Art. 6 Abs. 1 lit. c) DSGVO – Wenn Datenverarbeitung nicht Wunsch, sondern Pflicht ist

Ein ehemaliger Kunde meldet sich und verlangt die Löschung sämtlicher über ihn gespeicherter Daten. Der Vertrag ist seit zwei Jahren beendet, der Vertrieb hat den Kunden längst aus dem CRM-System entfernt. In der Buchhaltung liegen aber noch mehrere Rechnungen mit seinem Namen und seiner Anschrift. Muss das Unternehmen jetzt löschen – oder darf es das gar nicht?

Beides ist richtig, nur eben zu unterschiedlichen Zeitpunkten und für unterschiedliche Daten. Solange der Vertrag lief, wurden die Daten auf Grundlage von Art. 6 Abs. 1 lit. b) DSGVO zur Vertragserfüllung verarbeitet. Nach Vertragsende entfällt dieser Zweck für die meisten Daten. Für die aufbewahrungspflichtigen Rechnungen beginnt jedoch ein neuer Verarbeitungszweck: Das Unternehmen speichert sie weiter, weil das Handels- und Steuerrecht es dazu verpflichtet. Die Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c) DSGVO in Verbindung mit der Vorschrift, aus der sich die konkrete Pflicht ergibt.

Genau darum geht es bei Art. 6 Abs. 1 lit. c) DSGVO: Die Vorschrift ist immer dann einschlägig, wenn ein Unternehmen personenbezogene Daten nicht nur verarbeiten möchte, sondern aufgrund einer rechtlichen Vorgabe verarbeiten muss. Die entscheidende Vorfrage lautet deshalb: Muss die Verarbeitung erfolgen, weil eine rechtliche Verpflichtung besteht, oder ist sie lediglich betrieblich sinnvoll? Diese Unterscheidung klingt einfach, wird in der Praxis aber überraschend oft übersehen.

Was die Vorschrift konkret verlangt

Art. 6 Abs. 1 lit. c) DSGVO erlaubt eine Verarbeitung, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Drei Elemente stecken in diesem Satz:

• Es muss erstens eine rechtliche Verpflichtung bestehen,
• sie muss zweitens gerade das verarbeitende Unternehmen selbst treffen und
• drittens darf nur diejenige Verarbeitung erfolgen, die zu ihrer Erfüllung tatsächlich notwendig ist.

Die Vorschrift funktioniert dabei nie allein. Art. 6 Abs. 3 DSGVO bestimmt, woher die Verpflichtung stammen muss: aus dem Unionsrecht oder aus dem Recht eines Mitgliedstaates, dem der Verantwortliche unterliegt. Die DSGVO selbst schafft also keine Aufbewahrungs-, Melde- oder Nachweispflichten – sie stellt lediglich die datenschutzrechtliche Verbindung zu der Norm her, aus der sich diese Pflicht tatsächlich ergibt. In der Dokumentation sollte deshalb nie nur „Art. 6 Abs. 1 lit. c) DSGVO“ stehen, sondern immer die konkrete Fundstelle, etwa „Art. 6 Abs. 1 lit. c) DSGVO i. V. m. § 147 AO“ bei einer steuerrechtlichen oder „i. V. m. § 257 HGB“ bei einer handelsrechtlichen Aufbewahrungspflicht. Das ist mehr als eine Förmelei: Nur mit der konkreten Norm lässt sich später prüfen, ob die Verarbeitung wirklich erforderlich war, und nur so lassen sich die Informationspflichten nach Art. 13 und 14 DSGVO sowie die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO sauber erfüllen.

Nicht jede gefühlte Pflicht ist eine rechtliche Verpflichtung

In der Praxis wird schnell etwas als „rechtlich verpflichtend“ empfunden, was in Wirklichkeit nur eine vertragliche, organisatorische oder wirtschaftliche Vorgabe ist. Ein Großkunde, der von seinen Lieferanten bestimmte Daten verlangt, eine interne Konzernrichtlinie, ein Zertifizierungsstandard wie ISO 9001 oder eine Software, die ein Feld als Pflichtfeld definiert – all das begründet für sich genommen keine rechtliche Verpflichtung im Sinne von Art. 6 Abs. 1 lit. c) DSGVO, weil es an einer Grundlage im Unionsrecht oder im Recht eines Mitgliedstaates fehlt. Das bedeutet nicht, dass solche Verarbeitungen unzulässig wären. Oft passt dann aber Art. 6 Abs. 1 lit. b) oder lit. f) DSGVO als Rechtsgrundlage – nur eben nicht lit. c).

Ebenso wichtig ist die Unterscheidung zwischen einer Befugnis und einer Verpflichtung. Eine Vorschrift, nach der ein Unternehmen etwas übermitteln darf, verpflichtet es noch nicht dazu. Aus einem „darf“ wird nicht automatisch ein „muss“. Und selbst wenn eine echte gesetzliche Pflicht besteht, muss sie gerade das Unternehmen selbst treffen, das sich auf sie beruft – nicht irgendeinen anderen Akteur im selben Geschäftsvorgang. Dass eine Bank besonderen Identifizierungspflichten unterliegt, begründet noch keine Rechtsgrundlage für ihre Geschäftspartner, dieselben Daten zu denselben Zwecken zu verarbeiten.

Auch Kollektivvereinbarungen sind kein Freibrief. Der EuGH hat am 19. Dezember 2024 (C-65/23) klargestellt, dass die Parteien einer Betriebs- oder Dienstvereinbarung nicht selbst frei bestimmen können, welche Verarbeitung „erforderlich“ ist – Gerichte müssen die Einhaltung von Art. 5, 6 und 9 DSGVO uneingeschränkt überprüfen können. Wer sich auf eine Betriebsvereinbarung als Rechtsgrundlage stützt, sollte deshalb den konkreten Verarbeitungsvorgang und seine Erforderlichkeit dokumentieren, statt nur das Schlagwort „Betriebsvereinbarung“ zu nennen.

Erforderlich – der wichtigste Begriff der ganzen Vorschrift

Selbst wenn eine passende gesetzliche Pflicht gefunden ist, erlaubt Art. 6 Abs. 1 lit. c) DSGVO nur die Verarbeitung, die zu ihrer Erfüllung tatsächlich notwendig ist. Der EuGH hat das im Urteil vom 4. Juli 2023 (Meta Platforms u. a., C-252/21) ausdrücklich betont: Eine Verarbeitung ist nur gerechtfertigt, wenn sie wirklich zur Erfüllung der Verpflichtung notwendig ist und nur im unbedingt erforderlichen Umfang erfolgt. Es reicht also nicht, irgendeine ungefähr passende Pflicht zu finden – die Prüfung muss weitergehen: Welche Daten verlangt die Vorschrift wirklich? Reicht eine Speicherung, oder ist eine Übermittlung nötig? Wie lange, und an wen? Genügt bei einer Ausweisvorlage der Vermerk, dass geprüft wurde, oder braucht es wirklich eine Kopie? Gerade die letzte Frage ist ein Klassiker: Aufsichtsbehörden weisen regelmäßig darauf hin, dass eine gesetzliche Nachweispflicht nicht automatisch die Anfertigung einer Ausweiskopie rechtfertigt, wenn ein Prüfvermerk ausreicht.

Ein wichtiger Unterschied zu Art. 6 Abs. 1 lit. f DSGVO: Bei einer rechtlichen Verpflichtung findet keine Interessenabwägung statt. Ein Unternehmen muss nicht abwägen, ob sein Interesse an der Einhaltung des Steuerrechts schwerer wiegt als das Löschinteresse eines Kunden. An die Stelle der Abwägung tritt die Erforderlichkeitsprüfung: Nicht „wessen Interessen überwiegen“, sondern „welche Verarbeitung verlangt die Pflicht tatsächlich“.

Der Klassiker: gesetzliche Aufbewahrungspflichten

Kaum ein Unternehmen kommt an diesem Anwendungsfall vorbei, weil Handels- und Steuerrecht zahlreiche Aufbewahrungspflichten enthalten. Seit dem 1. Januar 2025 gelten dabei verkürzte Fristen: Bücher, Inventare und Abschlüsse sind weiterhin zehn Jahre aufzubewahren, Buchungsbelege und Rechnungen nur noch acht Jahre statt vorher zehn (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO, § 14b UStG), Handelsbriefe grundsätzlich sechs Jahre. Für Banken, Versicherungen und Wertpapierinstitute gilt die verkürzte Frist erst später, und im Sommer 2025 hat das Bundeskabinett sogar eine Verlängerung zurück auf zehn Jahre für Buchungsbelege dieser Institute auf den Weg gebracht – wer in diesem Bereich tätig ist, sollte die aktuelle Gesetzeslage daher im Blick behalten.

Wichtig ist dabei eine Unterscheidung, die in der Praxis häufig verloren geht: Die Aufbewahrungspflicht rechtfertigt die weitere Speicherung der betroffenen Unterlagen – nicht automatisch jede weitere Nutzung der darin enthaltenen Daten. Dass eine Rechnung acht Jahre aufbewahrt werden muss, erlaubt nicht, die Kontaktdaten des ehemaligen Kunden ebenso lange für Werbung oder aktive Vertriebsarbeit zu nutzen. Speichern müssen ist nicht dasselbe wie weiterverwenden dürfen. In einem gut organisierten Unternehmen werden solche Daten deshalb nach Ende der operativen Nutzung in einen eingeschränkten Archivbereich überführt, auf den nur noch für Prüf- und Nachweiszwecke zugegriffen wird.

Ebenso wichtig: Aufbewahrungsfristen gelten für bestimmte Dokumentarten, nicht pauschal für „alle Daten eines Kunden“. Aus „Geschäftsunterlagen müssen zehn Jahre aufbewahrt werden“ darf nicht die interne Regel „wir löschen Kundendaten nach zehn Jahren“ werden – das geht in beide Richtungen oft an der eigentlichen Rechtslage vorbei. Ein praxistaugliches Löschkonzept arbeitet deshalb mit Datenarten statt mit einer einzigen Frist pro Person.

Wo Art. 6 Abs. 1 lit. c) DSGVO an seine Grenzen stößt

Auch außerhalb des Rechnungswesens begegnet die Vorschrift dem Unternehmensalltag: bei sozialversicherungsrechtlichen Meldepflichten des Arbeitgebers, bei der elektronischen Lohnsteuerbescheinigung, bei Geldwäschepflichten oder bei der Bearbeitung von Auskunftsersuchen nach Art. 15 DSGVO – auch die DSGVO selbst kann also eine rechtliche Verpflichtung begründen. Vorsicht ist dagegen bei Behördenanfragen geboten: Ein Anruf der Polizei mit der Bitte um Kundendaten ist für sich genommen keine rechtliche Verpflichtung. Entscheidend ist, ob eine konkrete Vorschrift das Unternehmen zur Herausgabe verpflichtet – die Anfrage ist dann nur der Anlass, die Rechtsgrundlage muss aus der Herausgabepflicht selbst folgen. Bei Anfragen von Behörden aus Staaten außerhalb der EU gilt das erst recht: Ein ausländischer Gerichtsbeschluss begründet nicht allein deshalb eine Verpflichtung im Sinne von Art. 6 Abs. 3 DSGVO.

Sobald besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betroffen sind – etwa Gesundheitsdaten oder biometrische Daten –, reicht Art. 6 Abs. 1 lit. c) DSGVO allein ohnehin nicht aus. Hier muss zusätzlich eine Ausnahme aus Art. 9 Abs. 2 DSGVO vorliegen, im Beschäftigungskontext etwa über Art. 9 Abs. 2 lit. b) DSGVO und § 26 Abs. 3 BDSG. Wie ernst Aufsichtsbehörden das nehmen, zeigte 2025 die irische Datenschutzaufsicht: Sie verhängte gegen eine Behörde ein Bußgeld von 550.000 Euro, weil biometrische Gesichtsdaten ohne tragfähige Rechtsgrundlage verarbeitet wurden – ein gesellschaftlich sinnvoller Zweck ersetzt eben keine Rechtsgrundlage.

Was ein Löschverlangen bedeutet – und was nicht

Zurück zum Ausgangsfall: Art. 17 Abs. 3 lit. b) DSGVO sieht vor, dass das Recht auf Löschung nicht gilt, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. „Wir löschen gar nichts, weil steuerrechtliche Pflichten bestehen“ ist damit aber meist zu pauschal. Die Rechnung mag weiterhin gespeichert bleiben müssen, ein loser Vertriebsvermerk oder eine separate Telefonnummer im CRM-System dagegen nicht – hier zeigt sich wieder das Wort „soweit“. Auch sonst wirkt sich die Rechtsgrundlage unmittelbar auf die Rechte der betroffenen Person aus: Ein Widerspruchsrecht nach Art. 21 DSGVO besteht bei Art. 6 Abs. 1 lit. c) DSGVO nicht, ein Widerruf ist ausgeschlossen, und auch das Recht auf Datenübertragbarkeit greift regelmäßig nicht. Auskunft, Berichtigung und Einschränkung der Verarbeitung bleiben davon unberührt.

Zusammenfassung

Wer eine Verarbeitung auf Art. 6 Abs. 1 lit. c) DSGVO stützen möchte, kommt mit fünf Fragen meist zu einem belastbaren Ergebnis: Welche konkrete Vorschrift verpflichtet uns? Trifft diese Verpflichtung tatsächlich unser Unternehmen? Welche Verarbeitung verlangt die Vorschrift wirklich? Sind genau diese Daten und Schritte dafür erforderlich? Und schließlich: Wann endet die Verpflichtung, und was geschieht danach mit den Daten? Lassen sich diese Fragen sauber beantworten, ist die Anwendung der Vorschrift in aller Regel deutlich unkomplizierter, als sie zunächst wirkt – und die Dokumentation, die Löschfristen und die Antwort auf ein Betroffenenersuchen ergeben sich fast von selbst.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.