EuGH C-474/24: Namentliche Veröffentlichung von Doping-Sanktionen — Verhältnismäßigkeit als Pflichtprogramm für jeden Verantwortlichen

Hintergrund: Der Fall und die Vorlagefragen

Vier österreichische Sportler — in der Entscheidung anonymisiert als AR, YT, DI und RN — wandten sich gegen die namentliche Veröffentlichung ihrer Anti-Doping-Verstöße durch die Nationale Anti-Doping Agentur Austria GmbH (NADA Austria) und die Österreichische Anti-Doping Rechtskommission (ÖADR) im Internet. Das österreichische Anti-Doping-Bundesgesetz 2021 (ADBG) verpflichtete diese Stellen, Sperren spätestens 20 Tage nach Rechtskraft unter Angabe von Name, Sperrdauer und Gründen zu veröffentlichen — mit eng definierten Ausnahmen nur für Freizeitsportlerinnen und Freizeitsportler, besonders schutzbedürftige Personen und Hinweisgeberinnen und Hinweisgeber (sogenannte „Whistleblower").

Das Bundesverwaltungsgericht Österreich legte dem EuGH fünf Vorlagefragen vor, die sich im Kern um folgende Problemkomplexe drehen:

1. Fallen Anti-Doping-Sanktionsdaten unter den Begriff der „Gesundheitsdaten" nach Art. 9 DSGVO?
2. Stellen sie „personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten" nach Art. 10 DSGVO dar?
3. Ist die gesetzlich angeordnete Veröffentlichungspflicht mit Art. 5 und Art. 6 Abs. 3 DSGVO vereinbar — und genügt eine abstrakte Gesetzesregelung, oder ist stets eine Einzelfallabwägung erforderlich?
4. Können Betroffene gemäß Art. 77 DSGVO bereits dann Beschwerde bei der Datenschutzbehörde einlegen, wenn die Veröffentlichung erst bevorsteht?

Die fünf Kernaussagen des EuGH

1. Anti-Doping-Sanktionsdaten sind grundsätzlich keine Gesundheitsdaten

Art. 9 DSGVO schützt besondere Kategorien personenbezogener Daten, darunter Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO — Informationen, aus denen Informationen über den körperlichen oder geistigen Gesundheitszustand einer Person hervorgehen. Der EuGH stellt klar: Die bloße Information, dass eine Person einen Anti-Doping-Verstoß begangen hat und deswegen gesperrt ist, ist nicht automatisch ein Gesundheitsdatum.

Anders verhält es sich, wenn die veröffentlichte Information den Namen oder die Kategorie des verbotenen Wirkstoffs oder der verbotenen Methode enthält und sich daraus — sei es auch nur in Kombination mit anderen verfügbaren Informationen — mittelbar auf den körperlichen oder geistigen Gesundheitszustand der betroffenen Person schließen lässt. In diesem Fall liegt ein Gesundheitsdatum vor, und es ist zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO erforderlich.

Praktisch: Eine Veröffentlichung, die nur Name, Sperrdauer und pauschalen Verstoßgrund enthält — ohne Nennung des konkreten verbotenen Wirkstoffs — fällt grundsätzlich nicht unter Art. 9 DSGVO. Enthält sie hingegen den Wirkstoff (z. B. Erythropoetin/EPO), kann ein Rückschluss auf einen Gesundheitszustand — etwa auf eine blutbildende Erkrankung oder auf die Inanspruchnahme medizinischer Behandlung — möglich sein, sodass Art. 9 DSGVO greift.

2. Doping-Sanktionen sind keine strafrechtlichen Daten nach Art. 10 DSGVO

Art. 10 DSGVO beschränkt die Verarbeitung von Daten über strafrechtliche Verurteilungen, Straftaten oder damit zusammenhängende Sicherungsmaßregeln auf Fälle behördlicher Aufsicht oder gesetzlicher Erlaubnis. Der EuGH legt Art. 10 DSGVO eng aus: Anti-Doping-Sanktionen sind sportrechtlicher, nicht strafrechtlicher Natur. Eine Sperre durch eine private Anti-Doping-Stelle stellt keine strafrechtliche Verurteilung dar. Art. 10 DSGVO findet damit keine Anwendung.

Diese Abgrenzung ist nicht selbstverständlich. Der Generalanwalt hatte in seinen Schlussanträgen vom 25. September 2025 differenziertere Überlegungen angestellt. Der Gerichtshof folgt dem Wortlaut des Art. 10 DSGVO und dem strafrechtlichen Charakter als maßgeblichem Kriterium, was für Rechtsklarheit sorgt — aber in Grenzfällen (etwa bei berufsrechtlichen Sanktionen mit strafrechtsähnlichem Charakter) weiterhin Auslegungsfragen offen lässt.

3. Gesetzliche Veröffentlichungspflichten sind DSGVO-konform — aber nur mit Einzelfallabwägung

Die zentrale und für die Praxis bedeutendste Aussage des Urteils: Eine nationale Regelung, die Verantwortliche zur namentlichen Veröffentlichung von Sanktionsdaten verpflichtet, ist mit Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 3 DSGVO vereinbar — vorausgesetzt, sie erlaubt dem Verantwortlichen, außerhalb der gesetzlich definierten Ausnahmen vor der Veröffentlichung eine eigene Einzelfallabwägung vorzunehmen.

Der EuGH begründet dies mit einem vierstufigen Verhältnismäßigkeitstest (vgl. Rn. 84 des Urteils), der für jede gesetzlich angeordnete Datenpublikation gilt:

1. Gemeinwohlziel: Die Veröffentlichung muss einem anerkannten Gemeinwohlziel dienen — hier: Dopingbekämpfung, Fairness im Sport, Gesundheitsschutz der Sportlerinnen und Sportler.
2. Geeignetheit: Die Maßnahme muss geeignet sein, dieses Ziel zu erreichen. Die namentliche Veröffentlichung fördert Abschreckung, Prävention und Sanktionsdurchsetzung.
3. Erforderlichkeit: Es darf keine gleich wirksame, aber weniger eingriffsintensive Alternative geben. Eine anonymisierte Veröffentlichung oder eine rein interne Bekanntgabe an Wettkampfveranstalter wäre laut EuGH nicht gleich wirksam.
4. Verhältnismäßigkeit im engeren Sinne: Die Schwere des Eingriffs in die Grundrechte (Art. 7 und 8 GRCh) muss zur Bedeutung des Gemeinwohlziels in einem angemessenen Verhältnis stehen.

Bei Stufe 4 kommt der Knackpunkt: Der EuGH stellt ausdrücklich fest, dass eine abstrakte gesetzliche Regelung — also eine Norm, die typisierend bestimmte Ausnahmen festlegt und im Übrigen die Veröffentlichung anordnet — nicht in allen Fällen gewährleisten kann, dass die Verhältnismäßigkeit im Einzelfall gewahrt ist. Wo die gesetzlichen Ausnahmen den Einzelfall nicht abdecken, muss der Verantwortliche selbst prüfen.

4. Die Veröffentlichungsdauer ist auf die Sanktionsdauer begrenzt

Der EuGH trifft eine klare Aussage zur zeitlichen Dimension der Verhältnismäßigkeit: Eine namentliche Veröffentlichung, die über die Dauer der Sperre hinausgeht, ist grundsätzlich unverhältnismäßig (Rn. 105). Auch eine Veröffentlichung, die zwar mit der Sperrdauer übereinstimmt, bei einer lebenslangen oder sehr langen Sperre aber über das aktive Sportlerleben hinausreicht, kann unverhältnismäßig sein — jedenfalls dann, wenn die betroffene Person bereits ein Alter erreicht hat, in dem sie die sportliche Tätigkeit nicht mehr ausüben kann (Rn. 106).

Für die Praxis bedeutet das: Automatische Löschroutinen sind kein bloßes Komfort-Feature, sondern eine DSGVO-Pflicht. Wer Sanktionsdaten veröffentlicht, muss technische Mechanismen implementieren, die sicherstellen, dass die Daten spätestens mit Ablauf der Sanktion offline genommen werden — und dass bei sehr langen Sperren die Verhältnismäßigkeit laufend überprüft wird.

5. Art. 77 DSGVO schützt auch vor bevorstehenden Verstößen

Die fünfte Vorlagefrage betraf Art. 77 DSGVO — das Recht auf Beschwerde bei der Datenschutzbehörde. Das vorlegende Gericht fragte, ob dieses Recht auch dann besteht, wenn die Veröffentlichung noch nicht erfolgt ist, sondern erst unmittelbar bevorsteht.

Der EuGH bejaht das: Art. 77 DSGVO gewährt Betroffenen das Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde auch dann, wenn ein Verstoß erst unmittelbar bevorsteht — also etwa, wenn die Veröffentlichung für die nächsten Tage angekündigt ist, aber noch nicht stattgefunden hat. Die Aufsichtsbehörde kann in diesem Fall präventiv tätig werden und — gestützt auf ihre Warnbefugnis nach Art. 58 Abs. 2 lit. a DSGVO — den Verantwortlichen auf einen drohenden Verstoß hinweisen.

Diese Aussage ist bedeutsam: Sie stärkt den vorbeugenden Datenschutz erheblich. Betroffene müssen nicht warten, bis ein Schaden eingetreten ist — sie können bereits im Stadium des angekündigten Verstoßes handeln.

Kritische Einordnung: Was das Urteil wirklich bedeutet

Das Urteil ist kein Freifahrtschein für Datenpublikation

Auf den ersten Blick könnte man das Urteil als Bestätigung der österreichischen Gesetzeslage lesen: Die Veröffentlichungspflicht bleibt, der EuGH beanstandet das Regelungskonzept nicht grundsätzlich. Tatsächlich aber enthält das Urteil einen erheblichen Mehraufwand für alle betroffenen Verantwortlichen: Sie dürfen sich nicht mehr darauf zurückziehen, dass die gesetzliche Regelung die Veröffentlichung anordnet. Sie müssen im Einzelfall prüfen, dokumentieren und — wenn die Umstände es gebieten — auf eine Veröffentlichung verzichten oder sie einschränken.

Das ist eine signifikante Verschiebung der Compliance-Last: Vom Gesetzgeber zum Verantwortlichen. Wer bisher „das Gesetz schreibt es vor" als ausreichende Rechtfertigung betrachtete, muss sein Datenschutzmanagement grundlegend überarbeiten.

Die Signalwirkung reicht weit über den Sport hinaus

Anti-Doping ist das konkrete Sachgebiet — aber die vom EuGH entwickelten Grundsätze gelten für jede Organisation, die personenbezogene Sanktions-, Verstoß- oder Entscheidungsdaten öffentlich macht: berufsrechtliche Kammern, die Berufsverbote veröffentlichen; Behörden, die Bußgeldbescheide oder Verwaltungssanktionen publizieren; Arbeitgeber, die intern Disziplinarmaßnahmen bekannt geben; Verbände, die Verstöße gegen ihre Satzung öffentlich dokumentieren; Plattformbetreiber, die Sperren und Ausschlüsse kommunizieren.

In all diesen Bereichen gilt nach diesem Urteil: Eine gesetzliche oder satzungsmäßige Ermächtigungsgrundlage ist notwendig, aber nicht hinreichend. Der Verantwortliche muss zusätzlich eine individuelle Verhältnismäßigkeitsprüfung dokumentieren.

Der EuGH stärkt präventiven Datenschutz — mit praktischen Konsequenzen

Die Aussage zu Art. 77 DSGVO und der präventiven Beschwerde ist rechtspolitisch bedeutsam, operativ aber anspruchsvoll. Wenn Betroffene bereits bei bevorstehender Veröffentlichung Beschwerde einlegen können und die Aufsichtsbehörde präventiv eingreifen darf, entsteht für Verantwortliche ein enger Zeitrahmen: Sie müssen die Verhältnismäßigkeitsabwägung abgeschlossen und dokumentiert haben, bevor die Veröffentlichung erfolgt — nicht erst danach. Das setzt voraus, dass interne Prüfprozesse strukturiert und nachweisbar sind.

Offene Fragen: Art. 10 DSGVO in Grenzfällen

Die Ablehnung der Anwendbarkeit von Art. 10 DSGVO auf Anti-Doping-Sanktionen ist dogmatisch nachvollziehbar, lässt aber Grenzfragen offen. Wie verhält es sich mit berufsrechtlichen Verboten, die zwar keine Strafurteile sind, aber eine ähnliche Stigmatisierungswirkung entfalten? Wie mit Verwaltungssanktionen, die an ein strafrechtsähnliches Verhalten anknüpfen? Der EuGH hat sich auf das Kriterium des strafrechtlichen Charakters festgelegt — die Abgrenzung im Einzelfall bleibt Aufgabe der nationalen Gerichte und Behörden.

Wie Unternehmen und Organisationen sich jetzt aufstellen sollten

Das Urteil richtet sich an Anti-Doping-Stellen — seine Prinzipien gelten aber für jede Organisation, die personenbezogene Sanktions- oder Verstoßdaten veröffentlicht. Die folgenden Empfehlungen orientieren sich an den Grundsätzen, die der EuGH herausgearbeitet hat.

1. Bestandsaufnahme: Wo publizieren Sie personenbezogene Sanktionsdaten?

Identifizieren Sie alle Stellen Ihrer Organisation, an denen personenbezogene Daten über Verstöße, Sanktionen oder Entscheidungen öffentlich gemacht werden — Website, Amtsblätter, Mitgliederverzeichnisse, Pressemitteilungen, Social-Media-Beiträge. Prüfen Sie für jeden dieser Kanäle, ob eine ausreichende Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegt und ob ggf. Art. 9 DSGVO oder Art. 10 DSGVO einschlägig sind.

2. Individuelle Verhältnismäßigkeitsprüfung als Pflichtschritt vor jeder Veröffentlichung

Etablieren Sie einen dokumentierten Prüfprozess, der vor jeder namentlichen Veröffentlichung von Sanktionsdaten durchlaufen werden muss. Dieser Prozess sollte folgende Fragen abarbeiten:

• Verfolgt die Veröffentlichung ein legitimes Gemeinwohlziel?
• Ist sie geeignet und erforderlich — gibt es ein gleich wirksames, aber weniger eingriffsintensives Mittel?
• Stehen Eingriffsschwere und Gemeinwohlziel in einem angemessenen Verhältnis?
• Liegen besondere Umstände vor (z. B. besonders schutzbedürftige Personen, Minderjährige, schwere persönliche Folgen), die eine individuelle Abweichung erfordern?
• Welche Veröffentlichungsdauer ist verhältnismäßig?

Die Ergebnisse dieser Abwägung sind schriftlich festzuhalten — nicht als bürokratische Pflicht, sondern als Nachweis gegenüber Aufsichtsbehörden und Betroffenen im Streitfall.

3. Automatische Lösch- und Überprüfungsroutinen implementieren

Die Veröffentlichungsdauer darf die Sanktionsdauer grundsätzlich nicht überschreiten. Implementieren Sie technische Löschmechanismen, die Sanktionspublikationen automatisch nach Ablauf der Sperre offline nehmen. Bei sehr langen oder unbefristeten Sanktionen sind regelmäßige manuelle Überprüfungen erforderlich, ob die Weiterveröffentlichung noch verhältnismäßig ist.

4. Inhalte der Veröffentlichung auf das Notwendige beschränken

Die Nennung des konkreten verbotenen Wirkstoffs oder der verbotenen Methode kann Anti-Doping-Sanktionsdaten zu Gesundheitsdaten nach Art. 9 DSGVO machen. Beschränken Sie Veröffentlichungen auf Name, Verstoßkategorie, Sperrdauer und allgemeinen Verstoßgrund — ohne Nennung konkreter Substanzen, sofern diese für den Zweck der Öffentlichkeitsinformation nicht zwingend erforderlich sind. Prüfen Sie in jedem Einzelfall, ob die Nennung von Substanznamen zur Erreichung des Informationsziels tatsächlich notwendig ist.

5. Beschwerde-Frühwarnsystem einrichten

Betroffene können künftig Beschwerde bei der Datenschutzbehörde einreichen, bevor die Veröffentlichung erfolgt. Etablieren Sie einen internen Prozess, der es ermöglicht, auf solche präventiven Beschwerden oder Widersprüche zu reagieren, bevor die Veröffentlichung stattfindet. Das setzt eine ausreichende Vorlaufzeit zwischen der Entscheidung über die Veröffentlichung und deren Vollzug voraus, um den internen Prüfprozess abschließen zu können.

6. Datenschutz-Folgenabschätzung (DSFA) prüfen

Die systematische Online-Veröffentlichung personenbezogener Sanktionsdaten ist eine systematische Verarbeitung öffentlich zugänglicher Daten zu einem Betroffenen, die geeignet ist, Stigmatisierungseffekte zu erzeugen. In aller Regel liegt damit ein Hochrisikoszenario im Sinne von Art. 35 DSGVO vor, das eine DSFA erfordert. Führen Sie diese durch und halten Sie die ergriffenen Maßnahmen dokumentiert.

7. Verarbeitungsverzeichnis aktualisieren

Tragen Sie die Veröffentlichung von Sanktionsdaten als eigene Verarbeitungstätigkeit in das Verarbeitungsverzeichnis nach Art. 30 DSGVO ein. Dokumentieren Sie Zweck, Rechtsgrundlage, Datenkategorien, Empfänger, Löschfristen und Schutzmaßnahmen.