Das Bundesverwaltungsgericht Österreich (BVwG) hat in einer Entscheidung (11.12.2023, Geschäftszahl W137 2259819-1) einige relevante Aussagen zur Datenübermittlung in Unternehmensgruppen bzw. im Konzern auf Basis der Rechtsgrundlage des Art. 6 Abs. 1 f DSGVO getroffen.
Sachverhalt
Ein Betroffener beschwerte sich bei der österreichischen Datenschutzbehörde wegen unrechtmäßiger Datenverarbeitungen. Das Unternehmen A (ein Online-Glücksspielunternehmen) habe seine personenbezogenen Daten an ein weiteres Glücksspielunternehmen B (welches derselben Unternehmensgruppe angehört) unrechtmäßig weitergeleitet, bzw. ohne hinreichende Rechtfertigungsgründe gemäß Art. 6 DSGVO verarbeitet.
Die Besonderheit war hier, dass sich der Betroffene in zivilrechtlichen Gerichtsverfahren und Streitigkeiten mit Unternehmen A und Unternehmen B befand.
Der Betroffene forderte von Unternehmen A seine erlittenen Spielverluste zurück. Das Verfahren endete mit einem außergerichtlichen Vergleich. Kurz danach registrierte sich der Betroffene auf der Website des Glückspielunternehmens B und forderte im Rahmen eines Zivilverfahrens auch dort seine erlittenen Spielverluste zurück. Die Klage wurde aber abgewiesen, da das Zivilgericht Rechtsmissbrauch feststellte.
Diese letzte Klage wurde unter anderem deswegen abgewiesen, weil Unternehmen A dem Unternehmen B (aus derselben Unternehmensgruppe) Informationen zu dem Betroffenen weitergeleitet hatte, damit sich Unternehmen B gegen die Ansprüche wehren kann.
Die Frage für das Gericht war nun, ob die Datenübermittlung an das Konzernunternehmen zulässig war.
Entscheidung
Das BVwG führt für die in Rede stehende Datenübermittlung eine Prüfung der Voraussetzungen der Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO durch.
1. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden,
2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person.
Verarbeitung für andere Unternehmen (in der Gruppe) möglich
Zunächst stellt das BVwG fest, dass Art. 6 Abs. 1 f DSGVO es auch ermöglicht, eine entsprechende Verarbeitung für die berechtigten Interessen eines Dritten vorzunehmen. Hier, für Unternehmen B, welches mit Unternehmen A Teil einer Unternehmensgruppe ist. Dies ist ein wichtiger Hinweis für die Praxis, soweit es konzern- bzw. gruppenbezogene Verarbeitungen betrifft. Ein Unternehmen kann Daten zulässigerweise für die Interessen der verbundenen Unternehmen verarbeiten.
Berechtigtes Interesse
Das BVwG geht davon aus, dass hier ein berechtigtes Interesse sowohl von Unternehmen A als auch B vorlag. Unternehmen A stützte sich (wie auch die Datenschutzbehörde) auf ein Interesse zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen in Verbindung mit einem anhängigen Gerichtsverfahren,
„um eine rechtsmissbräuchliche (risikolose) Spielweise in den Onlinecasinos der Unternehmensgruppe zu verhindern“.
Für die Praxis wird man dieser Ansicht etwas allgemeiner und unabhängig von Onlinecasinos entnehmen können, dass zur Verteidigung gegen rechtsmissbräuchliches Vorgehen von Kunden (oder ggfs. Beschäftigten) eine Datenübermittlung an Gruppenunternehmen ein berechtigtes Interesse darstellt.
Unternehmen A informierte das andere Mitglied der Gruppe, dass bereits zuvor durch den Betroffenen Spielverluste rückgefordert wurden und verhalf Unternehmen B, durch den sodann erhobenen Einwand des Rechtsmissbrauchs, zum Obsiegen im zivilgerichtlichen Verfahren.
Aus Sicht des BVwG ergibt sich das berechtigte Interesse aus dem legitimen Zweck zur Verteidigung von Rechtsansprüchen gegen eine betrügerische Spielweise von registrierten Kunden. Dieses Interesse ist auch rechtmäßig. Das BVwG verweist hierzu auf Art. 48 der Charta der Grundrechte, der grundrechtlichen Verankerung von Verteidigungsrechten in einem Gerichtsverfahren.
Erforderlichkeit der Datenverarbeitung
Zudem muss die Datenverarbeitung im Rahmen der Verarbeitungsgrundsätze nach Art. 5 Abs. 1 DSGVO auf das Notwendigste beschränkt sein. Nach Ansicht des BVwG beschränkte sich die Datenübermittlung auf ein Minimum an Information. Insbesondere hatte der Betroffene schon durch die Registrierung auf der Website von Unternehmen B bereits einige persönlichen Daten angegeben.
„Der Informationsgehalt der Übermittlung bestand ausschließlich darin, dass der BF bereits gegen ein Mitglied der Unternehmensgruppe Spielverluste gerichtlich geltend gemacht hatte.“
Für das Gericht war damit klar, dass eine über den Zweck der Verteidigung von Rechtsansprüchen hinausgehende Datenverarbeitung nicht stattgefunden hat.
Interessenabwägung
Zuletzt nimmt das BVwG die erforderliche Abwägung der Interessen mit jenen des Betroffenen vor. Es ist zu beurteilen, ob das berechtigte Interesse des Betroffenen an seinen personenbezogenen Daten gegenüber jenem des Verantwortlichen überwiegt.
Der Betroffene sah dies natürlich so. Er gab an, dass die Datenübermittlung dazu geführt habe, dass er das zivilgerichtliche Verfahren betreffend die Rückforderung seiner Spielschulden verloren habe. Daraus sei ihm ein Nachteil entstanden.
Diese Argumente lässt aber das BVwG nicht gelten.
Zum einen stellt das Gericht fest, dass nicht jede negative Auswirkung zu einem Überwiegen im Rahmen der zu treffenden Interessensabwägung führt. Auch diese Feststellung ist für die Praxis wichtig: „nur“, weil eine Verarbeitung ggfs. negative Folgen für den Betroffenen hat, bedeutet dies noch nicht direkt, dass auch die Interessenabwägung zulasten des Verantwortlichen ausgeht.
Das Gericht legt als Maßstab das zu gegenüberstellende berechtigte Interesse des Verantwortlichen und Dritten an.
„Die Verteidigung von Rechtsansprüchen bildet ein fundamentales Grundrecht der österreichischen Rechtsordnung sowie des europäischen Rechts.“
Möchte man bei der Ausübung dieses Grundrechts eine „unverhältnismäßige“ Schädigung des Betroffenen annehmen, sei ein strenger Maßstab anzulegen.
Vorliegend geht das BVwG nicht von einem Überwiegen der Interessen des Betroffenen aus. Die Datenübermittlung zwischen den Unternehmen war daher zulässig.