Wer einen Vertrag abschließt, muss dafür häufig personenbezogene Daten bereitstellen. Art. 6 Abs. 1 lit. b DSGVO erlaubt die Verarbeitung dieser Daten auch ohne Einwilligung. Die Vorschrift ist allerdings kein Freibrief für sämtliche Datenverarbeitungen, die ein Unternehmen im Zusammenhang mit einem Vertragsverhältnis durchführen möchte. Entscheidend ist, ob die konkrete Verarbeitung für die Vertragserfüllung tatsächlich erforderlich ist.

Inhaltsverzeichnis

  1. Was regelt Art. 6 Abs. 1 lit. b DSGVO?
  2. Wann ist eine Datenverarbeitung zur Vertragserfüllung erforderlich?
  3. Welche vorvertraglichen Maßnahmen sind erlaubt?
  4. Welche Datenverarbeitungen sind nicht von der Vertragserfüllung gedeckt?
  5. Warum gilt die Rechtsgrundlage nicht für Daten Dritter?
  6. Was gilt für Gesundheitsdaten und andere besondere Datenkategorien?
  7. Was passiert nach Beendigung des Vertrags?
  8. Abgrenzung zu anderen Rechtsgrundlagen
  9. Praktische Beispiele
  10. Fazit
  11. Quellen

1. Was regelt Art. 6 Abs. 1 lit. b DSGVO?

Art. 6 Abs. 1 lit. b DSGVO erlaubt die Verarbeitung personenbezogener Daten, wenn
„die Verarbeitung [...] für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“.

Die Vorschrift enthält damit zwei eigenständige Anwendungsfälle:

Vertragserfüllung: Zwischen dem Verantwortlichen und der betroffenen Person besteht ein Vertrag, für dessen Erfüllung bestimmte personenbezogene Daten benötigt werden.

Vorvertragliche Maßnahmen: Ein Vertrag ist noch nicht geschlossen. Die betroffene Person hat aber selbst eine Maßnahme angefragt, für deren Durchführung personenbezogene Daten erforderlich sind.

Die Vorschrift trägt dem Umstand Rechnung, dass viele Verträge ohne die Verarbeitung personenbezogener Daten nicht sinnvoll durchgeführt werden können. Wer beispielsweise eine Ware bestellt, muss regelmäßig eine Lieferadresse angeben. Ein Onlinehändler darf diese Adresse verwenden, um die bestellte Ware zu versenden. Eine zusätzliche Einwilligung ist hierfür nicht erforderlich.

Allerdings erlaubt der Vertragsschluss nicht automatisch jede weitere Verarbeitung der erhobenen Daten.

2. Wann ist eine Datenverarbeitung zur Vertragserfüllung erforderlich?

Das zentrale Tatbestandsmerkmal ist die Erforderlichkeit. Der Europäische Datenschutzausschuss stellt in seinen Leitlinien 2/2019 klar, dass ein Verantwortlicher nachweisen können muss, dass die Verarbeitung für die Erfüllung des konkreten Vertrags objektiv erforderlich ist.

Es reicht nicht, dass die Verarbeitung für das Unternehmen praktisch, wirtschaftlich vorteilhaft oder organisatorisch bequem ist. 

Der EuGH verlangt objektive Unerlässlichkeit

Der Europäische Gerichtshof hat diese Anforderungen in seinem Urteil vom 4. Juli 2023 (C-252/21, Meta Platforms/Bundeskartellamt) präzisiert. Danach muss die Verarbeitung für einen Zweck objektiv unerlässlich sein, der einen wesentlichen Bestandteil der vertraglich geschuldeten Leistung bildet. Der Hauptgegenstand des Vertrags darf ohne die betreffende Verarbeitung nicht erreicht werden können.

Entscheidend ist damit nicht allein, wie ein Unternehmen seine Leistung vertraglich beschreibt. Vielmehr muss geprüft werden, welche Datenverarbeitung tatsächlich notwendig ist, um die geschuldete Leistung zu erbringen.

Vertragsklauseln schaffen keine eigene Rechtsgrundlage

Ein Unternehmen kann die Voraussetzungen des Art. 6 Abs. 1 lit. b DSGVO nicht dadurch herstellen, dass es eine zusätzliche Datenverarbeitung in seine Allgemeinen Geschäftsbedingungen aufnimmt. Beispielsweise wird eine umfassende Analyse des Kaufverhaltens nicht allein deshalb zur Vertragserfüllung erforderlich, weil der Onlinehändler in seinen AGB erklärt, dass solche Analysen Bestandteil seines Angebots seien.

Rechtliche Bewertung: Die Erforderlichkeit muss für jeden Verarbeitungsvorgang anhand der konkreten vertraglichen Leistung geprüft werden. Andernfalls könnten Unternehmen den Schutz der DSGVO durch entsprechende Vertragsgestaltung weitgehend umgehen.

3. Welche vorvertraglichen Maßnahmen sind erlaubt?

Art. 6 Abs. 1 lit. b DSGVO erfasst nicht nur bereits geschlossene Verträge.
Auch die Verarbeitung personenbezogener Daten zur Durchführung vorvertraglicher Maßnahmen kann zulässig sein.
Voraussetzung ist allerdings, dass diese Maßnahmen auf Anfrage der betroffenen Person erfolgen.
Typische Beispiele sind:
  • Ein Interessent fordert ein individuelles Angebot an.
  • Eine Kundin bittet um einen Kostenvoranschlag.
  • Ein potenzieller Auftraggeber übermittelt Informationen, damit ein Dienstleister die gewünschte Leistung kalkulieren kann.

In solchen Fällen dürfen die personenbezogenen Daten verarbeitet werden, die zur Bearbeitung der jeweiligen Anfrage erforderlich sind.

Anders liegt es bei einer unaufgeforderten Werbeansprache. Sie wird nicht dadurch zu einer vorvertraglichen Maßnahme im Sinne des Art. 6 Abs. 1 lit. b DSGVO, dass das Unternehmen einen späteren Vertragsschluss anstrebt.
Die Initiative muss hinsichtlich der konkreten vorvertraglichen Maßnahme von der betroffenen Person ausgehen.

4. Welche Datenverarbeitungen sind nicht von der Vertragserfüllung gedeckt?

Nicht jede Verarbeitung, die während einer Geschäftsbeziehung stattfindet, ist zur Erfüllung des Vertrags erforderlich.
Das gilt insbesondere für zusätzliche Zwecke, die nicht unmittelbar mit der geschuldeten Leistung zusammenhängen.

Werbung und Marketing

Ein Onlinehändler benötigt die Lieferadresse eines Kunden, um eine Bestellung auszuführen. Daraus folgt jedoch nicht, dass er dieselbe Adresse ohne Weiteres für Werbesendungen verwenden darf. Die werbliche Nutzung verfolgt einen anderen Zweck. Ihre Zulässigkeit muss eigenständig geprüft werden. Dabei können neben der DSGVO insbesondere die Vorschriften des UWG relevant sein.

Nutzungsanalysen und personalisierte Werbung

Auch die Analyse des Nutzerverhaltens ist nicht schon deshalb zur Vertragserfüllung erforderlich, weil sie dem Unternehmen hilft, sein Angebot zu verbessern oder Werbeeinnahmen zu erzielen. Der EDSA unterscheidet in seinen Leitlinien ausdrücklich zwischen Datenverarbeitungen, die für die Bereitstellung eines Online-Dienstes notwendig sind, und solchen, die zusätzliche wirtschaftliche Zwecke verfolgen.

Für verhaltensbasierte Werbung kann Art. 6 Abs. 1 lit. b DSGVO regelmäßig nicht herangezogen werden.

Verbesserung eigener Dienstleistungen

Ähnliches gilt für die allgemeine Weiterentwicklung von Produkten und Dienstleistungen. Dass ein Unternehmen aus den Daten seiner Kunden Erkenntnisse gewinnen möchte, macht diese Verarbeitung nicht automatisch zu einem notwendigen Bestandteil der Vertragserfüllung.Wichtig: Dass Art. 6 Abs. 1 lit. b DSGVO nicht einschlägig ist, bedeutet nicht zwingend, dass die Verarbeitung verboten ist. Es muss geprüft werden, ob eine andere Rechtsgrundlage die Verarbeitung erlaubt.

5. Warum gilt die Rechtsgrundlage nicht für Daten Dritter?

Art. 6 Abs. 1 lit. b DSGVO setzt ausdrücklich voraus, dass die betroffene Person selbst Vertragspartei ist.

Das wird in der Praxis leicht übersehen. Ein Unternehmen kann sich daher nicht allein auf seinen Vertrag mit einem Kunden berufen, wenn es personenbezogene Daten anderer Personen verarbeitet.

Beispiel:
Ein Kunde bestellt ein Geschenk und lässt es unmittelbar an eine andere Person liefern. Der Onlinehändler verarbeitet dabei die Lieferanschrift des Empfängers. Dieser ist aber nicht zwingend selbst Vertragspartei. Die Verarbeitung der Empfängerdaten kann deshalb nicht ohne Weiteres auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Stattdessen kommt je nach Sachverhalt eine andere Rechtsgrundlage in Betracht, insbesondere Art. 6 Abs. 1 lit. f DSGVO.

Auch bei Verträgen mit Unternehmen ist zu unterscheiden: Der Vertrag mit einer juristischen Person macht deren Beschäftigte nicht automatisch selbst zu Vertragsparteien.

6. Was gilt für Gesundheitsdaten und andere besondere Datenkategorien?

Besondere Kategorien personenbezogener Daten unterliegen den zusätzlichen Anforderungen des Art. 9 DSGVO.

Hierzu zählen beispielsweise Gesundheitsdaten, genetische Daten oder Daten, aus denen die religiöse Überzeugung einer Person hervorgeht.

Art. 6 Abs. 1 lit. b DSGVO genügt bei solchen Daten nicht allein. Zusätzlich muss eine Ausnahme vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO vorliegen.

Das ist insbesondere im Gesundheitsbereich wichtig.

Wenn beispielsweise eine medizinische Dienstleistung vertraglich vereinbart wird, kann die Verarbeitung bestimmter personenbezogener Daten für die Vertragserfüllung erforderlich sein. Für die Verarbeitung der dabei anfallenden Gesundheitsdaten muss jedoch zusätzlich ein Tatbestand des Art. 9 Abs. 2 DSGVO erfüllt sein, etwa Art. 9 Abs. 2 lit. h DSGVO unter den dort genannten Voraussetzungen.

Eine allgemeine Ausnahme für die Vertragserfüllung enthält Art. 9 Abs. 2 DSGVO gerade nicht.

7. Was passiert nach Beendigung des Vertrags?

Mit der Beendigung eines Vertrags entfällt regelmäßig auch die Notwendigkeit, personenbezogene Daten zur laufenden Vertragserfüllung zu verarbeiten.

Das bedeutet allerdings nicht, dass sämtliche Daten sofort gelöscht werden müssen. Unternehmen können beispielsweise gesetzlichen Aufbewahrungspflichten unterliegen. Auch die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen kann eine weitere Speicherung rechtfertigen.

Für diese Verarbeitungsvorgänge ist jedoch gesondert zu prüfen, welche Rechtsgrundlage einschlägig ist.

Die gesetzlichen Aufbewahrungspflichten können beispielsweise Art. 6 Abs. 1 lit. c DSGVO betreffen. Für die Wahrung berechtigter Interessen kann unter den jeweiligen Voraussetzungen Art. 6 Abs. 1 lit. f DSGVO relevant sein.

Eine ursprünglich zur Vertragserfüllung zulässige Verarbeitung darf daher nicht ohne Prüfung ihres Zwecks und ihrer Rechtsgrundlage unbegrenzt fortgeführt werden.

8. Abgrenzung zu anderen Rechtsgrundlagen

Vertragserfüllung oder Einwilligung?

Ist eine Verarbeitung tatsächlich zur Erfüllung eines Vertrags erforderlich, braucht das Unternehmen dafür grundsätzlich keine zusätzliche Einwilligung. Eine unnötige Einwilligungsabfrage kann sogar irreführend sein, weil sie den Eindruck vermittelt, die betroffene Person könne die Verarbeitung jederzeit durch Widerruf beenden, ohne dass dies Auswirkungen auf die Vertragserfüllung hätte.

Eine Einwilligung kommt dagegen insbesondere für zusätzliche, freiwillige Verarbeitungszwecke in Betracht.

Vertragserfüllung oder rechtliche Verpflichtung? Nicht jede Verarbeitung, die im Zusammenhang mit einem Vertrag erfolgt, dient unmittelbar der Vertragserfüllung. So kann die Speicherung von Rechnungen aufgrund gesetzlicher Aufbewahrungspflichten erforderlich sein. Die maßgebliche Rechtsgrundlage ist dann grundsätzlich Art. 6 Abs. 1 lit. c DSGVO und nicht Art. 6 Abs. 1 lit. b DSGVO.

Vertragserfüllung oder berechtigtes Interesse?

Art. 6 Abs. 1 lit. f DSGVO kann für Verarbeitungen relevant sein, die zwar mit einer Geschäftsbeziehung zusammenhängen, aber nicht objektiv zur Erfüllung des Vertrags erforderlich sind. Das bedeutet allerdings nicht, dass jede solche Verarbeitung automatisch durch berechtigte Interessen gedeckt wäre. Vielmehr müssen die Voraussetzungen des Art. 6 Abs. 1 lit. f DSGVO eigenständig geprüft werden, insbesondere die Erforderlichkeit und die Interessenabwägung.

9. Praktische Beispiele

Onlinebestellung: Die Verarbeitung von Name, Lieferanschrift und erforderlichen Bestelldaten kann auf Art. 6 Abs. 1 lit. b DSGVO beruhen, soweit sie für die Abwicklung der Bestellung notwendig ist.

Individuelles Angebot: Übermittelt ein Interessent die für eine Angebotserstellung notwendigen Informationen, kann deren Verarbeitung als vorvertragliche Maßnahme zulässig sein.

Newsletter nach einer Bestellung: Die bloße Existenz eines Kaufvertrags rechtfertigt nicht automatisch den Versand eines Newsletters. Hierfür sind die einschlägigen datenschutz- und wettbewerbsrechtlichen Anforderungen gesondert zu prüfen.

Kundenprofil für Werbezwecke: Die Erstellung eines umfassenden Profils zur personalisierten Werbung ist regelmäßig keine objektiv notwendige Voraussetzung für die Durchführung eines Kaufvertrags.

Daten eines abweichenden Lieferempfängers: Ist der Empfänger nicht selbst Vertragspartei, trägt Art. 6 Abs. 1 lit. b DSGVO die Verarbeitung seiner Daten nicht allein.

10. Fazit

Art. 6 Abs. 1 lit. b DSGVO ist eine wichtige Rechtsgrundlage für die alltägliche Vertragsabwicklung. Ohne sie wären zahlreiche gewöhnliche Geschäftsprozesse nur schwer praktikabel.

Ihre Reichweite wird allerdings häufig überschätzt.

Entscheidend ist nicht, ob eine Datenverarbeitung irgendwie mit einem Vertrag zusammenhängt, sondern ob sie zur Erbringung der konkret geschuldeten Leistung objektiv erforderlich ist.

Unternehmen sollten deshalb ihre Verarbeitungsvorgänge nach Zwecken unterscheiden und für jeden Zweck die passende Rechtsgrundlage bestimmen.

Gerade bei Online-Diensten, zusätzlichen Analysefunktionen und der Verarbeitung von Daten Dritter ist eine sorgfältige Prüfung erforderlich.

11. Quellen

  1. Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 5, Art. 6, Art. 9 und Erwägungsgründe 40 und 44
  2. Europäischer Datenschutzausschuss, Leitlinien 2/2019 zur Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 lit. b DSGVO im Zusammenhang mit der Bereitstellung von Online-Diensten, Version 2.0, insbesondere Rn. 23–47
  3. EuGH, Urteil vom 4. Juli 2023, C-252/21, Meta Platforms u. a./Bundeskartellamt, insbesondere Rn. 97–101

Weitere Beiträge dieser Serie

Art. 6 DSGVO – Wann ist die Verarbeitung personenbezogener Daten rechtmäßig? 

Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Voraussetzungen, Freiwilligkeit und Widerruf
Art. 6 Abs. 1 lit. c DSGVO – Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung 
Art. 6 Abs. 1 lit. d DSGVO – Schutz lebenswichtiger Interessen
Art. 6 Abs. 1 lit. e DSGVO – Wahrnehmung einer Aufgabe im öffentlichen Interesse
Art. 6 Abs. 1 lit. f DSGVO – Verarbeitung aufgrund berechtigter Interessen