Drei Voraussetzungen gehören zusammen
Die Prüfung beginnt mit dem tatsächlich verfolgten Interesse des Verantwortlichen oder eines Dritten. Anschließend muss die konkrete Datenverarbeitung für dieses Interesse erforderlich sein. Schließlich dürfen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Diese Schritte sind kumulativ. Eine ausführliche Beschreibung des wirtschaftlichen Nutzens kann daher eine fehlende Erforderlichkeit nicht ersetzen. Ebenso wenig genügt eine Abwägung, die nur Vorteile des Unternehmens auflistet. Maßgeblich sind der wirkliche Verarbeitungsvorgang, seine Auswirkungen und die berechtigten Erwartungen der Person, deren Daten genutzt werden.
Wirtschaftliche Interessen sind nicht pauschal ausgeschlossen
Im Urteil vom 4. Oktober 2024 – C-621/22 behandelte der EuGH die entgeltliche Weitergabe von Mitgliederdaten eines Sportverbands an Sponsoren. Nach dem hier zitierten Tenor muss ein berechtigtes Interesse nicht ausdrücklich gesetzlich festgeschrieben sein, aber rechtmäßig sein. Auch ein wirtschaftliches Motiv ist deshalb nicht schon begrifflich ausgeschlossen. Daraus folgt jedoch keine allgemeine Erlaubnis zum Datenverkauf. Der EuGH verlangt weiterhin die strenge Prüfung der Notwendigkeit und der entgegenstehenden Rechte. Der mögliche Nutzen eröffnet die Prüfung, entscheidet sie aber nicht zugunsten des Verantwortlichen.
Mildere gleich wirksame Mittel untersuchen
Erforderlichkeit bedeutet nicht lediglich, dass die Daten praktisch nützlich wären. Zu prüfen ist, ob sich das Ziel in zumutbarer Weise ebenso wirksam mit weniger eingreifenden Mitteln erreichen lässt. Denkbar sind beispielsweise eine geringere Datenmenge oder eine andere Gestaltung des Angebots. Welche Alternative tatsächlich geeignet ist, hängt vom konkreten Zweck ab. Eine bloß theoretische Möglichkeit genügt nicht stets; ebenso wenig darf eine realistische Alternative ignoriert werden. Der Grundsatz der Datenminimierung wirkt dabei mit. Der Verantwortliche muss erklären können, weshalb gerade diese Datenverwendung benötigt wird.
Die Erwartungen der Betroffenen berücksichtigen
Für die Abwägung ist relevant, in welchem Verhältnis die betroffene Person zum Unternehmen steht und womit sie vernünftigerweise rechnen kann. Eine bestehende Kundenbeziehung erlaubt nicht automatisch jede zusätzliche Verwendung. Auch Datenart, Umfang und Folgen der Weitergabe sind wichtig. Sensible oder besonders folgenreiche Verarbeitungen verlangen eine entsprechend sorgfältige Prüfung. Der Begriff berechtigt darf deshalb nicht mit einer einseitigen unternehmerischen Zweckmäßigkeit verwechselt werden. Die DSGVO verlangt eine Bewertung der widerstreitenden Interessen. Eine vorgefertigte Standardformel ohne Bezug zum tatsächlichen Angebot macht diese Bewertung nicht nachvollziehbar.
Ein Beispiel aus einem Mitgliederangebot
Ein Verein möchte Adressdaten aller Mitglieder gegen Geld an einen Werbepartner weitergeben. Das zusätzliche Einkommen kann als wirtschaftliches Interesse benannt werden. Damit ist aber noch nicht geklärt, ob die konkrete Weitergabe erforderlich ist oder die Mitgliederrechte überwiegen. Eine vereinsinterne Information über ein freiwilliges Angebot könnte eine weniger eingreifende Alternative sein, deren Eignung untersucht werden muss. Das Beispiel begründet weder ein pauschales Verbot jedes Sponsorings noch eine allgemeine Datenfreigabe. Entscheidend sind die tatsächlichen Datenflüsse und die konkret geprüften Voraussetzungen der Rechtsgrundlage.
Von Einwilligung und Vertragserforderlichkeit abgrenzen
Einwilligung, Vertragserfüllung und berechtigte Interessen sind unterschiedliche Rechtsgrundlagen. Die bloße Aufnahme einer Datenverwendung in allgemeine Vertragsbedingungen macht sie nicht automatisch für die Vertragserfüllung erforderlich. Umgekehrt benötigt nicht jede Verarbeitung zwingend eine Einwilligung, wenn eine andere tragfähige Grundlage besteht. Die gewählte Begründung muss zum tatsächlichen Zweck passen und transparent mitgeteilt werden. Weitere Regeln, etwa für elektronische Werbung oder besondere Datenkategorien, sind zusätzlich zu beachten. Artikel 6 Absatz 1 Buchstabe f hebt solche eigenständigen Anforderungen nicht auf.
Eine belastbare Abwägung dokumentieren
Eine brauchbare Dokumentation benennt Zweck, betroffene Daten, Erforderlichkeit, realistische Alternativen und die wesentlichen Auswirkungen. Außerdem sollte erkennbar sein, welche Interessen der Betroffenen berücksichtigt und welche Schutzmaßnahmen vorgesehen wurden. Neue Verwendungszwecke können eine erneute Bewertung verlangen. Für Betroffene ist wichtig, welche konkrete Rechtsgrundlage angegeben wird und ob ein Widerspruchsrecht besteht. Eine solche Prüfung ist aussagekräftiger als der pauschale Satz das sei durch berechtigte Interessen gedeckt. Der Begriff bezeichnet eine rechtlich begrenzte Grundlage, keinen frei verfügbaren Ersatz für jede fehlende Einwilligung.