Rechtsgrundlage
Die Rechtsgrundlage ist die rechtliche Legitimation für die Verarbeitung personenbezogener Daten gemäß DSGVO. Jede Datenverarbeitung benötigt eine solche Grundlage, typischerweise Einwilligung, Vertragserfüllung, rechtliche Verpflichtung oder berechtigtes Interesse.
Ausführliche Erklärung
Die Datenschutz-Grundverordnung sieht in Artikel 6 Absatz 1 sechs mögliche Rechtsgrundlagen vor: Einwilligung der betroffenen Person, Vertragserfüllung, rechtliche Verpflichtung, Schutz lebenswichtiger Interessen, öffentliches Interesse oder Ausübung öffentlicher Gewalt sowie berechtigtes Interesse des Verantwortlichen. Diese Erlaubnistatbestände stehen gleichrangig nebeneinander, eine Verarbeitung ist rechtmäßig, sobald mindestens einer davon erfüllt ist.
Für KMU sind in der Praxis besonders drei Rechtsgrundlagen relevant: die Einwilligung, die Vertragserfüllung und das berechtigte Interesse. Die Einwilligung erfordert eine freiwillige, informierte und eindeutige Willenserklärung und kann jederzeit widerrufen werden. Die Vertragserfüllung erlaubt die Verarbeitung von Daten, die zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich sind. Das berechtigte Interesse setzt eine Interessenabwägung voraus und ist kein Auffangtatbestand, den Unternehmen beliebig heranziehen können.
Die Wahl der richtigen Rechtsgrundlage muss vor jeder Datenverarbeitung erfolgen und ist zu dokumentieren. Sie ist nicht nachträglich austauschbar. Die Entscheidung hat praktische Konsequenzen: Wird eine Einwilligung widerrufen, muss die Verarbeitung eingestellt werden, sofern keine andere Rechtsgrundlage greift. Bei Vertragserfüllung sind die Daten nach Vertragsende grundsätzlich zu löschen, sofern keine Aufbewahrungspflicht besteht. Das berechtigte Interesse erfordert eine dokumentierte Abwägung zwischen Unternehmensinteressen und Betroffenenrechten.
Die Rechtsgrundlage muss im Verarbeitungsverzeichnis festgehalten und betroffenen Personen in der Datenschutzerklärung transparent mitgeteilt werden. Bei besonders sensiblen Datenkategorien wie Gesundheitsdaten gelten zusätzlich die spezifischeren Anforderungen aus Artikel 9 DSGVO.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 12 Mitarbeiterinnen in Graz verarbeitet Kundendaten auf drei verschiedenen Rechtsgrundlagen: Die Stammdaten und Buchhaltungsunterlagen werden auf Basis der Vertragserfüllung verarbeitet, weil sie für die Erbringung der Beratungsleistung notwendig sind. Die Aufbewahrung der Unterlagen über sieben Jahre erfolgt aufgrund der rechtlichen Verpflichtung gemäß Bundesabgabenordnung. Für den monatlichen Newsletter benötigt die Kanzlei hingegen die ausdrückliche Einwilligung der Empfänger, da dieser nicht zur Vertragserfüllung erforderlich ist.