Entgeltliche Weitergabe von Mitgliederdaten eines Sportverbands an Sponsoren

Der EuGH hat sich in einer aktuellen Entscheidung (Urteil vom 4.10.2024, C‑621/22) zur Auslegung von Art. 6 Abs. 1 lit. f DSGVO und der Frage nach der Erforderlichkeit der Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten geäußert.

Worum geht es?

Gegenstand des Ausgangsverfahrens war das Vorgehen des niederländischen Tennisverbandes. Mitglieder des Tennisverbands sind die ihm angeschlossenen Tennisvereine sowie deren Mitglieder. Im Falle des Beitritts in einem dem Tennisverband angeschlossenen Tennisverein, wird das Mitglied des Tennisvereins auch automatisch Mitglied des Tennisverbands.

Der Tennisverband legte gegenüber zwei seiner Sponsoren personenbezogene Daten seiner Mitglieder offen. Für die Bereitstellung der betreffenden personenbezogenen Daten erhielt der Tennisverband von seinen Sponsoren ein Entgelt.

Dem einen Sponsor, ein Unternehmen, das Sportartikel vertreibt, stellte der Tennisverband die Namen, Anschriften und Wohnorte seiner Mitglieder für den postalischen Versand eines Werbebriefs zur Verfügung.

Einem weiteren Sponsor, dem größten Anbieter von Glücks- und Kasinospielen in den Niederlanden, übermittelte der Tennisverband neben den Namen, Anschriften und Wohnorten seiner Mitglieder auch deren Geburtsdaten, Festnetznummern, Mobiltelefonnummern und E‑Mail-Adressen sowie die Namen der Tennisvereine, denen diese Mitglieder angehörten. Der Sponsor wollte diese Daten für eine Telefonwerbemaßnahme verwenden.

Geldbuße der Aufsichtsbehörde

Die niederländische Aufsichtsbehörde verhängte gegen den Sportverband eine Geldbuße in Höhe von 525.000 €. Nach Ansicht der Aufsichtsbehörde habe der Sportverband gegen Art. 6 Abs. 1 lit. a und lit. f in Verbindung mit Art. 5 Abs. 1 lit. a DSGVO verstoßen, da er die personenbezogenen Daten seiner Mitglieder ohne deren Einwilligung und ohne rechtmäßige Grundlage offengelegt habe.

Gegen die Verhängung der Geldbuße erhob der Sportverband Klage beim vorlegenden Gericht, dem Bezirksgericht Amsterdam. Unstreitig war im vorliegenden Fall, dass der Sportverband keine Einwilligung eingeholt hat. Der Tennisverband berief sich jedoch auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse bestehe zum einen darin, eine enge Verbindung zwischen dem Verband und seinen Mitgliedern herzustellen, und zum anderen darin, diesen einen Mehrwert für die Mitgliedschaft in Form von Preisnachlässen und Angeboten bei Partnern bieten zu können, die es diesen Mitgliedern ermöglichten, Tennis zu einem günstigen und erschwinglichen Preis zu betreiben (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 13).

Die Aufsichtsbehörde war der Ansicht, dass nur zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen berechtigte Interessen im Sinne von Art. 6 Abs. 1 lit. f DSGVO seien. Es müsse sich um Interessen handeln, die vom Unionsgesetzgeber oder vom nationalen Gesetzgeber als schutzwürdig angesehen würden und unter Rückgriff auf ein „positives Kriterium“ zu beurteilen seien. Im vorliegenden Fall handele es sich nicht um solche Interessen (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 16).

Der Tennisverband argumentierte, dass sich ein berechtigtes Interesse nicht zwangsläufig aus einem Grundrecht oder einem Rechtsgrundsatz ergeben müsse, sondern dass jedes Interesse ein berechtigtes Interesse darstellen könne, außer wenn es gesetzeswidrig sei, sodass ein solches Interesse unter Rückgriff auf ein „negatives Kriterium“ zu beurteilen sei (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 17).

Vorlagefragen an den EuGH

Das Bezirksgericht Amsterdam setzte das Verfahren aus und legte dem EuGH folgende Fragen zur Vorabentscheidung :“

1. Wie hat das vorlegende Gericht den Begriff „berechtigtes Interesse“ im Sinne von Art. 6 Abs. 1 lit. f DSGVO auszulegen?
2. Ist dieser Begriff so auszulegen, wie die Beklagte ihn auslegt? Erfasst er ausschließlich zum Gesetz gehörende, gesetzliche und in einem Gesetz festgelegte Interessen?
3. Oder kann jedes Interesse ein berechtigtes Interesse sein, sofern es dem Gesetz nicht zuwiderläuft? Konkreter: Sind ein rein kommerzielles Interesse und das vorliegende Interesse, nämlich die Bereitstellung personenbezogener Daten gegen Entgelt ohne Zustimmung der betroffenen Person, unter bestimmten Umständen als ein berechtigtes Interesse einzustufen? Falls ja: Welche Umstände bestimmen, ob ein rein kommerzielles Interesse ein berechtigtes Interesse ist?“ (EuGH, Urteil vom 4.10.2024, C‑621/22, 19)

Entscheidung des EuGH

Der EuGH entschied, das Art. 6 Abs. 1 lit. f DSGVO auszulegen ist, dass eine Verarbeitung personenbezogener Daten, die darin besteht, personenbezogene Daten der Mitglieder eines Sportverbands in Verfolgung des wirtschaftlichen Interesses des Verantwortlichen gegen Entgelt offenzulegen, nur dann als im Sinne dieser Vorschrift zur Wahrung der berechtigten Interessen dieses Verantwortlichen erforderlich angesehen werden kann, wenn die Verarbeitung zur Verwirklichung des in Rede stehenden berechtigten Interesses absolut notwendig ist und sofern in Anbetracht aller relevanten Umstände die Interessen oder Grundrechte und Grundfreiheiten dieser Mitglieder gegenüber dem berechtigten Interesse nicht überwiegen. Diese Vorschrift verlangt zwar nicht, dass ein solches Interesse gesetzlich bestimmt wird, sie erfordert jedoch, dass das geltend gemachte berechtigte Interesse rechtmäßig ist (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 25).

Begründung des EuGH

Der EuGH führt in seiner Begründung zunächst aus, dass die in Art. 6 Abs. 1 lit. b bis lit. f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen sind, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 31).

Der EuGH hebt die drei erforderlichen kumulativen Voraussetzungen hervor, die zu einer rechtmäßigen Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO führen:

Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden.

Zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und

drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 37).

In Bezug auf die Voraussetzung der Wahrnehmung eines „berechtigten Interesses“ stellt der EuGH klar, dass in Ermangelung einer Definition dieses Begriffs durch die DSGVO, ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten könne (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 38). Wie sich auch aus Erwägungsgrund 47 der DSGVO ergebe, der den Begriff „berechtigtes Interesse“ betrifft, verlange der Unionsgesetzgeber nicht, dass das Interesse eines Verantwortlichen gesetzlich geregelt sein müsse, damit die von diesem Verantwortlichen vorgenommene Verarbeitung personenbezogener Daten rechtmäßig im Sinne von Art. 6 Abs. 1 lit. f DSGVO sei. Dies gälte umso mehr, als dieser Erwägungsgrund die Zwecke der Direktwerbung im Allgemeinen als Beispiel für berechtigte Interessen anführt, die von einem Verantwortlichen wahrgenommen werden können (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 39).

Allerdings verlange der Begriff „berechtigtes Interesse“ im Sinne von Art. 6 Abs. 1 lit. f DSGVO, auch wenn er nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt sei, dass das geltend gemachte berechtigte Interesse rechtmäßig sei (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 40).

Demnach kann nach Auffassung des EuGH ein wirtschaftliches Interesse ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO darstellen, sofern es nicht gesetzeswidrig ist.  Diese Prüfung des Vorliegens eines solchen Interesses unter Berücksichtigung des anwendbaren Rechtsrahmens obliegt aber dem Bezirksgericht Amsterdam als vorlegendem Gericht, so der EuGH. Der EuGH hat jedenfalls nicht ausgeschlossen, dass ein wirtschaftliches Interesse des Verantwortlichen, das in der Bewerbung und dem Verkauf von Werbeflächen für Marketingzwecke besteht, als ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO angesehen werden kann (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 48).

Hinsichtlich der Erforderlichkeit der vorliegenden Verarbeitung zur Verwirklichung des betreffenden Interesses und insbesondere hinsichtlich des Vorliegens von Mitteln, die ebenso geeignet sind und weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, stellt der EuGH fest, dass es einem Sportverband, der personenbezogene Daten seiner Mitglieder gegen Entgelt gegenüber Dritten offenlegen möchte, möglich wäre, seine Mitglieder im Voraus zu informieren und sie zu fragen, ob sie möchten, dass ihre Daten für Werbe- oder Marketingzwecke an Dritte weitergegeben werden (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 51).

Diese Lösung würde, so der EuGH, es den betroffenen Mitgliedern ermöglichen, im Einklang mit dem Grundsatz der Datenminimierung die Kontrolle über die Offenlegung ihrer personenbezogenen Daten zu behalten und so die Offenlegung dieser Daten auf das zu beschränken, was für die Zwecke, für die diese Daten übermittelt und verarbeitet werden, tatsächlich notwendig und erheblich ist (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 52).

Ein solches könnte nach Ansicht des EuGH einen geringeren Eingriff in das Recht auf Schutz der Vertraulichkeit der personenbezogenen Daten der betroffenen Person beinhalten und es gleichzeitig dem Verantwortlichen ermöglichen, das von ihm geltend gemachte berechtigte Interesse ebenso wirksam wahrzunehmen. Dies zu prüfen sei jedoch auch Sache des vorlegenden Gerichts (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 53).

Im Rahmen der dritten Voraussetzung, der Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen weist der EuGH darauf hin, dass das Bezirksgericht Amsterdam insbesondere die vernünftigen Erwartungen der betroffenen Person sowie den Umfang der in Rede stehenden Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen hat (vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 54).

Dementsprechend habe das vorlegende Gericht bei der Abwägung zu prüfen, ob das in Art. 8 Abs. 1 der Charta der Grundrechte und in Art. 16 Abs. 1 AEUV verankerte Recht der Mitglieder von Tennisvereinen auf Privatsphäre hinsichtlich der Verarbeitung ihrer personenbezogenen Daten Vorrang vor dem wirtschaftlichen Interesse eines nationalen Tennisverbands hat. Hierbei sei, wie sich aus dem 47. Erwägungsgrund der DSGVO ergebe, der Frage besondere Bedeutung beizumessen, ob diese Mitglieder zum Zeitpunkt der Erhebung ihrer personenbezogenen Daten zum Zweck des Beitritts zu einem Tennisverein vernünftigerweise absehen konnten, dass diese Daten gegen Entgelt für Werbe- und Marketingzwecke gegenüber Dritten, im vorliegenden Fall Sponsoren des Tennisverbandes offengelegt werden(vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 55).

Das Bezirksgericht Amsterdam hat nach Auffassung des EuGH auch zu berücksichtigen, dass die betreffenden Daten u. a. an einen Anbieter von Glücks- und Kasinospielen übermittelt wurden, dessen Werbe- und Marketingmaßnahmen, auch wenn sie rechtmäßig seien, in einem Kontext stattfinden, der entgegen dem 47. Erwägungsgrund der DSGVO nicht durch eine maßgebliche und angemessene Beziehung zwischen den betroffenen Personen und dem Verantwortlichen gekennzeichnet zu sein scheint. Außerdem könne sich die Verarbeitung solcher Daten unter bestimmten Umständen nachteilig auf die Mitglieder der betreffenden Tennisvereine auswirken, da sie sie der Gefahr der Entwicklung einer Spielsucht aussetzen könnten(vgl. EuGH, Urteil vom 4.10.2024, C‑621/22, Rn. 56).