Kurze Antwort: Das berechtigte Interesse ist eine von sechs Rechtsgrundlagen der DSGVO. Du darfst damit personenbezogene Daten verarbeiten, wenn du ein nachvollziehbares eigenes Interesse hast, die Verarbeitung dafür erforderlich ist und die Rechte der betroffenen Personen nicht schwerer wiegen. Beim Einsatz von KI-Tools kann das eine passende Grundlage sein, wenn eine Einwilligung unpraktisch ist. Ein Freifahrtschein ist es nicht: Du musst nachweisen können, dass du alle drei Prüfschritte durchgeführt hast. Schriftlich ist der sicherste Weg.
Was bedeutet das berechtigte Interesse?
Art. 6 Abs. 1 lit. f DSGVO erlaubt eine Verarbeitung, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“ ist. Das gilt aber nur, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen, besonders bei Kindern [1]. Für Behörden gilt diese Grundlage bei ihrer Aufgabenerfüllung nicht [1].
Die Datenschutzaufsichten prüfen das in drei Schritten, die alle erfüllt sein müssen [3]:
- Interesse: Du hast ein berechtigtes Interesse, zum Beispiel schnellere Kundenantworten oder weniger Routinearbeit. Auch wirtschaftliche Interessen können zählen [3].
- Erforderlichkeit: Du kommst ohne die Datenverarbeitung nicht ebenso gut zum Ziel. Gibt es einen datensparsameren Weg, musst du ihn nehmen (siehe Datenminimierung).
- Abwägung: Die Erwartungen und Rechte der Betroffenen wiegen nicht schwerer als dein Interesse.
Berechtigtes Interesse in der Praxis
Ein Online-Shop mit acht Mitarbeitenden setzt einen KI-Assistenten ein, der eingehende Support-Anfragen vorsortiert und Antwortentwürfe vorschlägt.
- Interesse: Kunden sollen schneller eine Antwort erhalten.
- Erforderlichkeit: Im Beispiel gehen wir davon aus, dass eine Vorsortierung nur nach Betreffzeile oder festen Stichwortregeln das Thema vieler Anfragen verfehlt, der Nachrichtentext also gebraucht wird. Kontonummern und Passwörter braucht der Zweck nicht, deshalb schwärzt der Shop sie, bevor der Text ans Tool geht. Fände der Shop eine gleich wirksame Lösung mit weniger Daten, wäre diese Verarbeitung nicht erforderlich.
- Abwägung: Kunden, die eine Anfrage stellen, rechnen damit, dass sie bearbeitet wird. Die Daten sind in diesem Beispiel wenig sensibel, und der Shop nennt den KI-Einsatz in der Datenschutzerklärung.
Der Shop hält die Abwägung schriftlich fest, in zwei, drei Sätzen pro Schritt. So kann er später nachweisen, dass er alle drei Schritte geprüft hat.
Was nicht funktioniert: Gesundheitsangaben, etwa Krankmeldungen oder Atteste, in ein KI-Tool laden und sich allein auf lit. f stützen. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten. Dafür reicht das berechtigte Interesse allein nicht, es braucht zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO (Stand: 2026-10).
Bei Bewerbungsunterlagen liegt der Fall anders: Bewerbende gelten datenschutzrechtlich als Beschäftigte, und für die Verarbeitung ihrer Daten im Bewerbungsverfahren gilt in Deutschland die eigene Regelung des § 26 BDSG [5]. Ob sich daneben lit. f nutzen lässt, ist eine Einzelfallprüfung. Prüfe das, bevor du Bewerbungen in ein KI-Tool lädst (Stand: 2026-10). Enthalten die Unterlagen Gesundheits- oder Religionsangaben, greift zusätzlich Art. 9 DSGVO.
Auch ein Zweck, den die Kunden nicht erwarten, etwa das Training eines fremden Modells mit ihren Anfragen, spricht in der Abwägung gegen dich, weil die Erwartungen der Betroffenen ein Prüfkriterium sind (Stand: 2026-10).
Warum ist das berechtigte Interesse für mein Unternehmen wichtig?
Bei vielen KI-Anwendungen im Alltag, etwa bei Support-Tickets, Rechnungsdaten oder Texten mit Kundennamen, holst du keine Einwilligung der Betroffenen ein. Das berechtigte Interesse kann dann die passende Rechtsgrundlage sein. Dafür gibt es Pflichten, die du kennen solltest:
- Widerspruchsrecht: Betroffene können der Verarbeitung nach Art. 21 DSGVO aus Gründen widersprechen, die sich aus ihrer besonderen Situation ergeben. Du darfst dann nur weiter verarbeiten, wenn du zwingende schutzwürdige Gründe nachweist, die die Interessen der Person überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient [4]. Du brauchst einen Ablauf, um Widersprüche zu bearbeiten.
- Transparenz: Das berechtigte Interesse und der KI-Einsatz gehören in die Datenschutzerklärung.
- Dokumentation: Dokumentiere die Prüfung nachvollziehbar als Teil deiner Rechenschaftspflicht. Du kannst sie mit dem passenden Eintrag im Verarbeitungsverzeichnis verknüpfen.
- Zweckbindung: Die Daten dürfen nur für den Zweck genutzt werden, den du in der Abwägung beschrieben hast (Zweckbindung).
- Weitere Pflichten bleiben: Die Rechtsgrundlage ersetzt keine anderen Vorgaben. Verarbeitet der KI-Anbieter Daten in deinem Auftrag (Auftragsverarbeitung), brauchst du einen AVV. Bei Datenabfluss in Drittländer gelten zusätzlich die Regeln zur Drittlandübermittlung.
Für die Entwicklung und den Einsatz von KI-Modellen hat der Europäische Datenschutzausschuss am 18. Dezember 2024 die Stellungnahme 28/2024 veröffentlicht [2]. Ob das berechtigte Interesse trägt, bleibt eine Einzelfallprüfung. Ob ein Anbieter deine Eingaben zum Training nutzt, steht in dessen Bedingungen. Das solltest du direkt beim Anbieter prüfen (Stand: 2026-10).
Weiterführendes
Häufige Fragen
Brauche ich für KI-Tools immer eine Einwilligung?
Nein. Die DSGVO kennt sechs Rechtsgrundlagen. Eine Einwilligung ist nur eine davon. Je nach Fall kann auch das berechtigte Interesse oder die Vertragserfüllung tragen. Welche passt, hängt vom Zweck und von den verarbeiteten Daten ab.
Muss ich die Interessenabwägung schriftlich festhalten?
Du musst nachweisen können, dass du Interesse, Erforderlichkeit und Abwägung geprüft hast. Eine bestimmte Form schreibt die DSGVO dafür nicht ausdrücklich vor, schriftlich ist aber der sicherste Weg. Entscheidend ist, dass die Begründung zu jedem der drei Schritte nachvollziehbar ist.
Was passiert, wenn jemand der Verarbeitung widerspricht?
Nach Art. 21 DSGVO musst du den Widerspruch prüfen. Du darfst die Daten nur weiter verarbeiten, wenn du zwingende schutzwürdige Gründe nachweisen kannst, die die Interessen der Person überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Plane einen festen Ablauf dafür ein.
Quellen
- Art. 6 DSGVO „die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“
- EDPB Opinion 28/2024
- EDPB Guidelines 1/2024 on Article 6(1)(f) GDPR
- Art. 21 DSGVO „oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“
- § 26 BDSG „Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, gelten als Beschäftigte.“