TL;DR für den DSB
Das berechtigte Interesse ist die Rechtsgrundlage, die Verantwortliche wählen, wenn sie keine Einwilligung und nichts Besseres haben. Es ist zugleich die einzige, die verlangt, vor der Nutzung eine Begründung aufzuschreiben. Existiert diese Begründung nicht auf Papier, dann gibt es vor einer Aufsichtsbehörde schlicht keine Rechtsgrundlage.
Was der Gerichtshof entschieden hat
In der am 4. Oktober 2024 entschiedenen Rechtssache C-621/22 hatte der niederländische Tennisverband die Daten seiner Mitglieder zu Marketingzwecken an zwei Sponsoren weitergegeben. Die dem Gerichtshof gestellte Frage war knapp: kann ein rein wirtschaftliches Interesse als berechtigtes Interesse im Sinne von Artikel 6 Absatz 1 Buchstabe f gelten? Die Antwort lautete ja, sofern das Interesse nicht rechtswidrig ist. Das ist der Teil des Urteils, der die Fachtagungen umrundet hat.
Der Teil, den fast niemand gelesen hat
Anzuerkennen, dass das Interesse berechtigt ist, heißt, die erste von drei Voraussetzungen genommen zu haben. Zwei bleiben, und dort entscheidet sich alles: die Verarbeitung muss für dieses Interesse erforderlich sein - es darf also kein milderes Mittel geben, um dasselbe Ergebnis zu erreichen - und das Interesse des Verantwortlichen darf nicht von den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person überwogen werden. Die Abwägung hat der Gerichtshof dem nationalen Gericht überlassen, aber er hat deutlich auf das Kriterium mit dem größten Gewicht hingewiesen: die vernünftigen Erwartungen desjenigen, der die Daten gegeben hat.
Das Kriterium, an dem die meisten Fälle scheitern
Wer einem Sportverband beitritt, erwartet, dass seine Daten der Verwaltung der Mitgliedschaft dienen. Er erwartet keine Werbeangebote eines Unternehmens, zu dem er keinerlei Beziehung hat. Sobald die Verarbeitung den Rahmen dessen verlässt, was die betroffene Person zum Zeitpunkt der Erhebung vernünftigerweise erwarten konnte, neigt sich die Waage - und keine Menge wirtschaftlichen Interesses richtet sie wieder auf.
Warum das Ihre Mandanten betrifft, auch wenn sie keine Adressen verkaufen
Das berechtigte Interesse trägt Verarbeitungen, die niemand für heikel hält: Videoüberwachung im Betrieb, Betrugsprävention, IT-Sicherheit, Forderungseinzug, Mitteilungen an Bestandskunden. In all diesen Fällen ist die Rechtsgrundlage wahrscheinlich richtig gewählt, und in fast allen fehlt das Dokument, das es belegt. Der Unterschied zwischen beiden Lagen zeigt sich erst, wenn ein Auskunftsersuchen oder eine Beschwerde eintrifft.
Was die Abwägung enthalten muss
Es braucht kein langes Dokument: es braucht ein Dokument, das drei Fragen beantwortet und ein Datum trägt. Die Leitlinien 1/2024 des EDSA zum berechtigten Interesse folgen derselben dreistufigen Struktur und sind der Maßstab, an dem eine Behörde Ihre Arbeit messen wird.
- Welches Interesse der Verantwortliche verfolgt, konkret beschrieben und nicht als Formel: nicht 'wirtschaftliche Zwecke', sondern 'Kunden, die in den letzten vierundzwanzig Monaten gekauft haben, für eine Verlängerung erneut ansprechen'.
- Warum die Verarbeitung für dieses Interesse erforderlich ist und welche mildere Alternative geprüft und verworfen wurde: das ist der Schritt, den fast niemand festhält, und genau der zeigt, dass eine Entscheidung getroffen wurde.
- Was die betroffene Person zum Zeitpunkt der Erhebung vernünftigerweise erwarten konnte und welche Garantien die Auswirkungen auf sie mindern: klare Information, kurze Speicherfristen, einfach auszuübender Widerspruch.
Zwei Pflichten, die der Wahl folgen und vergessen werden
Die erste ist Artikel 13 Absatz 1 Buchstabe d: stützt man sich auf das berechtigte Interesse, muss die Information angeben, WELCHES Interesse gemeint ist. 'Berechtigtes Interesse des Verantwortlichen' zu schreiben und dort aufzuhören erfüllt die Pflicht nicht, und der Verstoß lässt sich allein durch Lesen der Website feststellen. Die zweite ist Artikel 21: das berechtigte Interesse ist die einzige Rechtsgrundlage, die mit einem Widerspruchsrecht einhergeht, und bei Direktwerbung ist dieser Widerspruch absolut - ohne Abwägung und ohne Ausnahme.
Die Probe aufs Exempel
Bitten Sie den Mandanten, Ihnen für eine auf das berechtigte Interesse gestützte Verarbeitung das Dokument zu zeigen, in dem die drei Voraussetzungen geprüft wurden. Fehlt es, ist das keine Formalie für ruhigere Zeiten: es ist das Einzige, was im Beschwerdefall eine überlegte Entscheidung von einer per Ausschlussverfahren gewählten Rechtsgrundlage unterscheidet.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
