Ein praktischer Leitfaden zu GDPR Rechtsgrundlagen erklärt

Rechtmäßig ist eine Verarbeitung nur mit passender Grundlage, und genau deshalb werden hier die sechs GDPR Rechtsgrundlagen erklärt, jeweils mit Analytics-Bezug.

Gemäß GDPR ist die Verarbeitung personenbezogener Daten nur dann rechtmäßig, wenn mindestens eine Rechtsgrundlage zutrifft. Die sechs Rechtsgrundlagen sind in GDPR Artikel 6 aufgeführt: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen.

Die Wahl einer Rechtsgrundlage ist kein Papierkram. Es betrifft Transparenzformulierungen, Nutzerrechte, Widerrufsmöglichkeiten, Widerspruchsrechte und ob die Verarbeitung überhaupt vertretbar ist.

1. Einwilligung

Eine Einwilligung liegt dann vor, wenn eine Person freiwillig eine konkrete, informierte und eindeutige Einwilligungserklärung abgibt. Es muss genauso einfach sein, sich zurückzuziehen wie zu geben. Vorab angekreuzte Kästchen, Schweigen, Inaktivität und gebündelte Einwilligung funktionieren nicht.

Nutzen Sie die Einwilligung, wenn Menschen eine echte Wahl haben, z. B. optionale Marketing-E-Mails oder nicht unbedingt erforderliche Cookies. Nutzen Sie die Einwilligung nicht, wenn die Person keine praktische Alternative hat, z. B. wenn ein Mitarbeiter gebeten wird, einer Kernverarbeitung im Personalwesen zuzustimmen.

Bedenken Sie bei Cookies und Tracking, dass möglicherweise bereits vor der Analyse der Rechtsgrundlagen eine Einwilligung zu ePrivacy erforderlich sein kann. Wenn Analyse-Cookies optional sind, benötigen sie in Europa im Allgemeinen eine vorherige Zustimmung, es sei denn, es gilt eine enge Ausnahmeregelung.

2. Vertrag

„Vertrag“ liegt vor, wenn die Verarbeitung erforderlich ist, um einen Vertrag mit der Person zu erfüllen oder vor Vertragsabschluss gewünschte Maßnahmen zu ergreifen.

Beispiele:

• Verarbeitung einer Lieferadresse zur Lieferung einer Bestellung.
• Erstellen eines Kontos, damit ein Benutzer auf einen kostenpflichtigen Dienst zugreifen kann.
• Verarbeitung der Zahlungsdetails für ein Abonnement.

Nicht erfasst sind Verarbeitungen, die lediglich dem Unternehmen dienen. Für die Bereitstellung eines SaaS-Kontos ist verhaltensbasierte Werbung nicht erforderlich. Produktanalysen können den Service unterstützen, erfordern jedoch in der Regel eine separate Analyse.

3. Gesetzliche Verpflichtung

Eine rechtliche Verpflichtung besteht, wenn EU oder das Recht eines Mitgliedsstaats die Verarbeitung erfordert. Beispiele hierfür sind Steuerunterlagen, arbeitsrechtliche Verpflichtungen, Buchhaltung, Sanktionsprüfung in manchen Zusammenhängen oder die Beantwortung rechtmäßiger behördlicher Anfragen.

Die Verpflichtung muss sich aus einem Gesetz ergeben, nicht aus einem Vertrag oder einer internen Richtlinie. Wenn in einem Anbietervertrag festgelegt ist, dass Sie bestimmte Marketingdaten erfassen müssen, ist dies keine GDPR rechtliche Verpflichtung.

4. Lebenswichtige Interessen

Lebenswichtige Interessen liegen dann vor, wenn die Verarbeitung zum Schutz des Lebens einer Person erforderlich ist. Es ist eng und im normalen Geschäftsbetrieb selten.

Beispiele könnten medizinische Notfallinformationen oder Krisenreaktionen sein. Für Website-Analysen, Marketing oder SaaS-Onboarding ist es normalerweise nicht relevant.

5. Öffentliche Aufgabe

Eine öffentliche Aufgabe liegt dann vor, wenn die Verarbeitung für eine Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder im Rahmen öffentlicher Gewalt erfolgt. Es wird hauptsächlich von öffentlichen Stellen oder privaten Organisationen genutzt, die gesetzlich offizielle Aufgaben wahrnehmen.

Die meisten privaten Unternehmen können öffentliche Aufgaben nicht für die routinemäßige kommerzielle Abwicklung nutzen.

6. Berechtigte Interessen

Berechtigte Interessen können vorliegen, wenn der Verantwortliche oder ein Dritter ein berechtigtes Interesse hat, die Verarbeitung für dieses Interesse erforderlich ist und die Rechte und Freiheiten der Person nicht Vorrang haben.

Hierzu ist ein Abgleichtest erforderlich. Bei einer typischen Beurteilung berechtigter Interessen wird Folgendes gefragt:

1. Was ist das berechtigte Interesse?
2. Ist die Verarbeitung für dieses Interesse erforderlich?
3. Welche Auswirkungen hat es auf den Einzelnen?
4. Welche Schutzmaßnahmen verringern diese Auswirkungen?
5. Kann man mit dieser Verarbeitung vernünftigerweise rechnen?
6. Können sie leicht Einwände erheben?

Mögliche Beispiele sind Betrugsprävention, Netzwerksicherheit, grundlegende B2B-Prospekte oder in manchen Kontexten eingeschränkte First-Party-Analysen. Aber berechtigte Interessen sind kein Zauberwort für die Nachverfolgung. Cross-Site-Werbung, invasives Profiling, sensible Schlussfolgerungen und unerwarteter Datenaustausch sind viel schwieriger zu rechtfertigen.

Rechtsgrundlagen und individuelle Rechte

Die Rechtsgrundlage ändert die verfügbaren Rechte:

Sie müssen den Menschen in Ihrer Datenschutzerklärung die Rechtsgrundlage mitteilen.

Analytics-Beispiele

Cookie-basiert Google Analytics

Ein typisches GA4-Web-Setup verwendet Cookies, um Benutzer und Sitzungen zu unterscheiden, wie Google in seiner GA4-Cookie-Dokumentation erklärt. In Europa wirft dies in der Regel Fragen zur ePrivacy-Einwilligung auf, bevor das Analyse-Cookie gesetzt wird. Die Rechtsgrundlage hängt dann vom Verarbeitungsdesign, den Bedingungen des Anbieters, den Übermittlungen und davon ab, ob Werbefunktionen aktiviert sind.

Cookielose aggregierte Analyse

Ein Cookie-freies Tool, das Kennungen, IP-Speicherung, Fingerabdrücke, Wiederverwendung von Werbung und Nutzdaten für persönliche Ereignisse vermeidet, reduziert oder vermeidet je nach Implementierung die Verarbeitung personenbezogener Daten. Selbst dann sollte die Organisation den Zweck, die Datenkategorien, die Aufbewahrung und die Rolle des Anbieters dokumentieren.

Produktanalyse innerhalb eines Kontos

Authentifizierte Produktanalysen verarbeiten personenbezogene Daten auf Kontoebene. Der Vertrag kann Ereignisse abdecken, die zur Erbringung der Dienstleistung erforderlich sind, während berechtigte Interessen die Sicherheit oder Produktverbesserung umfassen können. Für sensible oder optionale Verwendungen ist eine Einwilligung oder eine andere Grundlage erforderlich.

Häufige Fehler

• Die Zustimmung wählen, weil sie am sichersten klingt, und dann den Dienst unbrauchbar machen, wenn die Zustimmung verweigert wird.
• Verwendung eines Vertrags zur Verarbeitung, der ausschließlich dem Marketing dient.
• Geltendmachung berechtigter Interessen ohne Abwägung.
• Vergessen Sie die ePrivacy-Regeln für Cookies und Gerätespeicherung.
• Zweckänderung nachträglich ohne erneute Prüfung der Kompatibilität.
• Die Datenschutzerklärung wird nicht aktualisiert, wenn sich Tools ändern.

Die richtige Rechtsgrundlage ist diejenige, die ehrlich zur Verarbeitung passt. Wenn keine Grundlage passt, ist die Antwort keine kreative Formulierung. Die Antwort besteht darin, die Verarbeitung zu stoppen oder neu zu gestalten.

Dokumentieren Sie die Wahl

Notieren Sie für jeden Verarbeitungszweck die gewählte Grundlage und einen Satz, in dem erläutert wird, warum sie passt. Dies ist besonders wichtig für Analyse-, Marketing- und KI-Funktionen, bei denen Teams Annahmen von alten Tools übernehmen. Eine kurze Aufzeichnung ist einfacher zu pflegen als eine lange Notiz, die niemand aktualisiert.

Checkliste für Aufzeichnungen auf rechtlicher Grundlage

Notieren Sie für jeden Analysezweck die Rechtsgrundlage und warum sie passt: Die Messung der Zielgruppen auf öffentlichen Websites, Marketingpixel, Produkttelemetrie, Betrugsprävention, Kontoanalysen und Supportdiagnosen erfordern jeweils eine andere Analyse. Verwenden Sie nicht eine Basis für den gesamten Stapel wieder.

Überprüfen Sie außerdem die ePrivacy-Regeln, bevor Tags ausgeführt werden. Selbst wenn GDPR legitime Interessen für begrenzte Analysen, Gerätespeicher, Cookies, Pixel, SDKs oder ähnliche Zugriffe geltend gemacht werden können, ist möglicherweise dennoch eine Einwilligung erforderlich, es sei denn, in der jeweiligen Gerichtsbarkeit gilt eine enge Ausnahmeregelung.

Häufig gestellte Fragen

Kann eine berechtigte Interessenabwägung die Einwilligung für Website-Cookies ersetzen?

Berechtigte Interessen können manche Verarbeitung stützen, aber die ePrivacy-Regeln stehen neben der DSGVO und verlangen meist eine Einwilligung, bevor ein optionales Cookie gesetzt wird. Eine enge Ausnahme gilt für unbedingt erforderliche Cookies, Analyse- und Werbe-Cookies fallen aber selten darunter. Klären Sie zuerst die ePrivacy-Frage, dann die DSGVO-Grundlage für das, was danach folgt.

Was passiert, wenn keine der sechs Rechtsgrundlagen passt?

Die Verarbeitung muss gestoppt oder neu gestaltet werden. Eine sorgfältige Formulierung in der Datenschutzerklärung schafft keine Rechtsgrundlage, die es nie gab.

Kann ein Arbeitgeber Einwilligung für die Kernverarbeitung von Personaldaten nutzen?

Selten, denn ein Mitarbeiter, der zur Einwilligung in die Kernverarbeitung von Personalprozessen aufgefordert wird, hat keine echte Alternative. Die DSGVO wertet das nicht als freie Entscheidung, deshalb stützen sich Arbeitgeber meist auf Vertrag oder gesetzliche Verpflichtung.

Deckt der Vertrag verhaltensbasierte Werbung innerhalb eines SaaS-Produkts ab?

Nein, denn verhaltensbasierte Werbung ist nicht notwendig, um den bezahlten Zugang zu liefern. Vertrag deckt nur ab, was zur Erfüllung der Vereinbarung nötig ist, etwa den Versand einer Bestellung oder den Zugang zu einem bezahlten Dienst, Werbung braucht eine eigene Grundlage wie Einwilligung oder berechtigte Interessen.

Sind berechtigte Interessen eine sichere Standardgrundlage für Tracking?

Berechtigte Interessen sind keine Abkürzung für Tracking. Cross-Site-Werbung, invasives Profiling, sensible Schlussfolgerungen und unerwartete Datenweitergabe sind in der Abwägung schwer zu rechtfertigen, jede davon braucht eine dokumentierte Prüfung von Notwendigkeit, Auswirkung und Schutzmaßnahmen.

Was prüft eine Interessenabwägung genau?

Eine Interessenabwägung fragt, ob das Interesse real ist und ob die Verarbeitung dafür notwendig ist. Sie wägt außerdem die Auswirkungen auf Betroffene und die Frage ab, ob diese die Verarbeitung vernünftigerweise erwarten oder ihr leicht widersprechen können. Betrugsprävention, Netzwerksicherheit und einfaches B2B-Prospecting können diese Prüfung bestehen, aber nur mit durchgeführter und dokumentierter Abwägung.

Kann ein privates Unternehmen sich auf die öffentliche Aufgabe berufen?

Die meisten privaten Unternehmen können öffentliche Aufgabe nicht für die übliche kommerzielle Verarbeitung nutzen, da sie für Stellen gedacht ist, die amtliche Funktionen nach Gesetz ausüben. Ein privates Unternehmen, das Bestellungen oder Abonnements verarbeitet, sollte stattdessen Vertrag oder berechtigte Interessen prüfen.

Wie verändert die Rechtsgrundlage, was in einer Datenschutzerklärung stehen muss?

Die Datenschutzerklärung muss die Rechtsgrundlage für jeden Zweck nennen, und diese Grundlage bestimmt, welche Rechte beschrieben werden. Einwilligung braucht eine Widerrufsmöglichkeit, berechtigte Interessen brauchen ein Widerspruchsrecht, gesetzliche Verpflichtung braucht eine Erklärung zu Aufbewahrungsgrenzen.

Entfällt durch cookielose Analyse die Notwendigkeit einer DSGVO-Prüfung?

Nicht automatisch. Ein cookieloses Tool, das Identifikatoren, IP-Speicherung, Fingerprinting und persönliche Ereignisdaten vermeidet, verringert oder vermeidet je nach Umsetzung die Verarbeitung personenbezogener Daten, die Organisation muss aber weiterhin Zweck, Datenkategorien, Aufbewahrung und Rolle des Anbieters dokumentieren.

Warum kann nicht eine Rechtsgrundlage den gesamten Analytics-Stack abdecken?

Weil verschiedene Analytics-Zwecke unterschiedliche Risiken und Erwartungen mit sich bringen. Öffentliche Reichweitenmessung der Website, Marketing-Pixel, Produkt-Telemetrie, Betrugsprävention, Konto-Analyse und Support-Diagnose brauchen jeweils eine eigene Prüfung, eine einzige Grundlage für alles überspringt die Prüfung, die jeder Zweck eigentlich braucht.