Die Marketingmitarbeiterin einer Werbeagentur mit zwölf Beschäftigten fragt den Datenschutzkoordinator: Der Agentur liegen Kontaktdaten von Interessenten vor, die auf einer Messe ihre Visitenkarte abgegeben haben. Jetzt sollen diese Personen per E-Mail einen monatlichen Newsletter erhalten. Darf die Agentur das?

Drei mögliche Antworten: Ja ohne Weiteres — Nein grundsätzlich nicht — Ja, aber nur unter bestimmten Voraussetzungen. Die Wahrheit ist die dritte. Und um sie zu ermitteln, braucht die Koordinatorin ein strukturiertes Prüfschema. Denn ohne gültige Rechtsgrundlage ist jede Verarbeitung personenbezogener Daten rechtswidrig — unabhängig davon, ob technisch alles reibungslos läuft und niemand klagt. Das ist der Kern des Erlaubnisvorbehalts in Art. 6 Abs. 1 DSGVO.

Kein Verarbeiten ohne Erlaubnis —
das Verbotsprinzip mit Erlaubnisvorbehalt

Erlaubnisvorbehalt bedeutet: Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, einer der abschließend geregelten Erlaubnistatbestände liegt vor. Vereinfacht gesagt: Nicht die Betroffene muss beweisen, dass die Verarbeitung falsch ist — der Verantwortliche muss beweisen, dass sie erlaubt ist.

Art. 6 Abs. 1 DSGVO nennt sechs Erlaubnistatbestände. Mindestens einer muss zutreffen, bevor die Verarbeitung beginnt. Wichtig: Eine Verarbeitung kann auf mehrere Rechtsgrundlagen gestützt werden — aber nur soweit jede Rechtsgrundlage den jeweiligen Verarbeitungszweck eigenständig trägt.

Konsequenz für die Praxis: Im Verarbeitungsverzeichnis (Art. 30 DSGVO) wird pro Verarbeitungstätigkeit und pro Zweck die zutreffende Rechtsgrundlage eingetragen. Wer diese Zuordnung nicht vornimmt, kann bei einer Aufsichtsbehörden-Prüfung nicht belegen, dass die Verarbeitung rechtmäßig ist.

Die sechs Rechtsgrundlagen (Art. 6) — kurz und präzise

Einwilligung (Art. 6 Abs. 1 lit. a) muss
vier Eigenschaften erfüllen

Einwilligung

ist die freiwillig, für einen bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person. Vereinfacht gesagt: Ein vorangehaktes Häkchen genügt nicht. Das Häkchen muss von der Person selbst gesetzt werden — aktiv, vor der Verarbeitung, nach verständlicher Information.

Vier Pflichtmerkmale nach Art. 7 DSGVO:

Freiwilligkeit

keine Kopplung an Vertragsschluss, wenn die Einwilligung für den Vertrag nicht erforderlich ist

Bestimmtheit

Zweck konkret benannt, nicht pauschal „zur Verbesserung unserer Dienste"

Information

Betroffene wissen, wofür sie einwilligen

Widerruflichkeit

Widerruf muss so einfach sein wie die Einwilligung, ohne Nachteile

Im Beschäftigungsverhältnis gilt ein besonderer Vorbehalt: Wegen des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Beschäftigten ist die Freiwilligkeit strukturell fraglich. Prüfung erforderlich, ob ein rechtlicher oder wirtschaftlicher Vorteil für den Beschäftigten die Freiwilligkeit absichert.

Für das Messe-Beispiel:

Visitenkarten-Übergabe ist keine Einwilligung zum Newsletter-Empfang. Die Agentur braucht eine separate, aktive Einwilligung — oder eine andere Rechtsgrundlage.

Vertrag (Art. 6 Abs. 1 lit. b) trägt nur das Notwendige

Verarbeitung ist erlaubt, wenn sie zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erforderlich ist. Vereinfacht gesagt: Was für die Vertragsabwicklung nötig ist — Name, Adresse, Bestellinformationen —, ist hier gedeckt. Was darüber hinausgeht — Geburtstag für einen Glückwunsch, Telefonnummer für Marketing —, braucht eine eigene Grundlage.

Typische Anwendungsfälle: Kundenstammdaten zur Auftragsabwicklung, Rechnungsstellung, Lieferantendaten, Bewerberdaten während des Bewerbungsverfahrens.

Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c) gilt zwingend

Die Verarbeitung ist erforderlich, um einer rechtlichen Verpflichtung nachzukommen. In KMU besonders relevant: handelsrechtliche und steuerrechtliche Aufbewahrungspflichten — Buchungsbelege und Rechnungen acht Jahre (seit 2025 durch das Bürokratieentlastungsgesetz IV von zehn auf acht verkürzt), Handelsbücher und Jahresabschlüsse zehn Jahre, Handelsbriefe und Lohnkonten sechs Jahre (§§ 238, 257 HGB, § 147 AO, § 41 EStG), Lohnabrechnung nach Sozialversicherungsrecht. Keine Einwilligung nötig — und auch nicht hilfreich, da die Pflicht besteht.

Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d) und öffentliches Interesse (lit. e) sind Nischen

Lebenswichtige Interessen greifen bei medizinischen Notfällen, wenn die betroffene Person nicht einwilligen kann. Öffentliches Interesse deckt Behördenaufgaben ab — für privatwirtschaftliche KMU in aller Regel nicht einschlägig. Beide Tatbestände spielen im KMU-Alltag eine Randrolle.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) braucht Abwägung

Die Verarbeitung ist zulässig, wenn ein berechtigtes Interesse des Verantwortlichen oder Dritter vorliegt — und die Interessen, Grundrechte oder Grundfreiheiten der betroffenen Person nicht überwiegen. Vereinfacht gesagt: Der Verantwortliche darf die Daten verwenden, wenn er ein legitimes Ziel hat — und die Betroffenen dafür keinen unverhältnismäßigen Preis zahlen.

Das ist die flexibelste Rechtsgrundlage — und die risikoreichste, weil sie Abwägungsarbeit erfordert. Erwägungsgrund 47 DSGVO nennt Direktmarketing ausdrücklich als mögliches berechtigtes Interesse. Das OLG Stuttgart hat bestätigt, dass postalische Briefwerbung an Bestandskunden auf dieser Grundlage zulässig sein kann — vorausgesetzt, die Interessenabwägung fällt zugunsten des Verantwortlichen aus und das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO wird gewährt (OLG Stuttgart, Beschl. v. 02.02.2024 — 2 U 63/22). Wichtig für die Praxis: Für E-Mail-Werbung gilt das gerade nicht — sie verlangt nach § 7 Abs. 2 UWG eine vorherige ausdrückliche Einwilligung; nur die enge Bestandskunden-Ausnahme des § 7 Abs. 3 UWG (eigene E-Mail-Adresse aus einem Verkauf, ähnliche Produkte, Hinweis auf Widerspruch) lässt sie ohne Einwilligung zu. Das Gericht betonte ausdrücklich, dass E-Mail-Werbung kein „milderes Mittel" gegenüber Briefwerbung ist.

Das Prüfschema: Fünf Schritte zur richtigen Rechtsgrundlage

Die Prüfung läuft in dieser Reihenfolge ab:

Schritt

Liegt eine Einwilligung vor? Wurde eine gültige Einwilligung erteilt (freiwillig, informiert, bestimmt, aktiv, widerrufbar, dokumentiert)? Wenn ja: Art. 6 Abs. 1 lit. a — fertig.

Schritt

Ist eine Vertragserfüllung betroffen? Ist die Verarbeitung für die Erfüllung oder Vorbereitung eines Vertrags mit der betroffenen Person erforderlich? Wenn ja: Art. 6 Abs. 1 lit. b — fertig.

Schritt

Besteht eine gesetzliche Pflicht? Schreibt ein Gesetz die Verarbeitung vor oder erlaubt sie ausdrücklich? Wenn ja: Art. 6 Abs. 1 lit. c — fertig.

Schritt

Liegt ein berechtigtes Interesse vor? Hat der Verantwortliche ein legitimes Interesse? Ist die Verarbeitung dafür erforderlich? Überwiegen die Interessen der Betroffenen nicht? Wenn alle drei Fragen mit Ja beantwortet werden können und das Ergebnis dokumentiert ist: Art. 6 Abs. 1 lit. f — fertig.

Schritt

Sind besondere Datenkategorien betroffen? Falls die Daten unter Art. 9 DSGVO fallen (Gesundheit, Religion, Gewerkschaft, Biometrie, ethnische Herkunft, politische Meinung, sexuelle Orientierung, genetische Daten): Zusatzprüfung nach dem Art.-9-Schema (siehe unten). Ohne passende Ausnahme: Verarbeitung unzulässig.

Entscheidungstabelle: Welche Rechtsgrundlage für welchen Fall?

Verarbeitungssituation	Rechtsgrundlage	Hinweis
Kunden-Adressdaten für Auftragsabwicklung	Art. 6 Abs. 1 lit. b	Nur erforderliche Daten
Rechnungen/Buchungsbelege 8 Jahre aufbewahren (seit 2025)	Art. 6 Abs. 1 lit. c	§ 147 AO / § 257 HGB, kein Opt-out möglich
Newsletter an Interessenten	Art. 6 Abs. 1 lit. a	Aktive Einwilligung nötig
Newsletter an Bestandskunden (ähnliche Produkte)	Art. 6 Abs. 1 lit. f	Interessenabwägung + Widerspruchsrecht und alle Voraussetzungen des § 7 Abs. 3 UWG (Adresse aus Verkauf, Widerspruchshinweis)
IT-Sicherheitslogs	Art. 6 Abs. 1 lit. f	Legitimes Interesse, Verhältnismäßigkeit prüfen
Gesundheitsdaten Arztpraxis	Art. 9 Abs. 2 lit. h	Gesundheitsversorgung + Schweigepflicht
Personalakte Angestellter	§ 26 BDSG	Gesetz ersetzt Einwilligung im Regelfall

Besondere Kategorien nach Art. 9 — ein eigenes Regime

Art. 9 sperrt zuerst —
und öffnet dann gezielt

Art. 9 Abs. 1 DSGVO stellt ein pauschales Verarbeitungsverbot auf für: Gesundheitsdaten, genetische Daten, biometrische Daten zur Identifizierung, rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit sowie Daten zum Sexualleben oder zur sexuellen Orientierung.

Vereinfacht gesagt: Diese Daten sind besonders sensibel, weil ihre Offenlegung besonders schwere Diskriminierungen, Eingriffe in die Privatsphäre oder Gefährdungen ermöglichen kann. Die DSGVO behandelt sie deshalb mit einem eigenständigen Schutzsystem.

Art. 9 Abs. 2 listet Ausnahmen —
zehn Tatbestände

Die Verarbeitung ist ausnahmsweise erlaubt, wenn:

Buchstabe	Tatbestand	KMU-Relevanz
a	Ausdrückliche Einwilligung	Hoch — aber strenger Standard als bei Art. 6
b	Arbeits-/Sozialrecht, Kollektivvereinbarungen	Hoch — z. B. Schwer-behindertenausweis, Krankheitsmeldung
c	Lebenswichtige Interessen (Person nicht einwilligungsfähig)	Gering
d	Vereins-/Glaubensgemeinschafts-Tätigkeiten	Mittel — z. B. Kirchengemeinden, Gewerkschaften
e	Offenkundig öffentlich gemachte Daten	Gering
f	Rechtsdurchsetzung	Mittel
g	Erhebliches öffentliches Interesse (Gesetz nötig)	Gering für Private
h	Gesundheitsfürsorge, medizinische Diagnostik	Hoch — Arztpraxen, Physiotherapie, Pflege
i	Öffentliches Gesundheitswesen	Gering für Private
j	Archive, Forschung, Statistik	Gering für Private

Für KMU in der Praxis:

Die häufigsten Tatbestände sind lit. b (Beschäftigtendaten mit Gesundheitsbezug), lit. h (Gesundheitsdienstleister) und lit. a (ausdrückliche Einwilligung, wenn keine andere Ausnahme greift). Lit. h erfordert zusätzlich, dass die Verarbeitung durch Personen mit Geheimhaltungspflicht erfolgt oder vergleichbare Schutzmaßnahmen vorliegen.

Einwilligung vs. berechtigtes Interesse — die wichtigste Abwägung in der Praxis

Einwilligung klingt sicher, ist aber anfällig

Die Einwilligung hat einen intuitiven Reiz: Mit ihr scheint alles abgedeckt. Das ist ein Trugschluss. Einwilligungen haben drei strukturelle Schwächen: Sie können jederzeit widerrufen werden — mit sofortiger Wirkung und ohne Begründung. Im Beschäftigungsverhältnis sind sie wegen des Machtgefälles strukturell verdächtig. Und bei der Messe-Visitenkarte: Eine Visitenkarte ist keine Einwilligung.

Das bedeutet: Einwilligung ist die richtige Grundlage, wenn sie wirklich freiwillig ist und der Verantwortliche mit einer jederzeitigen Rücknahme umgehen kann. Für Newsletter, optionale Profile, Cookies zu Marketingzwecken. Aber als allgemeine Absicherungsstrategie — „wir holen uns immer eine Einwilligung" — ist sie fehleranfällig.

Berechtigtes Interesse setzt Arbeit voraus — und gibt Stabilität

Das berechtigte Interesse ist robuster als eine Einwilligung, weil es nicht widerrufen werden kann. Dafür muss es verdient werden: Die Drei-Stufen-Prüfung ist Pflicht.

Drei-Stufen-Prüfung berechtigtes Interesse:

Legitimität

Ist das Interesse des Verantwortlichen legitim und rechtmäßig? Marketing, IT-Sicherheit, Betrugsprävention — grundsätzlich ja. Neugier oder Datenhortung — nein.

Erforderlichkeit

Ist die konkrete Verarbeitung zur Erreichung des Zwecks erforderlich? Gibt es ein milderes Mittel? Nur wer nach einem milderen Weg gesucht hat, kann Erforderlichkeit bejahen.

Interessenabwägung

Überwiegen die Schutzinteressen der betroffenen Personen? Faktoren: Art der Daten, Umfang der Verarbeitung, vernünftige Erwartungen der Betroffenen, mögliche Folgen, bestehende Garantien.

Das Ergebnis dieser Prüfung muss dokumentiert werden — schriftlich, nachvollziehbar, vor Beginn der Verarbeitung. Der EuGH hat in C-708/18 klargestellt, dass alle drei Stufen vollständig zu durchlaufen sind.

Das OLG Stuttgart hat bestätigt: Briefwerbung an Bestandskunden kann auf berechtigtem Interesse beruhen, wenn die Werbung produktbezogen ist, der Widerspruch einfach möglich ist und die Abwägung dokumentiert wurde. Für E-Mail-Werbung genügt das nicht: Hier verlangt § 7 Abs. 2 UWG die vorherige ausdrückliche Einwilligung; ohne sie hilft nur die enge Bestandskunden-Ausnahme des § 7 Abs. 3 UWG. Erst DSGVO-Abwägung und UWG-Konformität zusammen geben Rechtssicherheit.

Die Antwort auf das Messe-Beispiel

Zurück zur Werbeagentur. Die Interessenten, die auf der Messe eine Visitenkarte abgegeben haben, sind keine Bestandskunden. Visitenkarten-Übergabe ist keine Einwilligung zum Newsletter. Ein Vertragsverhältnis besteht nicht. Eine gesetzliche Pflicht fehlt. Bleibt das berechtigte Interesse — aber hier ist die vernünftige Erwartung der Person auf der Messe zu berücksichtigen: Wer seine Karte gibt, erwartet einen möglichen geschäftlichen Kontakt, keinen automatischen Newsletter. Die Abwägung würde zugunsten der Betroffenen ausfallen.

Das Ergebnis: Die Agentur braucht eine Einwilligung — aktiv, informiert, dokumentiert. Ohne sie darf der Newsletter nicht versandt werden. Eine einfache Lösung wäre: beim Erhalt der Karte (oder per Follow-up-E-Mail) eine klare Opt-In-Anfrage senden. Das ist der legale Weg.

Rechtsgrundlagen (Art. 6/9 DSGVO)