Am 14. Juli 2026 hat der Europäische Gerichtshof in der Rechtssache C-474/24 entschieden, dass ein Gesetz die namentliche Online-Veröffentlichung von Regelverletzern anordnen darf. Zulässig ist sie aber nur, wenn die veröffentlichende Stelle vor der Publikation den Einzelfall abwägen kann und den Eintrag auf die Dauer der Sanktion begrenzt. Der übertragbare Kern hat mit Sport wenig zu tun. Er liegt in einem Prüfmuster zu Art. 6 DSGVO: Die Rechtsgrundlage, auf die Sie sich stützen, bestimmt, wie weit Sie einen Namen tragen dürfen. Wer eine Sperrliste führt, eine Aufsichtsverfügung publiziert oder das Ergebnis einer internen Untersuchung verteilt, erbt diesen Test.

Diese Publikation hat das Urteil bereits am 18. Juli aufgenommen und die drei Verfahrensauflagen ausbuchstabiert. Die Kommentare ordnen den Fall dem Anti-Doping-Recht zu oder, wie der Völkerrechtsblog, dem Ausgleich von Transparenz und Persönlichkeitsschutz im Sport. Der Ertrag für die Rechtsabteilung liegt eine Stufe tiefer. Vor jeder Auflage steht die Frage, welche Ziffer von Art. 6 Abs. 1 DSGVO eine Veröffentlichung überhaupt trägt. Denn die Reichweite folgt dem Rechtsgrund, nicht umgekehrt.

Vier Sportler, von der ÖADR und der Schiedskommission USK gesperrt, wehrten sich vor dem Bundesverwaltungsgericht gegen die Publikation ihrer Namen. Erst nach dem Scheitern der ersten Vorlage (C-115/22, Urteil vom 7. Mai 2024) erreichten die Sachfragen Luxemburg. Dort hielt der Gerichtshof die veröffentlichten Angaben grundsätzlich weder für Gesundheitsdaten nach Art. 9 DSGVO noch für Straftatdaten nach Art. 10 DSGVO. Das hält die Prüfung auf der gewöhnlichen Spur von Art. 6.

NADA Austria stützte die Veröffentlichung nicht auf Einwilligung, sondern auf ein Gesetz, das österreichische Anti-Doping-Bundesgesetz. Das verweist die Bearbeitung auf Art. 6 Abs. 1 lit. c DSGVO, die Rechtspflicht, gefiltert durch Art. 6 Abs. 3 DSGVO. Diese Schranke verlangt, dass das Gesetz selbst ein im öffentlichen Interesse liegendes Ziel verfolgt und verhältnismässig bleibt. Der Gerichtshof arbeitete sie ab: Die Dopingbekämpfung dient dem Gemeinwohl, und die Namensnennung ist geeignet, dieses Ziel durch Abschreckung und Prävention zu fördern. Die breite Öffentlichkeit darf er dabei erreichen, soweit das nötig ist, um die mittelbar Betroffenen zu warnen, etwa aktuelle und mögliche Arbeitgeber und Sponsoren.

Hier liegt die Lehre für die Rechtsabteilung. Der Gerichtshof öffnete NADA das offene Netz aus einem bestimmten Grund: Ein Gesetz trug die Publikation zu einem Gemeinwohlziel, dessen Adressaten bis in den Markt reichen. Die Reichweite war durch den Rechtsgrund gedeckt. Fällt das Gesetz weg, rutscht die Rechtfertigung auf Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse. Dann muss das Publikum auf jene schrumpfen, die ein konkretes Wissensbedürfnis haben, und die Lizenz zum breiten Publikum lässt sich nicht ausleihen.

Selbst mit Gesetz verwarf der Gerichtshof die undifferenzierte Regelung. Art. 5 Abs. 1 lit. a und c DSGVO verlangen, dass die Stelle jeden Fall abwägen kann, bevor sie einen Namen publiziert. Eine Nennung über die Geltungsdauer der Sanktion hinaus hält der Gerichtshof für unverhältnismässig, gemessen an den Grundrechten aus Art. 7 und Art. 8 der Charta. Wer noch gar nicht publiziert ist, kann zudem vorbeugend Beschwerde nach Art. 77 DSGVO führen. Der gesetzliche Auftrag verschafft also das Recht, die Verhältnismässigkeitsprüfung zu führen, nicht das Recht, die Publikation zu automatisieren.

Wer die Ziffer falsch wählt, haftet doppelt. Art. 82 DSGVO gibt der betroffenen Person einen Schadenersatzanspruch gegen die verantwortliche Stelle, wenn die Publikation über die Rechtsgrundlage hinausgeht, die sie tatsächlich trägt. Daneben kann die Aufsichtsbehörde nach Art. 83 Abs. 5 DSGVO eine Busse bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ausfällt. Für eine Sperrliste, die sich fälschlich auf ein Gesetz statt auf das schmalere berechtigte Interesse stützt, ist das kein theoretisches Risiko, sondern der Massstab, an dem eine Aufsichtsbehörde die Reichweite misst.

Diese Vorabbeschwerde setzt keine bereits erfolgte Publikation voraus. Wer erfährt, dass ein Eintrag bevorsteht, kann bei der zuständigen Aufsichtsbehörde die Abwägung selbst zum Gegenstand machen, bevor der Name online steht. Die Behörde prüft dann, ob die verantwortliche Stelle die Einzelfallprüfung überhaupt vorgenommen hat und ob das Enddatum feststeht. Bleibt die Behörde untätig oder weist sie ab, öffnet Art. 78 DSGVO den Rechtsweg zum zuständigen Gericht. Für die Rechtsabteilung heisst das: Die Vorabbeschwerde ist kein Nebenschauplatz, sondern der Hebel, mit dem sich eine schlecht vorbereitete Sperrliste stoppen lässt, bevor der Schaden entsteht.

Für die Praxis zerfällt der Test in zwei Lager. Trägt schon ein Gesetz die Veröffentlichung, kann die breite Reichweite Bestand haben, so bei der Publikation der FINMA nach Art. 34 FINMAG oder der Bekanntmachung nach Art. 34 der EU-Marktmissbrauchsverordnung (Verordnung (EU) Nr. 596/2014). Diese Regime kennen die Notbremse, die C-474/24 verallgemeinert: Art. 34 der Marktmissbrauchsverordnung erlaubt, eine Bekanntmachung zu anonymisieren oder aufzuschieben, wo sie unverhältnismässig wäre. Das Urteil fügt ihnen die harte zeitliche Grenze und die Einzelfallabwägung vor der Publikation hinzu. Bei FINMA beginnt die Frist erst mit der Rechtskraft der Verfügung nach Art. 34 FINMAG. C-474/24 verlangt die Abwägung bereits im Moment der Publikationsentscheidung, nicht erst danach.

Das schwierigere Lager ist das ohne Gesetz: die Lieferanten-Blacklist, der «Do-not-rehire»-Vermerk, das verteilte Ergebnis einer internen Untersuchung, das die Person nennt, die den Verstoss begangen hat. Hier steht der Verantwortliche auf Art. 6 Abs. 1 lit. f DSGVO, und NADAs Begründung für das breite Publikum trägt nicht. Die Reichweite muss sich auf die Beschaffungs- oder Personalstelle verengen, die den Eintrag braucht, nicht auf eine offene Branchenliste. Die Whistleblowing-Dimension wirkt doppelt: Das österreichische Anti-Doping-Bundesgesetz nimmt den Hinweisgeber selbst von der Publikation aus, ein eigener Schutz, der nicht aus der Whistleblower-Richtlinie (EU) 2019/1937 folgt, deren Art. 2 den Sportbereich gar nicht erfasst. Der Name des Beschuldigten dagegen darf erst nach der Abwägung und Befristung kreisen, die der Gerichtshof schon einem Gesetz abverlangt.

Schweizer Unternehmen, die nicht der DSGVO unterstehen, kennen dieselbe Weichenstellung im nationalen Recht. Art. 31 Abs. 1 und 2 DSG lassen eine Persönlichkeitsverletzung durch Datenbearbeitung zu, wenn ein Gesetz sie erlaubt, ein überwiegendes öffentliches oder privates Interesse sie trägt oder die betroffene Person eingewilligt hat. Auch hier bestimmt der gewählte Rechtfertigungsgrund die zulässige Reichweite: Stützt sich ein Branchenverband für seine Sperrliste auf ein überwiegendes Interesse statt auf ein Gesetz, muss er dieses Interesse gegen die Interessen der gelisteten Person abwägen, bevor er publiziert, nicht danach. Die drei Auflagen aus C-474/24 (Einzelfallprüfung, Befristung, vorbeugender Rechtsschutz) lassen sich als Massstab für diese Interessenabwägung nach Art. 31 Abs. 2 DSG übernehmen, obwohl die Schweiz an das Urteil selbst nicht gebunden ist.

Für Montag folgt eine schlichte Übung. Schreiben Sie zu jeder Liste und jeder Bekanntmachung, die einen Namen nennt, die Ziffer von Art. 6 DSGVO auf, auf die Sie sich stützen, und prüfen Sie, ob Publikum und Enddatum zu dieser Ziffer passen. Für Schweizer Gesellschaften läuft dieselbe Übung über Art. 31 DSG statt über Art. 6 DSGVO. Offen bleibt die Reichweitenfrage für das berechtigte Interesse, also wie schmal das Publikum einer privaten Blacklist ausfallen muss, wenn kein Gesetz das breite Publikum trägt. Diese Linie zieht nicht Luxemburg, sondern die erste Beschwerde beim EDÖB oder einer Datenschutzbehörde gegen eine Branchenliste, die sich auf Art. 6 Abs. 1 lit. f DSGVO stützt und trotzdem allen offensteht.