Wann darf ich personenbezogene Daten verarbeiten?

Sechs Rechtsgrundlagen, und Einwilligung ist nur einer davon

Die Verarbeitung von Personendaten ist zulässig, wenn eine der sechs Rechtsgrundlagen aus Artikel 6 DSGVO anwendbar ist. Einwilligung ist die bekannteste Rechtsgrundlage, aber nicht die einzige und in der Praxis oft nicht die naheliegendste: Eine Verarbeitung kann auch rechtmäßig sein, weil sie für die Erfüllung eines Vertrags erforderlich ist, weil eine gesetzliche Verpflichtung dahintersteckt, um ein vitales Interesse zu schützen, zur Erfüllung einer Aufgabe im öffentlichen Interesse oder weil ein berechtigtes Interesse der Organisation schwerer wiegt als das Interesse der betroffenen Person, nicht verarbeitet zu werden.

Bei einem Webshop oder Dienstleister tauchen üblicherweise drei dieser Rechtsgrundlagen auf: der Vertrag (ein Kunde bestellt etwas, und die Daten sind notwendig, um liefern zu können), die gesetzliche Verpflichtung (eine Rechnung, die nach Steuervorschriften aufbewahrt werden muss), und das berechtigte Interesse (beispielsweise Sicherheit der Website oder ein Newsletter an bestehende Kunden). Einwilligung kommt ins Spiel, sobald keine der anderen Rechtsgrundlagen zutrifft, etwa bei Marketing an Personen, die noch keine Kunden sind — wobei für diese Einwilligung gilt, dass sie spezifisch, freiwillig erteilt und nachweisbar sein muss.

Dies ist in Artikel 6 der DSGVO geregelt

Artikel 6 Absatz 1 DSGVO zählt die sechs Rechtsgrundlagen unter den Buchstaben a bis f auf; welche Rechtsgrundlage bei einer konkreten Verarbeitung passt, ergibt sich aus der Art dieser Verarbeitung selbst und nicht aus einer Wahl, die schon vorher feststeht. Die Autoriteit Persoonsgegevens gibt auf ihrer Website weitere Orientierung bei der Anwendung dieser Rechtsgrundlagen in der Praxis.