Das berechtigte Interesse ist eine Rechtsgrundlage der DSGVO (Art. 6 Abs. 1 lit. f), die eine Verarbeitung personenbezogener Daten ohne Einwilligung erlaubt, wenn die Interessen des Verantwortlichen die Interessen und Grundrechte der betroffenen Person überwiegen. Voraussetzung ist eine dokumentierte Abwägung im Einzelfall. Typische Anwendungsfälle sind IT-Sicherheit, Betrugsprävention oder Direktwerbung gegenüber Bestandskunden.
Was ist das berechtigte Interesse nach der DSGVO?
Das berechtigte Interesse ist eine der sechs Rechtsgrundlagen, auf die eine Verarbeitung personenbezogener Daten gestützt werden kann. Geregelt ist es in Art. 6 Abs. 1 lit. f der Datenschutz-Grundverordnung. Danach ist eine Verarbeitung zulässig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist — sofern nicht die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Der genaue Wortlaut von Art. 6 DSGVO und die englische Fassung bei gdpr-info.eu machen die Voraussetzungen nachvollziehbar.
Damit ist das berechtigte Interesse die einzige Rechtsgrundlage, die eine echte Interessenabwägung im Einzelfall verlangt. Es unterscheidet sich grundlegend von der Einwilligung, bei der die betroffene Person aktiv und freiwillig zustimmt, und von der Vertragsgrundlage, bei der die Verarbeitung zur Erfüllung oder Anbahnung eines Vertrags nötig ist. Der gesamte Regelungsrahmen ergibt sich aus der DSGVO, deren Volltext über EUR-Lex abrufbar ist.
Wichtig ist: Die Rechtsgrundlage muss vor Beginn der Verarbeitung feststehen und darf nicht nachträglich ausgetauscht werden. Wer eine Verarbeitung auf das berechtigte Interesse stützt, kann sie nicht später auf die Einwilligung umdeuten, wenn die Abwägung scheitert — die Grundlage ist von Anfang an sauber zu wählen und zu dokumentieren.
Wie funktioniert die Interessenabwägung?
Wer sich auf das berechtigte Interesse stützt, muss eine dreistufige Prüfung durchführen. Erstens muss ein legitimes Interesse vorliegen — das kann wirtschaftlicher, rechtlicher oder ideeller Natur sein, etwa die Absicherung der eigenen IT oder die Pflege von Kundenbeziehungen. Zweitens muss die Verarbeitung zur Erreichung dieses Interesses erforderlich sein; es darf also kein milderes, gleich wirksames Mittel geben. Drittens dürfen die Interessen, Grundrechte und vernünftigen Erwartungen der betroffenen Person nicht überwiegen.
Diese Abwägung — oft Legitimate Interest Assessment genannt — sollte schriftlich dokumentiert werden, um sie gegenüber Aufsichtsbehörden belegen zu können. In die Abwägung fließen unter anderem die Art der Daten, der Kontext der Erhebung und die vernünftigen Erwartungen der Betroffenen ein: Je sensibler die Daten und je überraschender die Verarbeitung, desto eher überwiegen die Betroffeneninteressen.
Betroffene haben zudem ein Widerspruchsrecht: Sie können der Verarbeitung aus Gründen ihrer besonderen Situation widersprechen, bei Direktwerbung sogar ohne jede Begründung. Der Erwägungsgrund 47 der DSGVO nennt Direktwerbung ausdrücklich als mögliches berechtigtes Interesse und betont zugleich die vernünftigen Erwartungen der Betroffenen als Grenze.
Warum ist das berechtigte Interesse in der Praxis so wichtig?
Das berechtigte Interesse ist die flexibelste Rechtsgrundlage und für viele alltägliche Verarbeitungen die praktikabelste. Server-Logfiles zur Absicherung der Website, die Beantwortung von Kontaktanfragen, interne Verwaltungszwecke oder postalische Werbung an Bestandskunden werden häufig darauf gestützt. Ohne diese Grundlage müsste für nahezu jede Verarbeitung eine Einwilligung eingeholt werden — das wäre im laufenden Betrieb kaum umsetzbar und für Betroffene eher lästig als schützend.
Entscheidend ist die transparente Darstellung in der Datenschutzerklärung: Auf welche Rechtsgrundlage eine Verarbeitung gestützt wird und welches konkrete Interesse verfolgt wird, muss dort benannt werden. Für Verarbeitungen mit voraussichtlich hohem Risiko für die Betroffenen kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein. Bei Unsicherheit sollte der oder die Datenschutzbeauftragte frühzeitig eingebunden werden.
Wo endet das berechtigte Interesse — die Grenze zum Tracking
Eine zentrale Grenze verläuft beim Zugriff auf Endgeräte. Für das Speichern und Auslesen von Informationen auf Endgeräten — also Cookies und ähnliche Techniken — verlangt § 25 TDDDG in der Regel eine Einwilligung. Das berechtigte Interesse kann diese spezielle Anforderung nicht ersetzen; es trägt Marketing-Tracking daher meist nicht allein. Der Wortlaut von § 25 TDDDG bei dejure.org und die Regeln im TDDDG präzisieren, wann eine Einwilligung zwingend ist und welche eng gefassten Ausnahmen für technisch notwendige Zugriffe gelten.
Praktisch bedeutet das: Ein Cookie-Banner ist überall dort erforderlich, wo nicht technisch notwendige Cookies oder Analyse- und Marketing-Techniken zum Einsatz kommen. Conversion-Tracking und der Einsatz von Third-Party-Cookies lassen sich nicht über das berechtigte Interesse legitimieren, sondern setzen eine wirksame, informierte Einwilligung voraus. Das TDDDG geht als spezielleres Gesetz hier der allgemeinen Abwägung der DSGVO vor.
Typische Anwendungsfälle und Fehler
Geeignet ist das berechtigte Interesse etwa für technisch notwendige Verarbeitungen beim Website-Betrieb, Maßnahmen der IT-Sicherheit, interne Verwaltungszwecke, Betrugsprävention und in Grenzen für Direktwerbung. Für E-Mail-Werbung gelten daneben aber die strengeren Vorgaben des Wettbewerbsrechts: § 7 UWG verlangt bei Werbe-E-Mails grundsätzlich eine vorherige Einwilligung, weshalb auch die Newsletter-Einwilligung hier nicht durch eine Abwägung ersetzt werden kann.
Ein häufiger Fehler ist, das berechtigte Interesse pauschal als Auffanggrundlage zu verwenden, ohne die Abwägung tatsächlich durchzuführen und zu dokumentieren. Ebenso riskant ist es, Tracking-Cookies auf das berechtigte Interesse zu stützen, statt eine saubere Einwilligung einzuholen. Beide Fehler können im Ernstfall zu einem Bußgeld nach der DSGVO führen — und untergraben zugleich das Vertrauen der Betroffenen, wenn die Praxis auffliegt.
Berechtigtes Interesse im Verhältnis zu den anderen Rechtsgrundlagen
Die DSGVO kennt sechs gleichrangige Rechtsgrundlagen; das berechtigte Interesse ist nur eine davon. Für viele Verarbeitungen ist eine andere Grundlage passender: Die Erfüllung eines Vertrags trägt die Mandats- oder Auftragsbearbeitung, eine rechtliche Verpflichtung trägt etwa steuerliche Aufbewahrungspflichten, und die Einwilligung trägt alles, was über die vernünftigen Erwartungen der Betroffenen hinausgeht. Die richtige Grundlage ergibt sich also aus dem Zweck der Verarbeitung, nicht aus Bequemlichkeit.
Besonders sensibel wird die Einordnung beim Einsatz neuer Technologien: Wer personenbezogene Daten in externe KI-Dienste gibt, muss die Rechtsgrundlage und die Auftragsverarbeitung sauber klären — Hinweise dazu bündelt das Thema Datenschutz bei KI-Tools. Auch das Zusammenspiel mit Verbraucherrechten wie der Widerrufsbelehrung zeigt: Das berechtigte Interesse ersetzt keine speziellere Vorschrift.
In der technischen Umsetzung entscheidet zudem die eingesetzte Messtechnik über die passende Grundlage. Eine rein serverseitige, auf die Absicherung und den Betrieb ausgerichtete Verarbeitung wie beim Server-Side-Tracking kann je nach Ausgestaltung anders zu bewerten sein als das Setzen von Marketing-Cookies im Browser — sobald jedoch Informationen auf dem Endgerät gespeichert oder ausgelesen werden, greift wieder die Einwilligungspflicht des § 25 TDDDG. Das berechtigte Interesse bleibt damit die flexible Auffanggrundlage für das, was vernünftigerweise erwartbar und erforderlich ist — nicht mehr und nicht weniger. Eine saubere Dokumentation der jeweiligen Zuordnung schützt im Zweifel vor Beanstandungen.
Berechtigtes Interesse für Kanzleien und Steuerberater
Für Kanzleien und Steuerberater ist eine saubere Trennung der Rechtsgrundlagen besonders wichtig, weil sie mit sensiblen Mandantendaten arbeiten. Die Bearbeitung einer Mandatsanfrage läuft meist über Vertragsanbahnung, die allgemeine Website-Sicherheit über das berechtigte Interesse und Marketing-Tracking über die Einwilligung. Diese Zuordnung sollte in der Datenschutzerklärung transparent dargestellt, intern dokumentiert und im Zweifel fachlich geprüft werden.
Die vorliegende Darstellung ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung. Da die Abwägung stets vom Einzelfall abhängt und sich Rechtsprechung sowie Auslegung der Behörden weiterentwickeln, empfiehlt sich bei sensiblen oder umfangreichen Verarbeitungen die Prüfung durch datenschutzrechtlich versierte Fachleute. So bleibt die gewählte Grundlage belastbar und nachweisbar.