DSGVO Artikel 6: Die 6 Rechtsgrundlagen für die Verarbeitung

In einem Satz. DSGVO Artikel 6 nennt die sechs Rechtsgrundlagen, die die Verarbeitung personenbezogener Daten rechtfertigen: (a) Einwilligung, (b) Vertragserfüllung, © rechtliche Verpflichtung, (d) lebenswichtige Interessen, (e) öffentliche Aufgabe, (f) berechtigte Interessen. Mindestens eine muss zutreffen, damit eine Verarbeitung rechtmäßig ist. Die Auswahl und Dokumentation der richtigen Rechtsgrundlage gehört zur Rechenschaftspflicht; sie kann mit dem Verzeichnis der Verarbeitungstätigkeiten verknüpft werden.

Jede Verarbeitung personenbezogener Daten muss auf einer Rechtsgrundlage beruhen (Artikel 6 Absatz 1 DSGVO). Eine unzutreffende Rechtsgrundlage kann die Verarbeitung rechtswidrig machen; der konkrete Tatbestand und seine Folgen hängen vom Einzelfall ab. Dieser Leitfaden erklärt jede der sechs Grundlagen, wann jede greift und wie die Wahl belastbar dokumentiert wird.

Für vertiefte Themen: DSGVO Artikel 7 — Einwilligungsbedingungen, berechtigtes Interesse DSGVO, Verzeichnis der Verarbeitungstätigkeiten.

Wichtige Punkte

• Artikel 6 Absatz 1 nennt sechs abschließende Rechtsgrundlagen. Mindestens eine muss zutreffen.
• Die Grundlagen sind nicht austauschbar — die richtige Wahl hängt vom tatsächlichen Verarbeitungskontext ab, nicht von kommerziellen Präferenzen.
• Dieselbe Verarbeitungstätigkeit nutzt eine Rechtsgrundlage. Ein Wechsel während der Verarbeitung erfordert eine erneute Autorisierung.
• Für besondere Kategorien personenbezogener Daten (Gesundheit, Biometrie usw.) fügt Artikel 9 eine zweite Bedingung zu Artikel 6 hinzu.
• Die Rechtsgrundlage muss vor Beginn der Verarbeitung identifiziert und nachweisbar dokumentiert werden; ein Vermerk beim Verzeichniseintrag ist eine praktische Lösung, keine ausdrückliche Pflicht aus Artikel 30 Absatz 1.

1. Artikel 6 Absatz 1 — Text und die sechs Grundlagen

DSGVO Artikel 6 Absatz 1 lautet:

“Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: (a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; (b) die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich, dessen Vertragspartei die betroffene Person ist; © die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; (d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; (e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt; (f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.”

2. (a) Einwilligung

Die bekannteste Grundlage, auch eine der fragilsten. Die Einwilligung muss freiwillig, spezifisch, informiert, unmissverständlich und widerrufbar sein (Artikel 4 Nr. 11 + Erwägungsgrund 32).

Wann verwenden: Marketing-E-Mails, optionale Cookies, optionale Funktionen, Datenweitergabe an Partner. Formulierungen, die diese Anforderungen erfüllen, finden Sie im Einwilligung DSGVO Muster.

Besonders kritisch prüfen: Arbeitsverhältnisse, weil das Machtgefälle die Freiwilligkeit beeinträchtigen kann; außerdem dienstwesentliche Verarbeitungen und rechtliche Pflichten, bei denen Einwilligung eine nicht vorhandene Wahl suggerieren würde.

3. (b) Vertragserfüllung

Verarbeitung, die zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist, oder zur Durchführung vorvertraglicher Schritte auf deren Wunsch.

Wann verwenden: Versand einer Bestellung, Verarbeitung einer Zahlung, Bereitstellung des Dienstes selbst, Kundensupport.

Grenze: Nur Daten, die strikt erforderlich für den Vertrag sind, qualifizieren. “Verbesserung unseres Dienstes” qualifiziert selten allein — siehe berechtigtes Interesse.

4. © Rechtliche Verpflichtung

Verarbeitung, die durch EU- oder Mitgliedstaatsrecht vorgeschrieben ist.

Wann verwenden: gesetzlich aufzubewahrende Steuerunterlagen (Frist nach konkreter Vorschrift prüfen), AML/KYC-Prüfungen für regulierte Stellen, Mitarbeiterdaten, die durch Sozialversicherungsrecht erforderlich sind, Gerichtsbeschlüsse.

Grenze: Eine vertragliche Verpflichtung ist keine rechtliche Verpflichtung. Das Gesetz muss die spezifische Verarbeitung vorschreiben.

5. (d) Lebenswichtige Interessen

Verarbeitung zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person.

Wann verwenden: medizinische Notfälle (der bewusstlose Patient in der Notaufnahme), humanitäre Hilfe, vermisste Personen.

Grenze: Selten die richtige Grundlage für die Routineverarbeitung. Der EDPB hat klargestellt, dass dies für lebensbedrohliche Situationen gilt, nicht für “wichtige geschäftliche Bedürfnisse”.

6. (e) Öffentliche Aufgabe

Verarbeitung, die für eine im öffentlichen Interesse liegende Aufgabe oder in Ausübung öffentlicher Gewalt erforderlich ist.

Wann verwenden: Von öffentlichen Stellen (Verwaltungen, öffentliche Krankenhäuser, öffentliche Schulen) für ihre gesetzlichen Aufgaben.

Grenze: Private Unternehmen können dies in der Regel nicht in Anspruch nehmen. Quasi-öffentliche Stellen (delegierte öffentliche Dienstmissionen) können es.

7. (f) Berechtigte Interessen

Die flexibelste — und am meisten umstrittene — Grundlage. Dreiteiliger Test erforderlich (der “Abwägungstest”):

1. Zwecktest: Wird ein berechtigtes Interesse verfolgt?
2. Erforderlichkeitstest: Ist die Verarbeitung zur Erreichung des Zwecks erforderlich?
3. Abwägungstest: Überwiegt das Interesse des Verantwortlichen die Rechte und vernünftigen Erwartungen der betroffenen Person?

Wann verwenden: Betrugsprävention, IT-Sicherheitsüberwachung, B2B-Prospektion (in einigen EU-Ländern), grundlegende Analysen, interne Verwaltung.

Wann NICHT verwenden: besondere Kategorien personenbezogener Daten (Artikel 9 verbietet sie als alleinige Grundlage), Verarbeitung von Kinderdaten ohne zusätzliche Vorsicht, wenn Einwilligung angemessener wäre (z. B. Marketing-E-Mails).

Eine dokumentierte Abwägung hilft, Erforderlichkeit und entgegenstehende Rechte nachvollziehbar zu belegen; die bloße Behauptung eines Interesses reicht nicht. Siehe berechtigtes Interesse DSGVO.

8. Wahl der richtigen Grundlage — Entscheidungsmatrix

9. Besondere Kategorien: Artikel 6 + Artikel 9

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheit, Biometrie, Religion, politische Meinungen, sexuelle Orientierung usw.) erfordert beides:

• Eine Rechtsgrundlage nach Artikel 6, UND
• Eine zusätzliche Bedingung nach Artikel 9 Absatz 2 (z. B. ausdrückliche Einwilligung, Arbeitsrecht, lebenswichtige Interessen, wichtiges öffentliches Interesse)

10. Dokumentationsanforderungen

Die Rechtsgrundlage muss:

• Vor Beginn der Verarbeitung identifiziert werden
• Als Rechenschaftsnachweis dokumentiert werden; eine Verknüpfung mit dem Artikel-30-Verzeichnis ist sinnvoll, obwohl Artikel 30 Absatz 1 die Rechtsgrundlage nicht als Pflichtfeld nennt
• Der betroffenen Person in der Datenschutzerklärung mitgeteilt werden (Artikel 13-14)
• Bei Anfechtung gerechtfertigt werden (insbesondere für berechtigte Interessen — die LIA aufbewahren)

11. Wechsel der Rechtsgrundlage

Eine ursprünglich unpassende Grundlage wird nicht rückwirkend rechtmäßig, indem man sie nach einer Beschwerde anders bezeichnet. Insbesondere darf eine auf Einwilligung gestützte Verarbeitung nicht nach dem Widerruf für denselben unveränderten Zweck stillschweigend auf ein anderes Argument umetikettiert werden. Bei einem neuen oder geänderten Zweck ist die Rechtmäßigkeit vor der weiteren Verarbeitung neu zu prüfen und die Information der Betroffenen anzupassen. Eine Änderung des Zwecks ist anhand der Voraussetzungen der Artikel 5 Absatz 1 Buchstabe b und 6 Absatz 4 DSGVO gesondert zu beurteilen.

12. Sanktionen bei ungültiger Rechtsgrundlage

Artikel 83 Absatz 5 Buchstabe a DSGVO macht das Versäumnis, eine gültige Rechtsgrundlage zu identifizieren, mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes strafbar.

Bemerkenswerte Fälle:

• Meta Platforms Ireland (DPC, Januar 2023): 390 Mio. € für unrechtmäßige Grundlage bei verhaltensbasierter Werbung
• Google LLC (CNIL, 2019): 50 Mio. € für unzureichende Einwilligung bei personalisierter Werbung
• TIM SpA (Garante, 2020): 27,8 Mio. € für unrechtmäßige Verarbeitung von Marketingdaten ohne gültige Grundlage

Wer die Rechtsgrundlage je Verarbeitung nicht in Tabellen pflegen will, findet in der VVT-Software die passende Werkzeugkategorie; die Wahl der Grundlage selbst bleibt eine Frage der DSGVO-Grundsätze aus Artikel 5.

Rechtsgrundlage pro Zweck bestimmen: ein Prüfverfahren

Beginnen Sie mit dem konkreten Zweck, nicht mit der gewünschten Grundlage. „Kundendaten“ ist zu grob: Lieferung einer Ware, Versand einer Rechnung, Betrugsprävention und Werbung sind unterschiedliche Zwecke mit unterschiedlichen Erforderlichkeits- und Transparenzfragen. Schreiben Sie für jeden Zweck auf, welche Datenfelder benötigt werden, woher sie stammen und welche Personen betroffen sind. Danach lässt sich prüfen, ob der Vertrag mit gerade dieser Person die Verarbeitung wirklich verlangt, ob ein Gesetz sie vorschreibt oder ob ein anderer Tatbestand passt. Ein Verzeichnis der Verarbeitungstätigkeiten sollte diese Entscheidung so dokumentieren, dass ein Kollege sie später nachvollziehen kann.

Bei Artikel 6 Absatz 1 Buchstabe b genügt es nicht, einen Verarbeitungsvorgang in allgemeine Geschäftsbedingungen zu schreiben. Eine Buchungsplattform braucht etwa die Adresse, um eine physische Lieferung zu organisieren; ein umfassendes Werbeprofil ist dafür nicht erforderlich. Vorvertragliche Schritte müssen auf Wunsch der betroffenen Person erfolgen. Bei Buchstabe c muss die konkrete Norm feststehen: Ein Vertrag mit einem Kunden, eine konzerninterne Vorgabe oder ein Wunsch des Wirtschaftsprüfers sind für sich genommen keine gesetzliche Pflicht. Die Rechtsgrundlage sagt außerdem nichts darüber aus, wie lange die Daten aufbewahrt werden dürfen; eine gesetzliche Aufbewahrungspflicht ist nach Dokumententyp zu prüfen.

Buchstabe e verlangt eine im Unions- oder Mitgliedstaatsrecht verankerte öffentliche Aufgabe. Eine private Firma erfüllt nicht automatisch eine öffentliche Aufgabe, nur weil ihre Tätigkeit nützlich ist. Buchstabe d schützt vitale Interessen in echten Ausnahmesituationen, etwa wenn die betroffene Person nicht entscheiden kann und unverzügliche Hilfe nötig ist. Im Routinebetrieb ist dieser Tatbestand selten. Wer ihn für eine Standardleistung verwendet, sollte begründen können, weshalb Vertrag, gesetzliche Pflicht oder andere Grundlagen nicht einschlägig sind.

Bei berechtigten Interessen nach Buchstabe f sollte die schriftliche Abwägung das tatsächliche Interesse, die Notwendigkeit und die Rechte der Betroffenen getrennt behandeln. Beispiel IT-Sicherheitsprotokoll: Zweck ist das Erkennen und Aufklären von Zugriffen; nötig sind begrenzte Logfelder und eine angemessene Frist; entgegen stehen die Erwartungen der Beschäftigten und mögliche Überwachung. Daraus können eingeschränkte Zugriffe, kurze Aufbewahrung und eine transparente Information folgen. Die Anleitung zum berechtigten Interesse erläutert die drei Schritte. Für Behörden in Erfüllung ihrer Aufgaben ist Buchstabe f nach dem Wortlaut nicht verfügbar.

Einwilligung ist eine Entscheidung mit Betriebskosten

Eine wirksame Einwilligung benötigt eine echte Wahl, klare Zwecke und einen Widerruf, der so einfach wie die Erteilung ist. Sie ist besonders ungeeignet, wenn die Leistung tatsächlich auch ohne sie erbracht werden muss oder eine betroffene Person unter Druck steht. Im Beschäftigungsverhältnis ist Freiwilligkeit sorgfältig zu prüfen; sie ist nicht ausnahmslos ausgeschlossen. Wer Einwilligung nutzt, muss die jeweilige Erklärung, Zeitpunkt, Wortlaut und Version nachweisen und den Widerruf in allen verbundenen Systemen wirksam machen. Der Artikel zu den Einwilligungsbedingungen behandelt die Nachweispflicht; ein Muster ist nur Ausgangspunkt für einen tatsächlich freiwilligen Vorgang.

Ein Beispiel ist der Newsletter nach einer Bestellung. Die Bestellbestätigung kann für die Vertragsabwicklung erforderlich sein, der regelmäßige Werbeversand hingegen braucht eine eigene Prüfung nach DSGVO und Kommunikationsrecht. Es wäre irreführend, beides unter „Vertrag“ zu buchen. Auch bei Cookies ist Artikel 6 nicht die ganze Antwort: das deutsche TDDDG enthält zusätzlich Regeln zum Speichern von oder Zugriff auf Informationen auf Endgeräten. Dokumentieren Sie deshalb getrennt, welche Verarbeitung im Browser stattfindet, welche Daten anschließend verarbeitet werden und welche Rechtsregel für welchen Schritt gilt.

Wenn ein Dienst nach einem Widerruf keine optionale Analyse mehr durchführen darf, müssen auch verbundene Dienstleister entsprechend informiert werden. Ein einfaches Beispiel für einen Wirksamkeitstest: Ein Testkonto gibt Einwilligung, widerruft sie und prüft danach, ob weitere Tracking-Ereignisse gesendet werden und ob die Entscheidung im Nachweisprotokoll steht. Eine Checkbox, deren Status im Frontend wechselt, aber deren Widerruf im Marketing-System nicht ankommt, erfüllt ihren Zweck nicht. Diese Prüfung ist Teil des Betriebs und sollte bei neuen Tags oder Integrationen wiederholt werden.

Besondere Daten, Empfänger und Änderungen des Zwecks

Bei Gesundheitsdaten, religiösen Angaben oder biometrischen Daten zur eindeutigen Identifikation reicht eine Artikel-6-Grundlage allein nicht. Zusätzlich muss eine der Ausnahmen des Artikels 9 Absatz 2 greifen. In einer Personalakte können rechtliche Pflichten, Beschäftigtenrecht und besonders schützenswerte Daten zusammenkommen; die Begründung gehört auf Ebene der einzelnen Verarbeitung, nicht in einen pauschalen Satz für die gesamte Personalabteilung. Die Prüfung nach Artikel 9 zeigt, warum etwa ein Gesundheitsdatum nicht durch ein bloßes „berechtigtes Interesse“ freigegeben wird.

Auch ein Auftragsverarbeiter ändert nicht automatisch die Rechtsgrundlage des Verantwortlichen. Der Verantwortliche benötigt weiterhin eine Grundlage für seinen Zweck, informiert über Empfänger oder Empfängerkategorien und regelt die Verarbeitung nach Artikel 28. Nutzt ein Dienstleister dieselben Daten für eigene Zwecke, ist seine Rolle und Grundlage gesondert zu prüfen. Bei einem neuen Empfänger oder einer neuen Cloud-Region kommen möglicherweise weitere Fragen zu internationalen Transfers hinzu. Eine Datenschutzerklärung darf diesen realen Datenfluss nicht hinter allgemeinen Kategorien verstecken.

Ändert sich der Zweck später, ist nicht einfach die alte Grundlage zu „wechseln“. Prüfen Sie zuerst, ob der neue Zweck mit dem ursprünglichen vereinbar ist, ob eine neue Grundlage erforderlich ist und welche Information die Betroffenen erhalten müssen. Für eine neue Werbenutzung von Bestelldaten ist eine eigene Beurteilung nötig; eine ursprünglich ungültige Grundlage wird durch nachträgliches Umetikettieren nicht rückwirkend gültig. Ein Freigabeprozess kann deshalb verlangen, dass Produktteam oder Fachabteilung vor dem neuen Einsatz einen kurzen Zweckvergleich, die gewählte Rechtsgrundlage und die geänderte Information vorlegt.

Nachweis, der einer Rückfrage standhält

Ein guter Nachweis ist knapp, aber prüfbar: Zweck, Datenkategorien, Artikel-6-Buchstabe, gegebenenfalls nationale Norm, wesentliche Erforderlichkeitsgründe, Zeitpunkt der Entscheidung und verantwortliche Person. Für Einwilligung kommt die Version der Erklärung und der Widerrufsweg dazu; für berechtigte Interessen die dokumentierte Abwägung; für besondere Kategorien der Artikel-9-Tatbestand. Verbinden Sie diesen Datensatz mit dem Artikel-30-Verzeichnis, der Information nach Artikel 13 oder 14 und einer Frist für die erneute Prüfung. Dann lässt sich auch bei einer Beschwerde erklären, warum genau diese Verarbeitung rechtmäßig sein soll.

Für eine neue Verarbeitung mit Datentransfer in ein Drittland ist die Prüfung internationaler Datenübermittlungen ein zusätzlicher Schritt; Artikel 6 allein legitimiert keinen Transfer. Ein neuer Empfänger kann zudem eine Information nach Artikel 14 erfordern, wenn Daten nicht direkt bei der betroffenen Person erhoben wurden. Die Rechtsgrundlage allein heilt keine Defizite bei Datenminimierung, Sicherheit oder Löschung. Ein Unternehmen kann Daten auf Basis eines Vertrags erheben und dennoch zu viele Felder verlangen oder sie zu lange speichern. Deshalb sollte die Freigabe neben Artikel 6 auch die Grundsätze des Artikels 5 und die Zugriffssicherung prüfen. Ein Managementbericht sollte offene Entscheidungen und tatsächlich beseitigte Lücken zeigen, nicht bloß eine Prozentzahl mit „Rechtsgrundlage vorhanden“.

Beispiel: derselbe Datensatz, drei Rechtsentscheidungen

Ein Online-Shop erhält Name, Lieferadresse und E-Mail für eine Bestellung. Für den Versand kann Vertragserfüllung einschlägig sein; für die gesetzlich aufzubewahrende Rechnung kommt die konkrete Aufbewahrungspflicht hinzu. Ein späterer E-Mail-Newsletter ist eine neue Werbefrage und nicht automatisch Teil der Lieferung. Die Datenfelder sind identisch, doch Zweck, Rechtsgrundlage, Information, Dauer und gegebenenfalls Kommunikationsrecht unterscheiden sich. Eine Prüfung auf Ebene „Kundendaten = Vertrag“ verdeckt genau diese Unterschiede. Das Beispiel zeigt auch, warum eine einzige pauschale Löschfrist für den gesamten Kundendatensatz unbrauchbar ist.

Fazit

DSGVO Artikel 6 mag kurz erscheinen — sechs Stichpunkte — aber er ist die Grundlage jeder anderen Compliance-Verpflichtung. Wählen Sie die richtige Grundlage, dokumentieren Sie warum, kommunizieren Sie sie transparent und bleiben Sie dabei. Die gesetzliche Bußgeldobergrenze erklärt weder die Häufigkeit noch die Höhe einer Sanktion im Einzelfall.

FAQ

Was sind die sechs Rechtsgrundlagen nach DSGVO Artikel 6?

(a) Einwilligung, (b) Vertragserfüllung, © rechtliche Verpflichtung, (d) lebenswichtige Interessen, (e) öffentliche Aufgabe, (f) berechtigte Interessen. Mindestens eine muss zutreffen, damit eine Verarbeitung personenbezogener Daten rechtmäßig ist.

Kann ich mich gleichzeitig auf mehrere Rechtsgrundlagen stützen?

Nicht pauschal für denselben Zweck „für alle Fälle“. Trennen Sie Zwecke und benennen Sie jeweils die tatsächlich tragende Grundlage. Für verschiedene Phasen oder Zwecke können unterschiedliche Grundlagen einschlägig sein; die Information muss diese Unterscheidung verständlich machen.

Ist Einwilligung immer die sicherste Wahl?

Nein — und oft die riskanteste. Die Einwilligung muss freiwillig, spezifisch, informiert, unmissverständlich und widerrufbar sein. Im Arbeitsverhältnis ist die Freiwilligkeit besonders kritisch zu prüfen. Nach Widerruf darf die darauf gestützte Verarbeitung nicht fortgesetzt werden; Aufbewahrung aus einer anderen gesetzlichen Pflicht ist gesondert zu beurteilen.

Brauche ich eine Folgenabschätzung für berechtigte Interessen (LIA)?

Eine eigene DSFA ist nicht schon wegen Buchstabe f nötig. Den dreiteiligen Test aus Zweck, Erforderlichkeit und Interessenabwägung sollten Sie vor Beginn nachvollziehbar dokumentieren, damit die Entscheidung nach Artikel 5 Absatz 2 belegbar ist.

Was ist der Unterschied zwischen Artikel 6 und Artikel 9 DSGVO?

Artikel 6 deckt die Rechtsgrundlage für alle Verarbeitungen personenbezogener Daten ab. Artikel 9 fügt eine zweite Bedingung für die Verarbeitung besonderer Kategorien von Daten hinzu (Gesundheit, Biometrie, Religion usw.). Beide müssen erfüllt sein.