Was ist das berechtigte Interesse nach der DSGVO?
Art. 6 Abs. 1 lit. f DSGVO erlaubt eine Verarbeitung, die „zur Wahrung der berechtigten Interessen“ des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen. Es ist eine von sechs Rechtsgrundlagen, neben Einwilligung, Vertrag, rechtlicher Verpflichtung, lebenswichtigen Interessen und öffentlicher Aufgabe. Keine steht über den anderen. Unser Leitfaden zu den 7 Voraussetzungen einer wirksamen DSGVO-Einwilligung erklärt, warum die Einwilligung nicht automatisch die „sicherste“ Wahl ist.
Die Aufsichtsbehörden beschreiben das berechtigte Interesse als dreistufige Prüfung, und alle drei Stufen müssen erfüllt sein:
- Ein berechtigtes Interesse. Es muss rechtmäßig, klar bestimmt und tatsächlich vorhanden sein, nicht bloß hypothetisch. Im Urteil KNLTB vom 4. Oktober 2024 (C-621/22) hat der Gerichtshof der EU bestätigt, dass auch ein wirtschaftliches Interesse berechtigt sein kann.
- Erforderlichkeit. Die Verarbeitung muss dem Interesse tatsächlich dienen, und es darf kein milderes Mittel geben, das dasselbe Ziel erreicht.
- Abwägung. Ihr Interesse darf die Rechte der Betroffenen nicht überwiegen, gemessen an deren vernünftigen Erwartungen. Die französische CNIL nennt als Beispiel ein soziales Netzwerk: Werbeprofiling kann über das hinausgehen, was Nutzer vernünftigerweise erwarten.
Diese Interessenabwägung dokumentieren Sie und erwähnen sie in Ihrer Datenschutzerklärung. Der Europäische Datenschutzausschuss (EDSA) hat dieselben drei Schritte in seinen Leitlinien 1/2024 zum berechtigten Interesse festgehalten, die am 8. Oktober 2024 als Entwurf zur öffentlichen Konsultation angenommen wurden.
Berechtigtes Interesse oder Einwilligung: die wichtigsten Unterschiede
Die beiden Grundlagen funktionieren weder für Sie noch für die Betroffenen gleich:
- Wer entscheidet. Bei der Einwilligung entscheidet die Person, bevor etwas geschieht. Beim berechtigten Interesse entscheiden Sie nach einer Abwägung, und die Person kann danach widersprechen.
- Zeitpunkt. Die Einwilligung muss vor Beginn der Verarbeitung vorliegen. Das berechtigte Interesse erlaubt die Verarbeitung von Anfang an, sofern die Abwägung trägt.
- Widerruf oder Widerspruch. Eine Einwilligung kann jederzeit widerrufen werden, so einfach, wie sie erteilt wurde. Beim berechtigten Interesse haben Betroffene ein Widerspruchsrecht (Art. 21). Bei Direktwerbung ist dieser Widerspruch absolut.
- Nachweis. Die Einwilligung muss für jeden Fall nachweisbar sein. Das berechtigte Interesse belegen Sie mit Ihrer dokumentierten Abwägung.
- Rechte. Das Recht auf Datenübertragbarkeit gilt bei Einwilligung und Vertrag, nicht beim berechtigten Interesse.
- Wechsel. Sie dürfen nicht nach Belieben von einer Grundlage zur anderen wechseln. Wird die Einwilligung verweigert oder widerrufen, können Sie für denselben Zweck nicht auf das berechtigte Interesse ausweichen.
Der letzte Punkt ist der, an dem die meisten Websites scheitern. Das berechtigte Interesse ist kein Plan B für Besucher, die abgelehnt haben.
Kann man sich bei Cookies auf das berechtigte Interesse stützen?
Für die meisten Cookies nicht. Für ein Cookie gelten zwei getrennte Regeln, und sie greifen nebeneinander.
Die erste ist Art. 5 Abs. 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt durch § 25 TDDDG. Sie betrifft das Speichern von Informationen auf dem Endgerät und den Zugriff darauf: Cookies, Local Storage, Pixel, Fingerprinting. Sie kennt nur zwei Ausnahmen: die Übertragung einer Nachricht und das, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Alles andere braucht eine vorherige Einwilligung. Das berechtigte Interesse steht nicht auf dieser Liste. Der Gerichtshof hat im Urteil Planet49 (C-673/17, 1. Oktober 2019) bestätigt, dass diese Regel unabhängig davon gilt, ob personenbezogene Daten betroffen sind, und dass ein vorausgefülltes Ankreuzkästchen keine Einwilligung ist.
Die zweite ist die DSGVO. Sie regelt, was Sie anschließend mit den erhobenen personenbezogenen Daten tun. Erst hier kommen Art. 6 und das berechtigte Interesse ins Spiel.
Die Leitlinien des EDSA zum berechtigten Interesse stellen den Zusammenhang her: Wo Art. 5 Abs. 3 für Cookies und ähnliche Tracker eine Einwilligung verlangt, ist die Einwilligung wahrscheinlich auch die passende Rechtsgrundlage für die anschließende Verarbeitung, was das berechtigte Interesse in der Regel ausschließt. Im Urteil Meta Platforms vom 4. Juli 2023 (C-252/21) hat der Gerichtshof zudem entschieden, dass Nutzer eines sozialen Netzwerks nicht vernünftigerweise erwarten können, dass ihre Daten ohne Einwilligung für personalisierte Werbung verwendet werden.
Die Datenschutzkonferenz (DSK) vertritt in ihrer Orientierungshilfe für Anbieter digitaler Dienste dieselbe Linie: Für den Zugriff auf das Endgerät zählt § 25 TDDDG, nicht Art. 6 DSGVO. Ohne Einwilligung kommen nur die Cookies aus, die unser Leitfaden zu technisch notwendigen Cookies mit Beispielen aufführt. Das ist eine Ausnahme nach § 25 Abs. 2 TDDDG, kein berechtigtes Interesse. Die Verwechslung entsteht, weil die DSGVO-Grundlage für die Daten in diesen Cookies oft das berechtigte Interesse oder der Vertrag ist.
Warum zeigen manche Cookie-Banner einen Reiter „berechtigtes Interesse“?
Wenn Sie schon einmal die Einstellungen eines Banners auf einem großen Nachrichtenportal geöffnet haben, kennen Sie die Liste der Partner mit zwei Schaltern: „Einwilligung“ und „Berechtigtes Interesse“, der zweite bereits aktiviert. Er stammt aus dem Transparency and Consent Framework (TCF) des IAB, in dem Werbeanbieter für bestimmte Zwecke ein berechtigtes Interesse angeben können.
Die Aufsichtsbehörden haben deutlich reagiert. Im Februar 2022 stellte die belgische Datenschutzbehörde fest, dass das TCF gegen die DSGVO verstößt, unter anderem weil das berechtigte Interesse die betreffenden Verarbeitungen nicht rechtfertigen konnte, und verhängte gegen IAB Europe ein Bußgeld von 250.000 Euro. Der Gerichtshof bestätigte im März 2024 (C-604/22), dass der vom Framework erzeugte TC-String ein personenbezogenes Datum ist. Version 2.2 des TCF hat das berechtigte Interesse für die Zwecke rund um personalisierte Werbung und personalisierte Inhalte gestrichen. Unser Leitfaden zu TCF 2.2 zeigt, welche Zwecke betroffen sind.
Auch für die Zwecke, bei denen das TCF es noch zulässt, bleibt das Speichern oder Auslesen einer Kennung auf dem Endgerät einwilligungspflichtig. Ein voreingestellter Schalter „berechtigtes Interesse“ ändert daran nichts.
Wann das berechtigte Interesse auf einer Website trägt
Das berechtigte Interesse ist eine echte Rechtsgrundlage, nur eben nicht für einwilligungspflichtige Tracker. Auf einer typischen Website passt es für Verarbeitungen, die nicht auf einem nicht notwendigen Zugriff auf das Endgerät beruhen:
- Sicherheit und Betrugsprävention. Server-Logs, Begrenzung von Anfragen, Bot-Erkennung, Betrugsprüfung von Bestellungen. Die CNIL nennt Netzsicherheit und Betrugsprävention als typische berechtigte Interessen.
- Fehlerüberwachung. Absturzberichte sammeln, um den Dienst stabil zu halten, beschränkt auf das Nötige.
- Bestandskunden. Bestimmte Nachrichten an bestehende Kunden, im Rahmen der Regeln für elektronische Werbung und mit einer einfachen Widerspruchsmöglichkeit.
- Die Daten in ausgenommenen Cookies. Ist ein Cookie unbedingt erforderlich, etwa für Lastverteilung oder den Warenkorb, ist die DSGVO-Grundlage für die enthaltenen Daten oft das berechtigte Interesse oder der Vertrag.
Die Reichweitenmessung nimmt eine Sonderstellung ein. In Frankreich befreit die CNIL bestimmte Analysetools unter strengen Bedingungen von der Einwilligung, wie unser Artikel zu Matomo und dem Cookie-Banner erklärt. In Deutschland gibt es keine vergleichbare allgemeine Ausnahme: Hier bleibt es bei § 25 TDDDG.
FlowConsent zeigt konkret, wie eine CMP beides trennt: Jeder Dienst im Katalog trägt eine plausible Rechtsgrundlage. Ein Fehlerüberwachungstool wie Sentry ist als berechtigtes Interesse mit Widerspruchsrecht markiert, Analyse- und Werbetools stehen standardmäßig unter Einwilligung.
Wie Sie zwischen berechtigtem Interesse und Einwilligung wählen
Ein einfacher Entscheidungsweg deckt die meisten Fälle einer Website ab:
- Speichert oder liest das Tool etwas auf dem Endgerät? Cookies, Local Storage, Pixel, SDKs, Fingerprinting. Wenn nicht, weiter mit Schritt 4.
- Ist es für den vom Besucher gewünschten Dienst unbedingt erforderlich? Login-Sitzung, Warenkorb, Sicherheit, Lastverteilung, Speicherung der Cookie-Entscheidung. Wenn ja, braucht der Zugriff auf das Endgerät keine Einwilligung.
- Wenn nicht, holen Sie eine Einwilligung ein. Analyse, Werbung, Retargeting, eingebettete Social-Media-Inhalte und A/B-Testing-Tools gehören hierher. Der Ablehnen-Button muss so sichtbar sein wie der Akzeptieren-Button, wie unser Leitfaden zu Opt-in und Opt-out erläutert.
- Für Verarbeitungen ohne Zugriff auf das Endgerät prüfen Sie die drei Stufen. Sind sie erfüllt, dokumentieren Sie die Abwägung, nennen Sie sie in Ihrer Datenschutzerklärung und bieten Sie eine einfache Widerspruchsmöglichkeit.
Bevor Sie wählen, müssen Sie wissen, was Ihre Website tatsächlich lädt. Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt: Ein Drittanbieter-Cookie vor jeder Entscheidung zeigt, dass sich ein Tool auf eine Rechtsgrundlage stützt, die es nicht hat.
Zwei Fehler tauchen immer wieder auf. Der erste: Analyse- oder Werbe-Tags im Banner unter „berechtigtes Interesse“ einordnen, damit sie standardmäßig laden. Der zweite: eine Einwilligung abfragen und bei Ablehnung dasselbe Tool unter berechtigtem Interesse weiterlaufen lassen. Beides birgt dasselbe Risiko wie ein fehlendes Banner. Wenn Sie unsicher sind, welche Form der Einwilligung Sie brauchen, klärt unser Leitfaden zu ausdrücklicher und konkludenter Einwilligung die Begriffe.
Sollten Sie als Besucher das berechtigte Interesse ablehnen?
Wenn ein Banner Schalter für das berechtigte Interesse anbietet, können Sie sie deaktivieren. Damit üben Sie Ihr Widerspruchsrecht nach Art. 21 DSGVO aus. Die Website funktioniert weiter: Technisch notwendige Cookies hängen nicht von diesem Schalter ab. Verfolgt ein Anbieter Sie nach Ihrem Widerspruch weiter, können Sie sich bei der zuständigen Datenschutzaufsichtsbehörde beschweren.
Wie FlowConsent berechtigtes Interesse und Einwilligung umsetzt
FlowConsent setzt für jeden Dienst, der Daten auf dem Endgerät speichert oder ausliest, standardmäßig auf Einwilligung. Notwendige Cookies sind ab dem ersten Seitenaufruf aktiv; Analyse-, Marketing- und Präferenzdienste bleiben blockiert, bis der Besucher ihre Kategorie akzeptiert, und Ablehnen ist so einfach wie Zustimmen.
Jeder Dienst im Katalog trägt eine Rechtsgrundlage. Ein Badge erscheint nur, wenn sie von der Einwilligung abweicht: berechtigtes Interesse (mit dem Hinweis, es zu deklarieren und ein Widerspruchsrecht anzubieten), Vertrag oder mögliche CNIL-Ausnahme mit Checkliste. Diese Grundlage ist ein Ausgangspunkt, die abschließende Prüfung bleibt beim Websitebetreiber. Einwilligungen lassen sich als Nachweis exportieren, und Google Consent Mode v2 ist integriert. Details finden Sie in der Dokumentation zu Diensten und Rechtsgrundlagen.