DSGVO und Schienentransport – Geschlechtsidentität des Kunden ist keine für Erwerb eines Fahrscheins erforderliche Angabe

Wirtschaftsrecht

16.01.2025

Wirtschaftsrecht

EuGH: DSGVO und Schienentransport – Geschlechtsidentität des Kunden ist keine für Erwerb eines Fahrscheins erforderliche Angabe

EuGH, Urteil vom 9.1.2025 – C-394/23, Mousse gegen Commission nationale de l’informatique et des libertés (CNIL), SNCF Connect

ECLI:EU:C:2025:2

Volltext: BB-Online BBL2025-129-1

unter www.betriebs-berater.de

Tenor

1. Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f in Verbindung mit Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass

- die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, weder objektiv unerlässlich noch wesentlich für die ordnungsgemäße Erfüllung eines Vertrags erscheint und daher nicht als für die Erfüllung dieses Vertrags erforderlich angesehen werden kann;

- die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden kann, wenn

o diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde; oder

o diese Verarbeitung nicht innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist; oder

o in Anbetracht aller relevanten Umstände die Grundrechte und Grundfreiheiten dieser Kunden gegenüber diesem berechtigten Interesse überwiegen können, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.

2. Art. 6 Abs. 1 Unterabs. 1 Buchst. f der Verordnung 2016/679 ist dahin auszulegen, dass bei der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten im▄Sinne dieser Bestimmung nicht zu berücksichtigen ist, dass die betroffene Person möglicherweise nach Art. 21 DSGVO ein Widerspruchsrecht hat.

Aus den Gründen

1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 5 Abs. 1 Buchst. c, Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f sowie Art. 21 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).

2 Es ergeht im Rahmen eines Rechtsstreits zwischen dem Verband Mousse und der Commission nationale de l’informatique et des libertés (CNIL) (Nationaler Ausschuss für Datenverarbeitung und Freiheitsrechte, Frankreich, im Folgenden: CNIL) wegen der Zurückweisung der Beschwerde von Mousse betreffend die Verarbeitung von Daten hinsichtlich der Anrede ihrer Kunden durch SNCF Connect beim Onlineerwerb von Fahrscheinen durch diesen Ausschuss.

Rechtlicher Rahmen

Unionsrecht

DSGVO

3 In den Erwägungsgründen 1, 4, 10, 47 und 75 DSGVO heißt es:

„(1) Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (im Folgenden ‚Charta‘) sowie Artikel 16 Absatz 1 [AEUV] hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

…

(4) Die Verarbeitung personenbezogener Daten sollte im Dienste der Menschheit stehen. Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikation, Schutz personenbezogener Daten, Gedanken‑, Gewissens- und Religionsfreiheit, Freiheit der Meinungsäußerung und Informationsfreiheit, unternehmerische Freiheit, Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren und Vielfalt der Kulturen, Religionen und Sprachen.

…

(10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. …

…

(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Personen nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist … Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. … Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar. Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.

…

(75) Die Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – können aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer Diskriminierung … führen kann …“

4 Art. 1 („Gegenstand und Ziele“) Abs. 2 DSGVO bestimmt:

„Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.“

5 In Art. 2 Abs. 1 dieser Verordnung heißt es:

„Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.“

6 Art. 4 („Begriffsbestimmungen“) der Verordnung bestimmt:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen;

2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, …

…

7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; …

…

11. ‚Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;

…“

7 Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO sieht vor:

„(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);

…

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);

…“

8 Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 DSGVO bestimmt:

„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

…“

9 Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) DSGVO sieht vor:

„(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

…

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

…“

10 Art. 21 („Widerspruchsrecht“) Abs. 1 der Verordnung bestimmt:

„Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“

Richtlinie 2004/113/EG

11 Die Richtlinie 2004/113/EG des Rates vom 13. Dezember 2004 zur Verwirklichung des Grundsatzes der Gleichbehandlung von Männern und Frauen beim Zugang zu und bei der Versorgung mit Gütern und Dienstleistungen (ABl. 2004, L 373, S. 37) bezweckt nach ihrem Art. 1 die Schaffung eines Rahmens für die Bekämpfung geschlechtsspezifischer Diskriminierungen beim Zugang zu und der Versorgung mit Gütern und Dienstleistungen zur Umsetzung des Grundsatzes der Gleichbehandlung von Männern und Frauen in den Mitgliedstaaten.

Französisches Recht

12 Art. 8 der Loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Gesetz Nr. 78-17 vom 6. Januar 1978 über Datenverarbeitung, Dateien und Freiheitsrechte, JORF vom 7. Januar 1978, S. 227) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung bestimmt:

„I A. Die [CNIL] ist eine unabhängige Verwaltungsbehörde.

I. Sie ist die nationale Aufsichtsbehörde im Sinne und für die Anwendung der [DSGVO]. Sie nimmt die folgenden Aufgaben wahr:

…

2° Sie stellt sicher, dass die Verarbeitung personenbezogener Daten in Übereinstimmung mit den Bestimmungen dieses Gesetzes und den sonstigen Bestimmungen zum Schutz personenbezogener Daten, die in Rechtsvorschriften, im Recht der … Union und in den von [der Französischen Republik] eingegangenen völkerrechtlichen Verpflichtungen enthalten sind, erfolgt.

Zu diesem Zweck:

…

d) befasst sie sich mit Beschwerden, Ersuchen und Anzeigen einer betroffenen Person oder einer Stelle, einer Organisation oder eines Verbandes, ermittelt oder untersucht den Gegenstand der Beschwerde in angemessenem Umfang und unterrichtet den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung, insbesondere wenn eine weitere Untersuchung oder die Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; …“

Ausgangsrechtsstreit und Vorlagefragen

13 SNCF Connect vertreibt online über ihre Website und Apps Bahnfahrkarten wie Zugtickets, Abonnements und Ermäßigungskarten. Beim Onlineerwerb dieser Fahrscheine über diese Website und Apps sind die Kunden dieses Unternehmens verpflichtet, ihre Anrede anzugeben, indem sie „Herr“ oder „Frau“ ankreuzen.

14 Da Mousse der Ansicht war, dass die Bedingungen der Erhebung und Speicherung der Daten hinsichtlich der Anrede dieser Kunden nicht den Anforderungen der DSGVO entsprächen, reichte er bei der CNIL eine Beschwerde gegen SNCF Connect ein. Mousse machte geltend, dass die Erhebung dieser Daten nicht mit dem in Art. 5 Abs. 1 Buchst. a DSGVO verankerten Grundsatz der Rechtmäßigkeit vereinbar sei, da sie auf keiner der in Art. 6 Abs. 1 DSGVO vorgesehenen Grundlagen beruhe. Zudem habe eine solche Erhebung gegen den in Art. 5 Abs. 1 Buchst. c DSGVO festgelegten Grundsatz der Datenminimierung und insbesondere gegen die Transparenz- und Informationspflichten, die sich aus Art. 13 DSGVO ergäben, verstoßen.

15 Mit Entscheidung vom 23. März 2021 befand die CNIL, dass die SNCF Connect vorgeworfenen Umstände keine Verstöße gegen die genannten Bestimmungen der DSGVO darstellten und das Verfahren zur Prüfung dieser Beschwerde einzustellen sei. Zur Begründung dieser Entscheidung stellte die CNIL fest, dass die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten nach Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO rechtmäßig sei, da sie für die Erfüllung des betreffenden Vertrags über die Erbringung von Beförderungsdienstleistungen erforderlich sei. Diese Verarbeitung stehe ferner im Hinblick auf ihre Zwecke mit dem Grundsatz der Datenminimierung in Einklang, da die Ansprache der Kunden auf personalisierte Weise unter Verwendung ihrer Anrede der allgemeinen Verkehrssitte in der geschäftlichen, privaten und behördlichen Kommunikation entspreche.

16 Am 21. Mai 2021 reichte Mousse eine Nichtigkeitsklage gegen diese Entscheidung der CNIL beim Conseil d’État (Staatsrat, Frankreich), dem vorlegenden Gericht, ein. In seiner Klageschrift macht Mousse insbesondere geltend, dass die Verpflichtung, beim Onlineerwerb die Anrede „Herr“ oder „Frau“ anzukreuzen, weder dem Grundsatz der Rechtmäßigkeit noch dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 Buchst. a bzw. c DSGVO entspreche, da diese Anrede weder für die Erfüllung eines Vertrags über die Erbringung von Beförderungsleistungen noch zur Wahrung berechtigter Interessen von SNCF Connect erforderlich sei. Der Umstand, dass derartige Angaben in der Geschäftskorrespondenz verwendet würden, reiche nicht aus, um eine solche Verpflichtung als erforderlich anzusehen. Schließlich beeinträchtige eine solche Verpflichtung das Recht auf Reisen ohne Angabe der Anrede, das Recht auf Achtung des Privatlebens sowie die Freiheit, den Ausdruck des eigenen Geschlechts frei zu bestimmen, und begründe die Gefahr einer Diskriminierung. Bei Staatsangehörigen von Ländern, deren Personenstand ein „neutrales Geschlecht“ zulasse, entspreche diese Angabe nicht der Realität und könne u. a. ihre durch das Unionsrecht garantierte Freizügigkeit beschneiden.

17 Die CNIL beantragt, diese Klage abzuweisen, und macht geltend, dass die Verarbeitung der Anrededaten auch als zur Wahrung der von SNCF Connect verfolgten berechtigten Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO erforderlich eingestuft werden könne und dass die betroffenen Personen – je nach ihrer besonderen Situation – das in Art. 21 DSGVO garantierte Widerspruchsrecht geltend machen könnten.

18 In diesem Zusammenhang fragt sich das vorlegende Gericht insbesondere, ob bei der Beurteilung der Erforderlichkeit der Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten die allgemeine Verkehrssitte in der geschäftlichen, privaten und behördlichen Kommunikation berücksichtigt werden kann, so dass die Erhebung von Daten hinsichtlich der Anrede der Kunden, die auf die Angaben „Herr“ oder „Frau“ beschränkt ist, rechtmäßig sein und dem Grundsatz der Datenminimierung entsprechen könnte. Zum anderen fragt sich das vorlegende Gericht, ob bei der Beurteilung, ob diese verpflichtende Erhebung und anschließende Verarbeitung von Daten hinsichtlich der Anrede der Kunden erforderlich ist, in Anbetracht der Tatsache, dass einige Kunden der Ansicht sind, dass auf sie keine der beiden Anreden zutreffe, zu berücksichtigen ist, dass diese Kunden, nachdem sie dem Verantwortlichen diese Daten zur Verfügung gestellt haben, um die betreffende Dienstleistung in Anspruch zu nehmen, nach Art. 21 DSGVO ihr Recht geltend machen könnten, der Verwendung dieser Daten aus Gründen, die sich aus ihrer besonderen Situation ergeben, zu widersprechen.

19 Unter diesen Umständen hat der Conseil d’État (Staatsrat) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1. Kann bei der Beurteilung der Angemessenheit, Erheblichkeit und Beschränkung auf das für die Zwecke der Verarbeitung der Daten notwendige Maß der Datenerhebung im Sinne der Bestimmungen von Art. 5 Abs. 1 Buchst. c DSGVO und der Erforderlichkeit ihrer Verarbeitung im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f DSGVO die allgemeine Verkehrssitte in der privaten, geschäftlichen und behördlichen Kommunikation berücksichtigt werden, so dass die auf die Angaben „Herr“ oder „Frau“ beschränkte Erhebung von Daten hinsichtlich der Anrede der Kunden als erforderlich angesehen werden könnte, ohne dass der Grundsatz der Datenminimierung dem entgegenstünde?

2. Ist bei der Beurteilung, ob die verpflichtende Erhebung und die Verarbeitung von Daten hinsichtlich der Anrede der Kunden erforderlich ist, in Anbetracht der Tatsache, dass einige Kunden der Ansicht sind, dass auf sie keine der beiden Anreden zutreffe und dass die Erhebung dieser Daten in Bezug auf sie nicht erheblich sei, zu berücksichtigen, dass die Kunden, nachdem sie dem Verantwortlichen diese Daten zur Verfügung gestellt haben, um die angebotene Dienstleistung in Anspruch zu nehmen, nach Art. 21 DSGVO ihr Recht geltend machen könnten, der Verwendung und Speicherung dieser Daten unter Berufung auf ihre besondere Situation zu widersprechen?

Zu den Vorlagefragen

Zur ersten Frage

20 Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f in Verbindung mit Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, als im Sinne von Buchst. b für die Erfüllung eines Vertrags oder im Sinne von Buchst. f als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden kann.

Vorbemerkungen

21 Vorab ist darauf hinzuweisen, dass das Ziel der DSGVO, wie aus ihrem Art. 1 und aus ihren Erwägungsgründen 1 und 10 hervorgeht, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art. 8 Abs. 1 der Charta und in Art. 16 Abs. 1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (Urteil vom 4. Oktober 2024, Schrems [Mitteilung von Daten an die breite Öffentlichkeit], C‑446/21, EU:C:2024:834, Rn. 45 und die dort angeführte Rechtsprechung).

22 Gemäß diesem Ziel muss jede Verarbeitung personenbezogener Daten insbesondere mit den in Art. 5 dieser Verordnung aufgestellten Grundsätzen für die Verarbeitung solcher Daten im Einklang stehen und die in Art. 6 der Verordnung aufgezählten Rechtmäßigkeitsvoraussetzungen erfüllen (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 27 und die dort angeführte Rechtsprechung).

23 Gemäß Art. 5 Abs. 1 Buchst. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

24 Nach Art. 5 Abs. 1 Buchst. c DSGVO, in dem der Grundsatz der Datenminimierung verankert ist, müssen diese Daten auch dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Mit diesem Grundsatz wird der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht (vgl. in diesem Sinne Urteil vom 4. Oktober 2024, Schrems [Mitteilung von Daten an die breite Öffentlichkeit], C‑446/21, EU:C:2024:834, Rn. 49 und 50 sowie die dort angeführte Rechtsprechung).

25 Was die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung angeht, enthält, wie der Gerichtshof bereits entschieden hat, Art. 6 Abs. 1 Unterabs. 1 DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 29 und die dort angeführte Rechtsprechung).

26 Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat. Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt, kann eine solche Verarbeitung gleichwohl gerechtfertigt sein, wenn sie eine der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f genannten Voraussetzungen in Bezug auf die Erforderlichkeit erfüllt (vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 91 und 92).

27 In diesem Zusammenhang sind die in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 31 und die dort angeführte Rechtsprechung).

28 Außerdem braucht nach der Rechtsprechung des Gerichtshofs, wenn festgestellt werden kann, dass eine Verarbeitung personenbezogener Daten aus einem der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Gründe erforderlich ist, nicht geprüft zu werden, ob diese Verarbeitung auch unter einen anderen dieser Gründe fällt. In diesem Zusammenhang ist darauf hinzuweisen, dass diese für die Rechtfertigung herangezogene Anforderung der Erforderlichkeit nicht erfüllt ist, wenn das im allgemeinen Interesse liegende verfolgte Ziel in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte der betroffenen Personen, insbesondere die in den Art. 7 und 8 der Charta verbürgten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, wobei sich die Ausnahmen und Einschränkungen hinsichtlich des Grundsatzes des Schutzes solcher Daten auf das unbedingt Notwendige beschränken müssen (vgl. in diesem Sinne Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 110 und die dort angeführte Rechtsprechung, sowie vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 94).

29 Schließlich ist klarzustellen, dass nach Art. 13 Abs. 1 Buchst. c dieser Verordnung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, es dem Verantwortlichen obliegt, diese Person über die Zwecke, für die diese Daten verarbeitet werden sollen, sowie über die Rechtsgrundlage dieser Verarbeitung zu informieren (Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 33 und die dort angeführte Rechtsprechung).

30 Im vorliegenden Fall ist unstreitig, dass die Anrede, die einer männlichen oder weiblichen Geschlechtsidentität entspricht, als „personenbezogene Daten“ eingestuft werden kann, wenn sie sich auf eine identifizierte Person im Sinne von Art. 4 Nr. 1 DSGVO bezieht und diese Daten Gegenstand einer „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO sind, da sie von SNCF Connect im Zusammenhang mit dem Onlineerwerb von Fahrscheinen erhoben und gespeichert werden. Folglich fällt diese Verarbeitung, die im Übrigen automatisiert ist, gemäß Art. 2 Abs. 1 DSGVO in deren sachlichen Anwendungsbereich.

31 Ferner beruht die Frage des vorlegenden Gerichts auf zwei Prämissen, nämlich zum einen, dass die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten ohne Einwilligung der betroffenen Personen im Sinne von Art. 4 Nr. 11 und Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO erfolgt, und zum anderen, dass diese Verarbeitung für die Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO unterliegt, nicht erforderlich ist. Die Vorlagefrage betrifft somit ausschließlich die Möglichkeit, die in Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f DSGVO genannten Rechtfertigungsgründe im Rahmen der Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten geltend zu machen.

Zu Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO

32 Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“.

33 Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche dieser Verarbeitung muss somit nachweisen können, inwiefern der Hauptgegenstand dieses Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte (Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C‑17/22 und C‑18/22, EU:C:2024:738, Rn. 43 und die dort angeführte Rechtsprechung).

34 Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C‑17/22 und C‑18/22, EU:C:2024:738, Rn. 44 und die dort angeführte Rechtsprechung).

35 In diesem Zusammenhang ist im Fall eines Vertrags, der mehrere Dienstleistungen oder mehrere eigenständige Elemente einer Dienstleistung umfasst, die unabhängig voneinander erbracht werden können, die Anwendbarkeit von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO für jede dieser Dienstleistungen gesondert zu beurteilen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 100).

36 Im vorliegenden Fall steht fest, dass Hauptgegenstand des im Ausgangsverfahren in Rede stehenden Vertrags die Erbringung einer Schienentransportdienstleistung für die Kunden ist. Nach den Angaben des vorlegenden Gerichts zielt die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten darauf ab, die geschäftliche Kommunikation mit dem Kunden in Übereinstimmung mit der allgemeinen Verkehrssitte in diesem Bereich zu personalisieren.

37 Wie der Generalanwalt in Nr. 42 seiner Schlussanträge im Wesentlichen ausgeführt hat, kann die geschäftliche Kommunikation ein Zweck sein, der notwendiger Bestandteil der betreffenden vertraglichen Leistung ist, da die Erbringung einer solchen Schienentransportdienstleistung grundsätzlich die Kommunikation mit dem Kunden voraussetzt, insbesondere um ihm elektronisch einen Fahrschein zu übermitteln, ihn über mögliche Änderungen der entsprechenden Reise zu informieren und den Austausch mit dem Kundendienst zu ermöglichen. Diese Kommunikation kann die Beachtung der allgemeinen Verkehrssitte erfordern und insbesondere Höflichkeitsformeln enthalten, um den Respekt des betreffenden Unternehmens gegenüber seinem Kunden zum Ausdruck zu bringen und dadurch das Markenimage dieses Unternehmens zu schützen.

38 Eine solche Kommunikation muss jedoch nicht notwendigerweise anhand der Geschlechtsidentität des betreffenden Kunden personalisiert werden. Nach der Rechtsprechung erscheint die Personalisierung von Inhalten nämlich nicht erforderlich, um einem Kunden Dienste anzubieten, wenn diese Dienste gegebenenfalls in Form einer gleichwertigen Alternative an ihn erbracht werden können, die nicht mit einer solchen Personalisierung verbunden ist, so dass diese nicht objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil dieser Dienste ist (vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 102).

39 Was die im Ausgangsverfahren in Rede stehenden Dienstleistungen betrifft, erscheint eine Personalisierung der geschäftlichen Kommunikation, die auf einer anhand der Anrede angenommenen Geschlechtsidentität beruht, weder objektiv unerlässlich noch wesentlich, um die ordnungsgemäße Erfüllung des betreffenden Vertrags im Sinne der in den Rn. 33 und 34 des vorliegenden Urteils angeführten Rechtsprechung zu ermöglichen.

40 Es scheint nämlich eine praktikable und weniger einschneidende Lösung zu geben, da sich das betreffende Unternehmen – sei es gegenüber Kunden, die ihre Anrede nicht angeben möchten, sei es generell – für eine Kommunikation entscheiden könnte, die auf allgemeinen und inklusiven Höflichkeitsformeln beruht, die in keinem Zusammenhang mit der angenommenen Geschlechtsidentität dieser Kunden stehen. Wie der Generalanwalt in den Nrn. 49 und 50 seiner Schlussanträge ausgeführt hat, verwendet SNCF Connect zudem offenbar bereits solche Formeln, was vom vorlegenden Gericht zu prüfen ist, und hätte die Angabe einer unzutreffenden Anrede darüber hinaus keine Auswirkung auf die Erbringung der betreffenden Beförderungsdienstleistungen, was bestätigen würde, dass die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten nicht objektiv unerlässlich ist, um den Hauptgegenstand des Vertrags zu erfüllen.

41 In diesem Zusammenhang ist noch darauf hinzuweisen, dass SNCF Connect in der mündlichen Verhandlung geltend gemacht hat, dass die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten einen zweiten Zweck verfolge, nämlich die Anpassung der Beförderungsdienstleistungen an Nachtzüge mit Waggons, die für Personen mit derselben Geschlechtsidentität reserviert seien, und an die Unterstützung von Fahrgästen mit einer Behinderung. Dieser Zweck der Anpassung der Beförderungsdienstleistungen könne es erforderlich machen, die Geschlechtsidentität der betroffenen Kunden zu kennen.

42 Dieser zweite Zweck kann jedoch nicht die systematische und allgemeine Verarbeitung der Anrededaten aller Kunden des betreffenden Unternehmens, einschließlich der Kunden, die tagsüber reisen oder keine Behinderung haben, rechtfertigen. Eine solche Verarbeitung wäre nämlich unverhältnismäßig und verstieße damit gegen den in Rn. 24 des vorliegenden Urteils angeführten Grundsatz der Datenminimierung, da sie sich auf die Daten zur Geschlechtsidentität nur der Kunden beschränken könnte, die mit dem Nachtzug reisen oder aufgrund ihrer Behinderung persönliche Hilfe in Anspruch nehmen möchten.

43 Somit ist Art. 6 Abs. 1 Unterabs. 1 Buchst. b in Verbindung mit Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen, dass die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, weder objektiv unerlässlich noch wesentlich für die ordnungsgemäße Erfüllung eines Vertrags erscheint und daher nicht als für die Erfüllung dieses Vertrags erforderlich angesehen werden kann.

Zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO

44 Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich [ist], sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt“.

45 Nach ständiger Rechtsprechung ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (Urteile vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 106, und vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 37).

46 Was erstens die Voraussetzung der Wahrnehmung eines berechtigten Interesses betrifft, ist darauf hinzuweisen, dass es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen obliegt, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht. In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Insbesondere ist dieser Begriff nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt. (vgl. in diesem Sinne Urteile vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 107, und vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 38, 40 und 41 sowie die dort angeführte Rechtsprechung).

47 So geht aus dem 47. Erwägungsgrund der DSGVO hervor, dass ein solches Interesse beispielsweise vorliegen könnte, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist.

48 Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses betrifft, ist es in Anbetracht der in Rn. 28 des vorliegenden Urteils angeführten Rechtsprechung Sache des vorlegenden Gerichts, zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist.

49 In diesem Zusammenhang ist auch darauf hinzuweisen, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C‑17/22 und C‑18/22, EU:C:2024:738, Rn. 52 und die dort angeführte Rechtsprechung).

50 Was schließlich drittens die Voraussetzung betrifft, dass die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, hat der Gerichtshof entschieden, dass diese Voraussetzung eine Abwägung der einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des vorlegenden Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen. Wie sich aus dem 47. Erwägungsgrund der DSGVO ergibt, können die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (vgl. in diesem Sinne Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C‑17/22 und C‑18/22, EU:C:2024:738, Rn. 53 und 54 sowie die dort angeführte Rechtsprechung).

51 Im vorliegenden Fall ist es letztlich Sache des vorlegenden Gerichts, zu beurteilen, ob im Hinblick auf die Verarbeitung personenbezogener Daten, um die es in den Ausgangsverfahren geht, die drei in Rn. 45 des vorliegenden Urteils genannten Voraussetzungen erfüllt sind; der Gerichtshof kann dem nationalen Gericht auf dessen Vorabentscheidungsersuchen hin jedoch sachdienliche Hinweise für diese Prüfung geben (vgl. entsprechend Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C‑17/22 und C‑18/22, EU:C:2024:738, Rn. 55 und die dort angeführte Rechtsprechung).

52 Was die erste, in Rn. 46 des vorliegenden Urteils genannte Voraussetzung betrifft, wird es Sache des vorlegenden Gerichts sein, zu prüfen, ob SNCF Connect ihren Kunden in der Phase der Erhebung der im Ausgangsverfahren in Rede stehenden Daten gemäß Art. 13 Abs. 1 Buchst. d DSGVO ein berechtigtes Interesse mitgeteilt hat. Wie der Generalanwalt in Nr. 58 seiner Schlussanträge ausgeführt hat, verlangt diese Bestimmung, dass den betroffenen Personen zum Zeitpunkt der Erhebung der Daten unmittelbar das verfolgte berechtigte Interesse mitgeteilt wird, da andernfalls diese Erhebung nicht auf der Grundlage von Art. 6 Abs. 1 Unterabs. 1 Buchst. f dieser Verordnung gerechtfertigt werden kann. Anhand der dem Gerichtshof vorliegenden Akten lässt sich nicht beurteilen, ob diese Anforderung im Rahmen des Ausgangsverfahrens erfüllt wurde.

53 In diesem Zusammenhang ist klarzustellen, dass SNCF Connect in ihren schriftlichen Erklärungen auf einen Zweck der kommerziellen Direktwerbung Bezug genommen hat, der eine Personalisierung der Kommunikation und damit die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten erfordern könnte.

54 Insoweit kann nach dem letzten Satz des 47. Erwägungsgrundes der DSGVO die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden. Insbesondere kann die Personalisierung der Werbung in einem solchen Kontext der kommerziellen Direktwerbung gleichgestellt werden (vgl. entsprechend Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 115).

55 Was die zweite, in Rn. 48 des vorliegenden Urteils genannte Voraussetzung betrifft, kann sich, vorbehaltlich einer Überprüfung durch das vorlegende Gericht, eine Personalisierung der kommerziellen Direktwerbung auf die Verarbeitung der Namen und Vornamen der Kunden beschränken, da ihre Anrede und/oder Geschlechtsidentität eine Information ist, die in diesem Zusammenhang, insbesondere im Licht des Grundsatzes der Datenminimierung, nicht unbedingt notwendig erscheint.

56 SNCF Connect und die französische Regierung machen in ihren jeweiligen schriftlichen Erklärungen geltend, dass zur Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten die Gepflogenheiten und gesellschaftlichen Konventionen des jeweiligen Mitgliedstaats zu berücksichtigen seien, insbesondere um die im vierten Erwägungsgrund der DSGVO erwähnte sprachliche und kulturelle Vielfalt zu wahren. Allerdings ist zum einen darauf hinzuweisen, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO bei der Beurteilung der Erforderlichkeit einer solchen Verarbeitung keine Berücksichtigung der Gepflogenheiten und gesellschaftlichen Konventionen vorsieht, wobei dieser Artikel, wie in Rn. 27 des vorliegenden Urteils ausgeführt, eng auszulegen ist.

57 Zum anderen dürfte die fehlende Verarbeitung von Daten hinsichtlich der Anrede oder der Geschlechtsidentität der betroffenen Kunden diese Vielfalt nicht beeinträchtigen. Wie sich nämlich aus Rn. 40 des vorliegenden Urteils ergibt, steht es dem Verantwortlichen frei, diese Gepflogenheiten und gesellschaftlichen Konventionen dadurch einzuhalten, dass er – sei es gegenüber Kunden, die ihre Anrede nicht angeben möchten, sei es generell – allgemeine und inklusive Höflichkeitsformeln verwendet, die in keinem Zusammenhang mit der Geschlechtsidentität dieser Kunden stehen, so dass das Vorbringen von SNCF Connect und der französischen Regierung jedenfalls nicht durchgreifen kann.

58 In Bezug auf die dritte, in Rn. 50 des vorliegenden Urteils genannte Voraussetzung und die Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, d. h. derjenigen des Verantwortlichen einerseits und der betroffenen Person andererseits, sind insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 116).

59 Wie der Generalanwalt in Nr. 70 seiner Schlussanträge im Wesentlichen ausgeführt hat, kann der Kunde eines Transportunternehmens, vorbehaltlich einer Überprüfung durch das vorlegende Gericht, nicht absehen, dass dieses Unternehmen Daten hinsichtlich seiner Anrede oder Geschlechtsidentität im Zusammenhang mit dem Erwerb eines Fahrscheins verarbeitet. Dies wäre insbesondere dann der Fall, wenn diese Verarbeitung ausschließlich für Zwecke der kommerziellen Direktwerbung durchgeführt würde.

60 Das berechtigte Interesse an kommerzieller Direktwerbung kann im Fall der Gefahr einer Beeinträchtigung der Grundrechte und Grundfreiheiten der betroffenen Person jedenfalls nicht überwiegen. Wie sich nämlich aus dem 75. Erwägungsgrund der DSGVO ergibt, können Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn eine solche Verarbeitung zu einer Diskriminierung führen kann.

61 In diesem Zusammenhang wird das vorlegende Gericht insbesondere zu prüfen haben, ob die von Mousse geltend gemachte Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität besteht, und zwar vor allem im Licht der Richtlinie 2004/113, mit der der Grundsatz der Gleichbehandlung von Männern und Frauen beim Zugang zu und bei der Versorgung mit Gütern und Dienstleistungen verwirklicht wird.

62 Insoweit ist darauf hinzuweisen, dass der Anwendungsbereich dieser Richtlinie nicht auf die Diskriminierungen beschränkt werden kann, die sich aus der Zugehörigkeit zu dem einen oder dem anderen Geschlecht ergeben. In Anbetracht ihres Gegenstands und der Natur der Rechte, die sie schützen soll, hat diese Richtlinie auch für Diskriminierungen zu gelten, die ihre Ursache in der Änderung der Geschlechtsidentität einer Person haben (vgl. entsprechend Urteil vom 27. April 2006, Richards, C‑423/04, EU:C:2006:256, Rn. 24 und die dort angeführte Rechtsprechung).

63 Folglich ist Art. 6 Abs. 1 Unterabs. 1 Buchst. f in Verbindung mit Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen, dass die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden kann, wenn

– diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde; oder

– diese Verarbeitung nicht innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist; oder

– in Anbetracht aller relevanten Umstände die Grundrechte und Grundfreiheiten dieser Kunden gegenüber diesem berechtigten Interesse überwiegen können, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.

64 Nach alledem ist auf die erste Frage zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f in Verbindung mit Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass

– die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, weder objektiv unerlässlich noch wesentlich für die ordnungsgemäße Erfüllung eines Vertrags erscheint und daher nicht als für die Erfüllung dieses Vertrags erforderlich angesehen werden kann;

– die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden kann, wenn

– diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde; oder

– diese Verarbeitung nicht innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist; oder

Zur zweiten Frage

65 Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO dahin auszulegen ist, dass bei der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten im Sinne dieser Bestimmung zu berücksichtigen ist, dass die betroffene Person möglicherweise nach Art. 21 DSGVO ein Widerspruchsrecht hat.

66 Art. 21 Abs. 1 DSGVO bestimmt, dass die betroffene Person das Recht hat, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 Unterabs. 1 Buchst. e oder f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche darf die personenbezogenen Daten dann nicht mehr verarbeiten, es sei denn, er kann zwingende schutzwürdige Gründe für eine solche Verarbeitung nachweisen, die die Interessen sowie die Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

67 Die Anwendbarkeit von Art. 21 DSGVO und folglich das etwaige Bestehen eines Widerspruchsrechts setzen das Vorliegen einer rechtmäßigen Verarbeitung voraus, hier gestützt auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO. Um rechtmäßig zu sein, muss eine solche Verarbeitung jedoch zuvor die in Rn. 48 des vorliegenden Urteils genannte Voraussetzung erfüllen, dass sie unbedingt notwendig ist.

68 Wie der Generalanwalt in den Nrn. 80 und 82 seiner Schlussanträge ausgeführt hat, ergibt sich somit aus dem Wortlaut und der Systematik der betreffenden Bestimmungen, dass das Bestehen eines Widerspruchsrechts bei der Beurteilung der Rechtmäßigkeit und insbesondere der Notwendigkeit der Verarbeitung der im Ausgangsverfahren in Rede stehenden personenbezogenen Daten nicht berücksichtigt werden kann.

69 Diese Auslegung wird durch das mit der DSGVO verfolgte Ziel bestätigt, das im Licht ihres zehnten Erwägungsgrundes darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten. Jede andere Auslegung würde nämlich zu einer Schwächung der in Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO genannten Anforderungen führen, indem die Gründe für die Rechtmäßigkeit der betreffenden Verarbeitung erweitert würden, obwohl diese Bestimmung in Anbetracht der in Rn. 27 des vorliegenden Urteils angeführten Rechtsprechung eng auszulegen ist.

70 Nach alledem ist auf die zweite Frage zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO dahin auszulegen ist, dass bei der Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten im Sinne dieser Bestimmung nicht zu berücksichtigen ist, dass die betroffene Person möglicherweise nach Art. 21 DSGVO ein Widerspruchsrecht hat.