Art. 6 DSGVO: Die sechs Rechtsgrundlagen der Datenverarbeitung

Was regelt Art. 6 DSGVO?

Art. 6 Abs. 1 DSGVO erlaubt die Verarbeitung personenbezogener Daten nur, wenn mindestens eine von sechs Rechtsgrundlagen erfüllt ist: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Die Einwilligung ist dabei nur eine Möglichkeit unter mehreren – und in vielen Fällen nicht die passendste.

Prüfe vor jeder Verarbeitung, welche Rechtsgrundlage nach Art. 6 der Datenschutz-Grundverordnung (DSGVO) greift, und lege sie vor Beginn fest. Teile sie den Betroffenen bei der Erhebung mit (Art. 13 Abs. 1 lit. c DSGVO) und dokumentiere sie im Verzeichnis von Verarbeitungstätigkeiten. Einen Überblick gibt unser Leitfaden zu den Datenschutz-Grundlagen.

Für besondere Kategorien personenbezogener Daten gilt zusätzlich Art. 9 der DSGVO, etwa für Gesundheitsdaten, religiöse Überzeugungen und biometrische Daten zur eindeutigen Identifizierung (zum Beispiel beim Fingerabdruck in der Zeiterfassung). Mehr Unternehmen verarbeiten solche Daten, als sie denken – zum Beispiel Krankmeldungen oder die Religionszugehörigkeit für die Kirchensteuer in der Personalabteilung. Dann lohnt es sich, die Datenschutz-Expert:innen von heyData hinzuzuziehen.

Welche sechs Rechtsgrundlagen nennt Art. 6 Abs. 1 DSGVO?

Art. 6 Abs. 1 DSGVO nennt sechs gleichrangige Rechtsgrundlagen. Die Tabelle fasst sie zusammen:

In welcher Reihenfolge prüfst du die Rechtsgrundlagen?

Die DSGVO schreibt keine Reihenfolge vor. In der Praxis hat es sich aber bewährt, zuerst die spezielleren Rechtsgrundlagen zu prüfen und die Einwilligung zuletzt, weil sie jederzeit widerrufen werden kann. Diese Reihenfolge ist eine Praxisempfehlung, keine Vorgabe der DSGVO:

1. Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d)
2. Wahrnehmung einer öffentlichen Aufgabe (Art. 6 Abs. 1 lit. e)
3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)
4. Vertragsbeziehung mit der betroffenen Person (Art. 6 Abs. 1 lit. b)
5. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)
6. Einwilligung (Art. 6 Abs. 1 lit. a)

Die ersten beiden Punkte greifen im Unternehmensalltag selten, sollten der Vollständigkeit halber aber mitgedacht werden. Wichtig: Die Rechtsgrundlage muss vor Beginn der Verarbeitung feststehen.

Spielen lebenswichtige Interessen und öffentliche Aufgabe für Unternehmen eine Rolle?

Meistens nicht. Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d DSGVO) betreffen Situationen, in denen Leben oder Gesundheit der betroffenen oder einer anderen Person akut bedroht sind, zum Beispiel bei einem medizinischen Notfall. Die öffentliche Aufgabe (lit. e) richtet sich an Verantwortliche, denen eine Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt übertragen wurde, zum Beispiel Polizei oder Behörden; im Einzelfall kann sie auch private Unternehmen betreffen, denen eine solche Aufgabe übertragen wurde.

Wann trägt eine rechtliche Verpflichtung (lit. c)?

Wenn die Verarbeitung nötig ist, um eine gesetzliche Pflicht zu erfüllen (Art. 6 Abs. 1 lit. c DSGVO). Die Pflicht muss sich aus dem Unionsrecht oder dem Recht eines Mitgliedstaats ergeben (Art. 6 Abs. 3 DSGVO). Beispiele:

• Als Arbeitgeber bist du im Rahmen der Meldepflicht verpflichtet, neue Mitarbeitende bei der Krankenkasse anzumelden. Dasselbe gilt für die notwendigen Angaben zu Steuern und Sozialabgaben.
• Arbeitgeber müssen die gesetzlichen Vorgaben zur Arbeitszeit einhalten und Arbeitszeiten erfassen. Dafür werden die Zeiten der Mitarbeitenden verarbeitet.
• Banken, Versicherungen und andere Verpflichtete nach dem Geldwäschegesetz müssen die Identität ihrer Kund:innen prüfen und dokumentieren, um Geldwäsche zu verhindern.
• Arbeitgeber müssen Löhne zahlen und die Zahlung dokumentieren; dabei ist auch das Mindestlohngesetz zu beachten.

Wann trägt der Vertrag (lit. b)?

Wenn die Verarbeitung für die Erfüllung eines Vertrags oder für vorvertragliche Maßnahmen erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO) – auch bei mündlichen Verträgen, etwa einer Terminabsprache. Die betroffene Person muss selbst Vertragspartner sein, und vorvertragliche Maßnahmen müssen auf ihre Anfrage erfolgen. Ein bloß vermutetes Interesse reicht nicht – Werbung lässt sich deshalb in der Regel nicht auf diese Rechtsgrundlage stützen. Diese Vorgänge fallen häufig unter den Vertrag, sodass keine Einwilligung nötig ist:

• Bei einer Bewerbung dürfen die eingegangenen Daten für das Auswahlverfahren verarbeitet werden (vorvertragliche Maßnahmen). Zum Einsatz von KI dabei: KI im Recruiting.
• Im Arbeitsverhältnis darf der Arbeitgeber die Daten verarbeiten, die er für die Durchführung des Vertrags braucht, etwa die Bankverbindung für die Lohnzahlung.
• Kontaktiert eine Privatperson ein Unternehmen, dürfen die Kontaktdaten zur Beantwortung genutzt werden. Bestellt sie online, dürfen Kontaktdaten und Zahlungsinformationen für Lieferung und Abrechnung verwendet werden.

Wann trägt ein berechtigtes Interesse (lit. f)?

Wenn du oder ein Dritter ein berechtigtes Interesse hat, die Verarbeitung dafür erforderlich ist und die Interessen der betroffenen Person nicht überwiegen (Art. 6 Abs. 1 lit. f DSGVO). Du prüfst das in drei Schritten:

• Berechtigtes Interesse: Erwägungsgrund 47 nennt als Beispiele die Betrugsverhinderung und die Direktwerbung.
• Erforderlichkeit: Die Verarbeitung muss zur Wahrung dieses Interesses erforderlich sein.
• Abwägung: Die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person dürfen nicht überwiegen, besonders bei Kindern. Teil der Abwägung ist, ob die Person vernünftigerweise mit der Verarbeitung rechnen muss (Erwägungsgrund 47).

Für Behörden gilt lit. f nicht, soweit sie ihre Aufgaben erfüllen. Dokumentiere deine Abwägung und prüfe bei risikoreichen Verarbeitungen, ob eine Datenschutz-Folgenabschätzung nötig ist. Bei Unsicherheit kannst du die Expert:innen von heyData kontaktieren.

Wann ist die Einwilligung sinnvoll (lit. a)?

Eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) ist oft nicht erforderlich und nicht immer sinnvoll, weil sie jederzeit widerrufen werden kann (Art. 7 Abs. 3 DSGVO). Weil sie in Art. 6 Abs. 1 als Erstes genannt wird, gilt sie leicht als unumgänglich – dabei nennt der Artikel weitere, oft passendere Rechtsgrundlagen, etwa ein bestehendes Vertragsverhältnis. Mehr dazu: Einwilligung im Datenschutz. Wenn du dich auf eine Einwilligung stützt, beachte diese Punkte:

• Eine Einwilligung muss freiwillig erteilt werden und darf nicht erzwungen werden.
• Sie muss sich auf bestimmte Zwecke beziehen. Die betroffene Person muss vorab über ihr Widerrufsrecht informiert werden, und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO).
• Du musst nachweisen können, dass eine Einwilligung vorliegt (Art. 7 Abs. 1 DSGVO).
• Ohne wirksame Einwilligung darf die darauf gestützte Verarbeitung nicht beginnen; nach einem Widerruf muss sie enden. Die Verarbeitung bis dahin bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO).
• Ob eine Einwilligung freiwillig ist, hängt auch davon ab, ob ein Vertrag von einer Einwilligung abhängig gemacht wird, die dafür nicht erforderlich ist (Kopplungsverbot, Art. 7 Abs. 4 DSGVO).

Was gilt bei Beschäftigtendaten?

Das Bundesarbeitsgericht hat mit Urteil vom 8. Mai 2025 (8 AZR 209/21) entschieden, dass § 26 Abs. 1 BDSG nicht anzuwenden ist, weil die von Art. 88 Abs. 2 DSGVO geforderten Schutzmaßnahmen fehlen. Soweit keine spezifischeren Vorschriften greifen, gilt die DSGVO unmittelbar. Prüfe Verarbeitungen im Beschäftigungsverhältnis deshalb an Art. 6 Abs. 1 DSGVO, etwa lit. b, c oder f. Wie sich das Urteil auf § 26 Abs. 2 bis 4 BDSG auswirkt, solltest du im Einzelfall juristisch klären lassen.

Was regeln Art. 6 Abs. 2 bis 4 DSGVO?

• Abs. 2: Die Mitgliedstaaten dürfen für lit. c und lit. e spezifischere Bestimmungen festlegen.
• Abs. 3: Die Grundlage für lit. c und lit. e muss im Unionsrecht oder im Recht des Mitgliedstaats festgelegt sein. Sie muss ein Ziel im öffentlichen Interesse verfolgen und verhältnismäßig sein.
• Abs. 4: Willst du Daten für einen anderen Zweck verarbeiten, und beruht das weder auf einer Einwilligung noch auf einer Rechtsvorschrift nach Art. 23 Abs. 1 DSGVO, prüfst du, ob der neue Zweck mit dem ursprünglichen vereinbar ist. Berücksichtige unter anderem den Zusammenhang der Zwecke, den Erhebungskontext, die Art der Daten (etwa Art. 9 und 10), mögliche Folgen für die Betroffenen und Schutzmaßnahmen wie Verschlüsselung oder Pseudonymisierung.

Fazit

Artikel 6 der Datenschutz-Grundverordnung (DSGVO) legt fest, wann die Verarbeitung personenbezogener Daten rechtmäßig ist. Neben der Einwilligung gibt es fünf weitere, gleichrangige Rechtsgrundlagen. Als Praxisempfehlung hat es sich bewährt, zuerst lebenswichtige Interessen, öffentliche Aufgaben, gesetzliche Pflichten, Verträge und das berechtigte Interesse zu prüfen und erst danach die Einwilligung. Sie ist nicht immer erforderlich, kann jederzeit widerrufen werden und muss freiwillig und für einen bestimmten Zweck erteilt werden. Wer die passende Rechtsgrundlage vor Beginn der Verarbeitung festlegt und dokumentiert, schafft die Grundlage für eine rechtmäßige Datenverarbeitung.

Mit dem externen Datenschutzbeauftragten von heyData prüfst du für jede Verarbeitung die passende Rechtsgrundlage, dokumentierst sie im Verzeichnis von Verarbeitungstätigkeiten und bist bei Rückfragen der Aufsicht besser vorbereitet.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo