Auf welcher Rechtsgrundlage verarbeiten Sie Daten? (Art. 6 DSGVO)

Kurz beantwortet: Jede Verarbeitung personenbezogener Daten braucht eine der sechs Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO, sonst ist sie rechtswidrig. Im SaaS-Alltag tragen fast immer drei davon: die Vertragserfüllung für Ihre Kernfunktionen, das berechtigte Interesse für Sicherheit und Missbrauchsabwehr, und die Einwilligung dort, wo beide nicht greifen, etwa bei nicht notwendigen Cookies.

Welche sechs Rechtsgrundlagen nennt Art. 6 DSGVO?

Für SaaS-Unternehmen ist die Wahl der Rechtsgrundlage keine Formalie. Sie entscheidet darüber, welche Rechte Ihre Nutzer haben, ob Sie eine Einwilligung brauchen und wie belastbar Ihre Datenschutzerklärung ist. Wer hier rät statt zu entscheiden, baut auf Sand.

Art. 6 Abs. 1 DSGVO nennt abschließend sechs Tatbestände. Rechtmäßig ist eine Verarbeitung nur, wenn mindestens einer davon greift:

• Einwilligung (lit. a): die betroffene Person hat für bestimmte Zwecke zugestimmt;
• Vertragserfüllung (lit. b): die Verarbeitung ist zur Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen erforderlich;
• rechtliche Verpflichtung (lit. c): etwa steuer- oder handelsrechtliche Aufbewahrungspflichten;
• lebenswichtige Interessen (lit. d): praktisch selten;
• öffentliche Aufgabe (lit. e): für Behörden;
• berechtigtes Interesse (lit. f): die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, sofern nicht die Interessen der betroffenen Person überwiegen.

Welche drei Rechtsgrundlagen zählen im SaaS-Alltag?

Im SaaS-Alltag geht es fast immer um lit. b, lit. f und lit. a. Die Vertragserfüllung (lit. b) trägt die Kernfunktionen Ihres Dienstes, ohne Datenverarbeitung kein Login, keine Abrechnung, keine Leistung. Das berechtigte Interesse (lit. f) trägt vieles daneben: Missbrauchsabwehr, IT-Sicherheit, in Grenzen auch Direktwerbung, immer aber nur nach einer dokumentierten Abwägung mit den Interessen der Betroffenen. Und die Einwilligung (lit. a) ist dort nötig, wo die anderen beiden nicht tragen, etwa bei nicht notwendigen Cookies oder Tracking. Wie eine wirksame Einwilligung für E-Mail-Marketing konkret aussehen muss, ordnet der Beitrag zur Einwilligung im E-Mail-Marketing ein.

Welche Folgen hat die gewählte Rechtsgrundlage?

Die gewählte Rechtsgrundlage ist kein Etikett, sondern hat handfeste Konsequenzen. Stützen Sie sich auf die Einwilligung (lit. a), kann sie jederzeit widerrufen werden, und das Recht auf Löschung (Art. 17 DSGVO) knüpft unmittelbar daran an. Das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) besteht bei Einwilligung und bei Vertragserfüllung (lit. a und b), also auch für die Kernfunktionen Ihres Dienstes. Stützen Sie sich auf das berechtigte Interesse (lit. f), müssen Sie die Abwägung dokumentieren und ein Widerspruchsrecht gewähren. Und eine einmal für einen Zweck erhobene Datenbasis dürfen Sie nicht ohne Weiteres für einen neuen Zweck nutzen, Art. 6 Abs. 4 DSGVO setzt der Zweckänderung enge Grenzen.

Was sollten Sie konkret tun?

Führen Sie für jede Verarbeitungstätigkeit sauber auf, auf welche Rechtsgrundlage sie sich stützt, idealerweise verzahnt mit Ihrem Verarbeitungsverzeichnis. Prüfen Sie, wo Sie eine Einwilligung brauchen und wo Vertrag oder berechtigtes Interesse tragen. Und halten Sie die Interessenabwägung bei lit. f schriftlich fest. Das ist die Grundlage, auf der eine belastbare Datenschutzerklärung und ein ruhiger Umgang mit Betroffenenanfragen überhaupt erst möglich werden. Wie diese Zuordnung im Verarbeitungsverzeichnis dokumentiert wird, zeigt der Beitrag zum Verarbeitungsverzeichnis nach Art. 30 DSGVO.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Betreiber einer Plattform, über die Industriebetriebe Wartungsaufträge an selbstständige Servicetechniker vergeben, hat rund 40 Mitarbeitende. Geplant ist, aus bisherigen Auftragsdaten Technikerprofile zu bilden und Betrieben passende Techniker vorzuschlagen. Daneben sollen Fake-Profile automatisch erkannt und Nutzungsdaten mit einem Analyse-Tool ausgewertet werden. Zu klären ist für jede Verarbeitung, auf welche der sechs Rechtsgrundlagen sie sich stützt, denn davon hängen die Nutzerrechte ab. Daten, die für einen Zweck erhoben wurden, lassen sich nur in engen Grenzen für einen neuen Zweck nutzen.

Danach trennen sich die Wege. Gehören die Vorschläge zu der Leistung, die mit den Technikern vereinbart ist, und sind sie dafür erforderlich, trägt die Vertragserfüllung. Die Erkennung von Fake-Profilen lässt sich auf das berechtigte Interesse stützen, mit schriftlich festgehaltener Abwägung und einem Widerspruchsrecht. Für das Analyse-Tool mit nicht notwendigen Cookies braucht es eine jederzeit widerrufliche Einwilligung. Für Altdaten wird die Vereinbarkeit mit dem ursprünglichen Zweck geprüft. Am Ende ist jede Verarbeitung mit ihrer Rechtsgrundlage im Verzeichnis erfasst, als Grundlage für die Datenschutzerklärung. Welche Lücken offen sind, zeigt das Rechtliche Audit.

Häufige Fragen

Welche Rechtsgrundlagen nennt Art. 6 DSGVO?

Art. 6 Abs. 1 DSGVO nennt abschließend sechs Tatbestände: Einwilligung (lit. a), Vertragserfüllung (lit. b), rechtliche Verpflichtung (lit. c), lebenswichtige Interessen (lit. d), öffentliche Aufgabe (lit. e) und berechtigtes Interesse (lit. f). Rechtmäßig ist eine Verarbeitung, wenn mindestens einer davon greift.

Welche Rechtsgrundlagen sind für SaaS-Unternehmen am wichtigsten?

Im SaaS-Alltag tragen vor allem die Vertragserfüllung (lit. b) für die Kernfunktionen wie Login, Abrechnung und Leistung, das berechtigte Interesse (lit. f) für Missbrauchsabwehr und IT-Sicherheit nach dokumentierter Abwägung sowie die Einwilligung (lit. a) dort, wo die anderen beiden nicht tragen, etwa bei nicht notwendigen Cookies oder Tracking.

Welche Folgen hat die Wahl der Rechtsgrundlage?

Stützen Sie sich auf die Einwilligung, kann sie jederzeit widerrufen werden, und die Löschung knüpft unmittelbar daran an. Datenübertragbarkeit besteht bei Einwilligung und bei Vertragserfüllung, also auch für die Kernfunktionen Ihres Dienstes. Stützen Sie sich auf das berechtigte Interesse, müssen Sie die Abwägung dokumentieren und ein Widerspruchsrecht gewähren. Eine für einen Zweck erhobene Datenbasis dürfen Sie nach Art. 6 Abs. 4 DSGVO nicht ohne Weiteres für einen neuen Zweck nutzen.

Muss ich die Rechtsgrundlagen dokumentieren?

Ja. Führen Sie für jede Verarbeitungstätigkeit auf, auf welche Rechtsgrundlage sie sich stützt, idealerweise verzahnt mit Ihrem Verarbeitungsverzeichnis, und halten Sie die Interessenabwägung bei lit. f schriftlich fest. Das ist die Grundlage für eine belastbare Datenschutzerklärung und einen ruhigen Umgang mit Betroffenenanfragen.

Auf welcher Rechtsgrundlage Ihr Unternehmen welche Daten verarbeitet, ist oft nur für einen Teil der Verarbeitungen dokumentiert. Das Rechtliche Audit erfasst Ihre Datenschutzdokumentation und zeigt, welche Lücken zuerst zu schließen sind. Rechtliches Audit: Ihre Datenschutzdokumentation prüfen

Sie wollen Ihre Rechtsgrundlagen sauber zuordnen? In einem 60-minütigen Strategiegespräch gehen wir Ihre wichtigsten Verarbeitungen durch. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen