Rechtsgrundlage der Verarbeitung (Art. 6 DSGVO)

Kurzdefinition: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Nach Art. 6 DSGVO ist sie nur rechtmäßig, wenn mindestens eine von sechs im Gesetz genannten Bedingungen erfüllt ist. Ohne Rechtsgrundlage ist die Verarbeitung unzulässig. [N-DSGVO-6]

Der Normwortlaut

Art. 6 Abs. 1 DSGVO lautet: „Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist“ — es folgen die Buchstaben a bis f: Einwilligung; Vertragserfüllung oder vorvertragliche Maßnahmen; rechtliche Verpflichtung; Schutz lebenswichtiger Interessen; Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt; sowie berechtigte Interessen des Verantwortlichen oder eines Dritten. [N-DSGVO-6]

Welche Rechtsgrundlagen gibt es nach der DSGVO?

Sechs. Einwilligung (Buchst. a), Vertrag und vorvertragliche Maßnahmen (Buchst. b), rechtliche Verpflichtung (Buchst. c), lebenswichtige Interessen (Buchst. d), öffentliches Interesse oder öffentliche Gewalt (Buchst. e) und berechtigtes Interesse mit Interessenabwägung (Buchst. f). Es genügt, dass eine davon erfüllt ist. [N-DSGVO-6]

Gibt es eine Rangfolge unter den Rechtsgrundlagen?

Nein, das Gesetz kennt keine feste Rangfolge — es genügt, dass mindestens eine Bedingung vorliegt. Wohl aber ist die richtige Grundlage sorgfältig zu wählen: Die Einwilligung ist widerruflich, das berechtigte Interesse verlangt eine Abwägung, die Vertragsgrundlage reicht nur so weit wie der Vertrag. Ein späterer Wechsel der Begründung ist kein Freifahrtschein; ob und wie eine andere Grundlage herangezogen werden kann, ist anhand der konkreten Verarbeitung und Informationslage gesondert zu prüfen. [N-DSGVO-6]

Was gilt für besondere Kategorien von Daten?

Für sie reicht Art. 6 DSGVO allein nicht. Die Verarbeitung besonderer Kategorien — etwa Gesundheits- oder biometrische Daten — ist nach Art. 9 DSGVO grundsätzlich untersagt und nur unter den dortigen zusätzlichen Voraussetzungen zulässig. Neben der Rechtsgrundlage des Art. 6 DSGVO muss dann ein Ausnahmetatbestand des Art. 9 DSGVO hinzutreten. [N-DSGVO-6] [N-DSGVO-9]

Wie viele der Bedingungen müssen erfüllt sein?

Mindestens eine. Nach Art. 6 Abs. 1 DSGVO ist die Verarbeitung rechtmäßig, wenn mindestens eine der sechs Bedingungen der Buchstaben a bis f erfüllt ist. Es müssen nicht mehrere Grundlagen zusammentreffen; eine tragfähige genügt. [N-DSGVO-6]

Welche Grundlage deckt vorvertragliche Maßnahmen?

Buchstabe b. Art. 6 Abs. 1 Buchst. b DSGVO erfasst die Verarbeitung, die für die Erfüllung eines Vertrags oder für auf Anfrage der betroffenen Person erfolgende vorvertragliche Maßnahmen erforderlich ist. Schon die Anbahnung eines Vertrags kann damit eine Verarbeitung rechtfertigen. [N-DSGVO-6]

Häufige Fehlannahmen

• „Ohne Einwilligung ist keine Verarbeitung erlaubt.“ Nein. Die Einwilligung ist nur eine von sechs Rechtsgrundlagen des Art. 6 DSGVO. [N-DSGVO-6]
• „Man kann die Rechtsgrundlage nachträglich frei austauschen.“ Nein. Die tragende Grundlage sollte vor Beginn bestimmt und dokumentiert sein; ein späterer Wechsel ist gesondert zu prüfen. [N-DSGVO-6]
• „Art. 6 DSGVO genügt für alle Daten.“ Nein. Für besondere Kategorien braucht es zusätzlich einen Tatbestand des Art. 9 DSGVO. [N-DSGVO-6] [N-DSGVO-9]
• „Es gibt nur wenige zulässige Verarbeitungsgründe.“ Nein. Art. 6 Abs. 1 DSGVO nennt sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigtes Interesse. [N-DSGVO-6]
• „Auf das berechtigte Interesse kann man sich immer berufen.“ Nein. Es trägt nur, wenn nach einer Abwägung die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. [N-DSGVO-6]

Was die Geschäftsleitung tun sollte

1. Grundlage je Verarbeitung bestimmen. Für jede Verarbeitung die passende der sechs Bedingungen.
2. Nicht reflexhaft Einwilligung wählen. Sie ist widerruflich und oft nicht die praktikabelste Grundlage.
3. Berechtigtes Interesse dokumentieren. Die Interessenabwägung nachvollziehbar festhalten.
4. Besondere Kategorien gesondert prüfen. Hier tritt Art. 9 DSGVO hinzu.

Für die Geschäftsleitung

Keine Verarbeitung ohne Rechtsgrundlage — und die Einwilligung ist nur eine von sechs. Die Wahl der richtigen Grundlage entscheidet über die Reichweite und die Stabilität der Verarbeitung: Einwilligungen können widerrufen werden, Vertragsgrundlagen enden mit dem Vertrag, das berechtigte Interesse verlangt eine belastbare Abwägung. Bei sensiblen Daten kommt Art. 9 DSGVO als zweite Hürde hinzu.

Quellen

1. [N-DSGVO-6] Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung), Abs. 1 Buchst. a bis f. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
2. [N-DSGVO-9] Art. 9 DSGVO (besondere Kategorien personenbezogener Daten), Abs. 1 und Ausnahmen nach Abs. 2. Konsolidierte Fassung. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504