Serie Rechtsgrundlagen: Die berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO

Sie lesen den siebten und damit vorletzten Artikel unserer Serie zu den Rechtsgrundlagen der DSGVO. Im Rahmen dieser Serie konnten Sie bisher die in der DSGVO festgelegten Regelungsgrundsätze sowie eine Reihe an Rechtsgrundlagen kennenlernen; die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO, die rechtliche Verpflichtung gemäß Art. 6 Abs. 1 lit. c DSGVO, die lebenswichtigen Interessen gemäß Art. 6 Abs. 1 lit. d sowie die Wahrnehmung öffentlicher Interessen gemäß Art. 6 Abs. 1 lit. e DSVGO.

Im Rahmen des vorliegenden Artikels beschäftigen wir uns mit einer der relevantesten Rechtgrundlagen, auf die in sehr vielen Anwendungsfällen zurückgegriffen wird. Es handelt sich dabei um die Legitimation einer Verarbeitung personenbezogener Daten aufgrund der berechtigten Interessen des Verantwortlichen gemäß Art. 6 Abs. 1 lit. f DSGVO.

Diese Norm wird in der Literatur auch als ein sogenannter Auffangstatbestand oder auch als Generalklausel bezeichnet, da viele Verarbeitungssituationen, die nicht durch speziellere Zulässigkeitstatbestände legitimiert werden (beispielsweise die der Art. 6 Abs. 1 lit. a bis e DSGVO) gegebenenfalls von Art. 6 Abs. 1 lit. f DSGVO abgedeckt sein könnten (vgl. Paal/Pauly/Frenzel, Art. 6 Rn. 26).

Was umfasst das berechtigte Interesse und wessen Interesse ist zu berücksichtigen?

Der Begriff „berechtigte Interessen“ wird in der Vorschrift selbst nicht näher bestimmt. Die Erwägungsgründe 47 bis 50 (ErwG) zur DSGVO zählen lediglich einige Beispiele für das Vorliegen eines berechtigten Interesses auf. Beispielhaft werden in den Erwägungsgründen folgende Interessen als legitim für eine Verarbeitung erachtet:

  • Bestehen einer maßgeblichen und angemessenen „Beziehung zwischen der betroffenen Person und dem Verantwortlichen“ (ErwG 47, S. 2),
  • „Verhinderung von Betrug“ sowie „Zwecke der Direktwerbung“ (ErwG 47, S. 6, 7),
  • Übermittlung von „Daten innerhalb einer Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten“ (ErwG 48, S. 1 – auch bekannt unter dem Begriff „kleines Konzernprivileg“),
  • Abwehr von Angriffen auf die Computer- und elektronische Kommunikationssysteme (ErwG 49),
  • Hinweise an die zuständige Behörde auf mögliche Straftaten oder Bedrohungen der öffentlichen Sicherheit und die Übermittlung der maßgeblichen personenbezogenen Daten, die im Zusammenhang mit derselben Straftat oder Bedrohung stehen und nicht einer rechtlichen, beruflichen oder sonstigen verbindlichen Pflicht zur Geheimhaltung unterliegen (ErwG 50, S. 9, 10).

Nach der Intention des Gesetzgebers dürfte der Begriff „berechtigtes Interesse“ damit weit zu verstehen sein und alle rechtlichen, wirtschaftlichen, tatsächlichen sowie ideellen Interessen umfassen (vgl. hierzu Schantz/Wolff, Das neue Datenschutzrecht, Rn. 643, 645 mit weiteren Nachweisen).

Art. 6 Abs. 1 lit. f DSGVO erachtet indessen nicht nur das berechtigte Interesse des Verantwortlichen, sondern auch ausdrücklich das berechtigte Interesse eines Dritten als ein für die Rechtfertigung einer Verarbeitung ausreichendes Interesse. Damit kann ein Verantwortlicher eine Verarbeitung beispielsweise durchführen, wenn die berechtigten Interessen seines Vertragspartners oder Kunden es erforderlich machen. Ein Beispiel hierfür wäre die Verarbeitung personenbezogener Daten durch einen Rückversicherer. Der Rückversicherer darf die personenbezogenen Daten, die im Rahmen des Vertragsverhältnisses verarbeitet werden, vom Erstversicherer erhalten und seinerseits selbst ebenfalls verarbeiten. Die Rechtsgrundlage der Verarbeitung für den Rückversicherer ist, dass der Erstversicherer (Dritter) ein berechtigtes Interesse daran hat, Risiken abzusichern und hierzu auf einen Rückversicherer zurückgreifen kann.

Zu beachten ist, dass Art. 6 Abs. 1 lit. f DSGVO gem. Art. 6 Abs. 1 Unterabsatz 2 DSGVO für Behörden in Erfüllung ihrer Aufgaben nicht anwendbar ist, so dass die Behörden ihre Verarbeitung nicht auf die Generalklausel des Art. 6 Abs. 1 lit. f DSGVO  stützen können, selbst wenn ein berechtigtes Interesse der Behörde als verantwortliche Stelle oder eines Dritten vorliegen würde.

Reicht das „berechtigte Interesse“ zur Verarbeitung aus?

Bedeutet das Vorliegen des berechtigten Interesses des Verantwortlichen oder eines Dritten, dass eine Verarbeitung ohne weiteres durchgeführt werden kann?

Nein, das bedeutet das nicht, denn gem. Art. 6 Abs. 1 lit. f DSGVO muss a) der Erforderlichkeitsgrundsatz beachtet und b) eine Abwägung des Interesses des Verantwortlichen bzw. eines Dritten hinsichtlich der Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person durchgeführt werden. Erst wenn die Erforderlichkeit der jeweiligen Verarbeitung bejaht und im Rahmen der durchgeführten und dokumentierten Abwägung festgestellt wird, dass die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, kann eine Verarbeitung auf Basis dieser Erlaubnisnorm als zulässig erachtet werden.

Beachtung des Erforderlichkeitsgrundsatzes

An die Erforderlichkeit sind im Rahmen des Art. 6 Abs. 1 lit. f DSGVO keine allzu hohen Anforderungen zu stellen. Die Erforderlichkeit wird hier nicht anders als in Art. 6 Abs. 1 lit. b DSGVO definiert. In diesem Zusammenhang kann daher auf die hierzu in unserem Beitrag zu Art. 6 Abs. 1 lit. b DSGVO bereits gemachten Ausführungen verwiesen werden. Kurz zusammengefasst kann gesagt werden, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere (mildere) Mittel erreicht werden kann. Das Ziel, personenbezogene Daten wirtschaftlich sinnvoll oder effizient verarbeiten zu wollen, kann durchaus eine Erforderlichkeit im Sinne der DSGVO darstellen.

Durchführung einer Interessenabwägung

Die Interessenabwägung erfolgt in drei Schritten.

Schritt 1: Im ersten Schritt werden die Interessen des Verantwortlichen oder eines Dritten festgestellt und gewichtet.

Schritt 2: Im zweiten Schritt müssen die Interessen und die Rechte der betroffenen Person festgestellt und gewichtet werden.

Schritt 3: Im dritten und letzten Schritt werden die Ergebnisse gegenübergestellt und es muss geprüft werden, welcher Seite mehr Gewicht zukommt.

Die Abwägung ist dabei nicht pauschal durchzuführen, sondern sie muss für jede Verarbeitungstätigkeit separat erfolgen. Eine Abwägung kann nämlich ergeben, dass beispielswiese die Erhebung, Anpassung und Speicherung der Daten zulässig, ihre Übermittlung jedoch verboten wäre (vgl. Schantz/Wolff, Das neue Datenschutzrecht, Rn. 649, 651).

Als Gewichtungskriterien wären neben der gesamten Rechtsordnung (beispielsweise die Grundrechtecharta, das europäische Primärrecht, das Grundgesetz sowie die einfachgesetzlichen Regelungen), insbesondere die verbindlichen Regelungen der Erwägungsgründe der DSGVO, in denen die berechtigten Interessen angesprochen werden (siehe oben) heranzuziehen. So spielen beispielsweise „die vernünftigen Erwartungen der betroffenen Personen“ gemäß ErwG 47 S. 1 bei der Abwägung eine sehr wichtige Rolle. An die vernünftige Erwartung ist dabei kein subjektiver, sondern ein objektivierter Maßstab anzulegen und es ist zu fragen, was ein vernünftiger Dritter an Erwartungen hätte, wenn dieser in der Position der betroffenen Person wäre. So kann man von einer entsprechenden vernünftigen Erwartungshaltung einer betroffenen Person in den Erhalt von Werbung ausgehen, wenn diese mit einem gewerblichen Leistungsanbieter in Kontakt tritt und der Verwendung der Daten zu Werbezwecken nicht gemäß Art. 21 Abs. 2 DSGVO widersprochen hat. Anders dürfte es jedoch sein, wenn ein Verantwortlicher die Daten eingekauft hat, so dass man hier ohne eine ausdrückliche Einwilligung in die entsprechende Datennutzung zu Werbezwecken nicht von einer dahingehenden vernünftigen Erwartungshaltung ausgehen kann. Im Zusammenhang mit Werbemaßnahmen sind ergänzend die wettbewerbsrechtlichen Bestimmungen des § 7 UWG zu beachten, die zahlreiche Restriktionen enthalten.

Zudem gibt es eine Reihe weiterer Umstände, die gegebenenfalls im Rahmen einer Interessenabwägung zu berücksichtigen wären. Hervorzuheben sind in diesem Zusammenhang vor allem folgende Fragen:

  • Stammen die Daten, die verarbeitet werden sollen, aus allgemein zugänglichen Quellen?
    Wenn ja, genießen diese Daten weniger Schutz, als das im Fall der nicht allgemein zugänglichen Daten der Fall wäre. Dies wird in Art. 9 Abs. 2 lit. e DSGVO durch den Gesetzgeber klargestellt.
  • Besteht die Gefahr, dass die betroffene Person diskriminiert wird?
    Wenn ja, dann dürfte das Interesse der betroffenen Person überwiegen.
  • Stammen die Daten aus der privaten, sozialen, intimen Sphäre der betroffenen Person? Soweit die Daten aus einer dieser Sphären stammen, wirkt das auf die Interessenabwägung ein und zwar eher zu Gunsten der betroffenen Person.
  • Wie alt bzw. wie erfahren ist die betroffene Person?
    Bei Kindern sind besonders strenge Maßstäbe anzulegen (vgl. Art. 6 Abs. 1 lit. f letzter Halbsatz).

Ausgewählte Praxisbeispiele

Nachfolgend werden einige Fälle aus der Praxis exemplarisch als Anwendungsfälle des Art. 6 Abs. 1 lit. f DSGVO aufgeführt:

  • Rechtsverfolgung und Inkassofälle:
    Ein Verantwortlicher kann zur Durchsetzung seiner Rechtsansprüche die Daten einer betroffenen Person, soweit dies erforderlich ist, verarbeiten oder auch an Dritte übermitteln, denn die betroffene Person hat durch ihr Verhalten die Verarbeitung veranlasst und musste mit einer solchen auch rechnen.
  • Pflege von Warnlisten:
    Soweit in einem Unternehmen bestimmte Kunden durch Diebstahl oder Sachbeschädigung aufgefallen sind, haben die Verantwortlichen regelmäßig ein berechtigtes Interesse daran, entsprechende Kunden in einer „schwarzen Liste“ zu führen, um Hausverbote durchsetzen zu können.
  • Videoüberwachung:
    Nachdem insbesondere § 4 Abs. 1 BDSG zum Teil für europarechtswidrig erklärt wurde, bietet Art. 6 Abs. 1 lit. f DSGVO eine mögliche Rechtsgrundlage für die Videoüberwachungsmaßnahmen.

Ergebnis:

Im Ergebnis kann festgehalten werden, dass der Auffangstatbestand des Art. 6 Abs. 1 lit. f DSGVO den Verantwortlichen zwar einen weiten Handlungsspielraum bietet. Dabei darf jedoch nicht vergessen werden, dass ein berechtigtes Interesse des Verantwortlichen allein nicht ausreichend ist, sondern dass stets eine umfassende Interessenabwägung stattfinden muss. Diese Abwägung ist zu dokumentieren, damit im Fall einer behördlichen Prüfung nachgewiesen werden kann, dass die Datenverarbeitung rechtmäßig erfolgt ist (siehe auch Art. 5 Abs. 2 DSGVO). Für die Durchführung der Interessenabwägung ist der Verantwortliche zuständig und er trägt das entsprechende Risiko eines Bewertungs- und Abwägungsirrtums. Verarbeitungen auf Basis des berechtigten Interesses durchzuführen, ist also stets risikobehaftet.

Sie sind sich unsicher bei der Bestimmung und Angabe der richtigen Rechtsgrundlage? Sprechen Sie uns an, wir helfen Ihnen gerne!

 

Dieser Artikel ist Teil unserer Reihe zu den Rechtsgrundlagen. Die weiteren Artikel finden Sie hier: