Gemäß Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO ist eine Verarbeitung personenbezogener Daten dann rechtmäßig, wenn jene Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und sofern nicht die Interessen oder Grundrechte und Grundfreiheiten von der Datenverarbeitung betroffener Personen überwiegen. Eine solche Interessenabwägung führt in der Datenschutz-Praxis nicht selten zu Unsicherheiten bei der Anwendung: Welche Interessen können als berechtigte Interessen angeführt werden? Inwieweit kann eine Verarbeitung auf Grundlage des berechtigten Interesses als erforderlich angesehen werden? Welche Inhalte müssen in eine Interessenabwägung einfließen? Der nachfolgende Blog-Beitrag gibt einen kurzen Überblick über jüngste Entwicklungen.
Aktuelle Entscheidung des Europäischen gerichtshofes
In einem kürzlich ergangenen Urteil des Europäischen Gerichtshofes (EuGH, Urt. v. 4. Oktober 2024, C-621/22) setzte sich das Gericht näher mit dem berechtigten Interesse auseinander. Konkret ging es im vorliegenden Fall um die Weitergabe personenbezogener Daten von Mitgliedern eines Sportverbandes zu Werbezwecken an Sponsoren. Mit Verweis auf das Urteil vom 7. Dezember 2023 (C-26/22 und C-64/22) betont der EuGH zunächst erneut, dass grundsätzlich ein breites Spektrum von Interessen als berechtigt gelte, wobei derartige Interessen weder gesetzlich verankert noch bestimmt, jedoch in jedem Falle rechtmäßig sein müssen. Weiterhin müsse die Datenverarbeitung das mildeste Mittel zur Zweckerreichung darstellen und objektiv erforderlich sein.
Im Bezug zu dem betreffenden Fall verweist der EuGH darauf, dass legitime wirtschaftliche Interessen grundsätzlich berechtigte Interessen darstellen können. Jedoch hat der Verantwortliche darüber hinaus die Erfüllung aller weiteren Verpflichtungen der DS-GVO sicherzustellen. Insbesondere ist im Rahmen der Erforderlichkeit und hinsichtlich des Vorliegens milderer Mittel vorab zu prüfen, ob die vorherige Information und Abfrage einer Einwilligung gegenüber den betroffenen Personen ebenso möglich wären. Hierdurch könne seitens der betroffenen Personen eine bessere Kontrolle der Offenlegung ihrer personenbezogenen Daten erreicht werden. Es läge somit ein geringerer Eingriff in die Rechte der betroffenen Personen vor, wobei – nach Auffassung des EuGH – möglicherweise seitens des Verantwortlichen dennoch die verfolgten Zwecke erreicht werden könnten.
Ergänzend hebt der EuGH unter Bezugnahme des Erwägungsgrund 47 der DS-GVO hervor, dass im Rahmen der vorzunehmenden Interessenabwägung ebenfalls zu berücksichtigen ist, ob die betroffenen Personen vernünftigerweise mit der Verarbeitung ihrer personenbezogenen Daten rechnen konnten und ob eine maßgebliche und angemessene Beziehung zwischen den betroffenen Personen und dem Verantwortlichen besteht. Konkretere Darstellungen zum berechtigten Interesse lassen sich aus dem aktuellen Urteil nicht entnehmen. Mit Blick auf die Rechtssprechungspraxis des EuGH vermag dies nicht zu überraschen, den Herausforderungen in der Praxis kann hiermit jedoch nur unzureichend begegnet werden.
Leitlinien des Europäischen Datenschutzausschusses
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Specht-Riemenschneider, hingegen äußerte sich in einer aktuellen Pressemitteilung zum berechtigten Interesse für die Zukunft optimistisch und verwies in diesem Zusammenhang auf eine am 8. Oktober 2024 veröffentlichte Leitlinie des Europäischen Datenschutzausschusses (EDSA): „Die Definition des ‚berechtigten Interesses‘ ist schon seit Einführung der Datenschutz-Grundverordnung Anlass für Diskussionen. Gerade für das Verhältnis zwischen Wirtschaft und Privatpersonen ist entscheidend, wann Daten auf dieser Grundlage verarbeitet werden dürfen. Deshalb ist es sehr gut, dass der Europäische Datenschutzausschuss seine Leitlinien zu diesem Thema vorgelegt hat. Ich verspreche mir davon mehr Rechtssicherheit für die Bürgerinnen und Bürger, aber eben auch für die Unternehmen.“
Doch welche Klarstellungen erfolgen durch die Leitlinien des EDSA tatsächlich? Werfen wir einen kurzen Blick in die jüngst veröffentliche Version. Deutlich wird hierbei, dass die Leitlinie bereits die Anforderungen des EuGH aus dem Urteil vom 4. Oktober 2024 mit berücksichtigt:
- Die Rechtsgrundlage des berechtigten Interesses sollte weder überdehnt werden noch als „letztes Mittel“ angesehen werden. Die Berufung auf das berechtigte Interesse setzt jedoch ein methodisches Vorgehen sowie vorab eine sorgfältige Bewertung der Verarbeitung voraus (Rn. 9).
- Eine abschließende Auflistung berechtigter Interessen kann es bereits aufgrund einer fehlenden Definition innerhalb der DS-GVO nicht geben. Eine Vielzahl von Interessen können als berechtigte Interessen angesehen werden, zum Beispiel der Zugang zu Online-Informationen, die Gewährleistung des Funktionierens öffentlicher Internetseiten oder die Verarbeitung personenbezogener Daten zum Schutze des Eigentums (Rn. 16).
- Ein berechtigtes Interesse kann in der Regel dann als rechtmäßig angesehen, wenn es nicht gegen europäisches Recht verstößt, klar und präzise formuliert ist und auch tatsächlich derzeit besteht. Es dürfen keine hypothetischen oder in der Zukunft gegebenenfalls vorliegenden Interessen verfolgt werden (Rn. 17).
- Im Rahmen einer Interessenabwägung müssen Verantwortliche folgende Faktoren einbeziehen: die Interessen, Grundrechte und Freiheiten betroffener Personen, die Auswirkungen der Verarbeitung auf die betroffenen Personen (Art der Daten, Kontext der Verarbeitung, Folgen der Verarbeitung), die berechtigten Erwartungen betroffener Personen sowie abmildernde Maßnahmen (Rn. 32).
- Eine bloße Erfüllung der Informationspflichten nach DS-GVO allein reicht nicht aus, um davon ausgehen zu können, dass die betroffene Person eine bestimmte Verarbeitung vernünftigerweise erwarten konnte. Zu berücksichtigen sind hierbei insbesondere die Beziehung zwischen Verantwortlichem und betroffener Person sowie die Eigenschaften der „durchschnittlichen“ betroffenen Person, zum Beispiel Alter, die (berufliche) Stellung und der Grad des Verständnisses im Kontext (Rn. 54).
- Weiterhin wird die besondere Bedeutung der Gewährleistung von Betroffenenrechten im Kontext des berechtigten Interesses dargestellt (Rn. 61 ff.).
- Auch Behörden können – in außergewöhnlichen und begrenzten Fällen – Verarbeitungen auf die Rechtsgrundlage des berechtigten Interesses stützen, soweit die Verarbeitung nicht in Erfüllung der ihnen obliegenden Aufgaben erfolgt bzw. mit Ihnen zusammenhängt (Rn. 99).
Im Rahmen der ausführlichen Darstellungen und Begründungen werden ebenfalls eine Reihe unterschiedlicher Praxisfälle eingeordnet. Insofern sind die Leitlinien auf jeden Fall als sinnvolle Orientierung für die Datenschutz-Praxis geeignet. Inwieweit sich einzelne Ausführungen in Zukunft noch geringfügig ändern werden, wird sich zeigen: Für die bereitgestellten Leitlinien des EDSA läuft bis einschließlich 20. November 2024 das öffentliche Konsultationsverfahren.
Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
