Welche Datenverarbeitungen werden vernünftigerweise erwartet?

Sehr geehrte Leserinnen und Leser,

im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO spielen die vernünftigen Erwartungen der betroffenen Personen bekanntermaßen eine Rolle. Doch welche Datenverarbeitungen können vernünftigerweise erwartet werden und was passiert, wenn die Erwartungen nicht mit der tatsächlich erfolgenden Datenverarbeitung übereinstimmen? Zur Findung von Ideen für die Klärung dieser Fragen werfe ich einen kurzen Blick in die DSGVO und die jüngste EuGH-Rechtsprechung zur Interessenabwägung.

In ErwGr.47 zur DSGVO werden die vernünftigen Erwartungen betroffener Personen gleich drei Mal erwähnt. Was umgangssprachlich als vernünftig und unvernünftig gilt, dürfte in vielen Lebenslagen von unterschiedlichen Menschen unterschiedlich beurteilt werden. In der DSGVO wird man den Begriff „vernünftig“ in Anlehnung an die englische Sprachfassung wohl eher als „angemessen“ verstehen sollen. In dem eben schon genannten Erwägungsgrund wird erkennbar, dass die vernünftigen Erwartungen in jedem Fall bei der Abwägung der gegenüberstehenden Interessen berücksichtigt werden müssen. Zur Bestimmung der vernünftigen Erwartungen muss man laut ErwGr.47 zur DSGVO auf die Beziehung zwischen dem Verantwortlichen und der betroffenen Person achten. Je enger die Beziehung ist, desto eher wird grundsätzlich irgendeine Form von Datenverarbeitung erwartet werden können. Ein Beschäftigter oder auch ein Kunde eines Verantwortlichen wird Datenverarbeitungen eher erwarten, als wenn sich die betroffene Person und der Verantwortliche überhaupt nicht kennen. Laut ErwGr. 47 zur DSGVO müssen außerdem die Umstände der Datenverarbeitung für die Bestimmung der Erwartungen herangezogen werden. Dies lässt in jedem Fall Raum dafür, dass ein Verantwortlicher durch die Ausgestaltung der konkreten Umstände der Datenverarbeitung die vernünftigen Erwartungen beeinflussen kann.

In ErwGr.47 zur DSGVO heißt es außerdem: „Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.“ An der Stelle wird also deutlich, dass bei nicht vorhandenen vernünftigen Erwartungen die Interessen der betroffenen Personen am Ausbleiben der Datenverarbeitung überwiegen „können“, aber nicht immer zwangsläufig überwiegen „müssen“.

Der EuGH ist zuletzt in der Rechtssache Meta Platforms/Bundeskartellamt auf die vernünftigen Erwartungen eingegangen. In Rn. 117 entschied der Gerichtshof, dass ein Nutzer eines kostenlosen sozialen Netzwerks „vernünftigerweise nicht damit rechnen kann, dass der Betreiber dieses sozialen Netzwerks seine personenbezogenen Daten ohne seine Einwilligung zum Zweck der Personalisierung von Werbung verarbeitet“. Weiter heißt es, dass „unter diesen Umständen (…) davon auszugehen [ist], dass die Interessen und Grundrechte eines solchen Nutzers gegenüber dem Interesse dieses Betreibers an einer solchen Personalisierung (…) überwiegen“ und die Datenverarbeitung deswegen nicht basierend auf Art. 6 Abs. 1 lit. f DSGVO vorgenommen werden kann. In Rn. 117 kann man den EuGH also so verstehen, dass bei einer nicht vorhandenen Übereinstimmung der vernünftigen Erwartungen einerseits und der konkret erfolgenden Datenverarbeitung andererseits automatisch immer die Interessen der betroffenen Person überwiegen. Das ist ein erheblicher Unterschied im Vergleich zur Kann-Formulierung in ErwGr.47 zur DSGVO. Ggf. hat der EuGH hier auch (nur) den Fall der Personalisierung von Werbung betrachtet und wollte keine allgemeingültige Aussage treffen. Es könnte sein, dass bei der Personalisierung von Werbung in sozialen Netzwerken die vernünftigen Erwartungen eine andere Rolle spielen als bei Datenverarbeitungen zu anderen Zwecken und in anderen Kontexten. Es bleibt auf jeden Fall spannend genau weiterhin zu beobachten, wie der EuGH in Folgeentscheidungen die vernünftigen Erwartungen bestimmen und gewichten wird. Man denke nur an einen Fall, wo die Datenerhebung nicht bei der betroffenen Person erfolgt und eine Ausnahme von den Informationspflichten aus Art. 14 DSGVO anwendbar ist. Welche Erwartungen sind dann vorhanden und was bedeutet dies für den Anwendungsbereich des Art. 6 Abs. 1 lit. f DSGVO?

Sofern Sie dieses Jahr bei unserer Datenschutzkonferenz zu Gast sind, dürfen Sie in jedem Fall vernünftigerweise spannende Vorträge und anregende Diskussionen sowie einen ungezwungenen Austausch bei Speis und Trank erwarten. Darauf freue ich mich schon sehr und wünsche Ihnen jetzt erst einmal viel Spaß beim Lesen.

Ihr

Ihr

Philipp Quiel

Dieser Beitrag erschien als Editorial in der Ausgabe 09/2023 des Datenschutz-Berater.