Nicht jede Verarbeitung personenbezogener Daten benötigt eine Einwilligung. Art. 6 Abs. 1 lit. f DSGVO erlaubt Unternehmen und anderen Verantwortlichen, personenbezogene Daten zur Wahrung berechtigter Interessen zu verarbeiten. Voraussetzung ist allerdings, dass die Verarbeitung erforderlich ist und die Interessen oder Grundrechte der betroffenen Personen nicht überwiegen. Wann ist das der Fall, und wie lässt sich die erforderliche Interessenabwägung rechtssicher durchführen?
Inhaltsverzeichnis
- Was regelt Art. 6 Abs. 1 lit. f DSGVO?
- Das dreistufige Prüfungsschema
- Erste Voraussetzung: Ein berechtigtes Interesse
- Zweite Voraussetzung: Erforderlichkeit der Verarbeitung
- Dritte Voraussetzung: Interessenabwägung
- Was sagt der Europäische Gerichtshof?
- Typische Anwendungsfälle
- Berechtigte Interessen oder Einwilligung?
- Das Widerspruchsrecht nach Art. 21 DSGVO
- Besondere Grenzen und zusätzliche Anforderungen
- Dokumentation und Informationspflichten
- Häufige Fehler in der Praxis
- Fazit
- Weitere Artikel unserer Reihe zu Art. 6 DSGVO
- Rechtsgrundlagen und Quellen
1. Was regelt Art. 6 Abs. 1 lit. f DSGVO?
Art. 6 Abs. 1 lit. f DSGVO erlaubt die Verarbeitung personenbezogener Daten, wenn sie„zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist“
sofern nicht die schutzwürdigen Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.
Die Vorschrift trägt dem Umstand Rechnung, dass Unternehmen und andere Organisationen legitime Interessen verfolgen können, für die eine Verarbeitung personenbezogener Daten notwendig ist. Ein Online-Shop muss beispielsweise Betrugsversuche erkennen können. Ein Unternehmen hat ein Interesse daran, seine IT-Systeme vor Angriffen zu schützen. Auch die Geltendmachung oder Verteidigung rechtlicher Ansprüche kann eine Verarbeitung personenbezogener Daten erforderlich machen.
Für solche Verarbeitungen ist nicht zwangsläufig eine Einwilligung erforderlich.
Allerdings genügt es nicht, dass eine Verarbeitung für den Verantwortlichen praktisch, wirtschaftlich interessant oder organisatorisch bequem ist. Art. 6 Abs. 1 lit. f DSGVO verlangt eine eigenständige rechtliche Prüfung.
Für Behörden gilt eine wesentliche Einschränkung: Nach Art. 6 Abs. 1 Unterabs. 2 DSGVO ist lit. f auf Verarbeitungen, die Behörden in Erfüllung ihrer Aufgaben vornehmen, nicht anwendbar.
Das dreistufige Prüfungsschema
Ob eine Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, wird in drei Schritten geprüft.Schritt 1: Berechtigtes Interesse
Welches konkrete, rechtmäßige Interesse verfolgt der Verantwortliche oder ein Dritter?Schritt 2: Erforderlichkeit
Ist die beabsichtigte Verarbeitung zur Verwirklichung dieses Interesses erforderlich, oder gibt es ein gleich geeignetes, weniger eingriffsintensives Mittel?Schritt 3: Interessenabwägung
Überwiegen die Interessen oder Grundrechte der betroffenen Person das berechtigte Interesse des Verantwortlichen oder eines Dritten?
Alle drei Voraussetzungen müssen erfüllt sein.Dieses Prüfungsschema ergibt sich aus Art. 6 Abs. 1 lit. f DSGVO und wird sowohl durch die Rechtsprechung des Europäischen Gerichtshofs als auch durch die Leitlinien 1/2024 des Europäischen Datenschutzausschusses erläutert.
Die Leitlinien wurden am 8. Oktober 2024 zunächst als Fassung 1.0 für die öffentliche Konsultation angenommen. Sie sind deshalb als Orientierung zu berücksichtigen, ohne ihnen den Status endgültig verabschiedeter Leitlinien zuzuschreiben.
Erste Voraussetzung: Was ist ein berechtigtes Interesse?
Der Begriff des berechtigten Interesses ist weit gefasst. Ein Interesse muss nicht ausdrücklich in einem Gesetz genannt sein, um berechtigt zu sein. Es muss jedoch rechtmäßig, tatsächlich vorhanden und hinreichend konkret sein.Rein hypothetische Interessen oder unbestimmte Hinweise auf allgemeine Geschäftsinteressen reichen nicht aus.
Wirtschaftliche Interessen können berechtigt sein
Ein häufiger Irrtum besteht darin, wirtschaftliche Interessen von vornherein als weniger schutzwürdig oder gar unzulässig anzusehen. Das ist nicht richtig.
Der EuGH hat mit Urteil vom 4. Oktober 2024 (C-621/22 – Koninklijke Nederlandse Lawn Tennisbond) ausdrücklich klargestellt, dass auch ein kommerzielles Interesse grundsätzlich ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO darstellen kann.
In dem Verfahren ging es um einen niederländischen Tennisverband, der personenbezogene Daten seiner Mitglieder gegen Entgelt an Sponsoren weitergegeben hatte. Der EuGH stellte fest, dass ein wirtschaftliches Interesse nicht allein deshalb ausgeschlossen ist, weil es auf die Erzielung von Einnahmen gerichtet ist. Das bedeutet allerdings nicht, dass die konkrete Datenweitergabe zulässig war. Auch bei einem grundsätzlich berechtigten wirtschaftlichen Interesse müssen die Erforderlichkeit und die Interessenabwägung gesondert geprüft werden.Beispiele für mögliche berechtigte Interessen
Je nach konkreter Ausgestaltung können unter anderem folgende Interessen berechtigt sein:- Schutz von IT-Systemen und Netzwerken,
- Verhinderung und Aufklärung von Betrugsversuchen,
- Durchsetzung und Verteidigung rechtlicher Ansprüche,
- Schutz von Beschäftigten, Kunden und Eigentum,
- bestimmte Maßnahmen der Kundenbetreuung,
- bestimmte Formen der Direktwerbung,
- bestimmte interne Verwaltungszwecke innerhalb einer Unternehmensgruppe.
Zweite Voraussetzung: Wann ist eine Verarbeitung erforderlich?
Das berechtigte Interesse allein genügt nicht. Die Verarbeitung muss auch erforderlich sein, um dieses Interesse zu verfolgen. Dabei kommt es nicht darauf an, ob die Verarbeitung besonders einfach, kostengünstig oder nützlich ist.Entscheidend ist, ob das angestrebte Ziel durch ein anderes, gleich wirksames Mittel erreicht werden kann, das weniger stark in die Rechte der betroffenen Personen eingreift.
Beispiel: Schutz vor Betrug
Ein Online-Shop möchte betrügerische Bestellungen erkennen. Hierfür kann die Verarbeitung bestimmter Bestell- und Transaktionsdaten erforderlich sein.
Daraus folgt aber nicht, dass der Shop sämtliche verfügbaren Informationen über seine Kunden dauerhaft speichern, mit externen Datenquellen zusammenführen oder umfassende Persönlichkeitsprofile erstellen darf. Vielmehr muss geprüft werden, welche Daten für die konkrete Betrugserkennung tatsächlich benötigt werden. Möglicherweise reichen bestimmte technische Merkmale, auffällige Bestellmuster oder zeitlich begrenzte Prüfungen aus. Die Erforderlichkeit ist eng mit dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO verbunden.Beispiel: Videoüberwachung
Ein Unternehmen möchte sein Betriebsgelände vor Einbrüchen schützen. Eine Videoüberwachung kann hierfür geeignet sein. Ob sie erforderlich ist, hängt jedoch unter anderem davon ab, ob mildere Maßnahmen wie eine verbesserte Beleuchtung, Zugangskontrollen oder eine Einbruchmeldeanlage denselben Schutz gewährleisten können.Auch die Reichweite der Kameras, die Aufzeichnungsdauer und der Kreis der zugriffsberechtigten Personen sind zu berücksichtigen. Eine pauschale Berufung auf das Interesse am Eigentumsschutz reicht nicht.
Dritte Voraussetzung: Die Interessenabwägung
Die Interessenabwägung ist häufig der schwierigste Teil der Prüfung. Hier stehen sich das berechtigte Interesse des Verantwortlichen oder eines Dritten und die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person gegenüber.
Es genügt nicht, lediglich festzustellen, dass der Verantwortliche ein nachvollziehbares Interesse verfolgt. Vielmehr muss untersucht werden, welche Folgen die konkrete Verarbeitung für die betroffenen Personen haben kann.Welche Faktoren sind zu berücksichtigen?
Von besonderer Bedeutung sind:Art und Umfang der Daten
Werden lediglich wenige, wenig aussagekräftige Daten verarbeitet oder umfangreiche Informationen über das Verhalten, die wirtschaftlichen Verhältnisse oder das Privatleben einer Person?Zweck und Intensität der Verarbeitung
Geht es um eine punktuelle Prüfung oder um eine dauerhafte Überwachung? Werden Daten mit weiteren Informationen verknüpft oder Profile erstellt?Verhältnis zwischen Verantwortlichem und betroffener Person
Besteht bereits eine Kundenbeziehung? Handelt es sich um Beschäftigte, Besucher oder Personen, zu denen bislang kein Kontakt bestand?Vernünftige Erwartungen
Konnte die betroffene Person unter den konkreten Umständen mit dieser Verarbeitung rechnen?Mögliche Auswirkungen
Können durch die Verarbeitung Nachteile, Kontrollverlust, Diskriminierung oder andere Beeinträchtigungen entstehen?Schutzmaßnahmen
Können Datenminimierung, kurze Speicherfristen, eingeschränkte Zugriffsrechte oder andere Maßnahmen die Risiken reduzieren?Diese Gesichtspunkte müssen in ihrer Gesamtheit bewertet werden.
Die vernünftigen Erwartungen sind besonders wichtig
Erwägungsgrund 47 DSGVO hebt ausdrücklich hervor, dass die vernünftigen Erwartungen der betroffenen Person berücksichtigt werden müssen. Ein Kunde kann beispielsweise damit rechnen, dass ein Online-Shop seine Bestelldaten zur Bearbeitung einer Reklamation verwendet.
Er muss aber nicht ohne Weiteres damit rechnen, dass dieselben Daten an fremde Unternehmen verkauft werden, damit diese eigene Werbekampagnen durchführen. Dabei kommt es nicht allein darauf an, ob der Verantwortliche die Verarbeitung irgendwo in seiner Datenschutzerklärung erwähnt.
Transparenz ist notwendig, macht eine ansonsten unverhältnismäßige Verarbeitung aber nicht automatisch zulässig.Besondere Schutzbedürftigkeit von Kindern
Art. 6 Abs. 1 lit. f DSGVO hebt Kinder ausdrücklich hervor. Ihre Interessen und Grundrechte können bei der Abwägung besonderes Gewicht haben. Das gilt insbesondere bei Profilbildung, Verhaltensanalysen und werblicher Ansprache.Eine Verarbeitung, die gegenüber Erwachsenen möglicherweise gerechtfertigt wäre, kann deshalb bei Kindern unzulässig sein.
Was sagt der Europäische Gerichtshof?
Die Rechtsprechung des EuGH verdeutlicht, dass die drei Voraussetzungen nicht nur formal geprüft werden dürfen.Wie bereits geschrieben, befasste sich der EuGH in seinem Urteil vom 4. Oktober 2024 (C-621/22 – Koninklijke Nederlandse Lawn Tennisbond) mit der entgeltlichen Weitergabe von Mitgliederdaten an Sponsoren. Dabei betonte er aber ausdrücklich die Bedeutung weniger eingriffsintensiver Alternativen.
So könne beispielsweise die vorherige Information der Mitglieder mit der Möglichkeit, selbst über eine Datenweitergabe zu entscheiden, ein milderes Mittel darstellen.
Die Entscheidung zeigt damit zweierlei: Wirtschaftliche Interessen sind nicht grundsätzlich ausgeschlossen. Ihre Verfolgung rechtfertigt aber nicht jede Form der Datenverarbeitung.EuGH: Umfangreiche Datenverknüpfungen brauchen eine besonders sorgfältige Prüfung
Bereits im Urteil vom 4. Juli 2023 (C-252/21 – Meta Platforms u. a.) hatte sich der EuGH mit der Verarbeitung personenbezogener Daten durch ein soziales Netzwerk beschäftigt. Im Mittelpunkt stand unter anderem die Zusammenführung von Daten aus verschiedenen Diensten und von externen Websites. Der EuGH betonte, dass die Verarbeitung zur Verfolgung eines berechtigten Interesses tatsächlich erforderlich sein muss.
Insbesondere bei weitreichenden Datenverknüpfungen und der Beobachtung des Nutzerverhaltens können die Grundrechte der betroffenen Personen überwiegen. Der Gerichtshof stellte außerdem klar, dass die Verbesserung eines Produkts oder einer Dienstleistung zwar grundsätzlich ein berechtigtes Interesse sein kann. Ob es eine konkrete umfangreiche Verarbeitung rechtfertigt, ist jedoch gesondert zu beurteilen.
Typische Anwendungsfälle in der Praxis
IT-Sicherheit und Serverprotokolle
Die Gewährleistung der Netz- und Informationssicherheit kann ein berechtigtes Interesse darstellen. Dazu kann beispielsweise die zeitlich begrenzte Verarbeitung von IP-Adressen und technischen Protokolldaten gehören, um Angriffe zu erkennen und Sicherheitsvorfälle aufzuklären. Die konkrete Speicherdauer und der Umfang der Daten müssen jedoch erforderlich und angemessen sein. Eine unbegrenzte Vorratsspeicherung sämtlicher Nutzungsdaten lässt sich daraus nicht ableiten.Rechtsverfolgung und Anspruchsabwehr
Unternehmen können ein berechtigtes Interesse daran haben, Unterlagen aufzubewahren, die sie zur Geltendmachung oder Abwehr rechtlicher Ansprüche benötigen. Das kann beispielsweise nach Beendigung einer Geschäftsbeziehung relevant werden. Allerdings rechtfertigt ein abstraktes Prozessrisiko nicht automatisch die unbegrenzte Speicherung aller vorhandenen Kundendaten. Es muss geprüft werden, welche Informationen für welche möglichen Ansprüche erforderlich sind und wie lange eine Aufbewahrung sachlich gerechtfertigt ist.Betrugsprävention
Die Erkennung und Verhinderung von Betrug wird bereits in Erwägungsgrund 47 DSGVO als mögliches berechtigtes Interesse genannt. Zulässig kann beispielsweise die Prüfung auffälliger Transaktionen sein. Je stärker dabei automatisierte Bewertungen, Datenverknüpfungen oder Profilbildungen eingesetzt werden, desto intensiver muss die Interessenabwägung ausfallen.Direktwerbung
Erwägungsgrund 47 DSGVO nennt Direktwerbung ausdrücklich als mögliches berechtigtes Interesse. Daraus folgt jedoch nicht, dass Unternehmen ohne Einwilligung beliebig Werbe-E-Mails, SMS oder Messenger-Nachrichten verschicken oder Werbeanrufe tätigen dürfen.
Neben der DSGVO sind insbesondere die Anforderungen des § 7 UWG zu beachten. Für elektronische Werbung ist regelmäßig eine vorherige ausdrückliche Einwilligung erforderlich, soweit keine gesetzliche Ausnahme greift, etwa unter den engen Voraussetzungen des § 7 Abs. 3 UWG.
Die datenschutzrechtliche Rechtsgrundlage und die wettbewerbsrechtliche Zulässigkeit des Werbekanals sind daher getrennt zu prüfen.Berechtigte Interessen oder Einwilligung?
In der Praxis wird häufig vorschnell eine Einwilligung eingeholt, obwohl eine andere Rechtsgrundlage geeigneter wäre.Das kann zusätzliche Probleme verursachen. Eine Einwilligung muss freiwillig, informiert, bestimmt und widerruflich sein.
Ist die Verarbeitung hingegen auf ein berechtigtes Interesse gestützt, kommt es auf die Voraussetzungen des Art. 6 Abs. 1 lit. f DSGVO an. Eine Einwilligung ist dann für diesen Zweck nicht erforderlich. Die Wahl der Rechtsgrundlage darf allerdings nicht beliebig erfolgen.Beispiel:
Ein Unternehmen benötigt bestimmte technische Protokolldaten, um seine Systeme gegen Angriffe abzusichern. Wenn die Voraussetzungen des Art. 6 Abs. 1 lit. f DSGVO erfüllt sind, kann diese Verarbeitung auf berechtigte Interessen gestützt werden.
Eine Einwilligung wäre hier häufig wenig zweckmäßig. Denn die grundlegende Sicherheit eines IT-Systems sollte nicht davon abhängen, ob einzelne Nutzer eine entsprechende Einwilligung erteilen.
Anders kann es bei einer freiwilligen, umfangreichen Verhaltensanalyse zu Werbezwecken aussehen. Hier können die Interessen der betroffenen Personen überwiegen. Außerdem können besondere Einwilligungsanforderungen, beispielsweise nach § 25 TDDDG beim Zugriff auf Informationen in Endgeräten, hinzukommen.Keine nachträgliche Ersatzrechtsgrundlage
Eine besonders problematische Vorgehensweise besteht darin, eine Verarbeitung zunächst auf eine Einwilligung zu stützen und nach deren Widerruf einfach auf Art. 6 Abs. 1 lit. f DSGVO umzusteigen. Ein solcher Wechsel ist nicht ohne Weiteres zulässig. Die Rechtsgrundlage muss vor Beginn der Verarbeitung bestimmt und den betroffenen Personen transparent mitgeteilt werden.
Eine unwirksame oder widerrufene Einwilligung lässt sich nicht beliebig durch ein nachträglich behauptetes berechtigtes Interesse ersetzen.Das Widerspruchsrecht nach Art. 21 DSGVO
Wer personenbezogene Daten auf Art. 6 Abs. 1 lit. f DSGVO stützt, muss das Widerspruchsrecht der betroffenen Personen beachten. Dabei sind zwei Situationen zu unterscheiden.Allgemeines Widerspruchsrecht
Nach Art. 21 Abs. 1 DSGVO kann eine betroffene Person aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen eine Verarbeitung einlegen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht. Der Verantwortliche darf die betreffenden Daten dann grundsätzlich nicht mehr für diesen Zweck verarbeiten.
Eine Fortsetzung ist nur zulässig, wenn er zwingende schutzwürdige Gründe nachweist, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Die Prüfung nach einem Widerspruch ist deshalb nicht mit der ursprünglichen Interessenabwägung gleichzusetzen.Widerspruch gegen Direktwerbung
Für Direktwerbung gilt eine strengere Regel. Nach Art. 21 Abs. 2 und 3 DSGVO kann die betroffene Person jederzeit Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten zum Zweck der Direktwerbung einlegen.Nach einem solchen Widerspruch dürfen die Daten für diesen Zweck nicht mehr verarbeitet werden. Eine erneute Interessenabwägung zugunsten des Unternehmens ist hier nicht vorgesehen. Das gilt auch für Profiling, soweit es mit der Direktwerbung in Verbindung steht.
Informationspflicht über das Widerspruchsrecht
Nach Art. 21 Abs. 4 DSGVO muss auf das Widerspruchsrecht spätestens bei der ersten Kommunikation ausdrücklich hingewiesen werden. Dieser Hinweis muss verständlich und von anderen Informationen getrennt erfolgen. Ein bloßer Verweis auf eine umfangreiche Datenschutzerklärung kann dafür unzureichend sein.Besondere Grenzen und zusätzliche Anforderungen
Art. 6 Abs. 1 lit. f DSGVO ist keine universelle Erlaubnisnorm.
Gesundheitsdaten und andere besondere Datenkategorien
Sollen besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO verarbeitet werden, reicht Art. 6 Abs. 1 lit. f DSGVO allein nicht aus. Zusätzlich muss eine Ausnahme vom grundsätzlichen Verarbeitungsverbot nach Art. 9 Abs. 2 DSGVO vorliegen. Das betrifft unter anderem Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung sowie Informationen über religiöse oder politische Überzeugungen. Eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO kann diese zusätzliche Voraussetzung nicht ersetzen.Automatisierte Entscheidungen
Werden personenbezogene Daten für automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung verarbeitet, sind außerdem die Anforderungen des Art. 22 DSGVO zu prüfen. Auch hier genügt der bloße Verweis auf berechtigte Interessen nicht.Cookies und vergleichbare Technologien
Beim Speichern von Informationen auf Endgeräten oder beim Zugriff auf dort gespeicherte Informationen kann § 25 TDDDG einschlägig sein. Diese Regelung ist von der datenschutzrechtlichen Rechtsgrundlage für eine anschließende Verarbeitung personenbezogener Daten zu unterscheiden. Selbst wenn Art. 6 Abs. 1 lit. f DSGVO eine spätere Datenverarbeitung rechtfertigen könnte, ersetzt dies keine nach § 25 TDDDG erforderliche Einwilligung.Übermittlungen in Drittländer
Werden Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt, müssen zusätzlich die Anforderungen des Kapitels V DSGVO erfüllt sein. Art. 6 Abs. 1 lit. f DSGVO allein genügt nicht, um eine solche Übermittlung zu legitimieren.Dokumentation und Informationspflichten
Ein Verantwortlicher muss die Voraussetzungen des Art. 6 Abs. 1 lit. f DSGVO nicht nur erfüllen, sondern ihre Einhaltung auch nachweisen können. Das folgt insbesondere aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.Deshalb empfiehlt es sich, die Interessenabwägung vor Beginn der Verarbeitung schriftlich festzuhalten.
Was sollte dokumentiert werden?
Eine nachvollziehbare Dokumentation sollte mindestens folgende Fragen beantworten:- Welcher konkrete Zweck wird verfolgt? Das Interesse sollte möglichst präzise beschrieben werden.
- Warum ist das Interesse berechtigt? Welche tatsächlichen und rechtlichen Gesichtspunkte sprechen dafür?
- Welche Daten werden verarbeitet? Welche Personengruppen sind betroffen?
- Warum ist die Verarbeitung erforderlich? Welche weniger eingriffsintensiven Alternativen wurden geprüft?
- Welche Auswirkungen sind für die Betroffenen zu erwarten? Wie intensiv ist der Eingriff?
- Welche Interessen überwiegen? Wie fällt die Abwägung unter Berücksichtigung aller Umstände aus?
- Welche Schutzmaßnahmen werden getroffen? Beispielsweise kurze Speicherfristen, Zugriffsbeschränkungen oder Pseudonymisierung.
Die DSGVO schreibt dafür kein bestimmtes Formular vor. Entscheidend ist, dass die Überlegungen nachvollziehbar und auf die tatsächliche Verarbeitung bezogen sind.
Bei wesentlichen Änderungen der Verarbeitung sollte die Bewertung überprüft und gegebenenfalls angepasst werden.Was gehört in die Datenschutzerklärung?
Wird eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt, müssen die verfolgten berechtigten Interessen nach Art. 13 Abs. 1 lit. d beziehungsweise Art. 14 Abs. 2 lit. b DSGVO mitgeteilt werden. Eine pauschale Angabe wie „Wir verarbeiten Ihre Daten auf Grundlage unserer berechtigten Interessen“ genügt dafür nicht. Die betroffene Person muss erkennen können, welches konkrete Interesse verfolgt wird. Hinzu kommen die übrigen Informationspflichten, insbesondere zu Zwecken, Empfängern, Speicherdauer und Betroffenenrechten.Häufige Fehler in der Praxis
1. Berechtigte Interessen werden nur behauptet.
Die Formulierung „zur Wahrung unserer berechtigten Interessen“ ersetzt weder die Benennung eines konkreten Interesses noch die erforderliche Prüfung.2. Die Erforderlichkeit wird mit Nützlichkeit verwechselt.
Eine Datenverarbeitung ist nicht schon deshalb erforderlich, weil sie Geschäftsprozesse vereinfacht oder zusätzliche Erkenntnisse liefert.3. Die Interessenabwägung bleibt abstrakt.
Allgemeine Textbausteine ohne Bezug zur konkreten Verarbeitung berücksichtigen weder deren tatsächliche Intensität noch die Erwartungen der betroffenen Personen.4. Die Dokumentation fehlt.
Ohne nachvollziehbare Aufzeichnungen lässt sich im Streitfall nur schwer nachweisen, dass die Voraussetzungen vor Beginn der Verarbeitung geprüft wurden.5. Weitere gesetzliche Anforderungen werden übersehen.
Art. 9 DSGVO, Art. 22 DSGVO, § 25 TDDDG oder § 7 UWG können zusätzliche Anforderungen begründen.6. Das Widerspruchsrecht wird nicht ausreichend berücksichtigt.
Insbesondere bei Direktwerbung muss ein Widerspruch konsequent umgesetzt werden.Fazit: Berechtigte Interessen sind flexibel, aber kein Freibrief
Art. 6 Abs. 1 lit. f DSGVO ist für die datenschutzrechtliche Praxis von erheblicher Bedeutung. Die Vorschrift ermöglicht zahlreiche notwendige und sinnvolle Verarbeitungen, ohne dass dafür jeweils eine Einwilligung eingeholt werden muss.Gerade diese Flexibilität verlangt aber eine sorgfältige Prüfung. Ein berechtigtes Interesse allein genügt nicht. Die Verarbeitung muss erforderlich sein, und die Rechte der betroffenen Personen dürfen nicht überwiegen.
Die Rechtsprechung des EuGH zeigt, dass auch wirtschaftliche Interessen grundsätzlich berücksichtigt werden können. Gleichzeitig setzt sie einer übermäßigen Sammlung, Verknüpfung und Weitergabe personenbezogener Daten deutliche Grenzen.
Für die Praxis ist deshalb entscheidend, Art. 6 Abs. 1 lit. f DSGVO nicht als pauschale Rechtsgrundlage zu verwenden, sondern jede Verarbeitung anhand des konkreten Zwecks, ihrer Erforderlichkeit und ihrer Auswirkungen zu beurteilen.Weitere Artikel unserer Reihe zu Art. 6 DSGVO
Dieser Beitrag schließt unsere Reihe über die sechs Rechtsgrundlagen der Datenverarbeitung nach Art. 6 Abs. 1 DSGVO ab. Die weiteren Beiträge behandeln:- Art. 6 DSGVO im Überblick: Die sechs Rechtsgrundlagen der Datenverarbeitung
- Art. 6 Abs. 1 lit. a DSGVO: Einwilligung
- Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung und vorvertragliche Maßnahmen
- Art. 6 Abs. 1 lit. c DSGVO: Erfüllung rechtlicher Verpflichtungen
- Art. 6 Abs. 1 lit. d DSGVO: Schutz lebenswichtiger Interessen
- Art. 6 Abs. 1 lit. e DSGVO: Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt
Rechtsgrundlagen und Quellen
Gesetzliche Grundlagen
• Datenschutz-Grundverordnung, insbesondere Art. 5, 6, 9, 13, 14 und 21 sowie Erwägungsgründe 47–49• § 25 TDDDG
• § 7 UWG
Rechtsprechung
• EuGH, Urteil vom 4. Oktober 2024 – C-621/22, Koninklijke Nederlandse Lawn Tennisbond, ECLI:EU:C:2024:858• EuGH, Urteil vom 4. Juli 2023 – C-252/21, Meta Platforms u. a., ECLI:EU:C:2023:537