§ 28 Abs. 1 Nr. 2 BDSG lässt die Datenverarbeitung für die Erfüllung eigener Geschäftszwecke zu, soweit dies zu Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen dem entgegen steht.
Übersicht zur Datenverarbeitung aufgrund einer Interessensabwägung
Das berechtigte Interesse ist durch eine vernünftige Abwägung der konkreten Sachlage zu ermitteln. Es muss ein tatsächliches Interesse vorliegen, welches auch rein wirtschaftlicher oder ideeller Natur sein kann. Damit ist im Ergebnis in den meisten praxisrelevanten Fällen ein berechtigtes Interesse in der Regel zu bejahen.
Außerdem muss die Datenverarbeitung erforderlich sein. Ausreichend ist dabei, dass die Datenverarbeitung ein sinnvolles Mittel zur Wahrung der berechtigten Interessen darstellt. Die Datenverarbeitung muss nicht zwingend notwendig sein. Damit ist auch das Tatbestandsmerkmal der Erforderlichkeit in der Regel unproblematisch.
Es dürfen schließlich keine überwiegend schutzwürdigen Interessen des Betroffenen der Datenverarbeitung entgegen stehen. Insoweit ist eine genaue Abwägung der Interessen des Unternehmens einerseits und des Betroffenen andererseits vorzunehmen. Dabei ist auf die Art und den Umfang der zu verarbeitenden Informationen, die Möglichkeit ihrer technischen Auswertung und den Verwendungszweck der Informationen abzustellen.
Problematisch sind insoweit vor allem
- die Verarbeitung von (besonders sensiblen) Daten aus dem Privat- und Persönlichkeitsbereich des Betroffenen und
- die Erstellung von Persönlichkeitsprofilen.
Daten aus dem Privat- und Persönlichkeitsbereich
Die Rechtsprechung nimmt bei besonders sensiblen Daten häufig Einschränkungen der zulässigen Datenverarbeitung vor. Besonders sensible Daten sind etwa Angaben zum Gesundheitszustand, persönliche Vorlieben, Gewohnheiten oder religiöse Anschauungen. Eine Orientierung kann insoweit auch an § 3 Abs. 9 BDSG erfolgen, in welchem die besonderen Arten personenbezogener Daten aufgeführt sind.
Hilfreich kann auch eine Orientierung an den im Presserecht entwickelten Persönlichkeitssphären sein. Je sensibler die jeweilige Sphäre ist, umso stärker müssen die individuellen Interessen der verantwortlichen Stelle an einer Datenverarbeitung sein.
Erstellung von Persönlichkeitsprofilen
Durch die moderne IT-Technologie ist es möglich, Daten aus unterschiedlichen Zusammenhängen derart zu kombinieren, dass umfassend erweiterte oder sogar neue Informationen über einen Betroffenen gewonnen werden können. Damit entstehen Persönlichkeitsprofile. Dies ist insbesondere unter Marketinggesichtspunkten von hoher Bedeutung für Wirtschaftsunternehmen.
Soweit die Summe der verknüpften Daten nicht mehr Informationen enthält, als diese in den Einzeldaten enthalten sind, wird überwiegend von einer Zulässigkeit der entsprechenden Datenverarbeitung ausgegangen. Sobald jedoch über die Datenverknüpfung gänzlich neue, erweiterte Informationen generiert werden, ist davon auszugehen, dass ein verbotenes Persönlichkeitsprofil erstellt wurde.
Beispiel: Durch den Einsatz von sog. Data-Warehouses und Data-Mining-Technologien werden aus Kundendaten detaillierte Kundenprofile erstellt, die u.a. auch das Kaufverhalten, besondere Vorlieben und das Zahlungsverhalten offen legen.
Checkliste Datenverarbeitung nach Intressensabwägung
Zusammenfassend sind folgende Voraussetzungen für eine zulässige Datenverarbeitung nach Interessensabwägung gem. § 28 Abs. 1 Nr. 2 BDSG zu beachten:
- Erfüllung eigener Geschäftszwecke
- Eigenes berechtigtes Interesse an der Datenverarbeitung
- Erforderlichkeit der Datenverarbeitung
- Kein überwiegendes schutzwürdiges Interesse des Betroffenen am Ausschluss der Verarbeitung
