„Berechtigtes Interesse“ als Rechtsgrundlage für die Verarbeitung personenbezogener Daten

Nach Art. 6 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn eine der genannten Rechtsgrundlagen vorliegt. Neben einer Einwilligung oder der Erfüllung eines Vertrags ist das „berechtigte Interesse“ zentrale Rechtsgrundlage.

Nach Art. 6 Abs. 1 lit. f) DSGVO  ist eine Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Daraus folgen drei Voraussetzungen, die vorliegen müssen, damit die Verarbeitung auf Art. 6 Abs. 1 lit. f) DSGVO bzw. ein „berechtigtes Interesse“ gestützt werden kann.

• Der für die Verarbeitung personenbezogener Daten Verantwortliche oder ein Dritter hat ein berechtigtes Interesse an der Datenverarbeitung

• Die Verarbeitung ist zur Wahrung des berechtigten Interesses erforderlich

• Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen nicht

Berechtigtes Interesse

Die Datenschutzgrundverordnung enthält keine Regelung, was genau ein „berechtigtes Interesse“ des Verantwortlichen oder eines Dritten ist. Es handelt sich um einen unbestimmten Rechtsbegriff, dessen Bedeutung durch Auslegung zu ermitteln ist. Der Begriff „Interesse“ ist sehr weit gefasst und umfasst grundsätzlich jedes rechtliche, tatsächliche oder wirtschaftliche Interesse. Das Wort „berechtigt“ schränkt den Begriff „Interesse“ insoweit ein, als dass nur die Interessen, die der Rechtsordnung nicht zuwiderlaufen, geschützt werden sollen. Das zugrundeliegende Interesse darf nicht verboten oder strafrechtlich relevant sein.

Die vor Geltung der DSGVO anwendbare Datenschutzrichtlinie RL 95/46/EG kannte den Begriff des berechtigten Interesses bereits. Die Artikel-29-Datenschutzgruppe hatte dieses als „das Bestreben im weiteren Sinne, das ein für die Verarbeitung Verantwortlicher an dieser Verarbeitung haben kann, oder der Nutzen, den der für die Verarbeitung Verantwortliche aus der Verarbeitung zieht – oder den die Gesellschaft daraus ziehen könnte“ definiert.

In den Erwägungsgründen 47 bis 49 zur DSGVO sind einige Beispiele genannt. Ein berechtigtes Interesse kann vorliegen, wenn „eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht“. Bei der Verarbeitung personenbezogener Daten zur Verhinderung von Betrug zum Zwecke der Direktwerbung kann ebenfalls ein berechtigtes Interesse vorliegen. Darüber hinaus kann die Übermittlung zwischen Teilen von Unternehmensgruppen oder Gruppen von Einrichtungen für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigen ein berechtigtes Interesse darstellen.

Erforderlichkeit

Die Verarbeitung ist zur Wahrung des berechtigten Interesses erforderlich, soweit der Zweck der Verarbeitung nicht auch in zumutbarer Weise durch ein anderes, milderes Mittel erreicht werden kann.

Interessenabwägung

Ob die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, ist durch Abwägung mit den Interessen des Verantwortlichen oder des Dritten zu ermitteln. Die DSGVO enthält keine Regelung, welche Kriterien dabei anzuwenden sind. Daher sollten die Interessen des Verantwortlichen oder des Dritten benannt und gewichtet werden. Hohes Gewicht kommt einem Interesse etwa dann zu, wenn es sich auf ein oder gar mehrere Grundrechte stützen lässt. Außerdem hat ein Interesse mehr Gewicht, soweit die Verarbeitung nicht ausschließlich dem Verantwortlichen, sondern zumindest auch der Allgemeinheit zugutekommt.

Demgegenüber stehen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person. Diese sind ebenfalls zu gewichten, um eine Abwägung zu ermöglichen. Dabei kann insbesondere auf die Art der Daten, die Menge der Daten und der betroffenen Personen, die Quelle der Daten, die Anzahl der Verarbeiter, die Dauer der Verarbeitung sowie die Sicherheit der Verarbeitung Bezug genommen werden. Zu berücksichtigen ist zudem, ob die betroffene Person im Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen diese Erhebung erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für den angestrebten Zweck erfolgen wird (Erwägungsgrund 47 Satz 1 bis 3).

Überwiegen nunmehr die Interessen des Verantwortlichen oder des Dritten die der betroffenen Person, so ist die Datenverarbeitung zulässig. Überwiegen die Interessen des Verantwortlichen oder des Dritten die der betroffenen Person nicht, so ist die Datenverarbeitung unzulässig. In diesem Fall kann durch geeignete Maßnahmen wie eine Verkürzung der Dauer der Verarbeitung oder der Erhöhung der Sicherheit der Verarbeitung möglicherweise ein Überwiegen der Interessen des Verantwortlichen gerechtfertigt werden.

Bei Fragen zur Datenschutzgrundverordnung (DSGVO) stehen wir Ihnen jederzeit gerne zur Verfügung.