Berechtigtes Interesse — Art. 6 Abs. 1 lit. f DSGVO — ist die nützlichste und meist missverstandene Rechtsgrundlage der Verordnung. Marketing greift danach, weil sie kein Consent-Banner braucht; Aufsichtsbehörden prüfen sie, weil sie kein Pauschal-Freibrief werden darf. Dieser Beitrag geht durch, was die Norm sagt, welchen Drei-Schritt-Test Aufsichten erwarten, ein durchgerechnetes Beispiel für Firmenerkennung — und wo die Grenzen liegen.
Was Art. 6 Abs. 1 lit. f DSGVO tatsächlich sagt
Die Norm erlaubt die Verarbeitung personenbezogener Daten, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen." Zwei Wörter tragen das Gewicht — „erforderlich" und „überwiegen" — und die dritte Säule ist ungeschrieben, aber erwartet: Das berechtigte Interesse muss selbst rechtmässig sein. Fällt eines aus, fällt die Grundlage.
Die Aufsicht entscheidet nicht für dich. Du führst die Analyse durch, du dokumentierst sie, und bei einer Beanstandung legst du sie vor. Keine Meldung, keine Registrierung, keine Genehmigung — aber auch keine Verteidigung, wenn die Abwägung nie tatsächlich stattgefunden hat.
Der Drei-Schritt-Abwägungstest
Europäische Aufsichten konvergieren auf denselben Drei-Schritt-Rahmen, oft LIA (Legitimate Interests Assessment) genannt. Jeder Schritt muss bestehen.
- Zwecktest — ist das Interesse rechtmässig, konkret und real? Ein generisches „wir wollen mehr verkaufen" reicht nicht. „Firmen identifizieren, die unsere B2B-Website besuchen, um die richtigen Entscheider mit relevanten Informationen zu erreichen" schon.
- Erforderlichkeitstest — ist die Verarbeitung das mildeste Mittel? Wenn eine weniger eingreifende Methode ausreicht (aggregierte Analytics, Opt-in-Newsletter, Formular), ist ihr Vorrang zu geben. Erforderlich heisst: es geht vernünftigerweise nicht anders.
- Abwägungstest — überwiegen die Interessen, Rechte und Freiheiten der betroffenen Person? Zu betrachten: vernünftige Erwartungen, Art der Daten, Sensibilität, Kontext der Erhebung, angewandte Schutzmassnahmen.
Beispiel: Firmenerkennung auf Website-Ebene
Angenommen ein B2B-SaaS-Unternehmen in der EU will die Organisationen hinter Website-Besuchen identifizieren — Firmenebene, keine Cookies, keine personenbezogenen Identifikatoren. So sieht ein verteidigbares LIA aus, Schritt für Schritt.
Schritt 1 — Zweck
Der Zweck ist, Firmen zu identifizieren, die aktiv einen B2B-Dienst recherchieren, um ihnen relevante, gezielte Informationen zu senden (personalisierte E-Mail, Case-Study, Einladung zu einem fünfzehnminütigen Gespräch). Der Zweck ist rechtmässig, konkret und real. Er ist keine „auf Verdacht"-Datensammlung.
Schritt 2 — Erforderlichkeit
Ginge es milder? Aggregierte Analytics beantwortet „wie viele?", nicht „wer?" — sie erfüllt den Zweck nicht. Ein Newsletter erreicht selbstgewählte Abonnenten, nicht die Firmen, die gerade jetzt recherchieren. Ein Formular fängt nur den kleinen Anteil ein, der freiwillig Daten hinterlässt. Firmenerkennung, die die IP auf eine Organisation auflöst, ohne einen personenbezogenen Identifikator zu berühren, ist ein verhältnismässiges und erforderliches Mittel für den genannten Zweck.
Schritt 3 — Abwägung
Vernünftige Erwartungen: Geschäftliche Besucher einer B2B-Website erwarten im Rahmen ihrer Arbeit typischerweise, dass der Betreiber sieht, dass ein Unternehmen (nicht zwingend eine bestimmte Person) besucht hat. Art der Daten: Die identifizierte Entität ist eine juristische Person, keine natürliche. Sensibilität: keine besonderen Kategorien im Sinne des Art. 9. Kontext: Erhebung auf der eigenen Website im normalen Geschäftsbetrieb. Schutzmassnahmen: keine Cookies, kein Fingerprinting, kein Cross-Site-Tracking, kein Personenprofil; zugängliches Opt-out für die identifizierte Firma; öffentliche Datenschutzinformation, die den Vorgang genau beschreibt.
In dieser Abwägung wird das Interesse des Verantwortlichen, einen Entscheider mit relevanter Information zu erreichen, im normalen B2B-Fall nicht durch Interessen, Rechte und Freiheiten überlagert. Eine andere Verarbeitung (z. B. Tracking auf Personenebene, oder Weiterverkauf an Dritte) würde die Waage kippen — die Analyse ist spezifisch für das, was du tatsächlich tust.
Wie die Dokumentation konkret aussieht
Ein verteidigbares LIA ist ein kurzes, datiertes Dokument — meist zwei bis vier Seiten — von einer namentlich benannten Person freigezeichnet. Unten die Struktur, die die meisten europäischen Aufsichten akzeptieren.
| Abschnitt | Inhalt | Umfang |
|---|---|---|
| Kopf | Verantwortlicher, Adresse, DSB-Kontakt (falls vorhanden), Wirksamkeitsdatum | 1 Zeile je |
| Zweck | Konkretes, rechtmässiges, reales Interesse — ein Absatz | ~100 Wörter |
| Erforderlichkeit | Geprüfte Alternativen und warum sie den Zweck nicht erfüllen | ~150 Wörter |
| Abwägung | Vernünftige Erwartungen, Art, Sensibilität, Kontext, Schutzmassnahmen | ~300 Wörter |
| Schutzmassnahmen | Konkrete Massnahmen: Opt-out, Löschfristen, keine Personen-IDs, AVV mit Auftragsverarbeitern | ~150 Wörter |
| Review | Freigezeichnet von (Name, Rolle); nächster Review (jährlich) | 2 Zeilen |
Was sich pro Land unterscheidet
Art. 6 Abs. 1 lit. f gilt EU-weit einheitlich, aber die ePrivacy-Ebene (in Deutschland § 25 TDDDG) regelt, ob du Informationen im Endgerät ablegen oder auslesen darfst — Cookies, Local Storage, Fingerprinting. Firmenerkennung ohne clientseitige Speicherung fällt aus der § 25-Einwilligungspflicht heraus; jeder clientseitige Identifikator schiebt dich unabhängig von deiner Art. 6-Grundlage in die Einwilligungspflicht.
Wann Einwilligung — nicht berechtigtes Interesse — die richtige Grundlage ist
Berechtigtes Interesse ist kein Universalersatz für Einwilligung. In mindestens drei häufigen B2B-Situationen kippt die richtige Grundlage zu Einwilligung (Art. 6 Abs. 1 lit. a).
- Wenn Informationen im Endgerät des Besuchers gespeichert oder daraus gelesen werden, die nicht unbedingt erforderlich sind — Tracking-Cookie, localStorage-ID, Fingerprint — verlangt ePrivacy/§ 25 TDDDG Einwilligung unabhängig von der Art. 6-Grundlage.
- Verarbeitung personenbezogener Daten natürlicher Personen für verhaltensbasierte Werbung, Cross-Site-Profiling oder Weiterverkauf an Dritte. Das liegt klar ausserhalb eines verhältnismässigen B2B-Kontaktinteresses.
- Besondere Kategorien (Art. 9) — Gesundheit, politische Meinungen, biometrische Daten — sind nie von einem gewöhnlichen berechtigten Interesse gedeckt; zusätzlich zu Art. 6 ist eine Art. 9-Grundlage nötig.
Operative Checkliste
- Du hast eine schriftliche, datierte LIA für die konkrete Verarbeitung.
- Deine Datenschutzinformation erklärt in Klartext, dass du Firmen (nicht Personen) identifizierst und warum.
- Du hast ein zugängliches Opt-out — und du ehrst es. Betroffene Firmen werden binnen definierter Frist entfernt und nicht neu identifiziert.
- Du hast eine unterzeichnete AVV mit jedem Auftragsverarbeiter, der die Daten berührt.
- Du reviewst die LIA jährlich oder bei wesentlicher Änderung der Verarbeitung.
Dieser Beitrag dient der Aufklärung und ersetzt keine Rechtsberatung. Für eine verbindliche Beurteilung eigener Verarbeitung ist qualifizierter Rat in deiner Rechtsordnung nötig.
Veröffentlicht von
lead.box Team
Weitere Artikel
Seh dir lead.box auf deinem eigenen Traffic an
Kostenlos starten — ohne Karte, ohne Sales-Call. Oder buch dir eine 20-minütige Führung, wenn du es geführt haben willst.