gekennzeichnet. 
Was ist das berechtigte Interesse und vor allem wann ist es berechtigt? Ein wichtiger Begriff in diesem Zusammenhang ist das mildere Mittel. Dem entgegen steht der Wunsch nach dem Weg des geringsten Schmerzes. Nicht alles, was genehm ist, ist aber erlaubt. Hierüber diskutieren wir im Datenschutz Deluxe Podcast.
Das berechtigte Interesse ist in der DSGVO in Art. 6 Abs. 1 lit. f DS-GVO verankert. Die DSGVO verbietet grundsätzlich die Verarbeitung personenbezogener Daten, außer, es gibt einen Erlaubnisvorbehalt. Diese sind durch Rechtsgrundlagen im eben genannten Artikel der DSGVO aufgelistet.
Oft bleibt neben der Einwilligung nur das berechtigte Interesse als Rechtsgrundlage für die Datenverarbeitung. Die Einwilligung ist aber schwierig zu handhaben. Deswegen greifen viele lieber auf das berechtigte Interesse zurück, oder möchten es gerne.
Es ist nämlich keinesfalls so, dass es sich ein Verantwortlicher (etwa ein Website-Betreiber) selber aussuchen kann, ob sein Interesse berechtigt ist. Vielmehr hat der Verantwortliche erst einmal ein Interesse. Ob dieses berechtigt ist, muss in der Gesamtschau betrachtet werden. Hierzu müssen die (gegenläufigen) Interessen der betroffenen Personen (Website-Besucher) mit betrachtet und gegenüber gestellt werden.
Das berechtigte Interesse erfordert zur Prüfung der Zulässigkeit eine zweiseitige Abwägung der Interessen sowohl von Verantwortlichem als auch von betroffenen Personen.
Gibt es mildere Mittel, dann erscheint das berechtigte Interesse üblicherweise (immer?) als nicht berechtigt und somit auch als nicht gegeben. Wer schreibt „Unser berechtigtes Interesse ist es, dies und jenes zu tun“ zeigt jedenfalls nicht selten (vor allem bei fehlender Begründung), dass er oder sie das Konzept des berechtigtes Interesses einseitig auslegt und womöglich keine Abwägung vornimmt, sondern sein/ihr eigenes Interesse meint. Denn es geht um eine Einbeziehung der Interessen der „Gegenseite“ (=betroffene Personen) und nicht um „Uns“ im Sinne des Verantwortlichen. Besser wäre es wohl zu schreiben: „Die Abwägung Ihrer und unserer Interessen führt uns zum Schluss, dass das berechtigtes Interesse aus Art. 6 (1) lit. f DS-GVO als Rechtsgrundlage zulässig ist.“
Ein Beispiel sind Google Fonts: Es gibt mildere Mittel, die einfach sind. Punkt. Wer Schriften nutzen will, kann das tun, aber gefälligst ohne personenbezogene Daten ohne Rechtsgrundlage an Server von Google zu schicken. Schriften erst nach Einwilligung zu laden, erscheint halbwegs sinnfrei. Insofern sind Google Fonts zum Tode verurteilt. Google Fonts sind übrigens keine Schriften von Google, sondern von beliebigen Designern. Google stellt nur gnädigerweise Datensammelserver bereit, von denen diese Schriften geladen werden können.
Über dies und einiges mehr, etwa über Kontaktformulare, Newsletter und Emails, sprechen Stephan Plesnik und ich im Datenschutz Deluxe Podcast.
Neben Google Fonts gibt es natürlich zahlreiche weitere Datenverarbeitungen, die datenschutzfreundlich stattfinden können. Beispielsweise ist es nicht notwendig, volle IP-Adressen anlasslos (also für jeden Website-Besucher) in Server Logs zu speichern. Selbst das BSI konnte mir auf konkrete Nachfrage in seiner Antwort an mich kein Beispiel nennen.
Übrigens sind auch Cookies personenbezogene Daten, und zwar immer (siehe Art. 4 Nr. 1 DS-GVO sowie die Tatsache, dass Cookies immer zusammen mit der personenbezogenen IP-Adresse übertragen werden). Weiterhin ist zu beachten, dass für die Speicherung von Cookies und deren Auslesen das berechtigte Interesse generell nicht angeführt werden darf. Diese Rechtsgrundlage gibt es für Cookies nicht. Siehe § 25 TTDSG. Erst, nachdem der Cookie-Zugriff erlaubt ist (etwa durch Einwilligung oder weil ein Cookie unbedingt erforderlich ist), könnte eventuell das berechtigte Interesse für die Verarbeitung der Cookie-Werte angeführt werden. Könnte eventuell!
Die vorigen Folgen im Datenschutz Deluxe Podcast sind:
- Folge 1: Spannende Datenschutzfragen
- Folge 2: Cookies und Cookie Tools (andere Fragen, anderer Moderator)
- Folge 3: Google Topics und Google FloC (das Ende aller Cookies? Nein!)
- Folge 4: Reichweitenmessung für Webseiten und Apps
- Folge 5: Server Side Tracking und Cookies
- Folge 6: Datenschutzverstöße: Diskussion zwischen Informatiker und Rechtsanwalt
- Folge 7: Smart Home Geräte: Datenschutz und gesetzliche Vorgaben
- Folge 8: Conversion Tracking
- Folge 9: Google Tag Manager: Weder ein Cookie noch eine Domäne noch erforderlich
- Folge 10: Cookies und Cookie Tools
- Folge 11: Wie erkennt man seriöse Internet-Agenturen?
- Folge 12: Die Verarbeitung personenbezogener Daten gemäß DS-GVO
Weitere Folgen finden Sie hier:
Mein Name ist Klaus Meffert. Ich bin promovierter Informatiker und beschäftige mich seit über 30 Jahren professionell und praxisbezogen mit Informationstechnologie. In IT & Datenschutz bin ich auch als Sachverständiger tätig. Mir sind juristische Gegebenheiten nicht fremd. Meine Ergebnisse gewinne ich durch Betrachtung von Technik und Recht. Das scheint mir absolut notwendig, wenn es um digitalen Datenschutz geht. Über Ihre 
Moin,
aus rechtlicher Sicht sind die Ausführungen (im Blogeintrag, Podcast habe ich nicht angehört) leider kaum vertretbar, oder in Dr. DSGVO-Sprech "Bullshit". Lesenswert hierzu BGH Urt. vom 15.02.2022, VI ZR 692/20, der die von EuGH GRUR 2021, 1067, Rn. 110 aufgestellten Grundsätze systematisch fein säuberlich aufdröselt.
Wer schreibt, "Unser berechtigtes Interesse ist xyz" kommt damit schlicht seiner Informationspflicht aus Art. 13 Abs. 1 d) nach. Wer etwas anderes behauptet, zeigt, dass er oder sie das Konzept des berechtigtes Interesses nicht verstanden hat.
Ich brauche überhaupt erst einmal ein berechtigtes Interesse, um zu einer Interessenabwägung zu kommen. Aus o.g. Urteilen ergibt sich, dass ein Interesse berechtigt ist, wenn es von der Rechtsordnung geschützt ist, in aller Regel bereits durch Art. 16 GRCh EU, Unternehmerische Freiheit. Für dieses berechtigte Interesse muss die Verarbeitung erforderlich sein – nein – keine deutsch gedachte Verhältnismäßigkeitsprüfung ("das mildeste geeignete Mittel"). Erforderlich ist "das absolut Notwendige". Dann erst – wenn die Verarbeitung für mein berechtigtes Interesse erforderlich (absolut notwendig) ist – kommt die Interessenabwägung ins Spiel (" sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person… überwiegen"). Benennung des Gegeninteresses, des Schutzmaßstabs, der potentiellen Gefahren und schließlich die Abwägung.
Danke für Ihre ausführliche Rückmeldung.
Zu dem Punkt "Unser berechtigtes Interesse". Mir geht es darum zu zeigen, dass das berechtigte Interesse eine zweiseitige Betrachtung erfordert. Vielleicht haben Sie Recht, dass man "Unser.." schreiben kann. Viele schreiben aber "Unser" und meinen deren Interesse und nicht die Prüfung auf ein berechtigtes Interesse. Lieber bin ich für Sie, die sich mit dem Thema auszukennen scheinen, hier etwas zu kleinlich und warne die Unbedarften davor, deren Interessen in den Vordergrund zu stelle – als umgekehrt.
Nachtrag: Die Textstelle im Beitrag wurde etwas entschärft. Man könnte sie auch ganz weglassen, dann sehe ich aber die Gefahr, dass noch weniger Verantwortliche erkennen, dass es um eine Interessensabwägung geht.
Zum Thema "milderes Mittel". Jedenfalls ist es so, dass, wenn es ein milderes Mittel gibt, die Notwendigkeit des nicht so milden Mittels nicht gegeben ist.
Ich bin nicht sicher, ob das zutrifft, was Sie schreiben, nämlich dass ein Interesse nur dann berechtigt sein kann, wenn das absolut Notwendige getan werden soll. Marketing jedenfalls wäre dann nicht mit dem berechtigten Interesse zu rechtfertigen. Niemand muss Besucher zählen, absolut notwendig ist es jedenfalls nicht. Zumal "absolut notwendig" quasi keinen Spielraum für Abwägungen zulässt, die (die Abwägungen) Sie ja auch erwähnen.
Entschärft ist es besser! Vom Grundsatz her, ja, sensibilisieren, dass zu Art. 6 I f DSGVO eine Interessenabwägung gehört, ist natürlich auch sinnvoll.
Zu Marketing-Zwecken ganz viele Daten zu sammeln ist ein berechtigtes Interesse, geschützt durch das Grundrecht auf Unternehmerische Freiheit. In vielen Fällen mag es auch erforderlich (= "absolut notwendig", wie der EuGH sagt) sein. Wenn ich die meist angeguckte Werbung öfter zeigen will, dann ist das ein berechtigtes Interesse. Das Besucher zählen ist dafür erforderlich, nämlich absolut notwendig. Danach kommt die Abwägung – Besucher zählen erlaubt.
Ich habe auch ein berechtigtes (Unternehmerische Freiheit) Interesse, personalisierte Werbung aufgrund eines detaillierten Persönlichkeitsprofils anzuzeigen. Dafür ist das Sammeln einer Vielzahl von Daten erforderlich (absolut notwendig), sonst kann ich nicht personalisieren. Erst die Interessenabwägung fällt hier dann zugunsten des Betroffenen aus.
"Marketing" als Interesse ist hier wohl einfach zu knapp formuliert.
Wahrscheinlich stimmen wir in vielem überein. Ja, "Marketing" ist zu allgemein formuliert, um darüber konkret diskutieren zu können.
In zahlreichen Beiträgen schreibe ich über Online Marketing-Möglichkeiten und zeige so, dass es sehr milde Mittel gibt.
Das gilt für das Besucherzählen ebenso wie für das Conversion Tracking. Viel (an nicht datenschutzfreundlichen Aktivitäten) bleibt dann nicht mehr übrig, was man versuchen könnte, über das berechtigte Interesse zu legitimieren.
Ob personalisierte Werbung unter das berechtigte Interesse fällt, wage ich allerdings zu bezweifeln. Zumindest wenn es um den "normalen" (nicht in einem Shop o.ä. angemeldeten) Nutzer geht.
Endgerätezugriffe wie Cookies etwa können nicht mit dem berechtigten Interesse begründet werden, siehe § 25 TTDSG.
> Ich bin nicht sicher, ob das zutrifft, was Sie schreiben, nämlich dass ein Interesse nur dann berechtigt sein kann, wenn das absolut Notwendige getan werden soll. Marketing jedenfalls wäre dann nicht mit dem berechtigten Interesse zu rechtfertigen. Niemand muss Besucher zählen, absolut notwendig ist es jedenfalls nicht.
Bitte noch einmal mit oben vergleichen: "Für dieses berechtigte Interesse muss die Verarbeitung erforderlich sein"
Es muss also nicht das berechtigte Interesse notwendig sein, sondern die Datenverarbeitung muss für das gegenständliche berechtigte Interesse notwendig sein. Die Frage ist also beispielsweise nicht, ob man Besucher zählen muss, sondern ob man zum Zählen von Besuchern deren Daten Google zur eigenen Nutzung überlassen muss.
Das Adjektiv berechtigte vor Interesse sagt übrigens nichts darüber aus, ob die Datenverarbeitung berechtigt ist, sondern lediglich ob das Interesse – unabhängig von der konkreten Datenverarbeitung und der Interessenabwägung – ein im Rahmen der Rechtsordnung legitimes Interesse ist.