Berechtigtes Interesse nach DSGVO

Einführung

Neben der Einwilligung, der rechtlichen Verpflichtung und der vertraglichen Notwendigkeit ist auch das berechtigte Interesse eine wichtige Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten. Das berechtigte Interesse ist in der Praxis eine beliebte Rechtsgrundlage, da sie Unternehmen, Behörden oder auch gemeinnützigen Organisationen erlaubt, personenbezogene Daten zu verarbeiten, ohne auf eine ausdrückliche Zustimmung angewiesen zu sein – vorausgesetzt, die Interessen der Betroffenen werden ausreichend berücksichtigt. In diesem Beitrag werfen wir einen genaueren Blick auf die Voraussetzungen und den rechtlichen Rahmen des berechtigten Interesses.

Was ist ein berechtigtes Interesse?

Das berechtigte Interesse ist eine der sechs zulässigen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten laut Artikel 6 Abs. 1 lit. f) DSGVO. Irrtümlich wird sie häufig als „Auffangtatbestand“ herangezogen. Sie ermöglicht Unternehmen, Daten ohne Einwilligung zu verarbeiten – unter bestimmten Voraussetzungen.

Die Voraussetzungen im Überblick

Kriterium	Beschreibung
1. Berechtigtes Interesse	Ein legitimes, konkretes wirtschaftliches oder rechtliches Interesse des Unternehmens.
2. Erforderlichkeit	Keine mildere Verarbeitung oder Maßnahme möglich.
3. Interessenabwägung	Rechte der betroffenen Person dürfen nicht gegenüber den Interessen von Unternehmen überwiegen.

Es müssen alle Kriterien vollständig für eine wirksame Interessenabwägung erfüllt werden. Unternehmen sollten die Interessenabwägung unter Hinzunahme des Datenschutzbeauftragten dokumentieren, damit in Streitfällen die Rechenschaftspflicht der Unternehmen erfüllt werden kann.

Praxisnah erklärt: Interessenabwägung nach DSGVO

Die Interessenabwägung ist entscheidend. Sie erfolgt in drei Schritten:

1. Berechtigtes Interesse identifizieren

Der Begriff „berechtigtes Interesse“ ist nicht legal definiert. Ein berechtigtes Interesse ist ein legitimer Zweck, der die Verarbeitung von personenbezogenen Daten erfordert, sofern die Grundrechte und Grundfreiheiten der betroffenen Person dem nicht entgegenstehen. Das Interesse muss legitim, konkret und nachvollziehbar sein. Nicht ausreichend sind bloße wirtschaftliche Interessen oder Bequemlichkeiten von Unternehmen.

Beispiele:

• Schutz vor Betrug (z.B. Blacklists)
• Direktmarketing an Bestandskunden
• IT-Sicherheit (z.B. Server-Logfiles)

2. Erforderlichkeit prüfen

Die Datenverarbeitung muss zudem erforderlich sein. Es darf also kein anderes milderes Mittel geben, um den zuvor identifizierten Zweck genauso effektiv zu erzielen. An dieser Stelle sollte man sich folgende Fragen stellen:

• Ist der Zweck ohne Datenverarbeitung zu erzielen?
• Können weniger Daten verarbeitet werden (z. B. IP nur gekürzt)?

3. Abwägung mit Interessen der betroffenen Person

Im dritten Schritt müssen die Interessen gegeneinander abgewogen werden. Ein berechtigtes Interesse für die Datenverarbeitung besteht nur, wenn die Interessen des Verantwortlichen den Interessen, Grundrechten und Grundfreiheiten des Betroffenen überwiegen. Zunächst müssen dafür die Interessen des Verantwortlichen und des Betroffenen benannt und schließlich gewichtet werden. Nach der Gewichtung müssen die Interessen nun gegeneinander abgewogen werden. Die Abwägungskriterien werden von der DSGVO nicht festgelegt. Folgende Bewertungskriterien werden üblicherweise herangezogen:

• Erwartung der betroffenen Person
• Datenkategorie (sensibel/nicht sensibel)
• Eingriffsintensität in die Persönlichkeitsrechte
• Transparenz (Hinweise, Informationspflichten)
• Schutzmaßnahmen (Pseudonymisierung, Zugriffskontrollen)
• Verarbeitung kommt der Allgemeinheit oder den Betroffenen zugute

Muster berechtigtes Interesse nach DSGVO

Um die theoretischen Erläuterungen zu veranschaulichen, haben wir hier einen Beispieltext für eine Interessenabwägung zur Videoüberwachung im Eingangsbereich eines Unternehmens erstellt:

Im Eingangsbereich des Firmengebäudes wird eine Videoüberwachung eingesetzt, die während der Geschäftszeiten aufzeichnet. Die Aufnahmen werden für 72 Stunden gespeichert und sind nur einem berechtigten Personenkreis (Beschäftigte) zugänglich. Die Löschung erfolgt automatisch, sofern kein sicherheitsrelevantes Ereignis vorliegt. Tonaufnahmen finden nicht statt.

Die Videoüberwachung dient vornehmlich dem Schutz vor Einbruch, Vandalismus und unbefugtem Zutritt. Zudem soll eine Aufklärung etwaiger sicherheitsrelevanter Vorfälle (z.B. Diebstahl, Sachbeschädigung) vereinfacht werden.

Unser berechtigtes Interesse liegt in der Wahrung der Gebäudesicherheit, dem Schutz der Mitarbeitenden, Besuchenden, unseres Eigentums und vertraulicher Informationen vor rechtswidrigen Handlungen.

Eine weniger eingriffsintensive Maßnahme (z. B. rein sichtbare Kamera-Attrappen oder nur Zugangskontrollsysteme) ist nicht in gleichem Maße geeignet, Abschreckung zu erzielen oder Beweise im Fall eines Vorfalls zu sichern.

Auf der Betroffenenseite stehen der Schutz von Vertraulichkeit und Privatsphäre sowie das Recht auf informationelle Selbstbestimmung. Der Eingriff wird technisch und organisatorisch auf das notwendige Maß beschränkt, indem die Kamera nur den Eingangsbereich erfasst, die Aufnahmen nur für kurze Zeit gespeichert werden und der Zugriff nur für einen begrenzten Personenkreis möglich ist. Die betroffenen Personen werden durch Hinweisschilder auf die Videoüberwachung hingewiesen, und die Kamera ist offen sichtbar. Die Interessen des Verantwortlichen überwiegen somit die der betroffenen Personen.

Die Verarbeitung der personenbezogenen Daten in Form der Videoüberwachung des Eingangsbereichs erfolgt rechtmäßig auf Grundlage von Art. 6 Abs. 1 lit. f) DSGVO.