Legitimate Interest Assessment (LIA)

Definition: Ein Legitimate Interest Assessment (LIA), auf Deutsch Interessenabwägungstest oder Interessenabwägungsprüfung, ist eine strukturierte, dokumentierte Prüfung, die Unternehmen durchführen müssen, bevor sie personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f der DSGVO verarbeiten. Diese Rechtsgrundlage erlaubt die Datenverarbeitung, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist", sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Das LIA besteht aus drei aufeinander aufbauenden Prüfungsschritten: der Zweck- und Legitimationsprüfung (Ist das verfolgte Interesse ein legitimes Interesse?), der Notwendigkeitsprüfung (Ist die konkrete Datenverarbeitung für diesen Zweck erforderlich und verhältnismäßig?) und der Abwägungsprüfung (Überwiegen die Interessen des Verantwortlichen die Schutzinteressen der betroffenen Person, unter Berücksichtigung ihrer vernünftigen Erwartungen?). Das Ergebnis des LIA muss schriftlich dokumentiert und im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachweisbar sein. Im Online-Marketing wird das berechtigte Interesse häufig als Rechtsgrundlage für Direktmarketing, Sicherheitsmaßnahmen, Betrugsbekämpfung, interne Analysen oder die Verwaltung von Kundenbeziehungen herangezogen – jedoch nicht als Ersatz für eine erforderliche Einwilligung, insbesondere bei sensiblen Daten oder eingriffsintensiven Verarbeitungen.

Erläuterung

Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist die flexibelste Rechtsgrundlage der Datenschutz-Grundverordnung, aber auch die am schwersten zu handhabende, weil sie keine festen Tatbestände, sondern eine Einzelfallabwägung erfordert. Der Europäische Datenschutzausschuss (EDSA) und verschiedene nationale Aufsichtsbehörden haben in Leitlinien klargestellt, dass das berechtigte Interesse keine „Auffangrechtsgrundlage" ist, die immer dann herangezogen werden kann, wenn keine Einwilligung eingeholt werden möchte. Vielmehr muss jede einzelne Verarbeitungstätigkeit eigenständig auf ihr berechtigtes Interesse hin geprüft und dokumentiert werden.

Für das Online-Marketing sind besonders die Ausführungen des Erwägungsgrundes 47 DSGVO relevant, der das Direktmarketing als beispielhaftes berechtigtes Interesse nennt. Allerdings hat der Europäische Gerichtshof (EuGH) in mehreren Entscheidungen klargestellt, dass die bloße Nennung eines Zwecks im Erwägungsgrund keine automatische Zulässigkeit begründet – die konkrete Abwägung muss trotzdem durchgeführt werden. Im Kontext von Online-Behavioral-Advertising (OBA) haben mehrere Datenschutzbehörden das berechtigte Interesse als Rechtsgrundlage für Tracking und personalisierte Werbung explizit abgelehnt, weil die Eingriffstiefe in die Privatsphäre typischerweise zu hoch ist, um eine Rechtfertigung über Art. 6 Abs. 1 lit. f DSGVO zu ermöglichen.

Der praktische Ablauf eines LIA beginnt mit der genauen Beschreibung der beabsichtigten Verarbeitungstätigkeit: Welche Daten werden verarbeitet? Zu welchem konkreten Zweck? Von wem und wie lange? Im nächsten Schritt wird geprüft, ob das Interesse legitim ist – also rechtlich zulässig und real (kein rein spekulativer künftiger Vorteil). Dann folgt die Notwendigkeitsprüfung: Gibt es ein milderes Mittel, das denselben Zweck mit geringeren Eingriffen in die Privatsphäre erreicht? Falls ja, muss dieses bevorzugt werden. Im dritten Schritt werden die Interessen konkret gegeneinander abgewogen: Art der Daten, Zahl der Betroffenen, Eingriffstiefe, vernünftige Erwartungen der Betroffenen, mögliche Folgen einer Ablehnung des Widerspruchs, technische Schutzmaßnahmen (Pseudonymisierung etc.) und weitere Faktoren fließen in die Abwägung ein.

Das Ergebnis muss schriftlich festgehalten und regelmäßig überprüft werden, insbesondere wenn sich die Verarbeitungsumstände ändern. Ein einmal erstelltes LIA ist kein Dauerdokument, sondern muss bei wesentlichen Änderungen der Verarbeitungstätigkeit oder der rechtlichen Rahmenbedingungen aktualisiert werden.

Die drei Prüfungsschritte des LIA

Schritt 1 – Zweck- und Legitimationsprüfung: Ist das verfolgte Interesse konkret, real und in einer demokratischen Gesellschaft als legitim anerkannt? Beispiele: Direktmarketing, Betrugsprävention, IT-Sicherheit, interne Verwaltung.
Schritt 2 – Notwendigkeitsprüfung: Ist die konkrete Verarbeitungstätigkeit für den Zweck erforderlich? Gibt es eine datenschutzfreundlichere Alternative, die denselben Zweck erfüllt? Wenn ja, muss diese genutzt werden.
Schritt 3 – Abwägungsprüfung: Überwiegen die Interessen des Verantwortlichen die Schutzinteressen der betroffenen Person? Relevante Faktoren: Art der Daten, Anzahl Betroffener, Eingriffstiefe, vernünftige Erwartungen, vorhandene Schutzmaßnahmen, mögliche negative Folgen für Betroffene.

Typische Anwendungsfälle im Online-Marketing

Direktmarketing per Post: Häufig mit berechtigtem Interesse begründbar, wenn eine Kundenbeziehung besteht und die vernünftigen Erwartungen der Betroffenen dies zulassen.
E-Mail-Werbung an Bestandskunden: Unter strengen Voraussetzungen nach § 7 Abs. 3 UWG zulässig ohne neue Einwilligung – aber kein generelles berechtigtes Interesse für alle Bestandskunden.
Sicherheits-Logging: Protokollierung von Zugriffen und Anomalien zur Betrugsprävention und IT-Sicherheit gilt regelmäßig als berechtigtes Interesse.
Interne Analysen: Auswertung von Nutzerdaten zur Verbesserung von Produkten und Diensten – LIA muss Eingriffstiefe und Datenmenge berücksichtigen.
Personalisierte Online-Werbung: In aller Regel nicht auf berechtigtes Interesse stützbar – Aufsichtsbehörden fordern Einwilligung als Rechtsgrundlage.

Praxistipp: Erstellen Sie für jede Verarbeitungstätigkeit, die auf berechtigtem Interesse beruht, ein separates schriftliches LIA-Dokument und nehmen Sie es in Ihr Verarbeitungsverzeichnis auf. Nutzen Sie die vom EDSA oder nationalen Behörden veröffentlichten Vorlagen als Orientierungshilfe. Holen Sie sich im Zweifel eine rechtliche Einschätzung, insbesondere wenn Sie Tracking, Profiling oder verhaltensbasiertes Marketing auf berechtigtes Interesse stützen wollen – das Risiko einer fehlerhaften Einschätzung ist in diesem Bereich erheblich.