Wann liegt ein berechtigtes Interesse vor? Der Europäische Gerichtshof (EuGH) hatte im Rahmen eines Vorabentscheidungsersuchens den Begriff nach Art. 6 Abs. 1 lit. f DSGVO auszulegen. Konkret ging es um die Frage, ob ein Sportverband personenbezogene Daten seiner Mitglieder ohne deren ausdrückliche Einwilligung zu kommerziellen Zwecken an Sponsoren weitergeben darf.
Verein gibt Mitglieder-Daten an Sponsoren weiter
Im Jahr 2018 übermittelte der Königlich Niederländische Rasentennisverband (Koninklijke Nederlandse Lawn Tennisbond, KNLTB) personenbezogene Daten seiner Mitglieder an zwei Sponsoren:
- SportshopsDirect BV (TennisDirect), ein Unternehmen, das Sportartikel vertreibt.
Der KNLTB übermittelte TennisDirect die Namen, Anschriften und Wohnorte seiner Mitglieder für den Postversand eines Werbebriefs. TennisDirect wiederum übermittelte diese Daten an den Postdienstleister PostNL. - Nederlandse Loterij Organisatie BV (NLO), der größte Anbieter von Glücks- und Kasinospielen in den Niederlanden.
Der KNLTB übermittelte der NLO neben den Namen, Anschriften und Wohnorten seiner Mitglieder auch deren Geburtsdaten, Festnetz- und Mobiltelefonnummern, E-Mail-Adressen sowie die Namen der Tennisclubs, denen diese Mitglieder angehörten. Zweck dieser Übermittlung war eine Telefonwerbeaktion, in deren Rahmen das NLO diese Daten an die von ihm beauftragten Callcenter weitergab.
Für die Bereitstellung der personenbezogenen Daten erhielt der KNLTB von den Sponsoren ein Entgelt.
Nach Beschwerden einiger Mitglieder des KNLTB hin stellte die niederländische Datenschutzaufsichtsbehörde Autoriteit Persoonsgegevens (AP) fest, dass der KNLTB gegen Art. 6 Abs. 1 lit. a und f in Verbindung mit Art. 5 Abs. 1 lit. a DSGVO verstoßen habe, weil er die personenbezogenen Daten seiner Mitglieder ohne deren Einwilligung und ohne rechtmäßige Grundlage offengelegt habe. Die AP verhängte daher mit Entscheidung vom 20. Dezember 2019 gegen den KNLTB eine Geldbuße in Höhe von 525.000 Euro.
Der KNLTB erhob gegen diese Entscheidung Klage bei der Rechtbank Amsterdam (Bezirksgericht Amsterdam, Niederlande).
Berechtigtes Interesse als Rechtsgrundlage für Weitergabe von Daten
Nach Ansicht des KNLTB beruhte die Bereitstellung der Daten auf einem berechtigten Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO. Dieses Interesse bestehe zum einen darin, eine enge Bindung zwischen dem Verband und seinen Mitgliedern herzustellen, und zum anderen darin, den Mitgliedern einen Mehrwert für ihre Mitgliedschaft in Form von Rabatten und Angeboten bei Partnern bieten zu können, die es den Mitgliedern ermöglichten, zu einem günstigen und erschwinglichen Preis Tennis zu spielen.
Die AP ist dagegen der Ansicht, dass nur zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen berechtigte Interessen im Sinne von Art. 6 Abs. 1 lit. f DSGVO seien. Es müsse sich um Interessen handeln, die vom Unionsgesetzgeber oder vom nationalen Gesetzgeber als schutzwürdig angesehen würden und unter Rückgriff auf ein „positives Kriterium“ zu beurteilen seien. Im vorliegenden Fall handele es sich nicht um solche Interessen.
Da das Bezirksgericht Amsterdam Zweifel hinsichtlich der Auslegung des Begriffs „berechtigte Interessen“ im Sinne von Art. 6 Abs. 1 lit. f DSGVO hat, hat es das Verfahren ausgesetzt und dem EuGH folgende Fragen zur Vorabentscheidung vorgelegt:
- Wie hat das vorlegende Gericht den Begriff „berechtigtes Interesse“ im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO auszulegen?
- Ist dieser Begriff so auszulegen, wie die Beklagte ihn auslegt? Erfasst er ausschließlich zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen?
- Oder kann jedes Interesse ein berechtigtes Interesse sein, sofern es dem Gesetz nicht zuwiderläuft? Konkreter: Sind ein rein kommerzielles Interesse und das vorliegende Interesse, nämlich die Bereitstellung personenbezogener Daten gegen Entgelt ohne Zustimmung der betroffenen Person, unter bestimmten Umständen als ein berechtigtes Interesse einzustufen? Falls ja: Welche Umstände bestimmen, ob ein rein kommerzielles Interesse ein berechtigtes Interesse ist?
Voraussetzungen für Rechtmäßigkeit der Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO
Laut dem EuGH ist die Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 lit. f DSGVO unter drei Voraussetzungen rechtmäßig:
- Von dem für die Verarbeitung Verantwortlichen oder von einem Dritten muss ein berechtigtes Interesse wahrgenommen werden.
Das Interesse eines Verantwortlichen muss dabei nicht gesetzlich geregelt sein. Hier kann laut EuGH ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Dazu zählen auch wirtschaftliche Interessen. Allerdings muss das geltend gemachte berechtigte Interesse rechtmäßig sein. - Die Verarbeitung der personenbezogenen Daten muss zur Verwirklichung des berechtigten Interesses erforderlich sein.
Die Voraussetzung der Erforderlichkeit der Datenverarbeitung ist dabei gemeinsam mit dem Grundsatz der „Datenminimierung“ zu prüfen, der in Art. 5 Abs. 1 lit. c DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind.
Hierzu schreibt der EuGH in seinem Urteil: „Was die Voraussetzung der Erforderlichkeit dieser Verarbeitung zur Verwirklichung des betreffenden Interesses angeht und insbesondere das Vorliegen von Mitteln, die ebenso geeignet sind und weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, ist festzustellen, dass es einem Sportverband wie dem KNLTB, der personenbezogene Daten seiner Mitglieder gegen Entgelt gegenüber Dritten offenlegen möchte, insbesondere möglich wäre, seine Mitglieder im Voraus zu informieren und sie zu fragen, ob sie möchten, dass ihre Daten für Werbe- oder Marketingzwecke an Dritte weitergegeben werden. Diese Lösung würde es den betroffenen Mitgliedern ermöglichen, im Einklang mit dem Grundsatz der Datenminimierung die Kontrolle über die Offenlegung ihrer personenbezogenen Daten zu behalten und so die Offenlegung dieser Daten auf das zu beschränken, was für die Zwecke, für die diese Daten übermittelt und verarbeitet werden, tatsächlich notwendig und erheblich ist.“
- Die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, dürfen gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen.
Der EuGH stellte hierbei fest, dass die Mitglieder des KNLTB vernünftigerweise nicht damit rechnen konnten, dass ihre personenbezogenen Daten ohne ihre Einwilligung an Dritte weitergegeben werden. Besonders die Weitergabe der Daten an die NLO, einen Anbieter von Glücksspielen, sah der Gerichtshof kritisch, da dies die Mitglieder in unerwartete Situationen, wie z. B. mögliche Werbemaßnahmen im Glücksspielbereich, versetzen konnte, die potenziell schädliche Auswirkungen haben könnten.
In seinem Urteil legt der EuGH Art. 6 Abs. 1 lit. f DSGVO dahin aus, „dass eine Verarbeitung personenbezogener Daten, die darin besteht, personenbezogene Daten der Mitglieder eines Sportverbands in Verfolgung des wirtschaftlichen Interesses des Verantwortlichen gegen Entgelt offenzulegen, nur dann als im Sinne dieser Vorschrift zur Wahrung der berechtigten Interessen dieses Verantwortlichen erforderlich angesehen werden kann, wenn die Verarbeitung zur Verwirklichung des in Rede stehenden berechtigten Interesses absolut notwendig ist und sofern in Anbetracht aller relevanten Umstände die Interessen oder Grundrechte und Grundfreiheiten dieser Mitglieder gegenüber dem berechtigten Interesse nicht überwiegen. Diese Vorschrift verlangt zwar nicht, dass ein solches Interesse gesetzlich bestimmt wird, sie erfordert jedoch, dass das geltend gemachte berechtigte Interesse rechtmäßig ist.“
Lese-Tipp: EDSA veröffentlicht Leitlinien zum berechtigten Interesse
Berechtigtes Interesse für die Praxis relevant
Dieses Urteil hat weitreichende Bedeutung für die Praxis der Datenverarbeitung durch Sportvereine und andere Organisationen, die regelmäßig personenbezogene Daten ihrer Mitglieder verarbeiten. Es stellt klar, dass wirtschaftliche Interessen allein keine ausreichende Grundlage für die Verarbeitung personenbezogener Daten ohne Einwilligung der Betroffenen darstellen. Organisationen müssen in jedem Fall eine sorgfältige Abwägung der Interessen vornehmen und sicherstellen, dass die Rechte und Freiheiten der betroffenen Personen gewahrt werden.
Die Einholung einer ausdrücklichen Einwilligung der betroffenen Personen bleibt somit in vielen Fällen die rechtlich sicherste Grundlage für die Verarbeitung personenbezogener Daten, insbesondere bei kommerziellen Zwecken.
Das Urteil hebt die Bedeutung des Datenschutzes und der Wahrung der Grundrechte im Rahmen der Verarbeitung personenbezogener Daten hervor und setzt klare Grenzen für die Nutzung von Daten zu wirtschaftlichen Zwecken.
German 
English 
Italian 
French