Möchte man personenbezogene Daten verarbeiten, kommt man nicht umhin, sich mit der dafür erforderlichen Rechtsgrundlage zu beschäftigen. Gerne wird als Rechtsgrundlage das berechtigte Interesse gem. Art. 6 Abs. 1 lit. f) DSGVO herangezogen. Dieses darf allerdings nicht als letzter Ausweg verstanden werden, der dann eingeschlagen wird, wenn alle anderen Rechtsgrundlagen für die konkrete Datenverarbeitung nicht einschlägig sind. Vielmehr müssen besondere Voraussetzungen erfüllt sein, damit eine Datenverarbeitung „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“ ist. Konkret geht es dabei um eine umfassende Interessenabwägung, welche im nachfolgenden Beitrag erläutert wird.
Sollte eine Datenverarbeitung auf Grundlage des berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f) DSGVO geplant sein, bedarf es einer umfassenden Interessenabwägung. – Mareike Jockers
Umfassende Interessenabwägung
Der EuGH hat eine dreistufige Prüfung herausgearbeitet, die zur Verwendung des berechtigten Interesses als Rechtsgrundlage für die Datenverarbeitung durchgeführt werden muss. Zunächst ist zu ermitteln, ob ein berechtigtes Interesse der datenverarbeitenden Stelle oder eines Dritten vorliegt. In einem zweiten Schritt wird die Erforderlichkeit der Datenverarbeitung geprüft. Schließlich erfolgt eine Interessenabwägung zwischen den Interessen der verantwortlichen Stelle und den Interessen der betroffenen Person. Die Durchführung dieser drei Schritte wurde vom Europäischen Datenschutzausschuss (EDSA) in seinen Leitlinien 01/2024 konkretisiert.
Schritt 1: Vorliegen eines rechtmäßigen Interesses des Verantwortlichen oder eines Dritten
Berechtigt können alle möglichen Interessen sein, welche mit den Tätigkeiten der verantwortlichen Stelle zusammenhängen und rechtmäßig sind. Voraussetzung für die Rechtmäßigkeit ist nicht, dass das Interesse explizit gesetzlich geregelt ist, sondern dass es nicht gegen EU-Recht oder das Recht des Mitgliedstaates verstößt. Zudem muss das Interesse im Zeitpunkt der Datenverarbeitung tatsächlich vorliegen. Die Interessen dürfen also nicht rein hypothetisch oder nur in Zukunft möglich sein. Schließlich ist für ein legitimes Interesse erforderlich, dass dessen Umfang eindeutig festgelegt sowie klar und präzise formuliert ist.
Beispiele für ein berechtigtes Interesse können etwa sein: Schutz des Eigentums, Schutz der Gesundheit und des Lebens
der Miteigentümer eines Gebäudes, die Produktverbesserung und die Gewährleistung des Online-Zugangs zu Informationen von allgemeinem Interesse.
Schritt 2: Erforderlichkeit der Verarbeitung
Sofern im erste Prüfungsschritt ein legitimes Interesse festgestellt wurde, wird anschließend die Erforderlichkeit der Datenverarbeitung geprüft. Hierbei geht es darum, festzustellen, ob die konkrete Verarbeitung für die Erreichung des berechtigten Interesses tatsächlich notwendig ist. Die verantwortliche Stelle muss sich fragen, ob das festgestellte legitime Interesse ebenso wirksam mit Mitteln erreicht werden kann, welche die Grundrechte und –freiheiten der betroffenen Person weniger stark einschränken. Kann dies mit „Ja“ beantwortet werden, gilt die Verarbeitung als nicht erforderlich für die „Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten“. In diesem Zusammenhang ist auch darauf zu achten, dass nur die Daten verarbeitet werden, welche für die Erreichung der Zwecke, für die sie erhoben wurden, tatsächlich notwendig sind.
Schritt 3: Interessenabwägung
Ist die Datenverarbeitung zur Erreichung des berechtigten Interesses erforderlich, gilt es im letzten Schritt eine Interessenabwägung vorzunehmen. Dabei werden die Interessen der verarbeitenden Stelle den Interessen, Grundrechten und –freiheiten der betroffenen Person gegenübergestellt und gegeneinander abgewogen. Die Verarbeitung ist nur dann zulässig, soweit die Position des Betroffenen nach den konkreten Umständen nicht überwiegt. Der EDSA empfiehlt, die Durchführung der Interessenabwägung in mehrere Stufen zu unterteilen:
- Identifizierung der Interessen, Grundrechte und Grundfreiheiten der betroffenen Person
Zu den Grundrechten und –freiheiten der betroffenen Person gehören bspw. das Recht auf Privatsphäre, das Recht auf Freiheit und Sicherheit, die Versammlungsfreiheit und das Diskriminierungsverbot. Mögliche Interessen der betroffenen Person können finanzieller, sozialer oder persönlicher Art sein. Alle denkbaren Grundrechte und –freiheiten sowie Interessen der Betroffenen müssen bei der Interessenabwägung berücksichtigt werden, da diese durch die Verarbeitung personenbezogener Daten beeinträchtigt werden könnten.
- Bewertung der Auswirkungen der Datenverarbeitung für die betroffene Person
Wurde Stufe 1 erfolgreich durchgeführt, geht es auf der nächsten Stufe darum festzustellen, welche Auswirkungen die Datenverarbeitung für die betroffene Person haben kann. Dabei sind sowohl negative als auch positive sowie tatsächliche und potenzielle Auswirkungen zu berücksichtigen. Zur Bewertung der Auswirkungen sind die Art der personenbezogenen Daten, der Kontext, in dem die Datenverarbeitung erfolgt sowie weitere mögliche Folgen der Verarbeitung einzubeziehen.
- Berücksichtigung der vernünftigen Erwartungen der betroffenen Person
Erwägungsgrund 47 der DSGVO sieht vor, dass auch die vernünftigen Erwartungen der betroffenen Person bei der Interessenabwägung berücksichtigt werden müssen. Die verantwortliche Stelle muss sich fragen, ob die betroffenen Person vernünftiger Weise mit der Verarbeitung ihrer personenbezogenen Daten rechnen kann. Dabei sind bspw. die Beziehung zwischen dem Verantwortlichen und der betroffenen Person, der Kontext, in dem die Datenerhebung stattfindet und die Merkmale der „durchschnittlichen“ betroffenen Person (bspw. Alter und berufliche Stellung) relevante Faktoren.
- Gewichtung der Interessen der Beteiligten
Auf der letzten Stufe ist schließlich zu beurteilen, wessen Interessen überwiegen. Überwiegen die angestrebten Interessen der verantwortlichen Stelle kann die geplante Datenverarbeitung durchgeführt werden. Wiegen die Interessen, Freiheiten und Rechte der betroffenen Person schwerer, kann die Verarbeitung ihrer personenbezogenen Daten nicht wie geplant erfolgen. Die Position des Verantwortlichen kann in diesem Fall gestärkt werden, indem Maßnahmen ergriffen werden, welche die Auswirkungen der Datenverarbeitung auf die betroffene Person mildern. Diese mildernden Maßnahmen müssen über die einzuhaltenden Pflichten der DSGVO hinausgehen. Werden mildernde Maßnahmen vorgenommen, sollte Schritt drei erneut durchgeführt werden, um zu beurteilen, wessen Interessen überwiegen.
Wurden alle drei Schritte zur Durchführung der Interessenabwägung eingehalten und ergibt sich daraus ein überwiegendes berechtigtes Interesse der verantwortlichen Stelle, kann die Verarbeitung personenbezogener Daten auf die Grundlage des berechtigten Interesses gestützt werden.
Fazit
Sollte eine Datenverarbeitung auf Grundlage des berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f) DSGVO geplant sein, bedarf es einer umfassenden Interessenabwägung. Bei der Interessenabwägung sollte immer mach den erläuterten drei Schritte vorgegangen werden. Dabei sind stets die konkreten Umstände des Einzelfalls zu berücksichtigen. Die durchgeführte Interessenabwägung ist sorgfältig zu dokumentieren, um sie auf Anfrage der Aufsichtsbehörde bzw. der betroffenen Person vorzulegen. Außerdem dient die Dokumentation als Nachweis zur Erfüllung der datenschutzrechtlichen Rechenschaftspflichten. Der Erlaubnistatbestand des berechtigten Interesses kann also keineswegs als unkomplizierte Hintertür für die Rechtmäßigkeit einer Datenverarbeitung verstanden werden, sondern erfordert immer eine sorgfältige und dokumentierte Abwägung der Interessen der beteiligten Personen.
Was Sie noch interessieren könnte:
Löschkonzept nach DSGVO: Warum Daten wegkönnen, ja sogar müssen!
Einleitung: Digitale „Aufheberitis“ in Unternehmen Wir alle kennen diesen einen Kollegen, der E‑Mails aus dem Jahr 2005 aufbewahrt, “weil […]
Das Berechtigte Interesse – Worauf bei der Heranziehung als Rechtsgrundlage für die Datenverarbeitung zu achten ist
Möchte man personenbezogene Daten verarbeiten, kommt man nicht umhin, sich mit der dafür erforderlichen Rechtsgrundlage zu beschäftigen. Gerne wird […]
Neues Jahr – neue Themen…
Ein neues Jahr bringt auch eine neue Datenschutz-Agenda mit sich – Zeit um sich diejenigen Themen anzusehen, die das […]
Autorin des Artikels: