DSGVO: Was jetzt beim Interesse zählt

Mehr Klarheit für die Marketingpraxis: Die neuen EDSA-Leitlinien zum berechtigten Interesse helfen Unternehmen, DSGVO-konform zu kommunizieren. 

Für Marketingverantwortliche ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO eine zentrale Rechtsgrundlage bei der Verarbeitung personenbezogener Daten. Gerade im Direktmarketing bietet es häufig die Basis für legitime Datenverarbeitungsvorgänge – doch es ist auch ein juristisch anspruchsvoller Bereich mit hohem Streitpotenzial. Der Europäische Datenschutzausschuss (EDSA) hat nun neue Leitlinien veröffentlicht, die die Anforderungen an das berechtigte Interesse konkretisieren. Für Unternehmen bringt das mehr Orientierung.
Berechtigtes Interesse: Keine pauschale Rechtfertigung
Das berechtigte Interesse ist eine flexible, aber nicht grenzenlose Erlaubnisnorm. Der EDSA stellt in seinen Leitlinien klar, dass Art. 6 Abs. 1 lit. f) DSGVO nicht als pauschale Rechtfertigung für jede beliebige Verarbeitung herangezogen werden darf – insbesondere nicht, wenn andere Rechtsgrundlagen unpassend erscheinen oder zu aufwendig sind.
Verantwortliche dürfen das berechtigte Interesse weder als „letzten Ausweg“ verwenden noch als bequeme Alternative zu Einwilligungen oder vertraglichen Grundlagen einsetzen. Stattdessen ist eine präzise Prüfung der Voraussetzungen erforderlich.
Drei Voraussetzungen für eine rechtmäßige Datenverarbeitung
Eine Datenverarbeitung auf Grundlage berechtigter Interessen ist nur dann zulässig, wenn alle drei folgenden Kriterien kumulativ erfüllt sind:

1. Ein berechtigtes Interesse des Verantwortlichen oder eines Dritten muss vorliegen.
2. Die Verarbeitung muss erforderlich zur Verfolgung dieses Interesses sein (Erforderlichkeitstest).
3. Die Interessen oder Grundrechte und -freiheiten der betroffenen Person dürfen nicht überwiegen (Interessenabwägung).

Besonders relevant ist die dritte Voraussetzung: Die Interessenabwägung ist zwingend und muss vor Beginn jedes einzelnen Verarbeitungsvorgangs durchgeführt und dokumentiert werden (siehe unten). 
Doch schauen wir uns das Schritt für Schritt an: 

1. Was gilt als berechtigtes Interesse – und was nicht?
Zahlreiche Interessen können grundsätzlich legitim sein – aber nur, wenn sie drei Bedingungen erfüllen:

• Sie müssen rechtmäßig sein,
• konkret und präzise formuliert,
• tatsächlich bestehen und aktuell relevant sein.

Hypothetische oder vage formulierte Interessen reichen nicht aus. Das zeigt sich an folgenden Beispielen, die laut EDSA nicht als berechtigte Interessen gelten:

• Werbung für E-Zigaretten per E-Mail, da dies gegen die EU-Tabakproduktrichtlinie verstößt.
• Videoüberwachung durch eine Nachbarschaftswache, wenn kein konkreter Anlass oder Sicherheitsproblem vorliegt.
• Datenbank mit ehemaligen Abonnenten, wenn eine künftige Nutzung hypothetisch bleibt.
Der EDSA führt auch Szenarien an, in denen berechtigte Interessen anerkannt werden, etwa:
• Geltendmachung rechtlicher Ansprüche, z. B. zur Vorbereitung einer Klage.
• Transparenz und Rechenschaftspflicht, etwa durch Offenlegung von Management-Gehältern.
• Abwägung individueller Interessen mit einem öffentlichen Interesse, z. B. bei Zusammenarbeit mit Strafverfolgungsbehörden.
Entscheidend bleibt, dass die Interessen spezifisch, rechtmäßig und begründet sind. 
In Bezug auf das Marketing muss hier also genau bewertet werden, wann welche berechtigten Interessen vorliegen – und dass diese nicht durch andere Rechtsvorschriften negiert werden. 

2. Der Erforderlichkeitstest: Gibt es eine mildere Alternative?
Die Datenverarbeitung muss unmittelbar erforderlich sein, um das berechtigte Interesse zu verfolgen. Sie darf nicht bloß vorteilhaft oder nützlich sein. Wenn es alternative Maßnahmen gibt, die weniger stark in den Datenschutz eingreifen, sind diese vorzuziehen.
Zudem ist der Grundsatz der Datenminimierung zu beachten: Es dürfen nur solche Daten erhoben werden, die für den konkreten Zweck notwendig sind.

3. Interessenabwägung: Schutz der betroffenen Personen steht im Mittelpunkt
Der Kernpunkt der EDSA-Leitlinien ist die Interessenabwägung. Dabei müssen die Rechte, Freiheiten und Interessen der betroffenen Personen gegen das Interesse des Verantwortlichen oder Dritten abgewogen werden.

Zu berücksichtigen sind dabei unter anderem:
• Art der verarbeiteten Daten (z. B. sensible Daten nach Art. 9 oder 10 DSGVO),
• Kontext der Verarbeitung (z. B. Kundenverhältnis oder öffentlich zugängliche Daten),
• Auswirkungen auf die betroffene Person (z. B. Diskriminierung, Rufschäden, emotionale Belastungen),
• berechtigte Erwartungen der betroffenen Person, basierend auf ihrer Beziehung zum Verantwortlichen.
Beispielsweise können Nutzer eines sozialen Netzwerks nicht automatisch erwarten, dass ihre Daten ohne Zustimmung für personalisierte Werbung genutzt werden. Ebenso dürfen öffentlich gepostete Bilder nicht ohne Weiteres in Werbeflyern erscheinen.
Schutzmaßnahmen zur Ausbalancierung
Falls die Abwägung ergibt, dass die Rechte der betroffenen Person überwiegen, kann die Datenverarbeitung nur zulässig sein, wenn zusätzliche Schutzmaßnahmen ergriffen werden – und zwar über die DSGVO-Standards hinaus:

• freiwillige Löschrechte,
• uneingeschränktes Widerspruchsrecht,
• erweiterte Datenübertragbarkeit.
Diese Maßnahmen müssen konkret dokumentiert werden und dürfen nicht nur theoretisch bestehen.
Nachweispflicht und Dokumentation: Verantwortung liegt beim Unternehmen
Verantwortliche müssen nachweisen können, dass die Interessenabwägung ordnungsgemäß erfolgt ist. Eine oberflächliche Begründung reicht nicht. Die EDSA-Leitlinien betonen, dass Unternehmen aktiv prüfen und dokumentieren müssen:

• Welches berechtigte Interesse verfolgt wird,
• warum die Verarbeitung notwendig ist,
• wie die Interessenabwägung ausgefallen ist,
• welche Schutzmaßnahmen ggf. getroffen wurden.
Die Dokumentation ist auch bei möglichen Prüfungen durch Aufsichtsbehörden von zentraler Bedeutung.
Fazit: Verantwortungsvoll mit berechtigten Interessen umgehen
Die Leitlinien des EDSA bringen mehr Rechtssicherheit, aber auch klare Anforderungen. Für Unternehmen, insbesondere im Marketing, bedeutet das:

• Eine Verarbeitung auf Grundlage berechtigter Interessen muss sauber begründet, erforderlich und verhältnismäßig sein.
• Es genügt nicht, sich auf die allgemeine Marketingpraxis zu berufen oder auf informierte Einwilligungen zu verzichten.
• Entscheidend ist eine gut dokumentierte, einzelfallbezogene Interessenabwägung mit Berücksichtigung der Betroffenenperspektive.
Marketingverantwortliche sollten sich mit den Leitlinien intensiv auseinandersetzen und ihre Prozesse anpassen. Nur so lässt sich das berechtigte Interesse rechtskonform und im Sinne eines verantwortungsvollen Datenmanagements nutzen.