Die Weitergabe personenbezogener Daten aus wirtschaftlichem Interesse kann grundsätzlich eine Verarbeitung im „berechtigten Interesse“ gemäß Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f Datenschutz-Grundverordnung (DSGVO) des für die Verarbeitung Verantwortlichen sein.
Der Gerichtshof der Europäischen Union (EuGH) hat mit Urteil vom 04.10.2024, Az. C-621/22, auf ein Vorabentscheidungsersuchen der Rechtbank Amsterdam (Bezirksgericht Amsterdam) entschieden, dass Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten, die darin besteht, personenbezogene Daten der Mitglieder eines Sportverbands in Verfolgung des wirtschaftlichen Interesses des Verantwortlichen gegen Entgelt offenzulegen, nur dann als im Sinne dieser Vorschrift zur Wahrung der berechtigten Interessen dieses Verantwortlichen erforderlich angesehen werden kann, wenn die Verarbeitung zur Verwirklichung des in Rede stehenden berechtigten Interesses absolut notwendig ist und sofern in Anbetracht aller relevanten Umstände die Interessen oder Grundrechte und Grundfreiheiten dieser Mitglieder gegenüber dem berechtigten Interesse nicht überwiegen. Diese Vorschrift verlangt zwar nicht, dass ein solches Interesse gesetzlich bestimmt wird, sie erfordert jedoch, dass das geltend gemachte berechtigte Interesse rechtmäßig ist.
Sachverhalt
Dem Verfahren liegt die Klage eines niederländischen Sportverbands gegen das Autoriteit Persoonsgegevens (AP), der niederländischen Datenschutzbehörde, wegen einer gegen ihn verhängten Geldbuße in Höhe von 525.000,00 € zugrunde. Die Erhebung des Bußgeldes wurde auf einen Verstoß des Sportverbands gegen Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe a und f in Verbindung mit Artikel 5 Absatz 1 Buchstabe a DSGVO gestützt. Er soll die personenbezogenen Daten seiner Mitglieder ohne Einwilligung oder sonstige rechtmäßige Grundlage offengelegt haben.
2018 legte er zwei seiner Sponsoren (einer Gesellschaft, die Sportartikel vertreibt sowie dem größten nationalen Anbieter von Glücks- und Kasinospielen) personenbezogene Daten seiner Mitglieder offen und erhielt dafür ein Entgelt. Dazu zählten die Namen, Anschriften und Wohnorte seiner Mitglieder für den postalischen Versand eines Werbebriefs durch den Sportartikelvertrieb sowie Namen, Anschriften, Wohnorte, Geburtsdaten, Festnetznummern, Mobiltelefonnummer und E-Mail-Adressen zur Durchführung einer Telefonwerbemaßnahme durch ein vom Glücksspielanbieter beauftragtes Callcenter. Die Entscheidung der AP erging in der Folge von Beschwerden von Mitgliedern des Sportverbands wegen dieses Sachverhalts.
Der Sportverband war der Ansicht, dass sich ein berechtigtes Interesse nicht zwangsläufig aus einem Grundrecht oder Rechtsgrundsatz ergeben müsse, sondern dass jedes nicht gesetzeswidrige Interesse ein berechtigtes darstellen könne.
Die AP war der Ansicht, dass nur zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen berechtigte Interessen im Sinne von Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO seien.
Das Bezirksgericht Amsterdam beschloss wegen Zweifeln an der Auslegung des Begriffs „berechtigtes Interesse“, das Verfahren auszusetzen und die folgenden Fragen zur Vorabentscheidung vorzulegen:
- Wie hat das vorlegende Gericht den Begriff „berechtigtes Interesse“ im Sinne von Art. 6 Abs. 1 Buchst. f DSGVO auszulegen?
- Ist dieser Begriff so auszulegen, wie die Beklagte ihn auslegt? Erfasst er ausschließlich zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen?
- Oder kann jedes Interesse ein berechtigtes Interesse sein, sofern es dem Gesetz nicht zuwiderläuft? Konkreter: Sind ein rein kommerzielles Interesse und das vorliegende Interesse, nämlich die Bereitstellung personenbezogener Daten gegen Entgelt ohne Zustimmung der betroffenen Person, unter bestimmten Umständen als ein berechtigtes Interesse einzustufen? Falls ja: Welche Umstände bestimmen, ob ein rein kommerzielles Interesse ein berechtigtes Interesse ist?
Rechtliche Würdigung
Zunächst hat der EuGH die Vorlagefragen zu der Frage zusammengefasst, ob Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten, die darin besteht, personenbezogene Daten der Mitglieder eines Sportverbands in Verfolgung des wirtschaftlichen Interesses des Verantwortlichen gegen Entgelt offenzulegen, als im Sinne dieser Vorschrift zur Wahrung der berechtigten Interessen dieses Verantwortlichen oder eines Dritten erforderlich angesehen werden kann und ob diese Vorschrift verlangt, dass ein solches Interesse gesetzlich bestimmt wird.
Artikel 6 Absatz 1 DSGVO enthalte eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, weshalb jede Verarbeitung für deren Rechtmäßigkeit unter einer der Bestimmungen in Absatz 1 subsumierbar sein müsse.
Sofern – wie hier – keine Einwilligung nach Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe a DSGVO vorliegt oder die Einwilligung nicht für den bestimmten Fall erteilt wurde, könne die Verarbeitung nach den Bestimmungen gemäß Artikel 6 Absatz 1 Unterabsatz 1 Buchstaben b - f rechtmäßig sein, wobei diese wegen des Fehlens einer Einwilligung eng auszulegen seien.
Gemäß Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO ist eine Verarbeitung personenbezogener Daten dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz dieser personenbezogenen Daten erfordern, überwiegen.
Dies setzt, so der EuGH, die Erfüllung dreier kumulativer Voraussetzungen voraus:
- Die Wahrnehmung eines berechtigten Interesses des Verantwortlichen oder eines Dritten,
- die Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
- kein Überwiegen der Interessen oder Grundrechte und Grundfreiheiten der Personen, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder Dritten.
Der Begriff „berechtigtes Interesse“ verlange dabei nicht die gesetzliche Verankerung der legitimen Interessen von Verantwortlichen, wohl aber dessen Rechtmäßigkeit. Dies folge auch aus dem 47. Erwägungsgrund der DSGVO, welcher die Zwecke der Direktwerbung allgemein als Beispiel für berechtigte Interessen anführt.
Hinsichtlich der Erforderlichkeit der Verarbeitung zur Verwirklichung des berechtigten Interesses dürfe das Verarbeitungsinteresse nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden können, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen. Dies sei gemeinsam mit dem Grundsatz der „Datenminimierung“ gemäß Artikel 5 Absatz 1 Buchstabe c DSGVO zu prüfen.
Die Prüfung, welche Interessen überwiegen, erfordere eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen im Einzelfall. Die Interessen und Grundrechte der betroffenen Personen können nach den Ausführungen der EuGH insbesondere dann überwiegen, wenn die Verarbeitung in Situationen stattfindet, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet.
Unter diesen Voraussetzungen könne auch ein wirtschaftliches Interesse des Verantwortlichen ein berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO darstellen, wenn es nicht gesetzeswidrig ist. Das Vorliegen eines solchen Interesses sei jedoch vom vorlegenden Gericht zu beurteilen. Auch wenn das Interesse als berechtigt eingestuft würde, müsste der Verantwortliche zudem alle weiteren Pflichten der DSGVO erfüllen, damit die Verarbeitung gerechtfertigt sein kann.
Hinsichtlich des Prüfungspunkts zur Erforderlichkeit sei es dem Sportverband möglich gewesen, seine Mitglieder im Voraus zu informieren und zu fragen, ob sie mit der Weitergabe ihrer Daten an Dritte zu Marketingzwecken einverstanden seien. Dies stelle einen geringeren Eingriff in das Recht auf Schutz der Vertraulichkeit der personenbezogenen Daten der betroffenen Personen dar und würde dem Verantwortlichen ermöglichen, das Interesse ebenso wirksam wahrzunehmen. Auch dies sei vom vorlegenden Gericht zu prüfen.
Bei der Interessenabwägung seien insbesondere vernünftige Erwartungen der betroffenen Person sowie der Umfang der in Rede stehenden Verarbeitung und deren Auswirkungen auf die Betroffenen zu berücksichtigen.
Fazit
Vor dem Hintergrund der in dem Urteil vom EuGH dargelegten Voraussetzungen für die Annahme der Rechtmäßigkeit der Verarbeitung personenbezogener Daten aus wirtschaftlichem Interesse dürfte in dem vorliegenden Fall trotz der grundsätzlichen Legitimität eines solchen Interesses sowohl die Erforderlichkeit der Verarbeitung als auch das Überwiegen des Interesses des Verarbeitenden gegenüber denen der von der Verarbeitung betroffenen Personen abzulehnen sein.
Im Allgemeinen wird trotz der Annahme der Legitimität solcher wirtschaftlichen Interessen zur Rechtmäßigkeit einer Datenverarbeitung nach Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO durch die weiteren Voraussetzungen ein hohes Schutzniveau bei der Verarbeitung personenbezogener Daten gewährleistet.
"EuGH: Weitergabe personenbezogener Daten aus wirtschaftlichem Interesse"
von Dominik Skornia, wissenschaftlicher Mitarbeiter