Der Europäische Datenschutzausschuss (EDPB) hat seine Leitlinien zur Verarbeitung personenbezogener Daten auf Grundlage berechtigter Interessen in der endgültigen Fassung veröffentlicht. Für Unternehmen bringen sie vor allem hilfreiche Klarstellungen und mehr Orientierung bei der praktischen Umsetzung.
Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist eine wichtige Rechtsgrundlage für zahlreiche alltägliche Datenverarbeitungen in Unternehmen.
Ob IT-Sicherheit, Betrugsprävention oder bestimmte Formen der Direktwerbung – viele betriebliche Abläufe können auf berechtigten Interessen beruhen, wenn die gesetzlichen Voraussetzungen erfüllt sind.
Am 10. November 2026 hat der EDPB seine überarbeiteten Leitlinien hierzu verabschiedet. Sie erläutern die Anforderungen und geben Unternehmen zusätzliche Hilfestellungen für die praktische Anwendung.
Berechtigtes Interesse – worauf kommt es an?
Damit eine Verarbeitung personenbezogener Daten auf berechtigte Interessen gestützt werden kann, müssen drei Voraussetzungen erfüllt sein:
-
Berechtigtes Interesse: Das Unternehmen oder ein Dritter verfolgt ein konkretes und rechtmäßiges Interesse.
-
Erforderlichkeit: Die Verarbeitung der personenbezogenen Daten ist zur Wahrung dieses Interesses dafür tatsächlich erforderlich.
-
Interessenabwägung: Die Interessen und Rechte der betroffenen Personen überwiegen nicht.
Gerade der dritte Punkt erfordert eine sorgfältige Abwägung. Dabei kommt es unter anderem darauf an, welche Daten verarbeitet werden, welche Auswirkungen dies haben kann und womit die betroffenen Personen vernünftigerweise rechnen müssen.
Die Interessenabwägung muss vor Beginn der Verarbeitung erfolgen und nachvollziehbar dokumentiert werden.
Was bringen die neuen Leitlinien?
Die grundlegenden Anforderungen bleiben unverändert. Der EDPB konkretisiert jedoch einige wichtige Punkte.
Zusätzliche Schutzmaßnahmen können helfen
Unternehmen können ihre Interessenabwägung beispielsweise durch freiwillige zusätzliche Transparenzinformationen, unkomplizierte Widerspruchsmöglichkeiten oder kürzere Speicherfristen positiv beeinflussen.
Mehr Klarheit bei den Informationspflichten
Das konkret verfolgte berechtigte Interesse muss weiterhin in den Datenschutzhinweisen genannt werden.
Die vollständige Interessenabwägung muss hingegen nicht generell veröffentlicht werden. Zusätzliche Informationen hierzu empfiehlt der EDPB als gute Praxis.
Direktwerbung bleibt grundsätzlich möglich
Berechtigte Interessen können eine Grundlage für Direktwerbung darstellen. Insbesondere bei E-Mail-Werbung müssen allerdings die besonderen gesetzlichen Anforderungen berücksichtigt werden.
Die Leitlinien greifen hierzu auch neuere Rechtsprechung des Europäischen Gerichtshofs auf.
Widersprüche richtig behandeln
Wer der Verwendung seiner Daten für Direktwerbung widerspricht, muss dies nicht begründen. Die entsprechende Werbenutzung ist einzustellen.
Bei anderen Verarbeitungen auf Grundlage berechtigter Interessen ist ein Widerspruch aufgrund der besonderen persönlichen Situation individuell zu prüfen. Eine Fortsetzung ist dann nur unter den besonderen Voraussetzungen des Art. 21 DSGVO zulässig.
Müssen Unternehmen jetzt handeln?
Eine vollständige Überarbeitung der Datenschutzdokumentation ist aufgrund der neuen Leitlinien nicht erforderlich.
Ein guter Anlass für einen kurzen Datenschutz-Check sind sie dennoch:
-
Sind unsere berechtigten Interessen konkret und nachvollziehbar dokumentiert?
-
Berücksichtigen wir ausreichend die Interessen der betroffenen Personen?
-
Sind unsere Datenschutzhinweise verständlich und vollständig?
-
Funktioniert die Bearbeitung von Werbewidersprüchen zuverlässig?
Unser Fazit
Keine neuen Hürden, aber hilfreiche Klarstellungen.
Die endgültigen EDPB-Leitlinien bestätigen, dass berechtigte Interessen eine wichtige und praxistaugliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellen.
Entscheidend ist, dass die Verarbeitung tatsächlich erforderlich ist, die Interessen der betroffenen Personen angemessen berücksichtigt werden und die Entscheidung nachvollziehbar dokumentiert wird.
Wer seine Datenschutzorganisation bereits entsprechend aufgestellt hat, muss nicht alles neu machen. Eine gelegentliche Überprüfung bestehender Verfahren ist aber durchaus sinnvoll.
Unser Tipp: Nutzen Sie die neuen Leitlinien als Gelegenheit, bestehende Interessenabwägungen gemeinsam mit Ihrem Datenschutzbeauftragten auf den Prüfstand zu stellen.
Quelle: EDPB Guidelines 1/2024, Version 2.0 vom 10. November 2026 (englisch)