Die Allgemeine DatenschutzverordnungDSGVO nennt sechs Rechtsgrundlagen für die Erhebung und Verarbeitung personenbezogener Daten, darunter auch das berechtigte Interesse.
Im Folgenden beschreibe ich, was ein berechtigtes Interesse im Sinne der DSGVO ist, wie es funktioniert und wann es anzuwenden ist, und gebe Beispiele, damit Ihr Unternehmen diese rechtliche Anforderung besser versteht.
- Was ist ein berechtigtes Interesse unter DSGVO?
- Wie man berechtigte Interessen gemäß der DSGVO angibt
- Durchführung einer DSGVO Bewertung des berechtigten Interesses (LIA)
- Beispiele für berechtigte Interessen von Unternehmen
- Trifft die Verarbeitung auf der Grundlage des DSGVO berechtigten Interesses auf Sie zu?
- DSGVO Zustimmung vs. berechtigtes Interesse
- Zusammenfassung
Was ist ein berechtigtes Interesse unter DSGVO?
Nach der DSGVO ist das berechtigte Interesse eine der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Sie erscheint in Artikel 6, Rechtmäßigkeit der Verarbeitung, und besagt Folgendes:
"Die Verarbeitung ist notwendig für Zwecke des berechtigten InteressesInteressens die von dem für die Verarbeitung Verantwortlichen oder einem Dritten verfolgt werden , es sei denn, diese Interessen überwiegen durch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person die den Schutz personenbezogener Daten erfordern, insbesondere wenn es sich bei der betroffenen Person um ein Kind handelt".
Das bedeutet, dass Ihr Unternehmen personenbezogene Daten ohne ausdrückliche Zustimmung der Verbraucher nur dann verarbeiten darf, wenn Sie einen echten und rechtfertigenden Grund haben und keine andere Rechtsgrundlage für die betreffende Verarbeitungstätigkeit herangezogen werden kann.
Er bezieht sich wörtlich auf jedes Interesse, das einer oder mehreren an der Datenverarbeitung beteiligten Parteien zugute kommt, und kann persönlich, kommerziell oder sogar gesellschaftlich sein.
Beispielsweise können Unternehmen Daten verarbeiten, um Betrug oder Identitätsdiebstahl zu verhindern oder um sicherzustellen, dass ein Sicherheitssystem ordnungsgemäß funktioniert.
Die Verarbeitung darf jedoch nicht gegen die Datenschutzrechte der Verbraucher verstoßen.
Ziel ist es, den Unternehmen die Verarbeitung von Daten in einer Weise zu ermöglichen, die eine Person vernünftigerweise erwarten kann, und dabei die Rechte der betroffenen Person abzuwägen und zu respektieren, was einfach klingt.
Nach meiner Erfahrung als Datenschutzbeauftragter ist dies jedoch eine der komplexeren Rechtsgrundlagen, da die Beweislast beim Unternehmen liegt.
Wenn eine Aufsichtsbehörde die Begründung für unzureichend hält, könnte sie Sie auffordern, die Verarbeitung einzustellen, oder sie riskiert Geldstrafen wegen Nichteinhaltung der Vorschriften.
Was ist kein berechtigtes Interesse im Sinne von DSGVO?
Artikel 6 der DSGVO besagt, dass die Datenverarbeitung als berechtigtes Interesse angesehen werden kann,
"...sofern nicht die Interessen oder Grundrechte und -freiheiten der betroffenen Person überwiegen Rechte und Freiheiten der betroffenen Person überwiegen."
Das bedeutet, dass die Verarbeitung nicht als berechtigtes Interesse angesehen werden kann, wenn sie die Rechte und Freiheiten der Personen, zu denen die personenbezogenen Daten gehören, beeinträchtigt.
Da diese Definition so weit gefasst und auslegungsbedürftig ist, wird es für Unternehmen schwieriger, ein berechtigtes Interesse rechtlich nachzuweisen.
Wie man berechtigte Interessen gemäß der DSGVO angibt
Um rechtmäßig berechtigte Interessen als Rechtsgrundlage für die Datenverarbeitung anzugeben, müssen Sie die Verbraucher in Ihrer DSGVO Datenschutzerklärung informieren und klar beschreiben, worin diese Interessen bestehen.
Sie müssen Ihre berechtigten Interessen und die Art und Weise, wie Ihre Datenverarbeitungsaktivitäten den Nutzern dienen, so genau wie möglich darlegen, da die Aufsichtsbehörden Ihre Argumentation sonst als Verstoß gegen das Gesetz betrachten könnten.
Durchführung einer DSGVO Bewertung des berechtigten Interesses (LIA)
Um festzustellen, inwieweit berechtigte Interessen auf Ihre Datenerhebungspraktiken zutreffen könnten, führe ich Sie durch die Schritte zur Durchführung einer DSGVO der berechtigten Interessen.
Eine DSGVO des berechtigten Interesses oder LIA ist ein dreiteiliger Test, der feststellt, ob ein berechtigtes Interesse auf eine bestimmte Datenverarbeitungssituation zutrifft, wie vom britischen Information Commissioner's Office (ICO) empfohlen.
Sie enthält Folgendes:
- Die Zweckprüfung bewertet, ob Sie mit Ihrer Datenverarbeitung berechtigte Interessen verfolgen.
- Die Erforderlichkeitsprüfung zeigt, dass die Datenverarbeitung notwendig ist, um den angegebenen Zweck zu erreichen.
- Die Abwägungsprüfung zeigt, dass ein solches berechtigtes Interesse nicht gegen die Rechte oder Interessen der betroffenen Personen verstößt.
Zweck Prüfung
Mit der Zweckprüfung soll festgestellt werden, ob Sie ein berechtigtes Interesse an der Verarbeitung von Daten haben.
Ermitteln Sie zunächst den Zweck Ihrer Datenverarbeitung und prüfen Sie, ob es sich um ein berechtigtes Interesse handelt, indem Sie sich die folgenden Fragen stellen:
- Warum wollen Sie die Daten der Nutzer verarbeiten?
- Wer profitiert von der Datenverarbeitung, und auf welche Weise?
- Was würde passieren, wenn Sie die Datenverarbeitung nicht durchführen würden?
- Halten Sie sich an andere einschlägige Datenschutzgesetze und Branchenstandards?
- Gibt es mögliche ethische Probleme bei der Verarbeitung?
- Beeinträchtigt die Verarbeitung irgendwelche Nutzerrechte?
- Erwartet die betroffene Person eine solche Verarbeitung?
- Dient die Verarbeitung einer wichtigen oder nützlichen Funktion für die Gesellschaft (z. B. Betrugsbekämpfung, Sicherheit, Forschung usw.)?
- Würde eine betroffene Person die Verarbeitung als angemessen und verhältnismäßig betrachten?
Ein Unternehmen, das Finanzbetrug verhindert, könnte zum Beispiel behaupten, es wolle die Kaufdaten der Nutzer verarbeiten, um möglichen Betrug zu erkennen; dies kommt dem Verbraucher zugute und kann unter Einhaltung der Datenschutzgesetze erfolgen, ohne dass dadurch irgendwelche Rechte beeinträchtigt werden.
Achten Sie darauf, dass Sie Ihre Antworten im Auge behalten, denn das erleichtert Ihnen das Ausfüllen Ihres Datenschutzhinweises (eine wesentliche Anforderung der DSGVO) und den Nachweis, dass Ihr berechtigtes Interesse rechtlich einwandfrei ist, sollte es jemals zu einer Datenschutzprüfung kommen.
Erforderlichkeitsprüfung
Mit der Erforderlichkeitsprüfung soll festgestellt werden, ob die Datenverarbeitung wirklich ein wesentlicher, unvermeidbarer Bestandteil zur Erreichung des angestrebten rechtmäßigen Zwecks ist.
Um dies herauszufinden, ist es hilfreich, die folgenden Fragen zu beantworten und sie, wie beim Purpose Test, zu notieren:
- Wird die Datenverarbeitung tatsächlich dazu beitragen, dass Sie Ihren erklärten Zweck erreichen?
- Steht der Umfang der Datenverarbeitung in einem angemessenen Verhältnis zu Ihrem angegebenen Zweck?
- Gibt es weniger einschneidende Alternativen, um Ihr Ziel zu erreichen?
- Könnte dasselbe Ziel auch ohne die Verarbeitung personenbezogener Daten oder durch die Verarbeitung von weniger Daten erreicht werden?
- Steht der Umfang der Datenverarbeitung in einem angemessenen Verhältnis zum beabsichtigten Nutzen?
- Gibt es Sicherheitsvorkehrungen, die die Notwendigkeit bestimmter Arten der Verarbeitung verringern könnten?
- Handelt es sich bei der Verarbeitung um sensible Daten (Daten einer besonderen Kategorie) oder um die Daten von Kindern? Wenn ja, gibt es einen zwingenden Grund für die Verarbeitung?
Wenn Sie beispielsweise Plattformen von Drittanbietern wie Google Analytics verwenden, um den Datenverkehr und das Engagement zu verfolgen, können Sie denselben analytischen Zweck erreichen, indem Sie aggregierte Daten und nicht die Daten einzelner Nutzer sammeln.
In diesem Fall wäre die Verarbeitung nicht erforderlich, so dass Sie sich nicht auf ein berechtigtes Interesse als Rechtsgrundlage berufen sollten.
Auswuchtungstest
Bei der Abwägungsprüfung schließlich wird geprüft, ob die Interessen und Grundrechte der Verbraucher Vorrang vor den berechtigten Interessen Ihres Unternehmens haben.
Um dies herauszufinden, beantworten Sie bitte die folgenden Fragen:
- Verarbeiten Sie irgendeine Art von sensiblen personenbezogenen Daten?
- Verarbeiten Sie die Daten von Kindern oder Minderjährigen?
- Würden die Nutzer vernünftigerweise erwarten, dass Sie ihre Daten für die von Ihnen angegebenen Zwecke verwenden?
- Welche Auswirkungen hat Ihre Datenverarbeitung auf den Einzelnen?
- Besteht bei der Verarbeitung die Gefahr, dass Personen geschädigt, belästigt oder diskriminiert werden?
- Ist es wahrscheinlich, dass die betroffenen Personen gegen die Verarbeitung Einspruch erheben, und wenn ja, warum?
- Haben Sie ausreichende Sicherheitsvorkehrungen getroffen, um die Rechte und Freiheiten der betroffenen Personen zu schützen? (z. B. Anonymisierung, Pseudonymisierung, Verschlüsselung, Opt-outs, Transparenzmaßnahmen usw.)
- Können die betroffenen Personen ihre Rechte (z. B. Widerspruchsrecht, Recht auf Löschung, Recht auf Auskunft) problemlos wahrnehmen?
- Würde eine vernünftige Person die Datenverarbeitung in Anbetracht ihrer potenziellen Auswirkungen für gerechtfertigt halten?
Um das Gleichgewicht zu Ihren Gunsten zu beeinflussen und ein berechtigtes Interesse für Ihre Datenverarbeitungsaktivitäten geltend zu machen, sollten Sie geeignete Sicherheitsmaßnahmen zum Schutz der personenbezogenen Daten der Nutzer ergreifen und Ihre Datenerfassungspraktiken transparent gestalten.
Es ist eine bewährte Praxis, diese LIA nach Bedarf durchzuführen, damit Sie nachweisen können, dass Ihre berechtigten Interessen gemäß der DSGVO gültig sind.
Beispiele für berechtigte Interessen von Unternehmen
Gemäß den Erwägungsgründen 47 und 48 der DSGVO gibt es einige Situationen, in denen ein berechtigtes Interesse geltend gemacht werden kann, z. B:
- Betrugsaufdeckung und Verbrechensbekämpfung
- Netz- und Informationssicherheit
- Verarbeitung von Mitarbeiter- oder Kundendaten innerhalb einer Unternehmensgruppe
- Direktmarketing
Damit Sie diese Fälle besser verstehen, habe ich im Folgenden einige Beispiele zusammengestellt.
Betrugsaufdeckung und Verbrechensbekämpfung
Die Datenverarbeitung zum Zwecke der Betrugsaufdeckung und der Verbrechensverhütung besteht in der Regel die Zweckprüfung, so dass die Erforderlichkeits- und Abwägungsprüfung im Einzelfall zu prüfen ist.
In diesem Fall müssen Sie in Ihrer Datenschutzrichtlinie erläutern, wie die Verarbeitung der Nutzerdaten direkt zur Aufdeckung und Verhinderung von Betrug beiträgt.
Netz- und Informationssicherheit
Gemäß der Einführung von Erwägungsgrund 49 der DSGVO ist ein überwiegendes berechtigtes Interesse:
" die Verarbeitung personenbezogener Daten, soweit dies unbedingt erforderlich und verhältnismäßig ist für die Gewährleistung der Netz- und Informationssicherheit."
Da alle Unternehmer die Sicherheit ihrer Plattformen sorgfältig überwachen und aufrechterhalten müssen, könnte die Verarbeitung personenbezogener Daten auf der Grundlage berechtigter Interessen für die Untersuchung von Datenschutzverletzungen oder zur Verhinderung des unbefugten Zugriffs auf ein Netzwerk erforderlich sein.
In Erwägungsgrund 49 werden auch die Fälle direkt erwähnt, in denen die Verbreitung von bösartigem Code verhindert und verteilte Denial-of-Service-Angriffe (DDoS) gestoppt werden sollen.
Verarbeitung von Mitarbeiter- und Kundendaten
Das berechtigte Interesse an der Verarbeitung von Mitarbeiter- und Kundendaten wird in Erwägungsgrund 48 behandelt, der besagt, dass:
"Solche berechtigten Interessen können beispielsweise vorliegen, wenn eine relevante und angemessene Beziehung zwischen Beziehung zwischen der betroffenen Person und dem für die Verarbeitung Verantwortlichen in Situationen ..."
Zu den Fällen, in denen ein berechtigtes Interesse an der Verarbeitung von Mitarbeiter- und Kundendaten besteht, gehören:
- Hintergrundkontrollen
- Notfallmanagement
- Aufzeichnungen von Kundendienstgesprächen zum Zwecke des Qualitätsmanagements
Eine konforme Datenschutzpolitik würde in diesem Fall die entsprechende Rechtsgrundlage für jeden angegebenen Zweck der Datenverarbeitung enthalten, wie z. B. die ordnungsgemäße Kommunikation mit Bewerbern und die Sicherstellung der Einstellung des geeigneten Mitarbeiters.
Das berechtigte Interesse gilt auch für die Verarbeitung von Kundendaten, die für die Erbringung Ihrer Unternehmensdienstleistungen - von der Unternehmensberatung bis zur Modellierung von Anlageportfolios - erforderlich sein kann.
Berechtigte Interessen beim Direktmarketing
Gemäß einem Teil des Erwägungsgrunds 47 der DSGVO,
"...die Verarbeitung personenbezogener Daten für Direktmarketingzwecken kann als aus einem berechtigten Interesse heraus erfolgt angesehen werden."
E-Mail-Marketing und B2B-Marketing können rechtlich zulässige Gründe für die Datenverarbeitung sein, sofern diese Aktivitäten auf einem berechtigten Interesse oder einer Einwilligung beruhen, insbesondere wenn Sie bereits eine Geschäftsbeziehung mit den betroffenen Personen unterhalten.
Sie müssen jedoch die nationalen Rechtsvorschriften in den Ländern, in denen Sie tätig werden wollen, prüfen, da diese Vorschriften aufgrund zusätzlicher, auf nationaler Ebene durchgeführter Maßnahmen unterschiedlich sein können.
Wenn dies auf Ihr Unternehmen zutrifft, muss dies in Ihrer Datenschutzrichtlinie klar dargelegt werden, zusammen mit einer Beschreibung der Rechte der betroffenen Personen in Bezug auf Direktmarketing gemäß der DSGVO.
Genauer gesagt haben die betroffenen Personen das Recht, sich von der Direktwerbung abzumelden, und Ihr Unternehmen muss diesem Wunsch nachkommen, sonst riskieren Sie eine Strafe wegen Verstoßes gegen das Gesetz.
Überwachung der Mitarbeiter
Nach der DSGVO ist es auch möglich, dass die Überwachung von Mitarbeitern in ganz bestimmten Situationen, in denen ein Gleichgewicht zwischen den geschäftlichen Erfordernissen und den Datenschutzrechten des Mitarbeiters gewahrt wird, als berechtigtes Interesse anerkannt wird.
So könnte ein Arbeitgeber beispielsweise aus folgenden Gründen auf Mitarbeiterdaten zugreifen müssen:
- Schutz des Unternehmensvermögens
- Instandhaltung und Instandsetzung des Betriebs
- Sicherstellung der Einhaltung von Unternehmens- und Rechtsgrundsätzen
- Verhinderung von Sicherheitsverstößen
- Schutz des geistigen Eigentums
All diese Informationen sollten in eine Datenschutzrichtlinie einfließen, die den Mitarbeitern vorgelegt werden muss.
Forderungseinzug
Auch der Forderungseinzug kann als berechtigtes Interesse im Sinne der DSGVO gelten, wenn das Unternehmen nachweisen kann, dass die Datenverarbeitung unerlässlich ist und nicht gegen die Datenschutzrechte einer Person verstößt.
Ein Unternehmen kann jedoch Forderungen eintreiben und personenbezogene Daten zur Erleichterung dieses Prozesses verwenden, wenn es nachweisen kann, dass die Verarbeitung ausgewogen und notwendig ist.
Sie muss auch in Ihrem DSGVO Datenschutzhinweis klar offengelegt und erläutert werden.
Trifft die Verarbeitung auf der Grundlage des DSGVO berechtigten Interesses auf Sie zu?
Es ist wichtig, dass Sie eine Rechtsgrundlage für Ihre Datenverarbeitung wählen, die rechtmäßig, anwendbar und beweisbar ist, und die Beweislast liegt allein bei Ihrem Unternehmen.
Damit Sie feststellen können, ob die Datenverarbeitung auf der Grundlage der DSGVO auf Sie zutrifft, habe ich zwei Fragen für Sie zusammengestellt.
Ist das berechtigte Interesse die geeignetste Grundlage für Ihre Datenverarbeitungstätigkeit?
Wenn Sie sich auf ein berechtigtes Interesse im Sinne der DSGVO berufen, müssen Sie nachweisen können, dass es keine anderen, besser geeigneten Rechtsgrundlagen für Ihre Datenverarbeitungstätigkeiten gibt.
Seien Sie hier besonders vorsichtig, denn die Geldbußen für Verstöße gegen die DSGVO können bis zu 4 % Ihres Bruttojahresumsatzes oder 20 Millionen Euro (21 Millionen US-Dollar) betragen, je nachdem, welcher Betrag höher ist.
Werden die Daten in einer Weise verarbeitet, die den berechtigten Erwartungen der Nutzer entspricht?
Wichtig ist auch, dass Ihr Unternehmen nachweisen kann, dass die Datenverarbeitung in einer Weise erfolgt, die den berechtigten Erwartungen der Nutzer entspricht.
Nach der DSGVO haben die betroffenen Personen das Recht, die Kontrolle über ihre personenbezogenen Daten und deren Verwendung zu haben.
Das bedeutet, dass die Verarbeitung von Daten auf eine Art und Weise, die die Nutzer nicht erwarten, gegen die DSGVO verstoßen könnte, auch wenn Sie die Rechte der Nutzer an ihren Daten nicht ausdrücklich klarstellen.
Sie müssen in Ihrer Datenschutzerklärung eine klare Sprache verwenden und komplizierten Fachjargon oder juristische Formulierungen vermeiden, damit die Nutzer verstehen, wie Sie ihre Daten verarbeiten.
DSGVO Zustimmung vs. berechtigtes Interesse
Nach der DSGVO können Sie personenbezogene Daten ohne Einwilligung der Nutzer verarbeiten, wenn dies auf einer der anderen zuvor genannten Rechtsgrundlagen beruht.
Die Datenverarbeitung auf der Grundlage einer Einwilligung ist jedoch viel einfacher zu beweisen, da Sie die Zustimmung der betroffenen Person einholen müssen - Sie müssen nicht die Notwendigkeit der Verarbeitung feststellen.
Wenn Sie personenbezogene Daten auf der Grundlage einer Einwilligung verarbeiten, müssen Sie den Nutzern auch Opt-out-Optionen anbieten, damit sie ihre Einwilligung leicht widerrufen können, wie es die DSGVO vorschreibt.
Sie können Ressourcen wie eine consent management platform (CMP) nutzen, um Ihre Zustimmung einzuholen.
Mit Lösungen für die Einwilligung können Sie auch leichter nachweisen, dass Sie die rechtmäßige Einwilligung der betroffenen Personen eingeholt haben und ihnen die Möglichkeit geben, ihre Meinung jederzeit zu ändern.
Wenn Sie Daten verarbeiten und sich nicht sicher sind, ob Ihre Zwecke den Erforderlichkeitsstandards für legitime Interessen entsprechen, ist die Einholung der Zustimmung die sicherste Option für die Einhaltung von DSGVO .
Zusammenfassung
Nach der DSGVO ist die Verarbeitung von Daten auf der Grundlage eines berechtigten Interesses ein komplexer Prozess.
Ihr Unternehmen sollte eine DSGVO des berechtigten Interesses durchführen, um festzustellen, ob Ihre Zwecke und die Verarbeitung notwendig, ausgewogen und gesetzeskonform sind.
Da diese Rechtsgrundlage jedoch unterschiedlich ausgelegt wird und die Beweislast bei Ihrem Unternehmen liegt, müssen Sie sicherstellen, dass Sie sicher sind, wenn Sie in Ihrem Datenschutzhinweis ein berechtigtes Interesse anführen.
Mehr über die Autorin
Geschrieben von Teodor Stanciu, CIPP/E, CIPM
Teo ist ein Datenschutzspezialist und erfahrener Datenschutzbeauftragter (DSB), der Unternehmen bei der Erfüllung ihrer Datenschutzverpflichtungen mit Leidenschaft unterstützt. Er verfügt über mehr als sieben Jahre Erfahrung als Datenschutzbeauftragter für eine internationale Organisation, die in 50 Ländern tätig ist und ihren Sitz in Brüssel, Belgien, hat. Teo ist ein Certified Information Privacy Professional/Europe (CIPP/E) und Certified Information Privacy Manager (CIPM) der International Association of Privacy Professionals (IAPP).
Mehr über die Autorin
