Berechtigtes Interesse nach DSGVO: die 3 Prüfschritte

Das berechtigte Interesse ist die Rechtsgrundlage, auf die sich viele Unternehmen im Marketing und im Vertrieb stützen. Sie wirkt bequem, weil kein Banner und keine Unterschrift nötig sind. Sie ist aber auch die Grundlage mit der meisten eigenen Arbeit: Sie müssen selbst prüfen, selbst abwägen und das Ergebnis belegen können. Dieser Artikel erklärt die Regel, die drei Prüfschritte und die typischen Stolpersteine.

Was die Regel sagt

Art. 6 Abs. 1 Buchstabe f DSGVO erlaubt eine Verarbeitung personenbezogener Daten, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“ ist. Das gilt nur, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen, die den Schutz ihrer Daten erfordern. Behörden können sich bei ihren Aufgaben nicht darauf berufen. Den Wortlaut finden Sie in der DSGVO auf EUR-Lex.

Die Grundlage ist eine von sechs gleichrangigen. Sie hat keinen Vorrang vor der Einwilligung und ist kein Auffangnetz, wenn die Einwilligung fehlt. Wo das Gesetz für einen Vorgang eine Einwilligung verlangt, kann lit. f diese nicht ersetzen. Das gilt vor allem für den Zugriff auf das Endgerät, dazu mehr in Einwilligung oder berechtigtes Interesse: so entscheiden Sie.

Die drei Prüfschritte

Der Europäische Gerichtshof prüft die Regel in drei Stufen, die alle erfüllt sein müssen. Er hat das unter anderem im Urteil vom 4. Oktober 2024 so formuliert (EuGH, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Stufe 1: das Interesse. Es muss rechtmäßig, klar benannt und tatsächlich vorhanden sein. Der EuGH hat im genannten Urteil klargestellt, dass auch ein wirtschaftliches Interesse ein berechtigtes Interesse sein kann, solange es nicht gegen das Recht verstößt. Erwägungsgrund 47 nennt die Direktwerbung ausdrücklich als mögliches berechtigtes Interesse.

Stufe 2: die Erforderlichkeit. Hier fragen Sie, ob es ein milderes Mittel gibt. Wenn Sie ein Ziel mit weniger Daten erreichen, müssen Sie weniger Daten nehmen. Wenn Ihnen die Firma genügt, brauchen Sie keine Person. Das ist der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO.

Stufe 3: die Abwägung. Sie stellen Ihr Interesse den Interessen der Betroffenen gegenüber. Maßstab sind laut Erwägungsgrund 47 die vernünftigen Erwartungen der Betroffenen, die sich aus ihrer Beziehung zu Ihnen ergeben. Wer Kunde ist, rechnet mit einem Newsletter zu ähnlichen Produkten. Wer nur einmal eine Seite besucht hat, rechnet nicht mit einem Dossier. Je sensibler die Daten und je tiefer der Eingriff, desto eher fällt die Abwägung gegen Sie aus.

Beispiele aus Marketing und Vertrieb

Die folgenden Fälle zeigen die Spannweite. Ob sie im Einzelfall tragen, hängt von den Umständen ab. Die Einordnung ist keine Zusage.

• Postwerbung an Bestandskunden. Gilt häufig als vertretbar, weil Kunden damit rechnen. Das Wettbewerbsrecht muss zusätzlich passen.
• Betrugsabwehr und IT-Sicherheit. Erwägungsgrund 47 nennt die Verhinderung von Betrug als berechtigtes Interesse. Protokolle zur Abwehr von Angriffen stützen Unternehmen oft darauf.
• Firmenzuordnung auf der Website. Wer nur den Netzinhaber einer IP-Adresse nachschlägt, verarbeitet wenig und hat ein klares Ziel. Ob eine IP-Adresse im konkreten Fall personenbezogen ist, erklärt IP-Adresse und DSGVO: ist sie personenbezogen?.
• Profile über Einzelpersonen aus gekauften Daten. Hier wird die Abwägung schwer, weil Betroffene nicht damit rechnen.

Für die Ansprache nach einem Websitebesuch kommt zur DSGVO das Wettbewerbsrecht hinzu. Was dort je Land gilt, steht in Kaltakquise im B2B: was in DE, AT und CH erlaubt ist.

Dokumentation: Die Beweislast liegt bei Ihnen

Nach Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung der Grundsätze nachweisen können. Für lit. f heißt das in der Praxis:

1. Benennen Sie das Interesse in einem Satz.
2. Halten Sie fest, warum es nicht mit weniger Daten geht.
3. Schreiben Sie die Abwägung mit den wichtigsten Argumenten auf, mit Datum und Verantwortlichem.
4. Nehmen Sie die Verarbeitung in Ihr Verzeichnis nach Art. 30 DSGVO auf, soweit es Pflicht ist.
5. Nennen Sie das berechtigte Interesse in der Datenschutzerklärung. Art. 13 Abs. 1 lit. d DSGVO verlangt bei dieser Grundlage die Angabe der Interessen.
6. Prüfen Sie die Abwägung erneut, wenn sich Zweck, Daten oder Technik ändern.

Widerspruch nach Art. 21

Wer sich auf lit. f stützt, muss ein Widerspruchsrecht einräumen. Es gibt zwei Fälle (Art. 21 DSGVO):

• Allgemeiner Widerspruch (Abs. 1). Die Person kann aus Gründen ihrer besonderen Situation widersprechen. Sie müssen die Verarbeitung dann beenden, es sei denn, Sie weisen zwingende schutzwürdige Gründe nach, die überwiegen.
• Widerspruch gegen Direktwerbung (Abs. 2 und 3). Hier braucht es keine Begründung. Nach einem Widerspruch dürfen die Daten nicht mehr für Werbung verarbeitet werden.

Nach Abs. 4 müssen Sie spätestens bei der ersten Kommunikation ausdrücklich auf dieses Recht hinweisen, verständlich und getrennt von anderen Informationen.

Häufige Fragen

Brauche ich bei berechtigtem Interesse keine Information der Betroffenen? Doch. Die Informationspflichten nach Art. 13 und 14 DSGVO gelten auch dann. Bei dieser Grundlage kommt hinzu, dass Sie die berechtigten Interessen nennen müssen.

Reicht das berechtigte Interesse für Cookies und Tracking-Skripte? Für den Zugriff auf das Endgerät meist nicht. Dort gilt in Deutschland § 25 TDDDG und in Österreich § 165 Abs. 3 TKG 2021, beide verlangen grundsätzlich eine Einwilligung. Die DSGVO-Grundlage betrifft erst die anschließende Verarbeitung. Mehr dazu in § 25 TDDDG: Cookies und Tracking in Deutschland.

Muss ich die Abwägung schriftlich festhalten? Eine feste Form schreibt die DSGVO nicht vor. Wegen der Nachweispflicht in Art. 5 Abs. 2 ist eine schriftliche Dokumentation aber der sichere Weg.