DSGVO - Gazette #57: Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO

Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO zählt in der Praxis zu den wichtigsten Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Gleichzeitig gehört es zu den Rechtsgrundlagen, die in Unternehmen am häufigsten missverstanden werden. Viele Verantwortliche betrachten das berechtigte Interesse noch immer als eine Art „Auffangtatbestand“, der immer dann genutzt werden kann, wenn keine Einwilligung vorliegt oder keine andere Rechtsgrundlage eindeutig greift. Tatsächlich verlangt die DSGVO jedoch eine umfassende und nachvollziehbare Prüfung, bevor personenbezogene Daten auf Grundlage eines berechtigten Interesses verarbeitet werden dürfen.

Grundsätzlich ist die Verarbeitung personenbezogener Daten nach der DSGVO nur dann zulässig, wenn mindestens eine der sechs Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO erfüllt ist. Eine dieser Rechtsgrundlagen ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Anders als beispielsweise die Einwilligung oder die Vertragserfüllung ist diese Rechtsgrundlage offen formuliert. Gerade deshalb bietet sie Unternehmen zwar Flexibilität, verlangt aber gleichzeitig eine besonders sorgfältige Begründung und Dokumentation.

Voraussetzungen eines berechtigten Interesses:

Damit eine Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, müssen drei Voraussetzungen erfüllt sein. Diese Voraussetzungen gelten kumulativ, müssen also vollständig vorliegen.

Zunächst muss der Verantwortliche oder ein Dritter ein berechtigtes Interesse an der Verarbeitung personenbezogener Daten haben. Darüber hinaus muss die Verarbeitung zur Wahrung dieses Interesses erforderlich sein. Schließlich dürfen keine überwiegenden Interessen, Grundrechte oder Grundfreiheiten der betroffenen Person entgegenstehen.

Bereits an dieser Stelle zeigt sich, dass das berechtigte Interesse keine pauschale Erlaubnis für Datenverarbeitungen darstellt. Vielmehr verlangt die DSGVO eine individuelle Bewertung des konkreten Einzelfalls.

Was ist überhaupt ein „berechtigtes Interesse“?

Der Begriff des berechtigten Interesses ist gesetzlich nicht eindeutig definiert. Es handelt sich um einen sogenannten unbestimmten Rechtsbegriff. Dadurch erhält die Vorschrift einen weiten Anwendungsbereich, gleichzeitig entsteht jedoch Unsicherheit bei ihrer praktischen Anwendung.

Grundsätzlich kann nahezu jedes wirtschaftliche, rechtliche, ideelle oder tatsächliche Interesse als Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO angesehen werden. Entscheidend ist lediglich, dass dieses Interesse „berechtigt“ ist, also nicht gegen geltendes Recht verstößt. Interessen, die beispielsweise auf rechtswidrige oder strafbare Zwecke gerichtet sind, können daher niemals ein berechtigtes Interesse darstellen.

Der europäische Gesetzgeber wollte mit Art. 6 Abs. 1 lit. f DSGVO bewusst eine flexible Rechtsgrundlage schaffen, die Unternehmen einen gewissen Handlungsspielraum ermöglicht. Gleichzeitig soll jedoch verhindert werden, dass personenbezogene Daten ohne ausreichenden Schutz verarbeitet werden.

Beispiele für berechtigte Interessen:

Die DSGVO selbst nennt in den Erwägungsgründen verschiedene Beispiele, wann ein berechtigtes Interesse vorliegen kann. Besonders häufig relevant sind Datenverarbeitungen im Rahmen bestehender Kunden- oder Beschäftigtenverhältnisse. Besteht zwischen der betroffenen Person und dem Verantwortlichen bereits eine angemessene Beziehung, kann dies für ein berechtigtes Interesse sprechen.

Auch die Verarbeitung personenbezogener Daten zur Verhinderung von Betrug oder zur Gewährleistung der IT- und Netzwerksicherheit wird ausdrücklich als mögliches berechtigtes Interesse anerkannt. Gleiches gilt für konzerninterne Datenübermittlungen zu Verwaltungszwecken.

Darüber hinaus nennt die DSGVO ausdrücklich die Direktwerbung als mögliches berechtigtes Interesse. Allerdings bedeutet dies nicht automatisch, dass jede Form der Werbung zulässig wäre. Auch hier bleibt die notwendige Interessenabwägung entscheidend.

Die Erforderlichkeit der Verarbeitung:

Selbst wenn ein berechtigtes Interesse vorliegt, reicht dies allein nicht aus. Die Verarbeitung personenbezogener Daten muss zusätzlich erforderlich sein.

Die DSGVO verlangt, dass der verfolgte Zweck nicht ebenso effektiv durch ein milderes Mittel erreicht werden kann. Verantwortliche müssen sich daher die Frage stellen, ob es alternative Maßnahmen gibt, die weniger stark in die Rechte der betroffenen Personen eingreifen.

Genau an diesem Punkt zeigt sich häufig, ob eine Datenverarbeitung tatsächlich notwendig ist oder ob Unternehmen vorschnell zu umfangreiche Datenverarbeitungen durchführen. Die Prüfung der Erforderlichkeit verlangt deshalb eine ehrliche und objektive Betrachtung des konkreten Zwecks.

Die Interessenabwägung als Kernstück des berechtigten Interesses:

Die wohl größte Herausforderung bei der Anwendung des berechtigten Interesses ist die Interessenabwägung. Hier werden die Interessen des Verantwortlichen den Interessen sowie den Grundrechten und Grundfreiheiten der betroffenen Person gegenübergestellt.

Dabei reicht es nicht aus, pauschal auf wirtschaftliche Interessen des Unternehmens hinzuweisen. Vielmehr müssen die konkreten Interessen nachvollziehbar benannt und bewertet werden. Auf Seiten der betroffenen Person spielen insbesondere das Recht auf Datenschutz sowie das Recht auf Achtung des Privatlebens eine wichtige Rolle.

Für die Gewichtung der Interessen können unter anderem folgende Kriterien relevant sein:

• Art und Sensibilität der Daten,

• Umfang und Dauer der Verarbeitung,

• Anzahl der betroffenen Personen,

• Sicherheitsmaßnahmen,

• Herkunft der Daten,

• vernünftige Erwartungen der betroffenen Person,

• mögliche Risiken und Folgen der Verarbeitung.

Besonders wichtig sind dabei die vernünftigen Erwartungen der betroffenen Person. Die DSGVO verlangt ausdrücklich die Prüfung, ob die betroffene Person zum Zeitpunkt der Datenerhebung realistischerweise damit rechnen konnte, dass ihre Daten für den konkreten Zweck verarbeitet werden.

Je überraschender oder intransparenter eine Verarbeitung erfolgt, desto eher werden die Interessen der betroffenen Person überwiegen.

Warum ist die Dokumentation des berechtigten Interesses erfoderlich?

In der Praxis wird häufig unterschätzt, wie wichtig die Dokumentation der Interessenabwägung tatsächlich ist. Viele Unternehmen führen die erforderliche Prüfung entweder gar nicht oder nur oberflächlich durch. Gerade dies kann jedoch erhebliche rechtliche Risiken mit sich bringen.

Die DSGVO basiert auf dem sogenannten Rechenschaftsprinzip aus Art. 5 Abs. 2 DSGVO. Danach müssen Verantwortliche nicht nur datenschutzkonform handeln, sondern auch nachweisen können, dass sie datenschutzkonform gehandelt haben.

Genau deshalb ist eine dokumentierte Interessenabwägung von zentraler Bedeutung. Unternehmen müssen nachvollziehbar festhalten,

• welches berechtigte Interesse verfolgt wird,

• warum die Verarbeitung erforderlich ist,

• welche Interessen der betroffenen Personen betroffen sind und

• weshalb diese Interessen im konkreten Fall nicht überwiegen.

Eine fehlende oder unzureichende Dokumentation kann im Rahmen einer Prüfung durch Aufsichtsbehörden erhebliche Probleme verursachen. Denn ohne nachvollziehbare Dokumentation lässt sich häufig nicht mehr belegen, dass die Interessenabwägung tatsächlich ordnungsgemäß durchgeführt wurde.

Welche Konsequenzen drohen bei fehlender Dokumentation?

Viele Unternehmen unterschätzen die rechtlichen und wirtschaftlichen Folgen einer fehlenden Dokumentation des berechtigten Interesses. Dabei liegt das eigentliche Risiko häufig nicht einmal in der ursprünglichen Datenverarbeitung selbst, sondern darin, dass Unternehmen ihre Entscheidung im Nachhinein nicht belegen können.

Kann ein Verantwortlicher nicht nachvollziehbar dokumentieren, warum eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt wurde, entsteht schnell der Eindruck, dass die gesetzlich vorgeschriebene Interessenabwägung überhaupt nicht oder nur unzureichend durchgeführt wurde. Dies kann dazu führen, dass Aufsichtsbehörden die gesamte Verarbeitung als rechtswidrig einstufen.

Die Folgen können erheblich sein. Datenschutzbehörden können Verwarnungen aussprechen, die Verarbeitung untersagen oder Bußgelder verhängen. Gerade im Rahmen von Prüfungen verlangen Behörden zunehmend konkrete Nachweise darüber, wie die Interessenabwägung durchgeführt wurde. Eine pauschale Berufung auf wirtschaftliche Interessen reicht dabei regelmäßig nicht mehr aus.

Hinzu kommen mögliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO. Können Betroffene darlegen, dass ihre personenbezogenen Daten unzulässig verarbeitet wurden, drohen finanzielle Forderungen gegen das Unternehmen. Auch Abmahnungen oder gerichtliche Verfahren sind denkbar.

Neben den rechtlichen Risiken darf auch der Reputationsschaden nicht unterschätzt werden. Datenschutzverstöße führen häufig zu Vertrauensverlust bei Kunden, Geschäftspartnern und Beschäftigten. Gerade in Zeiten wachsender Sensibilität für Datenschutzfragen kann dies erhebliche wirtschaftliche Auswirkungen haben.

Besonders problematisch ist dabei, dass eine fehlende Dokumentation oft kaum nachträglich ersetzt werden kann. Erfolgt die Interessenabwägung erst im Rahmen eines behördlichen Verfahrens oder nach einer Beschwerde, wirkt dies regelmäßig wenig überzeugend. Unternehmen sollten die Interessenabwägung daher stets bereits vor Beginn der Verarbeitung durchführen und dokumentieren.

Aktuelle Rechtsprechung erhöht die Anforderungen:

Dass die Dokumentation der Interessenabwägung immer wichtiger wird, zeigt auch die aktuelle Rechtsprechung des Europäischen Gerichtshofs.

Im sogenannten KNLTB-Urteil vom 4. Oktober 2024 stellte der EuGH klar, dass Unternehmen sich nicht pauschal auf ein berechtigtes Interesse berufen dürfen. Vielmehr müsse die Interessenabwägung konkret, nachvollziehbar und überprüfbar dokumentiert werden.

Auch das Urteil des EuGH vom 3. April 2025 verdeutlicht die wachsende Bedeutung einer sauberen datenschutzrechtlichen Prüfung. Der Gerichtshof stellte klar, dass selbst berufliche Kontaktdaten und Unterschriften personenbezogene Daten darstellen. Deren Verarbeitung oder Offenlegung erfordert daher ebenfalls eine datenschutzrechtliche Grundlage und gegebenenfalls eine dokumentierte Interessenabwägung.

Die Entscheidungen zeigen deutlich, dass Gerichte und Aufsichtsbehörden zunehmend höhere Anforderungen an Unternehmen stellen.

Abschließend lässt sich sagen, dass das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO für Unternehmen einen wichtigen Spielraum für die Verarbeitung personenbezogener Daten bietet. Gleichzeitig ist die Rechtsgrundlage jedoch deutlich anspruchsvoller, als sie auf den ersten Blick erscheint.

Insbesondere die Interessenabwägung und ihre nachvollziehbare Dokumentation gewinnen immer mehr an Bedeutung. Unternehmen sollten daher vermeiden, das berechtigte Interesse lediglich als „Auffangrechtsgrundlage“ zu betrachten.

Wer personenbezogene Daten auf Grundlage eines berechtigten Interesses verarbeitet, sollte die Voraussetzungen sorgfältig prüfen, objektive Kriterien heranziehen und die gesamte Abwägung nachvollziehbar dokumentieren. Nur so lässt sich langfristig eine rechtssichere und transparente Datenverarbeitung gewährleisten.

Viele Grüße aus Aachen.

Ingo Goblirsch

Externer Datenschutzbeauftragter
Datenschutz | Compliance | Informationssicherheit
52076 Aachen

Das Beitragsbild wurde mithilfe von OpenAI's ChatGPT generiert. Die kommerziellen Nutzungsrechte liegen vollständig beim Ersteller. OpenAI erhebt kein Urheberrecht an diesem Inhalt. Alle dargestellten Elemente sind frei erfunden und dienen ausschließlich illustrativen Zwecken. Marken oder Persönlichkeitsrechte Dritter werden nicht verletzt.