Berechtigtes Interesse nach DSGVO: Interessenabwägung nach Art. 6 Abs. 1 lit. f im Unternehmen

Das berechtigte Interesse nach DSGVO ist neben Einwilligung, Vertragserfüllung und rechtlicher Verpflichtung eine der Rechtsgrundlagen, auf die Unternehmen die Verarbeitung personenbezogener Daten stützen können. Es ist in Art. 6 Abs. 1 lit. f DSGVO geregelt und gilt als flexibelste, zugleich aber anspruchsvollste Grundlage. Anders als bei der Einwilligung genügt es nicht, ein Häkchen einzuholen. Der Verantwortliche muss vielmehr prüfen und belegen, dass sein Interesse legitim ist, die Verarbeitung dafür erforderlich ist und die Interessen, Grundrechte und Grundfreiheiten der betroffenen Personen nicht überwiegen. Diese Abwägung ist Sache des Unternehmens und unterliegt der behördlichen und gerichtlichen Überprüfung. In der Praxis stützen Unternehmen Datenverarbeitungen wie IT-Sicherheit, Betrugsprävention, Kundenpflege oder konzerninterne Verwaltung häufig auf diese Vorschrift, ohne die Abwägung nachvollziehbar zu dokumentieren. Der Beitrag erläutert die Prüfschritte, typische Anwendungsfälle, die Pflichten bei Information und Widerspruch sowie Grenzen der Vorschrift und zeigt, wie eine belastbare Dokumentation im Mittelstand aufgebaut werden kann, ohne den Betrieb mit übermäßigem Formalaufwand zu belasten.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Andrew Neel auf Unsplash.

Rechtsgrundlage und Stellung im System der DSGVO

Nach Art. 6 Abs. 1 DSGVO ist jede Verarbeitung personenbezogener Daten nur rechtmäßig, wenn mindestens eine der dort genannten Voraussetzungen erfüllt ist. Die Buchstaben a bis f nennen Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Eine Rangfolge besteht nicht. Das berechtigte Interesse steht gleichberechtigt neben den übrigen Grundlagen, ist aber stärker von der Würdigung des Einzelfalls abhängig.

Die Vorschrift enthält drei Elemente, die kumulativ erfüllt sein müssen. Es muss ein berechtigtes Interesse des Verantwortlichen oder eines Dritten vorliegen, die Verarbeitung muss zur Wahrung dieses Interesses erforderlich sein, und die Interessen oder Grundrechte der betroffenen Person dürfen nicht überwiegen. Besonders zu berücksichtigen ist dabei, wenn es sich bei der betroffenen Person um ein Kind handelt. Den Gesetzestext finden Sie auf eur-lex.europa.eu.

Erwägungsgrund 47 der DSGVO nennt Beispiele und Leitgedanken. Danach kann ein berechtigtes Interesse bestehen, wenn eine maßgebliche Beziehung zwischen Verantwortlichem und betroffener Person besteht, etwa bei Kundenbeziehungen. Maßgeblich ist auch, ob die betroffene Person zum Zeitpunkt der Erhebung vernünftigerweise damit rechnen durfte, dass die Verarbeitung erfolgt.

Der dreistufige Prüfaufbau

Stufe 1: Berechtigtes Interesse

Berechtigt ist ein Interesse, wenn es rechtlich zulässig, hinreichend konkret und tatsächlich vorhanden ist. Es kann wirtschaftlicher, rechtlicher oder ideeller Natur sein. Zulässig sind etwa die Absicherung der IT-Systeme, die Durchsetzung eigener Ansprüche, die Verhinderung von Betrug oder die Pflege bestehender Kundenbeziehungen. Nicht ausreichend sind vage, nur behauptete oder gesetzeswidrige Interessen.

Stufe 2: Erforderlichkeit

Die Verarbeitung muss erforderlich sein, das Interesse zu verwirklichen. Das bedeutet, dass es kein milderes, gleich wirksames Mittel geben darf. Hier greifen die Grundsätze der Datenminimierung und der Speicherbegrenzung aus Art. 5 DSGVO. Werden mehr Daten erhoben oder länger gespeichert, als zur Zweckerreichung nötig, entfällt die Erforderlichkeit für den überschießenden Teil.

Stufe 3: Interessenabwägung

Auf der dritten Stufe sind die Interessen des Unternehmens den Interessen, Grundrechten und Grundfreiheiten der betroffenen Personen gegenüberzustellen. Zu berücksichtigen sind unter anderem Art und Sensibilität der Daten, Umfang und Dauer der Verarbeitung, die Erwartungen der Betroffenen, das Verhältnis zwischen den Beteiligten, die möglichen Folgen für die Betroffenen und vorgesehene Schutzmaßnahmen. Zusätzliche Garantien, etwa Pseudonymisierung, Zugriffsbeschränkungen oder kurze Löschfristen, können das Gewicht zugunsten des Unternehmens verschieben.

Abwägungsfaktor	Eher zugunsten des Unternehmens	Eher zugunsten der betroffenen Person
Art der Daten	Geschäftliche Kontaktdaten, Vertragsdaten	Sensible oder besonders private Informationen
Erwartung der Betroffenen	Verarbeitung ist üblich und vorhersehbar	Verarbeitung kommt überraschend
Umfang und Dauer	Begrenzter Umfang, kurze Speicherung	Umfassende Profile, lange Speicherung
Folgen für Betroffene	Geringe oder keine Nachteile	Erhebliche Nachteile, Ausgrenzung, Überwachung
Schutzmaßnahmen	Pseudonymisierung, Zugriffsbeschränkung, Löschkonzept	Keine oder nur formale Schutzmaßnahmen

Typische Anwendungsfälle im Unternehmen

Die Vorschrift wird im Mittelstand in vielen Bereichen herangezogen. Ob sie im konkreten Fall trägt, hängt jeweils von der Abwägung ab. Die folgenden Beispiele zeigen Konstellationen, in denen das berechtigte Interesse häufig diskutiert wird.

• IT-Sicherheit: Protokollierung von Zugriffen, Abwehr von Angriffen und Betrieb von Schutzsoftware.
• Betrugsprävention und Forderungsmanagement: Prüfung von Auffälligkeiten und Durchsetzung eigener Ansprüche.
• Bestandskundenpflege: Kontaktaufnahme zu Kunden im Rahmen der laufenden Geschäftsbeziehung.
• Konzerninterne Verwaltung: Weitergabe von Beschäftigten- und Kundendaten an verbundene Unternehmen für interne Verwaltungszwecke.
• Direktwerbung im geschäftlichen Umfeld: Ansprache von Kunden oder Interessenten, unter Beachtung der wettbewerbsrechtlichen Vorgaben.
• Rechtsverteidigung: Aufbewahrung und Nutzung von Daten für die Verteidigung gegen Ansprüche.

Bei der Direktwerbung ist zu beachten, dass das Datenschutzrecht und das Wettbewerbsrecht nebeneinander gelten. Eine datenschutzrechtliche Zulässigkeit ersetzt nicht die Prüfung, ob nach den Regeln gegen unlauteren Wettbewerb eine vorherige Einwilligung erforderlich ist, insbesondere bei E-Mail und Telefon.

Interessen Dritter und Weitergabe von Daten

Art. 6 Abs. 1 lit. f DSGVO erfasst nicht nur eigene Interessen des Verantwortlichen, sondern auch die berechtigten Interessen Dritter. Das kann relevant werden, wenn Daten an Dienstleister, Auskunfteien, Versicherer oder verbundene Unternehmen übermittelt werden. Dann ist zu klären, welches Interesse der Empfänger verfolgt, ob die Übermittlung dafür erforderlich ist und ob die betroffene Person damit rechnen musste.

Setzt das Unternehmen Dienstleister ein, die Daten weisungsgebunden verarbeiten, handelt es sich in der Regel um eine Auftragsverarbeitung nach Art. 28 DSGVO. Die Rechtsgrundlage für die Verarbeitung bleibt dann beim Auftraggeber, und die Abwägung ist für den Gesamtvorgang zu führen. Wird ein Empfänger dagegen für eigene Zwecke tätig, ist zu prüfen, ob er selbst eine eigene Rechtsgrundlage besitzt und ob eine gemeinsame Verantwortlichkeit vorliegt.

• Empfänger und Zweck der Weitergabe sind konkret zu benennen.
• Es sind nur die Daten zu übermitteln, die der Empfänger für den Zweck benötigt.
• Bei Übermittlungen in Drittländer sind zusätzlich die Vorgaben der Art. 44 ff. DSGVO einzuhalten.
• Die Weitergabe ist in den Datenschutzhinweisen und im Verarbeitungsverzeichnis abzubilden.

Informationspflichten und Widerspruchsrecht

Wer sich auf das berechtigte Interesse stützt, muss die betroffenen Personen darüber informieren. Nach Art. 13 und 14 DSGVO gehört zu den Pflichtangaben, welche berechtigten Interessen verfolgt werden. Eine pauschale Formulierung wie „zur Wahrung berechtigter Interessen“ genügt dafür nicht, die Interessen sind konkret zu benennen.

Zusätzlich steht den betroffenen Personen nach Art. 21 DSGVO ein Widerspruchsrecht zu, wenn sich aus ihrer besonderen Situation Gründe gegen die Verarbeitung ergeben. Der Verantwortliche muss die Verarbeitung dann einstellen, es sei denn, er kann zwingende schutzwürdige Gründe nachweisen, die die Interessen der Person überwiegen, oder die Verarbeitung dient der Geltendmachung von Rechtsansprüchen. Bei Direktwerbung ist der Widerspruch ohne weitere Voraussetzung wirksam.

• Auf das Widerspruchsrecht ist spätestens bei der ersten Kommunikation deutlich und getrennt von anderen Informationen hinzuweisen.
• Für Widersprüche sollte ein dokumentierter interner Ablauf bestehen.
• Nach einem Widerspruch gegen Direktwerbung sind die Daten für diesen Zweck zu sperren oder zu löschen.

Das berechtigte Interesse ist kein Freibrief, sondern eine Rechtsgrundlage, die Nachweisbarkeit und Rechenschaft erfordert.

Grenzen der Vorschrift

Das berechtigte Interesse ist nicht für jede Verarbeitung verfügbar. Behörden können sich bei der Erfüllung ihrer Aufgaben nicht darauf stützen. Für besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten oder biometrische Daten zur eindeutigen Identifizierung, gilt zusätzlich Art. 9 DSGVO. Dort ist eine Verarbeitung nur in den dort genannten Ausnahmefällen zulässig, die Abwägung allein reicht nicht.

Auch für den Beschäftigtendatenschutz bestehen Sonderregeln im nationalen Recht. Soweit Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, ist § 26 BDSG zu beachten, dessen Anwendbarkeit im Einzelnen umstritten ist. Eine pauschale Berufung auf das berechtigte Interesse ist hier mit besonderer Vorsicht zu prüfen.

• Kein berechtigtes Interesse bei offensichtlich rechtswidrigen Zwecken.
• Keine Anwendung, wenn die Verarbeitung für die betroffene Person unerwartet und eingriffsintensiv ist.
• Keine Heilung durch Dokumentation, wenn die Abwägung inhaltlich zulasten des Unternehmens ausfällt.

Ein weiterer Punkt betrifft die Transparenz gegenüber der Geschäftsleitung. Die Entscheidung, eine Verarbeitung auf das berechtigte Interesse zu stützen, trägt das Unternehmen als Verantwortlicher. Es empfiehlt sich daher, die Abwägungen von der Geschäftsführung oder einer von ihr bestimmten Stelle freigeben zu lassen und den Datenschutzbeauftragten frühzeitig einzubinden, damit Risiken nicht erst bei einer Beschwerde sichtbar werden.

Dokumentation der Interessenabwägung

Nach Art. 5 Abs. 2 DSGVO trägt der Verantwortliche die Rechenschaftspflicht. Er muss die Einhaltung der Grundsätze nachweisen können. Für das berechtigte Interesse bedeutet das, dass die Abwägung schriftlich festzuhalten ist. Die Dokumentation muss nicht umfangreich sein, aber nachvollziehbar und konkret.

1. Zweck der Verarbeitung und betroffene Personengruppen benennen.
2. Berechtigtes Interesse konkret beschreiben und begründen.
3. Erforderlichkeit prüfen und mildere Alternativen erwägen.
4. Interessen der Betroffenen ermitteln, einschließlich ihrer Erwartungen und möglicher Folgen.
5. Abwägung durchführen und Ergebnis begründen.
6. Schutzmaßnahmen festlegen und Löschfristen bestimmen.
7. Ergebnis mit Datum, Verantwortlichem und Prüfintervall dokumentieren.

Die Abwägung sollte mit dem Verzeichnis von Verarbeitungstätigkeiten verknüpft werden. Dort ist die Rechtsgrundlage ohnehin anzugeben, und ein Verweis auf die zugehörige Abwägung schafft Übersicht. Bei Änderungen des Zwecks, der Datenarten oder der eingesetzten Systeme ist die Prüfung zu wiederholen.

Praxisbeispiel: Protokollierung von Zugriffen auf Kundendaten

Ein mittelständisches Unternehmen protokolliert, welche Beschäftigten auf Kundendaten im CRM zugreifen. Ziel ist die Aufklärung von Missbrauch und der Nachweis, dass Zugriffe nur im Rahmen der Aufgaben erfolgen. Das Unternehmen stützt die Protokollierung auf sein berechtigtes Interesse an der Sicherheit und Integrität der Kundendaten.

In der Abwägung wird festgehalten, dass die Protokolle nur Benutzerkennung, Zeitpunkt und Art des Zugriffs enthalten, nicht die Inhalte. Der Zugang zu den Protokollen ist auf wenige Personen beschränkt, und sie werden nach einer festgelegten Frist gelöscht. Die Beschäftigten werden über Zweck und Umfang informiert. Eine laufende Leistungskontrolle findet nicht statt. Sofern eine Mitbestimmung des Betriebsrats in Betracht kommt, wird diese gewahrt. Das Beispiel ist konstruiert, es zeigt, wie Datensparsamkeit und Schutzmaßnahmen die Abwägung stützen, und ersetzt keine rechtliche Prüfung des Einzelfalls.

Häufige Fehler in der Praxis

• Die Rechtsgrundlage wird pauschal angegeben, ohne dass eine Abwägung vorliegt.
• Die Datenschutzhinweise nennen das berechtigte Interesse nur formelhaft.
• Das Widerspruchsrecht wird nicht erwähnt oder Widersprüche werden nicht strukturiert bearbeitet.
• Mehrere Zwecke werden in einer Abwägung vermischt, sodass keine klare Prüfung möglich ist.
• Die Abwägung wird einmal erstellt und nie überprüft, obwohl sich Systeme und Zwecke ändern.
• Es wird zwischen Einwilligung und berechtigtem Interesse gewechselt, wenn eine Seite problematisch wird.

Einwilligung oder berechtigtes Interesse: Entscheidungshilfe

Die Wahl der Rechtsgrundlage sollte vor Beginn der Verarbeitung getroffen werden. Ein nachträglicher Wechsel ist grundsätzlich nicht zulässig und wird von Aufsichtsbehörden kritisch gesehen. Folgende Leitfragen helfen bei der Entscheidung.

• Kann die betroffene Person die Verarbeitung frei ablehnen, ohne dass dies den Zweck vereitelt? Dann kommt eine Einwilligung in Betracht.
• Ist die Verarbeitung für die Durchführung eines Vertrags erforderlich? Dann ist Art. 6 Abs. 1 lit. b DSGVO vorrangig zu prüfen.
• Dient die Verarbeitung einem legitimen Unternehmenszweck, der mit überschaubarem Eingriff verbunden ist? Dann kann das berechtigte Interesse tragen.
• Besteht eine gesetzliche Pflicht? Dann ist lit. c einschlägig.

Checkliste für die Praxis

• Zweck und Datenarten sind klar beschrieben.
• Das berechtigte Interesse ist konkret formuliert und rechtlich zulässig.
• Erforderlichkeit und mildere Mittel sind geprüft.
• Eine schriftliche Abwägung liegt vor und ist dem Verarbeitungsverzeichnis zugeordnet.
• Schutzmaßnahmen und Löschfristen sind festgelegt.
• Datenschutzhinweise nennen die Interessen konkret und weisen auf das Widerspruchsrecht hin.
• Es existiert ein Ablauf für Widersprüche.
• Die Abwägung wird bei Änderungen und in regelmäßigen Abständen überprüft.

Wer diese Punkte beachtet, nutzt das berechtigte Interesse als tragfähige Rechtsgrundlage und kann bei Anfragen von Betroffenen oder Aufsichtsbehörden die Rechtmäßigkeit der Verarbeitung belegen.

FAQ

Wann darf ich mich auf das berechtigte Interesse stützen?
Wenn ein legitimes Interesse des Unternehmens oder eines Dritten besteht, die Verarbeitung dafür erforderlich ist und die Interessen der betroffenen Personen nicht überwiegen. Alle drei Voraussetzungen müssen gemeinsam erfüllt und nachvollziehbar dokumentiert sein.

Muss die Interessenabwägung schriftlich dokumentiert werden?
Eine ausdrückliche Formvorschrift besteht nicht. Wegen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist eine nachvollziehbare schriftliche oder elektronische Dokumentation jedoch in der Praxis unverzichtbar, um die Rechtmäßigkeit belegen zu können.

Reicht das berechtigte Interesse für E-Mail-Werbung aus?
Nicht automatisch. Neben dem Datenschutzrecht gelten die Vorschriften gegen unlauteren Wettbewerb. Für elektronische Werbung ist regelmäßig eine vorherige Einwilligung erforderlich, abgesehen von eng begrenzten Ausnahmen für Bestandskunden. Der Einzelfall sollte rechtlich geprüft werden.

Was passiert bei einem Widerspruch nach Art. 21 DSGVO?
Der Verantwortliche muss die Verarbeitung einstellen, sofern er keine zwingenden schutzwürdigen Gründe nachweisen kann, die überwiegen, oder die Verarbeitung der Geltendmachung von Rechtsansprüchen dient. Bei Direktwerbung ist der Widerspruch stets zu beachten.

Kann ich die Rechtsgrundlage nachträglich wechseln?
Grundsätzlich nein. Die Rechtsgrundlage ist vor Beginn der Verarbeitung festzulegen und den Betroffenen mitzuteilen. Ein nachträglicher Wechsel, etwa von der Einwilligung zum berechtigten Interesse, wird von Aufsichtsbehörden regelmäßig kritisch bewertet.