🎾Liebhaber der kleinen gelben Ball und der DSGVO, diese Entscheidung wird Sie nicht gleichgültig lassen!
In einem Fall, der den niederländischen Tennisverband (königlicher niederländischer Tennisverband oder „KNLTB“) und die niederländische Aufsichtsbehörde betraf, entschied der Gerichtshof der Union am 4. Oktober 2024 über eine wesentliche Frage für die Wirtschaftswelt. Für die einen wird dies als Erleichterung angesehen, für die anderen als Schwächung der Rechte der Einzelpersonen.
Eine Datenübertragung an Geschäftspartner
Der KNLTB, ein niederländischer Sportverband, hat 2018 die personenbezogenen Daten seiner Mitglieder mit zwei seinen Sponsoren geteilt: TennisDirect, einem Einzelhändler für Sportartikel, und der Nederlandse Loterij Organisatie (NLO), einem Glücksspielbetreiber. Diese Datenübertragung hatte Werbezwecke. TennisDirect verwendete die Namen und Adressen der Mitglieder, um Werbeflyer per Post zu versenden, während die NLO umfassendere Daten sammelte, einschließlich Telefonnummern und E-Mail-Adressen, um eine Anrufkampagne durchzuführen.
Diese Datenübertragung führte zu Beschwerden von Mitgliedern, was dazu führte, dass die niederländische Datenschutzbehörde (AP) eine Geldstrafe von 525.000 Euro gegen den KNLTB verhängte. Die AP war der Meinung, dass der KNLTB gegen die DSGVO verstoßen hatte, indem er diese Informationen ohne Zustimmung der Mitglieder und ohne rechtliche Grundlage teilte, was den Artikeln 6 und 5 der Verordnung widersprach.
Der KNLTB legte gegen diese Sanktion beim Amsterdamer Gericht Einspruch ein. Er argumentierte, dass die Verarbeitung auf seinem berechtigten Interesse beruhte, das sowohl darin besteht, eine starke Bindung zwischen diesem Verband und seinen Mitgliedern zu schaffen als auch den Mitgliedern einen Mehrwert in Form von Rabatten und Angeboten bei Partnern zu bieten, die es ihnen ermöglichen, Tennis zu einem erschwinglichen Preis zu spielen.
Kann jedes Interesse legitim sein?
Die erste Frage ist, ob das Konzept des berechtigten Interesses positiv oder negativ betrachtet werden sollte. Für die Aufsichtsbehörde können Interessen nur dann legitim sein, wenn sie ausdrücklich gesetzlich vorgesehen sind: dies ist das positive Kriterium. Für die Gegenseite ist es umgekehrt, jedes Interesse kann legitim sein, solange es nicht im Widerspruch zum Gesetz steht: dies ist das negative Kriterium.
Der Gerichtshof stellt fest, dass die Bestimmungen der DSGVO, insbesondere die Bedingungen für die Rechtmäßigkeit der Verarbeitung gemäß Artikel 6, sowie der Geist der DSGVO, wie er aus ihren Erwägungen (insbesondere 1 und 47) hervorgeht, zu beachten sind. Er stellt explizit klar, dass die DSGVO nicht verbietet, dass jedes Interesse legitim ist und die Verarbeitung rechtmäßig machen kann, solange drei Bedingungen erfüllt sind:
- Es müssen legitime Interessen bestehen.
- Diese sind notwendig, um die Verarbeitung und ihre Ziele zu erreichen, d.h. es dürfen keine weniger eingreifenden Mittel im Hinblick auf die Rechte und Grundfreiheiten der betroffenen Personen vorhanden sein.
- Diese Interessen dürfen nicht die Rechte und Grundfreiheiten der betroffenen Person überschreiten.
Es ist also das negative Kriterium, das Anwendung findet.
Diese Frage war bereits in einem Urteil vom 4. Juli 2023, Meta Platforms e.a. (Allgemeine Geschäftsbedingungen eines sozialen Netzwerks), an den Gerichtshof gerichtet und positiv beantwortet worden.
Auf diese erste Frage antwortet der Gerichtshof, dass legitime Interessen also frei sind!
Und die geschäftlichen Interessen?
Die zweite Frage ist, ob ein rein kommerzielles Interesse, das in der Werbung und dem Verkauf von Werbeflächen zu Marketingzwecken besteht, als legitim angesehen werden kann.
Der Gerichtshof führt seine Analyse zur Zeitersparnis im Verfahren durch. Er weist darauf hin, dass ja, das rein kommerzielle Interesse legitim sein kann. In der Tat stellt Erwägung 47 der DSGVO klar, dass Akquise-Maßnahmen zu legitimen Interessen gehören können.
Aber bei der Notwendigkeitsbedingung findet das Gericht eine weniger eingreifende Lösung: die vorherige Information der Mitglieder und die Anfrage, ob sie wünschen, dass ihre Daten zu Werbe- oder Marketingzwecken an Dritte übermittelt werden.
Darüber hinaus, zur dritten Bedingung des Eingriffs in die Rechte und Freiheiten, stellt sich die Frage, ob die Mitglieder von Tennisclubs bei der Erhebung ihrer personenbezogenen Daten zur Mitgliedschaft in einem Tennisclub vernünftigerweise erwarten konnten, dass diese zum Preis an Dritte, konkret an Sponsoren des KNLTB, für Werbe- und Marketingzwecke offengelegt werden.
In diesem praktischen Beispiel betont er die Notwendigkeit einer feinen Analyse: Die Übermittlung der Daten von Tennisspielern an ein Kasino und Glücksspielunternehmen scheint nicht durch eine relevante und angemessene Beziehung zwischen den Spielern und dem für die Verarbeitung Verantwortlichen charakterisiert zu sein. Er erinnert zu Recht daran, dass diese Aktivitäten diese Mitglieder den Risiken der Entwicklung von Spielsucht aussetzen können.
Das niederländische Gericht muss auch diesen Punkt entscheiden.
Warum müssen DPOs diese Entscheidung kennen?
Die Rechtsgrundlage für berechtigte Interessen ist fundamental in der DSGVO, da sie einen großen Teil der von Wirtschaftsakteuren durchgeführten Verarbeitungen abdeckt. Es ist daher unerlässlich, sicherzustellen, dass die Anwendungsbedingungen dieser Rechtsgrundlage erfüllt sind.
Diese Entscheidung ist interessant, weil sie eine klare Position zum Konzept des rein kommerziellen Interesses einnimmt. Obwohl der EuGH sich mehrfach zu dem Konzept des berechtigten Interesses geäußert hat, hatte er nicht die Gelegenheit, sich deutlich zu dem Konzept des rein kommerziellen Interesses zu äußern. Zumal die Aufsichtsbehörde eine grundsätzliche Position eingenommen hatte, die die Verarbeitung auf der Grundlage eines rein kommerziellen Interesses schlicht und einfach verbietet, da es von Natur aus nicht legitim sei.
Der Gerichtshof stellt die Dinge wieder richtig, aber er legitimiert nicht das Verhalten des Verbands, da die Anwendungsbedingungen dieser offensichtlichen Rechtsgrundlage ihm auferlegten, ein Gleichgewicht im Eingriff in die Grundrechte zu wahren.
Es ist daher nicht möglich, Daten ohne die Einhaltung der Anwendungsbedingungen dieser Rechtsgrundlage zu übermitteln.
In diesem Zusammenhang ist es wichtig zu betonen, dass die Informationspflicht gegenüber den betroffenen Personen vorsieht, die betroffenen legitimen Interessen zu benennen. Das bedeutet, dass diese Interessen klar definiert und ausreichend explizit sein müssen, um von den betroffenen Personen verstanden zu werden.
Die niederländische Behörde hat reagiert, indem sie die Entscheidung zur Kenntnis nahm, jedoch ihren Standpunkt verteidigte, stets den Menschen ins Zentrum ihres Handelns zu stellen (und das kann man ihr nicht verdenken).