Berechtigtes Interesse oder Einwilligung: Rechtsgrundlagen für KI-Verarbeitung in Grundzügen

Sobald ein KI-Vorhaben personenbezogene Daten verarbeitet, stellt sich eine Frage, die viele Projektteams lieber vertagen: Auf welcher Rechtsgrundlage geschieht das eigentlich. Die DSGVO verlangt für jede Verarbeitung eine solche Grundlage, und in der Unternehmenspraxis laufen die meisten Diskussionen auf zwei Kandidaten hinaus: das berechtigte Interesse und die Einwilligung.

Die Wahl zwischen beiden ist keine Formalie. Sie bestimmt, wie stabil das Vorhaben läuft, welchen laufenden Aufwand es erzeugt und was passiert, wenn Betroffene widersprechen oder ihre Meinung ändern. Wer die Entscheidung dem Zufall überlässt oder reflexhaft zur Einwilligung greift, baut nicht selten ein System, das rechtlich wackliger ist als gedacht.

Dieser Artikel erklärt die beiden Grundlagen in Grundzügen und ersetzt keine Rechtsberatung im Einzelfall. Er soll aber die Entscheidungslogik so weit klären, dass das Gespräch mit Datenschutzbeauftragten und Juristen auf Augenhöhe stattfindet.

Zwei Grundlagen, zwei Logiken

Die Einwilligung folgt der Logik der Zustimmung: Die betroffene Person erlaubt die Verarbeitung, freiwillig, informiert und für einen bestimmten Zweck. Sie kann diese Erlaubnis jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung.

Das berechtigte Interesse folgt der Logik der Abwägung: Das Unternehmen darf verarbeiten, wenn es ein legitimes Interesse hat, die Verarbeitung dafür erforderlich ist und die Interessen und Rechte der Betroffenen nicht überwiegen. Es braucht keine Zustimmung, dafür trägt das Unternehmen die volle Begründungslast, und Betroffene haben ein Widerspruchsrecht.

Kriterium	Einwilligung	Berechtigtes Interesse
Grundprinzip	Zustimmung der Person	Dokumentierte Abwägung
Stabilität	Jederzeit widerrufbar	Stabil, solange die Abwägung trägt
Aufwand	Laufende Verwaltung der Zustimmungen	Einmalige, gepflegte Dokumentation
Typische Schwäche	Freiwilligkeit und Widerruf	Begründung hält der Prüfung nicht stand

Keine der beiden Grundlagen ist pauschal die bessere. Aber sie passen zu unterschiedlichen Situationen, und genau das wird oft übersehen.

Die Abwägung beim berechtigten Interesse dokumentieren

Wer sich auf ein berechtigtes Interesse stützt, muss die Abwägung nachvollziehbar durchführen und festhalten. In der Praxis hat sich ein dreistufiges Vorgehen etabliert.

• Interesse benennen: Was will das Unternehmen konkret erreichen, etwa die Verbesserung des Kundendiensts durch eine assistierte Antwortsuche. Je konkreter das Interesse, desto tragfähiger die Abwägung.
• Erforderlichkeit prüfen: Ist die Verarbeitung in diesem Umfang nötig, oder ginge der Zweck auch mit weniger Daten, mit pseudonymisierten Daten oder ganz ohne Personenbezug. Diese Frage ist bei KI-Vorhaben oft der wertvollste Schritt, weil sie das Vorhaben verschlankt.
• Interessen abwägen: Womit müssen die Betroffenen vernünftigerweise rechnen. Eine Verarbeitung, die im erwartbaren Rahmen der Geschäftsbeziehung bleibt, wiegt anders als eine, die Betroffene überraschen würde. Sensibilität der Daten, mögliche Folgen und die getroffenen Schutzmaßnahmen gehören in diese Betrachtung.

Das Ergebnis ist ein kurzes Dokument, keine Doktorarbeit. Aber es muss existieren, bevor die Verarbeitung beginnt, und es muss zeigen, dass die Abwägung ernsthaft stattgefunden hat.

Warum Einwilligungen trügerisch bequem wirken

Die Einwilligung wirkt auf den ersten Blick wie der sichere Weg: Die Person hat ja zugestimmt. In der Unternehmenspraxis hat dieser Weg drei Haken, die oft erst im Betrieb sichtbar werden.

Erstens die Freiwilligkeit. Gerade im Beschäftigungsverhältnis ist fraglich, ob eine Zustimmung wirklich frei erteilt wird, wenn sie vom Arbeitgeber erbeten wird. Eine Einwilligung, die nicht freiwillig ist, trägt nichts.

Zweitens der Widerruf. Jede Einwilligung kann jederzeit zurückgezogen werden, und dann muss die Verarbeitung für diese Person enden. Ein KI-System, dessen Datenbestand von tausenden einzeln widerrufbaren Zustimmungen abhängt, braucht Prozesse, um Widerrufe zeitnah umzusetzen. Das ist machbar, aber es ist laufender Aufwand, den kaum jemand einplant.

Drittens die Informiertheit. Eine wirksame Einwilligung setzt voraus, dass die Person versteht, worin sie einwilligt. Bei komplexen KI-Verarbeitungsketten ist eine verständliche und zugleich zutreffende Beschreibung anspruchsvoll. Eine Einwilligung auf Basis einer nebulösen Beschreibung ist angreifbar.

Daraus folgt nicht, dass die Einwilligung falsch ist. Für Verarbeitungen, die klar abgrenzbar sind und bei denen die Person eine echte Wahl hat, ist sie das richtige Instrument. Als Standardlösung für unternehmensinterne KI-Vorhaben ist sie aber häufig die instabilere Wahl.

Die Entscheidung nachvollziehbar festhalten

Unabhängig davon, welche Grundlage gewählt wird, gehört die Entscheidung dokumentiert. Bewährt hat sich ein kurzer Vermerk je Verarbeitung mit fünf Punkten: der Zweck der Verarbeitung, die gewählte Rechtsgrundlage, die tragende Begründung, die verworfenen Alternativen mit dem Grund der Verwerfung sowie Datum und verantwortliche Person. Bei berechtigtem Interesse kommt die Abwägung dazu, bei Einwilligung die Beschreibung des Einwilligungs- und Widerrufsprozesses.

Dieses Dokument ist keine Bürokratie um ihrer selbst willen. Es ist die Antwort, die bereitliegt, wenn eine betroffene Person, eine Aufsichtsbehörde oder der eigene Vorstand fragt, warum das System tun darf, was es tut. Und es sollte ein Ablaufdatum haben: Ändert sich der Zweck, der Datenumfang oder das Werkzeug, ist die Entscheidung neu zu treffen.

Fazit

Berechtigtes Interesse und Einwilligung sind keine austauschbaren Etiketten, sondern zwei verschiedene Logiken mit verschiedenen Folgekosten. Das berechtigte Interesse verlangt eine ernsthafte, dokumentierte Abwägung, belohnt aber mit einem stabilen Fundament. Die Einwilligung wirkt bequem, bringt jedoch Freiwilligkeitsfragen, Widerrufsprozesse und hohe Anforderungen an die Verständlichkeit mit. Für die Praxis zählt am Ende weniger, welche Grundlage gewählt wird, als dass die Wahl bewusst getroffen, sauber begründet und schriftlich festgehalten ist. Genau diese Nachvollziehbarkeit unterscheidet ein belastbares KI-Vorhaben von einem, das auf Zuruf steht.