Berechtigtes Interesse

Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist eine der sechs Rechtsgrundlagen, auf die eine Verarbeitung personenbezogener Daten gestützt werden kann. Sie greift, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und diese Interessen nicht durch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwogen werden. Anders als die Einwilligung verlangt das berechtigte Interesse keine aktive Zustimmung, setzt aber eine sorgfältige und dokumentierte Abwägung voraus. Berechtigt kann jedes rechtliche, wirtschaftliche oder ideelle Interesse sein, sofern es nicht missbilligt wird.

Kern der Rechtsgrundlage ist die dreistufige Interessenabwägung. Zunächst ist das berechtigte Interesse konkret zu benennen, etwa Direktwerbung, Betrugsprävention, Netzwerk- und Informationssicherheit oder die Geltendmachung von Rechtsansprüchen. Im zweiten Schritt wird die Erforderlichkeit geprüft: Die Verarbeitung darf nicht über das hinausgehen, was zur Erreichung des Zwecks notwendig ist, und es darf kein milderes, gleich wirksames Mittel geben. Im dritten Schritt erfolgt die eigentliche Abwägung gegen die schutzwürdigen Interessen, Grundrechte und Grundfreiheiten der betroffenen Person, wobei deren vernünftige Erwartungen, die Art der Daten und mögliche Folgen der Verarbeitung zu berücksichtigen sind.

Erwägungsgrund 47 der DSGVO konkretisiert, dass die vernünftigen Erwartungen der betroffenen Person zum Zeitpunkt und im Kontext der Erhebung maßgeblich sind, und nennt Direktwerbung ausdrücklich als ein potenziell berechtigtes Interesse. Wichtig ist, dass sich Behörden bei der Erfüllung ihrer Aufgaben nicht auf das berechtigte Interesse stützen können (Art. 6 Abs. 1 UAbs. 2 DSGVO). Wird die Verarbeitung auf das berechtigte Interesse gestützt, steht der betroffenen Person zudem ein Widerspruchsrecht nach Art. 21 DSGVO zu. Die Abwägung sollte schriftlich dokumentiert werden (Legitimate Interest Assessment), um der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu genügen.