Auf welcher Rechtsgrundlage verarbeiten Sie Daten? (Art. 6 DSGVO)

Kurz beantwortet: Jede Verarbeitung personenbezogener Daten braucht eine der sechs Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO, sonst ist sie rechtswidrig. Im SaaS-Alltag tragen fast immer drei davon: die Vertragserfüllung für Ihre Kernfunktionen, das berechtigte Interesse für Sicherheit und Missbrauchsabwehr, und die Einwilligung dort, wo beide nicht greifen, etwa bei nicht notwendigen Cookies.

Welche sechs Rechtsgrundlagen nennt Art. 6 DSGVO?

Für SaaS-Unternehmen ist die Wahl der Rechtsgrundlage keine Formalie. Sie entscheidet darüber, welche Rechte Ihre Nutzer haben, ob Sie eine Einwilligung brauchen und wie belastbar Ihre Datenschutzerklärung ist. Wer hier rät statt zu entscheiden, baut auf Sand.

Art. 6 Abs. 1 DSGVO nennt abschließend sechs Tatbestände. Rechtmäßig ist eine Verarbeitung nur, wenn mindestens einer davon greift:

• Einwilligung (lit. a): die betroffene Person hat für bestimmte Zwecke zugestimmt;
• Vertragserfüllung (lit. b): die Verarbeitung ist zur Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen erforderlich;
• rechtliche Verpflichtung (lit. c): etwa steuer- oder handelsrechtliche Aufbewahrungspflichten;
• lebenswichtige Interessen (lit. d): praktisch selten;
• öffentliche Aufgabe (lit. e): für Behörden;
• berechtigtes Interesse (lit. f): die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, sofern nicht die Interessen der betroffenen Person überwiegen.

Welche drei Rechtsgrundlagen zählen im SaaS-Alltag?

Im SaaS-Alltag geht es fast immer um lit. b, lit. f und lit. a. Die Vertragserfüllung (lit. b) trägt die Kernfunktionen Ihres Dienstes, ohne Datenverarbeitung kein Login, keine Abrechnung, keine Leistung. Das berechtigte Interesse (lit. f) trägt vieles daneben: Missbrauchsabwehr, IT-Sicherheit, in Grenzen auch Direktwerbung, immer aber nur nach einer dokumentierten Abwägung mit den Interessen der Betroffenen. Und die Einwilligung (lit. a) ist dort nötig, wo die anderen beiden nicht tragen, etwa bei nicht notwendigen Cookies oder Tracking. Wie eine wirksame Einwilligung für E-Mail-Marketing konkret aussehen muss, ordnet der Beitrag zur Einwilligung im E-Mail-Marketing ein.

Welche Folgen hat die gewählte Rechtsgrundlage?

Die gewählte Rechtsgrundlage ist kein Etikett, sondern hat handfeste Konsequenzen. Stützen Sie sich auf die Einwilligung (lit. a), kann sie jederzeit widerrufen werden, und das Recht auf Löschung (Art. 17 DSGVO) sowie auf Datenübertragbarkeit (Art. 20 DSGVO) knüpfen unmittelbar daran an. Stützen Sie sich auf das berechtigte Interesse (lit. f), müssen Sie die Abwägung dokumentieren und ein Widerspruchsrecht gewähren. Und eine einmal für einen Zweck erhobene Datenbasis dürfen Sie nicht ohne Weiteres für einen neuen Zweck nutzen, Art. 6 Abs. 4 DSGVO setzt der Zweckänderung enge Grenzen.

Was sollten Sie konkret tun?

Führen Sie für jede Verarbeitungstätigkeit sauber auf, auf welche Rechtsgrundlage sie sich stützt, idealerweise verzahnt mit Ihrem Verarbeitungsverzeichnis. Prüfen Sie, wo Sie echte Einwilligungen brauchen und wo Vertrag oder berechtigtes Interesse tragen. Und halten Sie die Interessenabwägung bei lit. f schriftlich fest. Das ist die Grundlage, auf der eine belastbare Datenschutzerklärung und ein ruhiger Umgang mit Betroffenenanfragen überhaupt erst möglich werden. Wie diese Zuordnung im Verarbeitungsverzeichnis dokumentiert wird, zeigt der Beitrag zum Verarbeitungsverzeichnis nach Art. 30 DSGVO.

Häufige Fragen

Welche Rechtsgrundlagen nennt Art. 6 DSGVO?

Art. 6 Abs. 1 DSGVO nennt abschließend sechs Tatbestände: Einwilligung (lit. a), Vertragserfüllung (lit. b), rechtliche Verpflichtung (lit. c), lebenswichtige Interessen (lit. d), öffentliche Aufgabe (lit. e) und berechtigtes Interesse (lit. f). Rechtmäßig ist eine Verarbeitung, wenn mindestens einer davon greift.

Welche Rechtsgrundlagen sind für SaaS-Unternehmen am wichtigsten?

Im SaaS-Alltag tragen vor allem die Vertragserfüllung (lit. b) für die Kernfunktionen wie Login, Abrechnung und Leistung, das berechtigte Interesse (lit. f) für Missbrauchsabwehr und IT-Sicherheit nach dokumentierter Abwägung sowie die Einwilligung (lit. a) dort, wo die anderen beiden nicht tragen, etwa bei nicht notwendigen Cookies oder Tracking.

Welche Folgen hat die Wahl der Rechtsgrundlage?

Stützen Sie sich auf die Einwilligung, kann sie jederzeit widerrufen werden, und Löschung sowie Datenübertragbarkeit knüpfen unmittelbar daran an. Stützen Sie sich auf das berechtigte Interesse, müssen Sie die Abwägung dokumentieren und ein Widerspruchsrecht gewähren. Eine für einen Zweck erhobene Datenbasis dürfen Sie nach Art. 6 Abs. 4 DSGVO nicht ohne Weiteres für einen neuen Zweck nutzen.

Muss ich die Rechtsgrundlagen dokumentieren?

Ja. Führen Sie für jede Verarbeitungstätigkeit auf, auf welche Rechtsgrundlage sie sich stützt, idealerweise verzahnt mit Ihrem Verarbeitungsverzeichnis, und halten Sie die Interessenabwägung bei lit. f schriftlich fest. Das ist die Grundlage für eine belastbare Datenschutzerklärung und einen ruhigen Umgang mit Betroffenenanfragen.

Sie wollen Ihre Rechtsgrundlagen sauber zuordnen? In einem 30-minütigen Erstgespräch gehen wir Ihre wichtigsten Verarbeitungen durch. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen