Berechtigte Interessen des Verantwortlichen oder Interessen Dritter können die Verarbeitung legitimieren, wenn die Interessen, Grundrechte oder Grundfreiheiten der Betroffenen nicht überwiegen.

Artikel 6 Absatz 1 Satz 1 Buchstabe f) DSGVO

die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Dieser Erlaubnistatbestand wird in der Literatur auch als ein sogenannter Auffangtatbestand oder auch als Generalklausel bezeichnet, da viele Verarbeitungssituationen, die nicht durch speziellere Zulässigkeitstatbestände legitimiert werden gegebenenfalls von Artikel 6 Absatz 1 Buchstabe f) DSGVO abgedeckt sein könnten.

Wichtig für das Verständnis ist, dass es nicht (nur) darauf ankommt, dass der Datenverarbeiter ein berechtigtes Interesse hat. Maßgeblich ist, dass das Interesse des Betroffenen nicht höher ist als das Interesse des Datenverarbeiters: Der Datenverarbeiter will die Daten verwerten, der Betroffene möchte das ggf. nicht.

Der Datenverarbeiter, der sich auf das berechtigte Interesse berufen möchte, muss eine Abwägung der beiden Interessen durchführen, sie dokumentieren und sie (in aller Kürze) dem Betroffenen auch kommunizieren (Stichwort: »Informationspflichten« bzw. »Datenschutzerklärung«).

Aus dem Erlaubnistatbestand folgen drei Voraussetzungen, die vorliegen müssen, damit die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f) DSGVO bzw. ein „berechtigtes Interesse“ gestützt werden kann.

  • Der für die Verarbeitung personenbezogener Daten Verantwortliche oder ein Dritter hat ein berechtigtes Interesse an der Datenverarbeitung
  • Die Verarbeitung ist zur Wahrung des berechtigten Interesses erforderlich
  • Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen nicht

Berechtigtes Interesse

Die DSGVO enthält keine Regelung, was genau ein »berechtigtes Interesse« des Verantwortlichen oder eines Dritten ist. Es handelt sich um einen unbestimmten Rechtsbegriff, dessen Bedeutung durch Auslegung zu ermitteln ist. Der Begriff »Interesse« ist sehr weit gefasst und umfasst grundsätzlich jedes rechtliche, tatsächliche oder wirtschaftliche Interesse. Lediglich der Zusatz »berechtigt« gibt eine Einschränkung, die aber durchaus naheliegend ist. Es sollen eben nur die Interessen von der DSGVO privilegiert werden, die ihr nicht entgegenlaufen. Damit können nur solche Interessen, die einem strafrechtlichen oder sonstigen Verbot unterliegen, nicht berechtigt i.S.d Artikel 6 Absatz 1 Satz 1 Buchstabe f) DSGVO sein. Kurz gesagt: Was nicht verboten ist, taugt als berechtigtes Interesse.

In den Erwägungsgründen 47 bis 49 zur DSGVO sind einige Beispiele genannt. Ein berechtigtes Interesse kann vorliegen, wenn »eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht«. Bei der Verarbeitung personenbezogener Daten zur Verhinderung von Betrug zum Zwecke der Direktwerbung kann ebenfalls ein berechtigtes Interesse vorliegen. Darüber hinaus kann die Übermittlung zwischen Teilen von Unternehmensgruppen oder Gruppen von Einrichtungen für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigen ein berechtigtes Interesse darstellen.

Erforderlichkeit

Weiterhin muss die Datenverarbeitung als solche auch erforderlich sein. Das ist dann der Fall, wenn die Datenverarbeitung die einzige Möglichkeit ist, wie der Verantwortliche zur Erfüllung seines Interesses kommen kann. Es darf kein alternatives oder milderes aber gleich effektives Mittel geben. Deswegen muss die Verarbeitung auch in jedem Fall auf das notwendige Maß beschränkt werden.

Überwiegen

Zu beachten ist, dass die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person die berechtigten Interessen des Verantwortlichen oder des Dritten nicht überwiegen dürfen. Dies wird häufig im wahrsten Sinne des Wortes »verkehrt« dargestellt, indem verlangt wird, dass die Interessen des Verantwortlichen oder Dritten überwiegen müssen. Das ist aber nach dem eindeutigen Wortlaut der Vorschrift aber eben gar nicht verlang. D.h.: Bei gleichwertigen Interessen dürfen die Daten verarbeitet werden.

Die Abwägung ist im konkreten Einzelfall vorzunehmen und es ist zu berücksichtigen, wie gut der Verantwortliche die Datenverarbeitungsprozesse gegen Missbrauch schützt und welche technisch-organisatorischen Maßnahmen er zur Datensicherheit ergriffen hat.

Ein entscheidendes Kriterium ist zudem, ob die betroffene Person im Zeitpunkt der Datenerhebung »vernünftigerweise« mit der Datenverarbeitung rechnen muss.