Ein Unternehmen, das personenbezogene Daten verarbeitet, muss stets prüfen, welche Rechtsgrundlage für die geplante Verarbeitung geeignet ist. Viele Führungskräfte hören „berechtigtes Interesse“ und halten es für eine Abkürzung um die Einwilligung herum. Wird dies falsch gehandhabt, setzt sich das Unternehmen behördlichen Maßnahmen, Bußgeldern und Reputationsschäden aus. Nach der DSGVO (Artikel 6) sind beides zulässige Rechtsgrundlagen für die Verarbeitung personenbezogener Daten, sie funktionieren jedoch sehr unterschiedlich.
Hier erfahren Führungskräfte, worauf es ankommt.
Einwilligung vs. berechtigtes Interesse: der zentrale Unterschied
Einwilligung bedeutet, dass die betroffene Person aktiv zustimmt: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich (Art. 4 Nr. 11 DSGVO).
Berechtigtes Interesse bedeutet, dass Sie einen echten, in der Praxis begründeten Grund für die Datenverarbeitung haben und dieser Grund einer Abwägung gegen die Rechte der betroffenen Person standhält. Dies erfordert eine sorgfältige Bewertung durch den Verantwortlichen. Entscheidet Ihr Unternehmen darüber, warum und wie personenbezogene Daten verarbeitet werden sollen, ist es der Verantwortliche.
Um festzustellen, ob eine bestimmte Verarbeitung auf ein berechtigtes Interesse gestützt werden kann, müssen Verantwortliche sorgfältig prüfen und dokumentieren – vor Beginn der betreffenden Verarbeitungsvorgänge, nicht danach –, ob die relevanten Voraussetzungen erfüllt sind.
Drei Voraussetzungen, die alle erfüllt sein müssen (Art. 6 Abs. 1 lit. f DSGVO)
Um sich auf ein berechtigtes Interesse als Rechtsgrundlage zu stützen, müssen die folgenden drei Voraussetzungen allesamt erfüllt sein.
1. Das Vorliegen eines berechtigten Interesses
Der Verantwortliche oder ein Dritter muss ein berechtigtes Interesse an der Verarbeitung der Daten haben. Es gibt keine feste Liste dessen, was als berechtigtes Interesse gilt. Die DSGVO definiert den Begriff nicht, sodass grundsätzlich ein breites Spektrum an Interessen infrage kommt. Die Europäische Kommission nennt folgende typische Beispiele:
- wenn die Verarbeitung im Rahmen einer Kundenbeziehung erfolgt
- wenn personenbezogene Daten zu Zwecken der Direktwerbung verarbeitet werden (Hinweis: elektronische und postalische Kanäle werden unterschiedlich behandelt)
- zur Betrugsprävention oder zur Gewährleistung der Netz- und Informationssicherheit Ihrer IT-Systeme
2. Die Verarbeitung muss erforderlich sein
Eine Verarbeitung ist nur dann „erforderlich“, wenn dasselbe Ziel nicht vernünftigerweise durch andere, für die Rechte und Freiheiten der betroffenen Personen weniger einschneidende Mittel erreicht werden kann. Besteht eine datenschutzfreundlichere Alternative, können Sie sich nicht auf ein berechtigtes Interesse stützen.
3. Die Interessenabwägung
Die Rechte und Freiheiten der betroffenen Person dürfen Ihr berechtigtes Interesse nicht überwiegen. Diese Voraussetzung erfordert eine Interessenabwägung, deren Ergebnis von den konkreten Umständen des jeweiligen Falls abhängt. Fragen Sie sich, ob betroffene Personen vernünftigerweise damit rechnen würden, dass ihre Daten auf diese Weise verwendet werden, und ob sie davon überrascht oder benachteiligt sein könnten.
Dokumentieren Sie es: die Bewertung des berechtigten Interesses (Legitimate Interest Assessment, LIA)
Sobald Sie die drei oben genannten Voraussetzungen geprüft haben, müssen Sie Ihre Analyse in einer Bewertung des berechtigten Interesses (Legitimate Interest Assessment, LIA) festhalten. Auch wenn der Begriff „Legitimate Interest Assessment“ in der DSGVO selbst nicht vorkommt, macht der Europäische Datenschutzausschuss (EDSA) deutlich, dass die Dokumentation Ihrer Analyse erforderlich ist, um die Einhaltung des Rechenschaftspflicht-Grundsatzes (Art. 5 Abs. 2 DSGVO) nachzuweisen. Sie muss Ihren Zweck festhalten, warum die Verarbeitung erforderlich ist und warum Ihr Interesse die Auswirkungen auf die betroffenen Personen überwiegt. Sie muss vor Beginn der Verarbeitung erstellt werden, nicht nachträglich, und bei jeder Änderung der Umstände neu bewertet werden.
Die LIA ist Ihr Nachweis dafür, dass Sie die Entscheidung verantwortungsvoll und im Einklang mit dem Recht getroffen haben, und sollte nicht als bloße Formalität behandelt werden.
Ihre zentralen Pflichten bei Berufung auf das berechtigte Interesse
Die Wahl des berechtigten Interesses als Rechtsgrundlage bringt fortlaufende Pflichten mit sich.
- Informieren Sie betroffene Personen in Ihrem Datenschutzhinweis darüber, dass Sie sich auf ein berechtigtes Interesse stützen, worin dieses Interesse besteht und wie sie widersprechen können.
- Stellen Sie die Verarbeitung ein, wenn jemand widerspricht. Bei Direktwerbung ist dieses Recht nach Art. 21 Abs. 2 und 3 DSGVO absolut. Selbst wenn eine vorherige Interessenabwägung zu dem Ergebnis kam, dass ein berechtigtes Interesse besteht, wird dies hinfällig, sobald eine betroffene Person der Verarbeitung ihrer Daten zu Zwecken der Direktwerbung widerspricht.
- Löschen Sie Daten auf Anfrage und wenn sie nicht mehr benötigt werden. Das berechtigte Interesse rechtfertigt keine unbegrenzte Aufbewahrung. Daten müssen gelöscht werden, sobald sie für den Zweck, zu dem sie erhoben wurden, nicht mehr benötigt werden.
Die Regel für Direktwerbung: Der Kanal ist entscheidend
Welche Rechtsgrundlage Sie heranziehen können, hängt vom verwendeten Kanal ab.
- Postalische Werbung: Berechtigtes Interesse kann anwendbar sein, sofern Sie über eine rechtmäßige Datenquelle verfügen und in jedem Mailing eine klare Widerspruchsmöglichkeit (Opt-out) vorsehen.
- E-Mail, SMS und automatisierte Anrufe: Hier ist eine Einwilligung erforderlich. Ein berechtigtes Interesse kommt in der Regel nicht in Betracht (vorbehaltlich begrenzter Ausnahmen wie des „Soft-Opt-in“ bei bestehenden Kundenbeziehungen). Die ePrivacy-Richtlinie (2002/58/EG) gilt ergänzend zur DSGVO und hat für diese Kanäle Vorrang.
Ein abschließendes Wort
Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) ist eine von sechs gleichrangigen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Es sollte weder als letztes Mittel behandelt noch in der Annahme gewählt werden, es sei einfacher heranzuziehen als die anderen (EDSA-Leitlinien, 2024). Seine Wahl erfordert eine sorgfältige, fundierte und dokumentierte Bewertung.
Richtig angewendet, ist das berechtigte Interesse eine wirkungsvolle und flexible Rechtsgrundlage. Sorglos angewendet, wird es zum Haftungsrisiko.
Dieser Beitrag dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Bitte wenden Sie sich vor Entscheidungen über Ihre Rechtsgrundlage für die Verarbeitung an Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung. Für weitere Fragen schreiben Sie mir gerne einen Kommentar oder eine Nachricht, ich helfe gerne weiter.