Die sechs Erlaubnisgründe der DSGVO
Jede Verarbeitung personenbezogener Daten braucht einen Grund aus einer Liste von sechs. Die Liste ist abschließend, die Gründe sind gleichrangig – und die Wahl lässt sich später nicht mehr austauschen.
Der Grundsatz der DSGVO ist ein Verbot mit Erlaubnisvorbehalt: Ohne Erlaubnis ist die Verarbeitung untersagt. Erlaubt ist sie nur, wenn genau einer von sechs Gründen zutrifft. Diese Umkehrung überrascht viele – üblicherweise ist erlaubt, was nicht verboten ist.
Die sechs Gründe, von häufig zu selten
- VertragWas zur Erfüllung nötig ist: Lieferadresse, Rechnung, Zugangsdaten. Kein Vertrag über Werbung.
- Berechtigtes InteresseErfordert eine Abwägung, die dokumentiert sein muss. Trägt nicht beim Zugriff auf das Endgerät.
- EinwilligungFreiwillig, informiert, eindeutig – und jederzeit widerrufbar. Der Grund hinter dem Cookie-Banner.
- Rechtliche VerpflichtungAufbewahrungsfristen des Steuerrechts etwa. Die Pflicht muss aus einem Gesetz folgen, nicht aus einem Vertrag.
- Öffentliche AufgabeFür Behörden und beliehene Stellen. Für ein Unternehmen praktisch nie einschlägig.
- Lebenswichtige InteressenDer Notfall: Leben und Gesundheit. Auf einer Website so gut wie nie einschlägig.
Ein Zweck, ein Grund
Die Rechtsgrundlage hängt nicht am Datensatz, sondern am Zweck. Dieselbe E-Mail-Adresse kann für den Versand einer Bestellbestätigung auf dem Vertrag beruhen und für einen Newsletter auf einer Einwilligung. Zwei Zwecke, zwei Gründe, zwei getrennte Entscheidungen.
Daraus folgt die häufigste Fehlerquelle in der Praxis: Ein Zweck wird still um einen zweiten erweitert – aus der Bestellabwicklung wird Werbung –, ohne dass für den neuen Zweck ein eigener Grund vorliegt.
Was auf einer typischen Website worauf beruht
Zwei Gründe im direkten Vergleich
Die rechte Spalte ist kürzer, als viele erwarten. Das liegt daran, dass „nützlich für den Betrieb“ und „unbedingt erforderlich für den angeforderten Dienst“ zwei verschiedene Maßstäbe sind. Der zweite ist eng und wird aus Sicht der aufrufenden Person bestimmt.
Die Angabe gehört nach außen
Die gewählte Rechtsgrundlage ist keine interne Notiz. Sie gehört in die Datenschutzerklärung, und zwar je Zweck benannt. Eine Erklärung, die alle sechs Gründe aufzählt und offenlässt, welcher wofür gilt, erfüllt die Informationspflicht nicht – sie verschiebt die Arbeit nur auf die lesende Person.