Art. 6 Abs. 1 lit. b) DSGVO: Warum „Wir haben doch einen Vertrag“ nicht immer die richtige Rechtsgrundlage ist
Ein Kunde bestellt online einen Bürostuhl. Im Formular werden Name, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum und Anrede abgefragt, dazu soll ein dauerhaftes Kundenkonto angelegt werden. Für viele Unternehmen ist die datenschutzrechtliche Antwort scheinbar einfach: Es gibt einen Vertrag, also lässt sich alles, was mit diesem Kunden geschieht, auf Art. 6 Abs. 1 lit. b) DSGVO stützen.
Genau das ist einer der häufigsten Fehler bei der Wahl einer Rechtsgrundlage. Ein Vertrag ist kein datenschutzrechtlicher Freifahrtschein. Die Vorschrift erlaubt nicht jede Verarbeitung, die irgendwie mit einer Kundenbeziehung zusammenhängt, sondern nur diejenige, die für die Durchführung des konkreten Vertrags objektiv erforderlich ist. Und schon dieser Satz enthält den Prüfmaßstab, an dem sich in der Praxis fast alles entscheidet: die Erforderlichkeit.
Bevor es ins Detail geht, lohnt sich eine kurze Orientierung, die sich in der Praxis immer wieder bewährt:
Müssen Daten verarbeitet werden, weil die geschuldete Vertragsleistung sonst nicht vernünftig erbracht werden kann, ist Art. 6 Abs. 1 lit. b) DSGVO ein naheliegender Kandidat. Sollte ein Unternehmen die Daten aus betrieblichen Gründen lediglich gerne verarbeiten möchte, weil das Vorteile bringt, ist eher an das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO zu denken. Und soll eine Verarbeitung nur stattfinden, wenn die betroffene Person das ausdrücklich möchte, kommt eine Einwilligung in Betracht. Diese drei Kategorien – müssen, sollte, freiwillig – ersetzen keine rechtliche Prüfung im Einzelfall, verhindern aber den verbreitetsten Fehler überhaupt: reflexartig jede Verarbeitung innerhalb einer Kundenbeziehung unter „Vertragserfüllung“ zu verbuchen.
Was die Vorschrift tatsächlich regelt
Nach Art. 6 Abs. 1 lit. b) DSGVO ist eine Verarbeitung rechtmäßig, wenn sie zur Erfüllung eines Vertrags erforderlich ist, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen, die auf ihre eigene Anfrage erfolgen. Bereits Erwägungsgrund 44 der DSGVO stellt klar, dass die Verarbeitung als rechtmäßig gelten soll, wenn sie notwendig ist, um einen Vertrag zu erfüllen oder anzubahnen. Beide Varianten – laufender Vertrag und vorvertragliche Anfrage – haben denselben Kern: Ohne Erforderlichkeit greift die Vorschrift nicht.
Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 2/2019 klargestellt, dass die Vorschrift eng auszulegen ist. Entscheidend ist nicht, ob eine Verarbeitung für das Unternehmen nützlich, praktisch oder wirtschaftlich sinnvoll ist, sondern ob sie objektiv notwendig ist, um den Vertrag zu erfüllen. Gibt es eine realistische, weniger datenintensive Alternative, spricht das gegen die Erforderlichkeit. Auch die deutschen Aufsichtsbehörden orientieren sich in ihrer Orientierungshilfe für digitale Dienste an diesem Maßstab.
Der Praxistest: gedanklich streichen
Die zuverlässigste Kontrollmethode ist denkbar einfach: das betreffende Datum gedanklich aus dem Prozess entfernen. Lässt sich die vertraglich geschuldete Leistung trotzdem erbringen, spricht viel dafür, dass für dieses Datum eine andere Rechtsgrundlage benötigt wird – oder dass es gar nicht erhoben werden sollte. Diese Prüfung verbindet Art. 6 Abs. 1 lit. b) DSGVO unmittelbar mit dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c) DSGVO. Das bedeutet nicht, dass nur solche Daten verarbeitet werden dürfen, ohne die eine Vertragsdurchführung technisch unmöglich wäre – auch Verarbeitungsschritte, die integraler Bestandteil der vereinbarten Leistung sind, können erforderlich sein. Maßgeblich ist eine objektive Betrachtung des tatsächlichen Vertragsgegenstands.
Genau hier liegt der zweite verbreitete Irrtum: Ein Unternehmen kann den Anwendungsbereich der Vorschrift nicht dadurch erweitern, dass möglichst viele Verarbeitungen in die AGB aufgenommen werden. Der EDSA stellt ausdrücklich klar, dass Vertragsklauseln nicht dazu genutzt werden dürfen, den Umfang der erforderlichen Daten künstlich zu vergrößern. Der Vertrag beschreibt den Leistungsgegenstand – er definiert nicht selbst, was datenschutzrechtlich erforderlich ist.
Praxistest zur Erforderlichkeit: Lässt sich die vertraglich geschuldete Leistung auch ohne ein bestimmtes personenbezogenes Datum erbringen, spricht das gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
Wie streng der EuGH prüft
Wie eng die Erforderlichkeit tatsächlich zu verstehen ist, zeigt die Entscheidung des EuGH vom 9. Januar 2025 in der Rechtssache C-394/23 – Mousse. Die französische Bahn verlangte beim Online-Ticketkauf verpflichtend eine geschlechtsspezifische Anrede, mit dem Argument, eine höfliche, personalisierte Kundenkommunikation gehöre zur Vertragsdurchführung. Dem EuGH reichte das nicht: Eine neutrale Anrede funktioniere ebenso gut, ein weniger eingriffsintensives Mittel stehe also zur Verfügung. Die systematische Erhebung der Anrede war deshalb nicht objektiv unerlässlich für die Beförderungsleistung. In den verbundenen Rechtssachen C-17/22 und C-18/22 hatte der EuGH bereits zuvor denselben Maßstab bestätigt: Gibt es eine praktikablere, weniger eingriffsintensive Möglichkeit, den Vertragszweck zu erreichen, fehlt es an der Erforderlichkeit.
Die Bedeutung dieser Rechtsprechung reicht weit über Bahnfahrkarten hinaus. In vielen Bestellformularen und CRM-Systemen gibt es Pflichtfelder wie Anrede, Titel, Geburtsdatum oder eine zweite Telefonnummer, ohne dass noch jemand erklären könnte, warum sie eigentlich benötigt werden. Die richtige Frage lautet nicht „War dieses Feld schon immer da?“, sondern: „Was würde bei der Vertragsdurchführung konkret nicht funktionieren, wenn dieses Feld leer bliebe?“
Wer eigentlich Vertragspartei sein muss
Eine zweite, im B2B-Bereich häufig übersehene Einschränkung: Die betroffene Person muss selbst Vertragspartei sein. Bestellt eine GmbH eine Maschine bei einem Lieferanten, ist die GmbH Vertragspartei – nicht der Einkaufsleiter, der die Bestellung abwickelt. Seine geschäftliche E-Mail-Adresse oder Telefonnummer lässt sich deshalb nicht mit dem Argument verarbeiten, man habe „mit seinem Arbeitgeber einen Vertrag“. Für die Daten betrieblicher Ansprechpartner kommt regelmäßig das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO in Betracht. Anders liegt der Fall bei Einzelunternehmern: Wird der Inhaber eines Handwerksbetriebs persönlich Vertragspartner, ist er zugleich natürliche Person und Vertragspartei – seine erforderlichen Daten können unter Art. 6 Abs. 1 lit. b) DSGVO fallen.
Vorvertragliche Maßnahmen – aber nur auf Anfrage
Art. 6 Abs. 1 lit. b) DSGVO greift auch schon vor Vertragsschluss, wenn die Verarbeitung für vorvertragliche Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen – etwa wenn ein Interessent einen konkreten Kostenvoranschlag verlangt. Entscheidend ist, dass die Initiative von der betroffenen Person selbst ausgeht. Ruft ein Handwerker dagegen Adressen aus einem Bestand an, um unaufgefordert Angebote zu unterbreiten, handelt es sich nicht um eine vorvertragliche Maßnahme „auf Anfrage“ – die Vorschrift scheidet dann aus, und es muss gesondert geprüft werden, ob eine andere Grundlage und die wettbewerbsrechtlichen Vorgaben eingehalten sind.
Was regelmäßig NICHT unter Vertragserfüllung fällt
Bestimmte Zwecke werden in der Praxis immer wieder fälschlich unter Art. 6 Abs. 1 lit. b) DSGVO einsortiert, obwohl sie einer eigenen Rechtsgrundlage bedürfen: die Analyse des Einkaufsverhaltens für Produktempfehlungen, die allgemeine „Serviceverbesserung“, Betrugsprävention aus rein wirtschaftlichem Interesse sowie personalisierte oder verhaltensbasierte Werbung. Wichtig ist dabei, die Zahlen aus den bekannten Verfahren richtig einzuordnen: Die Bußgelder gegen Meta wegen unzulässiger Vertrags-Rechtsgrundlage für Werbung (210 Millionen Euro gegen Facebook und 180 Millionen Euro gegen Instagram) sowie gegen WhatsApp wegen „Serviceverbesserung“ (5,5 Millionen Euro) betrafen jeweils mehrere Verstöße gegen die DSGVO gleichzeitig – die genannten Beträge sind also nicht allein auf die falsche Rechtsgrundlage nach Art. 6 Abs. 1 lit. b) DSGVO zurückzuführen. Das dahinterstehende Prinzip bleibt aber für jedes Unternehmen relevant, unabhängig von der Bußgeldhöhe: Ein wirtschaftlich sinnvoller Zweck ist nicht automatisch ein Vertragszweck.
Das Beispiel Kundenkonto
Besonders praxisrelevant ist die Frage, ob ein Onlineshop bei jeder Bestellung ein dauerhaftes Kundenkonto verlangen darf. Die deutsche Datenschutzkonferenz vertritt bereits seit 2022 die Auffassung, dass Kunden grundsätzlich auch eine Gastbestellung ermöglicht werden sollte, wenn ein dauerhaftes Konto für die konkrete Bestellung nicht erforderlich ist. Der EDSA hat dies mit seinen Empfehlungen 2/2025 zur Rechtsgrundlage für verpflichtende Nutzerkonten im E-Commerce aufgegriffen, die derzeit noch als Konsultationsfassung vorliegen. Die Grundaussage: Bei einer einmaligen Bestellung ist ein Konto normalerweise kein notwendiger Bestandteil des Kaufvertrags, bei einem längerfristigen Abonnement, das während der gesamten Laufzeit einen Log-in voraussetzt, gehört das Nutzerkonto dagegen zur vertraglichen Leistung selbst.
Datencheck beim Onlinekauf: Nicht jede im Bestellformular abgefragte Information ist automatisch für die Vertragserfüllung erforderlich. Entscheidend ist, ob das jeweilige Datum für die konkrete Vertragsdurchführung tatsächlich benötigt wird.
Auch nach Vertragsende ist nicht automatisch Schluss – aber auch nicht automatisch weiter
Art. 6 Abs. 1 lit. b) DSGVO endet nicht zwangsläufig in dem Moment, in dem die Ware ausgeliefert wurde: Auch die Bearbeitung einer berechtigten Rücksendung oder eines Gewährleistungsanspruchs kann noch erfasst sein. Mit dem Wegfall des jeweiligen Vertragszwecks fällt aber grundsätzlich auch die darauf gestützte Verarbeitung weg. Eine Rechnung etwa ist während der Vertragsabwicklung über Art. 6 Abs. 1 lit. b) DSGVO gedeckt, nach Abschluss des Vertrags beruht ihre weitere Aufbewahrung dagegen regelmäßig auf einer gesetzlichen Verpflichtung nach Art. 6 Abs. 1 lit. c) DSGVO in Verbindung mit § 147 AO, § 257 HGB oder § 14b UStG – aktuell mit einer Aufbewahrungsfrist von grundsätzlich acht Jahren. Ein Datensatz kann im Laufe seines Lebens also durchaus die Rechtsgrundlage wechseln.
Zusammenfassung
Art. 6 Abs. 1 lit. b) DSGVO legitimiert nicht die gesamte Kundenbeziehung, sondern immer nur den einzelnen, objektiv erforderlichen Verarbeitungsschritt. Wer diese Vorschrift in der Praxis sauber anwenden will, sollte deshalb nicht in „Kundendaten“, sondern in Verarbeitungszwecken denken: Bestellung, Lieferung und Zahlung können Vertragserfüllung sein, gesetzliche Aufbewahrung beruht auf einer eigenen Verpflichtung, Ansprechpartnerdaten oder Betrugsprävention regelmäßig auf berechtigtem Interesse, Werbung oder andere optionale Verarbeitungen benötigen eine gesonderte Prüfung. Der einfachste Test bleibt dabei immer derselbe: Was würde mit dem konkreten Vertrag passieren, wenn dieses eine Datum nicht verarbeitet würde? Lässt sich diese Frage nicht überzeugend beantworten, ist Art. 6 Abs. 1 lit. b) DSGVO nicht die richtige Begründung – und es braucht entweder eine andere Rechtsgrundlage oder den Verzicht auf die Verarbeitung.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
