Rechtsgrundlage berechtigtes Interesse: Häufig nicht so ganz einfach

In unserem Blog-Artikel zur Datenminimierung sind wir bereits kurz auf die Anforderungen bei der Begründung eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO eingegangen. Aufgrund der nachfolgend bei uns eingegangenen Anfragen zu diesem Thema und den Diskussionen zur Fragestellung „was genau muss ich denn jetzt machen, wenn ich ein berechtigtes Interesse als Rechtsgrundlage nutzen möchte?“, widmen wir dem Thema hier einen ausführlichen, eigenen Beitrag und spielen an einem Beispiel, das unlängst den EuGH beschäftigte, die drei Prüfschritte durch.

Nach Rechtsprechung des EuGH müssen folgende Voraussetzungen kumulativ vorliegen, damit eine Anwendbarkeit des Art. 6 Abs. 1 lit. f DSGVO in Betracht kommt:

1. Beim Verantwortlichen muss ein berechtigtes Interesse vorliegen.
2. Die Verarbeitung muss zur Erreichung dieses Ziels erforderlich sein, d.h. es darf keine weniger invasiven Maßnahmen geben, die den gleichen Erfolg erwarten lassen.
3. Die schutzwürdigen Interessen der betroffenen Person dürfen das berechtigte Interesse des Verantwortlichen nicht überwiegen, es ist also eine Interessenabwägung durchzuführen.

Beispielfall: Koninklijke Nederlandse Lawn Tennisbond gegen Autoriteit Persoonsgegevens

Der Beginn dieses Verfahrens liegt schon einige Zeit zurück. Eine Zusammenfassung des Sachverhalts liefern die Feststellungen des EuGH (Rn. 10-12 C-621/22), wir zitieren der Einfachheit halber:

¹⁰Im Jahr 2018 legte der [Koninklijke Nederlandse Lawn Tennisbond (Königlicher Niederländischer Rasentennisverband, im Folgenden: KNLTB)] gegenüber zweien seiner Sponsoren, der SportshopsDirect BV (im Folgenden: TennisDirect), einer Gesellschaft, die Sportartikel vertreibt, und der Nederlandse Loterij Organisatie BV (im Folgenden: NLO), dem größten Anbieter von Glücks- und Kasinospielen in den Niederlanden, personenbezogene Daten seiner Mitglieder offen. Für die Bereitstellung der betreffenden personenbezogenen Daten erhielt der KNLTB von seinen Sponsoren ein Entgelt.

¹¹Insbesondere stellte der KNLTB TennisDirect am 11. Juni 2018 die Namen, Anschriften und Wohnorte seiner Mitglieder für den postalischen Versand eines Werbebriefs bereit. […]

¹²Außerdem legte der KNLTB gegenüber der NLO am 29. Juni 2018 neben den Namen, Anschriften und Wohnorten seiner Mitglieder deren Geburtsdaten, Festnetznummern, Mobiltelefonnummern und E‑Mail-Adressen sowie die Namen der Tennisclubs offen, denen diese Mitglieder angehörten. Zweck dieser Bereitstellung war eine Telefonwerbemaßnahme, in deren Rahmen die NLO diese Daten an die von ihr beauftragten Callcenter übermittelte.

Die zuständige Aufsichtsbehörde Autoriteit Persoonsgegevens (folgend AP) verhängte daraufhin eine Geldbuße in Höhe von 525.000 Euro gegen den KNLTB, da der KNLTB die Daten seiner Mitglieder nach ihrer Ansicht ohne wirksame Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO weitergegeben habe. Der Tennisverband wandte ein, die Daten auf Basis eines berechtigten Interesses weitergegeben zu haben und erhob Klage gegen das Bußgeld vor dem Bezirksgericht Amsterdam.

EuGH: Was ist ein berechtigtes Interesse?

Bei dem Verfahren vor dem Bezirksgericht Amsterdam war strittig, wie der in der DSGVO nicht definierte Begriff des „berechtigten Interesses“ auszulegen sei. Hierbei ging es insbesondere um die Frage, ob auch rein wirtschaftliche Interessen wie im vorliegenden Fall ein berechtigtes Interesse begründen können. Diese Frage legte das Bezirksgericht dem EuGH im Rahmen eines Vorabentscheidungsverfahrens vor.

Unabhängig von dieser konkreten Frage stellte der EuGH in seiner Entscheidung vom 4. Oktober 2024 zunächst fest, dass die Liste der Rechtsgrundlagen in Art. 6 Abs. 1 DSGVO erschöpfend ist. Verweisend auf sein Urteil vom 4. Juli 2023 (C‑252/21) betont der EuGH (Rn. 31) die Notwendigkeit einer engen Auslegung der Rechtfertigungsgründe aus Art. 6 Abs. 1 lit. b bis f DSGVO, da sie eine Verarbeitung bei fehlender Einwilligung zulassen.

Doch was ist nun ein berechtigtes Interesse? Grundsätzlich kann laut EuGH „in Ermangelung einer Definition dieses Begriffs durch die DSGVO, […] ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten.“ (Rn. 38 C-621/22) Wichtig ist, dass diese Interessen bereits bei Datenerhebung der betroffenen Person mitgeteilt werden (Art. 13 Abs. 1 lit. d DSGVO). Der EuGH hat damit nicht ausgeschlossen, dass ein wirtschaftliches Interesse des Verantwortlichen, das in der Bewerbung und dem Verkauf von Werbeflächen für Marketingzwecke besteht, als ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO angesehen werden kann (siehe auch Rn. 48 C-621/22). Folglich ist in unserem Beispielfall ein berechtigtes Interesse des KNLTB zumindest nicht a priori ausgeschlossen.

Die durch die Unbestimmtheit des Begriffs „berechtigtes Interesse“ scheinbar unerschöpflichen Möglichkeiten zur Datenverarbeitung werden allerdings durch die oben genannten, kumulativ zu berücksichtigenden Voraussetzungen limitiert.

Was bedeutet „erforderlich“?

Die konkret geplante Verarbeitung muss nämlich auch erforderlich sein, um das zuvor festgestellte berechtigte Interesse des Verantwortlichen zu erreichen. Dies bedeutet zum einen, dass die Maßnahme geeignet sein muss, das berechtigte Interesse zu verfolgen. Zum anderen dürfen keine anderen Mittel vorliegen, die ebenso geeignet wären, das berechtigte Interesse zu erreichen, und weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen. Es muss folglich diejenige Maßnahme gewählt werden, die die geringste Eingriffsintensität aufweist. Bereits an dieser Stelle der Betrachtung scheitern sehr viele der geplanten Verarbeitungen aufgrund existierender und wirksamer Mittel, die geringere Eingriffsintensitäten aufweisen würden, vom Verantwortlichen aber aus unterschiedlichen Gründen nicht gewünscht sind. Hierzu zählen häufig auch Kostengründe oder der notwendige personelle Aufwand für die Umsetzung.

Der EuGH führt für das Beispiel der KNLTB aus, dass es dem Tennisverband „möglich wäre, seine Mitglieder im Voraus zu informieren und sie zu fragen, ob sie möchten, dass ihre Daten für Werbe- oder Marketingzwecke an Dritte weitergegeben werden“ (Rn. 51 C-621/22). Hier wird praktisch deutlich, was die enge Auslegung der zur Einwilligung alternativen Rechtsgrundlagen bedeutet: Da das berechtigte Interesse auch mit einer Einwilligung geeignet verfolgt werden kann, tritt die ungefragte Weitergabe der Daten zurück.

Diese Feststellung des EuGH hat weitreichende Konsequenzen, für die Verwendung der Rechtsgrundlage des berechtigten Interesses. Sie wird nur dann anwendbar sein, wenn die Einholung einer Einwilligung nicht praxisgerecht ist, beispielsweise weil diese zu aufwändig wäre oder man die notwendigen Einwilligungen von den betroffenen Personen nicht erhalten würde (Beispiel Videoüberwachung). Das bringt uns zum nächsten Punkt, nämlich zur Frage, wie sich die Verarbeitung auf die betroffenen Personen auswirken könnte.

Überwiegen die Rechte betroffener Personen?

Als letzte Voraussetzung für ein berechtigtes Interesse als Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO muss nun eine Interessenabwägung zwischen den schutzwürdigen Interessen der betroffenen Personen einerseits und dem berechtigten Interesse des Verantwortlichen erfolgen. Nur wenn sich hierbei zeigt, dass die schutzwürdigen Interessen der betroffenen Personen nicht überwiegen, kann das berechtigte Interesse des Verantwortlichen als Rechtsgrundlage dienen.

Im Rahmen der Interessenabwägung sind insbesondere die Grundrechte der betroffenen Personen zu berücksichtigen, die sich aus nationalem Recht wie dem Grundgesetz (GG) sowie aus der Charta der Grundrechte der Europäischen Union (GRCh) ergeben. Zwar binden die Grundrechte prinzipiell nur staatliche Akteure, im Rahmen der mittelbaren Drittwirkung sind sie aber auch von privaten Akteuren zu beachten. Für die Interessenabwägung sind insbesondere das Grundrecht auf informationelle Selbstbestimmung nach Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG sowie das Recht auf Privatheit (Art. 7 GRCh) und Datenschutz (Art. 8 GRCh) zu berücksichtigen.

Außerdem ist zu bewerten, ob eine betroffene Person vernünftigerweise davon ausgehen kann, dass ihre Daten für dieses berechtigte Interesse verarbeitet werden (EG 47 DSGVO, Rn. 45 C-621/22). Ist dies nicht der Fall, so wird die Interessenabwägung regelmäßig zugunsten der betroffenen Person ausfallen müssen.

Da die Interessenabwägung „grundsätzlich von den konkreten Umständen des Einzelfalls abhängt“ (Rn. 44 C-621/22), muss dieser Prüfprozess für jede Verarbeitung durchgeführt werden, auch wenn es sich um ähnliche Verarbeitungen handeln sollte.

Fazit: Handlungsempfehlung für Verantwortliche

Unabhängig von der jeweiligen Rechtsgrundlage trifft den Verantwortlichen die Beweislast hinsichtlich einer datenschutzgerechten Verarbeitung der Daten (Art. 5 Abs. 2 DSGVO, Rn. 33 C-621/22). Gerade bei dem Abstellen auf ein berechtigtes Interesse ist daher die Dokumentation der einzelnen Prüfschritte unerlässlich, da bei dieser Rechtsgrundlage einige Zwischenschritte nötig sind. Hier zeigt sich einer der (unseres Erachtens wenigen) Vorteile der Einwilligung: In den meisten Fällen lässt sich deren Vorliegen einfacher nachweisen, da keine umfangreiche Prüfung mit aufwändiger Dokumentation durchzuführen ist.

Die notwendige Dokumentation verhindert, dass allzu leichtfertig auf die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO abgestellt wird. Gleichzeitig bietet sich im Rahmen der Erforderlichkeitsprüfung das Potenzial, andere Maßnahmen zu finden, die datenärmer oder weniger invasiv durchzuführen sind und einen vergleichbaren Erfolg erzielen. Die Erforderlichkeitsprüfung unterstützt Verantwortliche also dabei, eine unzulässige Verarbeitung „versehentlich“ zu etablieren.

Bei Schwierigkeiten im Hinblick auf die Beurteilung der Erforderlichkeit oder die Interessenabwägung ist es stets ratsam, Kontakt mit Ihrer*m Datenschutzbeauftragten aufzunehmen. Diese*r kann mit der fachlichen Expertise den sicheren Gebrauch von Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage für Verarbeitungen begleiten und dabei helfen, unschöne Überraschungen zu vermeiden.