Was bedeutet Rechtsgrundlage nach DSGVO?

Eine Rechtsgrundlage ist der gesetzliche Grund, der eine konkrete Verarbeitung personenbezogener Daten erlaubt. Artikel 6 DSGVO nennt sechs Möglichkeiten. Ein Unternehmen wählt nicht die bequemste Bezeichnung, sondern prüft den tatsächlichen Zweck und die Umstände. Die Entscheidung muss vor Beginn der Verarbeitung feststehen und so dokumentiert sein, dass eine andere Person sie nachvollziehen kann.

Ist eine Einwilligung immer erforderlich?

Nein. Einwilligung ist nur eine von sechs Rechtsgrundlagen und eignet sich nur, wenn die betroffene Person wirklich frei entscheiden und ihre Zustimmung ebenso leicht widerrufen kann. Viele gewöhnliche Vorgänge beruhen stattdessen auf einem Vertrag, einer rechtlichen Verpflichtung oder berechtigten Interessen. Für besondere Datenkategorien kann zusätzlich eine weitere Bedingung erforderlich sein.

Darf ein Betrieb die Rechtsgrundlage später wechseln?

Ein späterer Wechsel ist nicht frei verfügbar. Die Rechtsgrundlage soll vor Beginn der Verarbeitung bestimmt werden, weil sie Transparenzinformationen und Betroffenenrechte beeinflusst. Ändert sich der Zweck wesentlich, muss der Betrieb die neue Verarbeitung eigenständig prüfen. Eine ungeeignete ursprüngliche Entscheidung lässt sich nicht rückwirkend durch eine bequemere Bezeichnung heilen.

Was ist der Unterschied zwischen berechtigtem Interesse und Einwilligung?

Bei einer Einwilligung entscheidet die betroffene Person freiwillig und kann sie für die Zukunft widerrufen. Berechtigte Interessen erfordern dagegen einen dokumentierten Zweck-, Erforderlichkeits- und Abwägungstest. Die betroffene Person kann widersprechen, worauf der Verantwortliche seine zwingenden Gründe prüfen muss. Elektronisches Marketing kann zusätzlich dem anwendbaren ePrivacy-Recht unterliegen, unabhängig von der gewählten Rechtsgrundlage.

Wie dokumentiert man eine Rechtsgrundlage?

Der Eintrag sollte Verarbeitung, Zweck, betroffene Personengruppen, Datenarten, gewählte Rechtsgrundlage und Begründung nennen. Bei berechtigten Interessen gehört der dreiteilige Test dazu; bei Einwilligung auch Erteilung, Information und Widerruf. Außerdem sollten Datenschutzhinweis, Aufbewahrung, Empfänger und zuständige Rolle verknüpft werden. Ein kurzer, konkreter Datensatz ist nützlicher als eine allgemeine Richtlinie.

Was ist eine Rechtsgrundlage nach DSGVO?

Eine DSGVO Rechtsgrundlage beantwortet eine konkrete Frage: Warum darf ein Betrieb personenbezogene Daten für diesen bestimmten Zweck verarbeiten? Die Antwort muss vor dem Start feststehen. Sie bestimmt außerdem, welche Informationen gegeben werden und welche Rechte praktisch greifen.

Kurzantwort: Eine DSGVO Rechtsgrundlage ist der gesetzliche Erlaubnisgrund für einen klar beschriebenen Verarbeitungsvorgang. Artikel 6 nennt sechs Grundlagen. Der Betrieb muss Zweck und Umstände prüfen, die passende Grundlage vor Beginn festlegen und verständlich dokumentieren. Einwilligung ist dabei nur eine Möglichkeit, nicht die automatische Standardlösung für jede Verarbeitung ¹.

Zuletzt aktualisiert: 26. August 2026

Für eine gewöhnliche private Organisation richtet sich die Zuständigkeit nach ihrem Sitz: Kontakt- und gegebenenfalls Meldebehörde ist die zuständige Landesdatenschutzaufsichtsbehörde; der offizielle Kontaktfinder der BfDI führt zur richtigen Stelle.

Sechs Wege statt sechs Etiketten

Artikel 6 DSGVO bietet sechs Rechtsgrundlagen, aber keine davon ist ein frei wählbares Etikett. Jede Grundlage hat eigene Voraussetzungen und passt nur zu bestimmten tatsächlichen Umständen ¹.

Rechtsgrundlage	Wann sie grundsätzlich passt	Beispiel aus einem kleinen Betrieb
Einwilligung	Eine Person kann informiert, freiwillig und eindeutig zustimmen sowie später widerrufen.	Ein freiwilliger Newsletter ohne Nachteile bei Ablehnung
Vertrag	Die Verarbeitung ist objektiv nötig, um einen Vertrag mit der Person zu erfüllen oder auf ihren Wunsch vorzubereiten.	Lieferadresse für eine bestellte Ware
Rechtliche Verpflichtung	Eine verbindliche Vorschrift des Unionsrechts oder des Rechts eines Mitgliedstaats verlangt die Verarbeitung.	Lohnangaben für gesetzliche Meldungen
Lebenswichtige Interessen	Die Verarbeitung ist nötig, um Leben oder körperliche Unversehrtheit einer Person zu schützen.	Notfallkontakt bei akuter medizinischer Gefahr
Öffentliche Aufgabe	Eine gesetzlich verankerte Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt wird erfüllt.	Eine entsprechend beauftragte öffentliche Stelle führt ein Register
Berechtigte Interessen	Ein legitimer Zweck ist erforderlich und wird nicht von Rechten und Interessen der Betroffenen überwogen.	Betrugsprävention mit begrenzten, verhältnismäßigen Prüfungen

Ein gewöhnliches Privatunternehmen nutzt meist Vertrag, rechtliche Verpflichtung oder berechtigte Interessen, während öffentliche Aufgabe und lebenswichtige Interessen nur in engeren Konstellationen tragen. Die Bezeichnung allein beweist nichts: Eine Lieferadresse kann für den Vertrag nötig sein, eine zusätzliche Werbeauswertung derselben Adresse aber nicht.

Der Verantwortliche muss jede Verarbeitung separat betrachten. „Kundendaten“ sind keine einzelne Tätigkeit, wenn Rechnungsstellung, Versand, Support und Werbung unterschiedliche Zwecke verfolgen. Die EDSA-Leitlinien stützen deshalb eine zweckbezogene Prüfung und nachvollziehbare Dokumentation der tatsächlichen Voraussetzungen ²^,3.

Der Zweck kommt vor der Antwort

Die richtige Prüfung beginnt nicht mit „Welche Grundlage möchten wir?“, sondern mit einem präzisen Zweck. „Geschäft verbessern“ ist zu weit. „Fehlgeschlagene Kartenzahlungen erkennen, bevor eine Bestellung versendet wird“ beschreibt dagegen eine prüfbare Tätigkeit, ein erkennbares Risiko und den Zeitpunkt der Entscheidung.

Nun wird die Verarbeitung aus Sicht des Arbeitsablaufs zerlegt. Welche Angaben sieht das Prüfsystem, wer erhält ein Ergebnis und was geschieht bei einem Treffer? Ein Zahlungsabgleich kann für die Vertragsabwicklung erforderlich sein. Eine dauerhafte Profilbildung aus denselben Daten ist damit nicht automatisch gedeckt. Diese Trennung verhindert, dass ein notwendiger Kern einen umfangreicheren Zusatzprozess rechtfertigt.

Danach folgt die Erforderlichkeit: Der Betrieb fragt, ob der Zweck mit weniger Daten oder ohne diese konkrete Verarbeitung vernünftig erreichbar ist und ob eine weniger eingriffsintensive Lösung dasselbe Ergebnis zuverlässig erreicht. Bei einem Vertrag muss der verbleibende Vorgang für die vereinbarte Leistung notwendig sein, nicht bloß geschäftlich nützlich; bei einer rechtlichen Verpflichtung gehört die tragende Vorschrift in die Akte, bei berechtigten Interessen der vollständige Abwägungstest.

Diese Reihenfolge verhindert eine häufige Fehlentscheidung: vorhandene Daten werden zuerst technisch nutzbar gemacht und erst danach rechtlich erklärt. Eine Rechtsgrundlage genehmigt keine beliebige spätere Verwendung. Ein neuer Zweck braucht eine eigene Prüfung, bevor die Verarbeitung beginnt.

Einwilligung und berechtigte Interessen sind keine Synonyme

Einwilligung bedeutet echte Kontrolle durch die betroffene Person. Sie muss freiwillig, spezifisch, informiert und eindeutig sein. Außerdem muss der Widerruf ebenso einfach sein wie die Erteilung. Ein Widerruf wirkt für die Zukunft; er macht die Verarbeitung vor dem Widerruf nicht rückwirkend rechtswidrig ¹^,3.

In einem Abhängigkeitsverhältnis fehlt häufig die nötige Wahlfreiheit, weil Beschäftigte eine vermeintlich freiwillige Zustimmung als Erwartung des Arbeitgebers verstehen und Kunden nicht frei entscheiden, wenn eine notwendige Leistung von einer sachfremden Zustimmung abhängig gemacht wird.

Berechtigte Interessen geben dem Betrieb keine pauschale Erlaubnis. Sie verlangen drei dokumentierte Schritte: einen legitimen Zweck, die Erforderlichkeit der Verarbeitung und eine Abwägung gegen Rechte, Interessen sowie vernünftige Erwartungen der Person ⁴. Besonders wichtig sind Datenart, Beziehung, mögliche Folgen, Schutzmaßnahmen und die Möglichkeit eines Widerspruchs.

Auch eine bestandene Abwägung löst nicht jede andere Regel. Für elektronische Kommunikation wirkt zusätzlich die ePrivacy-Richtlinie mit ihrer Umsetzung im jeweils anwendbaren Recht des Mitgliedstaats. Diese Kanalregel und die DSGVO-Rechtsgrundlage werden getrennt geprüft ⁵.

Anders als das geltende britische Recht kennt die EU-DSGVO keine siebte Route für gesetzlich bezeichnete anerkannte berechtigte Interessen. In der EU bleibt bei jeder Berufung auf Artikel 6 Absatz 1 Buchstabe f der Zweck-, Erforderlichkeits- und Abwägungstest vollständig erforderlich ³^,4.

Bei Einwilligung muss der Widerruf operativ ankommen und die betroffene Verarbeitung für die Zukunft beenden. Bei berechtigten Interessen löst ein Widerspruch eine neue Prüfung aus. Der Verantwortliche beurteilt dann, ob zwingende schutzwürdige Gründe die Interessen und Rechte der betroffenen Person überwiegen; bei Direktwerbung endet die Verarbeitung auf Widerspruch.

Die Entscheidung muss außerdem im System erkennbar bleiben: Einwilligungen brauchen Zweck, Fassung und Widerrufsstatus; berechtigte Interessen brauchen den vollständigen Test, konkrete Schutzmaßnahmen und einen erreichbaren Widerspruchsweg. Ein bloßes Feld „Interesse vorhanden“ trägt die Verarbeitung nicht.

Besondere Daten brauchen eine zusätzliche Bedingung

Artikel 6 ist nur die erste Ebene. Wer besondere Kategorien personenbezogener Daten verarbeitet, benötigt zusätzlich eine einschlägige Bedingung nach Artikel 9 DSGVO. Dazu zählen beispielsweise Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung sowie Angaben über religiöse Überzeugungen oder Gewerkschaftszugehörigkeit ¹.

Eine gültige Artikel-6-Grundlage ersetzt diese zweite Prüfung nicht; umgekehrt ist eine Artikel-9-Bedingung keine eigenständige Rechtsgrundlage für die gesamte Verarbeitung, weshalb der Datensatz beide Ebenen getrennt nennen und jeweils die tatsächlichen Voraussetzungen belegen muss.

Für personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gelten die besonderen Anforderungen des Artikels 10 DSGVO. Eine Organisation sollte sie nicht unter dem unscharfen Sammelbegriff „sensibel“ behandeln, weil Artikel 9 und 10 verschiedene Prüfpfade vorgeben.

Die Grundlage verändert die Rechte rund um die Verarbeitung

Die Rechtsgrundlage beeinflusst, wie ein Betrieb auf Betroffenenrechte reagiert. Beim Recht auf Löschung, der Datenübertragbarkeit oder einem Widerspruch kann das Ergebnis davon abhängen, welche Grundlage die konkrete Verarbeitung trägt und welche gesetzliche Ausnahme im Einzelfall greift ².

Die Folge ist praktisch.

Die Grundlage gehört nicht nur in eine interne Tabelle, sondern auch in verständlicher Form in den Datenschutzhinweis, damit die betroffene Person Zweck, rechtlichen Ansatz und ihre dazugehörigen Handlungsmöglichkeiten erkennen kann.

Ein Wechsel der Bezeichnung nach Eingang eines Begehrens ist keine belastbare Lösung, denn die ursprüngliche Entscheidung steuert Erwartungen, Informationen und Prozesse von Anfang an. Wer erst im Konfliktfall eine alternative Grundlage sucht, zeigt gerade, dass die erforderliche Prüfung zuvor nicht stattgefunden hat.

Aus der Entscheidung wird ein nutzbarer Datensatz

Eine gute Dokumentation ist kurz genug für den Alltag und präzise genug für eine Kontrolle. Sie verbindet die rechtliche Entscheidung mit dem tatsächlichen System und den Personen, die sie ausführen.

Feld	Eintrag	Prüffrage
Verarbeitung	Konkreter Vorgang und verwendetes System	Was geschieht mit welchen Daten?
Zweck	Eng formuliertes betriebliches Ergebnis	Warum ist dieser Vorgang nötig?
Personengruppen und Daten	Betroffene Gruppen sowie Datenarten	Wessen Daten sind betroffen?
Rechtsgrundlage	Eine Grundlage nach Artikel 6	Welche tatsächliche Voraussetzung ist erfüllt?
Begründung	Vertrag, Vorschrift, Test oder Einwilligungsnachweis	Welcher Beleg trägt die Auswahl?
Verknüpfte Pflichten	Transparenz, Rechte, Aufbewahrung und Empfänger	Welche Folgeprozesse hängen daran?
Verantwortliche Rolle und Prüfung	Eigentümer des Eintrags und nächster Prüfanlass	Wer aktualisiert die Entscheidung wann?

Der Eintrag sollte auf den Datenschutzhinweis, die Aufbewahrungsregel und vorhandene Verträge verweisen. Eine allgemeine Aussage wie „Wir verarbeiten alle Daten auf Grundlage berechtigter Interessen“ ist nicht prüfbar und verschleiert unterschiedliche Zwecke.

Ein praktischer Startpunkt ist eine halbe Stunde mit der Auftragsabwicklung. Der Betrieb verfolgt eine echte Bestellung vom Eingang bis zur archivierten Rechnung und notiert jede Verwendung personenbezogener Daten. Danach kommen Support und Werbung getrennt hinzu. Für jeden Schritt werden Zweck, Grundlage, Beleg und zuständige Rolle eingetragen. Ungeklärte Schritte erhalten eine offene Entscheidung mit Termin; sie verschwinden nicht unter einer allgemeinen Standardformulierung.

Die Prüfung wird erneuert, wenn Zweck, Datenumfang, Personengruppe, Technik oder mögliche Folgen wesentlich wechseln. Ein neuer Analyseanbieter ist deshalb mehr als eine technische Änderung, wenn er zusätzliche Profile bildet oder Daten weitergibt. Der Eigentümer des Eintrags prüft dann Grundlage, Transparenz und Schutzmaßnahmen erneut, bevor der neue Ablauf live geht. So bleibt die Rechtsgrundlage eine steuerbare betriebliche Entscheidung.