Rechtssache C‑394/23
MOUSSE
gegen
Commission nationale de l’informatique et des libertés (CNIL) u. a.
(Vorabentscheidungsersuchen des Conseil d’État [Frankreich])
Urteil des Gerichtshofs (Erste Kammer) vom 9. Januar 2025
„ Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 5 Abs. 1 Buchst. c – Datenminimierung – Art. 6 Abs. 1 – Rechtmäßigkeit der Verarbeitung – Daten hinsichtlich der Anrede und der Geschlechtsidentität – Onlineerwerb von Fahrscheinen – Art. 21 – Widerspruchsrecht “
1. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Grundsatz der Datenminimierung – Verarbeitung, die für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist – Begriff – Erhebung von Daten hinsichtlich der Anrede und der Geschlechtsidentität seiner Kunden durch ein Transportunternehmen zum Zweck der Personalisierung der geschäftlichen Kommunikation – Ausschluss
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 5 Abs. 1 Buchst. c und Art. 6 Abs. 1 Unterabs. 1 Buchst. b)
(vgl. Rn. 22-29, 33, 34, 36-40, 42, 43, 64, Tenor 1)
2. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Grundsatz der Datenminimierung – Verarbeitung, die zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist – Begriff – Erhebung von Daten hinsichtlich der Anrede und der Geschlechtsidentität seiner Kunden durch ein Transportunternehmen zum Zweck der Personalisierung der geschäftlichen Kommunikation – Ausschluss – Voraussetzungen
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 6 Abs. 1 Unterabs. 1 Buchst. f)
(vgl. Rn. 22-29, 45-50, 52-64, Tenor 1)
3. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Anwendungsbereich – Begriff der Verarbeitung personenbezogener Daten – Erhebung von Daten hinsichtlich der Anrede und der Geschlechtsidentität seiner Kunden durch ein Transportunternehmen – Einbeziehung
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 2 Abs. 1 und Art. 4 Nrn. 1 und 2)
(vgl. Rn. 30)
4. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Verarbeitung, die zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist – Beurteilungskriterien – Widerspruchsrecht der von der Verarbeitung betroffenen Person – Ausschluss
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 6 Abs. 1 Unterabs. 1 Buchst. f und Art. 21)
(vgl. Rn. 66-70, Tenor 2)
Zusammenfassung
Der mit einem Vorabentscheidungsersuchen des Conseil d’État (Staatsrat, Frankreich) befasste Gerichtshof erläutert die Tragweite der in der DSGVO(1) vorgesehenen Grundsätze der Rechtmäßigkeit und der Datenminimierung im Zusammenhang mit der Verarbeitung von Daten hinsichtlich der Anrede seiner Kunden durch ein Transportunternehmen zum Zweck der Personalisierung seiner geschäftlichen Kommunikation.
SNCF Connect vertreibt online über ihre Website und Apps Bahnfahrkarten. Beim Onlineerwerb dieser Fahrscheine sind die Kunden dieses Unternehmens verpflichtet, ihre Anrede anzugeben, indem sie „Herr“ oder „Frau“ ankreuzen.
Der Verband Mousse reichte bei der Commission nationale de l’informatique et des libertés (CNIL, Nationaler Ausschuss für Datenverarbeitung und Freiheitsrechte, Frankreich) eine Beschwerde gegen SNCF Connect mit der Begründung ein, dass die Bedingungen der Erhebung und Speicherung der Daten hinsichtlich der Anrede ihrer Kunden nicht den Anforderungen der DSGVO entsprächen. Im Einzelnen machte Mousse geltend, dass die Erhebung dieser Daten durch SNCF Connect gegen die Grundsätze der Rechtmäßigkeit und der Datenminimierung sowie gegen die sich aus dieser Verordnung ergebenden Transparenz- und Informationspflichten verstoße(2).
Mit Entscheidung vom 23. März 2021 befand die CNIL, dass die Datenverarbeitung durch SNCF Connect rechtmäßig sei, da sie für die Erfüllung des betreffenden Vertrags über die Erbringung von Beförderungsleistungen erforderlich sei(3) und mit dem Grundsatz der Datenminimierung im Einklang stehe.
Am 21. Mai 2021 reichte Mousse beim vorlegenden Gericht eine Nichtigkeitsklage gegen diese Entscheidung der CNIL ein und machte geltend, dass die den Kunden der SNCF Connect auferlegte Verpflichtung, ihre Anrede anzugeben, für die Erfüllung eines Vertrags über die Erbringung von Beförderungsleistungen nicht erforderlich sei, u. a. das Recht auf Achtung des Privatlebens beeinträchtige und die Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität begründe.
In diesem Zusammenhang fragt sich das vorlegende Gericht, ob bei der Beurteilung der Erforderlichkeit der Erhebung von Daten hinsichtlich der Anrede der Kunden durch SNCF Connect zum einen die allgemeine Verkehrssitte in der geschäftlichen, privaten und behördlichen Kommunikation und zum anderen der Umstand berücksichtigt werden kann, dass diese Kunden, nachdem sie dem Verantwortlichen diese Daten zur Verfügung gestellt haben, ihr Recht geltend machen könnten, der Verwendung dieser Daten aus Gründen, die sich aus ihrer besonderen Situation ergeben, zu widersprechen(4).
Würdigung durch den Gerichtshof
Als Erstes prüft der Gerichtshof, ob eine Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation zu personalisieren, als für die Erfüllung eines Vertrags(5) oder zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten(6) erforderlich angesehen werden kann.
Was zum einen die Erforderlichkeit einer solchen Verarbeitung für die Erfüllung eines Vertrags betrifft(7), stellt der Gerichtshof klar, dass diese objektiv unerlässlich sein muss, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Vertragserfüllung ist. Genauer gesagt muss eine solche Verarbeitung für die ordnungsgemäße Erfüllung des zwischen dem Verantwortlichen und der betroffenen Person geschlossenen Vertrags wesentlich sein, und es dürfen daher keine praktikablen und weniger einschneidenden Alternativen bestehen.
Da im vorliegenden Fall der Hauptgegenstand des in Rede stehenden Beförderungsvertrags die Erbringung einer Schienentransportleistung an die Kunden ist und die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten darauf abzielt, die geschäftliche Kommunikation mit dem Kunden zu personalisieren, kann diese Kommunikation einen Zweck darstellen, der notwendiger Bestandteil der Vertragserfüllung ist. Die Erbringung einer solchen Dienstleistung setzt nämlich grundsätzlich die Kommunikation mit dem Kunden voraus, insbesondere um ihm elektronisch einen Fahrschein zu übermitteln, ihn über mögliche Änderungen der entsprechenden Reise zu informieren und den Austausch mit dem Kundendienst zu ermöglichen. Diese Kommunikation kann die Beachtung der allgemeinen Verkehrssitte erfordern und insbesondere Höflichkeitsformeln enthalten, um den Respekt des betreffenden Unternehmens gegenüber seinem Kunden zum Ausdruck zu bringen.
Eine solche Kommunikation muss jedoch nicht notwendigerweise anhand der Geschlechtsidentität des betreffenden Kunden personalisiert werden. Was die im vorliegenden Fall in Rede stehenden Dienstleistungen betrifft, erscheint eine Personalisierung der geschäftlichen Kommunikation, die auf einer anhand der Anrede angenommenen Geschlechtsidentität beruht, weder objektiv unerlässlich noch wesentlich, um die ordnungsgemäße Erfüllung eines Vertrags zu ermöglichen, so dass sie nicht als für die Erfüllung dieses Vertrags erforderlich angesehen werden kann. Es scheint nämlich eine praktikable und weniger einschneidende Lösung zu geben, da sich SNCF Connect – sei es gegenüber Kunden, die ihre Anrede nicht angeben möchten, sei es generell – für eine Kommunikation entscheiden könnte, die auf allgemeinen und inklusiven Höflichkeitsformeln beruht, die in keinem Zusammenhang mit der angenommenen Geschlechtsidentität der Kunden stehen.
Was zum anderen die Erforderlichkeit einer Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten betrifft(8), weist der Gerichtshof zunächst auf die drei Voraussetzungen hin, die erfüllt sein müssen, damit eine solche Verarbeitung rechtmäßig ist.
Was erstens die Voraussetzung der Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder einen Dritten betrifft, obliegt es dem Verantwortlichen, der Person, deren personenbezogene Daten er erhebt, die berechtigten Interessen mitzuteilen, die er bei der betreffenden Verarbeitung verfolgt. Ein solches Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist.
Im vorliegenden Fall führt der Gerichtshof aus, dass es Sache des vorlegenden Gerichts ist, zu prüfen, ob SNCF Connect ihren Kunden ein berechtigtes Interesse mitgeteilt hat(9), und dass eine Verarbeitung personenbezogener Daten zum Zweck der kommerziellen Direktwerbung einem berechtigten Interesse entsprechen kann. Insbesondere kann die Personalisierung der Werbung in einem solchen Kontext der kommerziellen Direktwerbung gleichgestellt werden.
Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses betrifft, ist diese gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen(10). Somit ist es Sache des nationalen Gerichts zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen. Im vorliegenden Fall kann sich eine Personalisierung der kommerziellen Direktwerbung auf die Verarbeitung der Namen und Vornamen der Kunden beschränken, da ihre Anrede und/oder Geschlechtsidentität in diesem Zusammenhang, insbesondere im Licht des Grundsatzes der Datenminimierung, nicht als unbedingt notwendige Information erscheint. In diesem Zusammenhang weist der Gerichtshof darauf hin, dass die DSGVO(11) zwar nicht vorsieht, dass zur Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten die Gepflogenheiten und gesellschaftlichen Konventionen des jeweiligen Mitgliedstaats zu berücksichtigen sind, es dem Verantwortlichen aber freisteht, diese Gepflogenheiten und Konventionen einzuhalten. Dieser Verantwortliche könnte nämlich gegenüber Kunden, die ihre Anrede nicht angeben möchten, oder generell allgemeine und inklusive Höflichkeitsformeln verwenden, die in keinem Zusammenhang mit der Geschlechtsidentität dieser Kunden stehen.
Was drittens die Voraussetzung betrifft, dass die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, gebietet diese Voraussetzung eine Abwägung der einander gegenüberstehenden Rechte und Interessen. Es ist Sache des betreffenden nationalen Gerichts, diese Abwägung durchzuführen und dabei insbesondere die vernünftigen Erwartungen der betroffenen Person, den Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen. Im vorliegenden Fall kann der Kunde eines Transportunternehmens, vorbehaltlich einer Überprüfung durch das vorlegende Gericht, nicht absehen, dass dieses Unternehmen Daten hinsichtlich seiner Anrede oder Geschlechtsidentität im Zusammenhang mit dem Erwerb eines Fahrscheins verarbeitet. Dies wäre insbesondere dann der Fall, wenn diese Verarbeitung ausschließlich für Zwecke der kommerziellen Direktwerbung durchgeführt würde. Jedoch kann das berechtigte Interesse an kommerzieller Direktwerbung im Fall der Gefahr einer Beeinträchtigung der Grundrechte und Grundfreiheiten der betroffenen Person jedenfalls nicht überwiegen. Es ist daher Sache des nationalen Gerichts zu prüfen, ob die von Mousse geltend gemachte Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität, insbesondere im Licht der Richtlinie 2004/113(12), besteht. Insoweit fügt der Gerichtshof hinzu, dass der Anwendungsbereich dieser Richtlinie nicht auf die Diskriminierungen beschränkt werden kann, die sich aus der Zugehörigkeit zu dem einen oder dem anderen Geschlecht ergeben. In Anbetracht ihres Gegenstands und der Natur der Rechte, die sie schützen soll, hat diese Richtlinie auch für Diskriminierungen zu gelten, die ihre Ursache in der Änderung der Geschlechtsidentität einer Person haben.
Aus alledem zieht der Gerichtshof den Schluss, dass die Verarbeitung von Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden kann, wenn von diesem Unternehmen diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde, wenn die Verarbeitung nicht innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist, oder wenn in Anbetracht aller relevanten Umstände die Grundrechte und Grundfreiheiten dieser Kunden gegenüber diesem berechtigten Interesse überwiegen können, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.
Als Zweites prüft der Gerichtshof, ob bei der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten zu berücksichtigen ist, dass die betroffene Person möglicherweise ein Widerspruchsrecht hat(13). Das etwaige Bestehen eines Widerspruchsrechts setzt nämlich das Vorliegen einer rechtmäßigen Verarbeitung voraus, die im vorliegenden Fall auf der Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten beruht. Um rechtmäßig zu sein, muss eine solche Verarbeitung jedoch zunächst die Voraussetzung erfüllen, dass sie zur Wahrung der berechtigten Interessen unbedingt notwendig ist. Aus dem Wortlaut und der Systematik der Bestimmungen der DSGVO ergibt sich somit, dass das Bestehen eines Widerspruchsrechts bei der Beurteilung der Rechtmäßigkeit und insbesondere der Notwendigkeit der Verarbeitung der personenbezogenen Daten auf der Grundlage der Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten nicht berücksichtigt werden kann.