Rechtsgrundlagen der Verarbeitung: die sechs Erlaubnistatbestände nach Art. 6 DSGVO

Verbotsprinzip mit Erlaubnisvorbehalt

Die DSGVO erlaubt die Verarbeitung personenbezogener Daten nicht grundsätzlich, sondern verbietet sie im Ausgangspunkt und lässt sie nur zu, wenn eine ausdrückliche Erlaubnis greift. Das ist der Kern des Art. 6 DSGVO: Nach Art. 6 Abs. 1 Satz 1 ist die Verarbeitung „nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist". Fehlt jede dieser Bedingungen, ist die Verarbeitung rechtswidrig — unabhängig davon, wie sorgfältig sie im Übrigen abläuft.

Was überhaupt eine „Verarbeitung" ist und welche Grundsätze (etwa Zweckbindung und Datenminimierung) daneben gelten, erklären die DSGVO-Grundlagen. Die Verarbeitungszwecke, an die jede Rechtsgrundlage gebunden ist, gehören zu den Pflichtangaben im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

Die sechs Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO

Art. 6 Abs. 1 nennt in den Buchstaben a bis f abschließend die sechs Rechtsgrundlagen:

• lit. a — Einwilligung: Die betroffene Person hat ihre Einwilligung „für einen oder mehrere bestimmte Zwecke" gegeben.
• lit. b — Vertrag: Die Verarbeitung ist „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich".
• lit. c — rechtliche Verpflichtung: Die Verarbeitung ist „zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt" (z. B. steuer- oder handelsrechtliche Aufbewahrung).
• lit. d — lebenswichtige Interessen: Die Verarbeitung ist erforderlich, „um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen".
• lit. e — öffentliches Interesse / öffentliche Gewalt: Die Verarbeitung ist „für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt".
• lit. f — berechtigtes Interesse: Die Verarbeitung ist „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen".

Interessenabwägung und die Behörden-Ausnahme

Das berechtigte Interesse (lit. f) ist der einzige Tatbestand, der eine ausdrückliche Abwägung verlangt: Die Verarbeitung ist nur zulässig, „sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen". Zudem ist er nicht für alle offen — nach Art. 6 Abs. 1 Unterabsatz 2 DSGVO gilt lit. f „nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung". Behörden stützen ihre Aufgabenerfüllung stattdessen auf lit. c oder lit. e.

Einwilligung: die Bedingungen des Art. 7 DSGVO

Wer sich auf lit. a stützt, muss die Bedingungen des Art. 7 DSGVO einhalten. Bereits die Definition in Art. 4 Nr. 11 DSGVO setzt hohe Maßstäbe: Eine Einwilligung ist nur wirksam als „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung" in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung.

• Nachweispflicht (Abs. 1): Der Verantwortliche muss belegen können, dass die betroffene Person eingewilligt hat — die Beweislast liegt bei ihm.
• Trennungsgebot (Abs. 2): Bei schriftlichen Erklärungen muss das Ersuchen „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache" und von anderen Sachverhalten klar unterscheidbar erfolgen.
• Widerruf (Abs. 3): Die Einwilligung kann jederzeit widerrufen werden, und zwar „so einfach wie die Erteilung". Der Widerruf wirkt nur für die Zukunft und berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht.
• Kopplungsverbot (Abs. 4): Bei der Prüfung der Freiwilligkeit ist zu berücksichtigen, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die für den Vertrag gar nicht erforderlich ist.

Besondere Kategorien: Art. 9 DSGVO

Für sensible Daten reicht Art. 6 allein nicht. Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung von Daten, aus denen etwa rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von genetischen und biometrischen Daten zur eindeutigen Identifizierung, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung grundsätzlich „untersagt".

Dieses Verbot gilt nur dann nicht, wenn zusätzlich einer der zehn Ausnahmetatbestände des Art. 9 Abs. 2 (lit. a–j) greift — etwa die ausdrückliche Einwilligung nach lit. a. Sensible Daten brauchen also eine doppelte Absicherung: eine Rechtsgrundlage nach Art. 6 und einen Ausnahmetatbestand nach Art. 9 Abs. 2. Weil solche Verarbeitungen häufig ein hohes Risiko bergen, ist zusätzlich oft eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich.

Zweckänderung: Art. 6 Abs. 4 DSGVO

Sollen bereits erhobene Daten für einen anderen Zweck weiterverarbeitet werden als den ursprünglichen, ist das nicht ohne Weiteres zulässig. Art. 6 Abs. 4 DSGVO nennt Kriterien, anhand derer der Verantwortliche die Vereinbarkeit prüft, unter anderem:

• jede Verbindung zwischen ursprünglichem und neuem Zweck (lit. a),
• den Zusammenhang der Erhebung, besonders das Verhältnis zwischen betroffener Person und Verantwortlichem (lit. b),
• die Art der Daten, insbesondere ob besondere Kategorien betroffen sind (lit. c),
• die möglichen Folgen für die betroffenen Personen (lit. d),
• das Vorhandensein geeigneter Garantien wie Verschlüsselung oder Pseudonymisierung (lit. e).

Bußgeldrahmen bei fehlender Rechtsgrundlage

Verstöße gegen die Rechtmäßigkeit der Verarbeitung sind besonders schwerwiegend und fallen unter die höhere Bußgeldstufe. Nach Art. 83 Abs. 5 lit. a DSGVO — der ausdrücklich „die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9" erfasst — beträgt der Rahmen bis zu 20 000 000 EUR oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Wer ohne Rechtsgrundlage verarbeitet, riskiert damit denselben Rahmen wie bei einem Verstoß gegen die Betroffenenrechte.

Häufige Fragen