Nexvyra

DSGVO Art. 6 (VO 2016/679) – Rechtsgrundlagen der Verarbeitung

DSGVO Art. 6 (VO 2016/679) – Rechtsgrundlagen der Verarbeitung

Kurzantwort

Jede Verarbeitung personenbezogener Daten braucht nach Art. 6 Abs. 1 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) mindestens eine von sechs Rechtsgrundlagen – sonst ist sie rechtswidrig. Die sechs Erlaubnistatbestände sind: Einwilligung (lit. a), Vertragserfüllung oder vorvertragliche Maßnahmen (lit. b), rechtliche Verpflichtung (lit. c), lebenswichtige Interessen (lit. d), öffentliches Interesse / Ausübung öffentlicher Gewalt (lit. e) und berechtigtes Interesse (lit. f). Das Prinzip heißt „Verbot mit Erlaubnisvorbehalt": Ohne einschlägige Rechtsgrundlage ist die Verarbeitung verboten.

Die DSGVO ist als EU-Verordnung unmittelbar in Deutschland anwendbar – ein nationales Umsetzungsgesetz ist nicht erforderlich; das BDSG konkretisiert nur einzelne Öffnungsklauseln. Wer ohne gültige Rechtsgrundlage verarbeitet, riskiert nach Art. 83 Abs. 5 lit. a DSGVO Geldbußen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Die Nachweislast für das Vorliegen einer Rechtsgrundlage trägt nach dem Rechenschaftsprinzip (Art. 5 Abs. 2 DSGVO) der Verantwortliche.

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Artikel 6 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)
Geltung ab25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
GrundprinzipVerbot mit Erlaubnisvorbehalt: mind. 1 von 6 Rechtsgrundlagen erforderlich [Art. 6 Abs. 1]
lit. aEinwilligung der betroffenen Person (Art. 7, Art. 4 Nr. 11)
lit. bVertrag oder vorvertragliche Maßnahmen auf Anfrage
lit. cErfüllung einer rechtlichen Verpflichtung (z. B. Aufbewahrungspflichten)
lit. dSchutz lebenswichtiger Interessen einer natürlichen Person
lit. eöffentliches Interesse / Ausübung öffentlicher Gewalt
lit. fberechtigtes Interesse des Verantwortlichen oder eines Dritten (Abwägung)
Ausnahme lit. fgilt nicht für Behörden in Erfüllung ihrer Aufgaben [Art. 6 Abs. 1 UAbs. 2]
Zweckbindung / ZweckänderungKompatibilitätsprüfung nach Art. 6 Abs. 4
Besondere DatenkategorienArt. 6 allein nicht ausreichend – zusätzlich Art. 9 erforderlich
NachweislastVerantwortlicher (Rechenschaftspflicht, Art. 5 Abs. 2)
Sanktion bei fehlender Rechtsgrundlagebis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes [Art. 83 Abs. 5 lit. a]

Geltungsbereich

Art. 6 DSGVO gilt für jede ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung in einem Dateisystem (Art. 2 Abs. 1 DSGVO). Räumlich erfasst die DSGVO nach dem Marktortprinzip (Art. 3) auch Verantwortliche außerhalb der EU, wenn sie betroffenen Personen in der EU Waren/Dienstleistungen anbieten oder deren Verhalten beobachten.

Ausgenommen ist unter anderem die Verarbeitung durch natürliche Personen zu ausschließlich persönlichen oder familiären Zwecken (Haushaltsausnahme, Art. 2 Abs. 2 lit. c). Für Behörden gilt die Besonderheit, dass sie sich für die Erfüllung ihrer Aufgaben nicht auf das berechtigte Interesse (lit. f) stützen können, sondern regelmäßig auf lit. c oder lit. e angewiesen sind.

Die sechs Rechtsgrundlagen im Detail

lit. a – Einwilligung. Die betroffene Person muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich eingewilligt haben (Art. 4 Nr. 11, Art. 7). Die Einwilligung ist jederzeit widerrufbar (Art. 7 Abs. 3); der Widerruf muss so einfach sein wie die Erteilung. Für das Setzen nicht zwingend erforderlicher Cookies/Tracking verlangt zusätzlich § 25 TDDDG (früher TTDSG) eine gesonderte Einwilligung.

lit. b – Vertrag. Zulässig ist die Verarbeitung, die für die Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Anfrage erforderlich ist. Der EuGH hat klargestellt, dass „erforderlich" eng auszulegen ist: Eine bloße Nützlichkeit für das Geschäftsmodell genügt nicht (vgl. EuGH, Urteil v. 4.7.2023, C-252/21 – Meta Platforms/Bundeskartellamt).

lit. c – Rechtliche Verpflichtung. Erfasst sind Verarbeitungen zur Erfüllung einer gesetzlichen Pflicht, z. B. handels- und steuerrechtliche Aufbewahrungspflichten (§ 257 HGB, § 147 AO) oder Meldepflichten. Die Verpflichtung muss im Unions- oder mitgliedstaatlichen Recht geregelt sein.

lit. d – Lebenswichtige Interessen. Auffangtatbestand für Notfälle, in denen der Schutz von Leben oder körperlicher Unversehrtheit einer natürlichen Person die Verarbeitung erfordert (z. B. medizinischer Notfall). In der Praxis selten.

lit. e – Öffentliches Interesse. Grundlage für Verarbeitungen im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt (v. a. Behörden). Erfordert eine zusätzliche Rechtsgrundlage im nationalen oder Unionsrecht (Art. 6 Abs. 3).

lit. f – Berechtigtes Interesse. Zulässig, wenn die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen und Grundrechte der betroffenen Person nicht überwiegen. Nach ständiger EuGH-Rechtsprechung ist ein dreistufiger Test durchzuführen (siehe unten).

Der Drei-Stufen-Test bei berechtigtem Interesse (lit. f)

Für eine Stützung auf Art. 6 Abs. 1 lit. f müssen nach EuGH und EDPB-Leitlinien 1/2024 drei kumulative Voraussetzungen vorliegen:

  1. Berechtigtes Interesse – Verfolgung eines rechtlich zulässigen, tatsächlichen und gegenwärtigen Interesses des Verantwortlichen oder eines Dritten. Der EuGH hat mit Urteil vom 4. Oktober 2024 (C-621/22 – KNLTB) bestätigt, dass auch ein rein wirtschaftliches / kommerzielles Interesse (z. B. Direktwerbung) grundsätzlich „berechtigt" sein kann.
  2. Erforderlichkeit – Die Datenverarbeitung muss zur Erreichung des Interesses erforderlich sein; es darf kein milderes, gleich wirksames Mittel geben (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c).
  3. Abwägung / Überwiegen – Die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person dürfen nicht überwiegen. Zu berücksichtigen sind insbesondere die vernünftigen Erwartungen der betroffenen Person sowie Umfang und Auswirkungen der Verarbeitung (Erwägungsgrund 47).

Der Verantwortliche muss diesen Test dokumentieren (Legitimate Interest Assessment, LIA), um seiner Rechenschaftspflicht nach Art. 5 Abs. 2 zu genügen. Gegen eine auf lit. f gestützte Verarbeitung besteht ein Widerspruchsrecht nach Art. 21 DSGVO.

Zweckänderung (Art. 6 Abs. 4)

Sollen Daten für einen anderen Zweck als den ursprünglich erhobenen weiterverarbeitet werden, ist – außerhalb von Einwilligung oder gesetzlicher Grundlage – eine Kompatibilitätsprüfung durchzuführen. Zu prüfen sind u. a. die Verbindung zwischen altem und neuem Zweck, der Erhebungskontext, die Art der Daten (insb. besondere Kategorien), mögliche Folgen für die betroffene Person und geeignete Garantien (z. B. Verschlüsselung, Pseudonymisierung).

Verhältnis zu besonderen Datenkategorien (Art. 9)

Für besondere Kategorien personenbezogener Daten (Gesundheit, Religion, politische Meinung, Gewerkschaftszugehörigkeit, Sexualleben, biometrische/genetische Daten) reicht Art. 6 nicht aus. Zusätzlich muss eine Ausnahme des Art. 9 Abs. 2 greifen (z. B. ausdrückliche Einwilligung, arbeitsrechtliche Pflichten, Gesundheitsvorsorge). Beide Ebenen – Art. 6 und Art. 9 – müssen kumulativ erfüllt sein.

Häufige Fehler

Quellen

Änderungsverlauf

Stand

Aktuelles