Top Themen im Datenschutz:
Wie Sie die Interessenabwägung rechtssicher durchführen – und warum die meisten Unternehmen dabei einen entscheidenden Fehler machen, der sie früher oder später fachkundige Unterstützung kostet.
Art. 6 Abs. 1 lit. f DSGVO ist gleichzeitig die flexibelste und die riskanteste Rechtsgrundlage der Datenschutzgrundverordnung. Flexibel, weil sie kein spezifisches Lebensszenario voraussetzt. Riskant, weil sie eine strukturierte Abwägung verlangt – und diese im Ernstfall von Aufsichtsbehörden oder Gerichten vollständig nachvollzogen werden muss.
Wer das berechtigte Interesse als bequemen Auffangtatbestand behandelt, wird früher oder später ein Problem bekommen. Wer es methodisch angeht, bekommt ein wirksames Werkzeug.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie DSGVO definiert den Begriff nicht. Das ist Absicht: Der Gesetzgeber wollte Raum für eine einzelfallbezogene Bewertung lassen. Erwägungsgrund 47 nennt jedoch konkrete Beispiele – unter anderem die Direktwerbung, die Betrugsprävention und die Verarbeitung innerhalb von Unternehmensgruppen.
Ein berechtigtes Interesse im Sinne der Norm kann sein:
Entscheidend: Das Interesse muss real, aktuell und konkret sein. Ein abstraktes oder hypothetisches Interesse reicht nicht. Wer schreibt „wir haben ein berechtigtes Interesse an der Datenverarbeitung“, ohne dies weiter zu konkretisieren, hat die Rechtsgrundlage nicht erfüllt – sondern nur benannt.
Die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO folgt einem anerkannten dreistufigen Prüfungsschema, das sich aus der Systematik der Norm, der EuGH-Rechtsprechung und den Leitlinien europäischer Aufsichtsbehörden ergibt.
Stufe | Prüfgegenstand | Leitfragen |
|---|---|---|
Stufe 1 | Berechtigtes Interesse | Liegt ein konkretes, legitimes Interesse des Verantwortlichen oder eines Dritten vor? Ist es rechtlich anerkannt und aktuell? |
Stufe 2 | Erforderlichkeit | Ist die konkrete Datenverarbeitung geeignet, dieses Interesse zu erreichen? Gibt es ein milderes Mittel, das denselben Zweck erfüllt? |
Stufe 3 | Interessenabwägung | Überwiegen die Rechte und Freiheiten der Betroffenen das festgestellte Interesse? Welche Risiken und Erwartungshorizonte sind zu berücksichtigen? |
Die Prüfung ist nur dann abgeschlossen, wenn alle drei Stufen positiv absolviert wurden. Das heißt: Auch wenn ein starkes berechtigtes Interesse vorliegt und die Erforderlichkeit gegeben ist, kann die Abwägung in Stufe 3 gegen eine Zulässigkeit sprechen.
Der erste Fehler vieler Datenschutzdokumentationen liegt bereits hier: Das Interesse wird pauschal benannt, nicht konkretisiert. „Wir verarbeiten Daten aufgrund unseres berechtigten Interesses an der Direktwerbung“ ist keine ausreichende Beschreibung.
Das berechtigte Interesse muss so beschrieben werden, dass es im Streitfall überprüfbar ist. Konkrete Formulierungen lauten z. B.:
Auch Drittinteressen kommen in Betracht – etwa das Interesse eines Mutterunternehmens an konzernweiten Compliance-Strukturen oder das gesellschaftliche Interesse an der Verhinderung von Geldwäsche.
Stufe 2 prüft, ob die gewählte Verarbeitung tatsächlich notwendig ist, um das in Stufe 1 benannte Interesse zu erreichen. Es handelt sich um eine klassische Verhältnismäßigkeitsprüfung in zwei Schritten:
Ist die Datenverarbeitung grundsätzlich geeignet, den angestrebten Zweck zu erreichen? Bei der Videoüberwachung einer Werkseinfahrt zur Zutrittskontrolle: ja.
Gibt es ein milderes Mittel, das denselben Zweck mit geringerem Eingriff erfüllt? Hier liegt der eigentliche Prüfkern: Eine Dauerkameraüberwachung mit lückenloser Aufzeichnung ist intensiver als ein System, das nur dann live überträgt, wenn jemand klingelt. Ist letzteres ausreichend, um den Zweck zu erreichen, ist ersteres nicht erforderlich.
Praktische Konsequenz: Wer Kamerabilder 72 Stunden speichert, muss begründen können, warum 24 Stunden nicht ausreichen. Wer alle Mitarbeiter-E-Mails protokolliert, muss erklären, warum eine stichprobenartige Prüfung bei konkretem Verdacht nicht genügt.
Stufe 3 ist der Kern – und gleichzeitig die anspruchsvollste Prüfung. Hier werden die in Stufe 1 festgestellten Interessen des Verantwortlichen gegen die Rechte und Freiheiten der betroffenen Personen abgewogen.
Dabei sind nicht nur normativ garantierte Rechtspositionen relevant (etwa das Grundrecht auf informationelle Selbstbestimmung), sondern auch faktische Interessen wie die Privatsphäre im Pausenraum, das Recht auf unbeobachtetes Verhalten im nicht öffentlichen Raum oder der Schutz vor sozialer Kontrolle am Arbeitsplatz.
Die europäischen Aufsichtsbehörden haben Hilfskriterien entwickelt, die die Gewichtung der Interessen erleichtern:
Die Abwägung ist zu dokumentieren – nicht als Formalie, sondern weil nur eine dokumentierte Abwägung im Streitfall nachvollziehbar ist. Wer nicht dokumentiert, hat bei einer Prüfung durch die Aufsichtsbehörde keine belastbare Grundlage.
Der komplette DSGVO-Compliance-Guide kostenfrei als Download: Von der Bedarfsanalyse über die Implementierung bis zur Zertifizierung – mit Schritt-für-Schritt-Anleitung und Compliance-Checkliste.
Anhand der Videoüberwachung lässt sich das Prüfungsschema vollständig durchspielen.
Situation: Ein produzierendes Unternehmen mit mehreren Werkseingängen möchte die Zufahrten videoüberwachen.
Stufe 1: Das Interesse an der Zutrittskontrolle zum Schutz von Betriebsgeheimnissen, Sachwerten und Mitarbeitern ist konkret und legitim. Es ist anerkannt.
Stufe 2: Eine dauerhafte Videoaufzeichnung ist geeignet. Erforderlicher wäre jedoch ein System, das nur bei Klingeln live überträgt, ohne Aufzeichnung – sofern dies zur Zweckerreichung ausreicht.
Stufe 3: Die Abwägung fällt bei der Außenhautüberwachung außerhalb der Betriebszeiten in der Regel zugunsten des Unternehmens aus. Anders bei Bereichen, in denen Mitarbeiter ihre Pause verbringen oder in denen ein Rückzug ins Private vernünftigerweise erwartet wird – etwa Raucherbereich, Pausenhof oder Sanitärbereich.
Ergebnis: Zufahrtsüberwachung außerhalb der Öffnungszeiten ohne Aufzeichnung – überwiegend zulässig. Permanente Aufzeichnung des Hinterausgangs mit angrenzendem Raucherbereich – nicht zulässig.
Art. 5 Abs. 2 DSGVO verankert das Rechenschaftsprinzip. Wer sich auf Art. 6 Abs. 1 lit. f DSGVO stützt, muss nachweisen können, dass die Interessenabwägung stattgefunden hat – und zu welchem Ergebnis sie geführt hat.
Das bedeutet in der Praxis: Die Interessenabwägung gehört in das Verzeichnis der Verarbeitungstätigkeiten (VVT) – nicht nur als Rechtsgrundlage angekreuzt, sondern als ausformulierte Begründung. Viele VVT, die wir im Rahmen unserer Prüfungen sichten, haben hier erhebliche Lücken.
Darüber hinaus empfiehlt es sich, für besonders komplexe oder risikobehaftete Verarbeitungen ein separates Dokument zu erstellen, das die Prüfung der drei Stufen vollständig abbildet. Dieses Dokument ist kein bürokratisches Selbstzweck – es ist die Versicherung gegen Sanktionen.
Art. 6 Abs. 1 lit. f DSGVO ist kein Freifahrtschein. Es ist eine Rechtsgrundlage, die Methodenkenntnisse voraussetzt, individuelle Bewertung erfordert und vollständige Dokumentation verlangt. Weitere Orientierung bieten die Leitlinien des Europäischen Datenschutzausschusses (EDPB) zur Verarbeitung auf Basis berechtigter Interessen.
Wer die drei Stufen konsequent durchläuft, wer die Hilfskriterien kennt und wer das Ergebnis dokumentiert, hat eine belastbare Grundlage – auch im Streitfall. Wer das Berechtigte Interesse pauschal behauptet, sitzt auf rechtlich unsicherem Boden.
Bei Cortina Consult unterstützen wir Unternehmen bei der strukturierten Durchführung von Interessenabwägungen, der Optimierung des Verzeichnisses der Verarbeitungstätigkeiten und der revisionssicheren Dokumentation ihrer Rechtsgrundlagen. Orientierung zur Aufsichtspraxis bietet auch die Datenschutzkonferenz (DSK). Sprechen Sie uns an: Zur Datenschutzberatung.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen