Kurz erklärt: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse.
Was bedeutet Rechtsgrundlage?
Die sechs Rechtsgrundlagen stehen gleichberechtigt nebeneinander. In Unternehmen tragen die meisten Verarbeitungen drei davon: der Vertrag mit dem Kunden oder Beschäftigten (lit. b), gesetzliche Pflichten wie steuerliche Aufbewahrung (lit. c) und das berechtigte Interesse nach Abwägung (lit. f). Die Einwilligung (lit. a) ist nur dort sinnvoll, wo keine andere Grundlage trägt, etwa bei Werbung per E-Mail oder bei Fotos auf der Website.
Die Rechtsgrundlage muss vor Beginn der Verarbeitung feststehen und im Verarbeitungsverzeichnis sowie in der Datenschutzerklärung genannt werden. Ein nachträglicher Wechsel der Grundlage ist nur eingeschränkt möglich.
Rechtsgrundlage
- Art. 6 Abs. 1 DSGVO (Rechtmäßigkeit der Verarbeitung)
- Art. 6 Abs. 4 DSGVO (Zweckänderung)
- Art. 13 Abs. 1 lit. c DSGVO (Angabe in der Information)
In der Praxis
Ein häufiger Fehler ist die Einwilligung als Allzwecklösung. Sie ist jederzeit widerrufbar und muss dokumentiert werden; fällt sie weg, muss die Verarbeitung enden. Für Kundendaten im Auftrag, Lohnabrechnung oder Rechnungsarchiv ist sie der falsche Weg. Der Datenschutzbeauftragte ordnet jede Verarbeitungstätigkeit der passenden Grundlage zu.
Häufige Fragen
Fragen zu Rechtsgrundlage
Brauche ich für Kundendaten eine Einwilligung?
Nein. Die Verarbeitung für Angebot, Auftrag und Rechnung stützt sich auf den Vertrag (Art. 6 Abs. 1 lit. b DSGVO), die Aufbewahrung der Rechnung auf gesetzliche Pflichten (lit. c).
Was passiert ohne Rechtsgrundlage?
Die Verarbeitung ist rechtswidrig. Betroffene können Löschung und Schadenersatz verlangen, die Aufsichtsbehörde kann die Verarbeitung untersagen und ein Bußgeld verhängen.
Verwandte Begriffe