Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Art. 6 DSGVO enthält sechs Erlaubnistatbestände, die festlegen, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Welche Rechtsgrundlage einschlägig ist, hängt insbesondere vom Zweck der Verarbeitung und den konkreten Umständen ab. Eine Einwilligung ist dabei keineswegs immer erforderlich.

Inhaltsverzeichnis

  1. Warum braucht jede Datenverarbeitung eine Rechtsgrundlage?
  2. Welche sechs Rechtsgrundlagen enthält Art. 6 DSGVO?
  3. Gibt es eine Rangfolge zwischen den Rechtsgrundlagen?
  4. Was bedeutet „Erforderlichkeit“?
  5. Wie wird die richtige Rechtsgrundlage bestimmt?
  6. Können mehrere Rechtsgrundlagen einschlägig sein?
  7. Was gilt bei einer Änderung des Verarbeitungszwecks?
  8. Welche Bedeutung haben Transparenz und Rechenschaftspflicht?
  9. Was gilt für besondere Kategorien personenbezogener Daten?
  10. Häufige Fehler bei der Auswahl der Rechtsgrundlage
  11. Fazit
  12. Rechtsquellen und weiterführende Informationen

1. Warum braucht jede Datenverarbeitung eine Rechtsgrundlage?

Die Datenschutz-Grundverordnung geht vom Grundsatz aus, dass personenbezogene Daten nicht ohne rechtliche Grundlage verarbeitet werden dürfen. Dieser Grundsatz wird häufig als Verbot mit Erlaubnisvorbehalt bezeichnet.

Art. 6 Abs. 1 Satz 1 DSGVO formuliert:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:“

Damit ist die Rechtmäßigkeit einer Verarbeitung an das Vorliegen eines gesetzlichen Erlaubnistatbestands geknüpft.

Der Begriff der Verarbeitung ist weit gefasst. Nach Art. 4 Nr. 2 DSGVO gehören dazu beispielsweise das Erheben, Speichern, Ordnen, Auslesen, Übermitteln und Löschen personenbezogener Daten. Schon die Speicherung einer Kundenadresse oder die Erfassung von Mitarbeiterdaten stellt daher eine Verarbeitung dar.

Nicht jede Verarbeitung muss allerdings gesondert durch eine Einwilligung erlaubt werden. Die DSGVO sieht vielmehr verschiedene Rechtsgrundlagen vor, die unterschiedliche Verarbeitungssituationen abdecken.

Beispiel: Ein Onlinehändler benötigt die Lieferadresse seines Kunden, um die bestellte Ware zu versenden. Die Verarbeitung kann auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, weil sie zur Erfüllung des Kaufvertrags erforderlich ist. Eine zusätzliche Einwilligung ist hierfür nicht notwendig.

Wichtig ist außerdem die Unterscheidung zwischen der Rechtmäßigkeit nach Art. 6 und den allgemeinen Verarbeitungsgrundsätzen nach Art. 5 DSGVO.

Selbst wenn eine Verarbeitung auf eine Rechtsgrundlage gestützt werden kann, muss sie unter anderem zweckgebunden, transparent und auf das notwendige Maß beschränkt sein.

2. Welche sechs Rechtsgrundlagen enthält Art. 6 DSGVO?

Art. 6 Abs. 1 DSGVO nennt sechs unterschiedliche Voraussetzungen, unter denen personenbezogene Daten verarbeitet werden dürfen.

a) Einwilligung – Art. 6 Abs. 1 lit. a DSGVO

Die betroffene Person hat der Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke zugestimmt. Eine wirksame Einwilligung muss insbesondere freiwillig, informiert, für einen bestimmten Zweck und durch eine eindeutige bestätigende Handlung erteilt werden. Weitere Anforderungen ergeben sich aus Art. 4 Nr. 11 und Art. 7 DSGVO.

Beispiel: Eine Person meldet sich freiwillig für einen werblichen Newsletter an und erteilt hierfür eine wirksame Einwilligung. Die Einwilligung kann grundsätzlich jederzeit mit Wirkung für die Zukunft widerrufen werden.

Vertiefung: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO – Voraussetzungen und Grenzen.

b) Vertragserfüllung – Art. 6 Abs. 1 lit. b DSGVO

Die Verarbeitung ist erforderlich, um einen Vertrag mit der betroffenen Person zu erfüllen oder auf deren Anfrage vorvertragliche Maßnahmen durchzuführen. Entscheidend ist die objektive Erforderlichkeit für den jeweiligen Vertragszweck. Dass eine Verarbeitung in Vertragsbedingungen erwähnt wird, reicht allein nicht aus.

Beispiel: Ein Unternehmen verarbeitet die Anschrift eines Kunden, um eine vertraglich geschuldete Lieferung auszuführen.

Die Vertragsgrundlage erfasst nicht automatisch jede Datenverarbeitung, die ein Unternehmen im Zusammenhang mit einer Geschäftsbeziehung durchführen möchte.

Vertiefung: Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO – Was ist wirklich erforderlich?

c) Rechtliche Verpflichtung – Art. 6 Abs. 1 lit. c DSGVO

Die Verarbeitung ist erforderlich, um eine rechtliche Verpflichtung zu erfüllen, der der Verantwortliche unterliegt.

Eine solche Verpflichtung kann sich insbesondere aus gesetzlichen Aufbewahrungs-, Melde- oder Dokumentationspflichten ergeben.

Beispiel: Ein Unternehmen bewahrt Rechnungen mit personenbezogenen Angaben aufgrund gesetzlicher steuer- oder handelsrechtlicher Aufbewahrungspflichten auf. Art. 6 Abs. 3 DSGVO stellt zusätzliche Anforderungen an die gesetzliche Grundlage der Verpflichtung.

Vertiefung: Rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO.

d) Lebenswichtige Interessen – Art. 6 Abs. 1 lit. d DSGVO

Die Verarbeitung ist erforderlich, um lebenswichtige Interessen einer natürlichen Person zu schützen. Gemeint sind insbesondere Situationen, in denen Leben oder körperliche Unversehrtheit auf dem Spiel stehen.

Beispiel: Nach einem schweren Unfall werden notwendige personenbezogene Informationen an Rettungskräfte übermittelt, um eine akute Gefahr für das Leben der betroffenen Person abzuwenden. Die Vorschrift ist nicht als allgemeine Rechtsgrundlage für jede gesundheitsbezogene Verarbeitung zu verstehen. Erwägungsgrund 46 betont zudem den Ausnahmecharakter, wenn eine andere Rechtsgrundlage zur Verfügung steht.

Vertiefung: Lebenswichtige Interessen nach Art. 6 Abs. 1 lit. d DSGVO.

e) Öffentliche Aufgaben – Art. 6 Abs. 1 lit. e DSGVO

Die Verarbeitung ist erforderlich, um eine Aufgabe wahrzunehmen, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt. Die Aufgabe beziehungsweise Befugnis muss dem Verantwortlichen auf einer geeigneten Rechtsgrundlage übertragen worden sein. Maßgeblich ist insbesondere Art. 6 Abs. 3 DSGVO.

Beispiel: Eine zuständige Behörde verarbeitet personenbezogene Daten, um eine ihr gesetzlich übertragene Verwaltungsaufgabe zu erfüllen. Die Rechtsgrundlage ist nicht ausschließlich öffentlichen Stellen vorbehalten. Auch private Einrichtungen können unter bestimmten Voraussetzungen öffentliche Aufgaben wahrnehmen.

Vertiefung: Öffentliche Aufgaben nach Art. 6 Abs. 1 lit. e DSGVO.

f) Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO

Die Verarbeitung ist erforderlich, um berechtigte Interessen des Verantwortlichen oder eines Dritten zu wahren. Sie ist jedoch unzulässig, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

Die Prüfung erfolgt in drei Schritten:
  1. Besteht ein berechtigtes Interesse?
  2. Ist die Verarbeitung zur Wahrung dieses Interesses erforderlich?
  3. Überwiegen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person?

Beispiel: Ein Unternehmen möchte bestimmte Zugriffe auf seine IT-Systeme protokollieren, um Sicherheitsvorfälle erkennen und untersuchen zu können. Art. 6 Abs. 1 lit. f DSGVO kann hierfür eine geeignete Grundlage sein, sofern die Voraussetzungen einschließlich der Interessenabwägung erfüllt sind.

Die Vorschrift ist kein allgemeiner Auffangtatbestand für jede wirtschaftlich nützliche Verarbeitung.
Außerdem gilt Art. 6 Abs. 1 lit. f DSGVO nicht für Verarbeitungen durch Behörden in Erfüllung ihrer Aufgaben.
Vertiefung: Berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO – Die Interessenabwägung.

3. Gibt es eine Rangfolge zwischen den Rechtsgrundlagen?

Nein. Art. 6 Abs. 1 DSGVO legt keine allgemeine Rangfolge zwischen den sechs Rechtsgrundlagen fest.

Insbesondere hat die Einwilligung keinen grundsätzlichen Vorrang. Die Auswahl richtet sich nach dem jeweiligen Verarbeitungszweck und den gesetzlichen Voraussetzungen.

Eine Einwilligung ist deshalb nicht automatisch die sicherste Lösung. Sie setzt voraus, dass die betroffene Person tatsächlich frei entscheiden kann und dass ein Widerruf für die Zukunft respektiert wird.

Bei einer Verarbeitung, die zur Erfüllung einer gesetzlichen Verpflichtung erforderlich ist, wäre es beispielsweise widersprüchlich, den Eindruck zu vermitteln, die betroffene Person könne durch Widerruf einer Einwilligung die gesetzlich vorgeschriebene Verarbeitung verhindern.

Umgekehrt darf eine Verarbeitung nicht allein deshalb auf Vertragserfüllung gestützt werden, weil zwischen den Beteiligten ein Vertrag besteht.

Entscheidend ist nicht, welche Rechtsgrundlage für den Verantwortlichen am bequemsten ist, sondern welche die konkrete Verarbeitung tatsächlich trägt.

4. Was bedeutet „Erforderlichkeit“?

Der Begriff der Erforderlichkeit spielt bei fünf der sechs Rechtsgrundlagen eine zentrale Rolle. Er bedeutet nicht, dass eine Verarbeitung lediglich hilfreich, wirtschaftlich sinnvoll oder organisatorisch bequem ist. Vielmehr muss die Verarbeitung für den jeweiligen gesetzlich anerkannten Zweck notwendig sein.

Der Europäische Datenschutzausschuss betont in seinen Leitlinien 2/2019 zu Art. 6 Abs. 1 lit. b DSGVO, dass die Verarbeitung objektiv zur Vertragserfüllung erforderlich sein muss. Ein Verantwortlicher kann die Voraussetzungen dieser Rechtsgrundlage nicht dadurch schaffen, dass er beliebige Datenverarbeitungen in seine Vertragsbedingungen aufnimmt.

Beispiel: Für die Lieferung einer Bestellung ist regelmäßig die Lieferadresse erforderlich. Die Erhebung des Geburtsdatums aller Kunden ist dagegen nicht schon deshalb notwendig, weil der Onlinehändler diese Information für seine Kundenanalyse nutzen möchte.

Bei der Prüfung ist außerdem zu berücksichtigen, ob der angestrebte Zweck mit einer weniger eingriffsintensiven Verarbeitung erreicht werden kann. Die genaue Ausgestaltung der Erforderlichkeitsprüfung hängt vom jeweiligen Erlaubnistatbestand ab.

5. Wie wird die richtige Rechtsgrundlage bestimmt?

Ausgangspunkt ist stets die konkrete Verarbeitung. Dabei sollten Verantwortliche folgende Fragen beantworten:

a) Welche personenbezogenen Daten werden verarbeitet?

Beispielsweise Name, Anschrift, Kontaktdaten, Vertragsdaten oder Nutzungsinformationen.

b) Zu welchem Zweck erfolgt die Verarbeitung?

Die Zwecke müssen hinreichend konkret festgelegt werden. Die pauschale Angabe „Geschäftsabwicklung“ kann verschiedene Verarbeitungszwecke verdecken.

c) Welche Rechtsgrundlage kommt für diesen Zweck in Betracht?

Hier sind die jeweiligen Tatbestandsvoraussetzungen zu prüfen.

d) Ist die Verarbeitung in ihrem konkreten Umfang erforderlich beziehungsweise von der Rechtsgrundlage gedeckt?

Auch die Speicherdauer, der Kreis der Empfänger und die eingesetzten Verarbeitungsschritte sind zu berücksichtigen.

e) Sind weitere datenschutzrechtliche Anforderungen erfüllt?

Dazu gehören insbesondere Transparenz, Datenminimierung, Zweckbindung, Sicherheit und die Rechte der betroffenen Personen.
Beispiel: Datenverarbeitung bei einer Bestellung 
Ein Onlinehändler verarbeitet Daten im Zusammenhang mit einer Bestellung.

Dabei können unterschiedliche Zwecke und Rechtsgrundlagen vorliegen:

  • Lieferadresse zur Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO.

  • Aufbewahrung steuerrechtlich relevanter Rechnungsdaten: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den einschlägigen gesetzlichen Vorschriften.

  • Freiwillige Anmeldung zu einem Werbenewsletter: gegebenenfalls Art. 6 Abs. 1 lit. a DSGVO; zusätzlich sind die werberechtlichen Anforderungen zu beachten.

  • Maßnahmen zur IT-Sicherheit: je nach konkreter Maßnahme und Verpflichtung beispielsweise Art. 6 Abs. 1 lit. c oder lit. f DSGVO.

Dieses Beispiel zeigt, warum die Rechtsgrundlage nicht pauschal für eine gesamte Geschäftsbeziehung bestimmt werden sollte.

6. Können mehrere Rechtsgrundlagen einschlägig sein?

Art. 6 Abs. 1 DSGVO verlangt, dass mindestens eine Rechtsgrundlage erfüllt ist. Die Vorschrift schließt nicht aus, dass eine Verarbeitung im Einzelfall die Voraussetzungen mehrerer Rechtsgrundlagen erfüllt. Daraus folgt jedoch kein Recht, Rechtsgrundlagen beliebig auszutauschen.

Der Verantwortliche muss nachvollziehbar festlegen, auf welcher Grundlage er die konkrete Verarbeitung durchführt, und die betroffene Person entsprechend informieren.

Besonders problematisch kann es sein, eine Verarbeitung zunächst auf eine Einwilligung zu stützen und nach deren Widerruf ohne Weiteres auf berechtigte Interessen umzustellen. Ein solches Vorgehen kann mit den Anforderungen an Transparenz und Fairness unvereinbar sein, insbesondere wenn die betroffene Person ursprünglich davon ausgehen durfte, durch den Widerruf die betreffende Verarbeitung beenden zu können.

Die Abgrenzung zwischen mehreren Rechtsgrundlagen und die Grenzen eines nachträglichen Wechsels behandeln wir in einem gesonderten Beitrag dieser Serie.

7. Was gilt bei einer Änderung des Verarbeitungszwecks?

Eine einmal festgelegte Rechtsgrundlage erlaubt nicht automatisch jede spätere Nutzung der erhobenen Daten.

Nach Art. 5 Abs. 1 lit. b DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden.

Soll eine Verarbeitung später für einen anderen Zweck erfolgen, ist zu prüfen, ob die Weiterverarbeitung zulässig ist.

Art. 6 Abs. 4 DSGVO enthält hierfür Regelungen zur Vereinbarkeit des neuen Zwecks mit dem ursprünglichen Erhebungszweck, soweit die Weiterverarbeitung nicht auf einer Einwilligung oder einer entsprechenden unions- oder mitgliedstaatlichen Rechtsgrundlage beruht.

Bei der Vereinbarkeitsprüfung sind unter anderem der Zusammenhang zwischen den Zwecken, der Erhebungskontext, die Art der Daten, mögliche Folgen für die betroffenen Personen und geeignete Garantien zu berücksichtigen.

Beispiel: Ein Unternehmen hat die E-Mail-Adresse eines Kunden zur Abwicklung eines Kaufvertrags erhalten. Daraus folgt nicht automatisch, dass die Adresse für beliebige Werbezwecke genutzt werden darf. Neben der DSGVO können dabei weitere Vorschriften, insbesondere das Wettbewerbsrecht, maßgeblich sein.

8. Welche Bedeutung haben Transparenz und Rechenschaftspflicht?

Die Wahl der Rechtsgrundlage ist nicht nur eine interne juristische Überlegung. Nach Art. 13 Abs. 1 lit. c beziehungsweise Art. 14 Abs. 1 lit. c DSGVO muss der Verantwortliche betroffene Personen über die Zwecke der Verarbeitung und deren Rechtsgrundlage informieren.

Bei einer Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO sind außerdem die berechtigten Interessen anzugeben (Art. 13 Abs. 1 lit. d beziehungsweise Art. 14 Abs. 2 lit. b DSGVO). Hinzu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.

Der Verantwortliche muss nachweisen können, dass die datenschutzrechtlichen Grundsätze eingehalten werden.
In der Praxis empfiehlt es sich deshalb, für die einzelnen Verarbeitungstätigkeiten zu dokumentieren, welche Rechtsgrundlage für welchen Zweck herangezogen wird und warum ihre Voraussetzungen erfüllt sind.

Bei berechtigten Interessen gehört dazu insbesondere eine nachvollziehbare Interessenabwägung.

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO kann diese Dokumentation unterstützen. Die ausdrückliche Angabe der Rechtsgrundlage gehört allerdings nicht zu den zwingenden Mindestangaben des Art. 30 Abs. 1 DSGVO.

9. Was gilt für besondere Kategorien personenbezogener Daten?

Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, gelten zusätzliche Anforderungen.

Art. 9 Abs. 1 DSGVO enthält für diese Daten ein grundsätzliches Verarbeitungsverbot. Eine Verarbeitung ist nur unter den Voraussetzungen eines Ausnahmetatbestands nach Art. 9 Abs. 2 DSGVO zulässig.

Zusätzlich muss die Verarbeitung auf einer geeigneten Rechtsgrundlage nach Art. 6 DSGVO beruhen.
Die Voraussetzungen des Art. 9 DSGVO werden wir in einer eigenständigen Beitragsserie behandeln.

10. Häufige Fehler bei der Auswahl der Rechtsgrundlage

„Wir holen vorsichtshalber immer eine Einwilligung ein.“

Das ist nicht unbedingt sinnvoll. Eine Einwilligung muss freiwillig sein und kann grundsätzlich widerrufen werden. Ist die Verarbeitung tatsächlich gesetzlich vorgeschrieben oder zur Vertragserfüllung erforderlich, kann eine Einwilligung die Rechtslage unnötig verkomplizieren oder missverständlich darstellen.

„Der Kunde hat einen Vertrag unterschrieben, also ist jede Verarbeitung erlaubt.“

Nein. Art. 6 Abs. 1 lit. b DSGVO erlaubt nur Verarbeitungen, die für die Erfüllung des Vertrags oder für bestimmte vorvertragliche Maßnahmen erforderlich sind.

„Unser Unternehmen hat ein berechtigtes Interesse. Das reicht.“

Nein. Zusätzlich müssen die Erforderlichkeit und die Interessen der betroffenen Person geprüft werden.

„Die Rechtsgrundlage steht in der Datenschutzerklärung. Damit ist alles erledigt.“

Nein. Die Datenschutzerklärung informiert über die Rechtsgrundlage. Sie schafft diese nicht.

„Wir können die Rechtsgrundlage später einfach ändern.“

Auch das ist nicht ohne Weiteres möglich. Die Voraussetzungen der jeweiligen Rechtsgrundlage müssen tatsächlich erfüllt sein. Zudem sind Transparenz, Fairness und die berechtigten Erwartungen der betroffenen Personen zu beachten.

11. Fazit

Art. 6 DSGVO ist die zentrale Vorschrift zur Rechtmäßigkeit der Verarbeitung personenbezogener Daten. Die sechs Rechtsgrundlagen stehen grundsätzlich gleichrangig nebeneinander. Welche davon einschlägig ist, richtet sich nach dem konkreten Verarbeitungszweck und den gesetzlichen Voraussetzungen.

Die Auswahl sollte deshalb nicht schematisch erfolgen.

Eine rechtmäßige Verarbeitung beginnt mit einem klar definierten Zweck und einer sorgfältig geprüften Rechtsgrundlage. In den folgenden Beiträgen dieser Serie werden die einzelnen Erlaubnistatbestände vertieft dargestellt.

12. Rechtsquellen und weiterführende Informationen

Rechtsvorschriften

  • Art. 4 Nr. 2 und Nr. 11 DSGVO – Begriffsbestimmungen.
  • Art. 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten.
  • Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung.
  • Art. 7 DSGVO – Bedingungen für die Einwilligung.
  • Art. 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten.
  • Art. 13 und 14 DSGVO – Informationspflichten.
  • Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten.
  • Erwägungsgründe 39 bis 50 DSGVO.

Leitlinien des Europäischen Datenschutzausschusses

Weitere Beiträge dieser Serie
•    Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO
•    Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO
•    Rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO
•    Lebenswichtige Interessen nach Art. 6 Abs. 1 lit. d DSGVO
•    Öffentliche Aufgaben nach Art. 6 Abs. 1 lit. e DSGVO
•    Berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO
•    Mehrere Rechtsgrundlagen, Zweckänderung und Wechsel der Rechtsgrundlage
•    Art. 6 DSGVO in der Praxis: Welche Rechtsgrundlage ist die richtige?