Zwischen berechtigtem Interesse und rechtlicher Unsicherheit – Wann Art 6 Abs 1 lit f DSGVO für Unternehmen wirklich relevant ist

In der täglichen Praxis stoßen Verantwortliche immer wieder auf Situationen, in denen weder eine ausdrückliche Einwilligung der betroffenen Person noch eine klare gesetzliche Erlaubnis als Grundlage für die Verarbeitung personenbezogener Daten vorliegt. In solchen Fällen rückt Art 6 Abs 1 lit f DSGVO in den Mittelpunkt – die Verarbeitung auf Basis eines „berechtigten Interesses“.

Diese Rechtsgrundlage erscheint auf den ersten Blick als flexibles Instrument, um unternehmerische Handlungsspielräume zu wahren. Gleichzeitig ist sie mit rechtlichen Unsicherheiten verbunden, insbesondere im Hinblick auf die Erforderlichkeit, Verhältnismäßigkeit und die konkrete Interessenabwägung im Einzelfall. Für Unternehmen stellt sich damit die zentrale Frage: Wann und unter welchen Bedingungen kann das berechtigte Interesse tragfähig als Grundlage für eine datenschutzkonforme Verarbeitung herangezogen werden?

Die Rechtmäßigkeitsvoraussetzungen des Art 6 DSGVO

Das Ziel der DSGVO ist es, ein hohes Schutzniveau der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten sicherzustellen. Jede Verarbeitung muss daher im Einklang mit den Grundsätzen der Verarbeitung gemäß Art 5 DSGVO und auf Grundlage einer der in Art 6 Abs 1 aufgeführten Rechtfertigungstatbestände erfolgen (vgl. in diesem Sinne Urteile vom 6. Oktober 2020, La Quadrature du Net u. a., C‑511/18, C‑512/18 und C‑520/18, EU:C:2020:791, Rn. 208, sowie vom 11. Juli 2024, Meta Platforms Ireland [Verbandsklage], C‑757/22, EU:C:2024:598, Rn. 49). Liegt keine Einwilligung bzw. keine rechtmäßige Einwilligung im Sinne von Art 6 Abs 1 lit a DSGVO vor, muss die Verarbeitung unter eine der Alternativen lit b bis f fallen. Andernfalls liegt keine rechtmäßige Datenverarbeitung vor.

Art 6 Abs 1 lit f DSGVO erlaubt die Verarbeitung personenbezogener Daten, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist – sofern nicht die Interessen oder Grundrechte und -freiheiten der betroffenen Person überwiegen.

Der zugrundeliegende Fall des EuGH: Mitgliederdaten und Werbung

Im Jahr 2018 übermittelte der Koninklijke Nederlandse Lawn Tennisbond („Königlicher Niederländischer Rasentennisverband“, im Folgenden: „KNLTB“) personenbezogene Daten seiner Mitglieder an zwei seiner Sponsoren: zum einen an ein Unternehmen, das Sportartikel vertreibt („SportshopsDirect BV“, im Folgenden „TennisDirect“), und zum anderen an den größten Anbieter von Glücks- und Kasinospielen in den Niederlanden („Nederlandse Loterij Organisatie BV“, im Folgenden: „NLO“). Die offengelegten Daten umfassten Namen, Anschriften, Wohnorte, Geburtsdaten, Mobiltelefonnummern sowie E-Mail-Adressen. Die Weitergabe erfolgte seitens des KNLTB gegen Entgelt und zum Zweck einer Telefonwerbeaktion der NLO.

Die niederländische Datenschutzbehörde („Autoriteit Persoonsgegevens“, im Folgenden: „AP“) verhängte nach Eingang mehrerer Beschwerden von Betroffenen ein Bußgeld in Höhe von 525.000 Euro gegen den KNLTB. Sie begründete dies damit, dass die Datenübermittlung ohne wirksame Einwilligung der betroffenen Personen erfolgt sei und keine andere gültige Rechtsgrundlage gemäß der DSGVO) vorgelegen habe. Der KNLTB hingegen rechtfertigte die Übermittlung mit dem Ziel, eine engere Verbindung zwischen dem Verband und seinen Mitgliedern zu schaffen und diesen durch die Angebote und Preisnachlässe der Sponsoren einen Mehrwert zu bieten.

Im Rahmen eines Vorabentscheidungsverfahrens befasste sich der EuGH daher mit der Auslegung von Art 6 Abs 1 lit f DSGVO. Dabei stellte sich insbesondere die Frage, ob und unter welchen Voraussetzungen ein rein wirtschaftliches Interesse als „berechtigtes Interesse“ im Sinne dieser Vorschrift anerkannt werden kann. Der EuGH führte hierzu Folgendes aus:

Die 3 Voraussetzungen des Art 6 Abs 1 lit f DSGVO:

Eine Verarbeitung personenbezogener Daten nach lit f ist nur unter folgenden drei Voraussetzungen zulässig, die kumulativ erfüllt sein müssen:

• Vorliegen eines berechtigten Interesses: Das Interesse kann rechtlicher, wirtschaftlicher oder ideeller Natur sein. Es muss keine gesetzliche Grundlage bestehen – ausschlaggebend ist die Rechtmäßigkeit des Interesses.
• Erforderlichkeit der Verarbeitung: Die Datenverarbeitung muss zur Erreichung des verfolgten Interesses erforderlich sein. Ist ein gelinderes Mittel möglich – etwa die Verarbeitung anonymisierter Daten – ist Art 6 Abs 1 lit f nicht anwendbar. Dies ist stets auch im Lichte des Grundsatzes der Datenminimierung gemäß Art 5 Abs 1 lit c DSGVO zu prüfen.
• Interessenabwägung: Hierbei ist zu ermitteln, ob das berechtigte Interesse des Verantwortlichen die Interessen oder Grundrechte der betroffenen Person überwiegt oder zumindest gleichwertig gegenübersteht. Diese Abwägung erfolgt in Form einer Einzelabwägung anhand der konkreten Umstände.

Eine strukturierte Interessenabwägung sollte daher unter anderem folgende Fragen beantworten:

• Welches berechtigte Interesse wird verfolgt?
• Welche personenbezogenen Daten werden verarbeitet?
• Gibt es weniger eingriffsintensive Alternativen?
• Welche Schutzmaßnahmen werden getroffen (z. B. Pseudonymisierung)?
• Welche Auswirkungen hat die Verarbeitung auf die betroffenen Personen?

Die Verarbeitung von Daten wegen kommerziellem Interesse

Ein rein wirtschaftliches Interesse kann ein berechtigtes Interesse im Sinne von Art 6 Abs 1 lit f DSGVO darstellen – sofern es nicht gegen gesetzliche Vorgaben verstößt. Die Datenverarbeitung „zum Zwecke der Direktwerbung“ wird im 47. Erwägungsgrund der DSGVO ausdrücklich als Beispiel für ein berechtigtes Interesse genannt und erfüllt somit die erste Voraussetzung für die Anwendung der Norm.

Nach Art 13 Abs 1 lit d DSGVO ist der Verantwortliche zudem verpflichtet, die betroffene Person bei der Datenerhebung über das verfolgte berechtigte Interesse zu informieren, wenn eine Verarbeitung auf Grundlage des Art 6 Abs 1 lit f durchgeführt wird (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 107).

Eine besonders sensible Frage ist, ob das berechtigte Interesse in zumutbarer Weise ebenso wirksam durch alternative Maßnahmen erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen. Insbesondere ist zu prüfen, ob das verfolgte Interesse auch dann realisiert werden könnte, wenn die betroffenen Personen im Vorfeld informiert würden und ihnen die Möglichkeit eingeräumt wird, zu entscheiden, ob ihre Daten beispielsweise zu Werbe- oder Marketingzwecken an Dritte weitergegeben werden sollen. Im Sinne des Grundsatzes der Datenminimierung würde dies den Betroffenen die Kontrolle über die Offenlegung ihrer Daten belassen und diese auf das tatsächlich erforderliche Maß beschränken.

Die Interessenabwägung erfolgt im Rahmen einer Einzelfallprüfung unter Berücksichtigung aller relevanten Umstände – insbesondere des konkreten Verhältnisses zwischen dem Verantwortlichen und der betroffenen Person, den berechtigten Erwartungen der Betroffenen sowie dem Umfang und den möglichen Auswirkungen der Verarbeitung. Besonders zu beachten ist, dass die Interessen der betroffenen Person vor allem dann überwiegen können, wenn die Verarbeitung in einem Kontext erfolgt, mit dem sie vernünftigerweise nicht rechnen konnte.

So kann beispielsweise, wie vom EuGH in seiner Entscheidung ausgeführt, ein Mitglied eines Tennisvereins nicht erwarten, dass seine Daten an einen Anbieter von Glücksspiel- oder Kasinodienstleistungen übermittelt werden, dessen Werbe- und Marketingmaßnahmen in keinem erkennbaren oder angemessenen Zusammenhang mit dem Verantwortlichen, dem Tennisverein, stehen. Im gegebenen Fall kommt überdies noch erschwerend hinzu, dass die Verarbeitung der Daten für Werbezwecke eines Anbieters von Glücks- und Kasinospielen die Betroffenen auch der Gefahr der Entwicklung einer Spielsucht aussetzen könnte und sich somit zusätzlich nachteilige Auswirkungen für die Betroffenen ergeben.

Fazit

Art 6 Abs 1 lit f DSGVO stellt für Verantwortliche, insbesondere für Unternehmen, eine zentrale Rechtsgrundlage zur Datenverarbeitung dar – insbesondere dann, wenn weder eine Einwilligung noch eine gesetzliche Verpflichtung vorliegt. Gerade wirtschaftliche Interessen, etwa im Bereich der Direktwerbung, können unter bestimmten Voraussetzungen rechtmäßig verfolgt werden.

Diese Möglichkeit ist jedoch an strenge Voraussetzungen gebunden: Das berechtigte Interesse muss nachvollziehbar sein, und die Verarbeitung muss zur Erreichung des Zwecks erforderlich sein – stets unter Beachtung des Grundsatzes der Datenminimierung. Zudem ist es für die Rechtmäßigkeit unerlässlich, dass die betroffene Person im Vorfeld in transparenter Weise über die Verarbeitung informiert wird. Die erforderliche Interessenabwägung erfordert eine sorgfältige und dokumentierte Einzelfallprüfung sowie den Nachweis der Verhältnismäßigkeit und der berechtigten Erwartungen der betroffenen Personen. Unternehmen sollten daher nicht der Versuchung erliegen, Art 6 Abs 1 lit f DSGVO als pauschale „Allzwecklösung“ einzusetzen, sondern ihn mit der gebotenen rechtlichen Sorgfalt anwenden.