Seit Inkrafttreten der europäischen Datenschutzgrundverordnung (DSGVO) stehen insbesondere Unternehmen vor der Herausforderung, von ihnen durchgeführte Datenverarbeitungsvorgänge hinsichtlich personenbezogener Daten Dritter mit entsprechenden Erlaubnistatbeständen unterlegen zu müssen.
Hier wurde in der Vergangenheit häufig auf den Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO, mithin auf das Vorliegen „überwiegender berechtigter Interessen“ des Unternehmens an der Datenverarbeitung, abgestellt, da dieser Tatbestand aufgrund seiner verhältnismäßig offenen Formulierung vermeintlich einen gewissen Spielraum hinsichtlich der tatsächlichen Begründung für die Datenverarbeitung gewährte. Die Norm hat sich insoweit faktisch zu einer Art Auffangtatbestand entwickelt, der gerne herangezogen wird, wenn weder eine Einwilligung noch andere Erlaubnistatbestände verfügbar sind.
Nach zwei neueren Entscheidungen des europäischen Gerichtshofs (EuGH) zeichnet sich aber ab, dass diese Handhabung in Zukunft wohl kaum noch empfehlenswert sein wird. So stellte der EuGH in der Rechtssache „Mousse“ (EuGH C-394/23) Anfang des Jahres klar, dass sich ein Verantwortlicher nur dann auf ein berechtigtes Interesse an der Datenverarbeitung berufen dürfe, wenn er die betroffene Person bereits zum Zeitpunkt der Datenerhebung darüber informiere, um welches konkrete berechtigte Interesse es sich seiner Auffassung nach handele. Dies hatte das betroffene Unternehmen nicht getan, sondern sich lediglich pauschal auf das Vorliegen nicht näher konkretisierter berechtigter Interessen berufen, was der EuGH nicht ausreichen ließ. Noch weiter ging der EuGH im Übrigen bereits in der Rechtssache „Koninklijke Nederlandse Lawn Tennisbond“ (EuGH C-621/22), in der er sogar (freilich ohne nähere Konkretisierung) ausführte, ein Verantwortlicher könne sich überhaupt nur dann auf das Vorliegen berechtigter Interessen an der Datenverarbeitung berufen, wenn er im Übrigen „alle einschlägigen Pflichten der DSGVO“ einhalte.
Wie diese Formulierung in der Praxis zu interpretieren sein wird, bleibt abzuwarten. Festzuhalten ist allerdings bereits jetzt, dass es nicht (mehr) zu empfehlen ist, sich als Verantwortlicher pauschal auf das Vorliegen berechtigter Interessen an der Datenverarbeitung zu berufen. Vielmehr ist dringend anzuraten, bereits bei der Erhebung der Daten gegenüber der betroffenen Person konkret mitzuteilen, welche genauen berechtigten Interessen an der Datenverarbeitung im jeweiligen Einzelfall vorliegen. Diese Verpflichtung ergibt sich im Übrigen, worauf auch der EuGH hinwies, bereits aus dem Wortlaut des Art. 13 Abs. 1 lit. d DSGVO („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“). (MJ)