Welche Rechtsgrundlage gilt wann nach Art. 6 DSGVO?

Lit. a: Einwilligung

Die Einwilligung ist die wohl bekannteste Rechtsgrundlage, aber nicht die einfachste. Art. 4 Nr. 11 DSGVO definiert sie über vier Merkmale, Art. 7 DSGVO und die EDSA-Leitlinien 05/2020 konkretisieren die Bedingungen:

• Freiwillig, die betroffene Person darf nicht unter Druck stehen. Eine Einwilligung, die Bedingung für einen Vertrag ist, der ohne sie nicht zustandekommt, ist regelmäßig nicht freiwillig.
• Informiert, die betroffene Person muss wissen, was sie genehmigt: Zwecke, Datenkategorien, ggf. Empfänger.
• Spezifisch, eine Einwilligung pro Zweck, nicht pauschal für "alle Zwecke der Datenverarbeitung".
• Eindeutig durch eine aktive Handlung, Häkchen setzen, Anklicken eines Buttons. Vorausgewählte Kästchen sind unzulässig.

Bei Kindern unter 16 ist bei Diensten der Informationsgesellschaft, die einem Kind direkt angeboten werden, die Einwilligung durch den Träger der elterlichen Verantwortung oder mit dessen Zustimmung nötig (Art. 8 Abs. 1 DSGVO). Die Mitgliedstaaten dürfen die Altersgrenze auf bis zu 13 Jahre senken.

Einwilligung ist jederzeit widerrufbar (Art. 7 Abs. 3). Die Verarbeitung bis zum Widerruf bleibt rechtmäßig, aber nach dem Widerruf darf nicht weiterverarbeitet werden.

Lit. b: Vertrag und vorvertragliche Maßnahmen

Verarbeitung ist rechtmäßig, wenn sie zur Erfüllung eines Vertrags erforderlich ist, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person.

Praktisch deckt lit. b den größten Teil von Standard-Geschäftsverarbeitungen ab:

• Kundenbestellungen und ihre Abwicklung.
• Vertrags-Stammdaten (Name, Anschrift, Bankverbindung) für die Vertragsdauer.
• Lieferungen und Versand.
• Reklamationen und Garantieabwicklung.

Wichtig: "Erforderlich" ist eng auszulegen. Die Daten müssen notwendig für den Vertrag sein, nicht nur nützlich. Marketing-Datenanalysen, Tracking, Re-Targeting fallen nicht unter lit. b, auch wenn der Kunde einen Vertrag abgeschlossen hat. Sie brauchen eine andere Rechtsgrundlage (lit. a Einwilligung oder lit. f berechtigtes Interesse mit Abwägung).

Vorvertragliche Maßnahmen umfassen die Bearbeitung von Angebots- und Vertragsanfragen. Die Daten dürfen verarbeitet werden, solange der Vertragsabschluss möglich ist.

Lit. c: Rechtliche Verpflichtung

Wenn der Verantwortliche einer rechtlichen Pflicht unterliegt, die die Verarbeitung erfordert, ist lit. c die passende Rechtsgrundlage. Typische Beispiele:

• Steuerrechtliche Aufbewahrungspflichten, § 147 Abs. 3 AO: Bücher, Aufzeichnungen und Jahresabschlüsse 10 Jahre, Buchungsbelege (z.B. Rechnungen) 8 Jahre, Handels- und Geschäftsbriefe sowie sonstige Unterlagen 6 Jahre.
• Sozialrechtliche Meldepflichten, SGB-Meldungen über Mitarbeiter an Sozialversicherungsträger.
• Geldwäsche-Identifikation, GwG verpflichtet zur Identifikation von Vertragspartnern.
• Datenschutz-Meldepflichten, wenn ihr eine Datenpanne nach Art. 33 meldet, ist die Verarbeitung dieser Meldedaten auch wieder über lit. c gerechtfertigt.
• Berufsrechtliche Aufbewahrungspflichten, Patientenakten 10 Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB), Handakten von Steuerberatern 10 Jahre (§ 66 Abs. 1 StBerG), Handakten von Rechtsanwälten 6 Jahre (§ 50 Abs. 1 BRAO).

Die rechtliche Pflicht muss eine Rechtsvorschrift in der EU oder einem Mitgliedsstaat sein, Verträge mit Privaten, AGB oder Berufsordnungen ohne gesetzliche Grundlage genügen nicht.

Lit. d: Lebenswichtige Interessen

Verarbeitung ist rechtmäßig, wenn sie zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich ist.

Typische Anwendungsfälle:

• Notfallmedizin, Behandlung einer bewusstlosen Person ohne Möglichkeit, Einwilligung einzuholen.
• Naturkatastrophen, Datenverarbeitung zur Lokalisierung und Rettung von Vermissten.
• Epidemien, Verarbeitung von Gesundheitsdaten zur Eindämmung schwerwiegender grenzüberschreitender Gesundheitsgefahren.

Lit. d ist eng auszulegen. Nach Erwägungsgrund 46 sollen Daten aufgrund des lebenswichtigen Interesses einer anderen natürlichen Person grundsätzlich nur verarbeitet werden, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann. Für die alltägliche Patientenverarbeitung ist nicht lit. d, sondern lit. b (Behandlungsvertrag) oder lit. c (gesetzliche Pflicht) einschlägig, bei Gesundheitsdaten zusätzlich ein Tatbestand aus Art. 9 Abs. 2 DSGVO.

Lit. e: Öffentliches Interesse oder hoheitliche Befugnis

Verarbeitung ist rechtmäßig, wenn sie zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist, die dem Verantwortlichen übertragen wurde.

Diese Rechtsgrundlage gilt vor allem für Behörden und mit hoheitlichen Aufgaben betraute Stellen:

• Polizeiliche Datenverarbeitung im Rahmen der Gefahrenabwehr.
• Datenverarbeitung durch Finanzbehörden.
• Statistische Verarbeitung durch staatliche Stellen.
• Verarbeitung durch Selbstverwaltungs-Organe (Kammern, Berufsorganisationen).

Private Unternehmen können sich auf lit. e stützen, wenn sie eine gesetzlich übertragene öffentliche Aufgabe wahrnehmen, etwa beliehene Unternehmen. Die Grundlage muss nach Art. 6 Abs. 3 DSGVO im Unionsrecht oder im Recht des Mitgliedstaats festgelegt sein.

Lit. f: Berechtigte Interessen

Die wohl am häufigsten genutzte und am häufigsten falsch angewandte Rechtsgrundlage: berechtigte Interessen des Verantwortlichen oder eines Dritten, mit einer Interessenabwägung gegen die Interessen oder Grundrechte der betroffenen Person.

Drei Voraussetzungen sind kumulativ:

• Berechtigtes Interesse muss vorliegen, geschäftlich, wirtschaftlich, ideell.
• Erforderlichkeit, die Verarbeitung muss zur Verwirklichung des Interesses notwendig sein, mildere Mittel nicht ausreichen.
• Überwiegen der Interessen oder Grundrechte der betroffenen Person darf nicht vorliegen.

Typische Anwendungsfälle:

• Marketing an Bestandskunden, Direktwerbung an existierende Kunden. Für E-Mail-Werbung ohne Einwilligung gelten zusätzlich die Voraussetzungen des § 7 Abs. 3 UWG (Adresse aus einem Verkauf, eigene ähnliche Waren, kein Widerspruch, Hinweis auf Widerspruchsrecht).
• Konzern-interne Datenübermittlung, soweit nicht ohnehin durch lit. b oder lit. c gedeckt.
• IT-Sicherheits-Maßnahmen, Logging, Monitoring, Schutz gegen Cyber-Angriffe.
• Reichweitenmessung in geringer Eingriffsintensität, pseudonyme Webanalyse; für das Speichern und Auslesen von Informationen auf dem Endgerät ist daneben § 25 TDDDG zu prüfen.
• Betrugsprävention und -bekämpfung.

Wichtig: Lit. f gilt nicht für Behörden in Erfüllung ihrer Aufgaben, sie müssen lit. e nutzen. Außerdem: Bei besonderen Kategorien greift lit. f nicht, Art. 9 hat eigene Tatbestände.

Kombination mehrerer Rechtsgrundlagen

Unternehmen verarbeiten dieselben Kundendaten oft für mehrere Zwecke, und jeder Zweck kann auf einer eigenen Rechtsgrundlage beruhen (EDSA-Leitlinien 05/2020, Rn. 118). Die Rechtsgrundlage ist vor der Verarbeitung und bezogen auf einen spezifischen Zweck festzulegen (Rn. 121); eine Einwilligung als „Sicherheitsnetz“ neben einer anderen Rechtsgrundlage für denselben Zweck ist damit nicht vereinbar (Rn. 122–123). Beispiel: Ein Onlineshop verarbeitet Kundendaten:

• Bestellabwicklung: lit. b (Vertrag).
• Rechnungs-Aufbewahrung 8 Jahre (Buchungsbelege, § 147 Abs. 3 AO): lit. c (Steuerrecht).
• Marketing-Newsletter an Bestandskunden: lit. f (berechtigtes Interesse + Interessenabwägung, bei E-Mail nur unter den Voraussetzungen des § 7 Abs. 3 UWG) oder lit. a (Einwilligung, sicherer Weg).
• Re-Targeting via Werbe-Cookies: lit. a (Einwilligung; für das Speichern und Auslesen von Informationen auf dem Endgerät verlangt § 25 Abs. 1 TDDDG zusätzlich eine informierte Einwilligung).

Wichtig: Bei der Information der betroffenen Person nach Art. 13/14 ist jede angewandte Rechtsgrundlage aufzuführen, und der Zweck pro Rechtsgrundlage zu benennen.

Wechsel der Rechtsgrundlage

Die Rechtsgrundlage muss vor Beginn der Verarbeitung feststehen. Ein nachträglicher Wechsel ist problematisch: Nach den EDSA-Leitlinien 05/2020 (Rn. 121–123) kann ein Verantwortlicher nicht von der Einwilligung auf eine andere Rechtsgrundlage „umschwenken", etwa um eine Verarbeitung mit unwirksamer Einwilligung nachträglich auf berechtigte Interessen zu stützen.

In bestimmten Konstellationen ist ein Wechsel möglich:

• Nach Widerruf einer Einwilligung darf eine Verarbeitung nur weiterlaufen, wenn für sie eine andere Rechtsgrundlage besteht (etwa eine gesetzliche Aufbewahrungspflicht). Der Wechsel darf nicht stillschweigend erfolgen, sondern ist der betroffenen Person nach Art. 13/14 DSGVO mitzuteilen (EDSA-Leitlinien 05/2020, Rn. 120).
• Wechsel bei Änderung des Verarbeitungszwecks, wenn der neue Zweck eine andere Rechtsgrundlage erfordert.

In der Praxis: jeder Wechsel ist heikel. Besser von Anfang an die passende Rechtsgrundlage wählen.

Praxis: Auswahl der richtigen Rechtsgrundlage

Vollständige Vorgehensweise:

1. Verarbeitungs-Inventar: Was wird verarbeitet, zu welchem Zweck?
2. Rechtsgrundlage pro Verarbeitung: passenden Tatbestand aus Art. 6 Abs. 1 zuordnen.
3. Bei lit. f: Interessenabwägung führen und dokumentieren (Rechenschaftspflicht, Art. 5 Abs. 2).
4. Bei besonderen Kategorien (Art. 9): zusätzlich Tatbestand aus Art. 9 Abs. 2 wählen.
5. Datenschutzerklärung: alle Rechtsgrundlagen transparent kommunizieren.
6. Bei Einwilligung: Einwilligungs-Mechanismus auf Konformität mit Art. 4 Nr. 11 und Art. 7 prüfen, freiwillig, informiert, spezifisch, eindeutig.

FAQ

Kann ich für dieselbe Verarbeitung mehrere Rechtsgrundlagen angeben?

Für unterschiedliche Zwecke oder Phasen ja, für denselben Zweck nicht als austauschbare Reserve. Klassisches Beispiel: Bestelldaten sind über lit. b (Vertrag) während der Abwicklung gerechtfertigt, und über lit. c (Steuerrecht) für die anschließende Aufbewahrung. Die zeitliche Abgrenzung der Rechtsgrundlagen ist in der Datenschutzerklärung zu erläutern.

Was, wenn keine der sechs Rechtsgrundlagen passt?

Dann ist die Verarbeitung nicht zulässig. Eine Verarbeitung ohne Rechtsgrundlage ist rechtswidrig, selbst wenn der Verantwortliche überzeugt ist, dass sie sinnvoll ist. In der Praxis prüfen viele Verantwortliche zuerst auf lit. b und lit. c, wenn dort nichts greift, lit. f mit ehrlicher Interessenabwägung. Wenn auch lit. f scheitert: Einwilligung einholen oder Verarbeitung unterlassen.

Reicht für Mitarbeiterdaten lit. b?

Teilweise. Für die Vertragsabwicklung (Lohnauszahlung, Sozialversicherungs-Meldung) reicht lit. b und lit. c. Für weiterreichende Verarbeitungen, Mitarbeiterfotos, Onboarding-Videos, Werbung mit Mitarbeitern, ist meist lit. a (Einwilligung) nötig, weil Mitarbeiter im Beschäftigungsverhältnis ein Machtgefälle haben und Einwilligung nur eingeschränkt freiwillig ist. Seit dem Urteil des EuGH vom 30.03.2023 (C-34/21) ist die Generalklausel des § 26 Abs. 1 Satz 1 BDSG wahrscheinlich nicht mehr anwendbar; die Datenschutzaufsicht Baden-Württemberg empfiehlt, Beschäftigtendaten direkt auf Art. 6 Abs. 1 lit. b, c oder f DSGVO zu stützen.

Wie oft muss ich die Interessenabwägung aktualisieren?

Bei wesentlichen Änderungen der Verarbeitung. Praxis-Empfehlung: jährliche Sichtung im Rahmen der DSGVO-Compliance-Routine, anlassbezogene Aktualisierung bei neuen Datenkategorien, Empfängern oder Verarbeitungszwecken. Eine veraltete Abwägung, die die aktuelle Verarbeitung nicht mehr abbildet, erfüllt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nicht.