DSGVO Rechtsgrundlagen: Die sechs Grundlagen nach Artikel 6

Artikel 6 DSGVO verpflichtet Sie, vor der Verarbeitung personenbezogener Daten mindestens eine Rechtsgrundlage zu bestimmen. Sechs Optionen stehen zur Verfügung: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Eine falsche Wahl oder fehlende Dokumentation kann Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes sowie eine Pflicht zur Datenlöschung nach sich ziehen.

Dieser Leitfaden erklärt jede Rechtsgrundlage, erläutert ihre Voraussetzungen und zeigt, wie Sie die richtige Option für Ihre Verarbeitungstätigkeiten auswählen und dokumentieren.

Die Rechtsgrundlage: Artikel 6 Abs. 1 DSGVO

Artikel 6 Abs. 1 DSGVO lautet in voller Länge:

„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt."

Entscheidende Regel: Für jede Verarbeitungstätigkeit gilt genau eine Rechtsgrundlage, die vor Beginn der Verarbeitung festgelegt werden muss. Ein nachträglicher Wechsel der Rechtsgrundlage ist nicht zulässig. Wenn Ihre ursprüngliche Grundlage wegfällt — etwa weil eine Einwilligung widerrufen wurde —, dürfen Sie nicht rückwirkend auf eine andere Grundlage wechseln.

Die sechs Rechtsgrundlagen im Detail

1. Einwilligung — Artikel 6 Abs. 1 lit. a DSGVO

Die Einwilligung ist die bekannteste Rechtsgrundlage, in der Praxis jedoch oft die anfälligste für Fehler. Eine rechtswirksame Einwilligung muss:

• Freiwillig erfolgen — ohne Druck oder Nachteile bei Verweigerung
• Spezifisch sein — für jeden Verarbeitungszweck gesondert erteilt
• Informiert sein — die betroffene Person muss verstehen, wozu sie einwilligt
• Unmissverständlich sein — durch eine aktive Handlung erklärt (kein Schweigen, keine vorangekreuzten Felder)

Was ungültige Einwilligungen kennzeichnet:

• Vorangekreuzte Felder (Opt-out statt Opt-in)
• Gebündelte Zwecke in einer einzigen Einwilligungserklärung ohne Differenzierung
• An die Vertragserfüllung geknüpfte Einwilligung (Koppelungsverbot)
• Fehlende Information über die Widerrufsmöglichkeit

Widerruf: Die betroffene Person muss ihre Einwilligung jederzeit widerrufen können — und der Widerruf muss genauso einfach sein wie die Erteilung der Einwilligung. Wenn die Einwilligung die einzige Rechtsgrundlage ist und widerrufen wird, müssen Sie die Verarbeitung unverzüglich einstellen und die Daten löschen.

Wann Einwilligung die richtige Grundlage ist: Newsletter-Marketing, nicht notwendige Cookies, optionale Produktfunktionen, mit der Vertragserfüllung nicht notwendig verbundene Datennutzungen.

2. Vertrag — Artikel 6 Abs. 1 lit. b DSGVO

Diese Rechtsgrundlage ermöglicht die Verarbeitung personenbezogener Daten, die zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erforderlich ist.

Der Erforderlichkeitstest ist entscheidend. Erforderlich bedeutet: Die Verarbeitung muss objektiv notwendig sein, um den Vertrag zu erfüllen — nicht bloß nützlich oder praktisch.

Zulässige Anwendungsfälle:

• Verarbeitung von Lieferadresse und Zahlungsdaten zur Bestellabwicklung
• Verarbeitung einer E-Mail-Adresse zur Bereitstellung eines Online-Dienstes, für den sich jemand angemeldet hat
• Verarbeitung von Bewerbungsunterlagen im Rahmen vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person

Was diese Rechtsgrundlage nicht abdeckt:

• Marketing und Werbung über das für die Vertragserfüllung Notwendige hinaus
• Analyse-Tracking, das keine unmittelbare Vertragsleistung unterstützt
• Weitergabe von Daten an Dritte für deren eigene Zwecke
• Erstellung von Nutzerprofilen für Zwecke jenseits der vertraglichen Leistung

3. Rechtliche Verpflichtung — Artikel 6 Abs. 1 lit. c DSGVO

Diese Rechtsgrundlage gilt, wenn EU-Recht oder das Recht eines Mitgliedstaats die Verarbeitung vorschreibt.

Typische Anwendungsfälle:

• Aufbewahrung von Steuer- und Buchführungsunterlagen (in Deutschland nach § 147 AO grundsätzlich 10 Jahre für Bücher, Aufzeichnungen und Jahresabschlüsse; 6 Jahre für Handelsbriefe)
• Identitätsprüfung nach der EU-Geldwäscherichtlinie (Know-Your-Customer-Pflichten)
• Lohn- und Gehaltsabrechnungsunterlagen gemäß Arbeitsrecht
• Datenweitergabe auf gerichtliche Anordnung oder Behördenanforderung
• Meldepflichten gegenüber Behörden (z. B. Sozialversicherungsträger, Finanzamt)

Was Sie beachten müssen: Sie müssen die konkrete Rechtsvorschrift benennen können, die die Verarbeitung vorschreibt. Eine vorsorgliche oder „für alle Fälle"-Aufbewahrung fällt nicht darunter. Diese Grundlage gilt nicht für selbstauferlegte Unternehmensrichtlinien, sondern nur für externe gesetzliche Verpflichtungen.

4. Lebenswichtige Interessen — Artikel 6 Abs. 1 lit. d DSGVO

Diese Rechtsgrundlage greift, wenn die Verarbeitung zum Schutz des Lebens oder der körperlichen Unversehrtheit einer Person erforderlich ist — in der Regel in Situationen, in denen die Einwilligung nicht eingeholt werden kann.

Typische Anwendungsfälle:

• Medizinischer Notfall, bei dem ein bewusstloser Patient keine Einwilligung erteilen kann
• Rückruf eines gefährlichen Produkts, bei dem Kunden kontaktiert werden müssen
• Vermisstensuche mit erforderlichem Datenaustausch mit Behörden

Was diese Rechtsgrundlage nicht abdeckt:

• Finanzielle Interessen
• Wirtschaftliche Interessen
• Emotionale Interessen oder Unbehagen

Diese Rechtsgrundlage ist subsidiär — sie soll nur eingesetzt werden, wenn keine andere Grundlage greift und ein echter Notfall vorliegt.

5. Öffentliche Aufgabe — Artikel 6 Abs. 1 lit. e DSGVO

Diese Rechtsgrundlage ist für Behörden und Einrichtungen vorgesehen, die gesetzlich übertragene Aufgaben im öffentlichen Interesse wahrnehmen oder öffentliche Gewalt ausüben.

Typische Anwendungsfälle:

• Verwaltungsbehörden bei der Wahrnehmung ihrer gesetzlichen Aufgaben
• Steuerbehörden bei der Steuererhebung
• Strafverfolgungsbehörden im Rahmen ihrer gesetzlichen Befugnisse
• Bildungseinrichtungen bei der Leistungsbeurteilung von Studierenden

Wichtiger Hinweis für private Unternehmen: Private Unternehmen können sich auf diese Grundlage grundsätzlich nicht berufen. Ausnahmen bestehen nur, wenn einem privaten Unternehmen durch Gesetz ausdrücklich eine öffentliche Aufgabe übertragen wurde (z. B. beliehene Unternehmen).

6. Berechtigte Interessen — Artikel 6 Abs. 1 lit. f DSGVO

Die Rechtsgrundlage der berechtigten Interessen ist die flexibelste Option, erfordert aber den größten Dokumentationsaufwand. Sie setzt eine dreiteilige Interessenabwägung (Legitimate Interest Assessment, LIA) voraus.

Die dreiteilige Prüfung:

1. Zweckprüfung — Besteht ein berechtigtes Interesse? Ist der Verarbeitungszweck legitim und rechtmäßig? Berechtigte Interessen können geschäftliche, kommerzielle oder gesellschaftliche Interessen sein — vorausgesetzt, sie sind real und nicht vorgeschoben.

2. Erforderlichkeitsprüfung — Ist die Verarbeitung erforderlich? Ist die Verarbeitung notwendig, um dieses Interesse zu verwirklichen? Gibt es ein milderes Mittel, das denselben Zweck mit geringerem Eingriff in die Rechte der Betroffenen erfüllen würde?

3. Abwägungsprüfung — Überwiegen die Interessen des Verantwortlichen? Stehen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person der Verarbeitung entgegen? Relevante Faktoren: Verhältnis zum Verantwortlichen (Bestandskunde vs. Unbekannter), Sensitivität der Daten, berechtigte Erwartungen der Betroffenen, potenzielle negative Auswirkungen.

Dokumentation der Interessenabwägung: Das Ergebnis der LIA muss schriftlich festgehalten und im Verzeichnis der Verarbeitungstätigkeiten (VVT) dokumentiert werden.

Typische Anwendungsfälle:

| Verarbeitungszweck | Berechtigtes Interesse | Hinweise | |---|---|---| | Betrugsprävention | Schutz des Unternehmens und der Kunden vor Betrug | In der Regel zulässig; Abwägung erforderlich | | IT- und Netzwerksicherheit | Schutz von Systemen und Infrastruktur | Weitgehend anerkannt als berechtigt | | Direktmarketing an Bestandskunden | Kommerzielles Interesse an Kundenbindung | Zulässig, Widerspruchsrecht nach Artikel 21 beachten | | Personalverwaltung | Effiziente HR-Prozesse | Zulässig für routinemäßige HR-Tätigkeiten | | Rechtsverteidigung | Geltendmachung oder Abwehr von Rechtsansprüchen | In der Regel zulässig | | Produktanalyse und Service-Optimierung | Verbesserung des Angebots | Erfordert sorgfältige Abwägung; Anonymisierung prüfen |

Wichtige Einschränkung: Behörden können sich bei der Wahrnehmung ihrer öffentlichen Aufgaben nicht auf berechtigte Interessen berufen. Hierfür gilt ausschließlich Artikel 6 Abs. 1 lit. e DSGVO.

Besondere Datenkategorien: Artikel 9 DSGVO

Artikel 6 DSGVO allein reicht bei der Verarbeitung besonderer Kategorien personenbezogener Daten nicht aus. Für folgende Datenkategorien benötigen Sie zusätzlich eine Grundlage nach Artikel 9 Abs. 2 DSGVO:

• Gesundheitsdaten
• Genetische Daten
• Biometrische Daten zur eindeutigen Identifizierung
• Daten zur ethnischen oder rassischen Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Daten zum Sexualleben oder zur sexuellen Orientierung

Wenn Sie derartige Daten verarbeiten: Prüfen Sie zunächst, ob Sie eine Rechtsgrundlage nach Artikel 6 haben, und stellen Sie anschließend sicher, dass eine der abschließend aufgezählten Ausnahmen nach Artikel 9 Abs. 2 DSGVO vorliegt (z. B. ausdrückliche Einwilligung, Notwendigkeit für arbeitsrechtliche Pflichten, lebenswichtige Interessen oder Verarbeitung durch gemeinnützige Organisationen in ihrem Tätigkeitsbereich).

Entscheidungsbaum: Welche Rechtsgrundlage passt?

Gehen Sie die folgenden Fragen der Reihe nach durch:

1. Schreibt EU-Recht oder nationales Recht die Verarbeitung vor? → Rechtliche Verpflichtung (lit. c)
2. Ist die Verarbeitung zur Erfüllung eines Vertrags mit der betroffenen Person zwingend notwendig? → Vertrag (lit. b)
3. Handelt es sich um eine behördliche Aufgabe nach gesetzlicher Ermächtigung? → Öffentliche Aufgabe (lit. e)
4. Liegt eine echte Lebensgefahr vor, bei der keine Einwilligung eingeholt werden kann? → Lebenswichtige Interessen (lit. d)
5. Hat die betroffene Person informiert und freiwillig eingewilligt? → Einwilligung (lit. a) — aber nur wenn die Einwilligung keine faktische Voraussetzung für die Leistung ist
6. Besteht ein berechtigtes Interesse, das die Rechte der betroffenen Person nicht überwiegt? → Berechtigte Interessen (lit. f) — nach vollständiger LIA-Dokumentation

Dokumentationspflichten für das Verzeichnis der Verarbeitungstätigkeiten (VVT)

Artikel 30 DSGVO verlangt, dass jede Verarbeitungstätigkeit im VVT dokumentiert wird. Für jede Tätigkeit müssen mindestens folgende Angaben zur Rechtsgrundlage enthalten sein:

• Gewählte Rechtsgrundlage: Benennung der einschlägigen Bestimmung (Artikel 6 Abs. 1 lit. a bis f DSGVO)
• Bei Einwilligung: Verweis auf das Einwilligungsformular und Nachweis des Einwilligungszeitpunkts
• Bei rechtlicher Verpflichtung: Benennung der konkreten Rechtsvorschrift (z. B. § 147 AO, § 41 EStG)
• Bei berechtigten Interessen: Ergebnis der dokumentierten Interessenabwägung (LIA) mit Datum
• Bei Verarbeitung besonderer Kategorien: Einschlägige Ausnahme nach Artikel 9 Abs. 2 DSGVO

Eine unvollständige oder fehlende Dokumentation stellt bereits für sich genommen einen DSGVO-Verstoß dar — unabhängig davon, ob die Verarbeitung inhaltlich rechtmäßig ist.

Häufige Fehler bei der Wahl der Rechtsgrundlage

Mehrere Rechtsgrundlagen für dieselbe Tätigkeit angeben. Für jede Verarbeitungstätigkeit gilt genau eine Rechtsgrundlage. Mehrere Grundlagen gleichzeitig anzugeben suggeriert, dass keine davon eindeutig passt, und kann von Aufsichtsbehörden als Indiz für eine unrechtmäßige Verarbeitung gewertet werden.

Vertrag als Auffangtatbestand für Sekundärnutzungen anführen. Wenn Sie Kundendaten für Marketing verwenden möchten, ist dies keine vertraglich notwendige Verarbeitung — es sei denn, das Marketing ist unmittelbarer Vertragsbestandteil. Für solche Zwecke brauchen Sie Einwilligung oder eine dokumentierte Interessenabwägung.

Berechtigte Interessen ohne LIA-Dokumentation. Behauptete berechtigte Interessen ohne schriftliche Interessenabwägung sind aufsichtsbehördlich angreifbar. Die Dokumentation muss vor Beginn der Verarbeitung vorliegen.

Einwilligung wählen, obwohl eine gesetzliche Verpflichtung besteht. Wenn Sie rechtlich zur Verarbeitung verpflichtet sind, ist die Einholung einer Einwilligung irreführend — die Betroffenen könnten annehmen, die Verarbeitung durch Widerruf stoppen zu können, was jedoch nicht der Fall ist.

Artikel 9 DSGVO übersehen. Die Verarbeitung besonderer Datenkategorien erfordert neben Artikel 6 DSGVO stets eine zusätzliche Grundlage nach Artikel 9 Abs. 2 DSGVO. Viele Verantwortliche prüfen nur Artikel 6 und versäumen diese zweite Ebene.

Widerspruchsrecht nach Artikel 21 DSGVO ignorieren. Bei Verarbeitungen auf Basis berechtigter Interessen (lit. f) oder öffentlicher Aufgabe (lit. e) haben Betroffene ein jederzeitiges Widerspruchsrecht. Dieses Recht muss Betroffenen mitgeteilt werden und muss technisch umsetzbar sein.

Bußgeldrahmen

Verstöße gegen Artikel 6 DSGVO (Verarbeitung ohne oder mit unzutreffender Rechtsgrundlage) fallen in den höheren Bußgeldrahmen nach Artikel 83 Abs. 5 DSGVO:

• Bis zu 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Zusätzlich zu Bußgeldern sind Anordnungen zur Datenlöschung und zur Einstellung der Verarbeitung möglich — mit unmittelbaren operativen Konsequenzen für Ihr Unternehmen.

Wichtigste Erkenntnisse

1. Eine Rechtsgrundlage pro Verarbeitungstätigkeit — vor Beginn der Verarbeitung festzulegen, nachträglicher Wechsel ist unzulässig.
2. Sechs Optionen — Einwilligung (lit. a), Vertrag (lit. b), Rechtliche Verpflichtung (lit. c), Lebenswichtige Interessen (lit. d), Öffentliche Aufgabe (lit. e), Berechtigte Interessen (lit. f).
3. Einwilligung ist die anfälligste Grundlage — vorangekreuzte Felder und gekoppelte Einwilligungen sind unwirksam. Widerruf muss so einfach sein wie die Erteilung.
4. „Vertrag" bedeutet objektiv notwendig — nicht bloß praktisch nützlich. Marketing und Analyse-Tracking fallen in der Regel nicht darunter.
5. Rechtliche Verpflichtung erfordert eine konkrete Rechtsvorschrift — vorsorgliche Datenspeicherung genügt nicht.
6. Berechtigte Interessen erfordern eine dokumentierte Interessenabwägung — schriftlich, vor Verarbeitungsbeginn, mit Datum im VVT.
7. Besondere Datenkategorien nach Artikel 9 — zusätzlich zu Artikel 6 DSGVO ist stets eine Grundlage nach Artikel 9 Abs. 2 DSGVO erforderlich.
8. Widerspruchsrecht beachten — bei lit. e und lit. f müssen Betroffene über ihr Recht nach Artikel 21 DSGVO informiert werden.
9. Bußgelder bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes bei Verarbeitung ohne oder mit unzutreffender Rechtsgrundlage.

---

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Für eine auf Ihre Organisation zugeschnittene Beratung wenden Sie sich bitte an Ihren Datenschutzbeauftragten, Ihre Rechtsabteilung oder einen spezialisierten Datenschutzjuristen.