EDPB-Leitlinien zur DSGVO: Drei Prüfschritte für berechtigte Interessen
Veröffentlicht am: 15.11.2026 um 04:13 Uhr | Redaktion boerse-global.de
Der Europäische Datenschutzausschuss (EDPB) unter dem Vorsitz von Anu Talus hat am 10. November 2026 auf seiner 124. Plenarsitzung die finalen Leitlinien 1/2024 in der Version 2.0 einstimmig verabschiedet.
Das Dokument konkretisiert die Anwendung von Artikel 6 Absatz 1 Buchstabe f der Datenschutz-Grundverordnung (DSGVO) und ersetzt den vorangegangenen Entwurf vom 8. Oktober 2024. Im Rahmen der vorangegangenen Konsultation gingen 80 Stellungnahmen ein, darunter 31 von Verbänden und 22 von Unternehmen.
Die Neufassung umfasst ein 42 Seiten starkes Hauptdokument. Ergänzt wird es durch einen Anhang mit einem vierseitigen Ablaufdiagramm für die Interessenabwägung, eine zweiseitige Zusammenfassung, einen Konsultationsbericht sowie eine Dokumentation der vorgenommenen Änderungen.
Drei kumulative Prüfschritte für Verantwortliche
Die Leitlinien stellen klar, dass eine Verarbeitung auf Basis berechtigter Interessen drei kumulative Bedingungen erfüllen muss: das Vorliegen eines berechtigten Interesses, die Notwendigkeit der Datenverarbeitung sowie eine umfassende Abwägung der wechselseitigen Rechte und Interessen. Keine dieser Prüfstufen darf übersprungen werden.
Zudem stellt der EDPB klar, dass das berechtigte Interesse keine nachrangige Rechtsgrundlage gegenüber anderen Erlaubnistatbeständen darstellt. Auch rein kommerzielle Interessen können legitim sein, wie der Europäische Gerichtshof (EuGH) im Urteil C-621/22 vom 4. Oktober 2024 festgestellt hatte.
Das geltend gemachte Interesse muss laut den Vorgaben rechtmäßig, klar formuliert sowie real und gegenwärtig sein. Hinsichtlich seines Gewichts wird es auf einer Skala von trivial bis zwingend eingeordnet. Aufsichtsbehörden dürfen dabei das unternehmerische Ermessen der Verantwortlichen nicht unangemessen ersetzen.
Wer die komplexen Vorgaben zur Interessenabwägung und Dokumentation rechtssicher umsetzen möchte, benötigt eine strukturierte Übersicht aller Datenverarbeitungen. Diese kostenlose Excel-Vorlage unterstützt Sie dabei, Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO zeitsparend und vollständig zu erstellen. Kostenlose Muster-Vorlage und Anleitung jetzt herunterladen
Anforderungen an die Abwägung und Schutzmaßnahmen
Bei der Abwägung sind positive Effekte ebenso wie gesetzlich vorgeschriebene Garantien zu berücksichtigen. Als mildernde Maßnahmen gelten sämtliche wirkungsbegrenzenden Vorkehrungen einschließlich gesetzlich vorgeschriebener Mechanismen. Fällt die Abwägung zunächst ungünstig aus, sind zusätzliche Schutzmaßnahmen zwingend erforderlich.
Die Dokumentation der Interessenprüfung muss vollständig vor Beginn der eigentlichen Datenverarbeitung erfolgen. Zudem sieht der Ausschuss neue Transparenzmaßnahmen und eine angemessene Frist zwischen der Datenerhebung und deren Nutzung vor.
Bei Verarbeitungen mit voraussichtlich hohem Risiko bleibt eine Datenschutz-Folgenabschätzung verpflichtend. Das bereitgestellte Ablaufdiagramm führt Verantwortliche über eine Vor- und Rechtsprüfung durch die drei Kernprüfungen bis hin zu Dokumentation, Informationspflichten, Widerspruchsrechten und regelmäßigen Überprüfungen. Dabei verweist der EDPB auch auf seine gesonderte Stellungnahme 28/2024 zu KI-Modellen.
Da bei Verarbeitungen mit hohem Risiko eine Datenschutz-Folgenabschätzung zwingend erforderlich bleibt, sollten Verantwortliche auf geprüfte Vorlagen setzen. Dieser kostenlose Ratgeber enthält eine bearbeitbare Muster-DSFA sowie Checklisten, um Bußgelder von bis zu 2 % des Jahresumsatzes sicher zu vermeiden. Rechtssicheres E-Book zur Datenschutz-Folgenabschätzung gratis anfordern
Praxisbeispiele und Grenzen bei digitaler Werbung
Die Leitlinien enthalten konkrete Fallbeispiele unter anderem zur Betrugsprävention, zu Direktwerbung und zur Informationssicherheit. Für Werbemaßnahmen zur Neukundengewinnung sind die Intensität des Eingriffs sowie die Vorgaben der ePrivacy-Regelungen maßgeblich, worauf auch das EuGH-Urteil Inteligo Media (C-654/23) vom 13. November 2025 abstellt.
Eindeutige Grenzen zieht der Ausschuss bei der Online-Nachverfolgung: Domänen-, geräte- und dienstübergreifendes Tracking für personalisierte Anzeigen besteht den Abwägungstest praktisch nie. Personalisierte Werbung gilt unter Bezug auf Urteile wie Meta gegen Bundeskartellamt und Mousse gegen CNIL als Direktmarketing, bei dem Betroffenen ein jederzeit kostenloses Widerspruchsrecht nach Artikel 21 Absatz 2 DSGVO zusteht.
Tracking-Pixel, Gerätekennungen und Cookies erfordern eine Einwilligung nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Kommerzielles Profiling von Personen unter 18 Jahren ist unzulässig, ebenso der Rückgriff auf gekaufte oder gemietete Retargeting-Listen von Datenhändlern, die auf Datenschutzverstößen beruhen. Auch die Weitergabe von Spieldaten an Glücksspielanbieter besteht den Test praktisch nicht.
Laut einem Bericht vom 13. November 2026 werden als Marktreaktionen steigende Kosten für Klicks und Neukundenkontakte in zentralen europäischen Märkten erwartet. Zudem geraten Angebote für Zielgruppen- und Retargeting-Plattformen Dritter unter Druck, während kontextbezogene Werbung, Kooperationen mit Meinungsmachern sowie serverseitige Erfassungslösungen an Bedeutung gewinnen dürften.
