Verwendung der Anrede nach dem EuGH-Urteil C-394/23 – Michael Will im Datenschutz Talk Podcast

Transkript zur Folge:

Herzlich Willkommen zum Datenschutz-Talk.
Wie in unserem großen Jahresrückblick versprochen, wollen wir dieses Jahr wieder
ein paar mehr Themenfolgen machen.
Und heute haben wir ein besonders aktuelles und auch sehr praxisrelevantes Thema
für euch, das europäische Gerichtshofsurteil, EuGH-Urteil vom Anfang des Jahres
zur verpflichtenden Angabe der Anrede beim Online-Ticketkauf.
Vielleicht ein scheinbar kleiner Fall, aber ich glaube doch mit großer Wirkung
für die Praxis und dazu begrüße ich einen ausgewiesenen Experten,
dessen Meinung glaube ich in Datenschutzthemen durchaus Gewicht hat.
Michael Will, Präsident des Bayerischen Landesamts für Datenschutzaufsicht.
Herr Will, herzlich willkommen.
Schön, hier wieder Gast sein zu dürfen. Grüße Sie.
Ja, ich habe nachgeschaut. 2022 im Oktober, also vor genau zweieinhalb Jahren,
waren Sie schon mal hier zu Gast.
Wir hatten ja damals zum Thema Drittstaatentransfer gesprochen.
Ich freue mich sehr, dass Sie heute hier sind und wir heute,
wie gesagt, zu einem ganz anderen Thema mal sprechen können.
Über das andere könnten wir jetzt auch ausgegeben im Anlass sprechen.
Aber wir nehmen uns lieber das vor, was der EuGH schon entschieden hat. Absolut gut.
Genau, das ist ein bisschen weniger spekulativ als das, was uns vielleicht noch
mit USA und so weiter droht. Von daher bin ich auch dafür.
Wir gehen einmal, wie gesagt, auf das Urteil der Sache Moos gegen die französische Bahn.
Und in dem Urteil ging es um die Frage der verpflichtenden Angabe beim Fahrscheinkauf
Herr oder Frau, was die Bahn abgefragt hatte und der Verband Moos hatte dagegen geklagt.
Der Europäische Gerichtshof hat ja final entschieden, wir haben hier auch in
unseren Datenschutz-News schon darüber berichtet, dass die verpflichtende Abfrage
der Anrede beim Online-Ticketkauf gegen die DSGVO verstoße,
genauer gesagt gegen den Grundsatz der Datenminimierung.
Damit macht das Urteil, glaube ich, relativ klar, dass für die Vertragserfüllung
selbst, also jetzt hier in dem Fall Transport einer Person mit der Bahn,
das Geschlecht erstmal grundsätzlich nicht erforderlich ist.
Ich bin ehrlich, ich habe mich bei dem einen oder anderen Online-Formular früher
auch schon gefragt, warum eigentlich die Anrede wichtig ist oder wofür sie abgefragt
wird, aber habe da jetzt nie deswegen irgendjemanden bemüht.
Aber Herr Will, mal so ganz überspitzt gefragt, ist es jetzt eigentlich schon
ein Datenschutzverstoß, wenn ich Sie mit Herr Will anspreche?
Wir steigen gleich am Anfang aus. Da wir in keinem Beschäftigungsverhältnis
sind, ist das Ansprechen schon gar kein Thema.
Wenn wir jetzt hier unsere elektronische Umgebung dazu nehmen,
dann wird die Frage schon ein bisschen spannender.
Oder was wir bei Herwill merken, was wir dann merken, wenn es anders wäre,
wir kommen bis hin zur theoretischen Reichweite von Artikel 9 in manchen Konstellationen.
Aber das heißt noch lange nicht, dass das ein Verstoß sein muss.
Aber wir sind ohne Frage im Anwendungsbereich, jedenfalls dann,
wenn wir den Rest der sachlichen Voraussetzungen mit erfüllt haben.
Wunderbar, vielen Dank für die erste Einschätzung. Aber vielleicht gehen wir
dann doch mal ein bisschen von vorne ran und gucken einmal auf die Entscheidung,
beziehungsweise nochmal ganz
kurz auf den Sachverhalt, den hatte ich ja eingangs schon beschrieben.
Jetzt ging es ja unter anderem darum,
dass in diesem Formular von der Bahn abgefragt wurde, Herr oder Frau.
Es gab keine Alternative noch dazu. Also es geht ja einmal um die Frage von
eventuell auch noch anderen Geschlechtern, drittes Geschlecht.
Dann haben wir auf der anderen Seite aber, und das ist glaube ich datenschutzrechtlich
das, wo natürlich am Ende sehr viel Zündstoff drin liegt.
Weil es ja nicht nur vielleicht um diese eine Frage geht.
Ich habe ein Online-Formular bei der Deutschen Bahn oder bei einer anderen Bahngesellschaft,
sondern wir sehen das ja in sehr vielen Formularen und in sehr vielen Themen,
wo halt die Datenabfrage erfolgt,
durchaus halt zum Zwecke einer höflichen Ansprache, Wahrung von Umgangsformen
und so weiter und da hat der EuGH ja auch unter anderem ja zu Stellung genommen
und vielleicht könnten Sie sagen,
So mal ganz kurz aus Ihrer Sicht beschreiben, wie haben Sie das Urteil jetzt
und die Entscheidungen des Europäischen Gerichtshofs in Gänze wahrgenommen und
ist das etwas, womit wir uns tatsächlich beschäftigen müssen oder ist es eher
ein Sturm im Wasserglas?
Naja, schon aus Respekt vor dem Gerichtshof, glaube ich, sind wir absolut nicht
in der Situation, dass wir sagen können, das ist unerheblich,
das sollte uns nicht interessieren.
Das können wir nicht einfach so als unike Entscheidung zum Jahresbeginn abheften
als eine juristische Stilblüte. Wenn nicht angemessen.
Was wir uns vergegenwärtigen sollten, glaube ich, ist, wir haben es mit einem
Ausgangssachverhalt zu tun, der nicht mehr so ganz alltäglich ist.
In Deutschland ist das jedenfalls, glaube ich, durch AGG-Recht,
durch auch eine juristische Auseinandersetzung, die, glaube ich,
die Deutsche Bahn am Ende geführt hatte,
heute jedenfalls nicht mehr gang und gäbe, dass man neben Herr und Frau nicht
noch die Alternative, keine Angabe, nicht angeboten kriegt. In Frankreich war das aber so.
Dort ist nur diese einzige Option, Herr oder Frau, als Auswahlmöglichkeit zur
Diskussion gestellt worden.
Und insoweit war, glaube ich, sozusagen die Grundstimmung in dem Verfahren schon
ein bisschen noch von mehr Fragen geprägt, als wir das bei dem Sachverhalt hätten. keine Angabe.
Wo ich ganz schnell bei Ihnen bin, mit der Entscheidung auch absolut im Einklang
ist, das ist kein Datum, das zwingend zu einer Vertragsdurchführung erforderlich ist.
Wir hatten in der Zeit beispielsweise zur Vorbereitung des Europäischen Datenschutztags
Das ist ja auch eine Datenschutzkonferenzdebatte über das Recht auf analoges Leben.
Ein bisschen sensibilisiert durch solche Fragen kann man schnell erkennen.
Ein Eisenbahnticket ist eigentlich nichts, was man jetzt zwingend eigentlich
nur überhaupt personalisieren muss,
wenn man das mit der analogen Welt vergleicht oder auch noch zusätzlich dann
mit dem genauen Anredefeld noch verbinden muss. Also das ist klar.
Für den EuGH sich insoweit dann nur noch die Alternative über 6.1f an.
Es ist zur Kundenkommunikation erforderlich.
Und da halten dann ein paar Überlegungen Einzug, die für mich ein bisschen schwieriger
als Datenschutzbehörde nicht zu akzeptieren sind. Wie gesagt,
das ist Respekt vor dem Gericht.
Aber wo ich ahne, dass wir in Einzelverfahren Erklärungsnöte befinden,
Die Erklärungsnöte beginnen dort, wo der EuGH sehr postulierend sagt,
du hättest doch andere Möglichkeiten zu einer inklusiven, höflichen Kundenkommunikation gehabt.
Das heißt, hier beginnen wir nicht mit einer Frage am überhaupt berechtigten
Interesse an Kundenkommunikation,
aber mit einer letztlich am Erforderlichkeitsgrundsatz, so wäre meine Wahrnehmung festgemachten,
Debatte über geschäftlichen Stil und angemessene Umgangsformen.
Und das, finde ich, ist ein Bereich, wo wir als Datenschützende so ein bisschen
gerne ins Kreuzfeuer geraten, wo wir uns möglicherweise die Kritik anhören müssen.
Da seid ihr jetzt aber etwas übergriffig.
Das ist ein Bereich, wo ich als Datenschutzbehörde jedenfalls für den Moment
einräumen muss. Da haben wir noch nie hingeguckt, ganz ehrlich gesprochen.
Ich höre daraus, Sie sind an der Stelle auch so aus der Perspektive heraus nicht
ganz glücklich mit den Ausführungen und vielleicht auch jetzt mit dem Thema als solchen,
dass Sie sagen, ja als Aufsichtsbehörde und das ist ja das, wofür wir im Unternehmen ja genauso mit kämpfen,
dass halt Datenschutz oft als der Verhinderer wahrgenommen wird,
als übertrieben, als viel zu streng und das ist glaube ich an manchen Stellen einfach falsch.
Ja, also da muss man jetzt ehrlich sagen, wenn man sich ernsthaft mit dem Thema
auseinandersetzt, geht ja auch
bei vielen anderen Fachfragen kann man sehr viel darstellen rechtlich.
Manchmal ist es halt nur eine Wahrnehmung, aber hier in dem konkreten Fall wird
es tatsächlich schon ein bisschen schwieriger zu erklären,
dass wir da jetzt ein bisschen strenger sein müssen und nicht mehr automatisch
die Abfrage in jedem Formular nach der Anrede, einfach so wie sie vielleicht
früher war, dann drin haben dürfen.
Wobei nochmal, ich würde es schon heute aus anderen als datenschutzrechtlichen
Gründen als Standard betrachten, dass wir die Frage Herr-Frau noch mit einer
weiteren Option freilassen verbinden.
Das ist in Ordnung, das reflektiert unsere Rechtsordnung an ganz,
ganz vielen Stellen, beispielsweise auch dem Personenstandswesen.
Also da haben wir, glaube ich, eine stabile normative Vorgabe.
Wo es für mich schwierig wird, wird zu sagen, es ist datenschutzrechtlich geboten,
letztlich immer, das ist die Voreinstellung,
ohne diese Wahlmöglichkeiten für Kundinnen und Kunden auf eine Anrede zu verzichten,
generell sozusagen neutral zu kommunizieren mit einem Hallo oder bayerisch Servus, was auch immer.
An der Stelle beginnt für mich so angedockt über die datenschutzrechtlich dogmatisch
sicherlich verständliche Frage,
braucht es dieses Datum, um dann Kommunikationsprozesse so gestalten zu können,
ein Übergriff in gesellschaftliche Veränderungen.
Das ist Grundumgangsform. Das ist eigentlich ein Bereich, wo ich jetzt aus einer
staatsrechtlichen Perspektive sagen würde, da sind wir als Gesetzgeber eher
ein bisschen gehalten davon, Abstand zu halten.
Da ergibt sich klassischerweise jedenfalls, und darüber muss man uns genau unterhalten,
kein so massiver Grundrechtskonflikt, dass wir da normativ einschreiten müssen.
Mich erinnert das persönlich so ein bisschen an die Debatte über Rechtschreibreformen
und andere Dinge, wo wir dann bis hin zum Bundesverfassungsgericht streiten mussten.
Braucht es für diese Regeländerungen, denn ein Gesetzesvorbehalt,
Ermächtigungen ist die Kultusministerkonferenz da überhaupt die legitime Stelle.
Das ist meine Schwierigkeit, dass es dogmatisch in den Spielregeln des Datenschutzes
funktioniert, diese Sachverhalte zu erfassen. Das ist ganz klar einzuräumen.
Für mich ist ein bisschen die Frage, wie glaube ich auch für andere,
hätte da mehr Spielraum bestanden, sich zurückzuhalten und zu sagen,
das ist die Entscheidung des
Verantwortlichen, wie er seine Kommunikationsprozesse gestalten möchte.
Das ist bei einem Unternehmen, das ja dem ganzen Land Frankreich als Monopolunternehmen
verpflichtet ist, am Ende vielleicht auch eine Frage der dortigen Verkehrssitte,
der kulturellen Gegebenheiten.
Hier hätte ich mich, also wäre ich genauso damit zufrieden gewesen,
wenn sich der EuGH zurückgehalten hätte und dieses Argument,
was er zurückgewiesen hat, die Kultur ist nichts, was datenschutzrechtlich Belang hat.
Sich anders entschieden hätte. Für mich stellt sich jetzt die Frage,
was muss ich damit als Datenschutzbehörde tun?
Muss ich jetzt gewisse Grußformeln und Höflichkeitsformeln in Geschäftsprozessen
stets und immer hinterfragen?
Das ist ein bisschen das Unglück, was mich mit dieser Entscheidung plagt,
vor allem, wenn dann, sobald ich hinterfrage.
Dass das Thema im Raum steht, untersage ich das aufsichtlich,
muss ich es sogar in Redaktionieren mit einem Bußgeld, dann geraten wir schnell
in eine Ecke als Datenschützende, die Sie gerade beschrieben haben,
wo wir überhaupt nicht hingehören, weil wir eigentlich, glaube ich,
richtigerweise dem Individuum nutzen, seine Freiheitsräume verteidigen Und hier
an der Stelle sind wir auf einem Feld unterwegs, wo sich das Individuum,
wenn es denn diese dritte Alternative für ihn gäbe,
eigentlich ganz gut selber verteidigen könnte.
Ja, also da muss man ja eher rettend sozusagen auch für die Aufsichtsbehörden
die Lanze brechen zu sagen, ja, also auch die französische Aufsichtsbehörde
hatte diese Argumentation,
dass man das im Rahmen der Geschäftskommunikation ja als erforderlich sieht,
weil sie ja mitgegangen und hatte ja dann auch für die Bahn hier plädiert und
für die Abweisung der Klage dann auch entsprechend beantragt.
Ich glaube, eine kurze Zäsur, genau diese Situation, dass es sich um ein Daseinsvorsorgeangebot
handelt, jemanden, der ein de facto Monopol handelt,
spielt für die Bewertung der Entscheidung an der Stelle eine ganz große Rolle.
Dort haben wir nicht das, was wir jetzt gerade postuliert haben,
nämlich die Möglichkeitenpflicht, mit jemand anderem sein Geschäft abzuschließen.
Das geht, wenn man ein Eisenbahnticket in Frankreich braucht, eben nur mit Essence.
Und auf diese Weise ist meine Welt auch wieder in Ordnung.
Hier hätte es diese Wahlmöglichkeit nicht gegeben und insoweit hat sie jetzt
der EuGH über seine Entscheidung hergestellt.
Das ist ja am Ende das Ergebnis. Wir brauchen noch einen gesonderten Prozess,
um zu der Anredeentscheidung zu kommen.
Jetzt haben Sie ja eben schon angesprochen, es bedarf so einer dritten Option
wegen drittem Geschlecht.
Ich glaube, da sind wir uns einig. ist heutzutage, eigentlich brauchen wir darüber
nicht mehr diskutieren.
Was mich aber auch ein bisschen irritiert hat bei dieser Entscheidung,
bisher hat der Europäische Gerichtshof ja und die DSGVO hat es ja auch nicht
eingegrenzt, das berechtigte Interesse,
nicht sehr eng sozusagen, was Voraussetzung ist, um ein berechtigtes Interesse
auch darstellen zu können.
Und jetzt war ja die Argumentation auch der Bahn zu sagen, naja,
die förmliche Anrede ist ja eigentlich ein eigener Zweck.
Und für diesen eigenen Zweck ist es dann im Zweifelsfall auch erforderlich.
Und da fand ich es persönlich jetzt aber ein bisschen schwierig,
dass der Europäische Gerichtshof da gesagt hat, nee,
da ist es jetzt kein legitimer Zweck mehr, weil es gibt ja eine Alternative
durch diese inklusive Ansprache, die Sie ja eben auch schon erwähnt haben.
Habe ich das missverstanden oder ist es tatsächlich da an der Stelle vielleicht
schon auch eher ein bisschen fraglich, ob der EuGH da nicht zu weit gegangen ist, zu sagen,
den Zweck weg zu diskutieren oder zu negieren ist vielleicht eher ein bisschen
schwierig an der Stelle?
Ja, es ist in der Tat ein Punkt der enormen Genauigkeit verlangt.
Auf der einen Seite anerkennt der EuGH ganz klar das legitime Interesse an geschäftlichen
Kommunikationsbeziehungen.
Umgekehrt stellt er aber dann doch im Rahmen der Betrachtung von Erforderlichkeit,
im Rahmen von objektiv unerlässlich Überlegungen hinsichtlich des Zwecks an.
Nämlich, wie kann ich denn nur, in seinen Worten, nur diesen Zweck erreichen?
Mit der Formel von der Unerlässlichkeit müssen wir zwangsläufig die Zwecksetzung
des Verantwortlichen mit im Blick nehmen und mit dem Wort unerlässlich nimmt der EuGH, finde ich,
etwas anderes als unser klassisches Merkmal der Erforderlichkeit im Blick.
Das ist etwas, wo wir schon nochmal der Schraube an der Stelle eine Drehung
mehr geben, in meinen Augen.
Ich weiß, dass wir auch in den Papieren des Europäischen Datenschutzausschusses bzw.
Vorher noch der Working Party 29 auch ein restriktives Verständnis von Erforderlichkeit hatten.
Das ist glaube ich auch für die Praxis ganz wichtig, erforderlich nicht mit
irgendwo nützlich sich zu übersetzen, sondern das müssen sehr tragfähige am
Ende in einer Abwägung auch hinreichende Grundlagen.
Was der EuGH aber hier tut, ist, er setzt sich vollkommen an die Stelle des Verantwortlichen,
wenn es die Betrachtung der zu erreichenden Zwecke geht und damit findet nochmal
etwas statt, was wir vorhin schon kurz berührt haben, nämlich der Übergriff in eine Ansicht.
Anderen Rechtsverhältnissen vom Staat nicht notwendigerweise zu regulierenden Freiheitsräumen.
Es ist in meinen Augen ein bisschen schwierig, wenn sich der Staat vornimmt,
wirklich beliebigerweise Unternehmen vorzuschreiben, wie sie mit ihren Kundinnen
und Kunden zu kommunizieren haben.
Und das kann in einem lockeren Jugendladen etwas ganz anderes sein,
als stellen wir uns beispielsweise ein hochdistinguiertes Finanzgeschäft vor
irgendjemanden, der super hochwertige,
meinetwegen Konfektionsherrenmodel vertreibt oder sonst jemanden.
Hier würde ich den Verantwortlichen eigentlich gerne mehr Spielräume zu bestehen
wollen, über die Art und Weise, wie sie Kommunikation betreiben wollen,
letztlich auch das Erscheinungsbild ihres Geschäftes mitzubestimmen.
Das Element, das Sprache auch ausmacht, geht beim EuGH ein bisschen mit dieser
sehr nüchternen Brille des Datenschutzes unter.
Das ist für mich nicht nur erfreulich.
Also, dass wir bei der Erforderlichkeit strenger sein müssen als nützlich, gehe ich völlig mit.
Ich glaube auch, dass das halt etwas ist, was sicherlich in der Praxis oft vielleicht
ein wenig lax gehandhabt wurde in der Praxis.
Das habe ich auch hier und da beobachtet. Deswegen, also das kann ich durchaus verstehen.
Ich denke auch, dass wir die berechtigten Interessen immer mal kritisch hinterfragen sollen.
Ist es halt wirklich am Ende die Abwägung so, wie man sie sich wünscht oder
ist es vielleicht dann doch eher vom Wunsch getrieben.
Aber was ich halt auch wahrnehme, ist halt, dass der Europäische Gerichtshof
schon bei dem ganzen Thema,
also man hat so ein bisschen das Gefühl, und das hatte ich bei diesem Urteil auch,
dass der Europäische Gerichtshof schon die Einwilligung als erstes Mittel auf
jeden Fall sieht und deswegen halt auch gerade bei dem 6.1.f doch sehr,
sehr, sehr, sehr, sehr kritisch geworden ist und sagt im Zweifelsfall,
tut es dann doch die Einwilligung.
Spüren Sie das auch? Sehen Sie da eine Veränderung auch in dem,
wie wir den 61F anwenden können in der Praxis?
Also ich nehme letztlich seit der Meta-Bundeskartellamtsentscheidung wahr,
dass das diese Sorge ganz viele umtreibt.
Bei der Meta-Bundeskartellamtsentscheidung hatte ich noch ein bisschen die Formel,
die beim EuGH jetzt mittlerweile auftaucht, nämlich dass die übrigen Erlaubnistatbestände
eng zu interpretieren seien, ehrlich gesagt noch nicht so ganz ernst genommen.
Habe aber insbesondere Brüssel, also im großen europäischen Rahmen,
auch aus internationaler Betrachterperspektive,
da schon wirklich die deutliche Furcht wahrgenommen.
Das ist ein Vorrang der Einwilligungskonzept. Das hat sich jetzt in der Judikatur
des vergangenen Jahres irgendwo so langsam als neue Tonlage eingefunden.
Wenn Sie an die Tennisbond-Entscheidung denken, an die neunte Kommanditgesellschaft,
immer hatten wir an der Stelle die Frage,
gibt es noch alternative Wege, mit denen der Verantwortliche trotzdem zu seinem
Ziel, der einen Stelle Werbetreibende zu informieren, an der anderen Stelle
Kontakt herzustellen, erreichen kann.
Was der EuGH nie gemacht hat, nach meiner Wahrnehmung, ohne dass ich jetzt wirklich
sämtliche Sprachfassungen vergleichen könnte, dass so habe ich nicht die Fähigkeit ist,
er hat an der Stelle nie sozusagen gefragt, geht das anstelle dessen auch mit einer Einwilligung.
Er hat beispielsweise bei der 9.
Kommanditgesellschaft immer nach dem Einverständnis der anderen Gesellschaft gefragt.
Trotzdem, auch da wieder, es ist ein...
Es ist ein strenger Betrachten und mit dem Gebot, Dinge, die die übrigen Verarbeitungsbefugnisse
eng auszulegen, klingt ja ein Satz an, den wir aus der Methodik kennen.
Eng muss ich immer Dinge auslegen, die Ausnahmetatbestände darstellen.
Und insoweit, glaube ich, ist sich der Gerichtshof irgendwo auch latent bewusst,
er bringt es nur nicht zu Papier.
Dass er an der Stelle von einem Verständnis von auch Artikel 8 Grundrechtecharta
scheint ihm das vorzugeben, der Einwilligung als Regelsachverhalt ist,
die Datenflüsse erlaubt und allem anderen eher so die Rechtfertigungserfordernisse mitgibt.
Also das klingt nach Artikel 52 Grundrechtecharta und vielem anderen.
Und damit sind wir auf einem Weg, der
für eine an Datennutzung orientierte Rechtsordnung maßgeblich sein wird,
weil wir sehr oft mit personenbezogenen Daten zu tun haben, der schwierig werden wird.
Wir müssen so oft im Moment mit insbesondere den neuen Rechtsakten,
dem Data Act, der KI-Verordnung auf 6.1f-Konstruktionen zurückgreifen,
weil uns der Gesetzgeber an der Stelle ein bisschen mutlos geblieben ist, weil er nicht eigene,
im öffentlichen Interesse sehr mögliche Verarbeitungsbefugnisse geregelt hat,
dass das mit diesen Anforderungen ziemlich spannend werden wird.
Wie werden wir bei einem KI-Training denn nachweisen, dass dieser spezifische
Datensatz tatsächlich objektiv unerlässlich ist, um zu einer guten KI zu kommen?
Das sind verständliche Fragen, die jetzt im Raum stehen.
Neben anderen, die der EuGH auch in dieser Entscheidung auch noch mit angetippt
hat, aber wir haben ja noch ein bisschen Zeit.
Genau, da würde ich direkt mal auch drauf kommen, weil es ging ja dann auch
unter anderem um die Frage, wenn wir das berechtigte Interesse heranziehen würden,
können und dann aber in den Artikel 13 Informationen,
den das berechtigte Interesse nicht genannt haben, hat der EuGH,
so in meiner Lese hat er gesagt,
dann ist die Datenverarbeitung schon unzulässig.
Heißt also, dass wir die Datenschutzhinweise ja in den Unternehmen durchaus
jetzt alle wahrscheinlich nochmal kritisch prüfen sollten.
Das ist zumindest das, was wir unseren Kunden auch empfehlen.
Sehen Sie das ähnlich und würden Sie auch in letzter Konsequenz sagen,
ja, wenn es halt nicht drin steht, ist die Datenverarbeitung unzulässig,
ich muss die Daten löschen?
Das ist die Konsequenz. Das ist auch schon vorher da gewesen.
Weg zurück in die Meta-Bundes-Kartell-Amtsentscheidung, wo ja der EuGH gewissermaßen
die ganze Klaviatur der Erlaubnistatbestände durchspielen dürfte.
Insoweit geht das noch klarer zurück auf die Schlussanträge des Generalanwalts.
Jetzt nur eine Bestätigung dieses Ansatzes. Es löst ohne Frage,
wenn man sich auf den Blick in die Praxis dann verlegt, Unbehagen aus.
Dogmatisch finde ich es allerdings überzeugend.
Was ich bei vielen 6.1f-Konstruktionen vermisse, ist das Eingeständnis,
wenn ich den Weg über 6.1f gehe, brauche ich eine intervenierbare,
Datenverarbeitung, weil der 6.1f-Weg immer in Begleitung mit Artikel 21 zu gehen ist.
Das heißt, ich muss dem Betroffenen ein Widerspruchsrecht einräumen.
Ich muss in der Lage sein, zu prüfen, Datenverarbeitung auch für die Zeit meiner
Prüfung auszusetzen. All das.
Eingebettete Logik, bei der ich in der Praxis manchmal das Gefühl habe,
da stehen bestenfalls Formeln, ob es tatsächlich so funktioniert, weiß ich nicht immer.
Und wenn man sich das anschaut, dass der Einzelne eine Widerspruchsmöglichkeit
hat, übrigens interessanterweise ja seit der Grundverordnung sogar dann,
wenn ein öffentliches Interesse, also 6.1e, die Datenverarbeitung legitimiert.
Das ist, finde ich, ein ziemlich steiler Ansatz.
Also der Gesetzgeber hat erst entschieden, eine Datenverarbeitung ist sozusagen
im öffentlichen Interesse zumindest gewollt und jemandem zugewiesen.
Und dann gibt es trotzdem möglicherweise überragende Individualinteressen.
Damit haben wir einen sehr weitreichenden Schutz. Und dieser sehr weitreichende
Schutz kann nur funktionieren, logisch betrachtet, wenn der Einzelne weiß,
mit was er sich da denn zu messen hat.
Und dazu sind die Informationspflichten nach Artikel 13 da.
Also das, finde ich, ordnet sich schlüssiger in die Gesamtwelt ein,
steht aber ohne Frage im Widerspruch zu so zumindest einigen,
was wir in der Praxis immer wieder anschauen dürfen.
Das Widerspruchsrecht nach 21, weil Sie es gerade ansprechen,
ist auch bei uns in der Praxis manchmal durchaus ein kontroverser Diskussionspunkt.
Was sind die Anforderungen an den Hinweis auf dieses Widerspruchsrecht?
Weil Artikel 21 spricht da ja schon von einem sehr konkreten Hinweis.
Wie ist also Ihre Wahrnehmung? Wird der immer eingehalten und was sind auch
Ihre Erwartungen eigentlich an so einen Widerspruchshinweis?
Reicht der, wenn ich den Artikel 13 Informationen mit einbaue oder ist es doch
was, wo ich den Nutzer ein bisschen mit der Nase draufstoßen muss?
Mir fällt immer auf, dass Artikel 21 tatsächlich ein bisschen schwächer am Ende
in den Anforderungen ausgestaltet ist, als die Widerruflichkeit der Einwilligung.
Das, glaube ich, ist so der erste Ausgangspunkt.
Also das heißt, wir müssen nicht wie bei Cookies so den Mechanismus auf derselben Ebene anbringen.
Aber wir sollten ihn auch nicht verstecken, irgendwo in den sonstigen Informationen
unterbringen. Dahinter sollte jedenfalls, das wäre meine Anforderung,
ein klarer Prozess stehen.
Und da habe ich immer wieder die Bestätigung bekommen, naja,
wir haben das zwar hier reingeschrieben, aber im Grunde wissen wir gar nicht,
wie wir unsere Systeme stoppen und am Ende überprüfen sollten,
wenn es um den einzelnen Datensatz geht.
Auch da wieder überlegen Sie sich, was das im Kontext eines 6.1f-basierten KI-Trainings bedeutet.
Was ist, wenn unser Journalist, der Herr Bernklau, den der Co-Pilot am Ende
irgendwie statt als forensischen Journalisten als Täter identifiziert hat, sagt,
Für meinen Datensatz habe ich jetzt nicht nur irgendwo einen Berichtigungsanspruch,
sondern ich bin hier über 6.1.f.
Reingekommen. Da habe ich auch ein Widerspruchsrecht, ich will stärker geschützt werden.
Schafft das tatsächlich ein solcher Vorgang?
Da habe ich ernsthafte Sorgen, dass das technisch umgesetzt ist.
Die formalen Anforderungen würde ich nicht zu hoch setzen. Wie gesagt,
sie sind andere als bei der Einwilligung.
Es würde für mich beispielsweise auch einleuchten, wenn man dort,
wo man seine berechtigten Interessen erklärt, dann an der Stelle auch darauf
hinweist, wenn sie meinen, ihre Interessen gegenläufiger Art sind höherwertig,
dann haben sie hier den Widerspruchsprozess.
Das ist eigentlich für den Betroffenen eine sehr systematisch,
sozusagen aus seiner Perspektive stimmige Art, das umzusetzen.
Ich würde jetzt nochmal zu der Entscheidung zurückkommen, weil das,
was ich ja eingangs so ein bisschen auch provokant gefragt habe,
stellt uns natürlich in der Praxis jetzt durchaus vor Herausforderungen.
Was bedeutet es wirklich für die geschäftliche Kommunikation,
gerade im B2B-Umfeld oder da, wo ich einen persönlichen Kontakt mit jemandem
habe, den ich weiterhin mit sehr geehrter Herr oder sehr geehrter Frau ansprechen
möchte und die bisher sich auch nie beschwert hat?
Müssen wir unseren Kunden sagen, nee, das geht auch nicht mehr und schreibt
nur noch guten Tag, Michael Wöll?
Ja, das ist ehrlich gesagt das Szenario, vor dem ich Angst habe.
Das ist ungefähr so wie Mai, Juni 2018, als tonnenweise Briefe bei uns in den
Postkästen landeten, immer mit der Erklärung, wir brauchen jetzt neue Einwilligungen,
das ist das neue Datenschutzrecht, was das jetzt vorschreibt.
Wir wissen, wie viel davon tatsächlich
falsch war, unbegründet war und genauso würde ich jetzt meinen,
dass in der bestehenden Vertragsbeziehung die Notwendigkeit da ist,
alles umzustellen und das dann am Ende auch noch mit einer Formel,
das ist wegen des Datenschutzes, zu begründen.
Das ist nicht der Fall, den der EuGH entschieden hat.
Das muss man ganz klar sagen, während der EuGH hat den Fall eines Daseinsvorsorgeunternehmens
mit letztlich Massenkommunikation, ihr anderes Beispiel, zu untersuchen gehabt.
Insoweit andere Lage, wo wir vielleicht auch über 6.1b reden können,
springt mir am Ende vielleicht der Kunde ab, wenn ich ihn gar nicht mehr persönlich
anschreibe und reagiert auch gar nicht mehr auf das, was ich ihm als Teil der
vertraglichen Kommunikation jetzt mitteilen möchte. Würde ich anders betrachten.
Wo wir tatsächlich hingucken müssen, und das ist jetzt die unangenehme Wahrheit,
der wir uns stellen müssen, ist der Auftakt für...
Sonstige Kommunikationsbeziehungen vor allem auf Internetschnittstellen,
da sind wir jetzt doch bei der Konsequenz aus der Entscheidung,
bei der Notwendigkeit angekommen.
Wir müssen den Leuten eine Wahl lassen und Wahl lassen bedeutet in der Welt
der Datenschutzgrundverordnung, das sind Einwilligungsprozesse.
Haben Sie eine andere Idee, wie wir das stabil abbilden können,
wenn wir es nicht weglassen? Ich habe noch keine bekommen.
Ich kenne einen Beitrag, der sich jetzt demnächst in der ZD damit beschäftigen
wird, dem ich sehr zustimmen kann.
Der zieht auch die Schlussfolgerungen. Das sind dann letztlich ja offenkundig
Einwilligungsprozesse.
Es ist jedem klar, zu welchen Zwecken hier auch dann die Daten weiterverarbeitet werden müssen.
Für mich ist das noch nicht so ganz das Ende.
Wir müssen doch noch über die Widerruflichkeit der Einwilligung etwas sagen.
Und vielleicht müssen wir auch sozusagen das Kontextverständnis unserer Kundinnen
und Kunden zumindest durch ein klein bisschen Text unterstützen.
Wir hätten gerne zu Zwecken unserer weiteren geschäftlichen Kommunikation hier
eine Anredeentscheidung von Ihnen.
Sie können sie da und dort jederzeit widerrufen.
Das ist jetzt, glaube ich, die Aufgabe in so Essence-CF-vergleichbaren,
ich nenne es mal Portalsituationen, wo wir auf eine unbestimmte Zeit hinweg
Kommunikation miteinander unterhalten und etablieren wollen.
Also ich habe durchaus darüber nachgedacht.
Ich habe noch keine bessere Antwort gefunden. Tut mir leid. Das ist im Moment
jenseits des Abgrenzens zu ihren B2B-Szenarien die einzig datenschutzrechtlich
wirklich formal stabile Antwort, die ich Ihnen geben kann.
Ja, wobei ich mich halt schon frage, ob man nicht das, was der EuGH vielleicht
dann auch nicht so ganz ausführlicher beschrieben hat, zu sagen,
wie sieht es denn wirklich aus, wenn ich jetzt mal von vorne bis hinten durchgehend
diesen eigenen Zweck sauber definiere, zu sagen,
ich habe schon ein berechtigtes Interesse, dass ich eine Kundin quasi nach nationalem
Standard üblich auch anrede, also dass es vielleicht ich mir ein bisschen mehr
Gedanken darüber mache, dass ich diesen Zweck sauber definiere.
Dann durchaus natürlich sage, wenn das der Zweck ist, warum ich dieses Datum
erhebe, ich das in den Datenschutzhinweisen richtig kenntlich mache,
das Widerspruchsrecht entsprechend kenntlich mache,
ob ich dann nicht über auch ja eine tatsächliche Erforderlichkeit dahin komme
zu sagen, ich muss dann für das umzusetzen, auch natürlich das Geschlecht wissen
oder was der Kunde wünscht, wie in welchem Geschlecht er zugeordnet werden möchte.
Wäre dann aber durchaus natürlich sinnigerweise auch an der Stelle zu sagen,
wenn er es halt nicht möchte, dann lasse ich ihm aber auch eine Option zu sagen,
du kannst es auch einfach nicht angeben.
Aber dann ist es so eine Mischform eigentlich aus Berechtigtem Interesse und
auf der anderen Seite aber auch einer sehr einfachen Umsetzung des Widerspruchsrechts,
indem ich halt einfach sage,
ich will weder non-binär noch Herr oder Sie, Herr oder Frau angesprochen werden,
sondern ganz einfach schlussendlich, ich will es nicht angeben.
Man könnte sich nun auch die Frage stellen, ist das, was Sie gerade schildern,
erstens eine andere Fallgruppe, ich war jetzt in meinem Portalbeispiel wirklich
von nicht besonders interessiert.
Qualitativ eingrenzbaren Kommunikationsbeziehungen ausgegangen,
wenn ich ein Geschäftsmodell habe, das ich so mit besonderen Zwecken aufladen kann.
Ich habe vorhin schon so ein bisschen sozusagen die Atmosphäre zu beschreiben versucht.
Irgendeine exklusive Dienstleistung, einen Rahmen, wo ich eben die genaue persönliche
Ansprache von Kundinnen und Kunden als besonderes Merkmal meines Geschäfts habe.
Bankumfeld, andere existenziellere Entscheidungen oder irgendetwas,
wo es um Wertigkeiten geht.
Kann ich mir das vorstellen? Und dann können
wir uns noch mit der anderen datenschutzrechtlichen Frage beschäftigen.
Ist das Feld freibleibend andere vielleicht der voraussetzungslose Widerspruch
in so einem 6.1f-Modell?
Dann wären wir auch wieder in ganz anderen Fragen, als sie der EuGH entschieden hat.
Denn französische Eisenbahn, das ist ja auch ein kurzer Abschnitt in der Entscheidung,
hat ja offenbar nur ein lapidares Artikel 21 Verfahren angeboten und der EuGH
hat dazu recht zurückgewiesen, dass das in irgendeiner Weise die schutzwürdigen
Interessen der Betroffenen relativieren würde.
Unser Beispiel wäre aber mit dem anderen Feld sozusagen das Opt-out.
Ich will keine Anrede. Und damit hätten wir etwas, was die betroffenen Rechte
sicherlich, das ist klare Dogmatik, haben wir an verschiedenen Stellen,
noch mit einer besonderen Schutzvorkehrung ausstattet und was sich vielleicht
dann für die verantwortlichen Seite dann sozusagen gewichtserhöhend auswirkt.
Also ja, halte ich am Ende auch noch für einen genauso diskutablen, gangbaren Weg.
Sie sind ja Leiter einer Aufsichtsbehörde. Wir haben eben das Eingangs ja auch
schon mal ganz kurz angerissen.
Wie sieht es da aus? Also ist das ein Thema auch zwischen Ihnen und den anderen
deutschen Aufsichtsbehörden?
Ist es eventuell gar ein Thema auch im Europäischen Datenschutzausschuss?
Gibt es darüber auch einen Austausch und eine gemeinsame Position?
Wir tauschen uns über ganz, ganz vieles aus, sehr, sehr regelmäßig,
anders als das verbreitete Narrativ von Unabgestimmtheit und gar Divergenzen,
aber ehrlicherweise über diese Frage haben wir uns noch nicht ausgetauscht.
Ich kann mir allerdings vorstellen, dass sie eine Bedeutung haben wird,
wenn wir jetzt, das Konsultationsverfahren ist ja zu Ende, über die Version
2.0 der Guidelines zu berechtigtem Interesse reden.
Die sind ja rausgekommen in der Zeit, wo die EuGH-Rechtsprechung unglaublich
ertragreich war, gerade zu diesem Thema und insoweit wäre meine Erwartung,
dass wir spätestens dann, wenn wir da über Änderungsbedarfe reden,
dann uns auch über die Auswirkungen der Temusch-Entscheidung.
Ich habe mal spaßeshalber eine KI meiner Wahl gefragt, wie denn so im europäischen
Umfeld diese Entscheidung in Foren und in sozialen Medien diskutiert wird.
Interessanterweise, also erstmal wenig überraschend glaube ich in Frankreich.
Frankreich liegt ganz vorne bei diesem Ranking, Deutschland schon auf Platz zwei.
Was ich aber sehr überraschend fand, tatsächlich das Verein Königreich liegt
dann schon auf Platz drei.
Das ist schon nur noch halb so intensiv wie in Frankreich, aber immerhin.
Und dann nimmt es ab über Spanien, Italien, Niederlande und das einzige Land,
wo es dazu irgendwie gar keine Diskussionen gab, ist Bulgarien.
Es bestätigt ein Bild, das wir immer haben, wenn Sie beispielsweise in die EDPB-Statistiken
über Fallzahlen gucken, dann ist da Deutschland immer ganz führend.
Kritische Geister mögen jetzt sagen, naja, das liegt daran, dass er so viele
Aufsichtsbehörden hat.
Die produzieren so nach dem Lüchow-Dannebergs-Satz der Kriminalisten dann auch
besonders viele Fälle, aber das meint die Statistik ja gar nicht.
Wir haben, glaube ich, eine hohe Sensitivität für Datenschutzthemen.
Wir haben, glaube ich, auch eine gute Diskussionskultur darüber.
Das passt dazu. Frankreich ist umgekehrt ein Land, das natürlich jetzt oberflächlich
betrachtet betroffen war. Das aber jetzt vielleicht in besonderer Weise auch
sprachlich sensibel genau für diese Fragestellungen ist.
Denn dort, wenn wir allein in die Grammatik gucken, spielt ja die genaue Zuordnung
von Maskulinum, Femininum dann eine entscheidende Rolle. Also überrascht mich beides nicht.
Richtig erstaunt bin ich in der Tat über den Befund, was den angelsächsischen Sprachraum betrifft.
Da hätte ich gedacht, da spielen diese Details der Anrede, die wir in der deutschen
und französischen Sprache so super zeseliert ausgebildet haben,
irgendwie weniger große Rolle und deshalb auch diese Fragestellung.
Vielleicht ist es auch die Perspektive auf, wir sind Gott sei Dank da draußen
und wir sind ein bisschen unabhängiger von dieser manchmal überraschenden Rechtsprechung des EuGH.
Vielleicht ist da also ein klein bisschen sozusagen Brexit-Applaus dann auch mit.
Erleichterungen, das kann mag sein, das mag ich nicht ausschließen. Ich höre aber raus,
es gibt jetzt seitens der DSK, aber auch bei Ihnen jetzt keine Ambitionen auf dieses Urteil hin,
Webformulare von Unternehmen im Zuständigkeitsbereich oder so aktiv zu prüfen,
Aktivkontrollen jetzt daraus abzuleiten, die höre ich da nicht raus. Liege ich da richtig?
Davon kann ich nichts berichten. Für meine Aufsichtsbehörde kann ich sagen,
ich würde das nur dann aufgreifen, wenn wir dazu eine konkrete Beschwerde haben.
Im Moment sehe ich für uns andere Prioritäten.
Abschließend, was wäre vielleicht Ihre Empfehlung an Datenschutzbeauftragte
im Unternehmen, die ja einen weiten Teil unserer Zuhörerschaft darstellen?
Wie sollten die aus Ihrer Sicht am besten jetzt damit umgehen?
Wie sollten sie vorgehen?
Diesen Podcast hören, genau auf die Differenzierungen, die wir herausgearbeitet haben,
achten, hoffentlich gut herausgearbeitet haben und sich dann die Frage stellen,
ist mein Unternehmen denn tatsächlich in diesem Eisenbahnunternehmen vergleichbaren Situation?
Wenn da noch Vergleichbarkeit besteht, weil wir tatsächlich bei einer,
jetzt nach unserer Beider empfinden, rechtlich will ich das nicht abschließend bewerten,
eigentlich unzeitgemäßen alleine Männlein-Weiblein-Anfrage,
Herr- und Frau-Situation sind, dann ist vielleicht Zeit darüber nachzudenken
und sich die erste Option einer Verteidigung aufzubauen mit dem Feld Andere,
den Weg zu der heute entwickelten voraussetzungslosen Widerspruchslösung aufzumachen.
Gut wäre dann, noch einen weiteren Blick auf meine Informationspflichten zu
werfen und sich zu fragen,
sagen wir da etwas über berechtigte Interessen im Zusammenhang mit diesem Datum, dann wird das Bild rund.
Und dass ein solches 6.1f-Modell dann bräuchte, haben wir festgestellt.
EuGH-Rechtsprechung ist an der Stelle sehr, sehr klar mittlerweile und das ist auch schlüssig so.
Und zum Schluss wäre noch ein Blick, wenn wir so ein 6.1f-Modell haben,
kein Einwilligungsmodell, dann natürlich auf die Widerspruchsmöglichkeit wichtig.
Dann wäre es gut, dem Webseitenbauer und allen anderen zu erklären,
dass diese Prozesse bitte intervenierbar sein müssen, damit ich solche Widersprüche
auch tatsächlich sachgerecht prüfen kann.
Das wären die drei Schritte letztlich, die ich anempfehlen würde.
Herzlichen Dank. Haben wir aus Ihrer Sicht noch etwas Wichtiges vergessen in
Bezug auf diese Entscheidung?
Haben wir irgendwas, habe ich was vergessen anzusprechen, was Ihnen aber noch
auf dem Herzen liegt dabei?
Nein, es ist, glaube ich, wichtig, sich die Entwicklung der Rechtsprechung vor
Augen zu führen, dass 6.1f jetzt keine simple Verarbeitungserlaubnis ist.
Sie ist wichtig, aber sie ist mit jetzt mittlerweile immer mehr Fragestellungen verbunden.
Ich würde aber gleichzeitig sehr deutlich davor warnen zu sagen,
es gibt eine Hierarchie, es gibt ein Ranking der Verarbeitungserlaubnisse.
Ich warte auf den Moment, wo die EuGH-Rechtsprechung das nochmal aufgreift.
Wir sagen es ja beispielsweise in den 6.1f-Guidelines sehr, sehr deutlich,
da gibt es keine Hierarchie, sondern es ist einfach ein anspruchsvolles Verarbeitungserlaubnis.
Das wäre die Quintessenz für heute und ich glaube, die Facetten dazu haben wir
in den zurückliegenden Minuten sehr, sehr gut herausgearbeitet.
Zur Not einfach nochmal zu reden.
Genau, das ist immer ein guter Tipp. Ganz herzlichen Dank, Herr Will.
Ich kann das nur absolut bestätigen.
Ich werde auch nicht müde, das immer wieder zu sagen, dass man bei den berechtigten
Interessen sehr gut, sehr sauber arbeiten muss.
Auch was das Abwägen nachher geht, darum geht, dass man das sauber dokumentiert.
Weil da ist im Zweifelsfall nachher wirklich der Zündstoff drin,
wenn man das nicht vernünftig gemacht hat.
Ich denke am Ende, dass das auch eine wunderbare erzieherische Funktion hat.
Nämlich das, was wir beide als unzureichend bewerten, nämlich das bloße nützliche
Datenverarbeitung, weil es nett ist, weil es schon mal zu irgendwas gut sein könnte.
Das vermeiden wir durch einen solchen sorgfältigen Prozess.
Das ist für mich ein bisschen sozusagen die Meta- und methodische Ebene der Entscheidung.
Ja, kann ich voll unterstützen.
Von daher freut mich, dass wir da am Ende auch auf jeden Fall mit einem Konsens rausgehen.
Ich danke Ihnen ganz herzlich für Ihre Zeit, aber insbesondere natürlich auch
für Ihre Sichtweise und Ihre Einschätzung aus Sicht einer Aufsichtsbehörde.
Wünsche Ihnen alles Gute unseren Zuhörern kann ich natürlich nur raten einmal
das zu beherzigen auf der anderen Seite gerne auch in Austausch zu treten mit
uns wir verlinken in den Shownotes wieder die Seite die zur Themenfolge da sind auch gerne Kommentare,
gewünscht wer dazu noch was beizutragen hat und ansonsten bleibt uns gewogen und auf bald herzlichen.
Dank für das spannende Gespräch alles Gute.