Art. 6 Abs. 1 DSGVO erlaubt die Verarbeitung personenbezogener Daten nur, wenn mindestens eine von sechs Rechtsgrundlagen greift: Einwilligung, Vertrag, rechtliche Pflicht, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse. Ohne Rechtsgrundlage ist jede Verarbeitung rechtswidrig. Legen Sie die passende Grundlage vor Beginn der Verarbeitung fest und dokumentieren Sie sie.
Die sechs Rechtsgrundlagen im Überblick
| Rechtsgrundlage | Fundstelle | Typisches Beispiel im Unternehmen |
|---|---|---|
| Einwilligung | Art. 6 Abs. 1 lit. a | Newsletter, Analyse-Cookies, Fotos auf der Website |
| Vertrag und vorvertragliche Maßnahmen | lit. b | Lieferadresse bei einer Bestellung, Angebot auf Anfrage |
| Rechtliche Verpflichtung | lit. c | Aufbewahrung von Rechnungen, Meldungen an die Sozialversicherung |
| Lebenswichtige Interessen | lit. d | Weitergabe von Daten an den Notarzt nach einem Unfall |
| Öffentliche Aufgabe | lit. e | Verarbeitung durch Behörden und beliehene Stellen |
| Berechtigtes Interesse | lit. f | IT-Sicherheit, Betrugsprävention, Werbung an Bestandskunden per Post |
Die Rechtsgrundlagen stehen gleichrangig nebeneinander. Die Einwilligung ist nicht die "sicherste" Grundlage, sondern nur eine von sechs.
Einwilligung (lit. a)
Die Einwilligung muss freiwillig, für einen bestimmten Fall, informiert und unmissverständlich erteilt werden (Art. 4 Nr. 11 DSGVO). Sie müssen sie nachweisen können und die Person auf das Widerrufsrecht hinweisen (Art. 7 Abs. 1 und 3 DSGVO). Der Widerruf muss so einfach sein wie die Erteilung.
Verwenden Sie die Einwilligung nur, wenn die Person wirklich frei entscheiden kann. Im Arbeitsverhältnis ist das oft zweifelhaft. Holen Sie keine Einwilligung ein, wenn Sie die Daten ohnehin für den Vertrag brauchen: Widerruft die Person, stehen Sie sonst ohne tragfähige Grundlage da.
Vertrag (lit. b)
Die Verarbeitung ist erlaubt, wenn sie für die Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen auf ihre Anfrage erforderlich ist. Der EuGH legt "erforderlich" eng aus: Die Verarbeitung muss objektiv unerlässlich sein, um den Hauptgegenstand des Vertrags zu erfüllen (EuGH, Urteil vom 04.07.2023, C-252/21, Meta Platforms). Personalisierte Werbung oder umfassende Nutzerprofile lassen sich deshalb nicht auf lit. b stützen, nur weil sie in den AGB stehen.
Rechtliche Verpflichtung (lit. c)
Hier verpflichtet ein Gesetz der EU oder eines Mitgliedstaats zur Verarbeitung (Art. 6 Abs. 3 DSGVO). Beispiele sind die Aufbewahrung von Buchungsbelegen (§ 147 AO, § 257 HGB), die Lohnsteuer- und Sozialversicherungsmeldungen oder die Identifizierungspflichten nach dem Geldwäschegesetz. Nennen Sie im Verzeichnis von Verarbeitungstätigkeiten die konkrete Vorschrift.
Lebenswichtige Interessen (lit. d)
Diese Grundlage schützt Leben und Gesundheit der betroffenen oder einer anderen Person. Sie ist nachrangig und soll nur greifen, wenn keine andere Rechtsgrundlage passt (EG 46 DSGVO). Im Unternehmensalltag spielt sie selten eine Rolle, etwa bei einem medizinischen Notfall im Betrieb.
Öffentliche Aufgabe (lit. e)
Behörden und Stellen, die hoheitliche Aufgaben wahrnehmen, stützen sich auf lit. e in Verbindung mit einer gesetzlichen Aufgabennorm. Für öffentliche Stellen des Bundes konkretisiert § 3 BDSG die Grundlage. Private Unternehmen nutzen lit. e nur, wenn ihnen eine solche Aufgabe übertragen wurde.
Berechtigtes Interesse (lit. f)
Lit. f ist die flexibelste Grundlage und verlangt eine Prüfung in drei Schritten:
- Berechtigtes Interesse: Sie verfolgen ein rechtliches, wirtschaftliches oder ideelles Interesse. Auch ein rein kommerzielles Interesse kann berechtigt sein, wenn es rechtmäßig ist (EuGH, Urteil vom 04.10.2024, C-621/22).
- Erforderlichkeit: Es gibt kein milderes, gleich wirksames Mittel.
- Abwägung: Die Interessen und Grundrechte der betroffenen Person überwiegen nicht. Maßgeblich sind ihre vernünftigen Erwartungen (EG 47 DSGVO). Bei Kindern gilt ein strengerer Maßstab.
Halten Sie die Abwägung schriftlich fest. Betroffene können widersprechen (Art. 21 DSGVO), bei Direktwerbung jederzeit ohne Begründung. Behörden dürfen sich bei der Erfüllung ihrer Aufgaben nicht auf lit. f berufen (Art. 6 Abs. 1 Unterabsatz 2 DSGVO).
Welche Rechtsgrundlage passt? Beispiele
| Verarbeitung | Passende Rechtsgrundlage |
|---|---|
| Kundenbestellung abwickeln | lit. b |
| Rechnungen als Buchungsbelege acht Jahre aufbewahren | lit. c mit § 147 AO, § 257 HGB |
| Lohnabrechnung | lit. b und lit. c, für Beschäftigte ergänzend § 26 BDSG |
| Server-Logfiles zur Abwehr von Angriffen | lit. f |
| Videoüberwachung des Lagers | lit. f nach dokumentierter Abwägung |
| Newsletter an Interessenten | lit. a, zusätzlich § 7 UWG |
| Analyse-Cookies auf der Website | Einwilligung nach § 25 TDDDG, für die weitere Verarbeitung lit. a |
Darf ich mehrere Rechtsgrundlagen nennen?
Ja, eine Verarbeitung kann auf mehr als einer Rechtsgrundlage beruhen, etwa die Lohnabrechnung auf Vertrag und gesetzlicher Pflicht. Die Grundlagen müssen aber tatsächlich vorliegen und Sie müssen sie vorher festlegen und in den Datenschutzhinweisen nennen. Eine Einwilligung "vorsorglich" zusätzlich zu einer anderen Grundlage einzuholen, ist problematisch: Die Person geht davon aus, dass sie mit einem Widerruf die Verarbeitung beenden kann. Läuft die Verarbeitung danach auf anderer Grundlage weiter, fühlt sie sich getäuscht. Das verträgt sich schlecht mit dem Grundsatz von Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO).
Zweckänderung (Art. 6 Abs. 4 DSGVO)
Wollen Sie vorhandene Daten für einen neuen Zweck nutzen, prüfen Sie, ob der neue Zweck mit dem ursprünglichen vereinbar ist. Kriterien sind die Verbindung zwischen den Zwecken, der Zusammenhang der Erhebung, die Art der Daten, die möglichen Folgen und vorhandene Garantien wie Verschlüsselung oder Pseudonymisierung. Über den neuen Zweck müssen Sie vorher informieren (Art. 13 Abs. 3 DSGVO).
Zusammenspiel mit Art. 9 DSGVO, BDSG und TDDDG
- Besondere Kategorien: Für Gesundheitsdaten und andere sensible Daten brauchen Sie zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO.
- Beschäftigte: § 26 BDSG konkretisiert die Verarbeitung im Arbeitsverhältnis. Seit dem EuGH-Urteil vom 30.03.2023 (C-34/21) ist umstritten, ob § 26 Abs. 1 Satz 1 BDSG als eigene Grundlage trägt. Stützen Sie sich deshalb zusätzlich auf Art. 6 Abs. 1 lit. b oder c DSGVO.
- Endgeräte: Für Cookies und ähnliche Techniken regelt § 25 TDDDG, ob Sie auf das Endgerät zugreifen dürfen. Art. 6 DSGVO gilt für die anschließende Verarbeitung.
Häufige Fehler
- Die Rechtsgrundlage wird erst nach einer Beschwerde gesucht. Sie gehört vorher ins Verzeichnis von Verarbeitungstätigkeiten und in die Datenschutzhinweise (Art. 13 Abs. 1 lit. c DSGVO).
- Es wird eine Einwilligung eingeholt, obwohl die Daten für den Vertrag nötig sind.
- Die Interessenabwägung nach lit. f fehlt oder ist nur ein Satz ohne Begründung.
- Nach einem Widerruf wird still auf das berechtigte Interesse gewechselt. Die Aufsichtsbehörden halten einen solchen nachträglichen Wechsel grundsätzlich für unzulässig.
Verstöße gegen Art. 6 DSGVO können mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 5 lit. a DSGVO). Ob für jede Verarbeitung die passende Grundlage dokumentiert ist, prüft ein Datenschutz-Audit. Die Rechtsgrundlage je Zweck gehört auch in das Verzeichnis von Verarbeitungstätigkeiten.