Vor einem reichlichen Monat hat der Europäische Gerichtshof (EuGH) am 4. Oktober 2024 das berechtigte Interesse nach Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO näher ausgelegt (Rs. C-621/22), reichlich ein Jahr nach der letzten wichtigen Entscheidung des EuGH zu dieser Bestimmung (Urt. v. 3.8.2023, Rs. C-252/21). Obwohl sich das „neue“ Judikat immer wieder auf das ältere bezieht und der EuGH selbst wohl sogar der Meinung war, die neue Entscheidung sei überflüssig, sorgt sie vielleicht (leider) für Aufregung und Verunsicherung. Man kann sie nämlich (nach meiner Auffassung: miss-)verstehen als enorme Verschärfung der Anforderungen für das berechtigte Interesse.
Zum Aufbau von EuGH-Urteilen
Schauen wir genauer hin: Für echte Informationen über eine EuGH-Entscheidung liest man natürlich am besten und unbedingt immer die EuGH-Entscheidung selbst – nicht einen Blog oder Kommentar wie diesen hier, jedenfalls nicht nur. Das Urteil finden Sie hier im Veröffentlichungs-Portal der Europäischen Union. An vielen anderen Stellen natürlich auch; mir gefällt die Präsentation im Portal aber gut. Außerdem hat sie den Vorteil der Mehrsprachigkeit – dazu kommen wir noch.
Haben Sie das Urteil mal überflogen? Für Erstleser von EuGH-Urteilen ist der Text etwas sperrig. Schon das dritte oder vierte Urteil liest man dann aber ganz routiniert. Bevor wir zum juristischen Kern kommen, einige Kleinigkeiten:
Die Rechtssache C-621/22 betrifft eine Bitte des Bezirksgerichts Amsterdam an den EuGH, bei der Auslegung von Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO zu helfen. Der EuGH ist für die europaweit verbindliche Auslegung des EU-Rechts allein zuständig. Wie wir im Eingangssatz (immerhin eine Seite lang) lernen, hat der EuGH die Frage des niederländischen Gerichts Ende September 2022 erhalten. Bis zur Entscheidung vergingen also ziemlich genau zwei Jahre. Das liegt beim EuGH im Rahmen. Für Beteiligte an den Ausgangsverfahren kommt dieser Zeitaufwand allerdings „on top“.
Der Königliche Niederländische Rasentennisverband (eigene Übersetzung) führt in Amsterdam ein Verfahren gegen die Autoriteit Persoonsgegevens. Wären Sie darauf gekommen, dass sich dahinter die Niederländische Datenschutz-Aufsichtsbehörde verbirgt? Entschieden hat der EuGH durch die 9. Kammer, besetzt mit drei Richtern. Berichterstatterin war die italienische Richterin Rossi. Sie gehörte dem EuGH seit Oktober 2018 an und wurde am 7. Oktober dieses Jahres durch einen neuen italienischen Richter abgelöst. „Unsere“ Entscheidung ist also vielleicht die letzte von ihr verfasste beim EuGH. Zuvor war sie (im vergangenen Jahr) auch Berichterstatterin beim wichtigen Urteil in Sachen Meta (C-252/21); dazu später mehr.
Zum Inhalt des Urteils
Nach dem Eingangssatz ist die ganze Entscheidung – wie EuGH-Urteile generell – in Textziffern gegliedert. Das ist nutzerfreundlich, weil es den Überblick und das Zitieren erleichtert. Die ersten drei Seiten bestehen nur aus Wiedergabe derjenigen Rechtsnormen, die der EuGH für die Entscheidung wichtig findet. Dieses Gesetz-Abschreiben ist beim EuGH üblich und hat den Vorteil, dass man EuGH-Entscheidungen auch ohne Gesetzbuch lesen kann.
Danach werden Ausgangsverfahren und Vorlagefragen berichtet. Wir bekommen vom EuGH also die Geschichte des jeweiligen Verfahrens erzählt, hier von Textziffer 9 bis 22. Kurz zusammengefasst: Der Tennisverband hatte Kontaktdaten seiner Mitglieder (alle Menschen, die einem Tennisverein angehören, der dem Verband beigetreten ist) an einen Sportwaren-Händler und einen Glücksspiel-Anbieter gegen Geld weitergegeben. Über deren Werbung beschwerten sich dann einige Empfänger bei der Datenschutzaufsicht und die verhängte eine Geldbuße von 525.000 Euro gegen den Verband. Der wiederum klagte gegen das Bußgeld beim Bezirksgericht Amsterdam und – schwupps – war man beim EuGH in Luxemburg.
Die gegensätzlichen Rechtsauffassungen der Aufsichtsbehörde und des Tennisverbands finden sich in Textziffern 16 und 17: Da es keine Einwilligung für die Datenweitergabe gab, berief sich der Tennisverband auf Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO, also sein berechtigtes Interesse. Die Aufsichtsbehörde argumentierte, ein berechtigtes Interesse nach DS-GVO müsse vom Gesetzgeber positiv festgelegt sein. Berechtigte Interessen wären nur „zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen“. Der Verband wiederum meinte, als berechtigtes Interesse Im Sinne der DS-GVO komme jedes Interesse des Verantwortlichen in Betracht, solange es nicht gesetzeswidrig sei (negative Abgrenzung).
Die Auffassung des Verbandes dürfte der bisher ganz herrschenden Meinung in Deutschland entsprechen. Konkretes Beispiel, das für die EuGH-Entscheidung relevant war: Ist das Interesse an Werbung oder an Sponsoring-Geldern nur dann ein berechtigtes Interesse, wenn der Gesetzgeber irgendwo erwähnt, dass Unternehmen Werbung betreiben und Sponsoring-Gelder einnehmen dürfen?
In Textziffer 19 sind die Vorlagefragen des Bezirksgerichts Amsterdam abgedruckt und anschließend lernen wir in Textziffer 20 bis 22, dass der EuGH der Meinung war, er habe diese Fragen mit seiner Entscheidung im Verfahren C-252/21 am 4. Juli 2023 schon beantwortet. Das Bezirksgericht Amsterdam sah es jedoch anders und der EuGH war so freundlich, die Sache noch einmal zu erklären.
Ab Textziffer 23 wird es ein bisschen langweilig, weil der EuGH verschiedene Selbstverständlichkeiten aufzählt: Ziele der DS-GVO, Anforderungen nach Art. 5, im Vorlagefall fehlende Einwilligungen …, bevor er sich ab Textziffer 36 wirklich mit dem berechtigten Interesse befasst. Und mit den Textziffern 38 bis 40 hat er die Vorlagefragen eigentlich schon beantwortet: Nach früheren Entscheidungen des EuGH (zitiert werden C-26/22 und C-64/22) könne „ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten“. Auch aus dem 47. Erwägungsgrund der DS-GVO ergebe sich, dass das Interesse des Verantwortlichen nicht gesetzlich geregelt sein muss, solange es rechtmäßig bleibt – also nicht gegen Gesetze verstößt.
Zum berechtigten Interesse
Wäre die Entscheidung an dieser Stelle beendet, würde sich der Tennisverband freuen. Und ich würde keinen Blog-Beitrag dazu verfassen. Der EuGH geht aber (leider?) noch ein bisschen ins Detail und zerlegt das berechtigte Interesse in drei Prüfschritte:
- Erstens müsse man prüfen, ob der Verantwortliche überhaupt ein berechtigtes Interesse verfolgt. Nach der gerade dargestellten Rechtsprechung des EuGH bedeutet das nur, dass rechtswidrige Interessen ausscheiden. Eine Einbrecherbande kann sich bei Verarbeitung von Wohnanschriften wohlhabender Personen also nicht auf berechtigte Interessen berufen.
- Drittens muss (Textziffer 54 der Entscheidung) eine Interessenabwägung stattfinden, die insbesondere die vernünftigen Erwartungen der betroffenen Person, den Umfang der Datenverarbeitung und ihre Auswirkungen auf Betroffene berücksichtigt. Für den konkreten Fall gibt der EuGH seinen Amsterdamer Kollegen den Hinweis, dass sie bitte genauer prüfen sollen, ob die Mitglieder des Tennisverbands vernünftigerweise absehen konnten, dass ihre Daten gegen Entgelt für Werbe- und Marketingzwecke an Dritte weitergegeben werden. Außerdem sei bei der Interessenabwägung zu beachten, dass die Datenübermittlung an einen Glücksspiel-Anbieter sich auf die Betroffenen nachteilig auswirken könne (Gefahr der Entwicklung einer Spielsucht). Alles in allem auch hinsichtlich der Interessenabwägung nichts Überraschendes, vielleicht mit Ausnahme der originellen Einzelfall-Hinweise des EuGH.
- Und zweitens? Habe ich nicht vergessen, sondern für den Schluss aufgehoben, weil dort der Hase im Pfeffer liegt: Nach Auffassung des EuGH ist für das berechtigte Interesse (auch) „zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die […] Rechte […] auf Schutz personenbezogener Daten eingreifen“ (Textziffer 42). Der EuGH schlussfolgert das aus dem Zusammenlesen von Art. 6 Abs. 1 Satz 1 lit. f) und Art. 5 Abs. 1 lit. c) DS-GVO (Gebot der Datenminimierung). Und er wird dann auch konkret bei der Anwendung auf den Einzelfall: Der Tennisverein könnte vor der Datenweitergabe „seine Mitglieder … informieren und sie fragen, ob sie möchten, dass ihre Daten für Werbungs- oder Marketingzwecke an Dritte weitergegeben werden“ (Textziffer 51). Immerhin: Ob das im konkreten Fall vom Verband zu fordern sei oder er sich vielleicht doch ohne entsprechende Vorab-Befragung auf das berechtigte Interesse berufen kann, ist nach Auffassung des EuGH vom Amsterdamer Gericht zu prüfen (Textziffer 53), also nicht generell klar, sondern einzelfallabhängig. Aber komisch bleibt es doch: Haben wir jetzt einen generellen Vorrang der Einwilligung vor dem berechtigten Interesse? Verständlicher wäre, wenn der EuGH aus dem Grundsatz der Datenminimierung ableiten würde, dass eben auch beim berechtigten Interesse nur die zwingend benötigten Daten verarbeitet werden dürfen. Eine Weitergabe der Geburtsdaten oder der Vereinsbeitragsdaten an Werbe-Unternehmen wäre deshalb nicht erlaubt.
In der abschließenden Zusammenfassung (Textziffer 57) und im Entscheidungstenor (letzter Absatz des Urteils) werden die Formulierungen des EuGH sehr scharf: Auf berechtigtes Interesse könne man sich nur berufen, „wenn die Verarbeitung zur Verwirklichung des in Rede stehenden berechtigten Interesses absolut notwendig ist“. Das Erfordernis absoluter Notwendigkeit der Verarbeitung wurde beim berechtigten Interesse bisher nicht so kategorisch gesehen. Für die Datenschutz-Praxis kann sich daraus erhebliche Rechtsunsicherheit ergeben. Immerhin ist es der EuGH als verbindliche Auslegungs-Autorität, der hier gesprochen hat.
Wenn es auf Formulierungen und Nuancen ankommt, ist im europäischen Recht oft hilfreich, eine andere Sprachfassung desselben Dokuments zu vergleichen. Die Originalsprache des vorliegenden Verfahrens war niederländisch und ist mir leider nicht verständlich. Wählt man im Kopfbereich der Internetseite die englische Sprachfassung, bestätigt sich (leider) das Problem. Dort heißt es, berechtigte Interessen seien anzunehmen, „only in condition that that processing is strictly necessary for the purposes […] in question“. Absolut notwendig und strictly necessary – das sind Anforderungen, die man vom berechtigten Interesse bisher nicht kannte. Ob der EuGH diese harten Formulierungen in künftigen Entscheidungen beibehält oder doch wieder abschwächt, wird man genau beobachten müssen.
Fazit
Als Fazit aus der Entscheidung vom 04. Oktober 2024 bleibt: Die eigentliche Vorlagefrage hat der EuGH unspektakulär und vorhersehbar beantwortet – berechtigte Interessen müssen nicht gesetzlich vorgegeben sein, dürfen aber nicht gegen Gesetze verstoßen. Und anschließend hat das Gericht – wie ich finde: überraschend und ärgerlich – ein neues Problem kreiert … Was meinen Sie?
Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
