Vorläufige Fassung
SCHLUSSANTRÄGE DES GENERALANWALTS
MACIEJ SZPUNAR
vom 11. Juli 2024(1)
Rechtssache C‑394/23
Association Mousse
gegen
Commission nationale de l’informatique et des libertés (CNIL),
SNCF Connect
(Vorabentscheidungsersuchen des Conseil d’État [Staatsrat, Frankreich])
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 6 Abs. 1 – Grundsatz der Rechtmäßigkeit der Verarbeitung – Art. 5 Abs. 1 Buchst. c – Grundsatz der Datenminimierung – Anrede – Onlineerwerb von Beförderungsdienstleistungen – Art. 21 –Widerspruchsrecht“
I. Einleitung
1. Die Verordnung (EU) 2016/679(2) (im Folgenden: DSGVO) soll ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten gewährleisten. Zu diesem Zweck verpflichtet sie die für die Verarbeitung Verantwortlichen, bei der Verarbeitung personenbezogener Daten eine Reihe von Grundsätzen zu beachten, darunter den Grundsatz der „Datenminimierung“ und den Grundsatz der Rechtmäßigkeit der Verarbeitung.
2. Diese beiden Grundsätze stehen im Mittelpunkt des vorliegenden Falles, in dem es um einen Rechtsstreit zwischen einem Verband und einer nationalen Aufsichtsbehörde über die Frage der Verarbeitung der Anrededaten von Kunden durch ein Transportunternehmen zu dem erklärten Zweck geht, diese Daten in der geschäftlichen Kommunikation dieses Unternehmens zu verwenden, und der dem Gerichtshof somit die Gelegenheit bietet, die Tragweite dieser Grundsätze zu präzisieren.
II. Rechtlicher Rahmen
A. Unionsrecht
3. In den Erwägungsgründen 4, 10, 39, 40, 44, 47, 69 und 75 der DSGVO heißt es:
« (4) Die Verarbeitung personenbezogener Daten sollte im Dienste der Menschheit stehen. Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der [Charta der Grundrechte der Europäischen Union, im Folgenden: Charta] anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikation, Schutz personenbezogener Daten, Gedanken‑, Gewissens- und Religionsfreiheit, Freiheit der Meinungsäußerung und Informationsfreiheit, unternehmerische Freiheit, Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren und Vielfalt der Kulturen, Religionen und Sprachen.
…
(10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. …
…
(39) … Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. … Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. …
(40) Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, die sich aus dieser Verordnung oder – wann immer in dieser Verordnung darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten ergibt, so unter anderem auf der Grundlage, dass sie … zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich ist.
…
(44) Die Verarbeitung von Daten sollte als rechtmäßig gelten, wenn sie für die Erfüllung oder den geplanten Abschluss eines Vertrags erforderlich ist.
…
(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist …. Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. … Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar. Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.
…
(69) Dürfen die personenbezogenen Daten möglicherweise rechtmäßig verarbeitet werden, weil die Verarbeitung für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt[,] oder in Ausübung öffentlicher Gewalt – die dem Verantwortlichen übertragen [wurde –] oder aufgrund des berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich ist, sollte jede betroffene Person trotzdem das Recht haben, Widerspruch gegen die Verarbeitung der sich aus ihrer besonderen Situation ergebenden personenbezogenen Daten einzulegen. Der für die Verarbeitung Verantwortliche sollte darlegen müssen, dass seine zwingenden berechtigten Interessen Vorrang vor den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person haben.
…
(75) Die Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – können aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer Diskriminierung … führen kann …“
4. Gemäß ihrem Art. 2 Abs. 1 gilt die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
5. Art. 4 DSGVO („Begriffsbestimmungen“) besagt:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen …
2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen …
…
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; …
…
11. ‚Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
…“
6. Art. 5 DSGVO („Grundsätze für die Verarbeitung personenbezogener Daten“) bestimmt:
„(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
…
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden (‚Richtigkeit‘);
…“
7. Art. 6 DSGVO („Rechtmäßigkeit der Verarbeitung“) bestimmt in Abs. 1:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
…“
8. Art. 13 DSGVO („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) bestimmt:
„(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
…
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
…“
9. Art. 21 DSGVO („Widerspruchsrecht“) bestimmt in Abs. 1:
„Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“
10. Art. 25 DSGVO („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) bestimmt in Abs. 2:
„Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. …“
B. Französisches Recht
11. Art. 8 der Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés(3) (Gesetz Nr. 78-17 vom 6. Januar 1978 über Datenverarbeitung, Dateien und individuelle Freiheiten) bestimmt:
„Die Commission nationale de l’informatique et des libertés [(Nationaler Ausschuss für Informatik und Freiheitsrechte, Frankreich, im Folgenden: CNIL)] ist eine unabhängige Verwaltungsbehörde.
Sie ist die nationale Aufsichtsbehörde im Sinne und für die Anwendung der [DSGVO]. Sie nimmt die folgenden Aufgaben wahr:
…
2° Sie stellt sicher, dass die Verarbeitung personenbezogener Daten in Übereinstimmung mit den Bestimmungen dieses Gesetzes und den sonstigen Bestimmungen zum Schutz personenbezogener Daten, die in Rechtsvorschriften, im Recht der Europäischen Union und in den von Frankreich eingegangenen völkerrechtlichen Verpflichtungen enthalten sind, erfolgt.
Zu diesem Zweck:
…
d) befasst sie sich mit Beschwerden, Ersuchen und Anzeigen einer betroffenen Person oder einer Stelle, einer Organisation oder eines Verbandes, ermittelt oder untersucht den Gegenstand der Beschwerde in angemessenem Umfang und unterrichtet den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung, insbesondere, wenn eine weitere Untersuchung oder die Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; …“
III. Sachverhalt des Ausgangsverfahrens, Verfahren vor dem Gerichtshof und Vorlagefragen
12. SNCF Connect ist ein Unternehmen, das über seine Website und Apps Bahnfahrkarten wie Zugtickets, Abonnements und Ermäßigungskarten vertreibt. Beim Erwerb dieser Fahrscheine sind die Kunden dieses Unternehmens verpflichtet, ihre Anrede anzugeben, indem sie „Herr“ oder „Frau“ ankreuzen.
13. Da die Klägerin des Ausgangsverfahrens, der Verband Mousse (im Folgenden: Mousse), der Ansicht war, dass die Bedingungen, unter denen die Anrede der Kunden beim Erwerb von Fahrscheinen erhoben und gespeichert wurde, nicht den Anforderungen der DSGVO entsprächen, reichte sie bei der CNIL eine Beschwerde gegen SNCF Connect ein. Zur Begründung dieser Beschwerde machte Mousse geltend, dass die Erhebung der betreffenden Daten nicht mit dem in Art. 5 Abs. 1 Buchst. a DSGVO verankerten Grundsatz der Rechtmäßigkeit vereinbar sei, da sie auf keiner der in Art. 6 Abs. 1 dieser Verordnung vorgesehenen Grundlagen beruhe. Zudem verstoße eine solche Erhebung gegen den Grundsatz der Datenminimierung und den Grundsatz der Richtigkeit, die in Art. 5 Abs. 1 Buchst. c bzw. d der Verordnung festgelegt seien, sowie gegen die Transparenz- und Informationspflichten, die sich insbesondere aus Art. 13 der Verordnung ergäben. Mousse argumentierte insoweit, dass SNCF Connect diese Daten nicht erheben dürfe oder zumindest seinen Kunden alternative Möglichkeiten anbieten müsse, wie z. B. die Option „neutral“ oder „sonstige“.
14. Mit Entscheidung vom 23. März 2021 schloss die CNIL das Beschwerdeverfahren ab und befand, dass die SNCF Connect vorgeworfenen Umstände keine Verstöße gegen die genannten Bestimmungen der DSGVO darstellten. Die CNIL stellte fest, dass die Verarbeitung der Daten gemäß Art. 6 Abs. 1 Buchst. b DSGVO rechtmäßig sei, da sie für die Erfüllung des Vertrags über die Erbringung von Beförderungsdienstleistungen erforderlich sei. Eine solche Verarbeitung stehe ferner im Hinblick auf ihre Zwecke mit dem Grundsatz der Datenminimierung in Einklang, da die Ansprache der Kunden unter Verwendung der entsprechenden Anrede der allgemeinen Verkehrssitte in der privaten, geschäftlichen und behördlichen Kommunikation entspreche.
15. Am 21. Mai 2021 reichte Mousse eine Nichtigkeitsklage gegen die Entscheidung der CNIL vom 23. März 2021 beim Conseil d’État (Staatsrat, Frankreich) ein. In seiner Klageschrift macht Mousse insbesondere geltend, dass die Verpflichtung, beim Onlineerwerb die Anrede „Herr“ oder „Frau“ zu wählen, weder dem Grundsatz der Rechtmäßigkeit noch dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 Buchst. a bzw. c DSGVO entspreche, da diese Anrede weder für die Erfüllung des Vertrags noch zur Wahrung der berechtigten Interessen von SNCF Connect erforderlich sei. Der Umstand, dass diese Anrede in der Geschäftskorrespondenz üblich sei, reiche nicht aus, um die Erhebung dieser Daten als erforderlich anzusehen. Schließlich beeinträchtige eine solche Verpflichtung das Recht auf Reisen ohne Angabe der Anrede, das Recht auf Achtung des Privatlebens sowie die Freiheit, den Ausdruck des eigenen Geschlechts frei zu bestimmen. Insbesondere bei Staatsangehörigen von Ländern, deren Personenstand das „neutrale Geschlecht“ zulasse, entspreche diese Angabe möglicherweise nicht der Realität und könnte daher gegen den in Art. 5 Abs. 1 Buchst. d DSGVO festgelegten Grundsatz der Richtigkeit verstoßen und gleichzeitig die durch das Unionsrecht garantierte Freizügigkeit beschneiden.
16. Die CNIL beantragt, die Klage abzuweisen, und argumentiert, dass die Verarbeitung der Anrededaten auch als zur Wahrung der von SNCF Connect verfolgten berechtigten Interessen im Sinne von Art. 6 Abs. 1 Buchst. f DSGVO „erforderlich“ eingestuft werden könne und dass die betroffenen Personen – je nach ihrer besonderen Situation – das in Art. 21 dieser Verordnung garantierte Widerspruchsrecht geltend machen könnten.
17. Das vorlegende Gericht fragt sich zum einen, ob bei der Beurteilung der Angemessenheit und Erheblichkeit der Datenerhebung und ihrer Beschränkung auf das notwendige Maß sowie der Erforderlichkeit der Verarbeitung die allgemeine Verkehrssitte in der privaten, geschäftlichen und behördlichen Kommunikation berücksichtigt werden kann, so dass die Erhebung von Daten hinsichtlich der Anrede der Kunden, die auf die Angaben „Herr“ oder „Frau“ beschränkt ist, als „rechtmäßig und im Einklang“ mit dem Grundsatz der Datenminimierung bezeichnet werden könnte. Zum anderen fragt sich das Gericht, ob bei der Beurteilung, ob die verpflichtende Erhebung und anschließende Verarbeitung von Daten hinsichtlich der Anrede der Kunden erforderlich ist, in Anbetracht der Tatsache, dass einige Kunden der Ansicht sind, dass auf sie keine der beiden Anreden zutreffe, zu berücksichtigen ist, dass die Kunden, nachdem sie dem Verantwortlichen diese Daten zur Verfügung gestellt haben, um die angebotene Dienstleistung in Anspruch zu nehmen, nach Art. 21 DSGVO ihr Recht, der Verwendung dieser Daten zu widersprechen, unter Berufung auf ihre besondere Situation geltend machen könnten.
18. Vor diesem Hintergrund hat der Conseil d’État (Staatsrat) das Verfahren ausgesetzt und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorgelegt:
1. Kann bei der Beurteilung der Angemessenheit, Erheblichkeit und Beschränkung auf das für die Zwecke der Verarbeitung der Daten notwendige Maß der Datenerhebung im Sinne der Bestimmungen von Art. 5 Abs. 1 Buchst. c DSGVO und der Erforderlichkeit ihrer Verarbeitung im Sinne von Art. 6 Abs. 1 Buchst. b und f DSGVO die allgemeine Verkehrssitte in der privaten, geschäftlichen und behördlichen Kommunikation berücksichtigt werden, so dass die auf die Angaben „Herr“ oder „Frau“ beschränkte Erhebung von Daten hinsichtlich der Anrede der Kunden als erforderlich angesehen werden könnte, ohne dass der Grundsatz der Datenminimierung dem entgegenstünde?
2. Ist bei der Beurteilung, ob die verpflichtende Erhebung und Verarbeitung von Daten hinsichtlich der Anrede der Kunden erforderlich ist, in Anbetracht der Tatsache, dass einige Kunden der Ansicht sind, dass auf sie keine der beiden Anreden zutreffe und dass die Erhebung dieser Daten in Bezug auf sie nicht erheblich sei, zu berücksichtigen, dass die Kunden, nachdem sie dem Verantwortlichen diese Daten zur Verfügung gestellt haben, um die angebotene Dienstleistung in Anspruch zu nehmen, nach Art. 21 DSGVO ihr Recht, der Verwendung und Speicherung dieser Daten zu widersprechen, unter Berufung auf ihre besondere Situation geltend machen könnten?
19. Schriftliche Erklärungen sind von Mousse, SNCF Connect, der französischen Regierung und der Europäischen Kommission eingereicht worden. Diese Beteiligten haben auch an der Sitzung vom 29. April 2024 teilgenommen.
IV. Würdigung
A. Zur ersten Vorlagefrage
20. Mit seiner ersten Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 5 Abs. 1 Buchst. c und Art. 6 Abs. 1 Buchst. b und f DSGVO dahin auszulegen sind, dass die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens als für die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen oder zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen oder eines Dritten erforderlich anzusehen ist, wenn diese Verarbeitung darauf abzielt, in Übereinstimmung mit der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation eine personalisierte geschäftliche Kommunikation zu ermöglichen.
21. Hierzu sind einleitend zwei Anmerkungen zu machen.
22. Erstens ist festzustellen, dass sich die Parteien einig sind und es keinen Zweifel gibt, dass Daten hinsichtlich der Anrede von Kunden eines Transportunternehmens personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO darstellen und dass ferner ihre Erhebung und Speicherung durch SNCF Connect als Verarbeitung im Sinne von Art. 4 Nr. 2 dieser Verordnung anzusehen sind, so dass sie im Licht der Bestimmungen dieser Verordnung geprüft werden müssen.
23. Zweitens vertreten SNCF Connect und die französische Regierung die Auffassung, dass eine Verneinung der ersten Vorlagefrage dazu führen würde, dass die DSGVO in einem ihr fremden Kontext angewendet würde, da der Gesetzgeber mit der Verabschiedung dieser Verordnung nicht beabsichtigt habe, die Verkehrssitte in der Kommunikation oder die Geschlechterfrage zu regeln. Ich stimme Generalanwalt Bobek zwar gerne insoweit zu, als Datenschutzvorschriften manchmal „unter ziemlich überraschenden Umständen … Anwendung finden“(4) können, doch scheint mir die vorliegende Situation nicht zu diesen Fällen zu gehören. Die Tatsache, dass es um Daten zur bürgerlichen Identität geht und dass dabei die in den nationalen Rechtsordnungen bestehenden Debatten über die Frage der Binarität des Geschlechts durchscheinen, kann nicht darüber hinwegtäuschen, dass es im vorliegenden Fall sehr wohl um die automatische Verarbeitung personenbezogener Daten der Kunden eines Transportunternehmens durch dieses Unternehmen geht, die nicht nur objektiv in den Anwendungsbereich der DSGVO fällt, sondern gerade eine Datenverarbeitung darstellt, deren Regelung Ziel des Unionsgesetzgebers war(5).
24. Ich werde daher meine Würdigung der ersten Vorlagefrage mit allgemeinen Ausführungen zur Voraussetzung der Rechtmäßigkeit der Datenverarbeitung beginnen, die nach der DSGVO für die für die Verarbeitung Verantwortlichen gilt, und sodann prüfen, ob diese Voraussetzung im Licht der dargelegten Grundsätze als erfüllt anzusehen ist, wenn es um die Verarbeitung von Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens geht, um in Übereinstimmung mit der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation mit diesen Kunden kommunizieren zu können.
1. Zur Rechtmäßigkeit der Verarbeitung personenbezogener Daten
25. Art. 5 DSGVO enthält eine Reihe von Grundsätzen für die Verarbeitung personenbezogener Daten. Insbesondere sieht diese Bestimmung vor, dass solche Daten „auf rechtmäßige Weise verarbeitet werden [müssen]“(6) und „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein [müssen]“(7). Mit anderen Worten: Jede Datenverarbeitung muss u. a. dem Grundsatz der Rechtmäßigkeit und dem Grundsatz der Datenminimierung entsprechen.
26. Art. 6 DSGVO legt die Tragweite des Grundsatzes der Rechtmäßigkeit der Datenverarbeitung fest. Soweit er eine Einschränkung des Rechts auf Schutz personenbezogener Daten(8) zulässt, erfüllt Art. 6 Abs. 1 dieser Verordnung die in Art. 52 Abs. 1 der Charta genannten Bedingungen: Die fragliche Einschränkung ist gesetzlich vorgesehen und achtet den Wesensgehalt dieses Rechts. Darüber hinaus ist die Einschränkung erforderlich und entspricht einer von der Union anerkannten dem Gemeinwohl dienenden Zielsetzung oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer(9).
27. So hat der Gesetzgeber sechs Gründe für eine rechtmäßige Datenverarbeitung vorgesehen, in denen die dem Gemeinwohl dienenden Zielsetzungen und die schutzbedürftigen Rechte und Freiheiten dargestellt werden, die eine Einschränkung des Rechts auf Schutz personenbezogener Daten rechtfertigen können. So enthält Art. 6 Abs. 1 DSGVO „eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann“(10).
28. Art. 6 Abs. 1 DSGVO legt keine strikte Hierarchie(11) zwischen den Gründen fest, aus denen die Datenverarbeitung als rechtmäßig anzusehen ist. Daher hat der Gerichtshof in seiner Rechtsprechung das Verhältnis zwischen diesen Gründen konkretisiert.
29. Zum einen stellte der Gerichtshof fest, dass nach Art. 6 Abs. 1 Buchst. a DSGVO „die Verarbeitung personenbezogener Daten rechtmäßig [ist], wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat“. Er führte ferner aus, dass, wenn „keine solche Einwilligung [vorliegt] …, eine solche Verarbeitung gleichwohl gerechtfertigt [ist], wenn sie eine der in Art. 6 Abs. 1 … Buchst. b bis f genannten Voraussetzungen in Bezug auf die Erforderlichkeit erfüllt“(12). Weiterhin stellte er fest, dass „die [fraglichen] Rechtfertigungsgründe eng auszulegen [sind], da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist“(13). Die in Art. 6 Abs. 1 DSGVO aufgeführten Gründe für die Verarbeitung personenbezogener Daten sind daher gleichwertig, und keiner von ihnen darf als im Verhältnis zu einem anderen nachrangig angesehen werden.
30. Zum anderen stellte der Gerichtshof fest, dass die in Art. 6 Abs. 1 DSGVO vorgesehenen Rechtfertigungsgründe nicht kumulativ vorliegen müssen. In diesem Sinne führte er aus, dass, „wenn festgestellt werden kann, dass eine Verarbeitung personenbezogener Daten aus einem der in Art. 6 Abs. 1 … Buchst. b bis f DSGVO vorgesehenen Gründe erforderlich ist, nicht geprüft zu werden [braucht], ob diese Verarbeitung auch unter einen anderen dieser Gründe fällt“(14). Anders ausgedrückt ist, wie ich bereits früher ausgeführt habe(15), die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie aus einem einzigen Grund gerechtfertigt ist, ohne dass ein Grund als im Verhältnis zu einem anderen nachrangig angesehen werden darf.
31. Der Grundsatz der Rechtmäßigkeit, der in Art. 6 Abs. 1 DSGVO beschrieben wird, kann jedoch nicht isoliert betrachtet werden. So urteilt der Gerichtshof in ständiger Rechtsprechung, dass dieser Aspekt „gemeinsam mit dem sogenannten Grundsatz der ‚Datenminimierung‘ zu prüfen ist, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist“(16). Dieser Grundsatz ist nach der Rechtsprechung des Gerichtshofs und meinen früheren Ausführungen(17) Ausdruck des Verhältnismäßigkeitsgrundsatzes(18), dem zufolge die eingesetzten Mittel zur Erreichung des verfolgten Ziels geeignet sein müssen und nicht über das dazu Erforderliche hinausgehen dürfen, was auch die französische Regierung in ihren schriftlichen Erklärungen betont(19).
32. Anders ausgedrückt bedeutet der Grundsatz der Datenminimierung, dass überprüft werden muss, ob die verarbeiteten Daten geeignet sind, den mit ihrer Verarbeitung verfolgten Zweck – gemäß den in Art. 6 Abs. 1 DSGVO genannten Gründen – zu erreichen, und ob die Daten nur dann verarbeitet werden, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise mit anderen Mitteln erreicht werden kann. Der Umfang der so verarbeiteten Daten ist sowohl in quantitativer als auch in inhaltlicher Hinsicht nicht größer als für die Erreichung dieses Zwecks erforderlich(20).
33. In diesem Zusammenhang möchte ich eine weitere Anmerkung machen. Der Gerichtshof hat den Grundsatz der Datenminimierung in Verbindung mit dem Grundsatz der Rechtmäßigkeit der Verarbeitung nur in Bezug auf Situationen ausgelegt, in denen die fragliche Verarbeitung auf einem der in Art. 6 Abs. 1 Buchst. b bis f DSGVO genannten Gründe beruhte. Mit anderen Worten: Der Gerichtshof hat nicht eindeutig geklärt, ob der Grundsatz der Datenminimierung auch dann gelten soll, wenn die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Man könnte die Auffassung vertreten, dass der für die Verarbeitung Verantwortliche, sofern die Person eingewilligt hat, alle Daten verarbeiten darf, ohne dass der Grundsatz der Datenminimierung dem entgegensteht.
34. Eine solche Auslegung ist meines Erachtens jedoch weder mit dem Ziel der DSGVO, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten, noch mit dem Wortlaut der fraglichen Bestimmungen vereinbar.
35. Art. 6 Abs. 1 Buchst. a DSGVO stellt die Rechtmäßigkeit der Verarbeitung nämlich unter die Voraussetzung, dass die betroffene Person „ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben“ hat(21). Insoweit ist klarzustellen, dass unter Einwilligung „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“(22) zu verstehen ist. Mit anderen Worten: Es darf sich nicht um eine allgemeine Einwilligung zur Verarbeitung aller Daten handeln. Außerdem muss der betroffenen Person der Zweck mitgeteilt werden, für den die Einwilligung zur Datenverarbeitung erteilt wird. Art. 5 Abs. 1 Buchst. c der Verordnung bestimmt, dass die verarbeiteten Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“(23) sein müssen. Vor diesem Hintergrund dürfte der Grundsatz der Datenminimierung auch dann gelten, wenn die Verarbeitung dieser Daten mit der Einwilligung der betroffenen Person erfolgt, was dann zu einer Überprüfung führt, ob die betreffenden Daten tatsächlich auf das für die Erreichung des konkreten Zwecks der Verarbeitung notwendige Maß beschränkt sind.
36. Auf der Grundlage dieser Erwägungen ist die Verarbeitung der Anrededaten der Kunden durch SNCF Connect im Licht von Art. 6 Abs. 1 Buchst. b und f DSGVO zu prüfen, wobei klarzustellen ist, dass sich das vorlegende Gericht ausschließlich auf diese beiden Zwecke der Verarbeitung bezieht.
2. Zu Art. 6 Abs. 1 Buchst. b DSGVO: Erforderlichkeit der Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen
37. Nach Art. 6 Abs. 1 Buchst. b DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“.
38. Der Gerichtshof hat im Urteil Meta Platforms u. a. die Tragweite dieser Bestimmung klargestellt. Er führte hierzu aus: „Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte.“(24)
39. Die Parteien stimmen darin überein, dass der Hauptgegenstand des Vertrags die Bereitstellung eines Fahrscheins und letztlich die Beförderung der Kunden mit der Bahn ist. Es ist daher zu prüfen, ob erstens die Anrededaten des Kunden verarbeitet werden, um einen Zweck zu erreichen, der notwendiger Bestandteil der Beförderungsdienstleistung ist, und ob zweitens diese Verarbeitung hierfür objektiv unerlässlich ist.
a) Bestimmung des Zwecks der Verarbeitung
40. SNCF Connect und die französische Regierung argumentieren, dass die Erfüllung des Beförderungsvertrags die Kommunikation mit dem Kunden sowohl bei der Buchung als auch während und nach der fraglichen Reise bedinge und die Kenntnis der Anrede dieses Kunden voraussetze, um mit dem Kunden auf personalisierte Weise und in Übereinstimmung mit der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation kommunizieren zu können.
41. SNCF Connect führt ergänzend aus, dass es für die Erfüllung des Beförderungsvertrags wichtig sei, das Geschlecht der betroffenen Person zu kennen, um die Leistung in besonderen Fällen, wie bei der Unterstützung von Personen mit eingeschränkter Mobilität oder dem Zugang zu Waggons, die in Nachtzügen für Frauen reserviert sind, entsprechend anpassen zu können. Hierzu ist festzustellen, dass ein solches Ziel streng genommen nicht Gegenstand der ersten Vorlagefrage in der vom vorlegenden Gericht formulierten Fassung ist, die sich ausdrücklich auf die allgemeine Verkehrssitte in der geschäftlichen Kommunikation bezieht. Da das vorlegende Gericht den Gerichtshof jedoch ganz allgemein zur Erhebung von Anrededaten im Licht der Grundsätze der Datenminimierung und der Rechtmäßigkeit der Verarbeitung befragt, werde ich dieses Argument dennoch prüfen.
42. Was den Zweck der Kommunikation mit dem Kunden betrifft, so ist dieser meines Erachtens als notwendiger Bestandteil des Beförderungsvertrags anzusehen. Ein solcher Vertrag setzt nämlich die Bereitstellung eines Fahrscheins und damit die Kontaktaufnahme mit dem Kunden voraus, um ihm den Fahrschein zu übermitteln. Die Notwendigkeit, mit dem Kunden zu kommunizieren, besteht meines Erachtens darüber hinaus während der Durchführung der Beförderung fort, um ihn insbesondere über Ereignisse zu informieren, die sich auf seine Reise auswirken, und auch nach der Beförderung, insbesondere wenn er mit dem Kundenservice eine die Reise betreffende Korrespondenz führt.
43. In diesem Zusammenhang ist klarzustellen, dass das von der französischen Regierung vorgebrachte Argument, der Zweck der Verarbeitung bestehe nicht nur in der Kommunikation mit dem Kunden als solcher, sondern vielmehr in der Kommunikation mit dem Kunden in Übereinstimmung mit der Verkehrssitte in der geschäftlichen Kommunikation, zurückzuweisen ist. Zum einen ist ein so definierter Zweck meines Erachtens nicht notwendiger Bestandteil der Erbringung einer Beförderungsdienstleistung: Es gibt keinen Anhaltspunkt dafür, dass diese ohne eine Kommunikation in Übereinstimmung mit der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation nicht erbracht werden könnte. Zum anderen beruht dieses Argument auf einem Zirkelschluss. Denn der so definierte Zweck der Datenverarbeitung – also die Kommunikation in Übereinstimmung mit der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation – deckt sich mit den Mitteln, die zur Erreichung dieses Zwecks eingesetzt werden, nämlich der Anwendung der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation.
44. Was die von SNCF Connect angesprochene Anpassung der Beförderungsdienstleistung an Sonderfälle betrifft, so kann wohl auch insoweit kaum bestritten werden, dass sie ein notwendiger Bestandteil dieser Leistung ist, da sie genau darauf abzielt, ihre Erbringung zu gewährleisten.
45. Doch selbst wenn die Zwecke der fraglichen Verarbeitung meines Erachtens tatsächlich der Erbringung einer Beförderungsdienstleistung inhärent sind und nach Art. 6 Abs. 1 Buchst. b DSGVO zulässig sein können, muss die Verarbeitung personenbezogener Daten für die Erreichung des geltend gemachten Zwecks unerlässlich sein in dem Sinne, dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte und es keine praktikablen und weniger einschneidenden Alternativen zur Erreichung eben dieses Zwecks gibt.
46. Meines Erachtens geht die Verarbeitung von Anrededaten jedoch über das hinaus, was notwendig ist, um die ordnungsgemäße Erfüllung des Vertrags zu ermöglichen.
b) Erforderlichkeit der Verarbeitung zur Erreichung der bestimmten Zwecke
47. Was erstens den Zweck der Kommunikation betrifft, so kann die ordnungsgemäße Erfüllung des Beförderungsvertrags nicht von der Verwendung der Anrede in der Kommunikation des Transportunternehmens mit seinen Kunden abhängen, selbst wenn der für die Verarbeitung Verantwortliche mit seinen Kunden in personalisierter Weise kommunizieren möchte. Ein Transportunternehmen kann problemlos in personalisierter Weise mit seinen Kunden kommunizieren, ohne deren Anrede zu verwenden.
48. Ferner hat SNCF Connect in der Sitzung die Notwendigkeit betont, durch die Verwendung von in der geschäftlichen Kommunikation allgemein anerkannten Formulierungen das Markenimage zu wahren, doch kann dieses Ergebnis auch mit anderen Formulierungen, die von respektvollem Umgang mit dem Kunden zeugen und nicht von der Anrede abhängig sind, gleichermaßen erreicht werden.
49. Dies gilt umso mehr, als SNCF Connect nach den Ausführungen von Mousse – diese stehen unter dem Vorbehalt der Überprüfung durch das vorlegende Gericht – in der Praxis nicht durchgängig auf die allgemeine Verkehrssitte in der geschäftlichen Kommunikation zurückgreift, die die Kenntnis der Anrede der Kunden voraussetzen würde, sondern andere, allgemeinere Formulierungen wie „Danke, gute Reise“ oder auch „Guten Tag“ verwendet. Die Tatsache, dass die Anrede der Kunden in der Kommunikation von SNCF Connect nicht durchgängig verwendet wird, ist meines Erachtens nicht nur ein eindeutiges Indiz dafür, dass die Verarbeitung dieser Daten für die Erfüllung des betreffenden Vertrags nicht erforderlich ist, sondern im Licht des Grundsatzes der Datenminimierung auch dafür, dass mehr Daten verarbeitet werden, als notwendig ist.
50. In diesem Zusammenhang ist zu erwähnen, dass SNCF Connect im Rahmen der diesbezüglichen Befragung in der Sitzung zugestanden hat, dass die wissentliche Übermittlung einer anderen als der tatsächlichen Anrede der betroffenen Person in Wirklichkeit keinen Einfluss auf die Erbringung der Beförderungsdienstleistung habe. Unter diesen Umständen ist festzustellen, dass der Hauptgegenstand des Vertrags auch ohne die Verarbeitung der fraglichen Daten noch erreicht werden kann.
51. Was zweitens den Zweck der Anpassung der Beförderungsdienstleistung betrifft, so geht meines Erachtens auch insoweit die Verarbeitung von Anrededaten über das hinaus, was notwendig ist, um die Verwirklichung dieser Leistung zu ermöglichen. Zunächst sind die personenbezogenen Daten, die für die Ermöglichung einer solchen Anpassung erheblich sind, meines Erachtens nicht die Anrededaten, die nach Ansicht der französischen Regierung kein Element des Personenstands darstellen, sondern die Daten zum Geschlecht der Kunden, wie es in den Personenstandsdaten aufgeführt ist. Außerdem könnte dasselbe Ziel dadurch erreicht werden, dass diese Daten nicht bei allen Bestellungen von Fahrscheinen erhoben und verarbeitet werden, sondern nur in besonderen Fällen, die dies erfordern, wie z. B. bei der Bestellung eines Fahrscheins für die Fahrt in einem Waggon, der in Nachtzügen für Frauen reserviert ist, oder im Fall eines Antrags auf Hilfestellung für eine Person mit eingeschränkter Mobilität.
52. Vor diesem Hintergrund sind Art. 6 Abs. 1 Buchst. b DSGVO und Art. 5 Abs. 1 Buchst. c DSGVO meines Erachtens dahin auszulegen, dass die systematische Verarbeitung von Anrededaten nicht als für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich anzusehen ist, wenn diese Verarbeitung darauf abzielt, in Übereinstimmung mit der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation eine personalisierte geschäftliche Kommunikation zu ermöglichen oder eine Anpassung der Beförderungsdienstleistung aufgrund des Geschlechts der betroffenen Person zu gewährleisten.
3. Zu Art. 6 Abs. 1 Buchst. f DSGVO: Erforderlichkeit der Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten
53. Nach Art. 6 Abs. 1 Buchst. f DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich [ist], sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt“.
54. Nach ständiger Rechtsprechung des Gerichtshofs ergibt sich aus dieser Bestimmung, dass drei Voraussetzungen kumulativ erfüllt sein müssen, damit die Verarbeitung der von ihr erfassten personenbezogenen Daten rechtmäßig ist. Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden. Zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein. Drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen(25).
55. Was die erste Voraussetzung der Wahrnehmung eines berechtigten Interesses betrifft, betonte der Gerichtshof im Urteil Meta Platforms u. a., dass es „nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen obliegt, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 … Buchst. f DSGVO beruht“(26). Der Gerichtshof stellte in demselben Urteil fest, dass die letztgenannte Bestimmung dahin auszulegen ist, dass eine Verarbeitung personenbezogener Daten „nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn der fragliche Betreiber den Nutzern, bei denen die Daten erhoben wurden, ein mit der Datenverarbeitung verfolgtes berechtigtes Interesse mitgeteilt hat“(27).
56. Mit anderen Worten: Die aus der Nichteinhaltung der Informationspflicht nach Art. 13 Abs. 1 Buchst. d DSGVO resultierende Sanktion ist die Rechtswidrigkeit der Verarbeitung der betreffenden personenbezogenen Daten.
57. Nach den Ausführungen der Kommission und unter dem Vorbehalt der Überprüfung durch das vorlegende Gericht ist SNCF Connect dieser Verpflichtung meines Erachtens nicht nachgekommen.
58. Wie die Kommission ausführt, verweist SNCF Connect in der „Datenschutzerklärung“ auf ihrer Website auf ein „berechtigtes Interesse“ als Rechtsgrundlage für die Verarbeitung der Anrededaten. Hierzu möchte ich zwei Anmerkungen machen. Zum einen wird durch den bloßen Verweis auf ein berechtigtes Interesse ohne Angabe, worin genau dieses berechtigte Interesse besteht, die Informationspflicht nach Art. 13 Abs. 1 Buchst. d DSGVO nicht erfüllt, die den Verantwortlichen verpflichtet, das verfolgte berechtigte Interesse mitzuteilen. Zum anderen und in jedem Fall wird auch der allgemeine Verweis auf ein berechtigtes Interesse in einer „Datenschutzerklärung“, die zwar auf der Website des Verantwortlichen verfügbar ist, die der Kunde aber gezielt suchen muss, den Anforderungen von Art. 13 Abs. 1 Buchst. d DSGVO nicht gerecht. Diese Bestimmung verlangt nämlich, dass der betroffenen Person das verfolgte berechtigte Interesse zum Zeitpunkt der Erhebung der Daten mitgeteilt werden muss, was meines Erachtens bedeutet, dass eine solche Information dem Kunden unmittelbar in dem Zeitpunkt zur Kenntnis zu bringen ist, in dem er die fraglichen ihn betreffenden Daten bereitstellt.
59. Auch konnte SNCF Connect auf die in der Sitzung an sie gerichtete Frage zur Informationspflicht nicht darlegen, dass das mit der Verarbeitung verfolgte berechtigte Interesse ihren Kunden tatsächlich zum Zeitpunkt der Erhebung der Anrededaten mitgeteilt wird.
60. Folglich ist die erste Voraussetzung von Art. 6 Abs. 1 Buchst. f DSGVO, die sich auf das Vorliegen eines berechtigten Interesses bezieht, im Rahmen einer Auslegung im Licht der in Art. 13 Abs. 1 Buchst. d DSGVO festgelegten Verpflichtung zur Mitteilung dieses Interesses nicht erfüllt. Somit kann die Verarbeitung von Anrededaten in einer solchen Situation nicht als rechtmäßig im Sinne dieser Bestimmung angesehen werden, ohne dass zu prüfen ist, ob die beiden anderen Voraussetzungen von Art. 6 Abs. 1 Buchst. f DSGVO erfüllt sind.
a) Ergebnis zur Auslegung von Art. 6 Abs. 1 Buchst. f DSGVO
61. Aus dem Vorstehenden ergibt sich meines Erachtens, dass Art. 6 Abs. 1 Buchst. f DSGVO und Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen sind, dass die Verarbeitung der Anrededaten von Kunden eines Transportunternehmens nicht als zur Wahrung der vom Verantwortlichen oder einem Dritten verfolgten berechtigten Interessen im Sinne dieser Bestimmung erforderlich angesehen werden kann, wenn das Unternehmen den Nutzern, von denen die Daten erhoben wurden, das mit der Verarbeitung verfolgte berechtigte Interesse nicht mitgeteilt hat.
b) Ergänzende Anmerkungen
62. Der Vollständigkeit halber und für den Fall, dass das Gericht zu dem Schluss kommt, dass das fragliche berechtigte Interesse gemäß Art. 13 Abs. 1 Buchst. d DSGVO mitgeteilt wurde, werde ich dennoch mit der Prüfung der Voraussetzungen fortfahren, die erfüllt sein müssen, damit eine Verarbeitung personenbezogener Daten auf der Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO als rechtmäßig angesehen werden kann.
63. Was erstens die Voraussetzung des Vorliegens eines berechtigten Interesses betrifft, so machen SNCF Connect und die französische Regierung geltend, dass das verfolgte berechtigte Interesse in der Kommunikation mit dem Kunden bestehe.
64. Der Gerichtshof führte in Bezug auf den Begriff des „berechtigten Interesses“ aus, dass „in Ermangelung einer Definition dieses Begriffs durch die DSGVO hervorzuheben [ist] … , dass ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten kann“(28).
65. In diesem Zusammenhang ist nochmals darauf hinzuweisen, dass SNCF Connect ein Unternehmen ist, das den Onlineerwerb von Fahrscheinen für den Bahnverkehr anbietet. Wie ich bereits ausgeführt habe(29), setzt diese Dienstleistung die Kontaktaufnahme mit dem Kunden voraus, zumindest um ihm den Fahrschein zu übermitteln. Ich bin daher der Ansicht, dass der Zweck der Kommunikation mit dem Kunden ein berechtigtes Interesse dieses Unternehmens im Sinne von Art. 6 Abs. 1 Buchst. f DSGVO darstellen kann, so dass die erste Voraussetzung in Form des Vorliegens eines solchen berechtigten Interesses meines Erachtens als erfüllt angesehen werden muss.
66. Was zweitens die Voraussetzung betrifft, dass die Verarbeitung personenbezogener Daten zur Wahrung des berechtigten Interesses erforderlich sein muss, so ist diese meines Erachtens nicht erfüllt. Wie ich im Rahmen meiner Prüfung von Art. 6 Abs. 1 Buchst. b DSGVO dargelegt habe, geht die Verarbeitung von Anrededaten über das hinaus, was zur Erreichung des Zwecks der Kommunikation mit dem Kunden notwendig ist, da diese Kommunikation auch ohne die Verwendung dieser Daten erfolgen kann(30).
67. Was drittens und letztens die Voraussetzung betrifft, dass die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht das berechtigte Interesse des Verantwortlichen oder eines Dritten überwiegen dürfen, hat der Gerichtshof entschieden, dass „diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des vorlegenden Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen“(31). Ich werde dennoch hierzu einige Anmerkungen machen, um das Gericht bei dieser Beurteilung zu unterstützen.
68. Der Gerichtshof führte insoweit aus, dass „[b]ei der entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, d. h. derjenigen des Verantwortlichen einerseits und der betroffenen Person andererseits, … insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen [sind]“(32).
69. Ferner wird im 47. Erwägungsgrund der DSGVO ausgeführt, dass „das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen [wäre], wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“.
70. Insoweit ist für mich nicht erkennbar, inwieweit der Kunde eines Transportunternehmens vernünftigerweise hätte absehen können, dass seine Anrededaten von dem Transportunternehmen verarbeitet werden, um im Rahmen des Erwerbs eines Fahrscheins mit ihm kommunizieren zu können.
71. Jedenfalls sind meines Erachtens bloße vernünftige Erwartungen nicht ausreichend, um festzustellen, dass das berechtigte Interesse des Verantwortlichen die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person überwiegt. Ein solcher Aspekt ist zwar im Rahmen der vorzunehmenden Abwägung sicherlich erheblich, kann jedoch nicht automatisch dazu führen, dass das berechtigte Interesse des Verantwortlichen überwiegt, insbesondere wenn die Verarbeitung der betreffenden personenbezogenen Daten geeignet ist, ein durch die Charta garantiertes Grundrecht oder eine durch sie garantierte Grundfreiheit der betroffenen Person zu beschneiden.
72. Wie auch Mousse geltend macht, dürfte dies in der vorliegenden Konstellation der Fall sein. Der Verband argumentiert, dass die Verarbeitung von Anrededaten zu einer Diskriminierung aufgrund des Geschlechts führen könnte, insbesondere bei Transgender-Personen oder Personen, die die Staatsangehörigkeit eines Staates besitzen, der das neutrale Geschlecht anerkennt.
73. Vor diesem Hintergrund und unter dem Vorbehalt der Überprüfung durch das vorlegende Gericht bin ich der Ansicht, dass das berechtigte Interesse an der Kommunikation mit dem Kunden nicht die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person überwiegt.
B. Zur zweiten Vorlagefrage
74. Mit seiner zweiten Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Buchst. f DSGVO dahin auszulegen ist, dass bei der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten im Sinne dieser Bestimmung das etwaige Bestehen eines Widerspruchsrechts der betroffenen Person nach Art. 21 Abs. 1 DSGVO zu berücksichtigen ist.
75. Art. 21 Abs. 1 DSGVO sieht vor, dass die betroffene Person das Recht hat, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 Buchst. e oder f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche darf die personenbezogenen Daten nicht mehr verarbeiten, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
76. Nach ständiger Rechtsprechung sind bei der Auslegung einer Bestimmung des Unionsrechts nicht nur ihr Wortlaut, sondern auch ihr Zusammenhang und die Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, zu berücksichtigen(33).
77. In Bezug auf den Wortlaut von Art. 21 Abs. 1 DSGVO ist festzustellen, dass nach dem Unionsgesetzgeber das Widerspruchsrecht die Verarbeitung personenbezogener Daten betrifft, die insbesondere auf Art. 6 Abs. 1 Buchst. f DSGVO beruht. Anders ausgedrückt, wie Mousse und die Kommission ausführen, setzt das Widerspruchsrecht das Vorliegen einer rechtmäßigen Verarbeitung voraus, die insbesondere auf dem berechtigten Interesse des Verantwortlichen beruht. Das Recht auf Widerspruch kann daher erst dann ausgeübt werden, wenn die rechtmäßige Verarbeitung bereits stattgefunden hat, und zwar mit dem Ziel, diese zu unterbinden.
78. Das ergibt sich meines Erachtens aus dem zweiten Teil von Art. 21 Abs. 1 DSGVO, wonach der Verantwortliche die personenbezogenen Daten nicht mehr verarbeiten darf(34), wenn die betroffene Person gemäß dieser Bestimmung Widerspruch einlegt. Eine solche Formulierung impliziert meiner Meinung nach eindeutig, dass die Verarbeitung der betreffenden Daten gemäß den in Art. 6 Abs. 1 Buchst. f DSGVO dargelegten Voraussetzungen rechtmäßig ist, diese Daten jedoch nach Einlegung des Widerspruchs nicht mehr Gegenstand einer solchen Verarbeitung sein dürfen.
79. Mit anderen Worten: Art. 21 Abs. 1 DSGVO kommt erst dann zum Tragen, wenn die Rechtmäßigkeit der Verarbeitung festgestellt wurde.
80. Es ergibt sich daher aus dem Wortlaut von Art. 21 Abs. 1 DSGVO, dass das Bestehen eines Widerspruchsrechts für die Beurteilung der Erforderlichkeit einer solchen Verarbeitung nach Art. 6 Abs. 1 Buchst. f DSGVO in keiner Weise relevant ist, da die Geltendmachung des Rechts aus Art. 21 Abs. 1 voraussetzt, dass die Voraussetzungen von Art. 6 Abs. 1 Buchst. f bereits erfüllt sind.
81. Eine solche wörtliche Auslegung von Art. 21 Abs. 1 DSGVO wird zudem durch eine Analyse dieser Bestimmung unter Berücksichtigung ihres Kontexts und der Ziele der DSGVO gestützt.
82. Was die kontextbezogene Auslegung dieser Bestimmung betrifft, ist festzustellen, dass die Gründe, die eine Verarbeitung personenbezogener Daten rechtfertigen können, in Art. 6 DSGVO, der sich auf den Grundsatz der Rechtmäßigkeit bezieht, und somit innerhalb des Kapitels II dieser Verordnung, das die Grundsätze der Datenverarbeitung regelt, aufgeführt sind. Art. 21 DSGVO wiederum gehört zu Kapitel III, das die Rechte der betroffenen Person regelt. Zudem ist die Liste der in Art. 6 DSGVO genannten Gründe, wie ich bereits ausgeführt habe, nach ständiger Rechtsprechung abschließend(35). Vor diesem Hintergrund erfüllen die beiden in Rede stehenden Bestimmungen zwei unterschiedliche Funktionen, und Art. 21 DSGVO kann somit bei der Prüfung der Rechtmäßigkeit der Verarbeitung, die ausschließlich durch Art. 6 dieser Verordnung geregelt wird, nicht berücksichtigt werden.
83. Was die teleologische Auslegung von Art. 6 Abs. 1 Buchst. f und Art. 21 DSGVO betrifft, so würde die Berücksichtigung des Bestehens eines Widerspruchsrechts im Rahmen der Beurteilung der Rechtmäßigkeit einer Datenverarbeitung nach Art. 6 dieser Verordnung bedeuten, dass die Rechtmäßigkeit einer Datenverarbeitung allein aufgrund der Möglichkeit angenommen würde, dass die betroffene Person zu einem späteren Zeitpunkt gegen diese Verarbeitung Widerspruch einlegen kann. Dies würde also dazu führen, dass die Gründe für die Rechtmäßigkeit der Verarbeitung über die in Art. 6 DSGVO abschließend genannten Fälle hinaus ausgeweitet würden und dass das Schutzniveau für die betroffenen Personen davon abhinge, dass sie die nötige Sorgfalt walten lassen, um der Verarbeitung ihrer personenbezogenen Daten zu widersprechen, da andernfalls diese Verarbeitung als rechtmäßig angesehen werden könnte. Eine solche Auslegung kann daher meines Erachtens das Ziel, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten, gefährden.
84. Deshalb bin ich der Ansicht, dass die Antwort auf die zweite Vorlagefrage lauten muss, dass Art. 6 Abs. 1 Buchst. f DSGVO dahin auszulegen ist, dass er der Berücksichtigung des etwaigen Bestehens eines Widerspruchsrechts der betroffenen Person gemäß Art. 21 Abs. 1 DSGVO im Rahmen der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten im Sinne der zuerst genannten Bestimmung entgegensteht.
V. Ergebnis
85. Nach alledem schlage ich dem Gerichtshof vor, die Vorlagefragen des Conseil d’État (Staatsrat, Frankreich) wie folgt zu beantworten:
Art. 6 Abs. 1 Buchst. b und Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
sind dahin auszulegen, dass
die systematische Verarbeitung von Anrededaten nicht als für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, erforderlich anzusehen ist, wenn diese Verarbeitung darauf abzielt, in Übereinstimmung mit der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation eine personalisierte geschäftliche Kommunikation zu ermöglichen oder eine Anpassung der Beförderungsdienstleistung aufgrund des Geschlechts der betroffenen Person zu gewährleisten.
Art. 6 Abs. 1 Buchst. f und Art. 5 Abs. 1 Buchst. c der Verordnung 2016/679
sind dahin auszulegen, dass
die Verarbeitung der Anrededaten von Kunden eines Transportunternehmens nicht als zur Wahrung der vom Verantwortlichen oder einem Dritten verfolgten berechtigten Interessen im Sinne dieser Bestimmung erforderlich angesehen werden kann, wenn das Unternehmen den Nutzern, von denen die Daten erhoben wurden, das mit der Verarbeitung verfolgte berechtigte Interesse nicht mitgeteilt hat.
Art. 6 Abs. 1 Buchst. f der Verordnung 2016/679
ist dahin auszulegen, dass
er der Berücksichtigung des etwaigen Bestehens eines Widerspruchsrechts der betroffenen Person gemäß Art. 21 Abs. 1 dieser Verordnung im Rahmen der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten im Sinne der zuerst genannten Bestimmung entgegensteht.