Konsequenzen“ öffentlich bekannt geben. Unionsrecht AEU-Vertrag

7 Art. 16 AEUV sieht vor: „(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Das Europäische Parlament und der Rat [der Europäischen Union] erlassen gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und über den freien Datenverkehr. Die Einhaltung dieser Vorschriften wird von unabhängigen Behörden überwacht. …“

8 Art. 165 AEUV bestimmt: „… (2) Die Tätigkeit der Union hat folgende Ziele: … – Entwicklung der europäischen Dimension des Sports durch Förderung der Fairness und der Offenheit von Sportwettkämpfen und der Zusammenarbeit zwischen den für den Sport verantwortlichen Organisationen sowie durch den Schutz der körperlichen und seelischen Unversehrtheit der Sportler, insbesondere der jüngeren Sportler. … (4) Als Beitrag zur Verwirklichung der Ziele dieses Artikels … – erlässt der Rat auf Vorschlag der [Europäischen] Kommission Empfehlungen.“ DSGVO

9 In den Erwägungsgründen 10 bis 12, 16, 35, 39, 51 und 112 der DSGVO heißt es: „(10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. Hinsichtlich der Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, sollten die Mitgliedstaaten die Möglichkeit haben, nationale Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer festgelegt wird, beizubehalten oder einzuführen. In Verbindung mit den allgemeinen und horizontalen Rechtsvorschriften über den Datenschutz zur Umsetzung der Richtlinie 95/46/EG [des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31)] gibt es in den Mitgliedstaaten mehrere sektorspezifische Rechtsvorschriften in Bereichen, die spezifischere Bestimmungen erfordern. Diese Verordnung bietet den Mitgliedstaaten zudem einen Spielraum für die Spezifizierung ihrer Vorschriften, auch für die Verarbeitung besonderer Kategorien von personenbezogenen Daten (im Folgenden ‚sensible Daten‘). Diesbezüglich schließt diese Verordnung nicht Rechtsvorschriften der Mitgliedstaaten aus, in denen die Umstände besonderer Verarbeitungssituationen festgelegt werden, einschließlich einer genaueren Bestimmung der Voraussetzungen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist. (11) Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden, ebenso wie – in den Mitgliedstaaten – gleiche Befugnisse bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie gleiche Sanktionen im Falle ihrer Verletzung. (12) Artikel 16 Absatz 2 AEUV ermächtigt das Europäische Parlament und den Rat, Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten zu erlassen. … (16) Diese Verordnung gilt nicht für Fragen des Schutzes von Grundrechten und Grundfreiheiten und des freien Verkehrs personenbezogener Daten im Zusammenhang mit Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, wie etwa die nationale Sicherheit betreffende Tätigkeiten. Diese Verordnung gilt nicht für die von den Mitgliedstaaten im Rahmen der Gemeinsamen Außen- und Sicherheitspolitik der Union durchgeführte Verarbeitung personenbezogener Daten. … (35) Zu den personenbezogenen Gesundheitsdaten sollten alle Daten zählen, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen. Dazu gehören auch Informationen über die natürliche Person, die im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates [vom 9. März 2011 über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (ABl. 2011, L 88, S. 45)] für die natürliche Person erhoben werden, Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, auch aus genetischen Daten und biologischen Proben, abgeleitet wurden, und Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen. … (39) Jede Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glauben erfolgen. … Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. Dies erfordert insbesondere, dass die Speicherfrist für personenbezogene Daten auf das unbedingt erforderliche Mindestmaß beschränkt bleibt. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Um sicherzustellen, dass die personenbezogenen Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. … … (51) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. … Derartige personenbezogene Daten sollten nicht verarbeitet werden, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig, wobei zu berücksichtigen ist, dass im Recht der Mitgliedstaaten besondere Datenschutzbestimmungen festgelegt sein können, um die Anwendung der Bestimmungen dieser Verordnung anzupassen, damit die Einhaltung einer rechtlichen Verpflichtung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, möglich ist. Zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Ausnahmen von dem allgemeinen Verbot der Verarbeitung dieser besonderen Kategorien personenbezogener Daten sollten ausdrücklich vorgesehen werden, unter anderem bei ausdrücklicher Einwilligung der betroffenen Person oder bei bestimmten Notwendigkeiten, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen. … (112) Diese Ausnahmen sollten insbesondere für Datenübermittlungen gelten, die aus wichtigen Gründen des öffentlichen Interesses erforderlich sind, beispielsweise für den internationalen Datenaustausch zwischen Wettbewerbs‑, Steuer- oder Zollbehörden, zwischen Finanzaufsichtsbehörden oder zwischen für Angelegenheiten der sozialen Sicherheit oder für die öffentliche Gesundheit zuständigen Diensten, beispielsweise im Falle der Umgebungsuntersuchung bei ansteckenden Krankheiten oder zur Verringerung und/oder Beseitigung des Dopings im Sport. …“

10 Art. 2 („Sachlicher Anwendungsbereich“) DSGVO bestimmt: „(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. (2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt, …“

11 Art. 4 („Begriffsbestimmungen“) DSGVO sieht vor: „Im Sinne dieser Verordnung bezeichnet der Ausdruck: 1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; 2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; … 15. ‚Gesundheitsdaten‘ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen; …“

12 In Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO heißt es: „(1) Personenbezogene Daten müssen a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘); … c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘); …“

13 Art. 6 („Rechtmäßigkeit der Verarbeitung“) DSGVO sieht vor: „(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: … c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; … e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; … (3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch a) Unionsrecht oder b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und ‑verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. …“

14 Art. 9 („Verarbeitung besonderer Kategorien personenbezogener Daten“) DSGVO bestimmt: „(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt. (2) Absatz 1 gilt nicht in folgenden Fällen: a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden, … g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich, … i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, … …“

15 Art. 10 („Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten“) DSGVO sieht vor: „Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln aufgrund von Artikel 6 Absatz 1 darf nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist. Ein umfassendes Register der strafrechtlichen Verurteilungen darf nur unter behördlicher Aufsicht geführt werden.“

16 Art. 17 („Recht auf Löschung [‚Recht auf Vergessenwerden‘]“) DSGVO bestimmt: „(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft: … (3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist … b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; …“

17 Kapitel V („Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen“) DSGVO umfasst die Art. 44 bis 50 dieser Verordnung.

18 Art. 57 („Aufgaben“) Abs. 1 DSGVO bestimmt: „Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet … f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; …“

19 Art. 58 („Befugnisse“) DSGVO führt in Abs. 1 die Untersuchungsbefugnisse auf, über die jede Aufsichtsbehörde verfügt, und sieht in Abs. 2 vor: „Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten, a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen, …“

20 Art. 77 („Recht auf Beschwerde bei einer Aufsichtsbehörde“) DSGVO bestimmt: „(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. (2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“

21 Art. 78 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“) Abs. 1 DSGVO sieht vor: „Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.“ Österreichisches Recht

22 In § 1 („Zielsetzungen und Verstoß gegen Anti-Doping-Regelungen“) des Anti-Doping-Bundesgesetzes 2021 vom 23. Dezember 2020 (BGBl. I Nr. 152/2020, im Folgenden: ADBG) heißt es in Abs. 1, dass „Doping … durch die Beeinflussung der sportlichen Leistungsfähigkeit sowohl dem Grundsatz der Fairness im sportlichen Wettbewerb als auch dem wahren, mit dem Sport ursprünglich verbundenen Wert (Sportsgeist) [widerspricht] und … außerdem der Gesundheit schaden [kann]“.

23 § 5 („Unabhängige Dopingkontrolleinrichtung“) Abs. 1 ADBG sieht vor, dass diese Einrichtung u. a. die Aufgabe hat, gemäß § 18 ADBG Prüfanträge bei der ÖADR einzubringen, wenn sie der Ansicht ist, dass ein Verstoß gegen das ADBG begangen wurde, und in den Verfahren vor der ÖADR und vor der Unabhängigen Schiedskommission (Österreich) (im Folgenden: USK) gemäß § 20 Abs. 2 und § 23 Abs. 2 ADBG die Parteistellung wahrzunehmen.

24 § 5 Abs. 5 und 6 ADBG bestimmt: „(5) Zur Wahrnehmung der Aufgaben einer unabhängigen Dopingkontrolleinrichtung besteht eine gemeinnützige Gesellschaft mit beschränkter Haftung mit der Firma ‚Nationale Anti-Doping Agentur Austria GmbH‘ mit der Kurzbezeichnung ‚NADA Austria‘ [(im Folgenden: NADA)]. … Als Verantwortliche gemäß Art. 4 Abs. 7 DSGVO verarbeitet die [NADA] personenbezogene Daten. (6) Die Unabhängige Dopingkontrolleinrichtung hat die Österreichische Bundes-Sportorganisation (BSO), Sportorganisationen, Sportlerinnen und Sportler, sonstige Personen und Wettkampfveranstalterinnen und ‑veranstalter in Ergänzung zu § 3 über Folgendes zu informieren und unentgeltlich der Allgemeinheit bereit zu stellen: 1. die Einrichtungen, die zur Anordnung von Dopingkontrollen berechtigt sind; 2. die Kriterien für die Aufnahme in den Nationalen Testpool (§ 9); 3. den Kostenersatz des Dopingkontrollverfahrens; 4. unbeschadet der Bestimmungen der §§ 21 Abs. 3 und 23 Abs. 14 die der Unabhängigen Dopingkontrolleinrichtung zur Kenntnis gelangten Sicherungsmaßnahmen (z. B. Suspendierungen) und Sperren von Sportlerinnen bzw. Sportlern und sonstigen Personen und deren Aufhebung unter Angabe der Namen der betroffenen Personen, der Dauer der Sperre und Gründe hiefür, ohne dass auf besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, der betroffenen Personen rückgeschlossen werden kann. Bei besonders schutzbedürftigen Personen sowie Freizeitsportlerinnen und Freizeitsportlern kann diese Information unterbleiben. Eine Offenlegung bei Freizeitsportlerinnen und Freizeitsportlern ist aus Gründen der öffentlichen Gesundheit vorzunehmen, wenn ein Anti-Doping-Verstoß gemäß § 1 Abs. 2 Z 3, 9 bis 11 festgestellt wurde. 5. welche Daten, insbesondere welche personenbezogenen Daten und besonderen Kategorien personenbezogener Daten, und zu welchem Zweck diese im Rahmen der Anti-Doping-Arbeit beziehungsweise eines Dopingkontrollverfahrens verarbeitet werden.“

25 § 6 („Datenschutzrechtliche Bestimmungen“) ADBG sieht vor: „(1) Die Unabhängige Dopingkontrolleinrichtung ist als Verantwortliche gemäß Art. 4 [Nr.] 7 DSGVO ermächtigt, soweit dies zur Wahrnehmung ihrer Aufgaben nach diesem Bundesgesetz und zum Zweck der Vollziehung dieses Bundesgesetzes erforderlich ist, insbesondere im Rahmen der Aufgaben der [ÖADR] und der [USK], personenbezogene Daten zu verarbeiten. … (2) Die Unabhängige Dopingkontrolleinrichtung hat insbesondere gemäß Art. 32 bis 34 DSGVO für die Sicherheit der personenbezogenen Daten und der besonderen Kategorien personenbezogener Daten zu sorgen. Die Erforderlichkeit zur Datenverarbeitung ergibt sich aus der wirksamen Umsetzung der Anti-Doping-Regelungen des WADC und der Bestimmungen dieses Bundesgesetzes, sofern sich die betroffenen Personen vertraglich zur Einhaltung des WADC verpflichtet haben sowie aus der Erfüllung der Informationspflichten. Besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, dürfen nur verarbeitet werden, sofern dies auf Grund der Anti-Doping-Bestimmungen dieses Bundesgesetzes oder des WADC unbedingt erforderlich ist. …“

26 In § 7 („[ÖADR]“) Abs. 1 ADBG heißt es: „Die [ÖADR] ist eine von staatlichen Organen, Privaten und der Unabhängigen Dopingkontrolleinrichtung unabhängige Kommission. Die Mitglieder der ÖADR dürfen weder an den Ermittlungen gegen eine Sportlerin bzw. einen Sportler oder an der Entscheidung beteiligt gewesen sein, ob ein Prüfantrag gegen eine Sportlerin bzw. einen Sportler oder eine sonstige Person eingebracht wird, noch an der Überprüfung der Entscheidung der ÖADR durch die [USK] gemäß § 8. Sie hat Disziplinarverfahren für den jeweils zuständigen Bundes-Sportfachverband gemäß den geltenden Anti-Doping-Regelungen des zuständigen internationalen Sportfachverbandes durchzuführen (Anti-Doping-Verfahren).“

27 § 8 („[USK]“) Abs. 1 ADBG bestimmt: „Die [USK] ist eine von staatlichen Organen, Privaten und der Unabhängigen Dopingkontrolleinrichtung unabhängige Kommission. Die Mitglieder der USK dürfen weder an den Ermittlungen gegen eine Sportlerin bzw. einen Sportler oder eine sonstige Person oder an der Entscheidung beteiligt gewesen sein, ob gegen eine Sportlerin bzw. einen Sportler oder eine sonstige Person ein Prüfantrag einzubringen war, noch an der von ihnen überprüften Entscheidung durch die ÖADR selbst. Unbeschadet der Bestimmungen des § 23 Abs. 10 Z 1 und 2 ist sie für die Überprüfung der Entscheidungen der ÖADR in Anti-Doping-Verfahren bei der Unabhängigen Dopingkontrolleinrichtung eingerichtet.“

28 § 12 („Medizinische Ausnahmegenehmigungen“) ADBG regelt das Verfahren zur Erteilung von Genehmigungen für die Einnahme verbotener Wirkstoffe zu therapeutischen Zwecken.

29 § 20 („Verfahren vor der [ÖADR]“) ADBG bestimmt im Wesentlichen, dass die ÖADR dafür zuständig ist, nach Prüfantrag durch die Unabhängige Dopingkontrolleinrichtung ein Anti-Doping-Verfahren einzuleiten und im Fall eines Verstoßes gegen die Anti-Doping-Regelungen des zuständigen internationalen Sportfachverbands in erster Instanz zu entscheiden.

30 § 21 („Sonstige Verfahrensbestimmungen“) Abs. 3 ADBG sieht vor: „Die ÖADR hat spätestens 20 Tage nach Rechtskraft des Erkenntnisses die BSO, Sportorganisationen, Sportlerinnen bzw. Sportler, sonstige Personen und Wettkampfveranstalterinnen und ‑veranstalter sowie die Allgemeinheit über verhängte Sicherungsmaßnahmen (z. B. Suspendierungen) und Entscheidungen in Anti-Doping-Verfahren unter Angabe des Namens der jeweils betroffenen Person, der Dauer der Sperre und Gründe hiefür, ohne dass auf Gesundheitsdaten der jeweils betroffenen Person rückgeschlossen werden kann, zu informieren. Bei besonders schutzbedürftigen Personen, Freizeitsportlerinnen und Freizeitsportlern sowie Personen, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich an der Aufdeckung von potentiellen Anti-Doping-Verstößen beigetragen haben, kann diese Information unterbleiben. Eine Offenlegung bei Freizeitsportlerinnen und Freizeitsportlern ist aus Gründen der öffentlichen Gesundheit vorzunehmen, wenn ein Anti-Doping-Verstoß gemäß § 1 Abs. 2 Z 3, 9 bis 11 festgestellt wurde.“

31 § 23 („Verfahren vor der [USK]“) Abs. 14 ADBG lautet: „Die USK hat die BSO, Sportorganisationen, Sportlerin bzw. Sportler, sonstige Personen und Wettkampfveranstalterin[nen] bzw. Wettkampfveranstalter sowie die Allgemeinheit über ihre Entscheidungen unter Angabe der Namen der betroffenen Personen, der Dauer der Sperre und Gründe hiefür, ohne dass auf Gesundheitsdaten der betroffenen Person rückgeschlossen werden kann, zu informieren. Bei besonders schutzbedürftigen Personen, Freizeitsportlerinnen und Freizeitsportlern sowie Personen, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich an der Aufdeckung von potentiellen Anti-Doping-Verstößen beigetragen haben, kann diese Information unterbleiben. Eine Offenlegung bei Freizeitsportlerinnen und Freizeitsportlern ist aus Gründen der öffentlichen Gesundheit vorzunehmen, wenn ein Anti-Doping-Verstoß gemäß § 1 Abs. 2 Z 3, 9 bis 11 festgestellt wurde.“

32 § 24 („Besondere Pflichten der Sportorganisation“) ADBG bestimmt in Abs. 4 im Wesentlichen, dass Sportorganisationen keine Personen beschäftigen dürfen, die nach den Anti-Doping-Regelungen gesperrt sind. Ausgangsrechtsstreit und Vorlagefragen

33 AR, YT, DI und RN, vier Sportler, wurden mit Entscheidungen der ÖADR nach Abschluss der von dieser geführten Anti-Doping-Verfahren bzw. der USK, die für die Überprüfung der Entscheidungen der ÖADR zuständig ist, für einen bestimmten Zeitraum bzw. lebenslang für Wettkämpfe gesperrt.

34 Nach den österreichischen Anti-Doping-Vorschriften veröffentlicht die NADA die von der ÖADR oder der USK verhängten Sperren in Form einer Liste auf ihrer Website. In der Liste veröffentlicht werden der Vor- und Nachname des betroffenen Sportlers, die ausgeübte Sportart, der begangene Verstoß gegen Anti-Doping-Regelungen, die Sanktion sowie Beginn und Ende der Sanktion. Die ÖADR veröffentlicht diese Angaben ebenfalls auf ihrer eigenen Website unter der Rubrik „Pressemitteilungen“.

35 Im Oktober 2021 forderten die beschwerdeführenden Parteien des Ausgangsverfahrens die ÖADR und die NADA auf, die Angabe ihrer Namen und der betroffenen Sportarten von diesen Websites zu entfernen.

36 Da die ÖADR und die NADA den Aufforderungen der beschwerdeführenden Parteien des Ausgangsverfahrens nicht nachkamen, legten diese bei der Österreichischen Datenschutzbehörde gemäß Art. 77 Abs. 1 DSGVO eine Datenschutzbeschwerde ein, mit der sie beantragten, eine Verletzung des in Art. 17 DSGVO vorgesehenen Rechts auf Löschung festzustellen sowie der ÖADR und der NADA aufzutragen, diesen Eintrag von den genannten Websites zu entfernen. Sie machten geltend, dass es sich um eine besondere Kategorie personenbezogener Daten im Sinne von Art. 9 DSGVO sowie um die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO handele. Die im österreichischen Recht vorgesehene undifferenzierte Veröffentlichungsregelung sei mit Art. 6 Abs. 3 DSGVO unvereinbar und weder erforderlich noch verhältnismäßig.

37 Mit Bescheid vom 26. November 2021 wies die österreichische Datenschutzbehörde die Datenschutzbeschwerde von AR, DI und RN als unbegründet ab. Sie war u. a. der Ansicht, dass die Veröffentlichung der fraglichen Daten erforderlich sei, um einer nach den Anti-Doping-Regelungen vorgesehenen rechtlichen Verpflichtung nachzukommen, und dass daher ein Recht auf Löschung nach Art. 17 Abs. 3 Buchst. b DSGVO ausgeschlossen sei. Die Datenschutzbeschwerde von YT wies die österreichische Datenschutzbehörde wegen fehlenden Rechtsschutzinteresses zurück, da die Daten von YT noch nicht veröffentlicht worden seien.

38 Gegen diesen Bescheid legten die beschwerdeführenden Parteien des Ausgangsverfahrens gemäß Art. 78 Abs. 1 DSGVO beim Bundesverwaltungsgericht (Österreich), dem vorlegenden Gericht, Beschwerde ein. Im Rahmen dieser Beschwerde wiederholten sie im Wesentlichen ihr Vorbringen aus dem Verwaltungsverfahren. Darüber hinaus berief sich YT darauf, dass gegen sie mit Beschluss der ÖADR eine vierjährige Sperre verhängt worden sei und dass eine Veröffentlichung ihrer Daten daher unmittelbar bevorstehe. Die NADA machte u. a. geltend, dass die Veröffentlichung der betreffenden personenbezogenen Daten auf ihrer Website rechtmäßig sei, da sie im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e DSGVO „zur Erfüllung einer rechtlichen Verpflichtung“, der sie unterliege, und für „die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt“, erforderlich sei. Daher sei sie gemäß Art. 17 Abs. 3 Buchst. b dieser Verordnung nicht verpflichtet, diese Daten von ihrer Website zu löschen.

39 Das vorlegende Gericht setzte das Ausgangsverfahren wegen des Vorabentscheidungsersuchens aus, dass die USK in der Rechtssache, in der das Urteil vom 7. Mai 2024, NADA u. a. (C‑115/22, EU:C:2024:384), ergangen ist, vorgelegt hatte. Nachdem dieses Ersuchen für unzulässig erklärt worden war, wurde das nationale Verfahren vor dem vorlegenden Gericht fortgesetzt.

40 Vor diesem Hintergrund hat das Bundesverwaltungsgericht beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen: 1. Fallen Datenverarbeitungen von Personen, durch die ihr Name, die ausgeübte Sportart, der begangene Verstoß gegen Anti-Doping-Regelungen, die Sanktion sowie Beginn und Ende der Sanktion auf dem allgemein zugänglichen Teil der Website der NADA https://www.nada.at/de/recht/suspendierungen-sperren in Form eines Eintrags in einer Tabelle sowie in allgemein zugänglichen Pressemitteilungen der ÖADR unter https://www.oeadr.at veröffentlicht werden, in den Anwendungsbereich des Unionsrechts im Sinne des Art. 16 Abs. 2 erster Satz AEUV, so dass die DSGVO auf eine solche Verarbeitung personenbezogener Daten anwendbar ist? Falls Frage 1. bejaht wird: 2. Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um ein „Gesundheitsdatum“ iSd Art. 9 DSGVO? 3. Steht die DSGVO – insbesondere im Hinblick auf Art. 6 Abs. 3 zweiter Unterabsatz DSGVO – einer nationalen Regelung entgegen, welche die Veröffentlichung des Namens der von der Entscheidung der ÖADR oder der USK betroffenen Personen, der Dauer der Sperre und der Gründe hierfür vorsieht, ohne dass auf Gesundheitsdaten der betroffenen Person rückgeschlossen werden kann? Spielt es dabei eine Rolle, dass eine Veröffentlichung dieser Informationen gegenüber der Allgemeinheit laut der nationalen Regelung nur dann unterbleiben kann, wenn es sich beim Betroffenen um einen Freizeitsportler, eine minderjährige Person oder eine Person handelt, die durch die Bekanntgabe von Informationen oder sonstigen Hinweisen wesentlich an der Aufdeckung von potenziellen Anti-Doping-Verstößen beigetragen hat? 4. Verlangt die DSGVO – insbesondere im Hinblick auf die Grundsätze des Art. 5 Abs. 1 lit. a und lit. c DSGVO – vor der Veröffentlichung in jedem Fall eine Interessenabwägung der mit einer Veröffentlichung für den Betroffenen berührten Persönlichkeitsinteressen einerseits und dem Interesse der Allgemeinheit an der Information über den von einem Sportler begangenen Anti-Doping-Verstoß andererseits? 5. Handelt es sich bei der Information, dass eine bestimmte Person einen bestimmten Dopingverstoß begangen hat und wegen dieses Verstoßes an der Teilnahme an (nationalen und internationalen) Wettkämpfen gesperrt ist, um eine Verarbeitung persönlicher Daten über strafrechtliche Verurteilungen und Straftaten iSd Art. 10 DSGVO? Falls Frage 5. bejaht wird: 6. Müssen die Tätigkeiten bzw. Entscheidungen einer Behörde, der gemäß Art. 10 der Datenschutz-Grundverordnung die Aufsicht über die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln übertragen ist, einer gerichtlichen Überprüfung unterliegen? 7. Ist eine Beschwerde gemäß Art. 77 DSGVO betreffend eine geltend gemachte Verletzung nach Art. 17 DSGVO, wobei zum Zeitpunkt der Einbringung der Beschwerde bei der Aufsichtsbehörde und Entscheidung durch die Aufsichtsbehörde noch keine Verarbeitung personenbezogener Daten des Betroffenen vorlag, die Verarbeitung jedoch im Laufe des Verfahrens vor dem Rechtsmittelgericht eingetreten ist, zulässig bzw. wird diese nachträglich zulässig, wenn bereits bei Einbringung der Beschwerde konkrete Hinweise darauf bestehen, dass eine Verarbeitung personenbezogener Daten durch den Verantwortlichen unmittelbar bevorsteht bzw. in naher Zukunft stattfinden wird? Zu den Vorlagefragen Zur ersten Frage

41 Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 2 Abs. 2 Buchst. a DSGVO in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt.

42 Feststeht, dass es sich bei diesen Informationen über Personen, gegen die wegen Verstoßes gegen nationale Anti-Doping-Vorschriften Sanktionen verhängt wurden, um „personenbezogene Daten“ im Sinne von Art. 4 Nr. 1 DSGVO handelt, da sie sich auf identifizierte natürliche Personen beziehen, und dass ihre Veröffentlichung auf den Websites der NADA und der ÖADR, die mit der Feststellung und Ahndung solcher Verstöße betraut sind, eine „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO darstellt.

43 Eine solche Veröffentlichung fällt unter die sehr weite Definition des sachlichen Anwendungsbereichs der DSGVO gemäß ihrem Art. 2 Abs. 1 (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 61).

44 Das vorlegende Gericht möchte jedoch wissen, ob die im Ausgangsverfahren fragliche Verarbeitung personenbezogener Daten, da sie in den Rahmen der Dopingbekämpfung fällt, aufgrund der in Art. 2 Abs. 2 Buchst. a vorgesehenen Ausnahme, wonach diese Verordnung auf die Verarbeitung personenbezogener Daten „im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“, keine Anwendung findet, vom Anwendungsbereich der DSGVO ausgeschlossen ist.

45 Diese Ausnahme ist eine Umsetzung von Art. 16 Abs. 2 Satz 1 AEUV, der die Rechtsgrundlage der DSGVO darstellt und dem Parlament und dem Rat die Befugnis erteilt, Vorschriften sowohl über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten insbesondere „durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen“, als auch über den freien Datenverkehr zu erlassen.

46 Aus der Rechtsprechung des Gerichtshofs ergibt sich, dass die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme vom sachlichen Anwendungsbereich dieser Verordnung ebenso wie die anderen in deren Art. 2 Abs. 2 abschließend aufgezählten Ausnahmen eng auszulegen ist (vgl. in diesem Sinne Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 62 und die dort angeführte Rechtsprechung, sowie vom 16. Januar 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, Rn. 37).

47 In diesem Zusammenhang hat der Gerichtshof bereits entschieden, dass mit Art. 2 Abs. 2 Buchst. a DSGVO im Licht des 16. Erwägungsgrundes dieser Verordnung von deren Anwendungsbereich nur Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden (Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 66, sowie vom 16. Januar 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, Rn. 37).

48 Die Veröffentlichung der in Rn. 41 des vorliegenden Urteils genannten personenbezogenen Daten durch die NADA und die ÖADR auf ihren Websites im Rahmen ihrer Tätigkeit zur Bekämpfung von Doping stellt jedoch keine solche Verarbeitung dar, die unter Art. 2 Abs. 2 Buchst. a DSGVO fiele.

49 Somit ist der Feststellung des Generalanwalts in Nr. 45 seiner Schlussanträge zuzustimmen, dass die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme vom Anwendungsbereich der DSGVO auf eine Verarbeitung personenbezogener Daten wie die im Ausgangsverfahren in Rede stehende nicht anwendbar ist.

50 Im Übrigen vermag diese Feststellung, wie der Generalanwalt in den Nrn. 46 bis 59 seiner Schlussanträge ausgeführt hat, nicht durch das Vorbringen der NADA in Frage gestellt werden, dass zum einen die Bekämpfung von Doping gemäß der im Unionsrecht vorgesehenen Zuständigkeitsverteilung trotz der in Art. 165 AEUV vorgesehenen unterstützenden Zuständigkeit der Union im Bereich des Sports in die Zuständigkeit der Mitgliedstaaten falle, und zum anderen die Ausübung von Sport keinen wirtschaftlichen Charakter habe.

51 Der Umstand, dass eine Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit erfolgt, die in die Zuständigkeit der Mitgliedstaaten fällt, hat nicht zur Folge, dass diese Verarbeitung gemäß Art. 2 Abs. 2 Buchst. a DSGVO von deren Anwendungsbereich ausgeschlossen ist, sofern diese Tätigkeit nicht der Wahrung der nationalen Sicherheit dient oder dieser Kategorie zugeordnet werden kann (vgl. in diesem Sinne Urteil vom 30. April 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 und C‑332/23, EU:C:2025:303, Rn. 104).

52 Ebenso wenig hat der behauptete nicht wirtschaftliche Charakter der Ausübung von Sport zur Folge, dass diese Tätigkeit derselben Kategorie zugeordnet werden kann wie die Wahrung der nationalen Sicherheit, und er bewirkt somit nicht, dass die im Ausgangsverfahren in Rede stehende Tätigkeit unter die in dieser Bestimmung vorgesehene Ausnahme fiele und damit vom Anwendungsbereich der DSGVO ausgenommen wäre.

53 Diese Schlussfolgerung wird auch durch den 112. Erwägungsgrund der DSGVO gestützt, in dem es ausdrücklich heißt, dass die in Kapitel V dieser Verordnung vorgesehenen „Ausnahmen insbesondere für Datenübermittlungen [an die Drittstaaten oder internationale Organisationen] gelten sollten, die aus wichtigen Gründen des öffentlichen Interesses erforderlich sind, beispielsweise für den internationalen Datenaustausch … zur Verringerung und/oder Beseitigung des Dopings im Sport“.

54 Nach diesen Erwägungen ist auf die erste Frage zu antworten, dass Art. 2 Abs. 2 Buchst. a DSGVO in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt. Zur zweiten Frage

55 Mit der zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 9 DSGVO dahin auszulegen ist, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt.

56 Art. 9 DSGVO, der sich, wie seiner Überschrift zu entnehmen ist, auf die Verarbeitung „besonderer Kategorien“ personenbezogener Daten bezieht, stellt ein grundsätzliches Verbot solcher Verarbeitungen auf. Wie aus dem 51. Erwägungsgrund der DSGVO ausdrücklich hervorgeht, verdienen personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können.

57 Zu diesen besonderen Kategorien personenbezogener Daten, die in Art. 9 Abs. 1 DSGVO aufgeführt sind, gehören „Gesundheitsdaten“. Diese umfassen gemäß Art. 4 Nr. 15 DSGVO im Licht des 35. Erwägungsgrundes dieser Verordnung alle personenbezogenen Daten, aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand einer natürlichen Person hervorgehen, einschließlich Daten betreffend die Erbringung von Gesundheitsdienstleistungen an diese Person (Urteil vom 4. Oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, Rn. 76).

58 Hierzu hat der Gerichtshof bereits entschieden, dass angesichts des Ziels der DSGVO, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Privatlebens – bei der Verarbeitung sie betreffender personenbezogener Daten zu gewährleisten, der Begriff „Gesundheitsdaten“ weit auszulegen ist (vgl. in diesem Sinne Urteil vom 4. Oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, Rn. 81 und die dort angeführte Rechtsprechung).

59 Diese Bestimmung kann insbesondere nicht dahin ausgelegt werden, dass die Verarbeitung personenbezogener Daten, die indirekt sensible Informationen über eine natürliche Person offenbaren können, von der in dieser Bestimmung vorgesehenen verstärkten Schutzregelung ausgenommen ist, da anderenfalls die praktische Wirksamkeit dieser Regelung und der von ihr bezweckte Schutz der Grundrechte und Grundfreiheiten natürlicher Personen beeinträchtigt würden (Urteil vom 4. Oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, Rn. 82 und die dort angeführte Rechtsprechung).

60 Damit personenbezogene Daten als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO eingestuft werden können, genügt folglich, dass aus diesen Daten mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person geschlossen werden kann (Urteil vom 4. Oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, Rn. 83 und die dort angeführte Rechtsprechung).

61 Im vorliegenden Fall sehen § 5 Abs. 6, § 21 Abs. 3 und § 23 Abs. 14 ADBG die Verpflichtung der ÖADR bzw. der USK vor, die Allgemeinheit über die von ihnen verhängten Sperren und Suspendierungen sowie deren Aufhebung unter Angabe der Namen der betroffenen Personen, der Dauer der Sperre und der Gründe hierfür, „ohne dass auf Gesundheitsdaten der betroffenen Person rückgeschlossen werden kann“, zu informieren.

62 Allerdings geht aus dem Vorabentscheidungsersuchen hervor, dass die ÖADR in den auf ihrer Website veröffentlichten Pressemitteilungen den Namen des verbotenen Wirkstoffs angibt, um den es sich gegebenenfalls handelt.

63 Insoweit fragt sich das vorlegende Gericht, ob solche Daten insbesondere dann als „Gesundheitsdaten“ im Sinne von Art. 9 Abs. 1 DSGVO angesehen werden können, wenn in der Veröffentlichung eines Verstoßes gegen die Anti-Doping-Regelung der Name des Wirkstoffs genannt wird, den die betroffene Person besessen oder zur Leistungsverbesserung eingenommen hat.

64 Nach der in den Rn. 57 bis 60 des vorliegenden Urteils angeführten Rechtsprechung können Daten über Personen, die wegen Verstoßes gegen nationale Anti-Doping-Vorschriften sanktioniert werden, als „Gesundheitsdaten“ eingestuft werden, wenn sich ihnen – gegebenenfalls indirekt mittels gedanklicher Kombination oder Ableitung – Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand einer natürlichen Person entnehmen lassen.

65 Dies kann aber nur dann der Fall sein, wenn der Name oder die Kategorie des fraglichen verbotenen Wirkstoffs oder der fraglichen verbotenen Methode in der betreffenden Veröffentlichung angegeben wird. Ohne eine solche Angabe lässt sich aus dieser Veröffentlichung grundsätzlich kein Zusammenhang zwischen der Feststellung eines Verstoßes gegen nationale Anti-Doping-Vorschriften und den Informationen über den Gesundheitszustand der betroffenen Person herstellen.

66 Außerdem reicht die bloße Angabe des Namens des verbotenen Wirkstoffs, der im Organismus eines Sportlers vorhanden ist, wie in der Praxis der ÖADR, im Allgemeinen nicht aus, um Informationen über den – auch zukünftigen – Gesundheitszustand dieses Sportlers zu offenbaren.

67 Dagegen kann nicht ausgeschlossen werden, dass sich der Angabe des Namens oder der Kategorie des fraglichen verbotenen Wirkstoffs oder der fraglichen verbotenen Methode, wenn sie mit anderen Angaben kombiniert wird, zumindest mittelbar durch gedankliche Kombination oder Ableitung Informationen über den – gegebenenfalls künftigen – Gesundheitszustand der betroffenen Person entnehmen lassen.

68 Dies ist insbesondere dann der Fall, wenn die betroffene Person aufgrund eines besonderen Gesundheitszustands einen verbotenen Wirkstoff einnimmt oder eine verbotene Methode anwendet, aber bis zum Abschluss des in § 12 ADBG geregelten Verfahrens keine medizinische Ausnahmegenehmigung beantragt hat.

69 Es obliegt dem vorlegenden Gericht, unter Berücksichtigung aller Umstände, die die im Ausgangsverfahren in Rede stehenden Veröffentlichungen kennzeichnen, insbesondere diejenigen der ÖADR, in denen der Name des betreffenden verbotenen Wirkstoffs angegeben ist, zu prüfen, ob es sich bei den veröffentlichten Informationen um „Gesundheitsdaten“ im Sinne von Art. 4 Nr. 15 und Art. 9 Abs. 1 DSGVO im Licht des 35. Erwägungsgrundes dieser Verordnung handelt.

70 Sollte das vorlegende Gericht am Ende dieser Prüfung zu dem Ergebnis gelangen, dass es sich bei den in Rede stehenden Daten tatsächlich um „Gesundheitsdaten“ im Sinne von Art. 9 Abs. 1 DSGVO handelt, wäre ihre Veröffentlichung vorbehaltlich der in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen, die eng auszulegen sind, grundsätzlich verboten (vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 68 und 76).

71 Unter der Annahme, dass die im Ausgangsverfahren in Rede stehenden Informationen „Gesundheitsdaten“ im Sinne von Art. 9 Abs. 1 DSGVO darstellen, steht somit diese Feststellung, wie sich u. a. aus dem 51. Erwägungsgrund dieser Verordnung ergibt, der Verarbeitung dieser Informationen nicht entgegen, wenn eine der in Art. 9 Abs. 2 DSGVO genannten Voraussetzungen erfüllt ist.

72 In Ermangelung einer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 Buchst. a DSGVO der beschwerdeführenden Parteien des Ausgangsverfahrens könnte die Veröffentlichung solcher Daten auf der Website der ÖADR u. a. gemäß Art. 9 Abs. 2 Buchst. g DSGVO zulässig sein, wenn sie auf der Grundlage des Unionsrechts oder des österreichischen Rechts, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist; dies zu prüfen obliegt dem vorlegenden Gericht.

73 Nach alledem ist auf die zweite Frage zu antworten, dass Art. 9 DSGVO dahin auszulegen ist, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt. Anders verhält es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen. Zur dritten und zur vierten Frage

74 Mit der dritten und der vierten Frage, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 DSGVO dahin auszulegen sind, dass sie einer nationalen Regelung entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann.

75 In diesem Zusammenhang möchte es wissen, ob diese Verordnung verlangt, dass der Verantwortliche vor der Veröffentlichung dieser Daten eine Interessenabwägung im Einzelfall vornimmt, um die Verhältnismäßigkeit einer solchen Veröffentlichung in Anbetracht der individuellen Umstände zu prüfen, oder ob es insoweit ausreicht, dass der nationale Gesetzgeber abstrakt festlegt, in welchen Situationen eine Veröffentlichung unterbleiben kann oder muss. Falls Letzteres zutrifft, fragt es sich, ob die Ausnahmen, die das ADBG für Situationen vorsieht, in denen Freizeitsportler, besonders schutzbedürftige Personen oder „Whistleblower“ betroffen sind, die Verhältnismäßigkeit der in dieser nationalen Regelung vorgesehenen Veröffentlichungen gewährleisten können.

76 Insoweit ist darauf hinzuweisen, dass jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einer der in Art. 6 Abs. 1 dieser Verordnung aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung erfüllen muss (Urteil vom 22, Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 96).

77 Was die Grundsätze für die Verarbeitung personenbezogener Daten betrifft, nimmt das vorlegende Gericht insbesondere Bezug auf den in Art. 5 Abs. 1 Buchst. a genannten Grundsatz, wonach personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen, sowie auf den in Art. 5 Abs. 1 Buchst. c angeführten Grundsatz der „Datenminimierung“, wonach personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen, womit der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht wird (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 98).

78 Hinsichtlich der Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung sieht Art. 6 Abs. 1 DSGVO eine erschöpfende und abschließende Liste der Fälle vor, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in Art. 6 Abs. 1 DSGVO vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 99 und die dort angeführte Rechtsprechung).

79 Wie der Generalanwalt in Nr. 139 seiner Schlussanträge ausgeführt hat, beruht die im Ausgangsverfahren in Rede stehende Verarbeitung personenbezogener Daten durch die NADA und die ÖADR, d. h. die Online-Veröffentlichung der Namen von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Regelungen sanktioniert wurden, der Dauer der gegen sie verhängten Sperre und der Gründe hierfür auf § 5 Abs. 6 Z 4 und § 21 Abs. 3 ADBG. Daher ist davon auszugehen, dass diese Verarbeitung unter Art. 6 Abs. 1 Buchst. c DSGVO zu subsumieren ist, wonach eine Verarbeitung rechtmäßig ist, die „zur Erfüllung einer rechtlichen Verpflichtung erforderlich [ist], der der Verantwortliche unterliegt“.

80 Außerdem erfolgt diese Verarbeitung zur Bekämpfung von Doping und damit in Erfüllung einer im öffentlichen Interesse liegenden Aufgabe, die im Übrigen mit den Zielen übereinstimmt, die die Tätigkeit der Union nach Art. 165 Abs. 2 letzter Gedankenstrich AEUV verfolgt, nämlich u. a. die Fairness von Sportwettkämpfen zu fördern sowie die körperliche und seelische Unversehrtheit der Sportler zu schützen. Sie kann daher auch unter die erste Alternative von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO fallen, wonach die Verarbeitung rechtmäßig ist, wenn sie „für die Wahrnehmung einer Aufgabe erforderlich [ist], die im öffentlichen Interesse liegt“.

81 In Bezug auf Verarbeitungen, die unter die in Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e DSGVO genannten Fälle der Rechtmäßigkeit fallen, sieht Art. 6 Abs. 3 DSGVO u. a. vor, dass das Unionsrecht oder das Recht der Mitgliedstaaten, auf dessen Grundlage die Verarbeitung erfolgt, ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss. Der Gerichtshof hat darauf hingewiesen, dass die in dieser letzteren Bestimmung vorgesehenen Anforderungen Ausfluss der Vorgaben sind, die sich aus Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) ergeben, und daher u. a. im Licht der letztgenannten Bestimmung auszulegen sind (vgl. in diesem Sinne Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, Rn. 69).

82 Insoweit ist darauf hinzuweisen, dass die in den Art. 7 und 8 der Charta verbürgten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden müssen. Somit können gemäß Art. 52 Abs. 1 der Charta Einschränkungen vorgesehen werden, sofern sie gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Nach diesem Grundsatz dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Sie müssen sich auf das absolut Notwendige beschränken, und die den Eingriff enthaltende Regelung muss klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen (Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, Rn. 70 und die dort angeführte Rechtsprechung).

83 Ob eine nationale Regelung wie die im Ausgangsverfahren in Rede stehende mit der DSGVO vereinbar ist, ist anhand all dieser Gesichtspunkte zu prüfen.

84 Insbesondere ist zu prüfen, ob erstens die von der NADA und der ÖADR vorgenommene, in § 5 Abs. 6 Z 4 und § 21 Abs. 3 ADBG vorgesehene Online-Veröffentlichung der Namen von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Regelungen sanktioniert wurden, der Dauer der gegen sie verhängten Sperre und der Gründe hierfür eine dem Gemeinwohl dienende Zielsetzung verfolgt, zweitens ob diese Veröffentlichung geeignet ist, die dem Gemeinwohl dienende Zielsetzung zu erreichen, drittens, ob der sich aus einer solchen Veröffentlichung ergebende Eingriff in die in den Art. 7 und 8 der Charta garantierten Grundrechte in dem Sinne auf das absolut Notwendige beschränkt ist, dass diese Zielsetzung vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden kann, die diese Grundrechte der betroffenen Personen weniger beeinträchtigen, und viertens, ob dieser Eingriff nicht außer Verhältnis zu dieser Zielsetzung steht, was insbesondere eine Gewichtung der Bedeutung dieser Zielsetzung und der Schwere dieses Eingriffs impliziert (vgl. in diesem Sinne Urteil vom 22. November 2022, Luxembourg Business Registers, C‑37/20 und C‑601/20, EU:C:2022:912, Rn. 66).

85 Erstens ist festzustellen, dass eine Regelung, die der Bekämpfung von Doping mit dem Ziel dient, einen fairen, ehrlichen und objektiven Ablauf von Sportwettkämpfen zu wahren, die Chancengleichheit der Sportler zu gewährleisten, ihre Gesundheit zu schützen und die Achtung der ethischen Werte des Sports durchzusetzen, ein dem Gemeinwohl dienendes Ziel verfolgt (vgl. in diesem Sinne Urteil vom 18. Juli 2006, Meca-Medina und Majcen/Kommission, C‑519/04 P, EU:C:2006:492, Rn. 43 bis 45). Im Übrigen gehört dieses Ziel, wie in Rn. 80 des vorliegenden Urteils ausgeführt, zu den Zielen, die nach Art. 165 Abs. 2 letzter Gedankenstrich AEUV mit der Tätigkeit der Union verfolgt werden.

86 Zweitens kann dieses dem Gemeinwohl dienende Ziel über die Verhängung von Sanktionen bei Verstößen gegen Anti-Doping-Vorschriften hinaus dadurch verfolgt werden, dass personenbezogene Daten wie die im Ausgangsverfahren in Rede stehenden der Öffentlichkeit zugänglich gemacht werden. Denn zum einen ist eine solche Offenlegung geeignet, Sportler davon abzuhalten, gegen diese Vorschriften zu verstoßen, und damit Doping im Sport zu verhindern, indem die begangenen Verstöße der Öffentlichkeit bekannt gemacht und potenzielle Sponsoren der betroffenen Sportler informiert werden. Zum anderen trägt sie dazu bei, die Umgehung dieser Vorschriften zu verhindern und so die Wirksamkeit der verhängten Sanktionen zu gewährleisten, indem sie durch die Information von Wettkampfveranstaltern und potenziellen Arbeitgebern des betreffenden Sportlers dessen Teilnahme an Wettkämpfen verhindert, von denen er auszuschließen ist.

87 Daher ist die Veröffentlichung der Daten über Verstöße gegen Anti-Doping-Vorschriften geeignet, zur Erreichung des verfolgten Ziels, das dem Gemeinwohl dient, beizutragen, indem sie zur Abschreckung und Prävention sowie zur Wirksamkeit der verhängten Sanktionen beiträgt.

88 Drittens ist zur Erforderlichkeit der in Rede stehenden Veröffentlichungspflicht festzustellen, dass diese dazu dient, die verhängten Sanktionen zu verstärken, die erforderlich sind, um die Einhaltung des Dopingverbots sicherzustellen (vgl. in diesem Sinne Urteil vom 18. Juli 2006, Meca-Medina und Majcen/Kommission, C‑519/04 P, EU:C:2006:492, Rn. 44).

89 Wie im 39. Erwägungsgrund der DSGVO ausgeführt, ist diese Anforderung der Erforderlichkeit nicht erfüllt, wenn das verfolgte Ziel, das dem Gemeinwohl dient, in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte der betroffenen Personen, insbesondere die in den Art. 7 und 8 der Charta verbürgten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, wobei sich die Ausnahmen und Einschränkungen hinsichtlich des Grundsatzes des Schutzes solcher Daten auf das absolut Notwendige beschränken müssen (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 110).

90 Es ist jedoch nicht ersichtlich, dass Maßnahmen, die weniger stark in die Rechte der betroffenen Personen auf Achtung des Privatlebens und auf Schutz personenbezogener Daten eingreifen – wie eine anonymisierte Veröffentlichung der festgestellten Verstöße gegen Anti-Doping-Vorschriften und der verhängten Sanktionen oder eine Veröffentlichung, die auf die mit der Durchsetzung dieser Sanktionen betrauten Personen wie Wettkampfveranstalter und Sportverbände beschränkt ist –, geeignet wären, das in Rn. 85 des vorliegenden Urteils genannte Ziel ebenso wirksam zu erreichen wie die namentliche Veröffentlichung der im Ausgangsverfahren in Rede stehenden Informationen auf den Websites der NADA und der ÖADR.

91 Zum einen erreicht eine wegen Verstoßes gegen Anti-Doping-Vorschriften verhängte Sanktion, indem sie für die anderen Sportler einen Anreiz schafft, kein Dopingmittel zu verwenden, und den sanktionierten Sportler selbst von dessen erneuter Verwendung abhält, das Ziel der Abschreckung und Prävention umso besser, wenn sie öffentlich gemacht wird.

92 Zum anderen ist es in Anbetracht der Besonderheiten des Dopings im Sport zur Verhinderung der Umgehung der Anti-Doping-Vorschriften und zur Gewährleistung der Wirksamkeit der verhängten Sanktionen erforderlich, diese zu veröffentlichen und die Identität des betroffenen Sportlers einer Öffentlichkeit zugänglich zu machen, die nicht auf Personen beschränkt ist, die mit der Durchsetzung dieser Sanktionen betraut sind, wie z. B. Wettkampfveranstalter und Sportverbände. Zwar setzt die Umsetzung des gegen den betroffenen Sportler verhängten Ausschlusses von Sportwettkämpfen u. a. voraus, dass die Veranstalter dieser Wettkämpfe davon Kenntnis haben. Bei Berufssportlern ist jedoch nicht ersichtlich, dass eine nicht auf einen begrenzten Personenkreis beschränkte Veröffentlichung der betreffenden Sanktion über das hinausgeht, was erforderlich ist, um die Personen zu informieren, die mittelbar von dieser Sanktion betroffen sind und deren Interessen sie beeinträchtigt, wie die Arbeitgeber und die gegenwärtigen oder potenziellen Sponsoren des sanktionierten Sportlers.

93 Viertens ist darauf hinzuweisen, dass die betreffende dem Gemeinwohl dienende Zielsetzung nicht verfolgt werden kann, ohne den Umstand zu berücksichtigen, dass sie mit den von der fraglichen Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und dieser Rechte vorgenommen wird. Folglich ist, um die Verhältnismäßigkeit der im Ausgangsverfahren in Rede stehenden Datenverarbeitung zu beurteilen, die Schwere des durch diese Verarbeitung bewirkten Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten zu ermitteln und zu prüfen, ob die Bedeutung der dem Gemeinwohl dienenden Zielsetzung, die mit dieser Verarbeitung verfolgt wird, im Verhältnis zu dieser Schwere steht (vgl. in diesem Sinne Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, Rn. 98).

94 Bei der Beurteilung der Schwere des Eingriffs ist insbesondere der Art der in Rede stehenden personenbezogenen Daten Rechnung zu tragen, vor allem der möglicherweise sensiblen Natur dieser Daten, sowie der Art und den konkreten Modalitäten ihrer Verarbeitung, insbesondere der Zahl der Personen, die Zugang zu diesen Daten haben, und den Modalitäten des Zugangs (Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, Rn. 99).

95 Falls das vorlegende Gericht feststellt, dass die im Ausgangsverfahren in Rede stehenden von der ÖADR veröffentlichten Informationen den Namen oder die Kategorie des verbotenen Wirkstoffs oder der verbotenen Methode enthalten und nach den in Rn. 73 des vorliegenden Urteils genannten Umständen „Gesundheitsdaten“ darstellen, müsste es dies nicht nur im Rahmen seiner Beurteilung berücksichtigen, ob die sich aus Art. 5 Abs. 1 Buchst. c und Art. 6 Abs. 3 DSGVO ergebenden Anforderungen an die Verhältnismäßigkeit beachtet wurden, sondern müsste, wie in den Rn. 70 bis 72 des vorliegenden Urteils ausgeführt, auch prüfen, ob die Veröffentlichung dieser Daten die u. a. in Art. 9 Abs. 2 Buchst. g DSGVO aufgestellten Voraussetzungen erfüllt.

96 Was die in Rede stehende Verarbeitung insbesondere durch die NADA betrifft, die auf ihrer Website die Identität des betroffenen Sportlers veröffentlicht, ohne jedoch den Wirkstoff zu nennen, um den es sich gegebenenfalls handelt, ist festzustellen, dass eine solche Veröffentlichung gleichwohl einen schwerwiegenden Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellt, da sie geeignet ist, die Missbilligung der Gesellschaft hervorzurufen und zu einer Stigmatisierung der betroffenen Person zu führen. Darüber hinaus liegt es in der Natur dieser Veröffentlichung, dass die fraglichen Informationen dann einer potenziell unbegrenzten Zahl von Personen frei zugänglich sind. Außerdem können diese Informationen, wenn sie einmal veröffentlicht sind, auf anderen Websites wiedergegeben werden und somit auch nach ihrer Löschung von der Website, auf der sie ursprünglich veröffentlicht wurden, zugänglich bleiben. Solche Umstände sind geeignet, die Folgen für die relevanten Grundrechte der betroffenen Personen zu verschärfen.

97 Die Schwere dieses Eingriffs muss daher gegen die Bedeutung des mit der betreffenden Veröffentlichung verfolgten Ziels abgewogen werden.

98 Insoweit ist darauf hinzuweisen, dass die dritte und die vierte Frage die Veröffentlichung personenbezogener Daten von Berufssportlern betreffen, die nicht unter die im ADBG vorgesehenen Ausnahmen fallen, die für Freizeitsportler, besonders schutzbedürftige Personen und „Whistleblower“ gelten. Diese Veröffentlichung erfordert nach diesem Gesetz keine Beurteilung anhand der Umstände des Einzelfalls.

99 In diesem Zusammenhang fragt sich das vorlegende Gericht, ob die DSGVO verlangt, dass der Verantwortliche vor der Veröffentlichung dieser Daten eine Interessenabwägung im Einzelfall vornimmt, um die Verhältnismäßigkeit einer solchen Veröffentlichung in Anbetracht der individuellen Umstände zu prüfen, oder ob es insoweit ausreicht, dass der nationale Gesetzgeber abstrakt festlegt, in welchen Situationen eine Veröffentlichung unterlassen werden kann oder muss.

100 Wie aus den §§ 21 und 23 ADBG hervorgeht, hat der österreichische Gesetzgeber unabhängig von den Umständen des Einzelfalls vordefinierte Sachverhalte vorgesehen und die in die betreffende Veröffentlichung aufzunehmenden Angaben näher bezeichnet und bestimmte Ausnahmen vorgesehen. Somit hat er diese Veröffentlichung eingegrenzt und eine abstrakte Abwägung zwischen den Interessen der Sportler, deren personenbezogene Daten offengelegt werden, einerseits und den Interessen im Zusammenhang mit der Bekämpfung von Doping andererseits vorgenommen.

101 In Anbetracht der Schwere des Eingriffs in die Grundrechte der betroffenen Personen auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, zu dem die Veröffentlichung der Sanktionen im Fall eines Verstoßes gegen Anti-Doping-Vorschriften führt (siehe Rn. 96 des vorliegenden Urteils), kann jedoch nicht ausgeschlossen werden, dass es außerhalb dieser vordefinierten Sachverhalte besondere Umstände gibt, unter denen sich eine Veröffentlichung der in Rede stehenden Daten als unvereinbar mit dem Erfordernis einer ausgewogenen Gewichtung der verschiedenen beteiligten Interessen erweist, die es u. a. ermöglicht, die Schwere des mit der fraglichen Veröffentlichung verbundenen Eingriffs zur Bedeutung der verfolgten Ziele ins Verhältnis zu setzen.

102 Somit verlangen Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 DSGVO im Bereich der Dopingbekämpfung im Sport zwar nicht in allen Fällen eine individuelle Abwägung, setzen aber gleichwohl voraus, dass die Verantwortlichen, wenn die durch die nationale Regelung vordefinierten Sachverhalte allein nicht gewährleisten können, dass der Grundsatz der Verhältnismäßigkeit in jedem Einzelfall beachtet wird, die Umstände des Einzelfalls gebührend berücksichtigen und eine solche individuelle Abwägung anhand dieser Umstände vornehmen, bevor sie die betreffenden Daten im Internet veröffentlichen.

103 Bei dieser Abwägung sind auch die Schwere des Verstoßes gegen Anti-Doping-Vorschriften und die Stellung der betroffenen Person zu berücksichtigen, insbesondere die Frage, ob diese Person eine renommierte Sportlerin bzw. ein renommierter Sportler ist und auf nationaler oder internationaler Ebene in ihrer Disziplin oder sogar darüber hinaus bekannt ist. Spitzensportler mit einem gewissen Bekanntheitsgrad tragen nämlich eine besondere Verantwortung.

104 Zudem sind die Folgen für die Interessen und das Privatleben der betroffenen Person umso schwerer und die Anforderungen an die Verhältnismäßigkeit der Veröffentlichung umso höher, je länger die betreffende Veröffentlichung andauert (vgl. in diesem Sinne Urteil vom7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 95). Dies ist insbesondere dann der Fall, wenn es sich um eine Veröffentlichung handelt, die einer potenziell unbegrenzten Zahl von Empfängern zugänglich ist.

105 Eine namentliche Veröffentlichung der im Ausgangsverfahren in Rede stehenden Informationen auf den Websites der NADA und der ÖADR über einen Zeitraum, der über die zeitliche Geltung der betreffenden Sanktionen hinausgeht, stünde angesichts der Schwere des mit einer solchen Veröffentlichung verbundenen Eingriffs in die in den Art. 7 und 8 der Charta verankerten Grundrechte nicht in einem angemessenen Verhältnis zur Bedeutung des verfolgten Ziels.

106 Insbesondere zu einer namentlichen Veröffentlichung der im Ausgangsverfahren in Rede stehenden Informationen auf den Websites der NADA und der ÖADR, deren Dauer mit der zeitlichen Geltung der betreffenden Sanktionen übereinstimmt, ist festzustellen, dass Sanktionen für einen langen oder sogar sehr langen Zeitraum und auch auf Lebenszeit verhängt werden können. Erreicht der betroffene Sportler während der zeitlichen Geltung der Sanktionen ein Alter, in dem er die betreffende sportliche Tätigkeit nicht mehr ausüben kann, erscheint eine Veröffentlichung, die offensichtlich über dieses Alter hinausgeht, grundsätzlich ebenfalls unverhältnismäßig. Der Verantwortliche hat sich somit anhand sämtlicher Umstände des Einzelfalls zu vergewissern, dass der mit der betreffenden Veröffentlichung verbundene Eingriff in die in den Art. 7 und 8 der Charta verankerten Grundrechte zur Bedeutung des verfolgten Ziels im Verhältnis steht.

107 Nach alledem ist auf die dritte und die vierte Frage zu antworten, dass Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 DSGVO dahin auszulegen sind, dass sie einer nationalen Regelung nicht entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann, sofern diese Regelung es den Verantwortlichen ermöglicht, außerhalb dieser Ausnahmen vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vorzunehmen, um sicherzustellen, dass diese Veröffentlichung im Einklang mit dieser Verordnung erfolgt. Zur fünften Frage

108 Mit der fünften Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 10 DSGVO dahin auszulegen ist, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, Anwendung findet.

109 Es stellt in diesem Zusammenhang klar, dass die im Ausgangsverfahren in Rede stehenden Sanktionen eine Aberkennung von Titeln und Preisgeldern sowie eine mehrjährige Suspendierung oder lebenslange Sperre von allen (nationalen und internationalen) Wettkämpfen umfassen. Es weist außerdem darauf hin, dass Sportorganisationen gemäß § 24 Abs. 4 ADBG keine nach Anti-Doping-Recht gesperrten Personen „einsetzen“ dürfen.

110 Mit dieser Frage möchte das vorlegende Gericht somit wissen, ob personenbezogene Daten über in einer nationalen Anti-Doping-Regelung erfasste Verstöße und wegen solcher Verstöße verhängte Sanktionen personenbezogene Daten „über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln“ im Sinne von Art. 10 DSGVO darstellen.

111 Nach Art. 10 DSGVO darf die Verarbeitung dieser Kategorie von Daten nur unter behördlicher Aufsicht vorgenommen werden, es sei denn, sie ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und die Freiheiten der betroffenen Personen vorsieht, zulässig.

112 Insoweit ist darauf hinzuweisen, dass Art. 10 DSGVO einen verstärkten Schutz in Bezug auf Verarbeitungen gewährleisten soll, die aufgrund der besonderen Sensibilität der betreffenden Daten einen besonders schweren Eingriff in die durch die Art. 7 und 8 der Charta garantierten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen können (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 74 und die dort angeführte Rechtsprechung).

113 Um zu bestimmen, ob ein solcher Zugang eine Verarbeitung personenbezogener Daten über „Straftaten“ im Sinne von Art. 10 der DSGVO darstellt, ist erstens darauf hinzuweisen, dass sich dieser Begriff ausschließlich auf Straftaten im Sinne des Strafrechts bezieht und der in dieser Bestimmung vorgesehene verstärkte Schutz allein dem strafrechtlichen Bereich vorbehalten ist, wie sich insbesondere aus der Entstehungsgeschichte der DSGVO ergibt, aus der hervorgeht, dass der Unionsgesetzgeber bewusst davon abgesehen hat, das Adjektiv „administrativ“ in Art. 10 DSGVO aufzunehmen (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 77 und 78).

114 Zweitens bedarf der Begriff „Straftat“, der für die Bestimmung der Anwendbarkeit von Art. 10 DSGVO auf personenbezogene Daten wie die im Ausgangsverfahren in Rede stehenden entscheidend ist, in der gesamten Union einer autonomen und einheitlichen Auslegung, die unter Berücksichtigung des mit diesem Artikel verfolgten Ziels und des Kontexts, in den dieser sich einfügt, gefunden werden muss, ohne dass es insoweit darauf ankommt, wie der betreffende Mitgliedstaat die betreffenden Verstöße einstuft; diese Einstufung kann in den einzelnen Mitgliedstaaten unterschiedlich sein (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 85 und die dort angeführte Rechtsprechung).

115 Drittens richten sich Vorschriften über Dopingverstöße und Anti-Doping-Sanktionen nur an eine bestimmte Gruppe von Personen, nämlich Sportler, und sollen ebenso wie Disziplinarstrafen sicherstellen, dass die Mitglieder dieser Gruppe die eigens für diese geltenden Verhaltensregeln einhalten.

116 Hierzu ergibt sich aus der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR), dass der Umstand, dass eine Regel, die eine bestimmte Zuwiderhandlung ahndet, für alle Bürger gilt, für den strafrechtlichen Charakter der betreffenden Sanktion spricht (vgl. in diesem Sinne EGMR, 21. Februar 1984, Öztürk/Deutschland, CE:ECHR:1984:0221JUD000854479, § 53). Hingegen urteilte der EGMR, dass bei einem Disziplinarverfahren vor berufsständischen Organen, in dem das Recht, einen Beruf auszuüben, auf dem Spiel steht, kein Zweifel am „zivilrechtlichen“ Charakter der fraglichen Rechte besteht (EGMR, 2. Oktober 2018, Mutu und Pechstein/Schweiz, CE:ECHR:2018:1002JUD004057510, § 58).

117 Anders als in der Rechtssache, in der das Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte] (C‑439/19, EU:C:2021:504), erging, in der die Verhängung von Strafpunkten wegen der Begehung von Verkehrsverstößen auf einer Vorschrift mit allgemeiner Geltung beruhte, gilt die im Ausgangsverfahren in Rede stehende nationale Regelung für eine Gruppe von Personen, die einem speziellen Regelwerk unterliegen.

118 Außerdem sollen die in dieser Regelung vorgesehenen Anti-Doping-Verstöße und Sanktionen nicht nur die Gesellschaft schützen und die betroffene Person bestrafen, sondern insbesondere auch die Integrität des sportlichen Wettkampfs und den Ruf der betreffenden Sportart wahren.

119 Daraus folgt, dass Dopingverstöße wie die im Ausgangsverfahren in Rede stehenden nicht unter den Begriff „Straftaten“ im Sinne von Art. 10 DSGVO fallen.

120 Nach alledem ist auf die fünfte Frage zu antworten, dass Art. 10 DSGVO dahin auszulegen ist, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung findet, da sich die Vorschriften über die genannten Verstöße und diese Sanktionen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht ebenso wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten, nur an eine bestimmte Gruppe von Personen, nämlich Sportler, richten. Zur sechsten Frage

121 Für den Fall, dass die fünfte Frage bejaht wird, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 10 DSGVO dahin auszulegen ist, dass die Entscheidungen einer für die Aufsicht über die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten zuständigen Behörde einer gerichtlichen Überprüfung unterliegen müssen.

122 Da die fünfte Frage verneint wird, ist die sechste Frage nicht zu beantworten. Zur siebten Frage

123 Mit der siebten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob eine nach Art. 77 DSGVO bei einer Aufsichtsbehörde eingereichte Beschwerde wegen einer behaupteten Verletzung des in Art. 17 DSGVO vorgesehenen Rechts auf Löschung zulässig ist, wenn die Verarbeitung personenbezogener Daten der betroffenen Person noch nicht – weder zum Zeitpunkt der Einreichung dieser Beschwerde noch zu dem Zeitpunkt, zu dem diese Behörde über diese Beschwerde entscheidet – erfolgt war, aber bereits konkrete Anhaltspunkte dafür vorlagen, dass eine Verarbeitung personenbezogener Daten durch den Verantwortlichen unmittelbar bevorstand oder in naher Zukunft stattfinden würde. Für den Fall, dass diese Frage verneint wird, fragt es sich, ob die genannte Beschwerde nachträglich zulässig wird, wenn die Verarbeitung anschließend während des gerichtlichen Verfahrens erfolgt.

124 Zur ersten Teilfrage ist darauf hinzuweisen, dass Art. 77 Abs. 1 DSGVO vorsieht, dass jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, „wenn [sie] der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“. Art. 77 Abs. 2 DSGVO legt fest, welche Informationen die Aufsichtsbehörde dem Beschwerdeführer zur Verfügung stellen muss.

125 Nach ständiger Rechtsprechung des Gerichtshofs sind bei der Auslegung einer Bestimmung des Unionsrechts nicht nur ihr Wortlaut entsprechend ihrem Sinn nach dem gewöhnlichen Sprachgebrauch, sondern auch ihr Kontext und die Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, zu berücksichtigen (Urteile vom 17. November 1983, Merck, 292/82, EU:C:1983:335, Rn. 12, und vom 9. Januar 2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 24).

126 Erstens schreibt Art. 77 DSGVO nach seinem Wortlaut keine Frist für die Einreichung einer Beschwerde über die Verarbeitung personenbezogener Daten vor, die gegen diese Verordnung verstoßen soll, noch sieht er den Fall vor, dass die betreffende Verarbeitung personenbezogener Daten noch nicht erfolgt ist. Wie der Generalanwalt in Nr. 186 seiner Schlussanträge ausgeführt hat, verwendet dieser Artikel das Verb „verstößt“, was impliziert, dass die Verarbeitung bereits erfolgt sein muss, den Fall einer künftigen Verarbeitung aber nicht ausschließt.

127 Zweitens sind als kontextbezogene Gesichtspunkte die Aufgaben und Befugnisse der Aufsichtsbehörden zu erwähnen. Insbesondere ist jede Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, sich in ihrem Hoheitsgebiet mit Beschwerden zu befassen, die jede Person gemäß Art. 77 Abs. 1 DSGVO einlegen kann, wenn sie der Ansicht ist, dass eine Verarbeitung sie betreffender personenbezogener Daten gegen diese Verordnung verstößt, und den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen. Die Aufsichtsbehörde muss eine solche Beschwerde mit aller gebotenen Sorgfalt bearbeiten (Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 56 und die dort angeführte Rechtsprechung).

128 Darüber hinaus verleiht Art. 58 Abs. 1 DSGVO jeder Aufsichtsbehörde weitreichende Untersuchungsbefugnisse zur Bearbeitung eingereichter Beschwerden. Stellt eine solche Behörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen dieser Verordnung fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen Abhilfebefugnisse aufgezählt, die der Aufsichtsbehörde zur Verfügung stehen, wobei diese über ein Ermessen in Bezug auf die geeigneten und erforderlichen Mittel verfügt (Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 57 und 68).

129 Zu diesen Abhilfemaßnahmen gehört, dass die Aufsichtsbehörde gemäß Art. 58 Abs. 2 Buchst. a DSGVO einen Verantwortlichen warnen kann, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen. Sie verfügt somit über präventive Befugnisse.

130 Daraus folgt, dass das Beschwerdeverfahren als ein Mechanismus konzipiert wurde, der geeignet ist, die Rechte und Interessen der betroffenen Personen wirksam zu wahren (Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 58).

131 Im Übrigen ist darauf hinzuweisen, dass der Gerichtshof zu Art. 3 Nr. 2 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. 2016, L 119, S. 89) entschieden hat, dass jeder Versuch der Datenverarbeitung bereits eine Datenverarbeitung darstellen kann (vgl. in diesem Sinne Urteil vom 4. Oktober 2024, Bezirkshauptmannschaft Landeck [Versuchter Zugang zu auf einem Mobiltelefon gespeicherten personenbezogenen Daten], C‑548/21, EU:C:2024:830, Rn. 69 bis 77).

132 Daraus ergibt sich, dass ein präventives Eingreifen der Aufsichtsbehörden im Rahmen der Bearbeitung von Beschwerden im Kontext der DSGVO nicht ausgeschlossen ist.

133 Drittens wird diese Auslegung durch die mit der DSGVO verfolgten Ziele bestätigt. Aus u. a. dem zehnten Erwägungsgrund dieser Verordnung geht nämlich hervor, dass diese darauf abzielt, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union zu gewährleisten. Nach dem elften Erwägungsgrund dieser Verordnung erfordert zudem ein unionsweiter wirksamer Schutz personenbezogener Daten die Stärkung der Rechte der betroffenen Personen.

134 Die den Aufsichtsbehörden in Art. 57 Abs. 1 Buchst. f DSGVO auferlegte Verpflichtung, sich mit Beschwerden zu befassen, durch eine Auslegung von Art. 77 Abs. 1 dieser Verordnung einzuschränken, wonach jede Möglichkeit ausgeschlossen wäre, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, wenn der Verantwortliche im Begriff ist, eine Verarbeitung vorzunehmen, liefe jedoch den Zielen dieser Verordnung zuwider, insbesondere dem Ziel, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union zu gewährleisten.

135 Daher kann eine Beschwerde nach Art. 77 DSGVO als zulässig angesehen werden, obwohl die Verarbeitung der personenbezogenen Daten, die Gegenstand dieser Beschwerde ist, zu dem Zeitpunkt, zu dem die betroffene Person die Beschwerde bei der Aufsichtsbehörde eingereicht hat, noch nicht erfolgt war, sofern allerdings diese Verarbeitung nicht rein hypothetisch ist.

136 Im Ausgangsverfahren ist das vorlegende Gericht mit einer Beschwerde gegen eine Entscheidung befasst, mit der eine auf Löschung der in Rede stehenden Daten gerichtete Datenschutzbeschwerde wegen fehlenden Rechtsschutzinteresses zurückgewiesen wurde, weil diese Daten noch nicht veröffentlicht worden seien. Die betroffene Beschwerdeführerin des Ausgangsverfahrens, YT, berief sich insoweit darauf, dass sie durch eine Entscheidung der ÖADR für vier Jahre suspendiert worden sei und eine Veröffentlichung dieser Daten daher unmittelbar bevorstehe.

137 Eine Beschwerde, die auf die Löschung personenbezogener Daten gerichtet ist, setzt jedoch grundsätzlich voraus, dass diese Daten verarbeitet wurden. Dem Verantwortlichen ist es nämlich unmöglich, einer solchen Beschwerde stattzugeben und Daten zu löschen, wenn sie noch nicht offengelegt wurden.

138 Vorbehaltlich einer Überprüfung durch das vorlegende Gericht zielte die von YT auf der Grundlage von Art. 77 DSGVO eingelegte Beschwerde jedoch in Wirklichkeit darauf ab, die Veröffentlichung der betreffenden personenbezogenen Daten zu verhindern, und nicht darauf, diese zu löschen. Somit war diese Beschwerde zulässig, da zum Zeitpunkt ihrer Einreichung bei der zuständigen Aufsichtsbehörde bereits konkrete Anhaltspunkte dafür vorlagen, dass die Verarbeitung dieser Daten unmittelbar bevorstand oder in naher Zukunft stattfinden würde. Diese Schlussfolgerung ist umso mehr geboten, als diese Verarbeitung – nämlich die Online-Veröffentlichung des Namens von YT, des Umstands, dass sie wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurde, und der Dauer der gegen sie verhängten Sperre –, wie in Rn. 96 des vorliegenden Urteils festgestellt, einen schwerwiegenden Eingriff in die Grundrechte der betroffenen Person auf Achtung des Privatlebens und auf Schutz ihrer personenbezogenen Daten beinhaltet.

139 Nach alledem ist auf die siebte Frage zu antworten, dass Art. 77 DSGVO dahin auszulegen ist, dass eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird. Kosten

140 Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig. Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt: 1. Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV ist dahin auszulegen, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt. 1. Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit Art. 16 Abs. 2 Satz 1 AEUV ist dahin auszulegen, dass eine Verarbeitung personenbezogener Daten, die darin besteht, in Anwendung nationaler Anti-Doping-Vorschriften die Namen von Sportlern, die wegen eines Verstoßes gegen diese Vorschriften sanktioniert wurden, die von ihnen ausgeübte Sportart, den begangenen Verstoß gegen die genannten Vorschriften, die gegen die betreffenden Sportler verhängte Sanktion sowie den Beginn und das Ende dieser Sanktion zu veröffentlichen, in den Anwendungsbereich des Unionsrechts und damit in jenen dieser Verordnung fällt. 2. Art. 9 der Verordnung 2016/679 ist dahin auszulegen, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt. Anders verhält es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen. 2. Art. 9 der Verordnung 2016/679 ist dahin auszulegen, dass die Information, dass eine bestimmte Person einen bestimmten Verstoß gegen Anti-Doping-Vorschriften begangen habe und aufgrund dieses Verstoßes von der Teilnahme an (nationalen und internationalen) Wettkämpfen ausgeschlossen sei, grundsätzlich nicht unter den Begriff „Gesundheitsdaten“ im Sinne dieser Bestimmung fällt. Anders verhält es sich hingegen, wenn eine solche Information den Namen oder die Kategorie des von dem Verstoß betroffenen verbotenen Wirkstoffs oder der von dem Verstoß betroffenen verbotenen Methode enthält und sich dieser Angabe in Verbindung mit anderen Informationen über diese Person – sei es auch nur mittelbar – durch gedankliche Kombination oder Ableitung Informationen über den früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand dieser Person entnehmen lassen. 3. Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 der Verordnung 2016/679 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann, sofern diese Regelung es den Verantwortlichen ermöglicht, außerhalb dieser Ausnahmen vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vorzunehmen, um sicherzustellen, dass diese Veröffentlichung im Einklang mit dieser Verordnung erfolgt. 3. Art. 5 Abs. 1 Buchst. a und c sowie Art. 6 Abs. 3 Unterabs. 2 der Verordnung 2016/679 sind dahin auszulegen, dass sie einer nationalen Regelung nicht entgegenstehen, die die nationalen Anti-Doping-Stellen verpflichtet, personenbezogene Daten von Sportlern, die wegen eines Verstoßes gegen Anti-Doping-Vorschriften sanktioniert wurden, wie die Namen der betreffenden Sportler, die Dauer der gegen sie verhängten Sperre und die Gründe hierfür zu veröffentlichen, wobei diese Veröffentlichung bei Freizeitsportlern, besonders schutzbedürftigen Personen und „Whistleblowern“ unterbleiben kann, sofern diese Regelung es den Verantwortlichen ermöglicht, außerhalb dieser Ausnahmen vor einer solchen Veröffentlichung eine individuelle Abwägung der beteiligten Interessen vorzunehmen, um sicherzustellen, dass diese Veröffentlichung im Einklang mit dieser Verordnung erfolgt. 4. Art. 10 der Verordnung 2016/679 ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung findet, da sich die Vorschriften über die genannten Verstöße und diese Sanktionen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht ebenso wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten, nur an eine bestimmte Gruppe von Personen, nämlich Sportler, richten. 4. Art. 10 der Verordnung 2016/679 ist dahin auszulegen, dass er auf die Verarbeitung personenbezogener Daten, die Verstöße gegen nationale Anti-Doping-Vorschriften und wegen solcher Verstöße verhängte Sanktionen betreffen, keine Anwendung findet, da sich die Vorschriften über die genannten Verstöße und diese Sanktionen unabhängig von der Einstufung dieser Verstöße im innerstaatlichen Recht ebenso wie Disziplinarstrafen, die sicherstellen sollen, dass die Mitglieder einer Gruppe die eigens für diese geltenden Verhaltensregeln einhalten, nur an eine bestimmte Gruppe von Personen, nämlich Sportler, richten. 5. Art. 77 der Verordnung 2016/679 ist dahin auszulegen, dass eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird. 5. Art. 77 der Verordnung 2016/679 ist dahin auszulegen, dass eine auf der Grundlage dieses Artikels eingelegte Beschwerde, mit der verhindert werden soll, dass personenbezogene Daten über Verstöße gegen Anti-Doping-Regelungen im Internet veröffentlicht werden, zulässig ist, wenn zum Zeitpunkt der Einreichung dieser Beschwerde bei der zuständigen Aufsichtsbehörde konkrete Anhaltspunkte dafür vorliegen, dass diese Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden wird. Unterschriften