andere Mittel als eine Datenverarbeitung zur Verfügung, um den Zweck zu verwirklichen, wäre die Datenverarbeitung nicht erforderlich. Die „anderen Mittel“ müssen für den Verantwortlichen aber auch zumutbar sein (ErwG 39). Das wäre nicht der Fall, wenn die anderen Mittel mit unzumutbar höheren Investitionen verbunden wären. Das Erforderlichkeitskriterium kann dem unternehmerischen Streben nach Effizienz und wirtschaftlicher Unternehmensführung nicht entgegengehalten werden (siehe auch Rn. 57).244
g) Abwägung mit entgegenstehenden Interessen der betroffenen Personen
140
Ist ein berechtigtes Interesse zu bejahen, dann ist durch Abwägung zu prüfen, ob entgegenstehende Interessen bestehen können. Dabei geht es nicht um Befindlichkeiten einer Einzelperson, sondern um objektivierbare Interessen betroffener Personen. Mit Ausnahme der italienischen und deutschen Übersetzung von ErwG 47 („vernünftige Erwartungen der betroffenen Person“), werden in den anderen Sprachfassungen der DSGVO die Interessen der von einer Verarbeitung typischerweise betroffenen Personen (im Plural: „reasonable expectations of data subjects“) genannt. Gefragt wird summarisch also danach, welche regelmäßigen Erwartungen in einer betroffenen Personengruppe zu berücksichtigen sein werden.245 Diese Betrachtung schließt nicht aus, dass im Einzelfall auch einer Interessenwahrung einer Einzelperson eine besondere Bedeutung im Abwägungsprozess zukommt. Ansonsten steht einer betroffenen Person gerade bei einer pauschalen Abwägung die Möglichkeit des zu einer Einzelfallbetrachtung führenden Widerspruchs nach Art. 21 Abs. 1 Satz 1 DSGVO offen (Rn. 152).
141
Die Prüfung hat streng zu erfolgen, um diese Vorschrift nicht zum Einfallstor für eine in das Belieben des Verantwortlichen gestellte Erlaubnisnorm werden zu lassen. Die Tatsache, dass die Prüfung, ob Interessen der betroffenen Person der Verarbeitung entgegenstehen könnte, vom Verantwortlichen vorgenommen wird, darf nicht zu der Annahme verleiten, dass damit die Abwägung zu einem lediglich formalen Akt verkommt, der den Verantwortlichen komfortabel zu einem von ihm angestrebten Ergebnis verhilft und den Datenschutz dadurch zur Disposition des Datenverarbeiters stellt. Vielmehr ist der Verantwortliche gehalten, unter Berücksichtigung des Grundrechtsschutzes aus Art. 7 und 8 GRCh auch einfachgesetzlich die Persönlichkeitsrechte der betroffenen Personen zu wahren. Die Grundsätze aus Art. 5 DSGVO verpflichten den Verantwortlichen, die Verarbeitung in rechtmäßiger Weise und nach Treu und Glauben zu einem legitimen246 Zweck vorzunehmen (Art. 5 Abs. 1 lit. a DSGVO) und darüber Rechenschaft abzulegen (Art. 5 Abs. 2 DSGVO; Accountability).
142
Die Abwägung erfolgt nach diesem Grundsatz und entsprechend dem risikobasierten Ansatz der DSGVO in der Eigenverantwortung des Verantwortlichen; sie muss indes für den Datenschutzbeauftragten, die Aufsichtsbehörde und die betroffene Person nachvollziehbar, transparent und überzeugend sein. Orientierungshilfen und Leitlinien mögen den Verantwortlichen bei der Abwägung unterstützen. Vorgaben dazu, wie das Ergebnis einer Abwägung nach Buchstabe f im Einzelfall auszusehen hat, dürfen weder die Verfasser von Orientierungshilfen und Leitlinien noch der mitgliedstaatliche Gesetzgeber machen. Auch der Europäische Datenschutzausschuss (Art. 70 Abs. 1 lit. e DSGVO) wird nur Leitlinien und Empfehlungen formulieren können, die dem Verantwortlichen als Orientierungshilfe bei der Abwägung zu dienen vermögen. Die in dem Berichtsentwurf des Europäischen Parlaments vom 16.1.2013 in Art. 6 Abs. 1a, 1b und 1c DSGVO-E noch vorhandenen Regelbeispiele sind dementsprechend in der Schlussfassung der DSGVO gestrichen worden; auch die Überlegung, der Kommission die Befugnis zu delegierten Rechtsakten zu geben, mit denen die Abwägungskriterien näher ausgestaltet werden sollten, setzte sich nicht durch. Eine Überprüfung der Abwägung ist den Aufsichtsbehörden und den Gerichten vorbehalten. Die Notwendigkeit, einen durchaus offenen Tatbestand zu formulieren, trifft hier auf die in der DSGVO eingebauten Instrumente der Eigen-, Selbst- und Fremdkontrolle.
143
ErwG 47 mahnt, dass auf jeden Fall „das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen (ist), wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.
144
Allerdings wird vertreten, dass die Darlegungslast hinsichtlich des Überwiegens des Interesses der betroffenen Personen gegenüber dem Interesse des Verantwortlichen bei der betroffenen Person liege247 und dann, wenn hierzu nichts dargelegt werde, die im Interesse des Verantwortlichen liegende Datenverarbeitung schon zulässig sei. Es sei an der betroffenen Person, darzulegen, dass ihre Interessen höher als die des Verantwortlichen wiegen.248 Dieser Ansicht kann nicht gefolgt werden. Vielmehr muss bereits der Verantwortliche sorgfältig prüfen, ob Interessen der betroffenen Person der Verarbeitung entgegenstehen könnten und gegenüber seinen Interessen überwiegen.249 Die betroffene Person kann dann, wenn eine Abwägung gegen ihre Interessen erfolgt, ihr Widerspruchsrecht aus Art. 21 Abs. 1 Satz 1 DSGVO ausüben (siehe Rn. 152).
145
Denkbar ist, dass im Rahmen eines Vertragsverhältnisses, bei dem die hierfür erforderliche Verarbeitung nach Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO zulässig ist, eine weitere Datenverarbeitung durch die die Hauptleistung erbringende Vertragspartei auf Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützt werden kann, wenn etwa ein Kundenprofil erstellt werden soll. In der gehobenen Hotellerie werden Wünsche, Bedarfe und Vorlieben von Hotelgästen auch über den Aufenthaltszeitraum hinaus gespeichert, um das Wohlbefinden der Gäste auch bei einem wiederholten Aufenthalt sicherstellen zu können und die Kunden auf diese Weise zu binden. Mit dieser Ausrichtung an der Serviceorientierung ließe sich die Erlaubnis zur Datenspeicherung mit einer am Kundeninteresse – und somit auch im Interesse des Hotels als dem Verantwortlichen – orientierten Speicherung der Daten in einem Customer Relationship Management-System (CRM) auch aus Buchstabe f ableiten.250
146
Das Abwägungsgebot besagt: Es darf kein Grund zu der Annahme bestehen, dass Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen. Wird das Interesse einer betroffenen Person daran, dass keine Datenverarbeitung erfolgt, als gleichwertig eingeschätzt, steht dieses einer Verarbeitung im Interesse des Verantwortlichen nicht entgegen.251 Es sollen im Prinzip mittels Abwägung nur unverhältnismäßige Folgen für den Betroffenen vermieden werden.252
147
Nach dem Normtext selbst wird dem „berechtigten Interesse“ des Verantwortlichen ein „Interesse“ der betroffenen Personen gegenübergestellt. Es muss sich danach weder um ein „berechtigtes“ Interesse253 noch nach dem § 28 Abs. 1 Satz 1 Nr. 2 BDSG a.F. um ein „schutzwürdiges“ Interesse handelt. Daraus wird geschlossen, dass auch „illegitime“ Interessen grundsätzlich geschützt sein können, etwa das Interesse eines sog. Abmahnanwalts, nicht mit seinem Namen als solchem öffentlich im World Wide Web bezeichnet zu werden.254
148
Das möglicherweise der Verarbeitung entgegenstehende Interesse muss sich nicht allein auf die Wahrung der Privatsphäre oder auf den Schutz der informationellen Selbstbestimmung beziehen. Auch hier können ideelle oder wirtschaftliche Interessen anerkannt werden.255 Der Verantwortliche hat danach eine am Verhältnismäßigkeitsgrundsatz orientierte Abwägung zwischen seinen berechtigten Interessen auf der einen und den Interessen des Betroffenen auf der anderen Seite vorzunehmen. Danach muss also a) beim Verantwortlichen ein berechtigtes Interesse bestehen, zu dessen Wahrung die Datenverarbeitung b) erforderlich sein muss, c) Interessen der betroffenen Person zumindest berührt sein, ohne d) gegenüber den berechtigten Interessen des Verantwortlichen zu überwiegen. Nach diesem Zulässigkeitstatbestand kann die Erhebung, Verarbeitung und