Prüfung: Überwiegende berechtigte Interessen
Art. 6 Abs. 1 S. 1 lit. f DSGVO gilt gemeinhin als Auffangrechtsgrundlage, die die Datenverarbeitung erlaubt. Wenn alle anderen Rechtsgrundlagen nicht greifen, wird auf Art. 6 Abs. 1 S. 1 lit. f DSGVO zurückgegriffen.
Danach ist die Datenverarbeitung erlaubt, wenn
die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Ich meine im Vergleich zur Einwilligung wird zu selten lit. f bejaht. Aber gerade bei der Frewilligkeit kommt die Einwilligung oft an ihre Grenzen. Unterschreiben Sie mal die Schufa-Klausel nicht, wenn Sie einen Kredit haben wollen. Im Bereich „Werbung“ ist dies anders, aber bei rechtlich entscheidenden Sachverhalten wird die Unterschrift oder das Ankreuzen als das Allheilmittel verstanden. Eine echte Auseinandersetzung mit den berechtigten Interessen und den Datenschutzrechten des Betroffenen und eine entsprechende Anpassung, so dass die berechtigten Interessen überwiegen (z.B. auch im Bereich der Datensicherheit wie Verschlüsselung von Datenwegen), kann für die Betroffenen manchmal bessersein. Dafür reicht aber nicht, wenn die Unternehmen einfach die berechtigten Interessen bejahen und dann nicht mehr.
Häufig argumentieren Unternehmen alleine mit den berechtigten Interessen; d.h. wenn berechtigte Interessen vorlägen, sei die Datenverarbeitung erlaubt. Dies ist nicht ausreichend; diese berechtigten Interessen müssen dem Datenschutzrecht des Betroffenen überwiegen.
Was sind berechtigte Interessen? Man könnte sagen alle legitimen Zwecke. Auf keinen Fall kann ein Unternehmen als berechtigte Interessen vermeintliche Interessen des Betroffenen annehmen. Dies ist überholt, wenn es überhaupt mal rechtmäßig war. Die Interessen des Betroffenen sind immer die Wahrung seiner Datenschutzrechte.
Bei der Frage des Überwiegens ist auch darauf abzustellen, ob die Datenverarbeitung ewartbar für den Betroffenen war.
Vier-Schritt-Prüfung
1) Ist eine der Bedingungen Art. 6 Abs. 1 S. 1 lit. b, Art. 6 Abs. 1 S. 1 lit. c, Art. 6 Abs. 1 S. 1 lit. d oder Art. 6 Abs. 1 S. 1 lit. e DSGVO erfüllt?
2) Wenn nein (+), dann liegen berechtigte Interessen vor?
3) Überwiegen diese berechtigten Interessen dem Datenschutzrecht des Betroffenen?
4) Wenn nein (+), dann ist auf Art. 6 Abs. 1 S. 1 lit. a DSGVO zurückzugreifen
Erwägungsgrund 47
Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.
Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z․ B․ wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht.
Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.
Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.
Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen.
Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar.
Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.
Stephanie Iraschko-Luscher
MGDS – Ihr Partner für Datenschutz in Hamburg
