---
title: DSGVO Art. 6 (VO 2016/679) – Rechtsgrundlagen der Verarbeitung
slug: dsgvo-rechtsgrundlagen-art-6
topic: datenschutz
legal_status: in_force
authority_level: A
valid_from: 2018-05-25
valid_to: null
last_reviewed: 2026-07-09
status: aktuell
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-rechtsgrundlagen-art-6.md
wikidata_subjects: [Q1172506, Q60520997]
factcheck_status: ok
---

# DSGVO Art. 6 (VO 2016/679) – Rechtsgrundlagen der Verarbeitung

## Kurzantwort

Jede Verarbeitung personenbezogener Daten braucht nach **Art. 6 Abs. 1 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** mindestens **eine** von **sechs** Rechtsgrundlagen – sonst ist sie **rechtswidrig**. Die sechs Erlaubnistatbestände sind: **Einwilligung** (lit. a), **Vertragserfüllung** oder vorvertragliche Maßnahmen (lit. b), **rechtliche Verpflichtung** (lit. c), **lebenswichtige Interessen** (lit. d), **öffentliches Interesse / Ausübung öffentlicher Gewalt** (lit. e) und **berechtigtes Interesse** (lit. f). Das Prinzip heißt „Verbot mit Erlaubnisvorbehalt": Ohne einschlägige Rechtsgrundlage ist die Verarbeitung **verboten**.

Die DSGVO ist als **EU-Verordnung unmittelbar in Deutschland anwendbar** – ein nationales Umsetzungsgesetz ist nicht erforderlich; das BDSG konkretisiert nur einzelne Öffnungsklauseln. Wer ohne gültige Rechtsgrundlage verarbeitet, riskiert nach **Art. 83 Abs. 5 lit. a DSGVO** Geldbußen von **bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** – je nachdem, welcher Betrag höher ist. Die **Nachweislast** für das Vorliegen einer Rechtsgrundlage trägt nach dem Rechenschaftsprinzip (**Art. 5 Abs. 2 DSGVO**) der **Verantwortliche**.

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), Artikel 6 [EUR-Lex, CELEX:32016R0679] |
| Rechtsnatur | **EU-Verordnung → unmittelbar anwendbar** in Deutschland (kein Umsetzungsgesetz nötig) |
| Geltung ab | **25. Mai 2018** [Art. 99 Abs. 2 DSGVO] |
| Grundprinzip | Verbot mit Erlaubnisvorbehalt: mind. **1 von 6** Rechtsgrundlagen erforderlich [Art. 6 Abs. 1] |
| lit. a | **Einwilligung** der betroffenen Person (Art. 7, Art. 4 Nr. 11) |
| lit. b | **Vertrag** oder vorvertragliche Maßnahmen auf Anfrage |
| lit. c | Erfüllung einer **rechtlichen Verpflichtung** (z. B. Aufbewahrungspflichten) |
| lit. d | Schutz **lebenswichtiger Interessen** einer natürlichen Person |
| lit. e | **öffentliches Interesse** / Ausübung öffentlicher Gewalt |
| lit. f | **berechtigtes Interesse** des Verantwortlichen oder eines Dritten (Abwägung) |
| Ausnahme lit. f | **gilt nicht** für Behörden in Erfüllung ihrer Aufgaben [Art. 6 Abs. 1 UAbs. 2] |
| Zweckbindung / Zweckänderung | Kompatibilitätsprüfung nach **Art. 6 Abs. 4** |
| Besondere Datenkategorien | Art. 6 **allein nicht ausreichend** – zusätzlich **Art. 9** erforderlich |
| Nachweislast | **Verantwortlicher** (Rechenschaftspflicht, Art. 5 Abs. 2) |
| Sanktion bei fehlender Rechtsgrundlage | bis zu **20 Mio. € oder 4 %** des weltweiten Jahresumsatzes [Art. 83 Abs. 5 lit. a] |

## Geltungsbereich

Art. 6 DSGVO gilt für **jede** ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung in einem Dateisystem (**Art. 2 Abs. 1 DSGVO**). Räumlich erfasst die DSGVO nach dem **Marktortprinzip** (Art. 3) auch Verantwortliche außerhalb der EU, wenn sie betroffenen Personen in der EU Waren/Dienstleistungen anbieten oder deren Verhalten beobachten.

Ausgenommen ist unter anderem die Verarbeitung durch natürliche Personen zu **ausschließlich persönlichen oder familiären Zwecken** (Haushaltsausnahme, Art. 2 Abs. 2 lit. c). Für Behörden gilt die Besonderheit, dass sie sich für die Erfüllung ihrer Aufgaben **nicht** auf das berechtigte Interesse (lit. f) stützen können, sondern regelmäßig auf lit. c oder lit. e angewiesen sind.

## Die sechs Rechtsgrundlagen im Detail

**lit. a – Einwilligung.** Die betroffene Person muss **freiwillig, für den bestimmten Fall, informiert und unmissverständlich** eingewilligt haben (Art. 4 Nr. 11, Art. 7). Die Einwilligung ist **jederzeit widerrufbar** (Art. 7 Abs. 3); der Widerruf muss so einfach sein wie die Erteilung. Für das Setzen nicht zwingend erforderlicher **Cookies/Tracking** verlangt zusätzlich **§ 25 TDDDG** (früher TTDSG) eine gesonderte Einwilligung.

**lit. b – Vertrag.** Zulässig ist die Verarbeitung, die für die **Erfüllung eines Vertrags** mit der betroffenen Person oder für **vorvertragliche Maßnahmen** auf deren Anfrage **erforderlich** ist. Der EuGH hat klargestellt, dass „erforderlich" eng auszulegen ist: Eine bloße Nützlichkeit für das Geschäftsmodell genügt nicht (vgl. EuGH, Urteil v. 4.7.2023, **C-252/21** – Meta Platforms/Bundeskartellamt).

**lit. c – Rechtliche Verpflichtung.** Erfasst sind Verarbeitungen zur Erfüllung einer **gesetzlichen Pflicht**, z. B. handels- und steuerrechtliche Aufbewahrungspflichten (§ 257 HGB, § 147 AO) oder Meldepflichten. Die Verpflichtung muss im **Unions- oder mitgliedstaatlichen Recht** geregelt sein.

**lit. d – Lebenswichtige Interessen.** Auffangtatbestand für Notfälle, in denen der Schutz von **Leben oder körperlicher Unversehrtheit** einer natürlichen Person die Verarbeitung erfordert (z. B. medizinischer Notfall). In der Praxis selten.

**lit. e – Öffentliches Interesse.** Grundlage für Verarbeitungen im **öffentlichen Interesse** oder in **Ausübung öffentlicher Gewalt** (v. a. Behörden). Erfordert eine zusätzliche Rechtsgrundlage im nationalen oder Unionsrecht (Art. 6 Abs. 3).

**lit. f – Berechtigtes Interesse.** Zulässig, wenn die Verarbeitung zur Wahrung **berechtigter Interessen** des Verantwortlichen oder eines Dritten erforderlich ist und die **Interessen und Grundrechte** der betroffenen Person **nicht überwiegen**. Nach ständiger EuGH-Rechtsprechung ist ein **dreistufiger Test** durchzuführen (siehe unten).

## Der Drei-Stufen-Test bei berechtigtem Interesse (lit. f)

Für eine Stützung auf Art. 6 Abs. 1 lit. f müssen nach EuGH und **EDPB-Leitlinien 1/2024** **drei kumulative** Voraussetzungen vorliegen:

1. **Berechtigtes Interesse** – Verfolgung eines rechtlich zulässigen, tatsächlichen und gegenwärtigen Interesses des Verantwortlichen oder eines Dritten. Der EuGH hat mit Urteil vom **4. Oktober 2024 (C-621/22 – KNLTB)** bestätigt, dass auch ein **rein wirtschaftliches / kommerzielles Interesse** (z. B. Direktwerbung) grundsätzlich „berechtigt" sein kann.
2. **Erforderlichkeit** – Die Datenverarbeitung muss zur Erreichung des Interesses **erforderlich** sein; es darf **kein milderes, gleich wirksames Mittel** geben (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c).
3. **Abwägung / Überwiegen** – Die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person dürfen **nicht überwiegen**. Zu berücksichtigen sind insbesondere die **vernünftigen Erwartungen** der betroffenen Person sowie Umfang und Auswirkungen der Verarbeitung (Erwägungsgrund 47).

Der Verantwortliche muss diesen Test **dokumentieren** (Legitimate Interest Assessment, LIA), um seiner Rechenschaftspflicht nach Art. 5 Abs. 2 zu genügen. Gegen eine auf lit. f gestützte Verarbeitung besteht ein **Widerspruchsrecht** nach Art. 21 DSGVO.

## Zweckänderung (Art. 6 Abs. 4)

Sollen Daten für einen **anderen Zweck** als den ursprünglich erhobenen weiterverarbeitet werden, ist – außerhalb von Einwilligung oder gesetzlicher Grundlage – eine **Kompatibilitätsprüfung** durchzuführen. Zu prüfen sind u. a. die Verbindung zwischen altem und neuem Zweck, der Erhebungskontext, die Art der Daten (insb. besondere Kategorien), mögliche Folgen für die betroffene Person und geeignete Garantien (z. B. Verschlüsselung, Pseudonymisierung).

## Verhältnis zu besonderen Datenkategorien (Art. 9)

Für **besondere Kategorien** personenbezogener Daten (Gesundheit, Religion, politische Meinung, Gewerkschaftszugehörigkeit, Sexualleben, biometrische/genetische Daten) reicht Art. 6 **nicht** aus. Zusätzlich muss eine Ausnahme des **Art. 9 Abs. 2** greifen (z. B. ausdrückliche Einwilligung, arbeitsrechtliche Pflichten, Gesundheitsvorsorge). Beide Ebenen – Art. 6 **und** Art. 9 – müssen kumulativ erfüllt sein.

## Häufige Fehler

- **Einwilligung als „Standardgrundlage"** für alles nutzen: Oft ist lit. b oder lit. f einschlägiger und tragfähiger; eine widerrufene Einwilligung kann die Verarbeitung nachträglich rechtswidrig machen.
- **Nachträglicher Wechsel der Rechtsgrundlage:** Die Rechtsgrundlage muss **vor** der Verarbeitung feststehen; ein Austausch (z. B. von Einwilligung zu berechtigtem Interesse) nach Widerruf ist unzulässig.
- **Fehlende Dokumentation der Interessenabwägung** (LIA) bei lit. f – Verstoß gegen die Rechenschaftspflicht.
- **Vergessene zweite Ebene bei Art. 9:** Für Gesundheits- oder andere sensible Daten wird nur Art. 6 geprüft, die zusätzlich nötige Art.-9-Ausnahme fehlt.
- **Cookies/Tracking:** Berufung auf „berechtigtes Interesse" statt der nach **§ 25 TDDDG** erforderlichen Einwilligung.
- **Behörden** stützen Verwaltungshandeln fälschlich auf lit. f (für sie gesperrt) statt auf lit. c/e.

## Quellen

- Verordnung (EU) 2016/679 (DSGVO) – Art. 6, Volltext (EUR-Lex):
  https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e1888-1-1
- Europäische Kommission – Rechtsgrundlagen der Datenverarbeitung (Legal grounds for processing data):
  https://commission.europa.eu/law/law-topic/data-protection/reform/rules-business-and-organisations/legal-grounds-processing-data_de
- EDPB – Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR (legitimate interest):
  https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf
- EuGH, Urteil v. 4.10.2024, C-621/22 (KNLTB) – wirtschaftliches Interesse als berechtigtes Interesse (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=04.10.2024&Aktenzeichen=C-621%2F22
- EuGH, Urteil v. 4.7.2023, C-252/21 (Meta Platforms/Bundeskartellamt) – enge Auslegung der Erforderlichkeit (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=04.07.2023&Aktenzeichen=C-252%2F21
- BfDI – Rechtsgrundlagen der Verarbeitung / Grundlagen der DSGVO:
  https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Datenschutz/GrundlagenDatenschutzrecht.html

## Änderungsverlauf

- 2026-07-09: Automatischer Faktencheck – tote Quellen-URL des BfDI korrigiert (alt: .../Allgemein/Datenschutzrecht/DSGVO.html, HTTP 404 → neu: .../Allgemein/Datenschutz/GrundlagenDatenschutzrecht.html, HTTP 200). | change_type=source_url_fix reviewed_by="nexvyra-factcheck" field="quellen"
- 2026-07-08: Erstveröffentlichung der Faktenseite. Rechtsgrundlagen des Art. 6 Abs. 1 lit. a–f, Drei-Stufen-Test (lit. f), Zweckänderung (Abs. 4) und Verhältnis zu Art. 9 gegen EUR-Lex, EU-Kommission und EDPB-Leitlinien 1/2024 gegengeprüft; EuGH-Rechtsprechung C-621/22 (04.10.2024) und C-252/21 (04.07.2023) über dejure.org-Permalinks eingebunden. | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published"

## Stand

- Stand: 2026-07-08
- Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
- Status: aktuell
- Quellenautorität: A (EUR-Lex, EU-Kommission, EDPB, EuGH)
- Lizenz: CC BY 4.0