Art. 6 Abs. 1 lit. e) DSGVO: Warum „öffentliche Aufgabe“ nicht automatisch eine Rechtsgrundlage ist

Eine Stadt führt ein digitales Antragsportal ein. Bürger können darüber Anträge stellen, Unterlagen hochladen und den Bearbeitungsstand abrufen. Für den Betrieb wird ein privates IT-Unternehmen beauftragt, das die Software bereitstellt, die Daten hostet und den technischen Support übernimmt.

Bei der Frage nach der Rechtsgrundlage verweist die Stadt auf Art. 6 Abs. 1 lit. e) DSGVO: Die Verarbeitung sei schließlich für die Wahrnehmung einer öffentlichen Aufgabe erforderlich. Der IT-Dienstleister übernimmt diese Begründung kurzerhand für sich selbst – schließlich unterstütze auch er eine öffentliche Aufgabe. Er möchte die im Portal entstehenden Nutzungsdaten zudem für eigene statistische Auswertungen verwenden, um sein Produkt weiterzuentwickeln.

Auf den ersten Blick wirkt das schlüssig. Tatsächlich stecken darin gleich mehrere typische Missverständnisse, die in der Praxis immer wieder auftauchen.

Was Art. 6 Abs. 1 lit. e) DSGVO tatsächlich erlaubt

Nach Art. 6 Abs. 1 lit. e) DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt, oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Die Vorschrift enthält damit zwei Alternativen: die Aufgabe im öffentlichen Interesse und die Ausübung öffentlicher Gewalt.

Beide Varianten betreffen typischerweise den staatlichen und kommunalen Bereich – etwa die Bearbeitung von Verwaltungsanträgen, die Erhebung von Steuern, die Gewährung von Sozialleistungen oder gesetzlich übertragene Kontroll- und Aufsichtstätigkeiten. Die Vorschrift ist dabei nicht ausschließlich Behörden vorbehalten: Nach Erwägungsgrund 45 DSGVO kann eine im öffentlichen Interesse liegende Aufgabe durch Unions- oder nationales Recht auch anderen Stellen übertragen werden, unter bestimmten Voraussetzungen sogar einer privatrechtlich organisierten Stelle. Entscheidend ist deshalb weniger die Rechtsform des Verantwortlichen als die Frage, ob ihm die betreffende öffentliche Aufgabe rechtlich übertragen wurde.

„Öffentliches Interesse“ ist nicht dasselbe wie „nützlich für die Allgemeinheit“

Viele Tätigkeiten privater Unternehmen dienen mittelbar auch der Allgemeinheit: Ein Pflegedienst trägt zur Gesundheitsversorgung bei, ein Energieversorger stellt Strom bereit, ein IT-Dienstleister entwickelt Software für Kommunen. Das allein reicht für Art. 6 Abs. 1 lit. e) DSGVO nicht aus.

Die Vorschrift setzt nicht voraus, dass eine Tätigkeit gesellschaftlich nützlich oder politisch erwünscht ist. Die öffentliche Aufgabe muss dem Verantwortlichen vielmehr durch das Unionsrecht oder das Recht eines Mitgliedstaats zugewiesen sein – er kann sie sich nicht selbst geben. Das ist der wesentliche Unterschied zum berechtigten Interesse nach Art. 6 Abs. 1 lit. f) DSGVO: Dort kann ein Unternehmen ein eigenes wirtschaftliches oder ideelles Interesse verfolgen und dessen Gewicht gegenüber den Interessen der betroffenen Person abwägen. Bei lit. e) reicht ein selbst definiertes Interesse dagegen nicht. Es braucht eine rechtlich vorgegebene öffentliche Aufgabe. Die entscheidende Frage lautet daher immer: Welche Rechtsvorschrift überträgt gerade diesem Verantwortlichen gerade diese öffentliche Aufgabe? Fehlt darauf eine belastbare Antwort, ist Art. 6 Abs. 1 lit. e) DSGVO regelmäßig nicht die passende Rechtsgrundlage.

Die Vorschrift steht fast nie allein

Art. 6 Abs. 1 lit. e) DSGVO sagt zwar, wann eine Verarbeitung zulässig sein kann. Welche öffentliche Aufgabe besteht und auf welcher rechtlichen Grundlage sie ausgeübt wird, muss aber zusätzlich bestimmt werden – das folgt aus Art. 6 Abs. 3 DSGVO. Danach muss die Grundlage für eine Verarbeitung nach Art. 6 Abs. 1 lit. c) oder e) DSGVO im Unionsrecht oder im Recht eines Mitgliedstaats festgelegt sein, dem der Verantwortliche unterliegt. Eine Dokumentation wie „Rechtsgrundlage: Art. 6 Abs. 1 lit. e) DSGVO“ genügt in der Praxis deshalb häufig nicht. Die entscheidende Frage lautet vielmehr: Woher kommt die öffentliche Aufgabe? Das kann sich aus einem Fachgesetz, einer Gemeindeordnung, einem Sozialgesetz oder einer sonstigen unionsrechtlichen oder nationalen Vorschrift ergeben.

Bei Bundesbehörden kommt zusätzlich § 3 BDSG eine wichtige Funktion zu. Wie anschaulich das Bundesverwaltungsgericht dieses Zusammenspiel versteht, zeigt sein Urteil vom 20. März 2024 (Az. 6 C 8.22): In einem Streit um ein Informationsfreiheitsersuchen beim Bundesministerium des Innern hatte der Bundesbeauftragte für den Datenschutz die Erhebung der Postanschrift des Antragstellers zunächst beanstandet. Das Bundesverwaltungsgericht kam dagegen zu dem Ergebnis, dass § 3 BDSG zusammen mit der fachgesetzlich geregelten Aufgabe nach dem Informationsfreiheitsgesetz eine unionsrechtskonforme Grundlage bildet – das Gericht bezeichnete § 3 BDSG in diesem Zusammenhang als eine Art „Brückennorm“. Wichtig für die Praxis: Das Gericht betonte dabei den engen Zusammenhang mit der fachgesetzlich übertragenen Aufgabe und befasste sich mit einer Verarbeitung von vergleichsweise geringer Eingriffsintensität. Je intensiver eine Verarbeitung in die Rechte Betroffener eingreift, desto wichtiger wird eine hinreichend bestimmte fachgesetzliche Grundlage – eine allgemeine Aufgabenzuweisung legitimiert nicht automatisch jede Überwachung oder Profilbildung. Bei Landes- und Kommunalbehörden tritt an die Stelle des § 3 BDSG das jeweilige Landesdatenschutzrecht.

Auch private Unternehmen können erfasst sein – aber nicht automatisch

Ein privates Unternehmen kann durchaus mit einer öffentlichen Aufgabe betraut sein. Auch das BDSG kennt solche Konstellationen: Nach § 2 Abs. 4 BDSG können nichtöffentliche Stellen, soweit sie hoheitliche Aufgaben der öffentlichen Verwaltung wahrnehmen, datenschutzrechtlich wie öffentliche Stellen behandelt werden. Entscheidend bleibt aber die konkrete Funktion. Ein Unternehmen kann nicht argumentieren, seine Tätigkeit sei „wichtig für die Stadt“ und deshalb auf Art. 6 Abs. 1 lit. e) DSGVO gestützt. Es muss vielmehr feststehen, dass ihm die öffentliche Aufgabe oder öffentliche Gewalt durch eine geeignete Rechtsgrundlage tatsächlich übertragen wurde. Ein bloßer Dienstleistungsvertrag mit einer Behörde genügt dafür regelmäßig nicht.

Damit lässt sich auch der eingangs geschilderte Fall lösen: Die Stadt kann ihre eigene Verarbeitung auf Art. 6 Abs. 1 lit. e) DSGVO in Verbindung mit der einschlägigen nationalen Rechtsgrundlage stützen. Das IT-Unternehmen wird dagegen nicht allein dadurch selbst Träger dieser öffentlichen Aufgabe, dass es die technische Plattform bereitstellt. Solange es die Daten ausschließlich im Auftrag und nach Weisung der Stadt verarbeitet, liegt typischerweise eine Auftragsverarbeitung nach Art. 28 DSGVO vor, für die keine eigene Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO erforderlich ist. Anders sieht es aus, sobald der Dienstleister die Bürgerdaten für eigene Zwecke nutzen will, etwa zur Verbesserung seines Produkts. Bestimmt er dafür eigene Zwecke und Mittel, kann er insoweit selbst Verantwortlicher werden – und benötigt dann eine eigene Rechtsgrundlage. Art. 6 Abs. 1 lit. e) DSGVO steht ihm dafür nicht schon deshalb zur Verfügung, weil die Ausgangsdaten aus einer Behörde stammen.

Die eigentliche Hürde heißt Erforderlichkeit

Selbst wenn eine öffentliche Aufgabe eindeutig feststeht und eine passende Rechtsgrundlage vorhanden ist, ist die Datenverarbeitung noch nicht automatisch zulässig. Art. 6 Abs. 1 lit. e) DSGVO verlangt ausdrücklich, dass die Verarbeitung zur Aufgabenerfüllung erforderlich ist – und eine Verarbeitung ist nicht schon deshalb erforderlich, weil sie bequem, technisch möglich oder organisatorisch hilfreich ist. Zu prüfen ist, ob die öffentliche Aufgabe mit der betreffenden Datenverarbeitung wirksam erfüllt werden kann und ob nicht ein anderes, gleich wirksames, die betroffene Person aber weniger belastendes Mittel zur Verfügung steht. Genau diesen Gedanken hat auch das Bundesverwaltungsgericht in seinem Urteil zum Informationsfreiheitsantrag betont.

Ein einfaches Beispiel macht das greifbar: Eine Kommune nimmt über ein Onlineformular Meldungen über defekte Straßenlaternen entgegen. Benötigt wird dafür zunächst der Standort der Laterne. Muss zusätzlich zwingend der vollständige Name des Meldenden erhoben werden? Die Privatanschrift? Eine Telefonnummer als Pflichtfeld? Die Antwort ergibt sich nicht daraus, dass die Kommune für die Straßenbeleuchtung zuständig ist – die öffentliche Aufgabe legitimiert nicht automatisch jede denkbare Information. Wenn eine anonyme Schadensmeldung genauso wirksam bearbeitet werden kann, lässt sich die verpflichtende Erhebung umfangreicher Identitätsdaten kaum mit der Erforderlichkeit begründen. Sind Rückfragen dagegen häufig notwendig, kann eine Kontaktmöglichkeit erforderlich sein – wobei sich dann noch die Frage stellt, ob eine E-Mail-Adresse genügt oder zusätzlich Anschrift und Telefonnummer benötigt werden.

Ein besonders hartnäckiges Missverständnis betrifft dabei die eingesetzte Software: Enthält eine Fachanwendung Pflichtfelder für Geburtsdatum oder Telefonnummer, obwohl der Verwaltungsvorgang nur Name und Anschrift benötigt, macht das Argument „Das Programm lässt uns ohne Geburtsdatum nicht speichern“ dieses Feld nicht erforderlich im Sinne der DSGVO. Die technische Gestaltung muss sich an der rechtlich zulässigen Verarbeitung orientieren – nicht umgekehrt. Für die Beschaffung neuer Software bedeutet das, Pflichtfelder, Berechtigungskonzepte und Schnittstellen bereits vor der Einführung zu prüfen.

Besonders streng ist außerdem zwischen interner Verarbeitung und Veröffentlichung zu unterscheiden. Dass eine Behörde Namen für die interne Dokumentation benötigt, bedeutet nicht automatisch, dass dieselben Namen unbegrenzt im Internet veröffentlicht werden dürfen. Der EuGH hat dies unter anderem im Fall der öffentlich zugänglichen Strafpunkte im Straßenverkehr deutlich gemacht (Urteil vom 22. Juni 2021, Rs. C-439/19, Latvijas Republikas Saeima): Verkehrssicherheit ist zweifellos ein Ziel von öffentlichem Interesse, daraus folgt aber nicht automatisch, dass personenbezogene Informationen unbegrenzt an jedermann herausgegeben werden dürfen. Eine öffentliche Aufgabe beantwortet die Frage nach dem „Warum“ – nicht automatisch die Fragen „Welche Daten?“, „Wie lange?“, „An wen?“ und „Wie öffentlich?“. Diese Fragen müssen jeweils gesondert geprüft werden. Dasselbe gilt etwa für Webseiten öffentlicher Stellen: Dass der Betrieb einer Webseite Teil der Öffentlichkeitsarbeit und damit einer öffentlichen Aufgabe sein kann, bedeutet nicht, dass jedes technisch mögliche Tracking ebenfalls erforderlich ist. Ein technisch notwendiges Serverprotokoll ist datenschutzrechtlich anders zu beurteilen als ein umfangreiches Nutzerprofil zur Reichweitenanalyse.

Besondere Kategorien personenbezogener Daten

Werden besondere Kategorien personenbezogener Daten verarbeitet – etwa Gesundheitsdaten, religiöse Überzeugungen, politische Meinungen oder biometrische Daten –, reicht Art. 6 Abs. 1 lit. e) DSGVO allein nicht aus. Hierfür wird zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO benötigt, ergänzt um nationale Vorschriften wie § 22 BDSG. Bei Daten über strafrechtliche Verurteilungen und Straftaten ist zusätzlich Art. 10 DSGVO zu beachten. Ein Gesundheitsamt kann also nicht schlicht „Art. 6 Abs. 1 lit. e) DSGVO“ dokumentieren, sondern muss zusätzlich festhalten, welche Ausnahme nach Art. 9 Abs. 2 DSGVO die Verarbeitung trägt.

Betroffenenrechte mit Besonderheiten

Eine Verarbeitung nach Art. 6 Abs. 1 lit. e) DSGVO wirkt sich auch auf die Rechte der betroffenen Personen aus. Nach Art. 21 Abs. 1 DSGVO kann jede betroffene Person aus Gründen ihrer besonderen Situation gegen eine solche Verarbeitung Widerspruch einlegen. Der Verantwortliche darf nur fortfahren, wenn er zwingende schutzwürdige Gründe nachweisen kann, die die Interessen der betroffenen Person überwiegen. Ein pauschaler Verweis auf die gesetzliche Aufgabe reicht dafür nicht. Art. 20 Abs. 3 DSGVO stellt zudem klar, dass das Recht auf Datenübertragbarkeit für Verarbeitungen nach Art. 6 Abs. 1 lit. e) DSGVO nicht gilt. Auch das Löschrecht nach Art. 17 DSGVO ist eingeschränkt, solange die Verarbeitung tatsächlich noch zur Aufgabenerfüllung erforderlich ist – ist ein Vorgang abgeschlossen und besteht keine Aufbewahrungspflicht mehr, greifen die allgemeinen Löschgrundsätze wieder.

Praktisches Vorgehen

Für die Praxis empfiehlt sich ein strukturiertes Vorgehen in vier Schritten:

1. Konkrete Aufgabe benennen – nicht „Verwaltungstätigkeit“, sondern etwa „Bearbeitung von Anträgen auf …“.
2. Rechtsvorschrift identifizieren, aus der diese Aufgabe folgt – bei Bundesbehörden zusätzlich prüfen, ob § 3 BDSG als Brückennorm einschlägig ist, bei Landesstellen das jeweilige Landesrecht.
3. Jedes Datenfeld einzeln prüfen – wird diese Information wirklich benötigt, oder lässt sich die Aufgabe auch ohne sie ebenso wirksam erfüllen?
4. Jeden Verarbeitungsschritt gesondert betrachten – Erhebung, Speicherung, interne Zugriffe und insbesondere eine mögliche Veröffentlichung benötigen jeweils eine eigene Rechtfertigung.

Der Vorteil einer so aufgebauten Dokumentation liegt auf der Hand: Auch Monate oder Jahre später ist noch erkennbar, welche öffentliche Aufgabe gemeint war, woher sie stammt und weshalb gerade diese Daten erforderlich sind.

Zusammenfassung

Art. 6 Abs. 1 lit. e) DSGVO ist die zentrale Rechtsgrundlage für Datenverarbeitungen im Rahmen öffentlicher Aufgaben. Anders als beim berechtigten Interesse entscheidet der Verantwortliche aber nicht selbst darüber, was eine solche Aufgabe ist – sie muss unionsrechtlich oder nationalrechtlich verankert und ihm übertragen sein. Ist die Aufgabe gefunden, folgt die wichtigste praktische Prüfung: Welche Daten und welche Verarbeitungsschritte sind zu ihrer Erfüllung tatsächlich erforderlich? Genau hier entscheidet sich die Rechtmäßigkeit der Verarbeitung – eine öffentliche Aufgabe rechtfertigt nicht automatisch jede Datenerhebung, jede interne Zugriffsmöglichkeit und erst recht nicht jede Veröffentlichung.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.