In letzter Zeit hat der EuGH einige relevante Aussagen zum Erlaubnistatbestand der Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO getroffen. Die Tendenz des Gerichts ist hierbei recht streng. Bekanntlich verknüpft der EuGH die Frage, ob sich ein Unternehmen überhaupt auf diese Rechtsgrundlage berufen kann, auch mit der Transparenzanforderung des Art. 13 Abs. 1 d) DSGVO.
Danach muss der Verantwortliche zum Zeitpunkt der Erhebung von personenbezogenen Daten, wenn die Verarbeitung auf Art. 6 Abs. 1 f) DSGVO beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden, der betroffenen Person mitteilen.
Rechtssache „Mousse“
In der Rechtssache C‑394/23 („Mousse“, Rz. 52) verknüpft der EuGH die Erfüllung der Transparenzpflicht mit der Rechtsgrundlage nach Art. 6 Abs. 1 f) DSGVO.
„Wie der Generalanwalt in Nr. 58 seiner Schlussanträge ausgeführt hat, verlangt diese Bestimmung, dass den betroffenen Personen zum Zeitpunkt der Erhebung der Daten unmittelbar das verfolgte berechtigte Interesse mitgeteilt wird, da andernfalls diese Erhebung nicht auf der Grundlage von Art. 6 Abs. 1 Unterabs. 1 Buchst. f dieser Verordnung gerechtfertigt werden kann.“
Zu den erwähnten Schlussanträgen des Generalanwalts hatte ich hier im Blog berichtet (Blogbeitrag). Er ist sogar noch deutlicher als der EuGH:
„Mit anderen Worten: Die aus der Nichteinhaltung der Informationspflicht nach Art. 13 Abs. 1 Buchst. d DSGVO resultierende Sanktion ist die Rechtswidrigkeit der Verarbeitung der betreffenden personenbezogenen Daten.“
Koninklijke Nederlandse Lawn Tennisbond
Bereits zuvor, im Oktober 2024, hat der EuGH (Rechtssache C-621/22) im Hinblick auf die Frage, ob sich ein Verantwortlicher auf Art. 6 Abs. 1 f) DSGVO berufen kann, eine strenge Ansicht vertreten (Rz. 50).
„Sollte ein solches Interesse als berechtigt angesehen werden, müsste der Verantwortliche zudem allen anderen ihm obliegenden Pflichten aus der DSGVO nachkommen, damit die Wahrnehmung dieses Interesses eine Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO rechtfertigen kann.“
Im Unterschied zur Entscheidung „Mousse“ verknüpft der EuGH hier die Möglichkeit, sich auf Art. 6 Abs. 1 f) DSGVO zu berufen, sogar nicht nur mit der Erfüllung der Transparenzpflicht des Art. 13 Abs. 1 d) DSGVO, sondern mit der Einhaltung aller (!) Pflichten aus der DSGVO. Man kann sicher gut darüber diskutieren, ob nun z.B. ein Verstoß gegen Art. 30 Abs. 1 DSGVO, weil es einen Fehler im Verzeichnis gibt, direkt dazu führen sollte, dass ein Verantwortlicher nicht mehr die Rechtsgrundlage des Art. 6 Abs. 1 f) DSGVO nutzen kann – die Tendenz beim EuGH zu dieser Frage scheint zumindest derzeit aber klar.
Anwendung der Vorgaben in der Praxis
Und wie kommt diese Rechtsprechung in der Praxis an? Sie scheint auf jeden Fall von Gerichten und Aufsichtsbehörden angewendet zu werden – mit entsprechenden (negativen) Folgen für Verantwortliche.
Beispiel 1 – Aufsichtsbehörde Berlin
In ihrem letzten Newsletter berichtet die Datenschutzbehörde Berlin, dass sie die Vorgaben des EuGH aus der Entscheidung „Mousse“ konkret anwendet und eine Rechtmäßigkeit auf Basis von Art. 6 Abs. 1 f) DSGVO ablehnt, wenn Verantwortliche nicht über die berechtigten Interessen informieren. Konkret ging es um Prüfverfahren im Rahmen der Datenverarbeitung für Zwecke des Einsatzes von KI.
„Dieser Verstoß gegen die Informationspflichten nach Art. 13 bzw. Art. 14 DSGVO kann sich unmittelbar auf die Rechtmäßigkeit der Datenverarbeitung auswirken. Gerade wenn sich Verantwortliche auf die Verarbeitung personenbezogener Daten zur Wahrung berechtigter Interessen berufen, gehen wir nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) davon aus, dass dies unzulässig ist, wenn betroffenen Personen nicht einmal das berechtigte Interesse mitgeteilt wird, auf das sich die Verantwortlichen berufen.“
Beispiel 2 – Bundesverwaltungsgericht Österreich
Und auch die jüngste Rechtsprechung scheint die neuen Vorgaben des EuGH umzusetzen. In einer Entscheidung des Bundesverwaltungsgerichts Österreich vom 11. Juni 2025 (W211 2308914-1) verweist das Gericht auf die EuGH-Rechtsprechung. Es ging in dem Verfahren um die Frage, ob eine umfassende Videoüberwachung auf Art. 6 Abs. 1 f) DSGVO gestützt werden konnte. Die Datenschutzbehörde Österreich lehnte dies ab. Das Gericht folgt der Argumentation und sieht Art. 6 Abs. 1 f) DSGVO als nicht anwendbar, da der Verantwortliche nicht über die „berechtigten Interessen“ informierte.
„Auf Basis der neuen Rechtsprechung des EuGH ist es im Fall einer Rechtfertigung gemäß Art. 6 Abs. 1 lit. f DSGVO erforderlich, dass der:die Verantwortliche in der Phase der Erhebung der in Rede stehenden Daten gemäß Art. 13 DSGVO das konkrete berechtigte Interesse den Betroffenen mitgeteilt hat (vgl. EuGH 09.01.2025, C-394/23 (Mousse), EU:C:2025:2, Rz 52, 63, 64).“
„Bereits aufgrund dieses rezenten Judikats des EuGH kann – umgelegte auf den konkreten Sachverhalt – nicht von einer für den vorbrachten Zweck erforderlichen und somit rechtmäßigen Datenverarbeitung ausgegangen werden, welche auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann.“
Fazit
Die Tendenz ist klar: berechtigte Interessen sollten in jedem Fall so konkret wie möglich in Datenschutzhinweisen bzw. entsprechenden Informationen angegeben werden, wenn sich ein Verantwortlicher auf die Rechtsgrundlage des Art. 6 Abs. 1 f) DSGVO stützen möchte. Ein Nachschieben dieser Information scheint aufgrund des Wortlauts von Art. 13 Abs. 1 DSGVO („zum Zeitpunkt der Erhebung dieser Daten“) wohl nicht möglich.