Urteil : DS‑GVO steht Anspruch eines Vereinsmitglieds auf Mitgliederliste inkl. E-Mail-Adressen nicht entgegen : aus der RDV 5/2023 Seite 326 bis 328

Aus den Gründen:

4. Vereinbarkeit mit dem Datenschutz

Die Übermittlung der Mitgliederliste mit den begehrten Daten ist auch mit der DS-GVO vereinbar.

a) Anwendbarkeit der DS-GVO Die DS-GVO ist auf diesen Vorgang anwendbar. Die vom Kläger begehrte Mitgliederliste enthält mit Adresse und E-MailAdresse Informationen, die sich auf die durch Namen identifizierten Personen beziehen, mithin personenbezogene Daten i.S.v. Art. 4 Nr. 1 DS-GVO. Mit dem vom Kläger begehrten elektronischen Versand ist auch der sachliche Anwendungsbereich von Art. 2 Abs. 1 DS-GVO eröffnet, da bereits mit dem Versand an den und der Speicherung beim Kläger eine automatisierte Verarbeitung i.S.v. Art. 2 Nr. 2 DS-GVO verbunden ist. Der räumliche Anwendungsbereich von Art. 3 Abs. 1 und 2 DS-GVO ist ebenfalls eröffnet, da der Beklagte als Verantwortlicher (Art. 4 Nr. 7 DS-GVO) in Deutschland die Daten von betroffenen Personen (Art. 4 Nr. 1 DS-GVO) verarbeitet (Art. 4 Nr. 2 DS-GVO). b) Erlaubnistatbestand des Art. 6 Abs. 1 lit. b) DS-GVO Die Übermittlung der Mitgliederlisten mit den begehrten Inhalten ist aber von dem Erlaubnistatbestand des Art. 6 Abs. 1 lit.

b) DS-GVO gedeckt, da sie zur Erfüllung eines Vertrags, dessen Partei die betroffenen Personen sind, erforderlich ist.

aa) Datenschutzrecht ist Ermöglichungsrecht, kein Verhinderungsrecht. Es ist, wie Art. 6 Abs. 1 DS-GVO ausweist, akzessorisch zum jeweiligen Sachrecht und steht dem, was das Sachrecht verlangt, nicht entgegen, sondern begrenzt es nur der Teleologie des jeweiligen sachrechtlichen Bereichs folgend auf das danach Erforderliche. Für den vorliegenden Zusammenhang heißt das, das Datenschutzrecht ist in diesem Sinne zivilrechtsakzessorisch, wie auch Art. 6 Abs. 1 lit. b) und c) DS-GVO ausweisen; vgl. schon BGH, Beschl. v. 25. Oktober 2010 – II ZR 219/09 –, juris Rn. 6. Das, was zivilrechtlich für die Vertragserfüllung erforderlich ist, ermöglicht das Datenschutzrecht auch.

Insbesondere stellt sich im vorliegenden Fall, in dem es um die datenschutzrechtliche Beurteilung einer gesetzlichen Nebenleistungspflicht geht, nicht die umstrittene Frage der Wechselwirkung zwischen Zivilrecht und Datenschutzrecht. Sie stellt sich, wenn die Gefahr besteht, dass die Parteien einen Vertrag in bestimmter Weise gestalten, um auf dieser Grundlage die Erforderlichkeit der Datenverarbeitung für die Erfüllung (und so die Erlaubnis nach Art. 6 Abs. 1 lit. b) DS-GVO) zu begründen und damit die Anforderungen an die Einwilligung nach Art. 6 Abs. 1 lit. a), 7 DS-GVO zu unterlaufen; dazu grundlegend Wendehorst/Graf von Westphalen, NJW 2016, 3745 ff.; ferner BeckOK Datenschutzrecht/Albers/Veit, Art. 6 DS-GVO Rn. 44. Bei der Beurteilung der teleologisch zur Erreichung des Vertragszwecks (Vereinszwecks; mitgliedschaftliche Rechte) begründeten Nebenpflichten besteht diese Gefahr von vornherein nicht.

bb) Zweck des Erlaubnistatbestands Zulässig ist nach Art. 6 Abs. 1 lit. b) DS-GVO die Verarbeitung „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist“. Der Zweck des Erlaubnistatbestands ist es, die privatautonome Gestaltung der Beteiligten zu ermöglichen und nicht zu beschränken. Mit dem datenschutzrechtlichen Anliegen der informationellen Selbstbestimmung ist das deswegen gut vereinbar, weil die vertragliche Verpflichtung im Wege der Selbstbestimmung legitimiert ist; BeckOK Datenschutzrecht/Albers/Veit, Art. 6 DS-GVO Rn. 41 („Resultate privatautonomer Entscheidungen“). Damit handelt es sich bei dem Erlaubnistatbestand systematisch um einen Unterfall der datenschutzrechtlichen Einwilligung von Art. 6 Abs. 1 lit. a) DS-GVO.

cc) Vertrag i.S.d. Art. 6 Abs. 1 lit. b) DS-GVO Der Begriff des “Vertrags” ist dabei nicht zivilrechtlich auszulegen, sondern datenschutzrechtlich und unionsautonom; BeckOK Datenschutzrecht/Albers/Veit, Art. 6 DS-GVO Rn. 42. Es kommt m.a.W. nicht darauf an, ob das Rechtsverhältnis, zu dessen Erfüllung die Verarbeitung erforderlich ist, ein Vertrag i.S.d. BGB ist, sondern ob das datenschutzrechtliche Telos des Erlaubnistatbestands erfüllt ist. Maßgeblich ist m.a.W., ob das Rechtsverhältnis privatautonom begründet ist und die maßgebliche Verpflichtung daher als Ausdruck der Selbstbestimmung legitimiert ist; BeckOK Datenschutzrecht/Albers/ Veit, Art. 6 DS-GVO Rn. 41. Daher wird zu Recht hervorgehoben, dass der Tatbestand von lit. b) „auf all jene vertragsähnlichen Konstellationen, die gleichermaßen auf willentliche Entscheidungen des von der Verarbeitung Betroffenen zurückgehen“, anzuwenden ist; BeckOK Datenschutzrecht/Albers/Veit, Art. 6 DS-GVO Rn. 42.

Vereinsgründung und -beitritt begründen einen „Vertrag“ i.S.v. Art. 6 Abs. 1 lit.  b) DS-GVO, da es sich dabei um einen selbstbestimmt erklärten Beitritt zu einer privaten Vereinigung handelt; so i.Erg. auch Kühling/Buchner/Buchner/Petri, DS-GVO BDSG, 3. Aufl. 2020, Art. 6 DS-GVO Rn. 29 f.; Gola/ Heckmann/Schulz, DS-GVO BDSG, 3. Aufl. 2022, Art. 6 DS-GVO Rn. 33. Das ist auch zivilrechtlich gut begründet. So formuliert etwa Lutter, AcP 180 (1980), 84, 97: „Die Mitgliedschaft einer Person in einem Verband ist ein Rechtsverhältnis, eine auf privatautonomer Entscheidung beruhende privatrechtliche Sonderverbindung zwischen zwei oder mehr Subjekten. Sie wird begründet durch den Organisationsvertrag der Gründung oder durch den Beitrittsvertrag des neu hinzukommenden Mitglied, sei es mit dem Vorstand selbst, sei es mit dem bisherigen Mitglied.“ Zudem hat auch der Vereinsbeitritt anerkanntermaßen Vertragscharakter; s. nur Neuner, Allgemeiner Teil, 13. Aufl. 2023, § 17 Rn. 80 ff. Dabei kommt es für den Vertragsbegriff von Art. 6 Abs. 1 lit. b) DS-GVO nicht darauf an, dass nicht sämtliche Mitglieder – gewissermaßen netzförmig – den Beitritt von einander konsentieren (wie bei der Personengesellschaft); dazu BGH, Beschl. v. 19. November 2019 – II ZR 263/18 –, juris Rn. 27; BGH, Urt. v. 11. Januar 2011 – II ZR 187/09 –, juris Rn. 17. Es reicht aus, dass die Mitglieder jeweils im Verhältnis zum Verein als Zentralstelle – gewissermaßen sternförmig – ihr Einverständnis erklären.

dd) Erforderlichkeit zur Erfüllung Was zur Erfüllung des Vertrags erforderlich ist, bestimmen die Rechte und Pflichten des Vertrags. Eine Unterscheidung zwischen Haupt- und Nebenpflichten ist dabei nicht vorzunehmen; BeckOK Datenschutzrecht/Albers/Veit, Art. 6 DSGVO Rn. 43; Ehmann/Selmayer/Heberlein, DS-GVO, 2. Aufl. 2018, Art. 6 DS-GVO Rn. 13; Gola/Heckmann/Schulz, DS-GVO BDSG, 3. Aufl. 2022, Art. 6 DS-GVO Rn. 30. Bei der Bewertung als „erforderlich“ ist dabei – anders als im Verhältnis zwischen Bürger und Staat – kein objektiver Maßstab anzulegen, sondern der von den Parteien privatautonom gewählte Interessenausgleich zugrunde zu legen. Die dabei im allgemeinen gegebene Gefahr eines Missbrauchs der privatautonomen Gestaltungsmacht besteht dabei im vorliegenden Fall nicht. Zwar beruht auch der aus dem Mitgliedschaftsverhältnis fließende Informationsanspruch auf der Grundlage des Vertrags (i.S.v. Art. 6 Abs. 1 lit.  b) DS-GVO; also Beitritt und Satzung). Die Informationspflichten werden jedoch als – weithin sogar zwingende – Nebenpflichten gesetzlich begründet.

Die hier begründete Pflicht des Vereins, dem Mitglied eine Mitgliederliste mit Namen, Adressen und E-Mail-Adressen zu übermitteln, ist dabei bereits im Wege der Interessenabwägung als für die Zwecke der Ausübung der Mitgliedschaftsrechte erforderlich begründet. Die Begründung beruht ja gerade darauf, dass die Mitgliedschaftsrechte ohne die Informationspflicht nicht effektiv ausgeübt werden könnten oder sogar leerliefen; BGH, Beschl. v. 19. November 2019 – II ZR 263/18 –, juris Rn. 27.

Im Rahmen der datenschutzrechtlichen Prüfung ist ergänzend auf die Grundsätze der Datenverarbeitung nach Art. 5 DS-GVO Rücksicht zu nehmen. Hier sind insbesondere die Aspekte der Verarbeitung nach Treu und Glauben (Art. 5 Abs. 1 lit. a) DS-GVO), der Zweckbindung (lit. b)) und der Datenminimierung hervorzuheben, die in der Sache auch die Parteien angesprochen haben. Da die Informationspflicht als gesetzlich begründete Nebenpflicht selbst Ausfluss von Treu und Glauben ist, wird damit lediglich ein bereits zivilrechtlich begründeter Aspekt hervorgehoben, der im Hinblick auf die Datenverarbeitung zu konkretisieren ist. Auch die Zweckbindung der Datenverarbeitung ist bereits als zivilrechtliche Nebenpflicht des Mitgliedschaftsverhältnisses begründet. Sie ergibt sich daraus, dass der Kläger die Informationen nur aus „berechtigten Interessen“ beanspruchen kann. Daraus ergibt sich zugleich eine sachlich begründete Begrenzung der Verarbeitung durch den Kläger. Als Verantwortlicher für die Datenverarbeitung darf er die Mitgliederliste nur für die Zwecke verwenden, für die er sie zunächst beanspruchen kann, hier also die Organisation einer Opposition gegen die „Politik“ des Vorstands, ggf. für die Einberufung einer außerordentlichen Mitgliederversammlung mit Minderheitenquorum. Auch die Datenminimierung ist bereits bei der zivilrechtlichen Pflichtbegründung mit berücksichtigt. Der Grundsatz darf nicht plump dahin missverstanden werden, es wäre besser, weniger Daten (etwa: nicht die E-Mail-Adressen) zu verarbeiten. Vielmehr ist auch die Datenminimierung im Hinblick auf den jeweiligen Zweck hin zu bestimmen („dem Zweck angemessen“). So ist etwa auch datenschutzrechtlich anzuerkennen, dass der Kläger die E-Mail-Adressen für eine effektive Ausübung seiner Mitgliedschaftsrechte benötigt. In der europarechtlichen Terminologie liegt darin der Gedanke des effet utile, den man auch für die Mitgliedschaftsrechte fruchtbar machen kann. Zwar könnte das Mitglied auch postalisch mit den Kon-Mitgliedern in Verbindung treten. Das würde aber die „praktische Wirksamkeit“ der Mitgliedschaftsrechte wegen der damit verbundenen prohibitiven Kosten und der in den gegenwärtigen gesellschaftlichen Verhältnissen unangemessenen Verzögerung nicht gewährleisten.

Selbstverständlich unterliegt das Mitglied, wenn es die Mitgliederliste für seine mitgliedschaftlichen Zwecke verwendet, im Übrigen nicht nur den bereits hervorgehobenen zivilrechtlichen Beschränkungen, wie sie sich insbesondere aus § 241 Abs. 2 BGB ergeben. Er ist dabei zugleich „Verantwortlicher“ i.S.v. Art. 4 Nr. 7 DS-GVO mit entsprechenden Pflichten bis hin zur (scharfen) Haftung nach Art. 82 DS-GVO.