Berechtigtes Interesse DSGVO: Interessenabwägung richtig prüfen

Einordnung

Berechtigtes Interesse DSGVO: Worum geht es?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Neben Einwilligung, Vertrag, rechtlicher Pflicht und öffentlichen Aufgaben nennt die DSGVO auch das berechtigte Interesse.

In der Praxis klingt diese Rechtsgrundlage oft bequem. Sie wirkt flexibler als eine Einwilligung und einfacher als eine spezielle gesetzliche Pflicht.

Gerade deshalb wird sie häufig falsch eingesetzt. Ein berechtigtes Interesse ist keine Auffanglösung für alles, was praktisch erscheint oder wirtschaftlich nützlich ist.

Wer sich auf Art. 6 Abs. 1 lit. f DSGVO stützt, muss erklären können, welches Interesse verfolgt wird, warum die Verarbeitung dafür erforderlich ist und warum die Interessen oder Grundrechte der betroffenen Personen nicht überwiegen.

Rechtsgrundlage

Was regelt Art. 6 Abs. 1 lit. f DSGVO?

Art. 6 Abs. 1 lit. f DSGVO erlaubt eine Verarbeitung, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.

Die Vorschrift besteht also nicht nur aus dem Interesse des Verantwortlichen. Sie verlangt immer auch eine Prüfung der betroffenen Person.

Besonders zu berücksichtigen sind Schutzbedürftigkeit, Erwartbarkeit, Transparenz, Datenumfang, Eingriffsintensität, mögliche Folgen und zusätzliche Schutzmaßnahmen.

Bei Kindern ist besondere Vorsicht geboten, weil Art. 6 Abs. 1 lit. f DSGVO ausdrücklich auf ihren besonderen Schutz hinweist.

Prüfschema

Die drei Prüfungsschritte

Eine Interessenabwägung sollte nicht nur im Kopf stattfinden. Sie muss nachvollziehbar dokumentiert werden.

Schritt 1

Das legitime Interesse muss konkret sein

Ein berechtigtes Interesse darf nicht nur allgemein beschrieben werden. Formulierungen wie „Optimierung unserer Prozesse“, „Sicherheit“ oder „wirtschaftliche Interessen“ sind ohne weitere Konkretisierung zu ungenau.

Das Interesse muss rechtmäßig, klar benannt und tatsächlich vorhanden sein.

Beispiele können je nach Einzelfall sein: IT-Sicherheit, Missbrauchsvermeidung, Rechtsverteidigung, Betrugsprävention, Durchsetzung offener Forderungen, Direktwerbung in engen Grenzen oder Schutz von Eigentum.

Wichtig bleibt: Auch ein legitimes Interesse entscheidet den Fall noch nicht. Es ist nur der erste Schritt.

Schritt 2

Erforderlichkeit: Gibt es ein milderes Mittel?

Die Verarbeitung muss für das benannte Interesse erforderlich sein. Praktisch bedeutet das: Das Ziel darf nicht mit einem gleich wirksamen, aber weniger eingriffsintensiven Mittel erreichbar sein.

Hier greifen die Grundsätze der Datenminimierung und Zweckbindung. Es dürfen nur die Daten verarbeitet werden, die für den konkreten Zweck notwendig sind.

Wenn ein Zweck auch mit anonymen Daten, weniger Daten, kürzerer Speicherdauer, eingeschränkten Zugriffsrechten oder einem weniger invasiven Verfahren erreichbar ist, spricht das gegen die Erforderlichkeit.

Gerade bei Tracking, Videoüberwachung, Beschäftigtendaten oder Profilbildung ist die Erforderlichkeit besonders sorgfältig zu begründen.

Schritt 3

Interessenabwägung: Was spricht für und gegen die Verarbeitung?

Im dritten Schritt werden die Interessen des Verantwortlichen oder eines Dritten gegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person abgewogen.

Für den Verantwortlichen können etwa Sicherheit, wirtschaftliche Interessen, Rechtsdurchsetzung, Missbrauchsvermeidung oder organisatorische Notwendigkeiten sprechen.

Für die betroffene Person können insbesondere Eingriffsintensität, fehlende Erwartbarkeit, Schutzbedürftigkeit, sensible Daten, besondere Abhängigkeiten, Nachteile, Kontrollverlust oder fehlende Transparenz sprechen.

Zusätzliche Schutzmaßnahmen können die Abwägung beeinflussen. Dazu gehören kurze Speicherfristen, Zugriffsbeschränkungen, Pseudonymisierung, Transparenzhinweise, Widerspruchsmöglichkeiten und klare interne Vorgaben.

Die Abwägung muss für die konkrete Verarbeitung erfolgen. Eine pauschale Interessenabwägung für alle Prozesse reicht nicht aus.

Praxis

Typische Beispiele für berechtigtes Interesse

Ob Art. 6 Abs. 1 lit. f DSGVO passt, hängt immer vom Einzelfall ab. Diese Beispiele zeigen nur typische Prüfbereiche.

Grenzen

Wann berechtigtes Interesse nicht trägt

Art. 6 Abs. 1 lit. f DSGVO trägt nicht, wenn die Verarbeitung nicht erforderlich ist, wenn mildere Mittel bestehen oder wenn die Interessen der betroffenen Person überwiegen.

Besonders kritisch sind überraschende Verarbeitung, umfangreiches Tracking, Profilbildung, sensible Daten, Daten von Kindern, Verarbeitung in Abhängigkeitsverhältnissen, heimliche Überwachung und unklare Zwecke.

Auch eine schlechte Dokumentation ist ein Problem. Wer sich auf berechtigtes Interesse beruft, muss im Streitfall erklären können, wie die Abwägung erfolgt ist.

Außerdem darf Art. 6 Abs. 1 lit. f DSGVO nicht genutzt werden, um speziellere Anforderungen zu umgehen. Wenn ein Gesetz eine Einwilligung, besondere Information, spezielle Rechtsgrundlage oder strengere Voraussetzungen verlangt, hilft eine Interessenabwägung nicht einfach darüber hinweg.

Öffentliche Stellen

Kommunen und öffentliche Stellen: besondere Vorsicht

Für Kommunen ist das berechtigte Interesse besonders missverständlich. Viele Unternehmensmuster nennen Art. 6 Abs. 1 lit. f DSGVO, obwohl diese Rechtsgrundlage für öffentliche Stellen häufig nicht passt.

Wenn eine Kommune personenbezogene Daten in Erfüllung ihrer öffentlichen Aufgaben verarbeitet, ist regelmäßig nicht Art. 6 Abs. 1 lit. f DSGVO die richtige Grundlage. Stattdessen sind Fachgesetze, Art. 6 Abs. 1 lit. e DSGVO und Art. 4 BayDSG zu prüfen.

Das betrifft zum Beispiel Bürgerdaten, Meldedaten, Gebühren, Abgaben, Bauverfahren, Ordnungsamt, Ratsarbeit, Kindertageseinrichtungen, Verwaltungsvorgänge und kommunale Fachverfahren.

Auch auf kommunalen Websites werden häufig Datenschutzerklärungen aus dem Unternehmensbereich übernommen. Dort steht dann „berechtigtes Interesse“, obwohl für die Gemeinde eigentlich eine andere Rechtsgrundlage geprüft werden müsste.

In eng begrenzten Ausnahmefällen kann bei öffentlichen Stellen eine Verarbeitung außerhalb der eigentlichen Aufgabenerfüllung anders zu bewerten sein. Das sollte aber nicht pauschal angenommen und stets dokumentiert werden.

Website und Praxis

Website, IT-Sicherheit und Direktwerbung

Im Websitebereich taucht das berechtigte Interesse besonders häufig auf. Dabei muss sauber getrennt werden.

Technisch erforderliche Server-Logs, Abwehr von Angriffen und Sicherstellung der IT-Sicherheit können eher auf berechtigte Interessen gestützt werden, wenn die Verarbeitung erforderlich, begrenzt und transparent ist.

Tracking, Analyse, Marketing, Profilbildung oder externe Werbedienste sind deutlich kritischer. Hier können zusätzliche Anforderungen aus dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz und Einwilligungserfordernisse relevant werden.

Auch Direktwerbung kann nicht pauschal mit berechtigtem Interesse begründet werden. Es kommt auf Art, Empfänger, Erwartbarkeit, Widerspruchsmöglichkeiten, Datenschutzinformationen und weitere spezialgesetzliche Vorgaben an.

Nachweis

Interessenabwägung dokumentieren

Eine Interessenabwägung sollte schriftlich dokumentiert werden. Das muss nicht immer ein langes Gutachten sein, aber die tragenden Überlegungen müssen nachvollziehbar sein.

Dokumentiert werden sollten insbesondere Zweck, Datenarten, betroffene Personen, legitimes Interesse, Erforderlichkeit, mildere Mittel, Risiken für Betroffene, Schutzmaßnahmen, Widerspruchsmöglichkeiten und Ergebnis der Abwägung.

Die Dokumentation hilft nicht nur bei Prüfungen. Sie verhindert auch, dass in Datenschutzhinweisen pauschale Rechtsgrundlagen stehen, die intern niemand geprüft hat.

Wenn sich Zweck, Technik, Datenumfang oder betroffene Personengruppen ändern, muss die Abwägung erneut geprüft werden.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD betont für bayerische öffentliche Stellen, dass sie für die Verarbeitung personenbezogener Daten eine Rechtsgrundlage benötigen und sich bei der Erfüllung öffentlicher Aufgaben primär auf spezielle fachgesetzliche Befugnisse oder auf Art. 4 Abs. 1 BayDSG stützen sollen.

Das ist für Kommunen praktisch wichtig, weil viele Muster aus dem Unternehmensbereich Art. 6 Abs. 1 lit. f DSGVO nennen. Eine Gemeinde kann solche Muster nicht einfach übernehmen.

Im öffentlichen Aufgabenbereich ist meist zu prüfen, ob eine spezielle Rechtsgrundlage besteht oder ob die Verarbeitung zur Erfüllung einer der Kommune obliegenden Aufgabe erforderlich ist.

Für kommunale Datenschutzhinweise bedeutet das: Nicht vorschnell „berechtigtes Interesse“ schreiben, sondern Zweck, Aufgabe und Rechtsgrundlage fachlich passend benennen.

Auch die europäische Linie bestätigt: Art. 6 Abs. 1 lit. f DSGVO gilt nicht für Verarbeitungen, die öffentliche Stellen in Erfüllung ihrer Aufgaben vornehmen.

Praxisfehler

Typische Fehler beim berechtigten Interesse

Orientierung

Orientierungsfragen für die Interessenabwägung

Die folgenden Fragen ordnen die Interessenabwägung vor. Ob Art. 6 Abs. 1 lit. f DSGVO tatsächlich trägt, hängt vom konkreten Zweck und den Auswirkungen auf Betroffene ab.

Häufige Fragen

FAQ zu berechtigtes Interesse DSGVO

Ergebnis

Fazit

Das berechtigte Interesse ist eine wichtige, aber anspruchsvolle Rechtsgrundlage. Sie passt nur, wenn ein konkretes legitimes Interesse besteht, die Verarbeitung erforderlich ist und die Interessenabwägung zugunsten des Verantwortlichen oder eines Dritten ausfällt.

Für Unternehmen und Vereine kann Art. 6 Abs. 1 lit. f DSGVO in vielen Alltagssituationen relevant sein. Trotzdem braucht es immer eine saubere Prüfung und Dokumentation.

Für Kommunen gilt besondere Vorsicht: Bei der Erfüllung öffentlicher Aufgaben ist berechtigtes Interesse meist nicht die richtige Grundlage. Dort sind Fachgesetze, Art. 6 Abs. 1 lit. e DSGVO und Art. 4 BayDSG vorrangig zu prüfen.

Weiterlesen

Passende Themen auf der Website

Nachweise

Quellen