Rechtmäßig – aber trotzdem nicht fair: Der unterschätzte Grundsatz von Treu und Glauben in der DSGVO
Ein Unternehmen führt eine neue Software zur Einsatzplanung seiner Außendienstmitarbeiter ein. Die App zeigt, wo sich welcher Mitarbeiter gerade befindet, damit kurzfristige Kundenaufträge effizient verteilt werden können. Die Mitarbeiter werden darüber informiert.
Einige Monate später entdeckt der Vertriebsleiter eine zweite Nutzungsmöglichkeit: Anhand der Standortdaten lässt sich gut nachvollziehen, wann ein Mitarbeiter beim ersten Kunden eintrifft, wie lange er bleibt und wann er nach Hause fährt. Also beginnt er, die Daten für Leistungsbewertungen zu nutzen. Mitarbeiter mit vermeintlich langen Pausen werden zum Gespräch gebeten.
Die naheliegende Frage lautet: Gibt es dafür eine Rechtsgrundlage? Wichtig – aber datenschutzrechtlich nicht ausreichend.
Art. 5 Abs. 1 lit. a) DSGVO verlangt nicht nur, dass personenbezogene Daten rechtmäßig verarbeitet werden. Die Verarbeitung muss zusätzlich nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise erfolgen. Die englische Sprachfassung macht das deutlicher: „lawfully, fairly and in a transparent manner“. Gemeint ist also eine rechtmäßige, faire und transparente Verarbeitung – drei eng verbundene, aber nicht identische Anforderungen.
Rechtmäßigkeit fragt, ob eine Verarbeitung überhaupt zulässig ist (dafür braucht es regelmäßig eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO). Transparenz fragt, ob die betroffene Person erkennen kann, was mit ihren Daten geschieht (konkretisiert durch Art. 12–14 DSGVO). Und die Verarbeitung nach Treu und Glauben geht einen Schritt weiter: Sie fragt, ob die Verarbeitung der betroffenen Person gegenüber fair ausgestaltet ist.
Genau daran scheitert das Beispiel oben. Ein Mitarbeiter, dessen Standort erfasst wird, damit Kundenaufträge sinnvoll verteilt werden, muss nicht damit rechnen, dass dieselben Daten später zur Leistungskontrolle herangezogen werden.
Der Europäische Datenschutzausschuss (EDSA) betont in seinen Leitlinien zu Art. 25 DSGVO Fairness als übergeordneten Grundsatz. Auch die BfDI beschreibt den Zweck anschaulich: Er soll einen fairen Umgang mit personenbezogenen Daten gewährleisten – und kann problematisch werden, obwohl einzelne Einzelvorschriften formal eingehalten sind, etwa bei Vertrauensmissbrauch.
„Treu und Glauben“ bedeutet nicht § 242 BGB
Für deutsche Leser ist der Begriff unglücklich gewählt, weil er sofort an § 242 BGB erinnert. Darum geht es hier aber nicht. Die DSGVO ist europäisches Recht. Während die deutsche Fassung von „Treu und Glauben“ spricht, verwendet die englische Fassung „fairly“, andere Sprachfassungen orientieren sich an Fairness, Loyalität oder Korrektheit. Für die Praxis ist deshalb folgende Übersetzung hilfreich: Verarbeitung nach Treu und Glauben bedeutet faire Verarbeitung personenbezogener Daten.
Was ist eine faire Datenverarbeitung?
Eine abschließende Definition enthält die DSGVO nicht – bewusst, denn der Grundsatz soll gerade Fälle erfassen, die keine spezielle Einzelvorschrift verletzen, deren konkrete Ausgestaltung aber trotzdem nicht akzeptabel ist. Der EDSA hat ihn dennoch greifbar gemacht: Personenbezogene Daten sollen nicht in einer Weise verarbeitet werden, die für die betroffene Person ungerechtfertigt nachteilig, diskriminierend, unerwartet oder irreführend ist.
Vier Fragen führen in der Praxis meist schon sehr weit: Entsteht der betroffenen Person ein ungerechtfertigter Nachteil? Wird sie diskriminiert? Geschieht etwas mit ihren Daten, womit sie vernünftigerweise nicht rechnen musste? Wird sie getäuscht oder zu einer Entscheidung manipuliert? Je häufiger eine dieser Fragen mit „Ja“ beantwortet werden muss, desto genauer sollte die Verarbeitung untersucht werden.
Vier Fragen als Praxistest für faire Datenverarbeitung: Ungerechtfertigte Nachteile, Diskriminierung, unerwartete Datennutzung sowie Täuschung oder Manipulation sind wichtige Warnsignale bei der Prüfung des Fairnessgrundsatzes nach Art. 5 Abs. 1 lit. a) DSGVO.
Die vernünftigen Erwartungen als Maßstab
Einer der wichtigsten Maßstäbe für Fairness ist die Erwartung der betroffenen Person – nicht die subjektive Erwartung jedes Einzelnen, sondern eine objektiv nachvollziehbare. Dabei spielen die Beziehung zwischen Unternehmen und betroffener Person, der Anlass der Datenerhebung, die bisherige Verwendung der Daten und mögliche Folgen der weiteren Verarbeitung eine Rolle.
Ein Kunde, der eine Waschmaschine bestellt, rechnet selbstverständlich damit, dass Name, Anschrift und Telefonnummer für die Lieferung verarbeitet werden. Weniger selbstverständlich wäre, wenn aus den Bestellinformationen ohne erkennbaren Anlass ein umfangreiches Konsumprofil erstellt und mit Daten aus anderen Quellen angereichert würde. Eine einfache Praxishilfe lautet deshalb: Je überraschender eine Verarbeitung wäre, wenn sie der betroffenen Person verständlich erklärt würde, desto genauer sollte geprüft werden. Überraschung ist zunächst nur ein Warnsignal – nicht automatisch ein Verstoß.
Keine Täuschung, keine Ausnutzung
Besonders deutlich wird der Grundsatz bei Benutzeroberflächen. Ein Kundenportal bietet zwei Optionen an: eine große, grüne, sofort sichtbare Schaltfläche „Alle Daten für personalisierte Angebote verwenden“ und einen kleinen grauen Text „Einstellungen verwalten“, hinter dem sich sechs Untermenüs mit 14 einzeln zu deaktivierenden Schaltern verbergen. Rein technisch existiert eine Wahlmöglichkeit – fair ausgestaltet ist sie deshalb noch lange nicht.
Der EDSA hat sich in seinen Leitlinien 03/2022 zu irreführenden Gestaltungsmustern („Dark Patterns“) ausführlich mit solchen Interfaces beschäftigt: Informationen und Auswahlmöglichkeiten müssen objektiv und neutral dargestellt werden, irreführende oder manipulative Sprache und Gestaltung sind zu vermeiden. Das bedeutet nicht, dass jede Schaltfläche gleich aussehen muss – die DSGVO schreibt kein Webdesign vor. Entscheidend ist die Gesamtwirkung: Wird die Entscheidung des Betroffenen verzerrt, werden wesentliche Folgen verschleiert oder die datenschutzfreundliche Option unnötig erschwert?
Ähnliches gilt für psychologischen Druck: Wird eine Einwilligungsabfrage so lange wiederholt, bis der Nutzer ermüdet zustimmt, oder wird künstlicher Zeitdruck erzeugt („Nur noch 20 Sekunden!“), berührt das den Fairnessgrundsatz – unabhängig davon, ob die Einwilligung dadurch überhaupt noch freiwillig ist.
Fairness spielt eine besonders wichtige Rolle, wenn zwischen Verantwortlichem und betroffener Person ein deutliches Machtungleichgewicht besteht – klassisches Beispiel ist das Beschäftigungsverhältnis. Ein Mitarbeiter kann sich der Datenverarbeitung seines Arbeitgebers häufig nicht so leicht entziehen wie ein Verbraucher einem Online-Shop. Der EDSA nennt die „Power Balance“ deshalb ausdrücklich als Fairnessfaktor. Ähnliches gilt bei Kindern oder sozial und wirtschaftlich abhängigen Personen.
Fairness bedeutet nicht Gleichbehandlung
Fairness darf nicht mit einer allgemeinen Gleichbehandlungspflicht verwechselt werden. Eine Versicherung darf risikorelevante Informationen berücksichtigen, ein Arbeitgeber unterschiedliche Zugriffsrechte je nach Aufgabe vergeben, ein Online-Shop unterschiedliche Ansprachen zeigen – solange die datenschutzrechtlichen Voraussetzungen dafür vorliegen. Problematisch sind ungerechtfertigte Benachteiligungen, manipulative Verarbeitungen oder diskriminierende Wirkungen, insbesondere wenn Betroffene keine realistische Möglichkeit haben, die Verarbeitung zu erkennen oder korrigieren zu lassen. Das gilt zunehmend auch für KI-gestützte Bewertungssysteme: Werden historische Daten genutzt, die überwiegend von einer bestimmten Personengruppe stammen, kann ein System andere Bewerber systematisch schlechter bewerten – ein klassisches Fairnessproblem, das die BfDI in ihrem KI-Fragenkatalog ausdrücklich aufgreift.
Einwilligung ist keine Fairness-Generalerlaubnis
Ein häufiger Denkfehler lautet: „Wenn der Kunde eingewilligt hat, kann die Verarbeitung doch nicht unfair sein.“ So einfach ist es nicht. Zunächst muss die Einwilligung selbst wirksam sein – freiwillig, informiert, spezifisch, eindeutig (Art. 4 Nr. 11, Art. 7 DSGVO). Und selbst eine wirksame Einwilligung ist keine Generalerlaubnis, die Daten anschließend beliebig zu verarbeiten. Die Grundsätze des Art. 5 DSGVO gelten immer zusätzlich und nebeneinander.
Wenn Aufsichtsbehörden ernst machen
Wie ernst Aufsichtsbehörden diesen Grundsatz nehmen, zeigen zwei Fälle unterschiedlicher Größenordnung.
2023 stellte der EDSA in einer verbindlichen Streitbeilegungsentscheidung fest, dass TikTok bei der Registrierung und beim Veröffentlichen von Videos Kinder zwischen 13 und 17 Jahren durch irreführend gestaltete Pop-ups zu datenschutzungünstigeren Entscheidungen lenkte. Die irische Datenschutzbehörde verhängte daraufhin im September 2023 eine Geldbuße von 345 Millionen Euro – neben anderen Verstößen wurde dabei erstmals ausdrücklich auch ein Verstoß gegen den Fairnessgrundsatz aus Art. 5 Abs. 1 lit. a) DSGVO festgestellt.
Dass es nicht nur um Plattformkonzerne geht, zeigt ein Fall der griechischen Datenschutzbehörde: Der Inhaber einer Sprachschule überwachte fortlaufend den Online-Unterricht einer Lehrerin über Zoom, obwohl diese ausdrücklich widersprochen hatte. Die Behörde stellte Verstöße gegen Art. 5 Abs. 1 lit. a), Art. 5 Abs. 2 und Art. 13 DSGVO fest und verhängte 2022 eine Geldbuße von 2.000 Euro. Die Summe ist im Vergleich gering – für die Praxis kleiner Unternehmen ist der Fall gerade deshalb aufschlussreich: Der Fairnessgrundsatz gilt bei ganz normaler Mitarbeiterüberwachung genauso wie bei internationalen Plattformverfahren. Und Verstöße gegen die Grundsätze aus Art. 5 DSGVO können nach Art. 83 Abs. 5 lit. a) DSGVO grundsätzlich mit Geldbußen bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.
Ein einfacher Praxistest
Bei gewöhnlichen Standardverarbeitungen ist keine seitenlange Prüfung nötig. Sobald eine Verarbeitung aber ungewöhnlich, bewertend, überwachend oder besonders eingriffsintensiv wird, hilft ein einfacher Gedankentest: Wie würde man die Verarbeitung der betroffenen Person in zwei Sätzen erklären? „Wir erfassen Ihren Standort, damit wir Kundenaufträge effizient verteilen können. Außerdem analysieren wir später Ihre Standortbewegungen, um Ihre Arbeitsleistung zu bewerten.“ Klingt das schon für den Verantwortlichen selbst unangenehm oder überraschend, ist das kein Beweis für einen Verstoß – aber ein ausgezeichnetes Signal, genauer hinzusehen. Ergänzend lohnt sich der Blick auf die Herkunft der eingesetzten Software: Enthält eine neu eingeführte Anwendung standardmäßig Ranking- oder Auswertungsfunktionen, die niemand angefordert hat, entlastet der Verweis auf den Hersteller nicht – Art. 25 DSGVO verpflichtet dazu, Datenschutz bereits bei der Auswahl der Mittel zu berücksichtigen.
Der praktische Fairness-Test: Je ungewöhnlicher, überraschender, bewertender oder eingriffsintensiver eine Datenverarbeitung ist, desto genauer sollte geprüft werden, ob sie den vernünftigen Erwartungen der Betroffenen entspricht und keine ungerechtfertigten Nachteile, Manipulationen oder diskriminierenden Wirkungen verursacht.
Zusammenfassung
Der Grundsatz der Verarbeitung nach Treu und Glauben wirkt auf den ersten Blick wenig greifbar. In der Praxis lässt er sich auf eine Grundfrage reduzieren: Geht das Unternehmen mit den personenbezogenen Daten der betroffenen Person fair um? Eine faire Verarbeitung überrascht nicht unnötig, täuscht nicht, manipuliert keine Entscheidungen und nutzt Macht- oder Informationsvorsprünge nicht unangemessen aus.
Rechtsgrundlage, Transparenz, Zweckbindung und die übrigen Grundsätze der DSGVO bleiben notwendig. Treu und Glauben ergänzt sie um eine Frage, die für die Unternehmenspraxis besonders wertvoll ist: nicht nur ob Daten verarbeitet werden dürfen, sondern auch wie mit den Menschen umgegangen wird, auf die sich diese Daten beziehen.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
