Berechtigtes Interesse

Ein berechtigtes Interesse ist keine allgemeine Erlaubnis, personenbezogene Daten zu verwenden. Es kann beim Verantwortlichen oder bei einem Dritten liegen und muss einem konkreten, rechtlich anerkennenswerten Zweck dienen. Für eine Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO sind drei Fragen zu beantworten: Besteht ein berechtigtes Interesse, ist die Verarbeitung dafür erforderlich und überwiegen die Interessen oder Grundrechte der betroffenen Person? Diese Prüfung wird häufig als Interessenabwägung bezeichnet.

Bei der Abwägung zählen insbesondere der Zusammenhang der Verarbeitung, das Verhältnis zum Unternehmen, die vernünftigen Erwartungen der betroffenen Person und mögliche Schutzmaßnahmen. Ein berechtigtes Interesse kann etwa bei IT-Sicherheit, Betrugsprävention oder einer begrenzten geschäftlichen Kommunikation eine Rolle spielen. Es rechtfertigt aber nicht automatisch jeden Datenumfang, jede Speicherdauer oder jedes Tracking. Für besondere Kategorien personenbezogener Daten ist zusätzlich eine passende Ausnahme nach Art. 9 DSGVO erforderlich.

Unternehmen sollten den Zweck, die betroffenen Daten, die Erforderlichkeit, die Erwartungen der betroffenen Personen, die entgegenstehenden Risiken und die Schutzmaßnahmen vor Beginn der Verarbeitung dokumentieren. Ändert sich der Zweck oder der technische Ablauf, muss die Abwägung erneut geprüft werden. Öffentliche Stellen können sich bei der Erfüllung ihrer Aufgaben grundsätzlich nicht auf diese Rechtsgrundlage stützen. Für die organisatorische Einordnung hilft der Bereich Compliance und Datenschutz-Governance; bei Cookies und Tracking ist der konkrete Verarbeitungszweck gesondert zu prüfen.