Was ist berechtigtes Interesse?
Anders als die Einwilligung verlangt das berechtigte Interesse nicht, dass die betroffene Person der Verarbeitung aktiv zustimmt. Allerdings muss eine Organisation begründen können, warum die Verarbeitung rechtmäßig, erforderlich und verhältnismäßig ist.
Eine Bewertung des berechtigten Interesses (LIA) wird üblicherweise verwendet, um diese Analyse zu dokumentieren.
Wichtig: Berechtigtes Interesse ist keine pauschale Ausnahme von den Einwilligungsanforderungen. Insbesondere erlaubt die Berufung auf ein berechtigtes Interesse nicht automatisch nicht notwendige Cookies, Werbetracker oder andere Technologien, wenn die einschlägigen ePrivacy-Vorgaben eine Einwilligung verlangen.
Berechtigtes Interesse einfach erklärt
Berechtigtes Interesse bedeutet, dass eine Organisation einen echten und rechtmäßigen Grund für die Nutzung personenbezogener Daten hat, dass die Verarbeitung zur Erreichung dieses Zwecks erforderlich ist und dass die Datenschutzinteressen der betroffenen Person das Interesse der Organisation nicht überwiegen.
Eine Organisation kann beispielsweise ein berechtigtes Interesse haben an:
- Der Verhinderung von Betrug
- Dem Schutz der Netz- und Informationssicherheit
- Der Aufdeckung von Missbrauch
- Der Pflege einer bestehenden Kundenbeziehung
- Bestimmten Formen der Direktwerbung
- Der Beitreibung von Forderungen
- Der Wahrung von Rechtsansprüchen
- Der Verbesserung interner Geschäftsabläufe
- Der Verhinderung des Missbrauchs von Diensten
Ob ein berechtigtes Interesse greift, hängt von den konkreten Umständen ab.
Dass eine Tätigkeit wirtschaftlich nützlich ist, macht sie nicht automatisch zu einem berechtigten Interesse.
Ist berechtigtes Interesse eine Rechtsgrundlage nach der GDPR?
Ja.
Artikel 6(1)(f) der GDPR erkennt berechtigte Interessen als eine der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten an.
Sie greift, wenn:
- Die Organisation oder ein Dritter ein berechtigtes Interesse hat.
- Die Verarbeitung der personenbezogenen Daten für dieses Interesse erforderlich ist.
- Die Interessen, Rechte oder Freiheiten der betroffenen Person das berechtigte Interesse nicht überwiegen.
Diese Voraussetzungen gelten kumulativ. Alle drei müssen erfüllt sein.
Der dreiteilige Test zum berechtigten Interesse
Kern des berechtigten Interesses ist eine dreiteilige Prüfung.
Zweckprüfung
Bestimmen Sie zunächst das berechtigte Interesse.
Fragen Sie:
- Was wollen wir erreichen?
- Wer profitiert von der Verarbeitung?
- Ist das Interesse rechtmäßig?
- Ist das Interesse klar definiert?
- Besteht ein echtes und gegenwärtiges Interesse?
Mögliche Interessen können kommerzieller, individueller, betrieblicher, sicherheitsbezogener oder breiterer gesellschaftlicher Art sein.
Das Interesse sollte klar benannt und nicht mit vagen Formulierungen wie „Geschäftszwecke“ umschrieben werden.
Erforderlichkeitsprüfung
Prüfen Sie anschließend, ob die Verarbeitung personenbezogener Daten tatsächlich erforderlich ist, um dieses Interesse zu erreichen.
Fragen Sie:
- Trägt die geplante Verarbeitung dazu bei, das festgelegte Ziel zu erreichen?
- Ist die Verarbeitung vernünftigerweise erforderlich?
- Ließe sich dasselbe Ziel auch anders erreichen?
- Gibt es eine weniger eingriffsintensive Methode?
Steht eine ebenso wirksame und weniger in die Privatsphäre eingreifende Methode vernünftigerweise zur Verfügung, ist das berechtigte Interesse möglicherweise keine geeignete Rechtsgrundlage.
Die Erforderlichkeitsprüfung bedeutet daher nicht schlicht, dass die Verarbeitung praktisch ist.
Interessenabwägung
Wägen Sie schließlich das berechtigte Interesse der Organisation gegen die Interessen, Rechte und Freiheiten der betroffenen Person ab.
Berücksichtigen Sie:
- Welche personenbezogenen Daten werden verarbeitet?
- Wie sensibel sind sie?
- Welche Auswirkungen sind für die betroffenen Personen wahrscheinlich?
- Würden die betroffenen Personen die Verarbeitung vernünftigerweise erwarten?
- Wie stark ist das Interesse der Organisation?
- Ist die Verarbeitung eingriffsintensiv?
- Sind Kinder oder schutzbedürftige Personen betroffen?
- Welche Schutzmaßnahmen können die Auswirkungen verringern?
Überwiegen die Interessen, Rechte oder Freiheiten der betroffenen Person das berechtigte Interesse der Organisation, kann Artikel 6(1)(f) für diese Verarbeitung nicht herangezogen werden.
Was ist eine Bewertung des berechtigten Interesses (LIA)?
Eine Bewertung des berechtigten Interesses (LIA) ist eine dokumentierte Prüfung, mit der festgestellt wird, ob das berechtigte Interesse für eine bestimmte Verarbeitungstätigkeit eine geeignete Rechtsgrundlage ist.
Eine gute LIA sollte in der Regel dokumentieren:
- Den Zweck der Verarbeitung
- Das verfolgte berechtigte Interesse
- Die Parteien, die davon profitieren
- Die betroffenen personenbezogenen Daten
- Warum die Verarbeitung erforderlich ist
- Die geprüften alternativen Methoden
- Die möglichen Auswirkungen auf die betroffenen Personen
- Die vernünftigen Erwartungen der betroffenen Personen
- Einschlägige Schutzmaßnahmen
- Das Ergebnis der Interessenabwägung
- Etwaige Bedingungen oder Beschränkungen der Verarbeitung
Die Bewertung sollte durchgeführt werden, bevor die Verarbeitung auf das berechtigte Interesse gestützt wird.
Die ICO beschreibt eine LIA als leichtgewichtige Risikobewertung, die auf den konkreten Umständen der geplanten Verarbeitung beruht, und empfiehlt, das Ergebnis zu dokumentieren.
Kann berechtigtes Interesse die Einwilligung ersetzen?
Nein, im Allgemeinen nicht.
Berechtigtes Interesse kann für eine bestimmte Verarbeitungstätigkeit mitunter eine alternative Rechtsgrundlage nach der GDPR sein, setzt sich aber nicht über andere rechtliche Anforderungen hinweg.
Diese Unterscheidung ist für Websites besonders wichtig.
Eine Organisation kann beispielsweise ein berechtigtes Interesse an der Sicherheit ihrer Website haben. Das bedeutet nicht automatisch, dass sie jedes Analyse- oder Werbecookie ohne Einwilligung setzen darf.
Vorgaben zu Cookies und zur elektronischen Kommunikation können über die Prüfung der Rechtsgrundlage nach der GDPR hinaus zusätzliche Anforderungen stellen.
Daher gilt:
Rechtsgrundlage nach der GDPR ≠ automatische Erlaubnis, Cookies oder Tracking-Technologien zu setzen.
Dies ist eine der wichtigsten Unterscheidungen, die Datenschutzteams verstehen müssen.
Berechtigtes Interesse und Cookies
Berechtigtes Interesse sollte nicht als pauschale Rechtfertigung für nicht notwendige Cookies verwendet werden.
Eine Website kann beispielsweise einen Werbetracker nicht einfach als „berechtigtes Interesse“ deklarieren und annehmen, dass der Tracker vor der Einwilligung laden darf, wenn die einschlägigen Cookie-/ePrivacy-Vorgaben eine vorherige Einwilligung verlangen.
Eine ordentliche Prüfung sollte gesondert betrachten:
- Ob die Verarbeitung personenbezogener Daten auf einer gültigen Rechtsgrundlage nach der GDPR beruht.
- Ob die zur Erhebung von Informationen oder zum Zugriff darauf eingesetzte Technologie zusätzlichen Cookie-/ePrivacy-Anforderungen unterliegt.
- Ob vor dem Einsatz der Technologie eine Einwilligung erforderlich ist.
- Ob die Verarbeitung mit den Erwartungen und Rechten der betroffenen Person vereinbar ist.
Diese Unterscheidung verhindert, dass Organisationen die Rechtsgrundlage nach der GDPR mit den Anforderungen an Speicherung und Zugriff bei Cookies verwechseln.
Berechtigtes Interesse und Analyse
Analyse kann mehrere unterschiedliche Verarbeitungstätigkeiten umfassen.
Eine Organisation sollte nicht automatisch jede Analyse als berechtigtes Interesse einstufen.
Berücksichtigen Sie:
- Welche Informationen werden erhoben?
- Sind die Daten aggregiert oder identifizierbar?
- Werden dauerhafte Kennungen verwendet?
- Werden Informationen an Dritte weitergegeben?
- Ist websiteübergreifendes Tracking beteiligt?
- Findet Profiling statt?
- Welche Erwartungen hat die Nutzerin oder der Nutzer?
- Sind Cookies oder ähnliche Technologien beteiligt?
- Steht eine andere, weniger eingriffsintensive Analysemethode zur Verfügung?
Eine interne Analysetätigkeit mit geringen Auswirkungen kann rechtlich anders zu bewerten sein als verhaltensbasiertes Tracking über Websites und Dienste hinweg.
Die Rechtsgrundlage sollte daher anhand der tatsächlichen Umsetzung bewertet werden.
Berechtigtes Interesse und Betrugsprävention
Betrugsprävention ist ein häufig betrachtetes berechtigtes Interesse.
Eine Organisation kann ein starkes Interesse daran haben, Folgendes zu erkennen:
- Kontoübernahmen
- Zahlungsbetrug
- Gefälschte Konten
- Missbrauch von Zugangsdaten
- Automatisierte Angriffe
- Verdächtige Transaktionen
- Missbrauch des Dienstes
Betrugsprävention ist jedoch nicht automatisch rechtmäßig, nur weil die Organisation sie als sicherheitsbezogen beschreibt.
Die Organisation sollte dennoch Erforderlichkeit, Verhältnismäßigkeit, Auswirkungen, vernünftige Erwartungen und einschlägige Schutzmaßnahmen prüfen.
Berechtigtes Interesse und Direktwerbung
Direktwerbung kann sich nach der GDPR/UK GDPR mitunter auf ein berechtigtes Interesse stützen, dies erfordert jedoch eine kontextbezogene Prüfung und kann zusätzlichen Vorgaben für elektronische Werbung unterliegen.
Die ICO weist darauf hin, dass ein berechtigtes Interesse für Direktwerbung in Betracht kommen kann, wenn die einschlägigen Vorgaben zur elektronischen Kommunikation keine Einwilligung verlangen, sofern die Verarbeitung verhältnismäßig ist, nur minimale Auswirkungen auf die Privatsphäre hat und nicht unerwartet ist oder wahrscheinlich ungerechtfertigten Widerspruch hervorruft.
Aus diesem Grund sollte ein Unternehmen die Aussage
„Wir haben ein berechtigtes Interesse an Werbung“
nicht für sich genommen als ausreichende Rechtfertigung behandeln.
Es sollte gesondert berücksichtigen:
- Die Art der Beziehung
- Den Status als Bestandskunde
- Was die betroffenen Personen vernünftigerweise erwarten
- Die Art der Werbung
- Den Kommunikationskanal
- Einschlägige ePrivacy- und Direktwerbevorgaben
- Das Widerspruchsrecht der betroffenen Person
Berechtigtes Interesse und Profiling
Profiling kann sich mitunter auf ein berechtigtes Interesse stützen, doch die Prüfung gewinnt an Bedeutung, je stärker die Auswirkungen auf die betroffenen Personen sind.
Berücksichtigen Sie:
- Welche Informationen werden verwendet?
- Welche Merkmale werden abgeleitet?
- Wird das Profiling für Werbung genutzt?
- Beeinflusst es den Zugang zu Produkten oder Dienstleistungen?
- Hat es erhebliche Auswirkungen auf die betroffenen Personen?
- Würden die Menschen das Profiling vernünftigerweise erwarten?
- Können sie widersprechen?
- Welche Schutzmaßnahmen stehen zur Verfügung?
Eine Bewertung des berechtigten Interesses sollte die tatsächlichen Folgen des Profilings abbilden, statt Profiling als gewöhnliche Verarbeitung zu behandeln.
Berechtigtes Interesse und Betroffenenrechte
Betroffene Personen behalten wichtige Rechte, auch wenn die Verarbeitung auf einem berechtigten Interesse beruht.
Nach der GDPR kann eine betroffene Person aus Gründen, die sich aus ihrer besonderen Situation ergeben, einer Verarbeitung auf Grundlage von Artikel 6(1)(e) oder 6(1)(f) widersprechen.
Richtet sich der Widerspruch gegen Direktwerbung, ist das Widerspruchsrecht stärker: Die personenbezogenen Daten dürfen dann nicht mehr für Zwecke der Direktwerbung verarbeitet werden.
Das bedeutet, dass Organisationen, die sich auf ein berechtigtes Interesse stützen, Prozesse haben sollten für:
- Das Entgegennehmen von Widersprüchen
- Das Bewerten von Widersprüchen
- Das Dokumentieren von Widersprüchen
- Das Aktualisieren von Verarbeitungspräferenzen
- Das Einstellen der Verarbeitung, wo erforderlich
- Das Dokumentieren etwaiger rechtmäßiger Gründe für die Fortsetzung der Verarbeitung, wo zulässig
Berechtigtes Interesse und Kinder
Bei Kindern ist besondere Sorgfalt geboten.
Nach Artikel 6(1)(f) der GDPR sind die Rechte und Freiheiten der betroffenen Person, insbesondere wenn es sich um ein Kind handelt, für die Prüfung des berechtigten Interesses ausdrücklich relevant.
Eine Verarbeitung, die Kinder betrifft, kann daher stärkere Schutzmaßnahmen und eine vorsichtigere Interessenabwägung erfordern.
Eine Organisation sollte nicht davon ausgehen, dass ein berechtigtes Interesse, das für Erwachsene vertretbar ist, automatisch auch für Kinder angemessen bleibt.
Berechtigtes Interesse und sensible Daten
Das berechtigte Interesse nach Artikel 6(1)(f) reicht für sich genommen nicht aus, um besondere Kategorien personenbezogener Daten nach der GDPR zu verarbeiten.
Sind besondere Kategorien personenbezogener Daten betroffen, benötigt eine Organisation in der Regel:
- Eine Rechtsgrundlage nach Artikel 6; und
- Eine einschlägige Voraussetzung nach Artikel 9.
Die Prüfung kann daher zusätzliche rechtliche Schutzmaßnahmen erfordern.
Ebenso gelten für Daten über Straftaten zusätzliche Anforderungen.
Berechtigtes Interesse vs. Vertrag
Berechtigtes Interesse und vertragliche Erforderlichkeit sind getrennte Rechtsgrundlagen.
Vertragliche Erforderlichkeit
Die Verarbeitung ist erforderlich, um einen Vertrag mit der betroffenen Person zu erfüllen oder um auf deren Anfrage vorvertragliche Maßnahmen durchzuführen.
Berechtigtes Interesse
Die Verarbeitung ist für ein berechtigtes Interesse erforderlich, vorbehaltlich der dreiteiligen Interessenabwägung.
Eine Organisation sollte den Vertrag nicht allein deshalb als Rechtsgrundlage heranziehen, weil die Verarbeitung für ihr Geschäft nützlich ist.
Ebenso sollte das berechtigte Interesse nicht herangezogen werden, wenn die vertragliche Erforderlichkeit die passendere Rechtsgrundlage ist.
Die Rechtsgrundlage sollte den tatsächlichen Zweck und die tatsächliche Erforderlichkeit der Verarbeitung abbilden.
Berechtigtes Interesse vs. rechtliche Verpflichtung
Eine rechtliche Verpflichtung greift, wenn die Verarbeitung zur Erfüllung einer der Organisation auferlegten rechtlichen Anforderung erforderlich ist.
Das berechtigte Interesse ist etwas anderes.
Zum Beispiel:
Rechtliche Verpflichtung:
Verarbeitung, die nach geltendem Recht erforderlich ist.
Berechtigtes Interesse:
Verarbeitung, die für ein berechtigtes geschäftliches, sicherheitsbezogenes, betriebliches oder drittbezogenes Interesse erforderlich ist und die Interessenabwägung besteht.
Die Wahl der richtigen Rechtsgrundlage ist wichtig, weil die damit verbundenen Rechte und Compliance-Anforderungen unterschiedlich sein können.
Berechtigtes Interesse und Datenschutzhinweise
Stützen sich Organisationen auf ein berechtigtes Interesse, sollten sie die einschlägigen berechtigten Interessen in ihren Datenschutzinformationen erläutern.
Der Datenschutzhinweis sollte nicht einfach nur feststellen:
„Wir verarbeiten Ihre Informationen auf Grundlage eines berechtigten Interesses.“
Er sollte aussagekräftige Informationen über das verfolgte berechtigte Interesse bereitstellen.
Das hilft den betroffenen Personen zu verstehen:
- Warum ihre Daten verarbeitet werden
- Was die Organisation erreichen will
- Wie sich die Verarbeitung auf sie auswirkt
- Welche Rechte sie haben
- Wie sie widersprechen können
Die Leitlinien des EDPB besagen, dass Verantwortliche, die sich auf Artikel 6(1)(f) stützen, die betroffenen Personen über die verfolgten berechtigten Interessen informieren sollten.
Berechtigtes Interesse nach dem DPDPA
Indiens Digital Personal Data Protection Act, 2023 (DPDP Act) folgt einer anderen Struktur als die GDPR.
Das Gesetz sieht vor, dass personenbezogene Daten für einen rechtmäßigen Zweck verarbeitet werden dürfen auf Grundlage von:
- Einwilligung; oder
- bestimmten legitimen Nutzungen.
Section 7 definiert diese „bestimmten legitimen Nutzungen“ und nennt konkrete Umstände, unter denen eine Data Fiduciary personenbezogene Daten verarbeiten darf.
Das ist eine wichtige Unterscheidung.
Das GDPR-Konzept des berechtigten Interesses nach Artikel 6(1)(f) sollte nicht einfach in einen indischen DPDPA-Compliance-Rahmen übertragen werden.
Stattdessen gilt:
GDPR:
Das berechtigte Interesse ist eine besondere Rechtsgrundlage nach Artikel 6(1)(f).
DPDPA:
„Bestimmte legitime Nutzungen“ sind konkrete gesetzliche Tatbestände nach Section 7.
ConsentX sollte diese Unterscheidung in allen auf Indien bezogenen Inhalten beibehalten.
Beispiele für bestimmte legitime Nutzungen nach dem DPDPA
Section 7 umfasst konkrete Umstände, etwa die Verarbeitung personenbezogener Daten für einen bestimmten Zweck, für den die Data Principal die Daten freiwillig bereitgestellt und keinen entgegenstehenden Willen geäußert hat.
Das Gesetz sieht außerdem weitere Kategorien legitimer Nutzung vor, die Bereiche betreffen wie:
- Staatliche Leistungen und Dienste
- Aufgaben des Staates
- Rechtliche Verpflichtungen und Offenlegungen
- Medizinische Notfälle
- Bestimmte beschäftigungsbezogene Zwecke
- Öffentlich zugängliche personenbezogene Daten unter bestimmten Umständen
Die genauen Voraussetzungen hängen von der einschlägigen Bestimmung und den Umständen ab.
Daher sollte ConsentX es vermeiden, den DPDPA so zu beschreiben, als habe er schlicht eine Rechtsgrundlage „berechtigtes Interesse“ nach GDPR-Vorbild.
Diese Unterscheidung ist besonders wichtig für Organisationen, die sowohl in Europa als auch in Indien tätig sind.
Berechtigtes Interesse und Consent-Management-Plattformen
Eine Consent-Management-Plattform (CMP) verwaltet in erster Linie Einwilligungs- und Präferenzsignale.
Sie entscheidet nicht automatisch darüber, ob sich eine Organisation auf ein berechtigtes Interesse stützen kann.
Eine CMP kann helfen bei:
- Der Dokumentation von Einwilligungen
- Der Dokumentation von Ablehnungen
- Der Verwaltung von Präferenzänderungen
- Der Durchsetzung von Einwilligungsentscheidungen
- Der Darstellung von Datenschutzoptionen
- Der Unterstützung von Auditnachweisen
Eine Organisation sollte ihre Prüfung der Rechtsgrundlage jedoch gesondert dokumentieren.
Beim berechtigten Interesse kann dazu gehören, eine LIA zusammen mit den einschlägigen Datenschutz- und Verarbeitungsunterlagen zu führen.
Sollte das berechtigte Interesse dokumentiert werden?
Ja.
Eine dokumentierte LIA hilft nachzuweisen, warum das berechtigte Interesse gewählt wurde und wie die Organisation die Verarbeitung bewertet hat.
Die Dokumentation sollte keine generische Vorlage sein, die über nicht zusammenhängende Verarbeitungstätigkeiten hinweg kopiert wird.
Eine brauchbare LIA sollte konkret sein in Bezug auf:
- Den Zweck der Verarbeitung
- Die betroffenen Daten
- Die betroffenen Personen
- Die eingesetzte Technologie
- Die erwarteten Auswirkungen
- Die angewandten Schutzmaßnahmen
- Das Ergebnis
Die ICO empfiehlt, das Ergebnis der dreiteiligen Prüfung zu dokumentieren, und zwar bevor die Verarbeitung beginnt.
Checkliste für die Bewertung des berechtigten Interesses
Bevor Sie sich auf ein berechtigtes Interesse stützen, fragen Sie:
Zweck
- Welches berechtigte Interesse verfolgen wir?
- Ist es rechtmäßig und klar definiert?
- Wer profitiert davon?
Erforderlichkeit
- Ist die Verarbeitung personenbezogener Daten tatsächlich erforderlich?
- Trägt sie wesentlich zum Zweck bei?
- Gibt es eine weniger eingriffsintensive Alternative?
Abwägung
- Welche Auswirkungen wird die Verarbeitung haben?
- Was würden die betroffenen Personen vernünftigerweise erwarten?
- Sind die Daten sensibel oder privat?
- Könnte die Verarbeitung Schaden verursachen?
- Sind Kinder betroffen?
- Überwiegen die Rechte der betroffenen Personen das Interesse der Organisation?
Schutzmaßnahmen
- Können wir die Daten minimieren?
- Können wir die Aufbewahrung verkürzen?
- Können wir Informationen pseudonymisieren?
- Können wir den Zugriff beschränken?
- Können wir den Umfang des Profilings verringern?
- Können wir den betroffenen Personen wirksame Kontrollmöglichkeiten geben?
Rechenschaftspflicht
- Wurde die LIA dokumentiert?
- Wurde der Datenschutzhinweis aktualisiert?
- Ist das berechtigte Interesse klar beschrieben?
- Gibt es einen Prozess für den Umgang mit Widersprüchen?
- Kann die Organisation nachweisen, warum die Rechtsgrundlage gewählt wurde?
Häufige Fehler beim berechtigten Interesse
Berechtigtes Interesse als „keine Einwilligung erforderlich“ verstehen
Berechtigtes Interesse kann eine Rechtsgrundlage nach der GDPR sein, doch weitere Gesetze können für bestimmte Technologien oder Kommunikationen dennoch eine Einwilligung verlangen.
Die LIA überspringen
Einfach „berechtigtes Interesse“ in eine Datenschutzrichtlinie zu schreiben, ist nicht dasselbe wie die Durchführung der dreiteiligen Prüfung.
Eine generische LIA verwenden
Eine Bewertung des berechtigten Interesses sollte die tatsächliche Verarbeitung und den tatsächlichen Kontext abbilden.
Vernünftige Erwartungen ignorieren
Ob Menschen die Verarbeitung vernünftigerweise erwarten würden, ist ein wichtiger Teil der Interessenabwägung.
Weniger eingriffsintensive Alternativen ignorieren
Lässt sich dasselbe Ziel vernünftigerweise mit weniger Verarbeitung personenbezogener Daten erreichen, kann die Erforderlichkeit scheitern.
Wirtschaftlichen Nutzen für ausreichend halten
Ein geschäftlicher Nutzen überwiegt nicht automatisch die Rechte und Freiheiten der betroffenen Person.
Berechtigtes Interesse nutzen, um die Cookie-Einwilligung zu umgehen
Eine Rechtsgrundlage nach der GDPR setzt sich nicht automatisch über einschlägige Cookie- oder ePrivacy-Anforderungen hinweg.
Berechtigtes Interesse nach der GDPR und legitime Nutzungen nach dem DPDPA gleichsetzen
Die beiden Rahmenwerke verwenden unterschiedliche Rechtsstrukturen und sollten getrennt geprüft werden.
Berechtigtes Interesse und ConsentX
ConsentX unterstützt Organisationen dabei, Einwilligungen, Datenschutzpräferenzen, Einwilligungsnachweise und Auditnachweise über Datenschutzrahmen hinweg zu verwalten.
Bei Workflows zum berechtigten Interesse kann ConsentX das Einwilligungsmanagement ergänzen, indem es Organisationen hilft, zu unterscheiden zwischen:
- Verarbeitung, die eine Einwilligung erfordert
- Verarbeitung auf Grundlage einer anderen Rechtsgrundlage
- Einwilligungspräferenzen
- Widersprüchen und Präferenzänderungen
- Einwilligungsnachweisen
- Datenschutz-Compliance-Dokumentation
Diese Unterscheidung ist besonders wichtig für Websites, die Analyse, Werbung, Personalisierung und andere Drittanbieter-Technologien einsetzen.
ConsentX sollte nicht so dargestellt werden, als entscheide es automatisch, dass eine Verarbeitungstätigkeit für ein berechtigtes Interesse in Betracht kommt. Die Organisation bleibt dafür verantwortlich, ihre Rechtsgrundlage zu bestimmen und zu dokumentieren.
Berechtigtes Interesse: Das Wichtigste in Kürze
- Berechtigtes Interesse ist eine Rechtsgrundlage nach GDPR und UK GDPR gemäß Artikel 6(1)(f).
- Es erfordert eine dreiteilige Prüfung: Zweck, Erforderlichkeit und Abwägung.
- Eine Bewertung des berechtigten Interesses (LIA) sollte in der Regel dokumentiert werden, bevor die Verarbeitung beginnt.
- Berechtigtes Interesse erfordert keine ausdrückliche Einwilligung, wohl aber Rechenschaftspflicht und den Schutz der Rechte der betroffenen Personen.
- Betroffene Personen haben unter den einschlägigen Umständen das Recht, einer auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen.
- Bei Direktwerbung sind zusätzlich die einschlägigen Vorgaben für elektronische Werbung zu berücksichtigen.
- Berechtigtes Interesse erlaubt nicht automatisch nicht notwendige Cookies oder Tracking-Technologien.
- Für besondere Kategorien personenbezogener Daten und für Daten über Straftaten gelten zusätzliche Anforderungen.
- Nach Indiens DPDPA unterscheiden sich bestimmte legitime Nutzungen nach Section 7 von Artikel 6(1)(f) der GDPR.
- Eine CMP verwaltet Einwilligungen und Präferenzen; sie belegt für sich genommen nicht, dass ein berechtigtes Interesse greift.
- Starke Datenschutzprogramme dokumentieren die Rechtsgrundlage für jede Verarbeitungstätigkeit, statt eine Rechtsgrundlage als für alles geeignet zu betrachten.
Wissen, welche Verarbeitung eine Einwilligung braucht - und es nachweisen
ConsentX unterstützt Organisationen dabei, Einwilligungen, Datenschutzpräferenzen, Einwilligungsnachweise und Auditnachweise über Datenschutzrahmen hinweg zu verwalten, damit Teams Verarbeitungen, die eine Einwilligung erfordern, von Verarbeitungen auf Grundlage einer anderen Rechtsgrundlage unterscheiden können. Die Organisation bleibt dafür verantwortlich, ihre Rechtsgrundlage zu bestimmen und zu dokumentieren.