Ein Vertrag ist kein Joker : Freiwillige Angaben vor dem Aus?
Darf ein Transportunternehmen den Verkauf von Fahrkarten von der Angabe der Anrede „Herr“ oder „Frau“ abhängig machen? Auf den ersten Blick scheint diese Frage eine überflüssige Detailregulierung zu sein. Bei näherer Betrachtung ist sie ein anschauliches Lehrbeispiel für die Grenzen von Verträgen – auch Arbeitsverträgen.
Beim Onlineverkauf von Fahrkarten verlangte die französische Bahn SNCF Connect die Angabe einer Anrede „Herr“ oder „Frau“. Ohne die Angabe konnte keine Fahrkarte gekauft werden. Aus Sicht von SNCF Connect war die Anrede erforderlich für die Vertragsbegründung und -durchführung, um einerseits die Kundinnen und Kunden mit einer höflichen Anrede ansprechen zu können und andererseits die Wagenkapazität von Nachtzügen dem geschlechtsspezifischen Bedarf entsprechend bereitstellen zu können.
Der Europäische Gerichtshof (EuGH) (Urteil vom 09.01.2025, Az. C-394/23) hat sich mit diesem Fall beschäftigt und zeigt einmal mehr auf, welche Datenverarbeitung durch Vertragsanbahnung, -durchführung oder -beendigung legitimiert werden kann und welche nicht. Die Ausführungen gelten insbesondere auch für Bewerbungsportale und Arbeitsverträge.
Der Vertrag und seine Grenzen
Personenbezogene Daten dürfen grundsätzlich nicht elektronisch verarbeitet werden (Art. 6. Abs. 1 Datenschutz-Grundverordnung (DS-GVO)), sofern keine der in Art. 6 Abs. 1 DS-GVO aufgeführten Ausnahmen zutrifft.
Für Unternehmen sind die üblicherweise anwendbaren Ausnahmen („Rechtsgrundlagen“ genannt):
- Einwilligung seitens der betroffenen Personen,
- Vertrag mit der betroffenen Person,
- rechtliche Pflicht, der das Unternehmen unterliegt, oder
- überwiegende berechtigte Interessen („Interessenabwägung“ genannt).
Die Rechtsgrundlage „Vertrag“ trägt genau dann, wenn die personenbezogenen Daten für die Vertragsanbahnung, -durchführung oder -beendigung erforderlich sind. Um eine Datenverarbeitung erforderlich zu machen, müsste es doch reichen, wenn man diese in den Vertrag als Recht oder gar Pflicht des Unternehmens aufnimmt, oder? Diesem Gedanken hat der EuGH bereits in seinem Urteil zu Meta (04.07.2023, Az. C252/21) eine Absage erteilt. Als Maßstab der Erforderlichkeit gilt demnach die für die betroffene Person bestimmte Vertragsleistung. Ein Datum ist erforderlich, wenn der Hauptgegenstand des Vertrags nicht erbracht werden kann, ohne dieses Datum zu verarbeiten. Erforderlich bedeutet aus Sicht des EuGH auch, dass zu dem Datum keine praktikablen und weniger einschneidenden Alternativen bestehen. Ein klassisches Beispiel ist die Bankverbindung des Beschäftigten bei Arbeitsverträgen. Eine Barauszahlung wäre beispielsweise nicht praktikabel und für den Beschäftigten mit Mehraufwand (Einzahlung bei der Bank) verbunden.
Zurück zur Anrede. Aus Sicht des EuGH umfasst eine Transportleistung auch die Kommunikation mit der Kundin oder dem Kunden, etwa zur Übermittlung des Fahrscheins. Gleiches dürfte auch für Arbeitsverträge gelten. Eine geschlechtsbezogene Personalisierung der Anrede hält das Gericht für nicht erforderlich, da eine geschlechtsneutrale Anrede ein milderes Mittel darstellt. Weiterhin führt das Gericht aus, dass die Beförderungsleistung auch bei Angabe einer unzutreffenden Anrede (Frau wählt „Herr“) erbracht wird. Für den Zweck der Nachtzugplanung würde es reichen, wenn das Geschlecht beim Kauf einer Nachzugfahrkarte erhoben würde.
Das am Beispiel der Anrede erläuterte Prinzip der Erforderlichkeit gilt für alle Daten, die im Rahmen des Vertrags verarbeitet werden sollen. Gerade im Beschäftigungsverhältnis deckt der Arbeitsvertrag nur einen kleinen Teil der verarbeiteten Daten von Beschäftigten ab. Für den überwiegenden Teil muss entweder eine rechtliche Pflicht bestehen oder die berechtigten Interessen des Unternehmens müssen die Interessen der Beschäftigten an der Nichtverarbeitung überwiegen. Einwilligungen sind im Kernbereich des Beschäftigungsverhältnisses aufgrund des Direktionsrechts und des Machtungleichgewichts grundsätzlich unwirksam.
Freiwillige Angaben – regelmäßig unzulässig?
In seinem Urteil befasst sich der EuGH auch mit der Frage, ob freiwillige Angaben zulässig seien. Freiwillige Angaben sind Formularfelder, die ausgefüllt werden können, aber nicht ausgefüllt werden müssen. Klassische Beispiele sind Name und Anrede bei Newsletteranmeldungen. In der Praxis stellen freiwillige Formularfelder einen Weg dar, auch Daten abzufragen, die nicht erforderlich, aber nützlich sind. Als Rechtsgrundlage für diese Art von Formularfeldern kommt regelmäßig die Interessenabwägung nach Art. 6 Abs. 1 lit. f) DS-GVO zum Tragen.
Auch an freiwillige Angaben sowie an andere Verarbeitungen auf Grundlage einer Interessenabwägung stellt der EuGH die oben dargestellten Anforderungen. Freiwillige Angaben und auch Pflichtangaben auf Grundlage einer Interessenabwägung sind nur zulässig, wenn alle folgenden Voraussetzungen erfüllt sind:
- den betroffenen Personen wurde bei Erhebung das berechtigte Interesse mitgeteilt,
- die Daten sind für die Verarbeitung erforderlich und
- die Eingriffe in die Grundrechte aus der EU-Grundrechte-Charta (GrChr) des Betroffenen sind nicht so tief, dass sie die Interessen des Unternehmens überwiegen.
Im vorliegenden Fall gab es für das Feld Anrede nur zwei Auswahlmöglichkeiten: „Herr“ und „Frau“. In dieser beschränkten Auswahl sah der EuGH eine mögliche Diskriminierung. Wenn das Risiko einer Diskriminierung besteht, scheitert die Interessenabwägung.
Auch das Hinzufügen einer Antwortoption wie z. B. „keine Angabe“ rette ein nicht erforderliches Feld nicht. Durch die Option „keine Angabe“ kommt zum Ausdruck, dass die Angabe für den Zweck nicht erforderlich ist. Somit ist die Abfrage – auch als freiwilliges Feld – unzulässig.
In der Datenschutzinformation müssen alle Zwecke und auch für jede Interessenabwägung die verfolgten berechtigten Interessen konkret benannt werden. Fehlt eine dieser Angaben, ist die entsprechende Verarbeitung aus Sicht des EuGH unzulässig.
Fazit und Handlungsbedarf
Der EuGH hat am Beispiel der verpflichtenden Angabe einer geschlechtsspezifischen Anrede erläutert, dass Verträge – also auch Arbeitsverträge – nur die für die Erbringung der Hauptleistung erforderlichen Datenverarbeitungen legitimieren. Für Datenverarbeitungen, die nicht für das Erbringen der Hauptleistung gegenüber dem Betroffenen erforderlich sind, bedarf es einer rechtlichen Verpflichtung oder überwiegender berechtigter Interessen des Unternehmens.
Birgt eine Datenerhebung beispielsweise durch beschränkte Auswahlmöglichkeiten das Risiko, dass Grundrechte der betroffenen Personen zu stark beeinträchtigt werden, scheitert eine Interessenabwägung.
Es empfiehlt sich,
- für alle Bewerbungs- und Kontaktformulare sicherzustellen, dass keine Daten verpflichtend erhoben werden, die für eine Bewerbung bzw. Kontaktaufnahme nicht erforderlich sind;
- für alle Personalfragebögen sicherzustellen, dass nur erforderliche Daten abgefragt werden;
- auf die Anrede in allen Formularen und Erhebungsbögen wie dem Personalfragebogen zu verzichten;
- alle freiwilligen und Pflichtangaben, die auf Grundlage einer Interessenabwägung verarbeitet werden, auf mögliche Risiken für die Grundrechte wie z. B. Diskriminierung hin zu prüfen und diese Risiken zu beseitigen;
- in der Datenschutzinformation vollständig über alle Zwecke und berechtigten Interessen zu informieren.
Softwarehersteller sollten ihre Produkte daraufhin überprüfen, ob in Masken Daten erfragt werden, die für den verfolgten Zweck nicht erforderlich sind. Felder, die etwa auf Kundenwunsch eingebaut wurden, aber nicht für alle Kunden erforderlich sind, sollte kundenseitig ausblendbar sein.
Dr. Niels Lepperhoff, Xamit Bewertungsgesellschaft mbH