Datenverarbeitung: Weitere Einschränkungen durch den EuGH

23. Januar 2025 Alexander Tribess

Der Europäische Gerichtshof (EuGH) sorgt erneut für Unsicherheit bei der Verarbeitung personenbezogener Daten. In einem Urteil vom 09.01.2025 (C-394-23, Mousse ./. CNIL, SNCF Connect) wird insbesondere die Datenverarbeitung auf Basis berechtigter Interessen erneut erschwert.

Was hat der EuGH entschieden?

Es ist nur eine Randbemerkung, doch die hat es in sich: Eine Verarbeitung soll nur noch dann nach Artikel 6 Abs. 1 Buchst. f DS-GVO zulässig sein, wenn die betroffene Person vorab über das berechtigte Interesse informiert wurde.

Denn eine Verarbeitung personenbezogener Daten kann, so der EuGH, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden, wenn den betroffenen Personen bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde.

Warum ist das rechtlich fragwürdig?

Systematisch ist das mindestens fragwürdig. Denn damit werden die Rechtsgrundlagen für die Verarbeitung aus Artikel 6 DS-GVO mit den Informationspflichten des Artikel 13 DS-GVO vermengt. Richtig ist zwar, dass jede Verarbeitung einer Rechtsgrundlage bedarf. Und klar ist auch, dass die Verantwortlichen die betroffenen Personen in aller Regel bei Erhebung der Daten umfassend informieren müssen.

Aber: Die vollständige Information ist in Artikel 6 DS-GVO gerade nicht als Voraussetzung für das Vorliegen einer Rechtsgrundlage genannt. Für Artikel 6 Abs. 1 Buchst. f DS-GVO und die Information über das berechtigte Interesse gilt insoweit nichts anderes als für jede andere der dort genannten Rechtsgrundlage und die übrigen Inhalte der nach Artikel 13 DS-GVO zu erteilenden Informationen.

Wie hat sich der EuGH zuletzt schon positioniert?

Eine Erklärung für seine Interpretation der gesetzlichen Vorschriften liefert der EuGH bedauerlicherweise nicht. Die Entscheidung wirft damit einige Fragen auf. Denn erst in den letzten Monaten des vergangenen Jahres hatte das Gericht, wiederum ohne umfassende Begründung, schon einmal die Schwelle für die Rechtmäßigkeit der Datenverarbeitung auf Basis berechtigter Interessen heraufgesetzt. Diese Auffassung wird auch in dem aktuellen Urteil noch einmal wiederholt: Danach soll eine Verarbeitung personenbezogener Daten nur zulässig sein, wenn sie „unbedingt erforderlich“ ist zur Wahrung des berechtigten Interesses.

Kommt jetzt die Einhaltung der Informationspflichten als weitere Voraussetzung hinzu, wird es zusehends schwieriger für Verantwortliche, die Vorschrift des Artikel 6 Abs. 1 Buchst. f DS-GVO als Rechtsgrundlage für die Verarbeitung heranzuziehen.

Darauf, dass dies den Intentionen des EuGH entspricht, deutet auch hin, dass das Gericht, ebenfalls zum wiederholten Male, den Eindruck erweckt, die Einwilligung genieße Vorrang vor allen anderen Rechtsgrundlagen für die Datenverarbeitung. Auch hierfür gibt es zwar keinen systematischen Anknüpfungspunkt in der DS-GVO. Denn dort sind alle Rechtsgrundlagen, einschließlich der Einwilligung, gleichrangig nacheinander aufgezählt. Der EuGH betont aber zuletzt immer wieder, dass alle übrigen Rechtsgrundlagen bereits deswegen eng umgrenzt bleiben müssten, weil es insoweit ja an der Einwilligung der betroffenen Person fehle.

Was bedeutet das Urteil für die Praxis?

Für Verantwortliche wird es danach immer komplexer, für ihre Datenverarbeitungen die passenden Rechtsgrundlagen zu finden und alle Pflichten einzuhalten, um eine Datenverarbeitung auf dieser Grundlage auch wirklich legitimieren zu können. Das gilt insbesondere für komplexe Vorgänge wie das KI-Training, bei denen ein einwilligungsbasiertes Arbeiten in vielen Fällen praktisch unmöglich ist.

Wenn Sie sich fragen, wie diese Entscheidung Ihr Unternehmen konkret betrifft, unterstützen wir Sie gerne bei der Entwicklung praxisnaher und rechtssicherer Lösungen.