Rechtsgrundlage der Verarbeitung

Definition: Jede Verarbeitung personenbezogener Daten bedarf gemäß Art. 6 der Datenschutz-Grundverordnung (DSGVO) einer Rechtsgrundlage, um rechtmäßig zu sein. Art. 6 Abs. 1 DSGVO benennt abschließend sechs Rechtsgrundlagen: die Einwilligung der betroffenen Person (lit. a), die Verarbeitung zur Erfüllung eines Vertrages (lit. b), die Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen (lit. c), die Wahrung lebenswichtiger Interessen (lit. d), die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt (lit. e) sowie die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen (lit. f). Das Prinzip, dass jede Datenverarbeitung eine Rechtsgrundlage erfordert, wird als Verbot mit Erlaubnisvorbehalt bezeichnet: Ohne eine der sechs aufgezählten Erlaubnisse ist jede Verarbeitung personenbezogener Daten grundsätzlich verboten. Die Rechtsgrundlage muss vor Beginn der Verarbeitung feststehen, in der Datenschutzerklärung transparent kommuniziert und im Verarbeitungsverzeichnis dokumentiert werden. Ein nachträglicher Wechsel der Rechtsgrundlage ist nicht zulässig.

Erläuterung

Das Konzept des Verbots mit Erlaubnisvorbehalt ist das fundamentale Strukturprinzip des europäischen Datenschutzrechts. Es kehrt die Beweislast um: Nicht die betroffene Person muss nachweisen, dass ihre Daten nicht verarbeitet werden dürfen — der Verantwortliche muss positiv belegen, auf welcher Rechtsgrundlage die Verarbeitung beruht. Fehlt eine solche Grundlage, ist die Verarbeitung rechtswidrig, unabhängig davon, ob ein konkreter Schaden eingetreten ist.

Im Online-Marketing kommen vor allem drei der sechs Rechtsgrundlagen regelmäßig zum Einsatz. Die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) ist die bekannteste, aber auch anspruchsvollste Grundlage: Sie setzt eine freiwillige, spezifische, informierte und unmissverständliche Willenserklärung voraus und kann jederzeit ohne Nachteile widerrufen werden. Die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) erlaubt die Verarbeitung ohne Einwilligung, wenn sie für die Erfüllung eines Vertrages mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erforderlich ist — klassische Anwendungsfälle sind die Bestellabwicklung, Lieferung und Kundensupport. Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) schließlich ist die flexibelste, aber auch risikoreichste Grundlage: Sie erfordert eine Interessenabwägung (Legitimate Interest Assessment) und steht unter dem Vorbehalt, dass die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.

Ein häufiges Missverständnis in der Praxis ist die Annahme, dass die Einwilligung stets die sicherste Rechtsgrundlage sei. Tatsächlich ist sie zwar für bestimmte Verarbeitungen zwingend erforderlich (z. B. für Marketing-Cookies nach dem TTDSG), bringt aber auch erhebliche Nachteile mit sich: Sie kann jederzeit widerrufen werden, erfordert aufwändige Dokumentation und erzeugt bei Nicht-Einwilligung einen vollständigen Verarbeitungsausschluss. Für Verarbeitungen, die sich auf Vertragserfüllung oder berechtigtes Interesse stützen lassen, sollte daher genau geprüft werden, ob nicht eine dieser Grundlagen geeigneter ist.

Für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten, biometrische Daten, Daten zur ethnischen Herkunft) gelten strengere Anforderungen: Hier ist in der Regel eine ausdrückliche Einwilligung oder eine der anderen in Art. 9 Abs. 2 DSGVO genannten Ausnahmen erforderlich.

Die sechs Rechtsgrundlagen nach Art. 6 DSGVO im Detail

Einwilligung (Art. 6 Abs. 1 lit. a): Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben. Anwendungsbeispiele: Newsletter, personalisierte Werbung, Marketing-Cookies, Profiling.
Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich. Anwendungsbeispiele: Bestellabwicklung, Liefer- und Rechnungsadresse, Kundensupport zu konkreten Aufträgen.
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt. Anwendungsbeispiele: Buchführungspflicht, steuerrechtliche Aufbewahrungspflichten, Meldepflichten gegenüber Behörden.
Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d): Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. Im Marketing praktisch irrelevant; relevant in Notfallsituationen.
Öffentliches Interesse (Art. 6 Abs. 1 lit. e): Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt. Für privatwirtschaftliches Online-Marketing kaum anwendbar.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Die Verarbeitung ist zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen. Anwendungsbeispiele: Direktmarketing an Bestandskunden, Betrugsprävention, IT-Sicherheitsmaßnahmen, Webseitenanalyse ohne Einwilligung (unter engen Bedingungen).

Rechtsgrundlagen und ihre Konsequenzen für Betroffenenrechte

Bei Einwilligung: Die betroffene Person hat jederzeit das Recht, ihre Einwilligung zu widerrufen (Art. 7 Abs. 3 DSGVO). Der Widerruf löst keine Pflicht zur Löschung aus, wohl aber das Recht auf Einschränkung oder Löschung, wenn keine andere Rechtsgrundlage greift.
Bei berechtigtem Interesse: Die betroffene Person hat das Widerspruchsrecht nach Art. 21 DSGVO. Bei Direktmarketing führt ein Widerspruch stets zur Unzulässigkeit der Verarbeitung; bei anderen Verarbeitungen muss eine Interessenabwägung erfolgen.
Bei Vertragserfüllung: Kein spezifisches Widerspruchsrecht, da die Verarbeitung für die Vertragsdurchführung notwendig ist; das Recht auf Löschung gilt erst nach Vertragsende und Ablauf etwaiger Aufbewahrungsfristen.

Praxistipp: Prüfen Sie für jeden Ihrer Marketing-Prozesse — Analytics, E-Mail-Marketing, Retargeting, Social Advertising, CRM — explizit die passende Rechtsgrundlage und dokumentieren Sie diese im Verarbeitungsverzeichnis. Eine fehlende oder falsch gewählte Rechtsgrundlage ist einer der häufigsten DSGVO-Fehler in der Praxis. Verlassen Sie sich nicht pauschal auf die Einwilligung als Allheilmittel — prüfen Sie für jeden Verarbeitungsschritt, ob Vertragserfüllung oder berechtigtes Interesse geeignetere und weniger aufwändige Alternativen darstellen. Legen Sie die Rechtsgrundlage immer vor Beginn der Verarbeitung fest, nicht nachträglich.