Wann darf ich Daten verarbeiten?

Keine Verarbeitung ohne Rechtsgrundlage. Artikel 6 der DSGVO nennt sechs, und in der Praxis zählen vier davon. Dieses Kapitel zeigt, welche wann greift — und warum die Einwilligung der unbequemste Weg ist.

Warum das wichtig ist

Die fehlende oder unzureichende Rechtsgrundlage ist der Verstoß im deutschen Datenschutzrecht: In 104 von 218 deutschen Bußgeldverfahren war genau das der Vorwurf, Art. 6 DSGVO wird in 89 Fällen zitiert (CMS GDPR Enforcement Tracker, abgerufen 11.10.2026).

Die Einwilligung wirkt wie der sichere Weg und ist der anfälligste: Sie muss freiwillig sein, lässt sich jederzeit widerrufen, und der Betrieb muss sie nachweisen können. Für alles, was der Betrieb wirklich braucht, ist eine andere Grundlage die bessere.

Was das Gesetz sagt

Art. 6 Abs. 1 DSGVO

„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist"

Art. 6 Abs. 1 lit. b DSGVO

„die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist … erforderlich"

Art. 7 Abs. 3 S. 1 DSGVO

„Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen."

So macht man es richtig

1. Vor der Verarbeitung die Grundlage bestimmen — nicht danach eine suchen.
2. Einwilligung nur dort, wo ein Nein wirklich keine Folgen hat.
3. Die gewählte Grundlage aufschreiben. Sie wird bei der ersten Anfrage gebraucht.

Stand: 11.10.2026