67
Entscheidend für die Zulässigkeit einer Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO sind die Umstände des jeweiligen Einzelfalls.
68
Konkretisiert werden die notwendigerweise wenig bestimmten Tatbestandsvoraussetzungen des Art. 6 Abs. 1 lit. f DSGVO in den Erwägungsgründen 47–49.
69
Damit ein Verantwortlicher personenbezogene Daten auf Art. 6 Abs. 1 lit. f DSGVO stützen kann, müssen drei Voraussetzungen erfüllt sein:101
1. Der Verantwortliche oder ein Dritter müssen berechtigte Interessen an der Verarbeitung personenbezogener Daten haben.
2. Die (geplante) Verarbeitung muss zur Wahrung dieser berechtigten Interessen erforderlich sein.
3. Die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, dürfen die berechtigten Interessen des Verantwortlichen/Dritten nicht überwiegen.
a) Berechtigte Interessen des Verantwortlichen oder eines Dritten
70
Ein berechtigtes Interesse i.S.d. Art. 6 Abs. 1 lit. f DSGVO ist jedes (rechtliche, wirtschaftliche oder ideelle) Interesse, das von der Rechtsordnung nicht missbilligt wird.102 Das BVerwG verlangt in diesem Zusammenhang, dass die Interessen schutzwürdig und objektiv begründbar sein müssen.103
71
Die Erwägungsgründe 47–49 enthalten einige Beispiele für berechtigte Interessen i.S.d. Art. 6 Abs. 1 lit. f DSGVO:
– Verhinderung von Betrug,
– Direktwerbung,
– Verarbeitung personenbezogener Daten innerhalb einer Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten,104
– Verarbeitung personenbezogener Daten durch Behörden, Computer-Notdienste (Computer Emergency Response Teams – CERT, beziehungsweise Computer Security Incident Response Teams – CSIRT), Betreiber von elektronischen Kommunikationsnetzen und -diensten sowie durch Anbieter von Sicherheitstechnologien und -diensten zur Gewährleistung der Netz- und Informationssicherheit.105
72
Diese Aufzählung ist freilich nicht abschließend. Grundsätzlich kann insoweit auch auf die bereits zu § 28 Abs. 1 S. 1 Nr. 2 BDSG a.F. bzw. Art. 7 lit. f der Datenschutzrichtlinie 95/46/EG gebildeten Fallgruppen zurückgegriffen werden, da Art. 6 Abs. 1 lit. f DSGVO die entsprechende Regelung der Datenschutzrichtlinie 95/46/EG in Art. 7 lit. f übernimmt.106 Als berechtigte Interessen kommen daher z.B. auch in Betracht:107
– Verarbeitung von Kundendaten im Rahmen von CRM-Systemen,108
– Verarbeitung personenbezogener Daten im Rahmen einer Funktionsübertragung,109
– Verarbeitung personenbezogener Daten zu Compliance-Zwecken,
– Durchführung einer Due Diligence,
– Verarbeitung personenbezogener Daten für etwaige Rückrufaktionen,
– Bonitätsprüfungen von (zukünftigen) Kunden,110
– Unternehmensübergang,
– Forderungsabtretung,
– Warnsysteme (unternehmensintern und innerhalb von Branchen, z.B. der Banken- und Versicherungsbranche).
73
Infolge des Wegfalls zuvor im BDSG a.F. enthaltener Spezialregelungen richtet sich aber auch die datenschutzrechtliche Zulässigkeit der Videoüberwachung öffentlich-zugänglicher Räume,111 des Adresshandels und der geschäftsmäßigen Datenerhebung und -speicherung zum Zwecke der Übermittlung – also des Datenhandels –112 i.d.R. nach Art. 6 Abs. 1 lit. f DSGVO. So liegt auch in diesen Fällen i.d.R. ein berechtigtes Interesse vor.113
74
Nach dem ausdrücklichen Wortlaut von Art. 6 lit. f DSGVO ist es unerheblich, ob ein solches berechtigtes Interesse auf Seiten des Verantwortlichen für die Datenverarbeitung oder auf Seiten eines Dritten besteht.
b) Erforderlichkeit einer Datenverarbeitung zur Wahrung der berechtigten Interessen
75
Zweite Voraussetzung dafür, dass eine Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, ist, dass die (geplante) Datenverarbeitung erforderlich zur Wahrung des jeweiligen berechtigten Interesses ist. Dies ist der Fall, wenn die Datenverarbeitung hierfür objektiv geboten ist.114 Der EuGH hat in diesem Zusammenhang noch zur „Vorgängervorschrift“ des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG entschieden, dass sich die Verarbeitung auf das absolut Notwendige beschränken müsse. Mithin sei zu prüfen, ob das berechtigte Interesse vernünftigerweise ebenso wirksam mit weniger in die Grundrechte und Grundfreiheiten der betroffenen Person, vor allem nach Art. 7 und 8 GRCh, eingreifenden Mitteln erreicht werden könne.115
c) Keine überwiegenden Interessen/Rechte der betroffenen Person am Ausschluss der Datenverarbeitung
76
Schließlich ist die Verarbeitung personenbezogener Daten zu Zwecken der Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten aber nur dann zulässig, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
77
Mithin erfordert Art. 6 Abs. 1 lit. f DSGVO eine Abwägung zwischen dem berechtigten Interesse des Verantwortlichen bzw. des Dritten auf der einen Seite und den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, auf der anderen Seite. Aus dem Wortlaut der Vorschrift ergibt sich im Hinblick auf die Interessenabwägung Folgendes:
– Die Regel besteht darin, dass die Verarbeitung personenbezogener Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zulässig ist, wenn sie zur Wahrung eines berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich ist. Nur im Ausnahmefall ist sie unzulässig: wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.116
– Die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, müssen das berechtigte Interesse des Verantwortlichen/des Dritten überwiegen. Wiegen also die Interessen auf beiden Seiten gleich schwer, ist die Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO zulässig.117
78
Welche Umstände bei der Interessenabwägung auf Seiten der betroffenen Personen zu berücksichtigen sind, bemisst sich nach dem jeweiligen Einzelfall.
79
Jedenfalls sind nach Erwägungsgrund 47 DSGVO die vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen. Je „näher“ die Beziehung der betroffenen Person zu dem Verantwortlichen ist, desto eher überwiegen die berechtigten Interessen des Verantwortlichen. So besagt Erwägungsgrund