Nach Art. 6 Abs. 1 b) DSGVO ist eine Verarbeitung zulässig, wenn sie für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, ist die auf Anfrage der betroffenen Person erfolgen. Aber was ist der „Vertrag“ im Sinne der DSGVO? Mit dieser praxisrelevanten Frage hat sich jüngst der BGH in einem Urteil (10.12.2025 – II ZR 132/24) befasst.
Hintergrund
In dem Verfahren ging es um die Frage, ob ein Mitglied eines eingetragenen Sportvereins gegenüber dem Verein einen Anspruch auf Herausgabe der E-Mail-Adressen von anderen Vereinsmitgliedern hat. Der Zweck war, die anderen Mitglieder vor einer Entscheidung über den Verkauf von Grundstücksflächen des Vereins zu kontaktieren und u.a. Gegendarstellungen zu öffentlichen Informationen des Präsidiums zu dem angedachten Verkauf zu erstellen.
Datenschutzrechtlich interessant war die Frage, ob die Übermittlung der angefragten Mail-Adressen (personenbezogene Daten) zur „Vertragserfüllung“ zwischen dem Mitglied und dem Verein erforderlich und damit rechtmäßig ist. Hierfür war zu klären, ob überhaupt ein „Vertrag“ im Sinne der DSGVO vorliegt. Die Besonderheit in diesem Fall war, dass für den Vereinsbeitritt nach den Vorgaben der Satzung des Verantwortlichen eine Willenserklärung seitens des Vereins als Verantwortlichem für die Aufnahme eines Vereinsmitglieds nicht erforderlich war. Es fehlte hier also an den klassischen Merkmalen des Vertrages nach dem deutschen BGB, zwei korrespondieren Willenserklärungen. Grundsätzlich kommen Verträge zustande durch auf den Vertragsschluss gerichtete, einander entsprechende Willenserklärungen, in der Regel durch Angebot („Antrag“) und Annahme nach §§ 145 ff BGB (BGH, Urt. v. 07.11.2001 – VIII ZR 13/01).
Was sagt der EDSA?
In seinen Leitlinien 2/2019 zur Auslegung von Art. 6 Abs. 1 b) DSGVO ist der EDSA sehr deutlich.
„Wenn ein Verantwortlicher nicht nachweisen kann, dass a) ein Vertrag besteht, b) der Vertrag nach dem geltenden nationalen Vertragsrecht gültig ist und c) die Verarbeitung für die Erfüllung des Vertrags objektiv erforderlich ist, sollte der Verantwortliche eine andere Rechtsgrundlage für die Verarbeitung in Erwägung ziehen.“ (Rz 25)
Die Datenschutzbehörden verlangen für die Anwendung von Art. 6 Abs. 1 b) DSGVO also für das Merkmal „Vertrag“ einen solchen, der nach dem nationalen Vertragsrecht gültig sein muss. Im Fall des BGH wäre hier also ein Vertrag nach dem BGB erforderlich.
Entscheidung des BGH
Der BGH vertritt in seinem Urteil jedoch eine andere Ansicht.
„Entgegen der Ansicht der Revision ist der Begriff des Vertrags dabei nicht zivilrechtlich auszulegen, sondern datenschutzrechtlich und unionsautonom.“
Der BGH stellt, mit Blick auf den europarechtlichen Hintergrund der DSGVO, gerade nicht auf nationale zivilrechtliche Vorgaben ab. Vielmehr ist seiner Ansicht nach eine unionrechtsautonome Auslegung des Begriffs erforderlich.
Weiter begründet der BGH:
„Es kommt nicht darauf an, ob das Rechtsverhältnis, zu dessen Erfüllung die Verarbeitung erforderlich ist, ein Vertrag i.S.d. Bürgerlichen Gesetzbuchs ist, sondern ob das datenschutzrechtliche Telos des Erlaubnistatbestands erfüllt ist.“
Für den BGH kommt es entscheidend darauf an, was der Zweck der Regelung bzw. des Begriffs „Vertrag“ nach der DSGVO ist. Wie dieser Vertrag geschlossen wird, ist für das Gericht jedoch nicht relevant. Insbesondere nicht, welche nationalen Vorgaben eventuell gelten würden.
Damit vertritt der BGH klar eine andere Ansicht als der EDSA. Denn dieser geht in seinen Leitlinien ausdrücklich auf die Gültigkeit nach „nationalem Vertragsrecht“ ein. Eben diese Interpretation lehnt der BGH ab.
Aus diesem Grund nimmt der BGH im konkreten Fall auch einen „Vertrag“ im Sinne der DSGVO an, obwohl keine zwei korrespondierenden Willenserklärungen vorlagen.
„Maßgeblich ist allein, ob das Rechtsverhältnis privatautonom begründet ist und die maßgebliche Verpflichtung daher als Ausdruck der Selbstbestimmung legitimiert ist.“
Der BGH geht sogar noch weiter und lässt für die Erfüllung des Tatbestandes „all jene vertragsähnlichen Konstellationen“ ausreichen,
„die gleichermaßen auf willentliche Entscheidungen des von der Verarbeitung Betroffenen zurückgehen“.
Die Auslegung des BGH dürfte in der Praxis zu einem erweiterten Anwendungsbereich der Rechtsgrundlage des Art. 6 Abs. 1 b) DSGVO führen, wenn man nicht ohnehin schon zuvor den Begriff „Vertrag“ weiter, im Sinne eines Schuld- bzw. Rechtsverhältnisses verstanden hat.