Vor einem reichlichen Monat hat der Europäische Gerichtshof (EuGH) am 4. Oktober 2024 das berechtigte Interesse nach Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO näher ausgelegt (Rs. C-621/22), reichlich ein Jahr nach der letzten wichtigen Entscheidung des EuGH zu dieser Bestimmung (Urt. v. 3.8.2023, Rs. C-252/21). Obwohl sich das „neue“ Judikat immer wieder auf das ältere bezieht und der EuGH selbst wohl sogar der Meinung war, die neue Entscheidung sei überflüssig, sorgt sie vielleicht (leider) für Aufregung und Verunsicherung. Man kann sie nämlich (nach meiner Auffassung: miss-)verstehen als enorme Verschärfung der Anforderungen für das berechtigte Interesse.

Zum Aufbau von EuGH-Urteilen

Schauen wir genauer hin: Für echte Informationen über eine EuGH-Entscheidung liest man natürlich am besten und unbedingt immer die EuGH-Entscheidung selbst – nicht einen Blog oder Kommentar wie diesen hier, jedenfalls nicht nur. Das Urteil finden Sie hier im Veröffentlichungs-Portal der Europäischen Union. An vielen anderen Stellen natürlich auch; mir gefällt die Präsentation im Portal aber gut. Außerdem hat sie den Vorteil der Mehrsprachigkeit – dazu kommen wir noch.

Haben Sie das Urteil mal überflogen? Für Erstleser von EuGH-Urteilen ist der Text etwas sperrig. Schon das dritte oder vierte Urteil liest man dann aber ganz routiniert. Bevor wir zum juristischen Kern kommen, einige Kleinigkeiten:

Die Rechtssache C-621/22 betrifft eine Bitte des Bezirksgerichts Amsterdam an den EuGH, bei der Auslegung von Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO zu helfen. Der EuGH ist für die europaweit verbindliche Auslegung des EU-Rechts allein zuständig. Wie wir im Eingangssatz (immerhin eine Seite lang) lernen, hat der EuGH die Frage des niederländischen Gerichts Ende September 2022 erhalten. Bis zur Entscheidung vergingen also ziemlich genau zwei Jahre. Das liegt beim EuGH im Rahmen. Für Beteiligte an den Ausgangsverfahren kommt dieser Zeitaufwand allerdings „on top“.

Der Königliche Niederländische Rasentennisverband (eigene Übersetzung) führt in Amsterdam ein Verfahren gegen die Autoriteit Persoonsgegevens. Wären Sie darauf gekommen, dass sich dahinter die Niederländische Datenschutz-Aufsichtsbehörde verbirgt? Entschieden hat der EuGH durch die 9. Kammer, besetzt mit drei Richtern. Berichterstatterin war die italienische Richterin Rossi. Sie gehörte dem EuGH seit Oktober 2018 an und wurde am 7. Oktober dieses Jahres durch einen neuen italienischen Richter abgelöst. „Unsere“ Entscheidung ist also vielleicht die letzte von ihr verfasste beim EuGH. Zuvor war sie (im vergangenen Jahr) auch Berichterstatterin beim wichtigen Urteil in Sachen Meta (C-252/21); dazu später mehr.

Zum Inhalt des Urteils

Nach dem Eingangssatz ist die ganze Entscheidung – wie EuGH-Urteile generell – in Textziffern gegliedert. Das ist nutzerfreundlich, weil es den Überblick und das Zitieren erleichtert. Die ersten drei Seiten bestehen nur aus Wiedergabe derjenigen Rechtsnormen, die der EuGH für die Entscheidung wichtig findet. Dieses Gesetz-Abschreiben ist beim EuGH üblich und hat den Vorteil, dass man EuGH-Entscheidungen auch ohne Gesetzbuch lesen kann.

Danach werden Ausgangsverfahren und Vorlagefragen berichtet. Wir bekommen vom EuGH also die Geschichte des jeweiligen Verfahrens erzählt, hier von Textziffer 9 bis 22. Kurz zusammengefasst: Der Tennisverband hatte Kontaktdaten seiner Mitglieder (alle Menschen, die einem Tennisverein angehören, der dem Verband beigetreten ist) an einen Sportwaren-Händler und einen Glücksspiel-Anbieter gegen Geld weitergegeben. Über deren Werbung beschwerten sich dann einige Empfänger bei der Datenschutzaufsicht und die verhängte eine Geldbuße von 525.000 Euro gegen den Verband. Der wiederum klagte gegen das Bußgeld beim Bezirksgericht Amsterdam und – schwupps – war man beim EuGH in Luxemburg.

Die gegensätzlichen Rechtsauffassungen der Aufsichtsbehörde und des Tennisverbands finden sich in Textziffern 16 und 17: Da es keine Einwilligung für die Datenweitergabe gab, berief sich der Tennisverband auf Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO, also sein berechtigtes Interesse. Die Aufsichtsbehörde argumentierte, ein berechtigtes Interesse nach DS-GVO müsse vom Gesetzgeber positiv festgelegt sein. Berechtigte Interessen wären nur „zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen“. Der Verband wiederum meinte, als berechtigtes Interesse Im Sinne der DS-GVO komme jedes Interesse des Verantwortlichen in Betracht, solange es nicht gesetzeswidrig sei (negative Abgrenzung).

Die Auffassung des Verbandes dürfte der bisher ganz herrschenden Meinung in Deutschland entsprechen. Konkretes Beispiel, das für die EuGH-Entscheidung relevant war: Ist das Interesse an Werbung oder an Sponsoring-Geldern nur dann ein berechtigtes Interesse, wenn der Gesetzgeber irgendwo erwähnt, dass Unternehmen Werbung betreiben und Sponsoring-Gelder einnehmen dürfen?

In Textziffer 19 sind die Vorlagefragen des Bezirksgerichts Amsterdam abgedruckt und anschließend lernen wir in Textziffer 20 bis 22, dass der EuGH der Meinung war, er habe diese Fragen mit seiner Entscheidung im Verfahren C-252/21 am 4. Juli 2023 schon beantwortet. Das Bezirksgericht Amsterdam sah es jedoch anders und der EuGH war so freundlich, die Sache noch einmal zu erklären.

Ab Textziffer 23 wird es ein bisschen langweilig, weil der EuGH verschiedene Selbstverständlichkeiten aufzählt: Ziele der DS-GVO, Anforderungen nach Art. 5, im Vorlagefall fehlende Einwilligungen …, bevor er sich ab Textziffer 36 wirklich mit dem berechtigten Interesse befasst. Und mit den Textziffern 38 bis 40 hat er die Vorlagefragen eigentlich schon beantwortet: Nach früheren Entscheidungen des EuGH (zitiert werden C-26/22 und C-64/22) könne „ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten“. Auch aus dem 47. Erwägungsgrund der DS-GVO ergebe sich, dass das Interesse des Verantwortlichen nicht gesetzlich geregelt sein muss, solange es rechtmäßig bleibt – also nicht gegen Gesetze verstößt.

Zum berechtigten Interesse

Wäre die Entscheidung an dieser Stelle beendet, würde sich der Tennisverband freuen. Und ich würde keinen Blog-Beitrag dazu verfassen. Der EuGH geht aber (leider?) noch ein bisschen ins Detail und zerlegt das berechtigte Interesse in drei Prüfschritte:

• Erstens müsse man prüfen, ob der Verantwortliche überhaupt ein berechtigtes Interesse verfolgt. Nach der gerade dargestellten Rechtsprechung des EuGH bedeutet das nur, dass rechtswidrige Interessen ausscheiden. Eine Einbrecherbande kann sich bei Verarbeitung von Wohnanschriften wohlhabender Personen also nicht auf berechtigte Interessen berufen.
  
• Drittens muss (Textziffer 54 der Entscheidung) eine Interessenabwägung stattfinden, die insbesondere die vernünftigen Erwartungen der betroffenen Person, den Umfang der Datenverarbeitung und ihre Auswirkungen auf Betroffene berücksichtigt. Für den konkreten Fall gibt der EuGH seinen Amsterdamer Kollegen den Hinweis, dass sie bitte genauer prüfen sollen, ob die Mitglieder des Tennisverbands vernünftigerweise absehen konnten, dass ihre Daten gegen Entgelt für Werbe- und Marketingzwecke an Dritte weitergegeben werden. Außerdem sei bei der Interessenabwägung zu beachten, dass die Datenübermittlung an einen Glücksspiel-Anbieter sich auf die Betroffenen nachteilig auswirken könne (Gefahr der Entwicklung einer Spielsucht). Alles in allem auch hinsichtlich der Interessenabwägung nichts Überraschendes, vielleicht mit Ausnahme der originellen Einzelfall-Hinweise des EuGH.
  
• Und zweitens? Habe ich nicht vergessen, sondern für den Schluss aufgehoben, weil dort der Hase im Pfeffer liegt: Nach Auffassung des EuGH ist für das berechtigte Interesse (auch) „zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die […] Rechte […] auf Schutz personenbezogener Daten eingreifen“ (Textziffer 42). Der EuGH schlussfolgert das aus dem Zusammenlesen von Art. 6 Abs. 1 Satz 1 lit. f) und Art. 5 Abs. 1 lit. c) DS-GVO (Gebot der Datenminimierung). Und er wird dann auch konkret bei der Anwendung auf den Einzelfall: Der Tennisverein könnte vor der Datenweitergabe „seine Mitglieder … informieren und sie fragen, ob sie möchten, dass ihre Daten für Werbungs- oder Marketingzwecke an Dritte weitergegeben werden“ (Textziffer 51). Immerhin: Ob das im konkreten Fall vom Verband zu fordern sei oder er sich vielleicht doch ohne entsprechende Vorab-Befragung auf das berechtigte Interesse berufen kann, ist nach Auffassung des EuGH vom Amsterdamer Gericht zu prüfen (Textziffer 53), also nicht generell klar, sondern einzelfallabhängig. Aber komisch bleibt es doch: Haben wir jetzt einen generellen Vorrang der Einwilligung vor dem berechtigten Interesse? Verständlicher wäre, wenn der EuGH aus dem Grundsatz der Datenminimierung ableiten würde, dass eben auch beim berechtigten Interesse nur die zwingend benötigten Daten verarbeitet werden dürfen. Eine Weitergabe der Geburtsdaten oder der Vereinsbeitragsdaten an Werbe-Unternehmen wäre deshalb nicht erlaubt.

In der abschließenden Zusammenfassung (Textziffer 57) und im Entscheidungstenor (letzter Absatz des Urteils) werden die Formulierungen des EuGH sehr scharf: Auf berechtigtes Interesse könne man sich nur berufen, „wenn die Verarbeitung zur Verwirklichung des in Rede stehenden berechtigten Interesses absolut notwendig ist“. Das Erfordernis absoluter Notwendigkeit der Verarbeitung wurde beim berechtigten Interesse bisher nicht so kategorisch gesehen. Für die Datenschutz-Praxis kann sich daraus erhebliche Rechtsunsicherheit ergeben. Immerhin ist es der EuGH als verbindliche Auslegungs-Autorität, der hier gesprochen hat.

Wenn es auf Formulierungen und Nuancen ankommt, ist im europäischen Recht oft hilfreich, eine andere Sprachfassung desselben Dokuments zu vergleichen. Die Originalsprache des vorliegenden Verfahrens war niederländisch und ist mir leider nicht verständlich. Wählt man im Kopfbereich der Internetseite die englische Sprachfassung, bestätigt sich (leider) das Problem. Dort heißt es, berechtigte Interessen seien anzunehmen, „only in condition that that processing is strictly necessary for the purposes […] in question“. Absolut notwendig und strictly necessary – das sind Anforderungen, die man vom berechtigten Interesse bisher nicht kannte. Ob der EuGH diese harten Formulierungen in künftigen Entscheidungen beibehält oder doch wieder abschwächt, wird man genau beobachten müssen.

Fazit

Als Fazit aus der Entscheidung vom 04. Oktober 2024 bleibt: Die eigentliche Vorlagefrage hat der EuGH unspektakulär und vorhersehbar beantwortet – berechtigte Interessen müssen nicht gesetzlich vorgegeben sein, dürfen aber nicht gegen Gesetze verstoßen. Und anschließend hat das Gericht – wie ich finde: überraschend und ärgerlich – ein neues Problem kreiert … Was meinen Sie?

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Gemäß Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO ist eine Verarbeitung personenbezogener Daten dann rechtmäßig, wenn jene Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und sofern nicht die Interessen oder Grundrechte und Grundfreiheiten von der Datenverarbeitung betroffener Personen überwiegen. Eine solche Interessenabwägung führt in der Datenschutz-Praxis nicht selten zu Unsicherheiten bei der Anwendung: Welche Interessen können als berechtigte Interessen angeführt werden? Inwieweit kann eine Verarbeitung auf Grundlage des berechtigten Interesses als erforderlich angesehen werden? Welche Inhalte müssen in eine Interessenabwägung einfließen? Der nachfolgende Blog-Beitrag gibt einen kurzen Überblick über jüngste Entwicklungen.

Aktuelle Entscheidung des Europäischen gerichtshofes

In einem kürzlich ergangenen Urteil des Europäischen Gerichtshofes (EuGH, Urt. v. 4. Oktober 2024, C-621/22) setzte sich das Gericht näher mit dem berechtigten Interesse auseinander. Konkret ging es im vorliegenden Fall um die Weitergabe personenbezogener Daten von Mitgliedern eines Sportverbandes zu Werbezwecken an Sponsoren. Mit Verweis auf das Urteil vom 7. Dezember 2023 (C-26/22 und C-64/22) betont der EuGH zunächst erneut, dass grundsätzlich ein breites Spektrum von Interessen als berechtigt gelte, wobei derartige Interessen weder gesetzlich verankert noch bestimmt, jedoch in jedem Falle rechtmäßig sein müssen. Weiterhin müsse die Datenverarbeitung das mildeste Mittel zur Zweckerreichung darstellen und objektiv erforderlich sein.

Im Bezug zu dem betreffenden Fall verweist der EuGH darauf, dass legitime wirtschaftliche Interessen grundsätzlich berechtigte Interessen darstellen können. Jedoch hat der Verantwortliche darüber hinaus die Erfüllung aller weiteren Verpflichtungen der DS-GVO sicherzustellen. Insbesondere ist im Rahmen der Erforderlichkeit und hinsichtlich des Vorliegens milderer Mittel vorab zu prüfen, ob die vorherige Information und Abfrage einer Einwilligung gegenüber den betroffenen Personen ebenso möglich wären. Hierdurch könne seitens der betroffenen Personen eine bessere Kontrolle der Offenlegung ihrer personenbezogenen Daten erreicht werden. Es läge somit ein geringerer Eingriff in die Rechte der betroffenen Personen vor, wobei – nach Auffassung des EuGH – möglicherweise seitens des Verantwortlichen dennoch die verfolgten Zwecke erreicht werden könnten.

Ergänzend hebt der EuGH unter Bezugnahme des Erwägungsgrund 47 der DS-GVO hervor, dass im Rahmen der vorzunehmenden Interessenabwägung ebenfalls zu berücksichtigen ist, ob die betroffenen Personen vernünftigerweise mit der Verarbeitung ihrer personenbezogenen Daten rechnen konnten und ob eine maßgebliche und angemessene Beziehung zwischen den betroffenen Personen und dem Verantwortlichen besteht. Konkretere Darstellungen zum berechtigten Interesse lassen sich aus dem aktuellen Urteil nicht entnehmen. Mit Blick auf die Rechtssprechungspraxis des EuGH vermag dies nicht zu überraschen, den Herausforderungen in der Praxis kann hiermit jedoch nur unzureichend begegnet werden.

Leitlinien des Europäischen Datenschutzausschusses

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Specht-Riemenschneider, hingegen äußerte sich in einer aktuellen Pressemitteilung zum berechtigten Interesse für die Zukunft optimistisch und verwies in diesem Zusammenhang auf eine am 8. Oktober 2024 veröffentlichte Leitlinie des Europäischen Datenschutzausschusses (EDSA): „Die Definition des ‚berechtigten Interesses‘ ist schon seit Einführung der Datenschutz-Grundverordnung Anlass für Diskussionen. Gerade für das Verhältnis zwischen Wirtschaft und Privatpersonen ist entscheidend, wann Daten auf dieser Grundlage verarbeitet werden dürfen. Deshalb ist es sehr gut, dass der Europäische Datenschutzausschuss seine Leitlinien zu diesem Thema vorgelegt hat. Ich verspreche mir davon mehr Rechtssicherheit für die Bürgerinnen und Bürger, aber eben auch für die Unternehmen.“

Doch welche Klarstellungen erfolgen durch die Leitlinien des EDSA tatsächlich? Werfen wir einen kurzen Blick in die jüngst veröffentliche Version. Deutlich wird hierbei, dass die Leitlinie bereits die Anforderungen des EuGH aus dem Urteil vom 4. Oktober 2024 mit berücksichtigt:

• Die Rechtsgrundlage des berechtigten Interesses sollte weder überdehnt werden noch als „letztes Mittel“ angesehen werden. Die Berufung auf das berechtigte Interesse setzt jedoch ein methodisches Vorgehen sowie vorab eine sorgfältige Bewertung der Verarbeitung voraus (Rn. 9).

• Eine abschließende Auflistung berechtigter Interessen kann es bereits aufgrund einer fehlenden Definition innerhalb der DS-GVO nicht geben. Eine Vielzahl von Interessen können als berechtigte Interessen angesehen werden, zum Beispiel der Zugang zu Online-Informationen, die Gewährleistung des Funktionierens öffentlicher Internetseiten oder die Verarbeitung personenbezogener Daten zum Schutze des Eigentums (Rn. 16).

• Ein berechtigtes Interesse kann in der Regel dann als rechtmäßig angesehen, wenn es nicht gegen europäisches Recht verstößt, klar und präzise formuliert ist und auch tatsächlich derzeit besteht. Es dürfen keine hypothetischen oder in der Zukunft gegebenenfalls vorliegenden Interessen verfolgt werden (Rn. 17).

• Im Rahmen einer Interessenabwägung müssen Verantwortliche folgende Faktoren einbeziehen: die Interessen, Grundrechte und Freiheiten betroffener Personen, die Auswirkungen der Verarbeitung auf die betroffenen Personen (Art der Daten, Kontext der Verarbeitung, Folgen der Verarbeitung), die berechtigten Erwartungen betroffener Personen sowie abmildernde Maßnahmen (Rn. 32).

• Eine bloße Erfüllung der Informationspflichten nach DS-GVO allein reicht nicht aus, um davon ausgehen zu können, dass die betroffene Person eine bestimmte Verarbeitung vernünftigerweise erwarten konnte. Zu berücksichtigen sind hierbei insbesondere die Beziehung zwischen Verantwortlichem und betroffener Person sowie die Eigenschaften der „durchschnittlichen“ betroffenen Person, zum Beispiel Alter, die (berufliche) Stellung und der Grad des Verständnisses im Kontext (Rn. 54).

• Weiterhin wird die besondere Bedeutung der Gewährleistung von Betroffenenrechten im Kontext des berechtigten Interesses dargestellt (Rn. 61 ff.).

• Auch Behörden können – in außergewöhnlichen und begrenzten Fällen – Verarbeitungen auf die Rechtsgrundlage des berechtigten Interesses stützen, soweit die Verarbeitung nicht in Erfüllung der ihnen obliegenden Aufgaben erfolgt bzw. mit Ihnen zusammenhängt (Rn. 99).

Im Rahmen der ausführlichen Darstellungen und Begründungen werden ebenfalls eine Reihe unterschiedlicher Praxisfälle eingeordnet. Insofern sind die Leitlinien auf jeden Fall als sinnvolle Orientierung für die Datenschutz-Praxis geeignet. Inwieweit sich einzelne Ausführungen in Zukunft noch geringfügig ändern werden, wird sich zeigen: Für die bereitgestellten Leitlinien des EDSA läuft bis einschließlich 20. November 2024 das öffentliche Konsultationsverfahren.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Viele Unternehmen halten aus verschiedensten Anlässen Veranstaltungen und laden hierzu ein teilweise beträchtliches Publikum ein. Sei es ein Jubiläum oder Tag der offenen Türen für den potenziellen Nachwuchs: Veranstalter sind nahezu ausnahmslos daran interessiert, das Event für Werbezwecke online zu nutzen. Aus diesem Grund werden Events häufig fotografisch begleitet. Die Fotografien werden dann schnellstmöglich auf der Website des Unternehmens veröffentlicht.

Datenschutzrechtliche Implikationen

Sind jedoch Personen auf den Fotos erkennbar, bzw. identifizierbar, konkurrieren die unternehmerischen Interessen des Veranstalters mit den Regelungen des Datenschutzes. Daher sind bei der Anfertigung von Veranstaltungsfotografien einige datenschutzrechtliche Hürden zu beachten. Nicht selten werden ohne Kenntnis der Teilnehmerinnen und Teilnehmer Fotos gemacht, welche dann in den jeweiligen Internetpräsenzen, ebenfalls ohne deren Wissen, veröffentlicht werden. So landet schnell mal ein Bild eines Gastes gegen den Willen im Internet, potenziell für viele Millionen Menschen zugänglich. Dies kann nicht nur zu großer Verärgerung und sogar wirtschaftlichen Schäden der betroffenen Person führen, sondern auch zu schweren rechtlichen Konsequenzen für den jeweiligen Veranstalter.

Rechtsgrundlagen

Die Aufnahme und Veröffentlichung von Fotografien, auf denen Personen identifizierbar sind, erfüllen den Tatbestand einer Verarbeitung i.S.d Art. 4 Nr. 2 DS-GVO. Aus diesem Grund müssen die Aufnahmen auf Basis einer Rechtsgrundlage erfolgen. Mögliche Rechtsgrundlagen sind:

Berechtigtes Interesse gemäß Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO
Die Verarbeitung auf Basis eines berechtigten Interesses kann insbesondere dann herangezogen werden, wenn die Aufnahmen zur Dokumentation einer Veranstaltung angefertigt werden sollen und hierbei die Abbildung einzelner Personen oder Personengruppen in den Hintergrund rückt. Nach Auffassung des Oberverwaltungsgerichts Lüneburg (OVG Lüneburg, Beschl. v. 19.1.2021 – 11 LA 16/20) ist die Anfertigung auf Grundlage des berechtigten Interesses nicht möglich, sofern einzelne Personen auf den Aufnahmen identifiziert werden können. Das bedeutet also, dass die fotografische Dokumentation einer Veranstaltung ohne Einwilligung der Gäste möglich ist, wenn sie auf den Fotos nicht erkennbar sind.

Ein berechtigtes Interesse der verantwortlichen Stelle ist zudem regelmäßig bei der Aufnahme von Kindern und Jugendlichen zu verneinen. Hier bedarf es stets der Einwilligung aller Sorgeberechtigten.

Einwilligung gemäß Art. 6 Abs. 1 Satz 1 lit. a) DS-GVO
Die Einwilligung ist dann als Grundlage für die Anfertigung und Veröffentlichung von Aufnahmen heranzuziehen, soweit eine Aufnahme einzelner Personen oder Personengruppen beabsichtigt wird, diese identifizierbar sind und der Verarbeitungszweck nicht ausschließlich in der Dokumentation der Veranstaltung besteht. Eine Einwilligung ist jedoch nur dann wirksam, wenn diese die zahlreichen Anforderungen entsprechend des Art. 7 DS-GVO erfüllt. Bei größeren Veranstaltungen kann es sehr schwierig und aufwendig sein, die Teilnehmenden einwilligen zu lassen. Zu berücksichtigen ist, dass eine Einwilligung nicht zwangsläufig schriftlich vorliegen muss, sondern auch durch eine eindeutige bestätigende Handlung (z.B. ein Posieren vor der Kamera) erfolgen kann. Hierbei können sich jedoch im Anschluss Schwierigkeiten bei der Nachweisbarkeit (Art. 5 Abs. 2 DS-GVO) ergeben.

Grundsätzlich zu berücksichtigen ist, dass eine Einwilligung stets freiwillig erteilt werdem muss und die Verweigerung der Einwilligung somit nicht zum Ausschluss von der Veranstaltung führen darf.

Unsere Empfehlung für die Praxis

Tatsächlich ist die Aufnahme von Fotos auf Veranstaltungen ohne explizite, nachweisbare Einwilligung schwierig. Aus diesem Grund empfehlen wir Ihnen, die fotografierende Person anzuweisen, ausschließlich „allgemeine“ Fotografien der Veranstaltung aufzunehmen, auf denen Personen nicht deutlich erkennbar und identifizierbar sind. Dies kann zum Beispiel umgesetzt werden, indem Gäste nur von hinten abgelichtet werden. Verzichten Sie am besten auf Portraits. Personen, die mit der Veranstaltungsfotografie nicht damit einverstanden sind, können beispielsweise ein farbiges Schlüsselband erhalten, sodass diese für die fotografierende Person erkennbar sind. Dies ergibt jedoch nur Sinn, wenn eine große Anzahl an Fotos angefertigt werden soll.

Falls dennoch Aufnahmen angefertigt werden sollen, auf denen Personen eindeutig erkennbar sind, sollte zumindest nach einer mündlichen Einwilligung gefragt werden. Die mündliche Einwilligung der betroffenen Person ist zwar schwieriger nachzuweisen, wenn die abgebildete Person jedoch eindeutig vor der Kamera posiert, kann dies unter Umständen als Nachweis ausreichen.

Achten Sie in jedem Fall darauf, Ihre Gäste noch vor Betreten des Veranstaltungsgeländes bzw. des Raumes über die mögliche Anfertigung von Fotos zu informieren. Die Information muss dabei den inhaltlichen Anforderungen des Art. 13 DS-GVO entsprechen.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Unter dem Begriff der „Videoüberwachung“ ist in datenschutzrechtlicher Hinsicht jegliche Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen zu verstehen. Ein „Raum“ ist bereits dann als öffentlich zugänglich zu definieren, wenn nicht hinreichend ausgeschlossen werden kann, dass unbeteiligte Dritte diesen passieren. Dementsprechend kann auch ein abgesicherter Baustellenbereich im Rahmen einer Videoüberwachung bereits als öffentlich zugänglicher Raum angesehen werden.

RECHTSGRUNDLAGEN

In der Datenschutz-Grundverordnung (DS-GVO) finden sich zum Thema Videoüberwachung keine expliziten Rechtsgrundlagen. Lediglich im Bundesdatenschutzgesetz (BDSG), genauer im § 4 BDSG, ist die Zulässigkeit einer Videoüberwachung öffentlich zugänglicher Räume normiert. Nach dem Urteil des Bundesverwaltungsgerichts vom 27. März 2019 ist diese Norm jedoch teilweise europarechtswidrig und somit für nicht-öffentliche verantwortliche Stellen nicht anwendbar. Aus diesem Grund ist bei einer Videoüberwachung in der Regel allein auf die allgemeine Norm des Art. 6 Abs. 1 Satz 1 lit. f DS-GVO (Interessenabwägung) abzustellen.

Darüber hinaus ergeben sich für öffentliche Stellen der Länder oftmals aus dem jeweiligen Landesrecht spezifische Rechtsgrundlagen, zum Beispiel in Sachsen aus § 13 Sächsisches Datenschutzdurchführungsgesetz (SächsDSDG) oder in Brandenburg aus § 28 Brandenburgisches Datenschutzgesetz (BbgDSG).

Sollten im Rahmen einer Videoüberwachung, beispielsweise mithilfe einer Gesichtserkennungssoftware, biometrische Daten verarbeitet werden, ist ebenfalls der Anwendungsbereich des Art. 9 DS-GVO (Verarbeitung besonderer Kategorien personenbezogener Daten) eröffnet. Findet eine Videoüberwachung hingegen ausschließlich zur Ausübung persönlicher oder familiären Tätigkeiten statt, das heißt eine Videoüberwachung un-beteiligter Dritter ist ausgeschlossen, finden die Regelungen der DS-GVO keine Anwendung. Hierbei ist dennoch stets das allgemeine Persönlichkeitsrecht zu achten. Die Anzahl der Anwendungsfälle für die Ausnahmeregelung hinsichtlich des persönlich-familiären Bereichs gemäß Art. 2 Abs. 2 lit. c DS-GVO dürfte im Zusammenhang mit einer Videoüberwachung jedoch entsprechend gering sein.

INTERESSENABWÄGUNG

Entsprechend des Art. 6 Abs. 1 Satz 1 lit. f DS-GVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn diese zur Wahrung eines berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich ist. Zusätzlich ist jedoch zu prüfen, ob möglicherweise die Interessen oder Grundrechte und Grundfreiheiten betroffener Personen überwiegen. Zusammenfassend bedarf es somit drei wesentlicher Elemente: Die Wahrung berechtigter Interessen, die Erforderlichkeit einer Videoüberwachung sowie einer Interessenabwägung zwischen den Interessen des Verantwortlichen und denen des Betroffenen.

Hinsichtlich eines berechtigten Interesses bei einer Videoüberwachung kann sowohl auf das des Verantwortlichen als auch auf das eines Dritten, beispielsweise eines Ladenmieters in einem Einkaufszentrum verwiesen werden. In diesem Zusammenhang können unter anderem die Beweissicherung durch Aufzeichnung und die hieraus ermöglichte Geltendmachung zivilrechtlicher Schadensersatzansprüche ein berechtigtes Interesse darstellen.

Weiterhin muss eine Videoüberwachung auch erforderlich sein. Das bedeutet, es ist zu hinterfragen, ob das festgelegte Ziel durch eine Videoüberwachung erreicht werden kann und ob unter Umständen nicht sogar ein anderes, weniger in die Rechte der betroffenen Personen eingreifendes Mittel, die gleiche Wirkung erzielen könnte. In Betracht kommen hier beispielsweise der Einsatz von Sicherheitspersonal oder ein Echtzeit-Monitoring anstatt einer Videoaufzeichnung.

Bei der anschließenden Interessenabwägung sind die gegebenenfalls entgegenstehenden Interessen beziehungsweise Grundrechte und Grundfreiheiten der betroffenen Personen zu berücksichtigen. Sofern diese die Interessen der verantwortlichen Stelle überwiegen, kann eine Videoüberwachung in der geplanten Form nicht durchgeführt werden.

Im Rahmen der Interessenabwägung sind insbesondere die vernünftigen Erwartungen betroffener Personen im konkreten Einzelfall zu berücksichtigen. Entscheidend ist auch, inwiefern eine Videoüberwachung typischerweise akzeptiert oder abgelehnt wird. Ein strengerer Maßstab gilt bei einer Videoüberwachung von Beschäftigten. Gänzlich abgelehnt wird eine Videoüberwachung hingegen im Nachbarschaftskontext, in Behandlungs- und Wartezimmern, in Ruhe- und Pausenräumen sowie in Toiletten- und Umkleidebereichen. Eine Videoüberwachung in diesen Umgebungen wird stets als unzulässig einzustufen sein. Aber auch die Videoüberwachung öffentlicher Verkehrsräume darf in der Regel nicht vorgenommen werden.

WEITERE ANFORDERUNGEN

Insbesondere nach Art. 25 und Art. 32 DS-GVO ist auch bei der Einführung einer Videoüberwachung auf eine sichere und datenschutzfreundliche Gestaltung zu achten. Dies beinhaltet neben einer möglichen zeitlichen Einschränkung auch die räumliche Einschränkung der Videoüberwachung. Wird mit der Videoüberwachung die Beobachtung eines Betriebsgeländes beabsichtigt, müssen Bereiche, die nicht zu dem Betriebsgelände gehören ausgeblendet oder verpixelt werden. Nicht benötigte Funktionalitäten, wie zum Beispiel die Schwenkbarkeit, Zoomfähigkeit sowie Audioaufnahme sollte durch die Überwachungstechnik nicht unterstützt oder zumindest vor Inbetriebnahme deaktiviert werden.

Zusätzlich ist vor der Inbetriebnahme der Videoüberwachung die/der Datenschutzbeauftragte zu kontaktieren. Diese/r berät nicht nur hinsichtlich der technischen Ausgestaltung, sondern überprüft auch, inwiefern im Einzelfall eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO notwendig ist. Weiterhin wird die/der Datenschutzbeauftragte auch bei der Erstellung und Anpassung der entsprechenden Einträge in das Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DS-GVO unterstützend tätig.

LÖSCHFRISTEN

Wie bei allen personenbezogenen Daten, sind auch die Daten der Videoüberwachung gemäß Art. 17 Abs. 1 lit. a DS-GVO umgehend zu löschen, wenn diese zur Erreichung der Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind. Durch die Aufsichtsbehörden wird die Meinung vertreten, dass regelmäßig innerhalb von zwei Tagen entschieden werden kann, ob eine Sicherung des Videomaterials zur weiteren Verfolgung der Zwecke notwendig ist. Dementsprechend gilt vor allem unter der Berücksichtigung des Grundsatzes der Datenminimierung und der Speicherbegrenzung eine Löschfrist von höchstens 48 Stunden, sofern besondere Umstände nicht eine längere Speicherdauer begründen können.

HINWEISBESCHILDERUNG

Zudem fordert die DS-GVO eine transparente Datenverarbeitung. Daraus folgt, dass auch bei einer Videoüberwachung die Informationspflichten nach Art. 13 DS-GVO einzuhalten sind. Hierbei sind mindestens Angaben zur Identität des Verantwortlichen, die Kontaktdaten der/des Datenschutzbeauftragten, die Verarbeitungszwecke und Rechtsgrundlage, die Dauer der Speicherung sowie der Hinweis auf die Betroffenenrechte vorzunehmen. Diese Informationen müssen der betroffenen Person in gut lesbarer und verständlicher Weise bereitgestellt werden, möglichst noch bevor diese den videoüberwachten Bereich betritt.

SANKTIONEN

Grundsätzlich können Sich betroffene Personen nach Art. 77 DS-GVO bei einer Aufsichtsbehörde beschweren, wenn diese der Ansicht sind, dass eine Verarbeitung personenbezogener Daten rechtswidrig erfolgt. Die Aufsichtsbehörde kann im Rahmen einer Sanktionierung insbesondere Bußgelder erlassen oder eine weitere V-deoüberwachung versagen beziehungsweise mit Auflagen belegen.

WEITERFÜHRENDE INFORMATIONEN

Weiterführende Informationen zum Thema Videoüberwachung erhalten Sie auf den Internetseiten der jeweiligen Aufsichtsbehörden sowie im Kurzpapier Nr. 15 der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK). Darüber hinaus erhalten Sie die Informationen dieses Beitrages auch in unserem Leitfaden „Videoüberwachung – Datenschutzrechtliche Grundlagen und Hinweise für verantwortliche Stellen, die eine Videoüberwachung bereits durchführen oder die Einführung einer Videoüberwachung beabsichtigen“. Darin enthalten sind ebenfalls zwei Beispiele einer möglichen Hinweisbeschilderung.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

SACHVERHALT

Im Rahmen einer öffentlichen Veranstaltung eines Ortsvereins einer politischen Partei mit insgesamt rund 70 Teilnehmenden nahm einer der Veranstaltungsteilnehmer ein Foto auf, auf welchem ein Großteil der Teilnehmenden abgebildet war. Hierunter auch der Vorsitzende des Ortsvereins sowie das Ehepaar F. Dieses Foto wurde durch denselben Ortsverein vier Jahr später in einem sozialen Netzwerk veröffentlicht. Herr F. wandte sich hierauf mit Verweis auf das für die Veröffentlichung fehlende erforderliche Einverständnis an den Ortsverein und forderte diesen zur Stellungnahme und Löschung auf. Zudem legte Herr F. bei der zuständigen Datenschutzaufsichtsbehörde Beschwerde ein, welche umgehend ein aufsichtsbehördliches Prüfverfahren einleitete. Der Ortsverein führte aus, dass die Veröffentlichung weder gegen die Datenschutz-Grundverordnung (DS-GVO) noch gegen das Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie (KUG) verstoße. Gegen die daraufhin ergangene aufsichtsbehördliche Verwarnung erhob der Ortsverein Klage. Das Verwaltungsgericht Hannover bestätigte erstinstanzlich den Bescheid (VG Hannover, Urt. v. 27.11.19 – 10 A 820/19), das OVG lehnte nunmehr den Antrag auf Berufungszulassung ab.

ENTSCHEIDUNGSGRÜNDE UND AUSWIRKUNGEN AUF DIE PRAXIS

Die Veröffentlichung von Fotografien innerhalb eines sozialen Netzwerkes stellt nach Ansicht des OVG unstreitig eine Verarbeitung personenbezogener Daten unter gemeinsamer Verantwortlichkeit des Betreibers der jeweiligen Seite mit dem Betreiber des sozialen Netzwerkes dar. Die streitgegenständliche Datenverarbeitung sei nach Art. 5 Abs. 1 i.V.m. Art. 6 Abs. 1 DS-GVO nicht gerechtfertigt und mithin als Verstoß gegen die DS-GVO zu werten. Die Veröffentlichung der Fotografien könne unter anderem weder auf die Rechtsgrundlagen des berechtigten Interesses gemäß Art. 6 Abs. 1 S. 1 lit. f DS-GVO noch auf die spezialgesetzlichen Regelungen der §§ 22, 23 KUG i.V.m. Art. 85 Abs. 2 DS-GVO gestützt werden.

Das OVG legte dar, dass es im vorliegenden Fall grundsätzlich an der Erforderlichkeit der konkreten Datenverarbeitung fehlte. Darüber hinaus haben im Rahmen einer Interessenabwägung des Ortsvereins die entgegenstehenden Rechte und Interessen der betroffenen Personen lediglich in unzureichendem Umfang Eingang gefunden. Weiterhin entspricht die konkrete Datenverarbeitung auch nicht den vernünftigen Erwartungen der betroffenen Personen. Die Anwendung der spezialgesetzlichen Normen der §§ 22, 23 KUG i.V.m. Art. 85 Abs. 2 DS-GVO scheidet zudem aufgrund eines fehlenden journalistischen Verarbeitungszweckes aus.

Für die Praxis ergeben sich aus dem Urteil für die Veröffentlichung von Fotografien wichtige Hinweise, insbesondere welche Kriterien im Rahmen einer Interessenabwägung einbezogen werden sollten. Hierzu zählen unter anderem der Aspekt der Erforderlichkeit, die näheren Umstände der Anfertigung sowie das Veröffentlichungsmedium und der Zeitpunkt der Veröffentlichung.

Eine umfassende Darstellung der Entscheidungsgründe sowie der Auswirkungen und Handlungsempfehlungen für die Praxis können Sie unserem Beitrag „Veröffentlichung von Gruppenfotos in sozialen Netzwerken“ entnehmen, welcher in der Ausgabe Nr. 04/2021 des DATENSCHUTZ-BERATER erschienen ist. Den Beitrag können Sie in der digitalen Fassung hier abrufen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.