Grundsatz der Rechtmäßigkeit: Warum „Wir haben doch eine Rechtsgrundlage“ nur der Anfang ist

Ein Unternehmen richtet ein neues Online-Bestellformular ein. Für die Lieferung werden Name und Anschrift benötigt. Die E-Mail-Adresse soll zusätzlich für einen Newsletter genutzt werden. Das Geburtsdatum wäre für den Bestellvorgang gar nicht nötig, könnte dem Vertrieb aber für Geburtstagsangebote nützen. Und das Zahlungsverhalten soll ausgewertet werden, um Zahlungsausfälle zu vermeiden.

Auf den ersten Blick ist das ein einziges Formular. Datenschutzrechtlich stecken darin jedoch vier unterschiedliche Verarbeitungen mit vier unterschiedlichen Antworten auf dieselbe Frage: Auf welcher Grundlage dürfen wir das eigentlich?

Genau hier setzt der Grundsatz der Rechtmäßigkeit an. Personenbezogene Daten dürfen nicht schon deshalb verarbeitet werden, weil sie verfügbar, hilfreich oder technisch leicht zu erheben sind. Für jede Verarbeitung braucht es eine eigene rechtliche Erlaubnis.

Verbot mit Erlaubnisvorbehalt

Art. 5 Abs. 1 lit. a) DSGVO verlangt, dass personenbezogene Daten auf rechtmäßige Weise verarbeitet werden. Art. 6 Abs. 1 DSGVO konkretisiert das: Eine Verarbeitung ist nur rechtmäßig, wenn mindestens eine von sechs dort genannten Bedingungen erfüllt ist. In der Praxis hat sich dafür der Begriff „Verbot mit Erlaubnisvorbehalt“ eingebürgert. So steht es zwar nicht wörtlich im Gesetz, trifft die Sache aber gut: Die Verarbeitung personenbezogener Daten braucht eine Erlaubnis – anders als etwa der Preis eines Bürostuhls oder die Größe eines Lagerraums, für die niemand eine Rechtsgrundlage benötigt.

Wichtig ist dabei eine Unterscheidung, die in der Praxis häufig verschwimmt: Eine passende Rechtsgrundlage ist notwendig, reicht aber allein nicht aus. Eine Verarbeitung kann rechtlich einwandfrei auf einer Rechtsgrundlage stehen und trotzdem unzulässig sein, weil zu viele Daten erhoben, sie zu lange gespeichert oder Informationspflichten nicht erfüllt werden. Neben der Rechtmäßigkeit verlangt Art. 5 DSGVO unter anderem Zweckbindung, Datenminimierung und Speicherbegrenzung. „Wir haben doch eine Rechtsgrundlage“ ist deshalb der Anfang der Prüfung, nicht deren Ende.

Die sechs Rechtsgrundlagen im Überblick

Art. 6 Abs. 1 DSGVO kennt sechs Möglichkeiten, eine Verarbeitung zu legitimieren:

• lit. a) – Einwilligung
• lit. b) – Vertrag und vorvertragliche Maßnahmen
• lit. c) – Erfüllung einer rechtlichen Verpflichtung
• lit. d) – Schutz lebenswichtiger Interessen
• lit. e) – Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt
• lit. f) – Berechtigtes Interesse des Verantwortlichen oder eines Dritten

Keine dieser Grundlagen hat Vorrang, nur weil sie im Gesetz zuerst genannt wird. Insbesondere ist die Einwilligung nicht automatisch die „sicherste“ Wahl – im Gegenteil, gerade der reflexartige Gedanke „Wir holen einfach eine Einwilligung ein, dann sind wir auf der sicheren Seite“ verursacht in der Praxis häufig Probleme.

Die Einwilligung: nur dort, wo wirklich frei entschieden werden kann

Eine Einwilligung passt vor allem dort, wo der betroffene Mensch tatsächlich entscheiden können soll, ob eine Verarbeitung stattfindet – klassisches Beispiel ist der freiwillige Newsletter. Anders sieht es aus, wenn ein Unternehmen die Daten unabhängig von dieser Entscheidung braucht: Wird die Lieferanschrift für eine Bestellung benötigt, wäre eine widerrufliche Einwilligung wenig sinnvoll, weil der Vertrag ohne die Anschrift gar nicht erfüllt werden kann.

Damit eine Einwilligung wirksam ist, muss sie nach Art. 4 Nr. 11 und Art. 7 DSGVO freiwillig, informiert und unmissverständlich erfolgen, nachweisbar sein und jederzeit ebenso einfach widerrufen werden können, wie sie erteilt wurde. Ein vorangekreuztes Kästchen reicht dafür nicht, Schweigen erst recht nicht. Der vielleicht wichtigste Praxistest lautet: Was passiert, wenn die Einwilligung morgen widerrufen wird? Müsste die Verarbeitung trotzdem weiterlaufen, war die Einwilligung von Anfang an die falsche Grundlage – und sollte auch nicht „sicherheitshalber“ zusätzlich zu einer anderen Rechtsgrundlage eingeholt werden.

Im Beschäftigungsverhältnis gilt zudem eine Besonderheit: § 26 Abs. 2 BDSG verlangt, bei der Freiwilligkeit besonders das Abhängigkeitsverhältnis zwischen Arbeitgeber und Mitarbeiter zu berücksichtigen. Ein freiwilliges Mitarbeiterfoto für die Webseite kann auf einer Einwilligung beruhen, eine für die Lohnabrechnung notwendige Verarbeitung dagegen nicht.

Vertragserfüllung: nur, was wirklich erforderlich ist

Art. 6 Abs. 1 lit. b) DSGVO erlaubt eine Verarbeitung, wenn sie für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist. Name und Lieferanschrift für eine Bestellung sind ein klassischer Fall. Nicht automatisch erfasst ist dagegen alles, was ein Unternehmen zusätzlich in ein Bestellformular packt – Geburtsdatum, Familienstand oder bevorzugtes Urlaubsziel werden nicht dadurch vertraglich erforderlich, dass sie auf demselben Formular stehen.

Der EuGH hat diesen strengen Maßstab in der Rechtssache Meta Platforms (C-252/21) bekräftigt: Eine Verarbeitung darf auf Art. 6 Abs. 1 lit. b) DSGVO nur gestützt werden, wenn sie für den Vertragszweck objektiv unerlässlich ist – der Hauptgegenstand des Vertrags muss ohne sie praktisch nicht erreichbar sein. Dass etwas in den AGB steht, macht es also nicht automatisch zur Vertragserfüllung erforderlich. Zu beachten ist außerdem, wer eigentlich Vertragspartei ist: Bei der Kommunikation mit einem Ansprechpartner eines Geschäftskunden ist regelmäßig nicht dieser selbst, sondern sein Unternehmen Vertragspartner – seine Kontaktdaten lassen sich deshalb meist nicht über Art. 6 Abs. 1 lit. b) DSGVO, sondern über das berechtigte Interesse begründen.

Rechtliche Verpflichtungen und Sonderfälle

Art. 6 Abs. 1 lit. c) DSGVO greift, wenn eine konkrete gesetzliche Pflicht die Verarbeitung verlangt – etwa steuer- und handelsrechtliche Aufbewahrungspflichten nach § 147 AO oder § 257 HGB. Wichtig ist dabei ein oft übersehener Effekt: Dieselben Daten können im Laufe ihres Lebenszyklus für unterschiedliche Zwecke verarbeitet werden, für die unterschiedliche Rechtsgrundlagen gelten. Eine Rechnung wird zunächst zur Vertragsabwicklung erstellt. Nach Geschäftsabschluss trägt nicht mehr der Vertrag, sondern die gesetzliche Aufbewahrungspflicht die weitere Speicherung.

Die übrigen beiden Rechtsgrundlagen – Schutz lebenswichtiger Interessen (lit. d) und Aufgaben im öffentlichen Interesse (lit. e) – spielen im normalen Unternehmensalltag nur eine untergeordnete Rolle. Lit. d) betrifft echte Notfälle wie medizinische Erste-Hilfe-Situationen, lit. e) ist vor allem für Behörden relevant.

Das berechtigte Interesse: die wichtigste Abwägungsnorm der Praxis

Art. 6 Abs. 1 lit. f) DSGVO ist für viele alltägliche Verarbeitungen in Unternehmen der zentrale Baustein – aber keine pauschale Generalklausel nach dem Motto „wir sind ein Unternehmen, also haben wir ein wirtschaftliches Interesse“. Notwendig ist eine dreistufige Prüfung: Es muss ein berechtigtes Interesse bestehen, die Verarbeitung muss zu dessen Verfolgung erforderlich sein, und die Interessen oder Grundrechte der betroffenen Person dürfen nicht überwiegen.

Der EuGH hat in der Rechtssache Koninklijke Nederlandse Lawn Tennisbond (C-621/22) klargestellt, dass auch ein rein kommerzielles Interesse grundsätzlich ein berechtigtes Interesse sein kann. Wirtschaftlicher Nutzen ist also nicht automatisch unberechtigt – ersetzt aber keine Erforderlichkeitsprüfung und keine Interessenabwägung. Bei der Abwägung selbst spielen unter anderem Art und Umfang der Daten, die Dauer der Verarbeitung, mögliche Profilbildung und die vernünftigen Erwartungen der betroffenen Person eine Rolle. Auch Schutzmaßnahmen wie Zugriffsbeschränkungen, Pseudonymisierung oder kurze Löschfristen können eine Verarbeitung weniger eingriffsintensiv machen. Das Ergebnis sollte nie lauten „die Interessen des Unternehmens überwiegen“, sondern nachvollziehbar dokumentieren, welches Interesse besteht, warum die Verarbeitung erforderlich ist und welche Gegeninteressen berücksichtigt wurden.

Eine praktische Falle lauert bei der Direktwerbung: Erwägungsgrund 47 DSGVO nennt sie zwar ausdrücklich als möglichen Fall eines berechtigten Interesses, das beantwortet aber noch nicht, ob ein bestimmter Kommunikationsweg zulässig ist. Für Werbung per E-Mail bestimmt § 7 Abs. 2 Nr. 2 UWG, dass ohne vorherige ausdrückliche Einwilligung grundsätzlich eine unzumutbare Belästigung vorliegt – Datenschutz- und Wettbewerbsrecht greifen hier ineinander.

Besondere Datenkategorien: Art. 6 allein reicht nicht

Für sensible Daten gilt eine zusätzliche Hürde. Art. 9 DSGVO erfasst unter anderem Gesundheitsdaten, religiöse Überzeugungen und Gewerkschaftszugehörigkeit. Ihre Verarbeitung ist grundsätzlich untersagt, sofern keine Ausnahme nach Art. 9 Abs. 2 DSGVO greift. Schon die schlichte Information „Herr Müller ist heute krank“ ist ein Gesundheitsdatum. In der Praxis ist deshalb zweistufig zu prüfen: eine Rechtsgrundlage nach Art. 6 DSGVO und zusätzlich eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO. Ähnliches gilt für Daten zu Straftaten und strafrechtlichen Verurteilungen, für die Art. 10 DSGVO besondere Anforderungen aufstellt. Und wird auf ein Endgerät zugegriffen oder werden dort Daten gespeichert – etwa bei Cookies – ist zusätzlich § 25 TDDDG (vormals TTDSG) zu beachten, bevor überhaupt die Frage nach der passenden DSGVO-Rechtsgrundlage gestellt wird.

Beschäftigtendaten: eine besonders bewegliche Rechtslage

§ 26 BDSG regelt weiterhin die Verarbeitung von Beschäftigtendaten und ist geltendes Recht. Der EuGH hat jedoch mit Urteil vom 30. März 2023 (C-34/21) hohe Anforderungen an nationale Regelungen gestellt, die sich – wie § 26 BDSG – auf die Öffnungsklausel des Art. 88 DSGVO stützen. Gegenstand war eine nahezu wortgleiche hessische Vorschrift. Die Entscheidung erklärt § 26 BDSG nicht unmittelbar für unwirksam, wirft aber erhebliche Zweifel an seiner Tragfähigkeit auf. Hinzu kommt das Urteil C-65/23 vom 19. Dezember 2024: Auch eine Betriebs- oder Dienstvereinbarung befreit nicht von den Grundanforderungen der DSGVO, und Gerichte dürfen die Erforderlichkeit einer Verarbeitung vollständig überprüfen. Für Unternehmen bedeutet das: Ein pauschaler Verweis auf § 26 BDSG oder eine Betriebsvereinbarung reicht bei intensiveren Eingriffen in Beschäftigtendaten nicht mehr aus – eine sorgfältige Einzelfallprüfung ist wichtiger denn je.

Zweckänderung: Vorhandensein der Daten ist keine Erlaubnis

Werden vorhandene Daten für einen neuen Zweck interessant – etwa Kunden-E-Mail-Adressen für eine Werbekampagne, die ursprünglich nur für die Bestellabwicklung erhoben wurden – ist der Gedanke „Die Daten haben wir doch ohnehin“ datenschutzrechtlich ohne Bedeutung. Art. 6 Abs. 4 DSGVO verlangt eine eigenständige Vereinbarkeitsprüfung, bei der unter anderem der Zusammenhang zwischen altem und neuem Zweck sowie mögliche Folgen für die betroffene Person zu berücksichtigen sind. Eine neue Verwendung vorhandener Daten sollte also genauso bewusst geprüft werden wie ihre erstmalige Erhebung.

Was eine falsche Rechtsgrundlage kosten kann

Verstöße gegen Art. 5, 6, 7 und 9 DSGVO gehören nach Art. 83 Abs. 5 DSGVO zur höheren Bußgeldkategorie – theoretisch bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Ein bekanntes Beispiel: Anfang 2023 verhängte die irische Datenschutzbehörde gegen Meta Bußgelder von insgesamt 390 Millionen Euro, weil sich das Unternehmen für verhaltensbezogene Werbung nicht auf die Vertragserfüllung als Rechtsgrundlage stützen konnte. Für die meisten Unternehmen ist aber nicht die Bußgeldhöhe die eigentliche Lehre daraus, sondern etwas viel Praktischeres: Eine Verarbeitung lässt sich nicht dadurch legitimieren, dass eine gewünschte Rechtsgrundlage passend gemacht wird. Erst muss die tatsächliche Verarbeitung verstanden werden, dann wird die passende Rechtsgrundlage gesucht – nicht umgekehrt.

Typische Denkfehler in der Praxis

Ein paar Sätze hört man in Unternehmen immer wieder – und sie halten einer genaueren Prüfung meist nicht stand:

• „Der Kunde hat uns die Daten doch selbst gegeben.“ Die freiwillige Mitteilung von Daten ist keine automatische Einwilligung in jede weitere Verwendung.
• „Das steht doch in unseren AGB.“ Eine Verarbeitung wird nicht allein dadurch vertraglich erforderlich, dass sie in den Vertragsbedingungen steht.
• „Das sind nur geschäftliche Kontaktdaten.“ Auch eine personalisierte geschäftliche E-Mail-Adresse ist personenbezogen und braucht Zweck und Rechtsgrundlage.
• „Berechtigtes Interesse passt immer.“ Art. 6 Abs. 1 lit. f) DSGVO ist flexibel, aber kein Auffangtatbestand für alles betrieblich Nützliche.

Der wichtigste Perspektivwechsel

Bei der Suche nach einer Rechtsgrundlage wird häufig mit Art. 6 DSGVO begonnen: Welche der sechs Möglichkeiten könnte irgendwie passen? Praktischer ist die umgekehrte Reihenfolge. Am Anfang steht der reale betriebliche Vorgang: Was soll mit welchen Daten von wem geschehen, und warum? Erst danach wird die passende Rechtsgrundlage ausgewählt. Eine einfache Eselsbrücke kann dabei helfen: „Müssen wir das, sollten wir das, oder wäre es lediglich schön?“ „Müssen“ deutet häufig auf Vertrag oder gesetzliche Verpflichtung hin, ein nachvollziehbares betriebliches „Sollten“ auf das berechtigte Interesse, und soll die Entscheidung wirklich frei bei der betroffenen Person liegen, kommt eine Einwilligung in Betracht. Diese Faustregel ersetzt nie die Prüfung der konkreten Norm, erleichtert aber die erste Orientierung – und verhindert einen der häufigsten Datenschutzfehler: dass nicht der Sachverhalt die Rechtsgrundlage bestimmt, sondern die gewünschte Rechtsgrundlage den Sachverhalt passend gemacht wird.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.