Rechtsgrundlage

Unternehmen dürfen personenbezogene Daten nicht allein deshalb verarbeiten, weil dies praktisch erscheint. Für jeden Zweck und jeden konkreten Verarbeitungsvorgang muss eine passende Rechtsgrundlage bestehen. Art. 6 Abs. 1 DSGVO nennt dafür sechs Möglichkeiten: Einwilligung, Vertrag oder vorvertragliche Maßnahmen auf Anfrage der betroffenen Person, eine rechtliche Verpflichtung, den Schutz lebenswichtiger Interessen, eine Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt sowie berechtigte Interessen mit anschließender Interessenabwägung.

Die Rechtsgrundlage richtet sich nach dem tatsächlichen Zweck und Ablauf der Verarbeitung. Eine Einwilligung ist nur tragfähig, wenn sie freiwillig, informiert und unmissverständlich erteilt wird und für die betreffende Verarbeitung nachweisbar bleibt. Die Vertragserforderlichkeit darf nicht mit jedem wirtschaftlichen Nutzen gleichgesetzt werden. Beim berechtigten Interesse müssen Unternehmen das eigene oder das Interesse eines Dritten, die Erforderlichkeit und die entgegenstehenden Interessen sowie die vernünftigen Erwartungen der betroffenen Person prüfen. Für besondere Kategorien personenbezogener Daten kommt zusätzlich eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO in Betracht.

Die gewählte Rechtsgrundlage sollte vor Beginn der Verarbeitung feststehen und zur Information der betroffenen Personen passen. Ändert sich der Zweck, der Datenumfang oder der Verarbeitungskontext, ist die Einordnung erneut zu prüfen. Das gilt auch für Datenflüsse an Dienstleister, für Direktmarketing und für den Einsatz neuer Software. Eine einmal dokumentierte Rechtsgrundlage ersetzt daher keine laufende Prüfung der tatsächlichen Verarbeitung.

Für die Praxis sollten Sie Zweck, Datenkategorien, betroffene Personengruppen, Verarbeitungsschritte und die dazugehörige Rechtsgrundlage gemeinsam dokumentieren. Der Bereich Compliance und Datenschutz-Governance ordnet die organisatorische Dokumentation ein. Bei Marketing, Cookies und Tracking ist zusätzlich der konkrete Einwilligungs- und Abwägungsrahmen zu prüfen.