So funktioniert der Test für berechtigtes Interesse nach DSGVO in Artikel 6(1)(f)

Was bedeutet berechtigtes Interesse nach der DSGVO?

Artikel 6(1)(f) regelt berechtigtes Interesse nach DSGVO als Rechtsgrundlage: Ein Verantwortlicher darf personenbezogene Daten ohne Einwilligung verarbeiten, wenn die Verarbeitung für ein Interesse erforderlich ist, das er selbst oder ein Dritter verfolgt, und die eigenen Rechte der betroffenen Person dieses Interesse nicht überwiegen. Es ist eine von sechs Rechtsgrundlagen in Artikel 6(1), und die einzige, bei der der Verantwortliche sein eigenes Interesse gegen das der betroffenen Person abwägen muss. Der vollständige Wortlaut in der Fassung des Amtsblatts auf EUR-Lex:

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Direkt unter der Liste der Rechtsgrundlagen folgt ein zweiter Satz: "Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung."

Lesen Sie den Aufbau von Buchstabe f genau. Das Interesse ist der Ausgangspunkt, "erforderlich" ist eine Bedingung, und die Ausnahme, "sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person [...] überwiegen", ist die Stelle, an der abgewogen wird. Der Artikel zählt nirgends auf, welche Interessen in Frage kommen. Wenn Sie noch zwischen Rechtsgrundlagen wählen, stellt die Übersicht über die sechs Rechtsgrundlagen der DSGVO Buchstabe f neben Einwilligung, Vertrag und die übrigen.

Was ergänzt Erwägungsgrund 47 zu Artikel 6(1)(f)?

Erwägungsgrund 47 ergänzt den Gedanken der vernünftigen Erwartungen und nennt Beispiele für Interessen, die zählen. Erwägungsgründe sind für sich genommen nicht verbindlich, aber sie erklären, wie die Artikel zu lesen sind, und der EDPB zitiert Erwägungsgrund 47, wenn er Artikel 6(1)(f) anwendet. Erwägungsgrund 47 beginnt so:

Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.

Danach nennt er eine Kunden- oder Beschäftigungsbeziehung als Beispiel: "Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht." Und er warnt: "Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen."

Zwei Beispiele schließen den Erwägungsgrund ab, und sie sind nicht ohne Grund unterschiedlich formuliert. Betrugsprävention wird fest benannt: "Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar." Direktwerbung nicht: "Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden." "Kann [...] betrachtet werden" erlaubt, das Argument zu führen. Es entscheidet die Frage nicht. Erwägungsgrund 49 ergänzt Netz- und Informationssicherheit, wiederum begrenzt auf das, was "unbedingt notwendig und verhältnismäßig" ist.

Was ist der Dreistufentest für berechtigtes Interesse?

Der Dreistufentest ist die Methode des EDPB, Artikel 6(1)(f) zu prüfen, und alle drei Stufen müssen erfüllt sein. Der Europäische Datenschutzausschuss hat ihn in den Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR festgelegt, Version 1.0, angenommen am 8. Oktober 2024 und vom 9. Oktober bis 20. November 2024 zur öffentlichen Konsultation gestellt. Die Seite des EDPB zu den Leitlinien führt weiterhin Version 1.0, den Konsultationstext. In den Worten des Ausschusses:

For processing to be based on Article 6(1)(f) GDPR, three cumulative conditions must be fulfilled: First, the pursuit of a legitimate interest by the controller or by a third party; Second, the need to process personal data for the purposes of the legitimate interest(s) pursued; and Third, the interests or fundamental freedoms and rights of the concerned data subjects do not take precedence over the legitimate interest(s) of the controller or of a third party.

Stufe	Frage	Was der EDPB verlangt
1. Berechtigtes Interesse	Ist das Interesse überhaupt zulässig?	"lawful", "clearly and precisely articulated" und "real and present, and not speculative" (Randnummer 17)
2. Erforderlichkeit	Braucht es dafür die Verarbeitung personenbezogener Daten?	Das Interesse "cannot reasonably be achieved just as effectively by other means less restrictive" für die Rechte der Person
3. Abwägung	Überwiegen die Rechte der Person?	Auswirkung, Art der Daten, Kontext und "reasonable expectations" abwägen, dazu etwaige Schutzmaßnahmen

Die Stufe der Erforderlichkeit ist ein harter Filter. Erreicht ein weniger eingreifender Weg dasselbe Ziel, sagt die Zusammenfassung der EDPB-Leitlinien klar, dass "the processing may not be based on Article 6(1)(f) GDPR." Aggregierte Zählungen statt Datensätzen pro Person oder eine gekürzte statt einer vollständigen IP-Adresse sind die Art von Alternativen, nach denen diese Stufe fragt.

Der EDPB lehnt auch zwei gegensätzliche Gewohnheiten ab. Randnummer 9 sagt, Artikel 6(1)(f) "cannot be considered as a legal basis 'by default'" und solle nicht als "open door" gesehen werden, um eine Verarbeitung zu legitimieren, die zu keiner anderen Rechtsgrundlage passt. Dieselbe Randnummer sagt, es sei auch kein "last resort". Zum Zeitpunkt sagt Randnummer 12, die Prüfung "should be made at the outset of the processing, with the involvement of the Data Protection Officer (DPO) (if designated), and should be documented by the controller in line with the accountability principle set out in Article 5(2) GDPR." Ein Test, der erst nach dem Start aufgeschrieben wird, erfüllt diese Anforderung nicht.

Drei Stufen in Folge

Berechtigtes Interesse festgestellt

Erforderlichkeit bestätigt

Abwägungstest bestanden

Artikel 6(1)(f) gilt

Welche Rechte behält eine Person beim berechtigten Interesse?

Eine Person behält das Recht auf Widerspruch, und für eine Verarbeitung auf Basis der Einwilligung gibt es dazu keine Entsprechung. Artikel 21(1) DSGVO lautet:

Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Nach einem Widerspruch muss der Verantwortliche "zwingende schutzwürdige Gründe für die Verarbeitung nachweisen", und diese Hürde liegt höher als die gewöhnliche Abwägung. Bei Direktwerbung entfällt die Abwägung nach Artikel 21(2) und 21(3) ganz: "Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet." Artikel 21(4) verlangt, dass auf das Recht "in einer verständlichen und von anderen Informationen getrennten Form" hingewiesen wird, und der EDPB ergänzt, dass der Verantwortliche den Personen mitteilen muss, welche berechtigten Interessen er verfolgt.

Gilt Artikel 5(3) der ePrivacy-Richtlinie getrennt von der DSGVO?

Ja. Artikel 5(3) der ePrivacy-Richtlinie regelt das Speichern oder Auslesen von Informationen auf dem Gerät eines Nutzers, und er gilt zusätzlich zur DSGVO, nicht an ihrer Stelle. Die konsolidierte Fassung der Richtlinie 2002/58/EG auf EUR-Lex lautet:

Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.

Artikel 5(3) enthält keinen Tatbestand des berechtigten Interesses. Der Normalfall ist die Einwilligung, und es gibt zwei Ausnahmen: die Übertragung und das, was "unbedingt erforderlich" ist für einen Dienst, der vom Nutzer "ausdrücklich gewünscht" wurde. Der Gerichtshof entschied in Planet49 (C-673/17, 1. Oktober 2019), dass sich dieser Schutz "auf alle in solchen Endgeräten gespeicherten Informationen, unabhängig davon, ob es sich um personenbezogene Daten handelt", erstreckt, eine Passage, die der EDPB in seinen Guidelines 2/2023 zum technischen Anwendungsbereich von Artikel 5(3) zitiert. Die Leitlinien 1/2024 sagen in Randnummer 11, dass sie "without prejudice to" der ePrivacy-Richtlinie gelten. Ein Verantwortlicher, der ein nicht ausgenommenes Cookie setzt, braucht für das Cookie also eine Einwilligung nach Artikel 5(3), egal welche Rechtsgrundlage nach Artikel 6 er für die anschließende Datenverarbeitung wählt.

Kann Webanalyse auf berechtigtes Interesse gestützt werden?

Ob Webanalyse auf berechtigtes Interesse gestützt werden kann, ist ungeklärt, und die Antwort hängt davon ab, welche von zwei Ebenen gemeint ist. Die Geräteebene ist Artikel 5(3). Die Verarbeitungsebene ist Artikel 6. Ein Tool muss beide bestehen.

Auf der Geräteebene legt der EDPB Artikel 5(3) weit aus. Die Guidelines 2/2023, Version 2.0, angenommen am 7. Oktober 2024, sagen in Randnummer 51, dass bei einem Tracking-Pixel, das durch "client-side applicative logic (usually a JavaScript code)" erzeugt wird, das Erfassen der Kennungen "constitutes a 'gaining of access'". Nationale Aufsichtsbehörden sind in die andere Richtung weiter gegangen. Die französische CNIL erklärt, dass "subject to a number of conditions, cookies used for audience measurement are exempt from consent", darunter die Beschränkung des Zwecks auf Reichweitenmessung, das Kürzen von "the last byte of the IP address" und eine Höchstlebensdauer der Tracker von 13 Monaten. Das Vereinigte Königreich hat eine Opt-out-Ausnahme gesetzlich verankert: Schedule 12 des Data (Use and Access) Act 2025, in Kraft seit dem 5. Februar 2026, erlaubt einem Dienst, Informationen zu speichern oder auszulesen "for statistical purposes about how the service is used with a view to making improvements to the service", sofern Nutzer klare Informationen und "a simple means of objecting" erhalten. Das Vereinigte Königreich liegt außerhalb der EU, und Artikel 5(3) selbst enthält keinen solchen Text.

Auf der Verarbeitungsebene ist der EDPB skeptisch, sobald Tracking im Spiel ist. Zum Thema Direktwerbung sagt Randnummer 115 der Leitlinien 1/2024, dass dort, wo eine Einwilligung nach Artikel 5(3) nötig ist, die Einwilligung "will likely constitute the appropriate legal basis both for storing and gaining access to information already stored on the user's device and for the subsequent processing of personal data", "thus normally precluding reliance on Article 6(1)(f) in this context." Randnummer 120 sagt, die Abwägung "would hardly yield" ein positives Ergebnis bei "intrusive profiling and tracking practices for marketing purposes, for example those that involve tracking individuals across multiple websites, locations, devices or services."

Setup	Geräteebene (Artikel 5(3))	Verarbeitungsebene (Artikel 6)
Websiteübergreifendes Tracking und Werbeprofile	Einwilligung	EDPB: Abwägung "would hardly yield" ein positives Ergebnis
First-Party-Cookies zur Reichweitenmessung, CNIL-Bedingungen erfüllt	CNIL: ausgenommen; Text von Artikel 5(3): keine Ausnahme für Analyse	Berechtigtes Interesse wird vertreten, Test bleibt Pflicht
Kein Speichern oder Auslesen auf dem Gerät, personenbezogene Daten verarbeitet	Nicht ausgelöst	Berechtigtes Interesse möglich, mit dokumentiertem Test
Keine personenbezogenen Daten verarbeitet	Hängt vom Gerätezugriff ab	DSGVO gilt nicht

Ein Punkt gilt auf jeder Seite: Je weniger Kennungen ein Tool verarbeitet, desto leichter wird jede Stufe des Tests, und die Frage, ob Analyse überhaupt eine Einwilligung braucht, hängt zuerst davon ab, was das Skript auf dem Gerät tut. Ein Cookie-Banner beantwortet die Frage nach Artikel 5(3). Die Frage nach Artikel 6 beantwortet es nicht. Ob eine gekürzte IP-Adresse oder eine gehashte Kennung noch als personenbezogenes Datum gilt, ist eine eigene Frage, behandelt im Beitrag darüber, was als PII gilt.

Häufig gestellte Fragen

Ist berechtigtes Interesse einfacher als eine Einwilligung?

Nein, jedenfalls nach Lesart des EDPB. Die Leitlinien 1/2024 sagen, Artikel 6(1)(f) solle nicht gewählt werden "on the basis of a perception that Article 6(1)(f) GDPR is less constraining than other legal bases." Eine Einwilligung braucht ein wirksames Opt-in. Berechtigtes Interesse braucht eine dokumentierte dreistufige Prüfung vor der Verarbeitung und ein respektiertes Widerspruchsrecht.

Muss eine Prüfung des berechtigten Interesses schriftlich festgehalten werden?

Der EDPB sagt, sie sollte dokumentiert werden, und verweist auf den Grundsatz der Rechenschaftspflicht in Artikel 5(2) DSGVO. Artikel 5(2) lautet: "Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können", und eine nicht aufgeschriebene Abwägung lässt sich schwer nachweisen.

Kann eine Behörde sich auf berechtigtes Interesse stützen?

Nicht für ihre hoheitlichen Aufgaben. Artikel 6(1) legt fest: "Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung." Diese Behörden stützen sich auf Artikel 6(1)(e), die Verarbeitung im öffentlichen Interesse, die eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats braucht.

Ist Direktwerbung immer ein berechtigtes Interesse?

Nein. Erwägungsgrund 47 sagt, Direktwerbung "kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden", und damit bleibt der Dreistufentest bestehen. E-Mail- und SMS-Marketing fallen außerdem unter Artikel 13 der ePrivacy-Richtlinie, den der EDPB so liest, dass außerhalb der Ausnahme für Bestandskunden eine vorherige Einwilligung nötig ist.

Kann berechtigtes Interesse die Einwilligung für Cookies ersetzen?

Nein. Artikel 5(3) der ePrivacy-Richtlinie legt eine eigene Einwilligungsregel für das Speichern oder Auslesen von Informationen auf einem Gerät fest, mit nur den Ausnahmen für Übertragung und unbedingte Erforderlichkeit. Eine Rechtsgrundlage der DSGVO nach Artikel 6 deckt die anschließende Verarbeitung personenbezogener Daten ab und tritt nicht an die Stelle der Einwilligung nach Artikel 5(3).

Sind die EDPB-Leitlinien zum berechtigten Interesse endgültig?

Der veröffentlichte Text ist Version 1.0, angenommen am 8. Oktober 2024 und bis zum 20. November 2024 zur öffentlichen Konsultation gestellt. Die Seite des EDPB zu den Guidelines 1/2024 führt weiterhin Version 1.0. Prüfen Sie diese Seite, bevor Sie die Leitlinien in einer formalen Prüfung zitieren, denn eine überarbeitete Fassung würde sie ersetzen.

Welche Beispiele nennt die DSGVO für berechtigtes Interesse?

Erwägungsgrund 47 nennt eine Kunden- oder Arbeitnehmerbeziehung als Rahmen, in dem ein berechtigtes Interesse bestehen könnte, und Erwägungsgrund 49 fügt Netz- und Informationssicherheit hinzu, begrenzt auf das, was unbedingt erforderlich und verhältnismäßig ist. Betrugsprävention erhält die stärkste Formulierung: Erwägungsgrund 47 stellt fest, sie "stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar", ohne Einschränkung. Direktwerbung erhält eine schwächere Formulierung: Sie "kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden", was den Dreistufentest für jeden Einzelfall offenlässt.

Kann ich der Verarbeitung auf Grundlage von berechtigtem Interesse widersprechen?

Artikel 21(1) gibt einer Person das Recht, jederzeit der auf Artikel 6(1)(f) gestützten Verarbeitung zu widersprechen, und der Verantwortliche muss die Verarbeitung einstellen, sofern er nicht "zwingende schutzwürdige Gründe" nachweist, die die Rechte der Person überwiegen, eine höhere Hürde als der gewöhnliche Abwägungstest. Bei Direktwerbung entfällt diese Abwägung durch Artikel 21(2) und 21(3) vollständig: widerspricht die Person, dürfen die Daten für diesen Zweck nicht mehr verarbeitet werden. Artikel 21(4) verlangt, dass der Verantwortliche auf dieses Recht klar und getrennt von anderen Informationen hinweist.

Kann berechtigtes Interesse genutzt werden, wenn keine andere Rechtsgrundlage passt?

Randnummer 9 der EDPB-Leitlinien 1/2024 schließt das direkt aus: Artikel 6(1)(f) "cannot be considered as a legal basis 'by default'" und ist keine "open door" für Verarbeitungen, die zu keiner anderen Grundlage passen. Dieselbe Randnummer weist auch die gegenteilige Gewohnheit zurück, ihn als "last resort" zu behandeln. Jede Nutzung braucht trotzdem ihren eigenen, dokumentierten Dreistufentest.

Sind Cookies zur Reichweitenmessung von der Einwilligung ausgenommen?

Artikel 5(3) selbst enthält keine Ausnahme für Analyse-Cookies, doch Frankreichs CNIL erlaubt eine unter Bedingungen: der Zweck bleibt auf Reichweitenmessung beschränkt, das letzte Byte der IP-Adresse wird gekürzt, und die Lebensdauer der Tracker ist auf 13 Monate begrenzt. Großbritannien ging einen anderen Weg und schrieb eine Opt-out-Ausnahme in Schedule 12 des Data (Use and Access) Act 2025, die einem Dienst erlaubt, statistische Nutzungsinformationen zu speichern oder abzurufen, wenn Nutzer klare Informationen und eine einfache Widerspruchsmöglichkeit erhalten. Diese britische Ausnahme steht außerhalb des EU-Rechts, da das Vereinigte Königreich nicht mehr zur EU gehört.