Interessensabwägung gemäß DSGVO – so dokumentieren Sie das berechtigte Interesse

Kurze Antwort: Eine Interessenabwägung gemäß DSGVO Artikel 6 Abs. 1 lit. f kann herangezogen werden, wenn ein berechtigtes Interesse vorliegt, die Verarbeitung zur Wahrung dieses Interesses erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Die Beurteilung sollte vor Beginn der Verarbeitung dokumentiert werden.

Was ist eine Interessenabwägung?

Die Interessenabwägung ist eine der Rechtsgrundlagen der DSGVO. Sie wird häufig in privaten Unternehmen verwendet, wenn eine Verarbeitung nicht zweckmäßigerweise auf einen Vertrag, eine rechtliche Verpflichtung oder eine Einwilligung gestützt werden kann. Es handelt sich jedoch nicht um eine allgemeine Auffanggrundlage. Das Unternehmen muss darlegen können, warum genau diese Verarbeitung den Test besteht.

Der Drei-Stufen-Test bei einer Interessenabwägung (LIA)

1. Besteht ein berechtigtes Interesse?

Beschreiben Sie das konkrete Interesse und wer dieses verfolgt. Es kann sich beispielsweise um die Betrugsprävention, die Gewährleistung der Netz- und Informationssicherheit oder die Durchführung bestimmter Direktwerbung handeln.

2. Ist die Verarbeitung erforderlich?

Fragen Sie, ob der Zweck auf eine Weise erreicht werden kann, die weniger stark in die Privatsphäre eingreift. Wenn dasselbe Ergebnis mit weniger Daten, kürzerer Speicherung oder anonymisierten Informationen erreicht werden kann, sollte dies berücksichtigt werden.

3. Wessen Interessen wiegen schwerer?

Beurteilen Sie die Art der Daten, das Verhältnis zur betroffenen Person, vernünftige Erwartungen, den Umfang, Schutzmaßnahmen und mögliche Konsequenzen. Kinder und andere schutzbedürftige Gruppen erfordern besondere Vorsicht.

Was sollte die Dokumentation enthalten?

• Zweck und Beschreibung des berechtigten Interesses
• welche personenbezogenen Daten und betroffenen Personen betroffen sind
• Erforderlichkeitsprüfung und mögliche Alternativen
• Abwägung zwischen den Interessen des Unternehmens und der betroffenen Person
• Schutzmaßnahmen, Speicherdauer und Zugriffsbeschränkungen
• Informationen zum Widerspruchsrecht und zum Umgang mit Widersprüchen
• Entscheidung, Verantwortlicher und Datum der Überprüfung

Direktwerbung und Widerspruch

Direktwerbung wird oft im Zusammenhang mit berechtigten Interessen genannt, was jedoch nicht bedeutet, dass jegliche Werbung automatisch zulässig ist. Auch andere Vorschriften können relevant sein, und wenn eine Person der Verarbeitung zu Zwecken der Direktwerbung widerspricht, muss diese Verarbeitung eingestellt werden.

Wann reicht eine Interessenabwägung nicht aus?

Eine Interessenabwägung ersetzt keine Datenschutz-Folgenabschätzung (DSFA), wenn die Verarbeitung voraussichtlich zu einem hohen Risiko führt. Sie ersetzt auch nicht die Anforderungen an Transparenz, Datenminimierung, Speicherbegrenzung, Sicherheit und andere DSGVO-Grundsätze.

Häufige Fehler

• das Interesse zu abstrakt zu beschreiben, z. B. nur als „geschäftlicher Nutzen“
• die Erforderlichkeitsprüfung zu überspringen
• anzunehmen, dass eine Kundenbeziehung automatisch bedeutet, dass die betroffene Person die Verarbeitung erwarten muss
• Schutzmaßnahmen nicht zu dokumentieren
• eine alte Beurteilung bei Veränderungen der Verarbeitung nie zu überprüfen

Siehe das Vorlagenpaket für Interessenabwägungen / LIA im Vorlagenshop.

FAQ

Ist eine Einwilligung immer besser als eine Interessenabwägung?

Nein. Die Rechtsgrundlage ist auf Basis der tatsächlichen Verarbeitung zu wählen. Eine Einwilligung unterliegt besonderen Anforderungen und muss unter anderem freiwillig erfolgen und widerrufbar sein.

Können Behörden Artikel 6 Abs. 1 lit. f nutzen?

Nicht, wenn die Behörde personenbezogene Daten zur Erfüllung ihrer Aufgaben verarbeitet. Für private Akteure kann Artikel 6 Abs. 1 lit. f hingegen relevant sein, wenn die Voraussetzungen erfüllt sind.

Wie oft sollte eine Interessenabwägung überprüft werden?

Es gibt keinen einfachen universellen Zeitrahmen. Wenn sich Zweck, Datenmenge, Technik, Empfänger oder das Risikobild ändern, sollte die Beurteilung erneut geprüft werden.

Offizielle Leitlinien: Die Datenschutzbehörde (IMY) und der Europäische Datenschutzausschuss bieten Leitlinien zu Artikel 6 Abs. 1 lit. f und den drei Kriterien der Interessenabwägung.

Der Artikel enthält allgemeine Informationen und ersetzt keine Rechtsberatung.