Wenn die Daten ausschließlich zum unterbinden von Account-Sharing technisch notwendig sind, dann dürfen die das. Netflix darf natürlich die Daten nicht anderweitig zweckentfremden, das würde dann gegen die DSGVO verstoßen.
Netflix kennt euch besser als ihr selbst, z.B. durch das ständige Sammeln von Standortdaten. Die wissen ganz genau wo euer Hauptwohnsitz ist und ob Mobile Geräte nur vorübergehend einen anderen Standort haben. Ist dieser dann dauerhaft vom Hauptwohnsitz entfernt wird irgendwann mal eine Authentifizierung kommen. Selbst wenn sich der Hauptwohnsitz durch einen Umzug ändert merkt das Netflix, da sich alle Geräte irgendwann mehr oder weniger in diesem Bereich mal aufhalten. Deswegen können die auch VPN Verbindungen lokalisieren, da die Apps/Geräte ständig Standortdaten sammeln, auch wenn die VPN Verbindung mal nicht aktiv ist.