5.2 Rechtmäßige Grundlagen für die Verarbeitung

Kein Unternehmen, keine Behörde, keine App darf personenbezogene Daten einfach so verarbeiten. Jede Verarbeitung braucht eine rechtliche Grundlage — einen der sechs Erlaubnistatbestände, die Art. 6 DSGVO abschließend auflistet. Die Wahl der Rechtsgrundlage ist keine Formsache: Sie bestimmt maßgeblich, welche Rechte Ihnen als betroffener Person zustehen.

Die sechs Rechtsgrundlagen nach Art. 6 DSGVO

1. Einwilligung (Art. 6 Abs. 1 lit. a) — Sie haben ausdrücklich zugestimmt. Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein (Art. 7 DSGVO). Vorangekreuzte Kästchen oder pauschale „Ich stimme allem zu"-Buttons genügen nicht.

2. Vertrag (Art. 6 Abs. 1 lit. b) — Die Verarbeitung ist zur Erfüllung eines Vertrags mit Ihnen erforderlich. Beispiel: Ein Online-Händler braucht Ihre Lieferadresse, um Ihre Bestellung zuzustellen.

3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) — Die Verarbeitung ist gesetzlich vorgeschrieben. Beispiel: Arbeitgeber müssen Gehaltsabrechnungen aufbewahren, weil das Steuerrecht es verlangt.

4. Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d) — Die Verarbeitung ist notwendig, um jemanden vor ernsthafter Gefahr für Leib und Leben zu schützen. Diese Grundlage greift nur in Ausnahmen, z. B. in medizinischen Notfällen.

5. Öffentliche Aufgabe (Art. 6 Abs. 1 lit. e) — Die Verarbeitung ist für die Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich. Beispiel: Einwohnermeldeämter, Steuerbehörden.

6. Berechtigte Interessen (Art. 6 Abs. 1 lit. f) — Ein Unternehmen oder ein Dritter hat ein legitimes Interesse an der Verarbeitung, das die Interessen und Grundrechte der betroffenen Person überwiegt. Diese Rechtsgrundlage erfordert eine sorgfältige Abwägung und kann nicht beliebig herangezogen werden.

Besondere Kategorien nach Art. 9 DSGVO

Für besonders sensible Daten — Gesundheitsdaten, genetische und biometrische Daten, Religions- oder politische Überzeugungen — ist die Hürde höher. Art. 9 DSGVO verbietet deren Verarbeitung grundsätzlich und erlaubt sie nur unter engeren Voraussetzungen, z. B. mit ausdrücklicher Einwilligung oder bei medizinischer Notwendigkeit.

Praxisbeispiel: Consent-Banner

Wenn Sie eine Website aufrufen und ein Cookie-Banner erscheint, stützt sich das Unternehmen auf Einwilligung als Rechtsgrundlage für nicht-notwendige Cookies (z. B. Tracking und Werbung). Lehnen Sie ab, darf das Unternehmen diese Cookies nicht setzen — weil keine andere Rechtsgrundlage greift. Rein technisch notwendige Cookies hingegen können auf berechtigte Interessen oder Vertrag gestützt werden.

Warum ist die Wahl der Rechtsgrundlage wichtig für Sie?

Ist die Rechtsgrundlage die Einwilligung, können Sie diese jederzeit widerrufen. Stützt sich das Unternehmen auf berechtigte Interessen, haben Sie ein Widerspruchsrecht. Die Rechtsgrundlage bestimmt also direkt, welche Hebel Sie in der Hand haben.

Ihr Fazit

Bevor Sie einer Datenschutzerklärung vertrauen, lohnt es sich zu fragen: Auf welcher Rechtsgrundlage werden meine Daten verarbeitet? Die Antwort zeigt Ihnen, wie viel Kontrolle Sie wirklich haben.