Artikel 6 der GDPR: sechs Rechtsgrundlagen, nicht nur die Einwilligung

Artikel 6 der GDPR nennt sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, Wahrnehmung einer Aufgabe im öffentlichen Interesse und berechtigte Interessen. Viele Menschen glauben fälschlicherweise, die Einwilligung sei die einzige Möglichkeit, dabei ist sie nur eine von sechs. Ein Arbeitgeber benötigt beispielsweise für die Verarbeitung von Gehaltsabrechnungen keine Einwilligung – er stützt sich auf eine rechtliche Verpflichtung oder einen Vertrag. Der entscheidende Unterschied besteht darin, dass die Einwilligung eine eindeutige bestätigende Handlung der betroffenen Person erfordert, während andere Rechtsgrundlagen häufig aus gesetzlichen Pflichten oder organisatorischen Erfordernissen hervorgehen.

Um falsche Antworten in einer Frage auszuschließen, prüfen Sie zunächst, ob die Verarbeitung gesetzlich oder vertraglich vorgeschrieben ist – wenn ja, ist keine Einwilligung erforderlich. Denken Sie zweitens daran, dass „lebenswichtige Interessen“ nur für Situationen gelten, in denen es um Leben und Tod geht, beispielsweise bei medizinischer Notfallversorgung. Drittens sind „berechtigte Interessen“ die am weitesten gefasste Rechtsgrundlage, dürfen jedoch die Rechte der betroffenen Person nicht überwiegen; häufig decken sie Betrugsprävention oder Direktwerbung ab. Ein schneller Ausschlusstrick: Betrifft das Szenario eine Behörde, ist wahrscheinlich die „Wahrnehmung einer Aufgabe im öffentlichen Interesse“ und nicht die Einwilligung die einschlägige Rechtsgrundlage.

Testen Sie sich selbst mit der Frage: „Erfolgt diese Verarbeitung aufgrund einer gesetzlichen Pflicht, eines Vertrags oder einer lebensrettenden Notwendigkeit?“ Wenn ja, streichen Sie die Einwilligung. Merken Sie sich die sechs Rechtsgrundlagen mithilfe von „C-C-L-V-P-L“ (Consent, Contract, Legal obligation, Vital interests, Public task, Legitimate interests). Üben Sie, jede Rechtsgrundlage einem praktischen Beispiel zuzuordnen, etwa die Gehaltsabrechnung einem Vertrag bzw. einer rechtlichen Verpflichtung und die Anmeldung zu einem Newsletter der Einwilligung.