Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO: Mehr als eine Notlösung

Ein mittelständisches Unternehmen möchte für seine Vertriebsmitarbeiter Visitenkarten drucken lassen – mit Name, Funktion, geschäftlicher Telefonnummer und E-Mail-Adresse. Eine gesetzliche Pflicht dazu gibt es nicht, und auch der Arbeitsvertrag verlangt es meist nicht ausdrücklich. Trotzdem hat das Unternehmen gute Gründe: Mitarbeiter sollen ihre Kontaktdaten unkompliziert weitergeben können, Schreibfehler sollen vermieden werden, der Auftritt soll einheitlich sein.

Genau an dieser Stelle kommt eine Rechtsgrundlage ins Spiel, die in der Praxis enorm wichtig und gleichzeitig häufig missverstanden wird: Art. 6 Abs. 1 lit. f) DSGVO – das berechtigte Interesse.

Kein Freifahrtschein, aber auch keine Rechtsgrundlage zweiter Klasse

In vielen Unternehmen hat sich eine bestimmte Denkweise eingeschlichen: Passt kein Vertrag, kein Gesetz und keine Einwilligung, dann nimmt man eben das berechtigte Interesse. So funktioniert die Vorschrift jedoch nicht. Sie ist weder ein Auffangtatbestand für alles, was sonst nirgends hineinpasst, noch eine minderwertige Rechtsgrundlage gegenüber der Einwilligung. Sie ist ein eigenständiger Erlaubnistatbestand, der gerade im betrieblichen Alltag häufig die sachgerechteste Lösung ist.

Die entscheidende Frage lautet deshalb nicht „Können wir irgendwie ein berechtigtes Interesse behaupten?“, sondern: Welches konkrete Interesse wird verfolgt, ist die Verarbeitung dafür wirklich erforderlich, und überwiegen im konkreten Fall nicht die Interessen der betroffenen Person?

Diese drei Fragen bilden eine Prüfung, die der EuGH in mehreren aktuellen Entscheidungen bestätigt hat – unter anderem in den Urteilen Meta Platforms (C-252/21), KNLTB (C-621/22) und Mousse (C-394/23). Alle drei Stufen müssen erfüllt sein. Scheitert eine, kann die Verarbeitung nicht auf diese Rechtsgrundlage gestützt werden.

Stufe 1: Das Interesse muss konkret sein – und darf ruhig wirtschaftlich sein

Ein häufiger Fehler besteht darin, Zweck und Interesse gleichzusetzen. Der Zweck beschreibt, was mit den Daten geschieht. Das Interesse beschreibt, warum das Unternehmen das erreichen will. „Verarbeitung von Kundendaten“ oder „Marketing“ sind deshalb kein Interesse – zu abstrakt. Besser: „Pflege bestehender Kundenbeziehungen durch Information über ergänzende Dienstleistungen“ oder „Schutz des Unternehmensnetzwerks durch kurzfristige Auswertung sicherheitsrelevanter Protokolldaten“.

Der Begriff des berechtigten Interesses selbst ist bewusst weit gefasst. Der EuGH hat das im Fall des niederländischen Tennisverbands KNLTB (C-621/22) noch einmal deutlich gemacht: Auch ein rein wirtschaftliches Interesse – dort ging es um den entgeltlichen Verkauf von Mitgliederdaten an Sponsoren – kann grundsätzlich berechtigt sein. Ein Interesse muss nicht bereits gesetzlich ausdrücklich anerkannt sein. Das bewahrte den Verband allerdings nicht vor einem Bußgeld von 525.000 Euro, denn die Entscheidung zeigt zugleich: Die eigentliche Begrenzung entsteht nicht auf dieser ersten Stufe, sondern bei Erforderlichkeit und Interessenabwägung.

Ein wichtiger Nebenaspekt: Das Interesse darf nicht rechtswidrig sein, und ein datenschutzrechtliches berechtigtes Interesse beseitigt keine Verbote aus anderen Rechtsgebieten. Klassisches Beispiel ist die Direktwerbung per E-Mail. Die DSGVO erkennt Direktwerbung als mögliches berechtigtes Interesse an (Erwägungsgrund 47) – trotzdem bleibt in Deutschland zusätzlich § 7 UWG zu beachten, wonach Werbe-E-Mails grundsätzlich eine vorherige ausdrückliche Einwilligung voraussetzen, soweit nicht die enger gefasste Bestandskundenausnahme des § 7 Abs. 3 UWG greift. Art. 6 Abs. 1 lit. f) DSGVO kann einen wettbewerbsrechtlich unzulässigen Werbekanal nicht zulässig machen.

Stufe 2: Erforderlichkeit heißt nicht „wäre praktisch“

Ein berechtigtes Interesse allein genügt nicht. Die konkrete Verarbeitung muss zur Wahrung dieses Interesses erforderlich sein – und das bedeutet mehr als Bequemlichkeit oder technische Machbarkeit. Zu prüfen ist, ob sich dasselbe Ziel nicht ebenso wirksam mit einem milderen Mittel erreichen lässt.

Wie ernst der EuGH diese Stufe nimmt, zeigt der Fall Mousse gegen CNIL und SNCF Connect (C-394/23). SNCF Connect verlangte beim Online-Ticketkauf die Angabe einer Anrede („Herr“/„Frau“) und berief sich auf das Interesse an personalisierter Kundenkommunikation. Der EuGH stellte klar: Für eine personalisierte Ansprache genügen Name und Vorname – die systematische Erhebung der Anrede, die zugleich Rückschlüsse auf die Geschlechtsidentität zulässt, war dafür nicht erforderlich. Die entscheidende Frage ist eben nicht „Ist unser Zweck sinnvoll?“, sondern „Brauchen wir genau diese Daten für genau diesen Zweck?“

Stufe 3: Die Interessenabwägung – jetzt zählt die Perspektive der betroffenen Person

Sind Interesse und Erforderlichkeit geklärt, wechselt die Perspektive: Welche Nachteile können der betroffenen Person entstehen, und welches Gewicht haben diese? Eine mathematische Formel gibt es dafür nicht, wohl aber wiederkehrende Kriterien:

• Art und Menge der Daten – geschäftliche Kontaktdaten wiegen anders als Gesundheits- oder Kontodaten. Bei besonderen Kategorien nach Art. 9 DSGVO oder bei Daten zu strafrechtlichen Verurteilungen nach Art. 10 DSGVO reicht Art. 6 Abs. 1 lit. f) DSGVO ohnehin nicht allein aus.
• Intensität der Verarbeitung – eine interne, zugriffsbeschränkte Speicherung ist anders zu bewerten als eine Veröffentlichung oder dauerhafte Beobachtung.
• Vernünftige Erwartungen der betroffenen Person – wichtig ist, was jemand im Zeitpunkt der Datenerhebung vernünftigerweise erwarten konnte. Ein Hinweis irgendwo in der Datenschutzerklärung erzeugt dabei keine Erwartung von selbst.
• Beziehung zur betroffenen Person – bei Abhängigkeitsverhältnissen, etwa im Arbeitsverhältnis, ist besondere Zurückhaltung geboten. Für Beschäftigtendaten geht ohnehin § 26 BDSG vor, soweit die Verarbeitung für das Beschäftigungsverhältnis erforderlich ist.
• Mögliche Folgen – von finanziellen Nachteilen bis zu Kontrollgefühl oder Profilbildung.

Diese Abwägung lässt sich durch technische und organisatorische Maßnahmen zugunsten des Unternehmens verschieben: kürzere Speicherfristen, engerer Empfängerkreis, Pseudonymisierung, Verschlüsselung. Solche Maßnahmen können jedoch eine fehlende erste oder zweite Stufe nicht ersetzen.

Der Meta-Fall (C-252/21) zeigt zusätzlich, dass Umfang und Intensität der Verarbeitung entscheidend sein können: Personalisierte Werbung dient zwar grundsätzlich einem berechtigten Interesse, doch bei der dort zu beurteilenden umfangreichen Zusammenführung von Nutzerdaten überwogen die Interessen der Nutzer. Für kleinere Unternehmen liegt darin eine beruhigende Erkenntnis: Werbung oder Umsatzsteigerung als Motiv machen eine Verarbeitung nicht automatisch problematisch – entscheidend ist, wie weit die Verarbeitung dafür geht.

Widerspruchsrecht und typische Stolperfallen

Wer sich auf Art. 6 Abs. 1 lit. f) DSGVO stützt, muss das Widerspruchsrecht aus Art. 21 DSGVO mitdenken. Bei Direktwerbung kann jederzeit ohne Begründung widersprochen werden. Danach ist eine weitere Verarbeitung zu diesem Zweck ausgeschlossen. In allen anderen Fällen kann das Unternehmen die Verarbeitung nur fortführen, wenn es zwingende schutzwürdige Gründe nachweist, die höher wiegen als bei der ursprünglichen Abwägung.

Zwei Missverständnisse begegnen in der Praxis besonders häufig:

„Wir setzen Tracking einfach auf Grundlage unseres berechtigten Interesses ein.“ Bei Zugriffen auf Endgeräte ist zunächst § 25 TDDDG zu prüfen, der grundsätzlich eine Einwilligung verlangt. Art. 6 Abs. 1 lit. f) DSGVO ersetzt diese vorgelagerte Anforderung nicht, sondern kommt erst danach für die eigentliche Datenverarbeitung ins Spiel.

„Rechtsgrundlage: Art. 6 Abs. 1 lit. f) DSGVO – berechtigtes Interesse“ reicht als Datenschutzhinweis. Art. 13 Abs. 1 lit. d) DSGVO verlangt die Nennung des tatsächlich verfolgten Interesses, nicht nur der Norm. Besser: konkret benennen, worin der Vorteil für das Unternehmen liegt – etwa „Schutz unserer Systeme vor unberechtigten Zugriffen“.

Und was heißt das für die Visitenkarten?

Zurück zum Ausgangsbeispiel: Das Interesse liegt in der einfachen und fehlerfreien Weitergabe geschäftlicher Kontaktdaten sowie einem einheitlichen Auftritt. Blankokarten oder ein allgemeiner QR-Code wären zwar denkbare Alternativen, erreichen den Zweck aber nicht gleich wirksam – die Verarbeitung von Name, Funktion und geschäftlichen Kontaktdaten ist damit erforderlich. In der Abwägung spricht für das Unternehmen, dass es sich um rein geschäftliche Daten handelt, die für Mitarbeiter im Kundenkontakt ohnehin erwartbar sind. Zu berücksichtigen bleibt das strukturelle Abhängigkeitsverhältnis im Arbeitsverhältnis sowie der Umstand, dass Visitenkarten gerade zur Weitergabe an Dritte bestimmt sind – ein Risiko, das sich durch den Verzicht auf private Angaben und eine zeitnahe Löschung nicht mehr benötigter Vorlagen begrenzen lässt. Bei dieser Ausgestaltung überwiegen die Interessen des Mitarbeiters typischerweise nicht, sodass die Verarbeitung – soweit nicht bereits § 26 BDSG einschlägig ist – auf Art. 6 Abs. 1 lit. f) DSGVO gestützt werden kann. Ein Widerspruch im Einzelfall bleibt dennoch möglich, wenn ein Mitarbeiter besondere persönliche Gründe geltend macht.

Ein ähnliches Beispiel aus der Praxis: Möchte ein Unternehmen zusätzlich sein Betriebsgelände per Video überwachen, um es vor Einbrüchen zu schützen, ist das ein legitimes Interesse – daraus folgt aber noch nicht, dass jede denkbare Kameraausleuchtung erforderlich ist. Und sobald Mitarbeiter von der Überwachung betroffen sind, kommt in deutschen Betrieben mit Betriebsrat regelmäßig ein weiterer Punkt hinzu, der über das Datenschutzrecht hinausgeht: das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG bei der Einführung technischer Überwachungseinrichtungen. Eine datenschutzrechtlich saubere Interessenabwägung ersetzt diese Beteiligung nicht.

Zusammenfassung

Das berechtigte Interesse ist eine der praxistauglichsten Rechtsgrundlagen der DSGVO – gerade weil sie Unternehmen erlaubt, eigene wirtschaftliche, organisatorische oder rechtliche Interessen zu verfolgen, ohne dass der Gesetzgeber jeden denkbaren Vorgang einzeln regeln müsste. Diese Freiheit hat aber ihren Preis: Wer sich darauf beruft, muss das verfolgte Interesse konkret benennen, ernsthaft nach milderen Alternativen suchen und anschließend bewusst die Perspektive der betroffenen Person einnehmen. Wird das nachvollziehbar dokumentiert und bei wesentlichen Änderungen erneut geprüft, ist Art. 6 Abs. 1 lit. f) DSGVO weder ein riskanter Notbehelf noch ein Freifahrtschein, sondern genau das, was er sein soll: eine eigenständige und in der betrieblichen Praxis oft passende Rechtsgrundlage.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.