Der EuGH hat sich in seiner Entscheidung in der Rechtssache C-394/23 vom 9. Januar 2025 mit dem Merkmal der Erforderlichkeit und ihrem Verhältnis zur Datenminimierung auseinandergesetzt. Nach Ansicht des Gerichts müssen Verantwortliche bei der Erforderlichkeit berücksichtigen, ob nicht der beabsichtigte Zweck auf anderer Weise vergleichbar erreicht werden kann. Das schränkt die Flexibilität bei der Gestaltung von Geschäftsprozessen erheblich ein.
Hintergrund
Der Entscheidung des EuGH lag ein Vorabentscheidungsersuchen des französischen Conseil d’État (Staatsrat) zu Grunde. Das Gericht wollte wissen, ob ein Verantwortlicher bei der Bewertung der „Erforderlichkeit“ im Sinne des Art. 6 Abs. 1 lit. b und f DSGVO „die allgemeine Verkehrssitte in der geschäftlichen, privaten und behördlichen Kommunikation“ berücksichtigen darf oder dies der Grundsatz der Datenminimierung nicht zulasse. Ferner wollte das Gericht wissen, ob ein Widerspruchsrecht des Betroffenen nach Art. 21 Abs. 1 DSGVO im Rahmen der Erforderlichkeit zu berücksichtigen ist.
Im konkreten Fall hatte die französische Staatsbahn SNCF beim online-Ticketkauf die „Anrede“ als Pflichtangabe gekennzeichnet. Nach der Beschwerde der Association Mousse bei der französischen Datenschutzaufsichtsbehörde Commission nationale de l’informatique et des libertés (CNIL) gegen diese Praxis wies die CNIL die Beschwerde als unbegründet zurück, wogegen sich Mousse mit ihrer Klage wandte.
Die CNIL hatte ihre Entscheidung unter anderem damit begründet, dass die angegriffene Datenerhebung für die Erfüllung des betreffenden Vertrags über die Erbringung von Beförderungsdienstleistungen erforderlich sei. Diese Verarbeitung sei zudem mit dem Grundsatz der Datenminimierung vereinbar, da die personalisierte Ansprache der Kunden unter Verwendung ihrer Anrede der allgemeinen Verkehrssitte für die in Frankreich üblichen Gepflogenheiten bei der Kommunikation entspräche.
Die Entscheidung des EuGH
Der EuGH sieht in der Verarbeitung der Anrede im konkreten Fall keine Erforderlichkeit für die konkreten Zwecke. Gepflogenheiten und gesellschaftliche Konventionen sind bei der Bewertung der Erforderlichkeit nicht zu berücksichtigen.
Wie schon in der Vergangenheit legt der EuGH das Kriterium der Erforderlichkeit sowohl im Zusammenhang mit der Verarbeitung von Daten zum Zweck der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) als auch im Rahmen der Verarbeitung aufgrund eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) eng aus. Die Erforderlichkeit muss zusammen mit dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) bewertet werden. Eine Verarbeitung zum Zweck der Vertragserfüllung muss das Erforderlichkeitskriterium nach Auffassung des EuGH für jede gesondert zu erbringende Dienstleistung erfüllen. D.h., besteht die geschuldete Leistung aus mehreren trennbaren Leistungen, muss eine auf Art. 6 Abs. 1 lit. b DSGVO gestützte Datenverarbeitung für alle Leistungen wesentlich sein. Für die Bewertung der Erforderlichkeit spielt nach Auffassung des EuGH die Verkehrssitte oder Gepflogenheit grundsätzlich keine Rolle. Im Rahmen des berechtigten Interesses muss der Verantwortliche insoweit prüfen, ob das beabsichtigte Ziel nicht durch eine möglicherweise grundlegend andere (aber datensparsamere) Datenverarbeitung erreicht werden kann, die das durch die Verkehrssite bzw. Gepflogenheit beabsichtigte Ziel (hier die Inklusion bei der Ansprache) anderweitig erreicht. Dass Betroffenen im Rahmen des Art. 6 Abs. 1 lit. f DSGVO ein Widerspruchsrecht gegen die Verarbeitung zusteht, hat für die Bewertung der Erforderlichkeit keine Relevanz.
Praxisempfehlung
Die weitere Schärfung der Rechtsprechung des EuGH in Bezug auf die Erforderlichkeit bei der Datenverarbeitung muss von Unternehmen als Verantwortlichen und im Rahmen von Privacy by Design schon bei der Konzeption von datenverarbeitenden Produkten und Dienstleistungen berücksichtigt und kritisch geprüft werden: Allein die Nützlichkeit eines Datums für einen bestimmten Zweck genügt nicht, um eine rechtmäßige Datenverarbeitung hierauf zu stützen. Vielmehr muss sorgfältig geprüft werden, welche datensparsameren Alternativen – auch schon bei der Konzeption abseits der konkreten Datenverarbeitung – möglich sind. Dies gilt auch im Rahmen von Datenverarbeitungen auf Basis eines berechtigten Interesses. Gepflogenheiten und Verkehrssitte können lediglich im Rahmen der Interessenabwägung berücksichtigt werden, jedoch nicht bei der Bestimmung, welches Datum für die Verarbeitung erforderlich ist.
