Rechtsgrundlagen DSGVO: wann Datenverarbeitung erlaubt ist

Einordnung

Rechtsgrundlagen DSGVO: Worum geht es?

Die Frage nach der Rechtsgrundlage ist eine der wichtigsten Fragen im Datenschutz. Sie entscheidet darüber, ob personenbezogene Daten überhaupt verarbeitet werden dürfen.

Dabei reicht es nicht, allgemein auf „die DSGVO“ zu verweisen. Die DSGVO enthält kein pauschales Recht, Daten zu verarbeiten. Sie verlangt vielmehr, dass für jeden konkreten Zweck eine passende Rechtsgrundlage vorliegt.

In der Praxis beginnt die Prüfung daher nicht mit der Rechtsgrundlage, sondern mit dem Zweck. Erst wenn klar ist, warum Daten verarbeitet werden, kann geprüft werden, welche Rechtsgrundlage trägt.

Das ist besonders wichtig, weil dieselben Daten je nach Zweck unterschiedlich bewertet werden können. Eine E-Mail-Adresse kann für eine Vertragsabwicklung erforderlich sein, für Werbung aber eine andere Rechtsgrundlage benötigen.

Grundsatz

Verbot mit Erlaubnisvorbehalt

Das Datenschutzrecht folgt dem Grundsatz: Personenbezogene Daten dürfen nur verarbeitet werden, wenn dies erlaubt ist. Diese Erlaubnis kann sich aus der DSGVO selbst, aus einem Spezialgesetz oder aus einer wirksamen Einwilligung ergeben.

Für Verantwortliche bedeutet das: Sie müssen die Rechtsgrundlage nicht erst im Streitfall benennen können, sondern bereits vor Beginn der Verarbeitung kennen und dokumentieren.

Die Rechtsgrundlage muss außerdem zum tatsächlichen Zweck passen. Eine nachträgliche Umdeutung ist problematisch, wenn der Vorgang von Anfang an anders geplant war.

Art. 6 DSGVO

Die sechs allgemeinen Rechtsgrundlagen

Art. 6 Abs. 1 DSGVO nennt sechs allgemeine Bedingungen, unter denen eine Verarbeitung personenbezogener Daten rechtmäßig sein kann.

Art. 6 Abs. 1 lit. a DSGVO

Einwilligung: möglich, aber nicht immer sinnvoll

Eine Einwilligung kann eine Rechtsgrundlage sein, wenn die betroffene Person freiwillig, informiert, eindeutig und für einen bestimmten Zweck zustimmt.

In der Praxis wird die Einwilligung aber häufig überschätzt. Sie ist nicht automatisch die sicherste Lösung. Denn sie kann widerrufen werden und setzt echte Wahlfreiheit voraus.

Gerade im Beschäftigungsverhältnis oder im Verhältnis zwischen Bürger und Behörde ist die Freiwilligkeit besonders sorgfältig zu prüfen. Besteht ein Abhängigkeitsverhältnis, ist eine Einwilligung oft nicht der beste Weg.

Eine Einwilligung sollte daher nur genutzt werden, wenn sie wirklich zum Vorgang passt und die Verarbeitung bei Widerruf tatsächlich beendet oder umgestellt werden kann.

Art. 6 Abs. 1 lit. b DSGVO

Vertrag und vorvertragliche Maßnahmen

Eine Verarbeitung kann zulässig sein, wenn sie für die Erfüllung eines Vertrags erforderlich ist. Das betrifft zum Beispiel Angebote, Bestellungen, Rechnungen, Lieferungen, Terminabsprachen oder Kundenkommunikation.

Die Rechtsgrundlage trägt aber nur, soweit die Datenverarbeitung für den Vertrag tatsächlich erforderlich ist. Nicht jede nützliche Zusatzverarbeitung ist automatisch vom Vertrag gedeckt.

Bei vorvertraglichen Maßnahmen ist wichtig, dass diese auf Anfrage der betroffenen Person erfolgen. Typische Beispiele sind Anfragen, Kostenvoranschläge oder Terminvereinbarungen.

Art. 6 Abs. 1 lit. c DSGVO

Rechtliche Verpflichtung

Eine Verarbeitung kann erforderlich sein, um eine rechtliche Verpflichtung zu erfüllen. Beispiele sind steuerliche Aufbewahrungspflichten, handelsrechtliche Pflichten, Meldepflichten oder bestimmte Nachweispflichten.

Wichtig ist, dass die rechtliche Verpflichtung konkret besteht. Ein allgemeines Sicherheitsgefühl oder eine spätere Beweisvorsorge reicht nicht automatisch aus.

Für Unternehmen und öffentliche Stellen ist diese Rechtsgrundlage besonders relevant, wenn Gesetze bestimmte Dokumentations-, Aufbewahrungs- oder Mitteilungspflichten vorgeben.

Art. 6 Abs. 1 lit. e DSGVO

Öffentliche Aufgabe und hoheitliche Befugnis

Für Kommunen und andere öffentliche Stellen ist Art. 6 Abs. 1 lit. e DSGVO besonders wichtig. Danach kann eine Verarbeitung zulässig sein, wenn sie für die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist.

In der Praxis genügt aber nicht der pauschale Hinweis, dass eine Kommune handelt. Es braucht eine konkrete Aufgabe und regelmäßig eine fachrechtliche Grundlage, aus der sich Zuständigkeit, Zweck und Befugnis ergeben.

Beispiele können je nach Sachverhalt aus dem Melderecht, Gewerberecht, Kommunalrecht, Abgabenrecht, Baurecht, Ordnungsrecht oder Personalrecht folgen.

Gerade hier muss sauber zwischen Fachrecht und Datenschutzrecht unterschieden werden: Das Fachrecht beantwortet häufig, ob und wofür die Stelle tätig werden darf; die DSGVO stellt zusätzlich Anforderungen an Transparenz, Sicherheit, Zweckbindung und Dokumentation.

Art. 6 Abs. 1 lit. f DSGVO

Berechtigtes Interesse

Das berechtigte Interesse ist vor allem für nichtöffentliche Stellen relevant. Es kann eine Verarbeitung tragen, wenn ein berechtigtes Interesse besteht, die Verarbeitung erforderlich ist und keine überwiegenden Interessen oder Grundrechte der betroffenen Person entgegenstehen.

Diese Rechtsgrundlage ist kein Auffangtatbestand für alles, was praktisch erscheint. Sie verlangt eine Abwägung im konkreten Fall.

Typische Fälle können je nach Einzelfall IT-Sicherheit, einfache Direktwerbung im Bestandskundenverhältnis, Geltendmachung von Ansprüchen oder bestimmte organisatorische Zwecke sein.

Für Behörden gilt diese Rechtsgrundlage bei der Erfüllung ihrer Aufgaben grundsätzlich nicht in gleicher Weise wie für Unternehmen. Öffentliche Stellen müssen ihre Verarbeitung regelmäßig auf öffentliche Aufgabe, rechtliche Pflicht oder spezielle gesetzliche Grundlagen stützen.

Art. 9 DSGVO

Besondere Kategorien personenbezogener Daten

Bei besonderen Kategorien personenbezogener Daten reicht Art. 6 DSGVO allein nicht aus. Zusätzlich ist Art. 9 DSGVO zu prüfen.

Besonders geschützt sind unter anderem Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, genetische Daten, Daten zur religiösen oder weltanschaulichen Überzeugung, politische Meinungen und Gewerkschaftszugehörigkeit.

Das betrifft in der Praxis zum Beispiel Krankmeldungen, Schwerbehindertendaten, Sozialdaten, ärztliche Unterlagen, bestimmte Bild- oder biometrische Verfahren sowie sensible Angaben in Bewerbungs- oder Personalakten.

Bei solchen Daten sind Rechtsgrundlage, Erforderlichkeit, Schutzmaßnahmen und Zugriffsbeschränkungen besonders sorgfältig zu prüfen.

Bayerische öffentliche Stellen

Was sagt der BayLfD zu Rechtsgrundlagen?

Der BayLfD weist darauf hin, dass öffentliche Stellen, also auch Kommunen, für die Verarbeitung personenbezogener Daten eine Rechtsgrundlage benötigen. Das gilt unabhängig davon, ob die Verarbeitung in Papierakten, Fachverfahren, E-Mail-Systemen, Websites oder digitalen Portalen erfolgt.

Für bayerische Kommunen bedeutet das: Es reicht nicht aus, dass ein Vorgang verwaltungspraktisch sinnvoll ist. Es muss geprüft werden, auf welcher gesetzlichen Aufgabe oder Befugnis die Verarbeitung beruht.

Außerdem hebt der BayLfD bei Einwilligungen hervor, dass diese nur eine mögliche Rechtsgrundlage sind. Gerade öffentliche Stellen sollten Einwilligungen nicht vorschnell einsetzen, wenn eigentlich eine gesetzliche Aufgabe oder Befugnis einschlägig ist.

Kommunale Praxis

Rechtsgrundlagen in Kommunen

Kommunen verarbeiten personenbezogene Daten in vielen Bereichen auf Grundlage gesetzlicher Aufgaben. Dazu gehören unter anderem Melderecht, Gewerbe, Bauverwaltung, Ordnungsrecht, Abgaben, Personal, Kita, Schule, Friedhof, Wahlen und Ratsarbeit.

Die richtige Rechtsgrundlage ergibt sich dabei häufig nicht allein aus der DSGVO, sondern aus dem jeweiligen Fachrecht. Die DSGVO verlangt dann zusätzlich, dass die Verarbeitung zweckgebunden, transparent, sicher und dokumentiert erfolgt.

Besondere Vorsicht ist bei internen Weitergaben geboten. Auch innerhalb einer Verwaltung dürfen Daten nicht beliebig für andere Zwecke genutzt werden, nur weil sie bereits vorhanden sind.

Bei neuen digitalen Verfahren sollte die Rechtsgrundlage vor Einführung geklärt werden. Nachträgliche Korrekturen sind meist aufwendiger und schlechter zu dokumentieren.

Unternehmenspraxis

Rechtsgrundlagen in Unternehmen

Unternehmen stützen Verarbeitungen häufig auf Vertragserfüllung, rechtliche Pflichten, berechtigte Interessen oder Einwilligungen.

Typische Vertragsfälle sind Kundenanfragen, Aufträge, Rechnungen, Lieferungen, Terminbuchungen oder Support. Rechtliche Pflichten betreffen etwa Steuer- und Aufbewahrungspflichten.

Berechtigte Interessen kommen nur nach Abwägung in Betracht. Sie sollten nicht pauschal genutzt werden, nur weil keine andere Rechtsgrundlage sofort passt.

Einwilligungen sind besonders bei Newsletter, Tracking, Fotos, Werbung oder freiwilligen Zusatzdiensten relevant. Sie müssen aber sauber eingeholt, dokumentiert und widerrufbar sein.

Praxisfehler

Typische Fehler bei Rechtsgrundlagen DSGVO

Orientierung

Orientierungsfragen zur Rechtsgrundlage

Die folgenden Fragen dienen nur der ersten Einordnung. Sie ersetzen keine vollständige Prüfung, weil die passende Rechtsgrundlage immer vom konkreten Sachverhalt abhängt.

Häufige Fragen

FAQ zu Rechtsgrundlagen DSGVO

Ergebnis

Fazit

Rechtsgrundlagen sind der Kern jeder Datenschutzprüfung. Ohne passende Rechtsgrundlage darf eine Verarbeitung personenbezogener Daten nicht durchgeführt werden.

Die richtige Auswahl beginnt immer beim Zweck. Danach ist zu prüfen, ob Vertrag, rechtliche Pflicht, öffentliche Aufgabe, Einwilligung oder berechtigtes Interesse den konkreten Vorgang trägt.

Für Kommunen, Unternehmen und Vereine gilt: Die Rechtsgrundlage sollte nicht pauschal behauptet, sondern nachvollziehbar hergeleitet und dokumentiert werden.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen