Berechtigtes Interesse - Art. 6 Abs. 1 lit f) DSGVO

Das berechtigte Interesse scheint der Joker unter den Rechtsgrundlagen zu sein, ist jedoch mit großer Sorgfalt einzusetzen. 

Greift keine der bisherigen Rechtsgrundlagen, bleibt die Möglichkeit, die Verarbeitung mit dem  berechtigen Interesse zu begründen. Es interessiert Sie jetzt sicher brennen, was dieses „berechtigte Interesse“ genau bedeutet. Genau dies ist in der DSGVO aber nicht festgelegt. Der Verantwortliche muss dieses Interesse formulieren und begründen. 

Ist die Verarbeitung also rechtens, sobald das man sein berechtigtes Interesse schriftlich begründet? Nein, so einfach ist es dann doch nicht. Die DSGVO schreibt hier eine so genannte "Interessenabwägung" vor. In der Interessenabwägung beschreibt das Unternehmen zunächst seine eigenen Interessen, warum es die entsprechenden Daten verarbeiten möchte. Danach werden Argumente gesammelt, welche Interessen die betroffene Personen haben könnte, dass diese Daten nicht verarbeitet werden. Abschließend wird die Rechtmäßigkeit beurteilt und entschieden. Solange das Interesse der betroffenen Personen zum Schutz ihrer Daten nicht überwiegt, steht der geplanten Verarbeitung nichts im Wege. 

Beispiel

Ein Bildungsinstitut in der Erwachsenenbildung möchte die Daten der Teilnehmenden auf der hauseigenen E-Learning-Plattform auswerten. 

Folgende Rechtsgrundlagen kommen für die Verarbeitung nicht in Frage: 

• Es gibt keine Einwilligung. 
• Es gibt keine vertragliche oder rechtliche Grundlage. 
• Es werden keine lebenswichtigen oder öffentlichen Interessen geschützt. 

Was also tun? Natürlich könnte das Institut nun alle Teilnehmenden anschreiben und um eine Einwilligung bitten. Alternativ kann das Institut auch eine Interessenabwägung durchführen. Es beschreibt seine eigenen Interessen, also warum diese Auswertung für das Institut wichtig ist (z.B. unternehmerisches Interesse, um herauszufinden, welche Bildungsangebote bei welchen Zielgruppen besonders gut ankommen). Danach trägt das Institut die Interessen seitens der Betroffenen zusammen (z.B. dass die Teilnehmenden nicht möchten, dass ihre Aktivitäten überwacht oder klassifiziert werden). Am Ende der Interessenabwägung erfolgt eine Bewertung und eine Entscheidung. 

Das Institut entscheidet sich, die Auswertung vorzunehmen. Das Risiko wird für die betroffenen Personen als überschaubar eingeschätzt, da man keine Schulungsinhalte oder individuelle Lernergebnisse analysiert. Zudem werden in die Auswertung keine Namen oder E-Mail-Adressen einbezogen, sondern nur die interne ID aus der Datenbank.

Ist das jetzt rechtens? 

Das ist abschließend nicht zu beurteilen. Mit der Durchführung einer Interessenabwägung hat das Institut zumindest seine Verpflichtung nach der DSGVO erfüllt. Ob die Interessenabwägung zu einem korrekten, rechtssicheren Ergebnis geführt hat, ist dadurch allerdings nicht geklärt. Im Datenschutz erfolgt vieles nach bestem Wissen und Gewissen. Selbst das Hinzuziehen einer juristischen Beratung kann zu diesem Zeitpunkt aufgrund nur eine vermeintliche Sicherheit geben. Wie in vielen anderen Rechtsbereichen kann eine hundertprozentige Rechtssicherheit erst nach einem Rechtsspruch seitens eines Gerichts erfolgen.

Fazit

Wenn sich die Rechtsgrundlage am Ende nur auf das berechtigte Interesse begründet, steht der Verantwortliche in der Pflicht, sich entsprechend umfangreich Gedanken darüber zu machen, ob die Verarbeitung aus Datenschutzsicht vertretbar ist. Hierzu zählt die erwähnte Interessenabwägung. Bleibt nach der Durchführung dieser Abwägung ein Unbehagen, dann ist der Verantwortliche in der Pflicht sich zu überlegen, wie er das Risiko der Datenverarbeitung für die betroffenen Personen noch weiter reduzieren kann (z.B. über Anonymisierung oder Pseudonymisierung der Daten). 

Quelle: Clker-Free-Vector-Images auf Pixabay