Warum „wir haben doch einen Vertrag“ keine Rechtsgrundlage ist

Ein mittelständischer Händler führt ein neues CRM-System ein. Darin sollen künftig Kontaktdaten von Kunden, Ansprechpartner bei Geschäftskunden, Bestellungen, Gesprächsnotizen und Reklamationen verwaltet werden. Zusätzlich möchte der Vertrieb Geburtstage erfassen, um persönliche Glückwünsche zu versenden, und die Kunden sollen regelmäßig einen Newsletter erhalten.

Auf den ersten Blick könnte der Eindruck entstehen, dass für das gesamte System nur eine einzige Rechtsgrundlage benötigt wird. Schließlich handelt es sich technisch um eine Anwendung und organisatorisch um einen zusammenhängenden Geschäftsprozess. Datenschutzrechtlich reicht diese Betrachtung jedoch nicht aus. Die Verarbeitung der Kundendaten zur Abwicklung einer Bestellung kann für die Erfüllung eines Vertrages erforderlich sein. Die Kontaktdaten des Mitarbeiters eines Geschäftskunden werden dagegen nicht zur Erfüllung eines Vertrages mit diesem Mitarbeiter verarbeitet. Für den Newsletter gelten neben der DSGVO besondere wettbewerbsrechtliche Anforderungen. Und falls in einer Gesprächsnotiz plötzlich steht, dass ein Ansprechpartner länger erkrankt ist, können sogar Gesundheitsdaten betroffen sein.

Ein System kann also zahlreiche Verarbeitungsvorgänge enthalten, die unterschiedlichen Zwecken dienen und auf unterschiedlichen Rechtsgrundlagen beruhen. Genau darin liegt eine der wichtigsten Erkenntnisse für die betriebliche Praxis: Die Rechtsgrundlage wird nicht für eine Software, eine Abteilung oder ein Dokument bestimmt. Sie wird für eine konkrete Verarbeitung personenbezogener Daten zu einem konkreten Zweck bestimmt.

Rechtsgrundlage und Zweck sind zwei verschiedene Dinge

Art. 5 Abs. 1 lit. a) DSGVO verlangt, dass personenbezogene Daten auf rechtmäßige Weise verarbeitet werden. Art. 6 DSGVO konkretisiert diese Anforderung: Eine Verarbeitung ist nur rechtmäßig, wenn mindestens eine der dort genannten Voraussetzungen erfüllt ist. Häufig wird dies als Verbot mit Erlaubnisvorbehalt bezeichnet – der Begriff steht zwar nicht wörtlich in der DSGVO, beschreibt das Prinzip aber anschaulich: Personenbezogene Daten dürfen nicht allein deshalb verarbeitet werden, weil sie vorhanden, technisch zugänglich oder für das Unternehmen nützlich sind. Für die Verarbeitung wird eine gesetzliche Erlaubnis benötigt.

Dabei ist wichtig, zwei Begriffe sauber zu trennen. Der Zweck beschreibt, welches Ziel mit der Verarbeitung erreicht werden soll. Die Rechtsgrundlage erklärt dagegen, weshalb die Verarbeitung zu diesem Zweck rechtlich zulässig ist. Ein Unternehmen verarbeitet beispielsweise die Anschrift eines Kunden, um eine bestellte Ware zu versenden. Der Zweck lautet „Versand der bestellten Ware“, die Rechtsgrundlage kann Art. 6 Abs. 1 lit. b) DSGVO sein, weil die Verarbeitung der Anschrift zur Erfüllung des Kaufvertrages erforderlich ist. Die Formulierung „Versand der Ware“ ist für sich genommen noch keine Rechtsgrundlage – und umgekehrt erklärt die bloße Angabe „Art. 6 Abs. 1 lit. b) DSGVO“ noch nicht, wofür die Anschrift konkret benötigt wird. Erst beides zusammen ergibt ein nachvollziehbares Bild.

Art. 6 Abs. 1 DSGVO enthält sechs grundlegende Erlaubnistatbestände, die grundsätzlich gleichwertig nebeneinanderstehen. Die Reihenfolge im Gesetz begründet keine Rangordnung – die Einwilligung ist nicht allein deshalb vorzugswürdig, weil sie an erster Stelle genannt wird, und das berechtigte Interesse ist weder eine Rechtsgrundlage letzter Klasse noch ein Auffangtatbestand:

• die Einwilligung der betroffenen Person,
• die Vertragserfüllung oder vorvertragliche Maßnahmen,
• eine rechtliche Verpflichtung des Unternehmens,
• der Schutz lebenswichtiger Interessen,
• die Wahrnehmung einer öffentlichen Aufgabe,
• und die berechtigten Interessen des Unternehmens oder eines Dritten.

Die beiden letztgenannten spielen im Alltag gewöhnlicher privatwirtschaftlicher Unternehmen eine geringere Rolle, dürfen aber nicht ganz aus dem Blick geraten. Die übrigen vier werden im Folgenden genauer betrachtet.

Rechtsgrundlagen sind nicht beliebig austauschbar

In vielen Unternehmen entsteht der Eindruck, es sei letztlich gleichgültig, welche Rechtsgrundlage genannt wird, solange irgendeine Vorschrift des Art. 6 DSGVO in der Datenschutzinformation oder im Verzeichnis von Verarbeitungstätigkeiten steht. Das ist nicht der Fall. Jede Rechtsgrundlage enthält eigene Voraussetzungen, und von ihr hängen unterschiedliche Rechtsfolgen ab – etwa die Möglichkeit, eine Einwilligung zu widerrufen, das Widerspruchsrecht bei einer Verarbeitung auf Grundlage berechtigter Interessen oder die Anforderungen an den Nachweis der Rechtmäßigkeit. Auch die vorsorgliche Nennung möglichst vieler Rechtsgrundlagen führt nicht zu mehr Sicherheit: Eine Formulierung wie „Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a), b), c) und f) DSGVO“ lässt für die betroffene Person nicht erkennen, ob die Verarbeitung freiwillig, vertraglich notwendig, gesetzlich vorgeschrieben oder das Ergebnis einer Interessenabwägung ist.

Hinzu kommt, dass sich die Rechtsgrundlage im Laufe des Lebenszyklus eines Datensatzes ändern kann. Während der Vertragsdurchführung wird eine Rechnung beispielsweise auf Grundlage der Vertragserfüllung erstellt. Nach Abschluss des Vertrages wird sie dafür nicht mehr benötigt, bleibt aber aufgrund handels- oder steuerrechtlicher Aufbewahrungspflichten gespeichert – für diese weitere Speicherung ist dann die rechtliche Verpflichtung maßgeblich, konkret in Verbindung mit § 257 HGB und § 147 AO. Die Aussage „Die Rechnung wurde ursprünglich zur Vertragserfüllung erhoben“ reicht für die gesamte spätere Speicherdauer also nicht aus.

Der Begriff „erforderlich“ ist die zentrale Hürde

Mehrere Rechtsgrundlagen setzen voraus, dass die Datenverarbeitung erforderlich ist. Erforderlich bedeutet dabei nicht: bequem, branchenüblich, wirtschaftlich interessant, technisch voreingestellt oder in den Allgemeinen Geschäftsbedingungen erwähnt. Die Verarbeitung muss vielmehr in einem hinreichend engen Zusammenhang mit dem verfolgten Zweck stehen, und das Ziel darf nicht mit einem gleich wirksamen, aber weniger eingriffsintensiven Mittel erreicht werden können.

Wie streng dieser Maßstab ausgelegt wird, zeigt ein Urteil des Europäischen Gerichtshofs zur Rechtssache Mousse. Dort ging es um die Frage, ob die Angabe einer geschlechtsspezifischen Anrede beim Kauf eines Fahrscheins erforderlich ist. Der Gerichtshof kam zu dem Ergebnis, dass die Geschlechtsidentität des Kunden dafür nicht objektiv unverzichtbar ist – eine allgemeine, inklusive Ansprache stellt ein milderes Mittel dar. Die praktische Bedeutung reicht weit über Fahrkarten hinaus: Viele Pflichtfelder in Formularen bestehen nicht deshalb, weil die Daten wirklich benötigt werden, sondern weil das Formular schon immer so aufgebaut war. Die entscheidende Frage lautet nicht, ob ein Feld leicht ausgefüllt werden kann, sondern ob der Zweck ohne diese Angabe nicht sinnvoll erreicht werden kann.

Diese Prüfung muss außerdem für jede Kategorie betroffener Personen gesondert erfolgen. Ein Vertrag legitimiert grundsätzlich nur die Verarbeitung der Daten der Person, die selbst Vertragspartei ist. Bestellt eine GmbH eine Maschine und wird ein Mitarbeiter als Ansprechpartner genannt, ist Vertragspartner die GmbH, nicht der Mitarbeiter. Die Verarbeitung seiner geschäftlichen Kontaktdaten kann sinnvoll und erforderlich sein, wird aber nicht automatisch durch den Vertrag mit dem Kunden legitimiert – hier kommt regelmäßig das berechtigte Interesse an einer geordneten Geschäftskommunikation in Betracht.

Die Einwilligung ist nicht automatisch die sicherste Lösung

Bei Unsicherheit wird in der Praxis häufig zur Einwilligung gegriffen, nach dem nachvollziehbaren Gedanken, eine Verarbeitung müsse unproblematisch sein, wenn die betroffene Person zugestimmt hat. Eine Einwilligung ist jedoch nur wirksam, wenn sie freiwillig, informiert, für einen bestimmten Zweck und eindeutig abgegeben wurde, wenn das Unternehmen sie nachweisen kann und jederzeit mit einem Widerruf umgehen kann. Die entscheidende praktische Frage lautet daher: Kann das Unternehmen ein Nein oder einen späteren Widerruf tatsächlich akzeptieren? Möchte ein Unternehmen etwa die Bankverbindung seiner Mitarbeiter für die Gehaltszahlung verarbeiten und bittet vorsorglich um eine Einwilligung, kann es die Zahlung bei einer Verweigerung oder einem Widerruf nicht einfach einstellen. Die Verarbeitung beruht dann sinnvollerweise nicht auf einer Einwilligung, sondern auf einer anderen Rechtsgrundlage im Zusammenhang mit dem Beschäftigungsverhältnis. Die Einwilligung eignet sich vor allem dort, wo eine echte Wahl besteht und die Verarbeitung ohne Nachteile abgelehnt werden kann – etwa bei einem freiwilligen Mitarbeiterfoto auf der Webseite.

Das berechtigte Interesse ist kein Lückenfüller

Art. 6 Abs. 1 lit. f) DSGVO bietet Unternehmen einen wichtigen Gestaltungsspielraum, bedeutet aber nicht, dass jedes wirtschaftlich sinnvolle Vorhaben zulässig ist. Geprüft werden müssen drei Voraussetzungen: ein rechtmäßiges, hinreichend konkretes Interesse des Unternehmens oder eines Dritten; die Erforderlichkeit der Verarbeitung zur Verwirklichung dieses Interesses; und dass die Interessen und Grundrechte der betroffenen Person nicht überwiegen. Eine pauschale Formulierung wie „Das Unternehmen hat ein berechtigtes Interesse an der Datenverarbeitung“ genügt dafür nicht. Sinnvoller ist eine konkrete Beschreibung, etwa: „Das Unternehmen hat ein Interesse daran, fehlgeschlagene Anmeldeversuche zu protokollieren, um automatisierte Angriffe auf Kundenkonten zu erkennen und unberechtigte Zugriffe zu verhindern.“ Erst eine solche konkrete Beschreibung ermöglicht die anschließende Interessenabwägung.

Ein wirtschaftliches Interesse ist dabei nicht schon deshalb unzulässig, weil das Unternehmen damit Geld verdienen möchte – es muss aber im Rahmen der gesamten Rechtsordnung verfolgt werden. Bei Werbung per E-Mail ist neben der DSGVO beispielsweise § 7 UWG zu beachten: Werbung mit elektronischer Post ohne vorherige ausdrückliche Einwilligung gilt grundsätzlich als unzumutbare Belästigung, soweit nicht die besondere Bestandskundenausnahme greift. Ein datenschutzrechtlich denkbares Interesse beseitigt diese wettbewerbsrechtliche Vorgabe nicht.

Besondere Datenkategorien und das Beschäftigungsverhältnis

Bei Gesundheitsdaten, biometrischen Daten, politischen Meinungen, religiösen Überzeugungen oder Gewerkschaftszugehörigkeit genügt eine Rechtsgrundlage aus Art. 6 DSGVO allein nicht. Zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Dass besondere Kategorien betroffen sind, ist dabei nicht immer sofort erkennbar: Schon die Information „Mitarbeiter ist krank“ ist ein Gesundheitsdatum. Für die Personalplanung wäre regelmäßig die voraussichtliche Abwesenheitsdauer ausreichend, die konkrete Diagnose ist dagegen häufig unnötig. Wie ernst Aufsichtsbehörden solche beiläufigen Erfassungen nehmen, zeigt ein Bußgeld von rund 35,3 Millionen Euro gegen H&M: Vorgesetzte hatten dort umfangreiche Informationen über private Lebensumstände von Mitarbeitern erfasst, darunter Krankheitssymptome und familiäre Probleme. Der Fall zeigt, dass selbst dort, wo bestimmte Informationen grundsätzlich verarbeitet werden dürfen, daraus keine Erlaubnis entsteht, beliebige private Einzelheiten zu sammeln.

Auch im Beschäftigungsverhältnis reicht ein bloßer Verweis auf § 26 BDSG nicht immer aus. Das Bundesarbeitsgericht entschied 2025 in einem vielbeachteten Verfahren, dass § 26 Abs. 1 BDSG für die dortige Verarbeitung in einem Personal-Informationsmanagementsystem keine taugliche Rechtsgrundlage darstellte, und sprach dem betroffenen Mitarbeiter wegen des erlittenen Kontrollverlusts einen immateriellen Schadenersatz zu. Für die betriebliche Praxis bedeutet das: Eine Betriebsvereinbarung oder ein Verweis auf das Beschäftigungsverhältnis ersetzt nicht die sorgfältige Prüfung, ob eine konkrete Verarbeitung tatsächlich erforderlich ist.

Zwei typische Missverständnisse

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird in der Praxis gelegentlich als Erlaubnis für die Datenverarbeitung selbst missverstanden. Tatsächlich regelt er nur, unter welchen Bedingungen ein Dienstleister Daten im Auftrag verarbeitet – er beantwortet nicht die vorgelagerte Frage, ob der Verantwortliche die Daten überhaupt verarbeiten darf. Möchte ein Unternehmen etwa private Telefonnummern für Werbeanrufe nutzen und übermittelt sie an ein Callcenter, macht auch ein vollständig ausgearbeiteter Auftragsverarbeitungsvertrag die Werbeanrufe nicht automatisch zulässig.

Ähnlich verhält es sich mit vorhandenen Daten, die für einen neuen Zweck genutzt werden sollen. Eine E-Mail-Adresse, die ursprünglich für eine Bestellbestätigung erhoben wurde, darf nicht allein deshalb für einen Newsletter verwendet werden, weil sie bereits im System vorhanden ist. Bei jeder Zweckänderung ist zu klären, ob für den neuen Zweck eine eigene Rechtsgrundlage besteht und ob dieser mit dem ursprünglichen Zweck vereinbar ist.

Zusammenfassung

Die Suche nach der richtigen Rechtsgrundlage beginnt nicht mit einem Blick in eine Liste von Gesetzesartikeln, sondern mit dem Verständnis des tatsächlichen Verarbeitungsvorgangs. Zunächst ist zu klären, welches Ziel verfolgt wird, welche Daten dafür wirklich benötigt werden und welche Personen betroffen sind. Erst danach lässt sich beurteilen, ob die Verarbeitung zur Vertragserfüllung erforderlich ist, auf einer gesetzlichen Verpflichtung beruht, einem berechtigten Interesse dient oder eine freiwillige Einwilligung voraussetzt.

Nicht der vorhandene Datensatz sucht sich nachträglich eine Rechtsgrundlage. Das Unternehmen bestimmt vor Beginn der Verarbeitung einen zulässigen Zweck, prüft die dafür erforderlichen Daten und ordnet diesem konkreten Vorgang die tragfähige Rechtsgrundlage zu. Eine sorgfältige Auswahl muss dabei nicht in einem umfangreichen juristischen Gutachten enden – für viele alltägliche Prozesse genügt eine kurze, aber nachvollziehbare Begründung. Je sensibler die Daten, je überraschender die Nutzung und je größer die möglichen Auswirkungen auf die betroffene Person sind, desto ausführlicher sollte die Prüfung ausfallen.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.