Der Interessenabwägungstest: Leitfaden für KVKK und DSGVO

Das berechtigte Interesse ist eine häufig genutzte, aber leicht missverstandene Rechtsgrundlage für die Verarbeitung personenbezogener Daten nach KVKK und DSGVO. Die Aussage „Das Unternehmen hat ein wirtschaftliches Interesse“ macht die Verarbeitung allein noch nicht rechtmäßig.

Bei der Prüfung des berechtigten Interesses sind die Rechtmäßigkeit des Interesses, die Erforderlichkeit der Verarbeitung und die Abwägung mit den Grundrechten und Grundfreiheiten der betroffenen Person gemeinsam zu betrachten.

Berechtigtes Interesse nach KVKK

Nach Artikel 5 Absatz 2 Buchstabe f des Gesetzes Nr. 6698 dürfen personenbezogene Daten ohne ausdrückliche Einwilligung verarbeitet werden, wenn dies für die berechtigten Interessen des Verantwortlichen erforderlich ist und die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt.

Ist jedes wirtschaftliche Interesse ein berechtigtes Interesse?

Nein.

Der aktuelle Leitfaden der türkischen Datenschutzbehörde nennt für ein berechtigtes Interesse folgende Anforderungen:

Es muss dem Verantwortlichen zustehen,
es muss gegenwärtig und rechtmäßig sein,
es muss gegen die Grundrechte und Grundfreiheiten der betroffenen Person abgewogen werden.

Diese Anforderungen gelten zusammen.

Zweistufige Interessenabwägung nach KVKK

Der aktuelle Leitfaden der Institution enthält einen zweistufigen Bewertungsansatz.

Stufe 1: Gibt es ein berechtigtes Interesse?

Zunächst wird festgestellt, ob der für die Verarbeitung Verantwortliche ein echtes und bestehendes berechtigtes Interesse hat.

Stufe 2: Ausgewogenheit mit Rechten und Freiheiten

Die möglichen Auswirkungen auf die Grundrechte und Grundfreiheiten der betroffenen Person werden bewertet.

Prüfung der Erforderlichkeit

Lässt sich der rechtmäßige Zweck ohne Verarbeitung personenbezogener Daten oder mit einer weniger eingriffsintensiven Methode erreichen, ist die vorgesehene Verarbeitung möglicherweise nicht „erforderlich“.

Wenn Videoaufnahmen für die Sicherheit ausreichen, muss eine dauerhafte Tonaufzeichnung beispielsweise gesondert begründet werden.

Angemessene Erwartungen

Ein wichtiger Teil der Abwägung ist, ob die betroffene Person im Rahmen der konkreten Beziehung vernünftigerweise mit einer solchen Verarbeitung ihrer Daten rechnen kann.

Daten-Minimierung

Nur weil es im berechtigten Interesse ist, bedeutet das nicht, dass das Unternehmen so viele Daten verarbeiten kann, wie es will.

Die Verarbeitung muss:

zweckbezogen sein,
begrenzt sein,
verhältnismäßig sein.

Diese Grenzen sind einzuhalten.

Was ist LIA?

Ein Legitimate Interest Assessment (LIA) ist ein praktisches Verfahren zur Dokumentation der Prüfung berechtigter Interessen, insbesondere im Rahmen der DSGVO.

Die KVKK-Gesetzgebung regelt kein verbindliches Standardformular unter dem Namen "LIA". Die schriftliche Dokumentation des berechtigten Interesses und der Balanceanalyse ist jedoch eine starke Praxis in der Rechenschaftspflicht.

Berechtigtes Interesse nach DSGVO

Die berechtigten Interessen des für die Verarbeitung Verantwortlichen oder Dritter werden nach Art. 6 Abs. 1 lit. f DSGVO unter bestimmten Umständen als Rechtsgrundlage akzeptiert.

Dieser Punkt unterscheidet sich von der Terminologie des KVKK; die Bestimmung der KVKK konzentriert sich auf das berechtigte Interesse des für die Verarbeitung Verantwortlichen.

EDPB-Leitlinien 1/2024

Der EDPB stellte 2024 die Leitlinien 1/2024 zu berechtigten Interessen nach Artikel 6 Absatz 1 Buchstabe f zur öffentlichen Konsultation.

Mit Stand September 2026 gehört die Arbeit an der endgültigen Fassung dieses Leitfadens offenbar zu den geplanten Punkten im Arbeitsprogramm 2026–2027 des EDPB.

Die Konsultationsfassung sollte daher nicht als „endgültiger verbindlicher Leitfaden 2026“ dargestellt werden.

Der Drei-Stufen-Ansatz der DSGVO

Nach der DSGVO umfasst die Prüfung im Allgemeinen folgende Schritte:

Feststellung des berechtigten Interesses,
Prüfung der Erforderlichkeit der Verarbeitung,
Abwägung mit den Interessen, Rechten und Freiheiten der betroffenen Person.

Die Prüfung umfasst alle drei Schritte.

Beispiel: Überwachung betrieblicher E-Mails

Ein Arbeitgeber kann ein Interesse an Sicherheit oder Geschäftskontinuität haben. Der Umfang des Zugriffs auf Beschäftigtenkommunikation, die vorherige Information, weniger eingriffsintensive Alternativen und Zugriffsberechtigungen sind jedoch gesondert zu prüfen.

Beispiel: Kamera

Selbst wenn Kameras für die Sicherheit erforderlich sind, muss gesondert geprüft werden, ob Tonaufnahmen für denselben Zweck ebenfalls erforderlich und verhältnismäßig sind.

Dokumentation berechtigter Interessen

Eine praktische Dokumentation kann folgende Punkte enthalten:

Verarbeitungszweck,
berechtigtes Interesse,
Erforderlichkeit der Verarbeitung,
alternative Methoden,
verarbeitete Datenkategorien,
angemessene Erwartung der betroffenen Person,
Auswirkungen auf die Rechte und Freiheiten,
Maßnahmen zur Risikominderung,
Ergebnis.

Checkliste für berechtigte Interessen

Ist das Interesse tatsächlich vorhanden und gegenwärtig?
Ist das Interesse rechtmäßig?
Ist es wirklich notwendig, personenbezogene Daten zu verarbeiten?
Gibt es eine weniger eingriffsintensive Alternative?
Womit kann die betroffene Person vernünftigerweise rechnen?
Sind Kinder oder besonders schutzbedürftige Gruppen betroffen?
Wurde die Datenmenge minimiert?
Wurden das Widerspruchsrecht und die anderen Rechte der betroffenen Person berücksichtigt?
Wurde die Analyse schriftlich festgehalten?

Der Ansatz B10

B10 Digital Agency beschränkt die Prüfung der Verarbeitungsvoraussetzungen nicht auf Dokumente. Anhand eines technischen Inventars bewertet die Agentur die tatsächliche Verarbeitung in CRM, Analytics, Beschäftigtensystemen, KI und weiteren Datenflüssen.

Fazit

Das berechtigte Interesse ist kein Ausweg nach dem Motto „Wir möchten keine ausdrückliche Einwilligung einholen“. Die Verarbeitung muss erforderlich sein, und zwischen dem Interesse des Verantwortlichen und den Rechten der betroffenen Person muss eine echte Abwägung stattfinden.

Diese Inhalte dienen allgemeinen Informationszwecken; auch die konkrete Datenverarbeitung sollte bewertet werden.