Was bedeutet berechtigtes Interesse nach DSGVO Art. 6 Abs. 1 lit. f?
Art. 6 Abs. 1 lit. f DSGVO ist eine von sechs Rechtsgrundlagen fuer die Verarbeitung personenbezogener Daten. Sie greift, wenn die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen oder Grundrechte des Betroffenen nicht ueberwiegen.
> Die Verarbeitung ist rechtmaessig, sofern sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, ueberwiegen — DSGVO Art. 6 Abs. 1 lit. f.
Im LinkedIn-DM-Kontext bedeutet das konkret: B2B-Geschaeftsanbahnung ist ein anerkanntes berechtigtes Interesse. Der Empfaenger hat seine Berufsdaten oeffentlich auf einer beruflichen Plattform publiziert. Die DM ist kontextbezogen und einmalig, nicht Massenwerbung.
Aber: Das berechtigte Interesse ist keine Blanko-Erlaubnis. Du musst die Abwaegung dokumentieren. Das passiert im Legitimate-Interest-Assessment, kurz LIA. Ohne LIA hast du im Streitfall keinen Beleg, dass du die Interessen des Empfaengers gegen dein Geschaeftsinteresse abgewogen hast. Die DSGVO-Aufsichtsbehoerden behandeln einen fehlenden LIA als eigenstaendigen Verstoss gegen DSGVO Art. 5 Abs. 2 (Rechenschaftspflicht) — laut den jaehrlichen Taetigkeitsberichten der Landesdatenschutzbehoerden ist das einer der haeufigsten Pruefpunkte bei B2B-Outreach-Beschwerden.
Wie sieht eine konkrete LIA-Vorlage mit fuenf Feldern aus?
Ein praktikabler LIA fuer LinkedIn-DM-Outreach hat fuenf Felder. Du fuellst ihn einmal pro Persona-Cluster aus, nicht pro DM. Review-Zyklus jaehrlich.
Feld 1 — Zweck. Konkret: Geschaeftsanbahnung B2B mit Entscheidern aus DACH-Mittelstand. Nicht: Marketing oder Werbung allgemein. Je praeziser, desto belastbarer im Streitfall.
Feld 2 — Notwendigkeit. Begruendung, warum die Direktansprache erforderlich ist und kein milderes Mittel verfuegbar ist. Beispiel: Die Person hat oeffentlich Pain-Sprache zu deinem Domain-Thema kommentiert, ein anderer Kanal ist nicht verfuegbar.
Feld 3 — Abwaegung. Gegenueberstellung von Geschaeftsinteresse und Empfaengerinteresse. Beruecksichtige: oeffentliche Berufsdaten, kein Privatleben, kontextbezogene Ansprache, einmaliger Send-Vorgang, klarer Opt-out.
Feld 4 — Schutzmassnahmen. Konkrete Massnahmen: keine Voll-Automation, manuelle Send-Freigabe pro DM, Opt-out-Footer, Loeschpflicht bei Widerspruch innerhalb 30 Tagen, Audit-Log-Verschluesselung at rest.
Feld 5 — Aufbewahrungsfrist. Standard sechs Monate ab letztem Kontakt. Begruendung: typische DACH-Verjaehrungsfrist fuer wettbewerbsrechtliche Anspruechen aus UWG plus Pufferzeit. Daten danach: pseudonymisieren oder loeschen.
Eine Seite reicht. Ablage in Notion oder Google Drive mit Versionierung. Wer den LIA digital signiert, hat zusaetzliche Beweissicherung. Verzeichnis von Verarbeitungstaetigkeiten nach DSGVO Art. 30 nicht vergessen — der LIA wird dort referenziert.
Was muss ein Audit-Log pro DM enthalten?
Das Audit-Log ist die zweite Saeule. Pro versendeter DM dokumentierst du fuenf Datenpunkte. Ohne Audit-Log fehlt der Nachweis, dass dein Send-Vorgang tatsaechlich Signal-getriggert war — und nicht aus einer kalten Liste stammt.
Datenpunkt 1 — Zeitstempel. ISO-8601 mit Zeitzone. Zwei Werte: Signal-Zeitpunkt und Send-Zeitpunkt. Die Differenz ist im Streitfall relevant — eine DM 14 Tage nach Signal ist schwerer als kontextbezogen zu verteidigen als eine binnen 48 Stunden.
Datenpunkt 2 — Ausloesendes Signal. Signal-Typ, Signal-Quelle, Signal-URN. Beispiel: Kommentar auf Post-URN urn:li:activity:7234567890 mit Pain-Sprache zu Belegerfassung.
Datenpunkt 3 — Empfaenger-URN. LinkedIn Voyager Member URN, nicht der Klarname. Die URN ist die stabile, datenschutzkonforme Referenz.
Datenpunkt 4 — Send-Modus. Manuell oder Assisted Mode mit menschlicher Freigabe. Niemals Auto-Send. Der Send-Modus ist das zentrale Belastungs-Element gegenueber UWG Paragraph 7 und der OLG-Hamm-Linie.
Datenpunkt 5 — Opt-out-Status. Boolean plus Quelle. Folge-DMs an eine URN mit Opt-out sind ab diesem Zeitpunkt gesperrt.
Speicherort: nicht in Excel auf dem Laptop. Datenbank mit Zugriffsrechten und Verschluesselung at rest. Der Log selbst ist personenbezogen — er faellt unter dieselbe Schutzpflicht wie die DM.
Welche Signale tragen rechtlich, welche nicht?
Nicht jedes Engagement-Signal ist gleich belastbar. Die Aufsichtsbehoerden und die Folge-Rechtsprechung zur OLG-Hamm-Linie unterscheiden zwischen substanziellen Aktionen und anonymem Rauschen.
Tragende Signale — substanzielle Aktion mit Decider-Bezug:
- Kommentar mit thematischer Substanz auf einen Pillar-Post, der dein Domain-Thema behandelt
- Geteilter Beitrag mit eigener Einordnung
- Profilbesuch innerhalb von 48 Stunden nach Post-Impression
- Connection-Request mit personalisierter Notiz zu deinem Thema
- Reaktion auf Umfrage mit qualitativer Antwort
Diese Signale erfuellen drei Kriterien gleichzeitig: Aktion durch den Empfaenger selbst, thematischer Bezug zum DM-Inhalt, identifizierbare Berufsrolle des Empfaengers.
Schwache Signale — keine ausreichende Triggergrundlage:
- Ein Like ohne Kommentar auf einen breit gestreuten Post
- Profilbesuch ohne vorherige Post-Impression
- Reine Follow-Aktion ohne Interaktion
- Like auf Posts dritter Personen
- Auto-Reactions aus Engagement-Pods
Diese Signale haben keinen eindeutigen Decider-Bezug. Eine DM darauf zu stuetzen ist riskant — im Streitfall fehlt die individualisierte Begruendung fuer das berechtigte Interesse, weil du nicht zeigen kannst, was diesen einen Empfaenger zu diesem Zeitpunkt zu deinem Thema in Verbindung bringt.
Faustregel: Wenn du dem Anwalt nicht in einem Satz erklaeren kannst, warum diese Person diese DM zu diesem Zeitpunkt erhalten hat, ist das Signal zu schwach.
Was kostet ein fehlender LIA und wie lange muss ich Audit-Logs aufbewahren?
Die Konsequenzen sind im DSGVO-Bussgeldrahmen klar geregelt.
Bussgeldrisiko nach DSGVO Art. 83 Abs. 5. Bei Verstoessen gegen Art. 5, 6 oder 7 — also auch bei fehlendem LIA als Verstoss gegen Rechenschaftspflicht — drohen Bussgelder bis 20 Millionen EUR oder vier Prozent des weltweiten Jahresumsatzes des Konzerns. Der hoehere Wert gilt. Fuer Solo-Founder und Mittelstand ist die absolute Obergrenze relevant, nicht der Prozentwert.
Praxis im DACH-Mittelstand. Erstverstoesse ohne Wiederholungsabsicht werden typisch im niedrigen vier- bis fuenfstelligen Bereich sanktioniert. Parallel laufen wettbewerbsrechtliche Abmahnungen — die Wettbewerbszentrale dokumentiert in ihren Jahresberichten typische Abmahnkosten zwischen EUR 1.500 und EUR 4.000 pro Fall.
Aufbewahrungsfrist Audit-Log — sechs Monate. Standard im LIA: Audit-Logs werden sechs Monate nach letztem Kontakt aufbewahrt, danach pseudonymisiert oder geloescht. Die sechs Monate decken die typische DACH-Verjaehrungsfrist fuer UWG-Anspruechen ab. Wer laenger speichert, braucht eine eigene Begruendung — sonst greift Art. 5 Abs. 1 lit. e (Speicherbegrenzung).
DACH-Beispiel. SaaS-Founder aus Berlin, 12 Mitarbeiter, durchschnittlicher Deal-Value EUR 18.000 ARR. Auditiert nach Beschwerde eines DM-Empfaengers durch die zustaendige Landesdatenschutzbehoerde. Vorhandener LIA plus Audit-Logs: Verfahren eingestellt, keine Sanktion. Kosten der Auditbegleitung durch Anwalt: EUR 2.800. Ohne Dokumentation waere derselbe Vorgang teuer geworden.