Was ist ein berechtigtes Interesse (DSGVO)?

Berechtigtes Interesse ist eine von sechs Rechtsgrundlagen nach Artikel 6 DSGVO, die die Verarbeitung personenbezogener Daten erlauben, und die meistmissverstandene, weil sie anders als die Einwilligung nicht verlangt, die betroffene Person vorher zu fragen. Ein Verantwortlicher darf sich auf berechtigtes Interesse stützen, wenn er einen echten geschäftlichen Grund für die Verarbeitung hat, die Verarbeitung dafür notwendig ist und dieses Interesse nicht von den Rechten und Freiheiten der betroffenen Person überwogen wird. Die Rechtsgrundlage existiert genau für die routinemäßige Verarbeitung, die Consent-Banner nie regeln sollten: Betrugsprävention, Netzwerksicherheit, Direktmarketing an Bestandskunden und interne Analytik stützen sich üblicherweise darauf statt auf Einwilligung.

Der Abwägungstest, der es funktionieren lässt

Berechtigtes Interesse ist keine pauschale Ausnahme: Es ist an einen dreiteiligen Test gebunden, den Aufsichtsbehörden dokumentiert erwarten, nicht bloß behauptet. Zweck: Gibt es ein echtes, konkretes Interesse, das über „könnte uns nützlich sein" hinaus artikuliert ist? Erforderlichkeit: Ist diese Verarbeitung tatsächlich nötig, um den Zweck zu erreichen, ohne weniger eingreifenden Weg? Abwägung: Erlaubt die vernünftige Erwartung und das Interesse der betroffenen Person an ihren eigenen Daten die Verarbeitung noch, gegen den geschäftlichen Bedarf abgewogen? Eine Interessenabwägungsprüfung (Legitimate Interest Assessment, LIA) hält diese Überlegung fest, und ihr Fehlen ist selbst eine Compliance-Lücke: Aufsichtsbehörden haben Unternehmen bestraft, die sich auf die Grundlage stützten, ohne den Test überhaupt durchgeführt oder dokumentiert zu haben.

Wo es auf Betrug und Sicherheit zutrifft

Erwägungsgrund 47 der DSGVO nennt Betrugsprävention sowie Netz- und Informationssicherheit ausdrücklich als Verarbeitung, die „als berechtigtes Interesse gelten kann," der klarste gesetzliche Anknüpfungspunkt genau für die Art von Datenverarbeitung, die Bot-Erkennung leistet. Verhaltenssignale zu analysieren, um Menschen von Automatisierung zu unterscheiden, Verbindungsmetadaten zum Aufbau von Risk Scores zu protokollieren und Betrugsmuster-Daten kurz zum Schutz anderer Nutzer aufzubewahren, passen alle in dieses Modell, wenn eng gefasst und zeitlich begrenzt, weshalb sich die Verarbeitung eines Sicherheitsanbieters typischerweise auf berechtigtes Interesse statt auf Einwilligung stützt: Einen Bot um Einwilligung zu seiner Erkennung zu bitten, ist kein funktionierendes Sicherheitsmodell.

Verarbeitung gestalten, die den Test übersteht

Die praktische Disziplin ist Verhältnismäßigkeit: nur sammeln, was der erklärte Zweck braucht, nur so lange aufbewahren, wie der Zweck es erfordert, und Ansätze bevorzugen, die die Auswirkung auf legitime Nutzer minimieren. Privacy by Design und Data Minimization sind keine von berechtigtem Interesse getrennten DSGVO-Prinzipien: Sie sind das, was das Abwägungsergebnis einer LIA vertretbar macht. Ein Verifizierungsansatz, der auf transiente Signalverarbeitung statt dauerhaftem Tracking aufbaut, das Modell, das CaptchaFox nutzt, um Sessions zu bewerten, ohne stehende Profile von Einzelpersonen aufzubauen, lässt sich unter berechtigtem Interesse leichter rechtfertigen, gerade weil es weniger tut, als es könnte. Genau das ist der Sinn des Abwägungstests: nur verarbeiten, was das Interesse tatsächlich erfordert, und nicht mehr.