Leitlinien zum berechtigten Interesse Wackelt die beliebteste Rechtsgrundlage im Datenschutz?

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Insider Research

Liegt keine Einwilligung des Betroffenen vor, stützen viele Unternehmen ihre Datenverarbeitung auf das sogenannte „Berechtigte Interesse“. Doch man sollte nicht einfach davon ausgehen, dass das eigene Interesse aus Sicht des Datenschutzes auch berechtigt ist. Es gibt nun Leitlinien der Aufsichtsbehörden, wann man diese Rechtsgrundlage für die Verarbeitung wirklich wählen darf.

Die Einwilligung ist eine zentrale Rechtsgrundlage für die Verarbeitung personenbezogener Daten, erklären die deutschen Aufsichtsbehörden für den Datenschutz. Für die Erteilung von Einwilligungen ist ein aktives Verhalten der betroffenen Personen erforderlich. Zudem müssen Einwilligungen mehrere Kriterien erfüllen, die die Datenschutz-Grundverordnung vorgibt. So muss die Einwilligung zum Beispiel freiwillig und informiert erfolgen und nachweisbar sein.

Aus Sicht eines Unternehmens mag es nicht immer einfach erscheinen, eine wirklich rechtsgültige Einwilligung zu erhalten. Ein Beispiel: Wenn man über ein Cookie-Banner eine Einwilligung einholen möchte, dort aber nur die Zustimmung und Einstellmöglichkeiten, nicht aber auf erster Ebene die Möglichkeit zur Ablehnung vorsieht, ist die erhaltene Einwilligung nicht rechtswirksam.

Kritik an Datenschutz-Grundverordnung

Unternehmen beklagen Bürokratie durch DSGVO

Da erscheint es wie ein Königsweg, wenn man sich bei fehlender Einwilligung auf ein berechtigtes Interesse stützen kann. Für technisch nicht notwendige Cookies und andere Tracking-Verfahren geht dies schon einmal nicht, das haben die Datenschutzaufsichtsbehörden schon mehrfach klargemacht.

Wann aber kann man sich auf berechtigtes Interesse stützen? Wird dies womöglich zu häufig als Rechtsgrundlage genannt, ohne wirklich eine solche sein zu können? Dann könnten Sanktionen die Folge sein, wie ein Blick auf die verhängten Bußgelder in der EU zeigt, bei denen als Begründung häufig „Insufficient legal basis for data processing“ genannt wird.

Aufsichtsbehörden klären über „Berechtigtes Interesse“ auf

Unternehmen tun mehr als gut daran, die Rechtsgrundlagen für alle ihre Verarbeitungs­vorgänge / Verarbeitungstätigkeiten zu prüfen und zwar regelmäßig. So kann zum Beispiel die Gültigkeit einer Einwilligung abgelaufen sein, und es braucht eine neue Rechtsgrundlage, will man die Verarbeitung fortführen.

Es kann aber auch sein, dass man sich für eine Verarbeitung auf „Berechtigtes Interesse“ beruft, aber dies den Vorgaben gar nicht entspricht. Doch welche Vorgaben gibt es dazu?

Betroffenenrechte im EU-US-Data-Privacy-Framework

Wie sich Betroffene über Daten­trans­fers in die USA beschweren können

„Die Definition des 'berechtigten Interesses' ist schon seit Einführung der Datenschutz-Grundverordnung Anlass für Diskussionen“, erklärt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Louisa Specht-Riemenschneider. „Gerade für das Verhältnis zwischen Wirtschaft und Privatpersonen ist entscheidend, wann Daten auf dieser Grundlage verarbeitet werden dürfen“.

Deshalb sei es sehr gut, dass der Europäische Datenschutzausschuss seine Leitlinien zu diesem Thema vorgelegt hat. „Ich verspreche mir davon mehr Rechtssicherheit für die Bürgerinnen und Bürger, aber eben auch für die Unternehmen“, so die Bundesbeauftragte für den Datenschutz.

Was die Leitlinien zum „Berechtigten Interesse“ besagen

Im Fokus der Leitlinien stehen die Voraussetzungen, die Verantwortliche erfüllen müssen, wenn sie personenbezogene Daten zur Wahrung berechtigter Interessen verarbeiten möchten, wie die Bundesbeauftragte erklärt. In der Praxis ist diese Rechtsgrundlage sehr bedeutsam. Allerdings lässt der entsprechende Artikel der Datenschutz-Grundverordnung einen großen Interpretationsspielraum.

European Privacy Seal

Endlich Datenschutz nach DSGVO zertifizieren

Der Europäische Datenschutzausschuss will hier nun für mehr Klarheit und Einheitlichkeit sorgen. Die Leitlinien machen deutlich, dass eine Datenverarbeitung auf Basis des berechtigten Interesses nicht nur als „letzter Ausweg“ für Verarbeitungsvorhaben betrachtet werden sollte, für die andere Rechtsgrundlagen nicht greifen. Doch man soll es auch nicht übertreiben: So sollte die Rechtsgrundlage nicht übermäßig ausgedehnt werden, weil sie angeblich weniger einschränkend als andere Rechtsgrundlagen wäre, so Prof. Dr. Louisa Specht-Riemenschneider.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen sieht in der „Leitlinie zur auf Art. 6 (1) (f) gestützten Datenverarbeitung“ eine detaillierte Anleitung, wie die Abwägung zwischen dem berechtigten Interesse an einer Datenverarbeitung und den Rechten und Interessen der von der Verarbeitung betroffenen Personen durchgeführt werden sollte. Auf einige wichtige Anwendungsfelder wie das Direktmarketing, die Betrugsprävention oder die Verarbeitung von Kinderdaten wird in der Leitlinie besonders eingegangen.

So sieht das grundsätzliche Vorgehen aus

Der Europäische Datenschutzausschuss macht deutlich, dass ein Unternehmen (genauer der Verantwortliche) drei Bedingungen gemeinsam erfüllen muss, um sich auf ein berechtigtes Interesse berufen zu können: Legitimität des Interesses, Notwendigkeit und positive Abwägung gegenüber der Interessen, Grundrechte oder Freiheiten der Betroffenen.

Zunächst einmal können nur Interessen als legitim angesehen werden, die rechtmäßig, klar und präzise formuliert, real und gegenwärtig sind. Solche legitimen Interessen können beispielsweise vorliegen, wenn die Person Kunde oder im Dienst des für die Verarbeitung Verantwortlichen steht.

Datenschutz in der Praxis

Was sich bei betrieblichen Daten­schutz­beauftragten ändern muss

Zweitens kann die Verarbeitung als nicht erforderlich erachtet werden, wenn es angemessene, ebenso wirksame, aber weniger einschneidende Alternativen zur Erreichung der verfolgten Interessen gibt. Die Notwendigkeit einer Verarbeitung sollte auch anhand des Grundsatzes der Datenminimierung geprüft werden.

Drittens muss der Verantwortliche sicherstellen, dass sein berechtigtes Interesse nicht durch die Interessen, Grundrechte oder Freiheiten der betroffenen Person außer Kraft gesetzt wird. Bei dieser Abwägung muss der Verantwortliche die Interessen der Personen, die Auswirkungen der Verarbeitung und ihre berechtigten Erwartungen sowie das Vorhandensein zusätzlicher Schutzmaßnahmen berücksichtigen, die die Auswirkungen auf die Person begrenzen könnten.

Die neuen Leitlinien geben auch Beispiele für die Durchführung einer entsprechenden Prüfung, es lohnt sich also, das komplette Dokument zu lesen und dann auch umzusetzen. Man könnte auch sagen, es gibt berechtigtes Interesse an diesen neuen Leitlinien.

(ID:50263961)