Berechtigte Interessen nach der DSGVO: wann Sie sich darauf stützen können und wie Sie sie dokumentieren

Artikel 6 Abs. 1 lit. f erlaubt eine Verarbeitung, die zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Der dreistufige Test

• Zweck: Liegt ein berechtigtes Interesse vor? Es muss rechtmäßig, klar formuliert und tatsächlich gegeben sein, etwa Betrugsprävention, Netzsicherheit oder Direktwerbung gegenüber Bestandskunden.
• Erforderlichkeit: Ist die Verarbeitung für diesen Zweck erforderlich, oder ließe er sich mit weniger Daten oder auf weniger eingreifende Weise erreichen?
• Abwägung: Überwiegen die Interessen, Rechte und vernünftigen Erwartungen der betroffenen Person Ihre eigenen? Berücksichtigen Sie die Art der Daten, wie die Person die Verwendung ihrer Daten erwarten würde und welche Schutzmaßnahmen Sie anwenden.

Schriftlich festhalten

Der Grundsatz der Rechenschaftspflicht der DSGVO (Art. 5 Abs. 2) bedeutet, dass Sie nachweisen können müssen, dass Sie den Test durchgeführt haben. Eine kurze Interessenabwägung pro Tätigkeit genügt: das Interesse, warum die Verarbeitung erforderlich ist, die Abwägung und die Schutzmaßnahmen.

Personen informieren und Widerspruch ermöglichen

Ihr Datenschutzhinweis muss die berechtigten Interessen nennen, auf die Sie sich stützen (Art. 13 Abs. 1 lit. d). Betroffene Personen haben ein Widerspruchsrecht; bei Direktwerbung ist der Widerspruch absolut, und die Verarbeitung muss eingestellt werden (Art. 21 Abs. 2 und 3).

Wann es nicht passt

Unsere DSGVO-Bewertung fragt, welche Tätigkeiten auf berechtigten Interessen beruhen, und erstellt für jede eine vorausgefüllte Vorlage für die Interessenabwägung.

• Behörden können sich bei der Erfüllung ihrer Aufgaben nicht darauf stützen.
• Cookies und ähnliche Tracking-Technologien für Analyse- oder Werbezwecke erfordern nach den ePrivacy-Vorschriften in der Regel eine Einwilligung, unabhängig von der Rechtsgrundlage nach DSGVO.
• Besondere Kategorien von Daten erfordern zusätzlich zu einer Rechtsgrundlage eine Bedingung nach Artikel 9.