Jede Website, die personenbezogene Daten verarbeitet, benötigt dafür eine gültige Rechtsgrundlage nach Art. 6 DSGVO. Ohne eine solche Grundlage ist die Verarbeitung unzulässig. Die DSGVO benennt sechs mögliche Rechtsgrundlagen, von denen für Websites in der Praxis vor allem drei relevant sind: Einwilligung, berechtigtes Interesse und Vertragserfüllung. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um die korrekte Rechtsgrundlage für Websites.
Welche Rechtsgrundlagen erlaubt die DSGVO für Websites?
Die DSGVO erlaubt in Art. 6 Abs. 1 insgesamt sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Für Websites sind davon typischerweise drei besonders relevant: die Einwilligung (Art. 6 Abs. 1 lit. a), die Vertragserfüllung (Art. 6 Abs. 1 lit. b) und das berechtigte Interesse (Art. 6 Abs. 1 lit. f). Die übrigen drei Grundlagen betreffen eher behördliche oder gesetzlich geregelte Verarbeitungen.
Im Überblick lauten die sechs Rechtsgrundlagen nach Art. 6 DSGVO:
- Einwilligung (lit. a): Die betroffene Person hat ausdrücklich zugestimmt, z. B. durch Akzeptieren eines Cookie-Banners.
- Vertragserfüllung (lit. b): Die Verarbeitung ist notwendig, um einen Vertrag mit der Person zu erfüllen oder anzubahnen, z. B. bei Online-Bestellungen.
- Rechtliche Verpflichtung (lit. c): Eine gesetzliche Pflicht erfordert die Verarbeitung, z. B. steuerrechtliche Aufbewahrungspflichten.
- Lebenswichtige Interessen (lit. d): Verarbeitung zum Schutz lebenswichtiger Interessen einer Person, in der Praxis für Websites kaum relevant.
- Öffentliches Interesse (lit. e): Gilt vor allem für Behörden und öffentliche Stellen.
- Berechtigtes Interesse (lit. f): Die Verarbeitung liegt im berechtigten Interesse des Verantwortlichen oder eines Dritten, sofern die Interessen der betroffenen Person nicht überwiegen.
Wichtig: Für jeden einzelnen Verarbeitungsvorgang auf Ihrer Website muss eine eigene Rechtsgrundlage identifiziert und dokumentiert werden. Eine pauschale Begründung für alle Datenverarbeitungen reicht nicht aus.
Wann reicht eine Einwilligung als Rechtsgrundlage aus?
Die Einwilligung ist die richtige Rechtsgrundlage, wenn keine andere Grundlage greift und Sie die betroffene Person aktiv um Zustimmung bitten können. Sie ist zwingend erforderlich für nicht notwendige Cookies, Tracking-Tools, Werbemaßnahmen und externe Dienste, die Daten in unsichere Drittstaaten übertragen. Eine Einwilligung muss freiwillig, informiert, spezifisch und eindeutig sein.
Konkret bedeutet das für Websites:
- Analyse- und Tracking-Cookies (z. B. Google Analytics) benötigen stets eine Einwilligung, bevor sie gesetzt werden.
- Werbedienste und Retargeting-Pixel dürfen erst nach aktiver Zustimmung aktiv werden.
- Dienste von Anbietern mit Sitz in unsicheren Drittstaaten, die keine ausreichenden Garantien bieten, erfordern ebenfalls eine Einwilligung.
- Ein vorab angekreuztes Kästchen oder ein reines Informationsbanner genügt nicht als wirksame Einwilligung.
Ein häufiger Fehler: Viele Website-Betreiber setzen Cookies und laden externe Dienste, bevor der Nutzer eine Auswahl im Cookie-Banner getroffen hat. Dieses Vorgehen ist nach der Rechtsprechung des Europäischen Gerichtshofs und der deutschen Aufsichtsbehörden nicht zulässig. Die Einwilligung muss vor der Datenverarbeitung vorliegen, nicht danach.
Was gilt als berechtigtes Interesse bei der Website-Nutzung?
Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO erlaubt die Datenverarbeitung, wenn ein legitimes Interesse des Verantwortlichen vorliegt, dieses Interesse die Grundrechte der betroffenen Person nicht überwiegt und die Verarbeitung für den Zweck erforderlich ist. Für Websites kommt diese Grundlage etwa für Sicherheitsmaßnahmen, technisch notwendige Funktionen oder bestimmte externe Inhalte in Betracht.
Typische Anwendungsfälle auf Websites, bei denen ein berechtigtes Interesse in Betracht kommt:
- Einbindung von Schriftarten oder Inhalten, die ausschließlich der Darstellung dienen und keine eigenständige Datennutzung durch den Anbieter begründen
- Serverseitige Protokollierung von IP-Adressen zur Abwehr von Angriffen oder zur Fehleranalyse
- Kontaktformulare, bei denen eine Vertragsanbahnung plausibel ist
- Einbindung externer Inhalte wie Karten oder Videos, sofern diese nicht für Werbezwecke genutzt werden
Entscheidend ist jedoch: Das berechtigte Interesse ist keine Auffanglösung für alle Fälle, in denen eine Einwilligung unbequem wäre. Vor der Nutzung dieser Grundlage ist eine sogenannte Interessenabwägung durchzuführen und zu dokumentieren. Setzt ein Dienst trotz berechtigten Interesses nicht notwendige Cookies, kann die Einwilligung dennoch erforderlich werden, da für Cookies das TTDSG als nationales Recht gilt und dort kein Konzept des berechtigten Interesses existiert.
Wie wird die Rechtsgrundlage in der Datenschutzerklärung angegeben?
In der Datenschutzerklärung muss für jede Verarbeitungstätigkeit die zugrunde liegende Rechtsgrundlage transparent und verständlich angegeben werden. Das ist keine optionale Ergänzung, sondern eine Pflichtinformation nach Art. 13 und Art. 14 DSGVO. Betroffene müssen nachvollziehen können, auf welcher Basis ihre Daten verarbeitet werden.
In der Praxis bedeutet das konkret:
- Nennen Sie für jeden externen Dienst und jede Verarbeitungskategorie die zutreffende Rechtsgrundlage, z. B. „Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)“ oder „Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)“.
- Beschreiben Sie den Verarbeitungszweck so konkret, dass Nutzer ihn verstehen können, ohne juristische Vorkenntnisse zu benötigen.
- Aktualisieren Sie die Datenschutzerklärung, sobald neue Dienste eingebunden oder bestehende geändert werden.
- Stellen Sie sicher, dass die in der Erklärung genannte Rechtsgrundlage mit der tatsächlichen Praxis übereinstimmt.
Eine veraltete oder unvollständige Datenschutzerklärung ist einer der häufigsten Kritikpunkte bei Prüfungen durch Aufsichtsbehörden. Mit einem Datenschutzgenerator für Websites lässt sich sicherstellen, dass erkannte externe Dienste direkt in den Datenschutztext einfließen können.
Was passiert, wenn eine Website keine gültige Rechtsgrundlage nachweisen kann?
Fehlt eine gültige Rechtsgrundlage für eine Datenverarbeitung, ist diese nach der DSGVO unzulässig. Aufsichtsbehörden können Verarbeitungen untersagen, Abhilfemaßnahmen anordnen und Bußgelder verhängen. Darüber hinaus können Betroffene Beschwerden einreichen und unter Umständen Schadensersatzansprüche geltend machen. Das Risiko betrifft nicht nur große Unternehmen, sondern grundsätzlich jeden Website-Betreiber.
In der Praxis ergeben sich folgende Konsequenzen:
- Behördliche Prüfungen: Datenschutzbehörden können auf Basis von Beschwerden oder eigener Initiative tätig werden und die Verarbeitungspraxis untersuchen.
- Abmahnungen: Wettbewerber oder Verbände können bei datenschutzrechtlichen Verstößen unter bestimmten Voraussetzungen abmahnen.
- Reputationsschäden: Öffentlich bekannte Datenschutzverstöße können das Vertrauen von Kunden und Partnern nachhaltig beschädigen.
- Betroffenenrechte: Personen, deren Daten ohne Rechtsgrundlage verarbeitet wurden, können Löschung, Auskunft und unter Umständen Schadensersatz verlangen.
Besonders problematisch ist es, wenn Tracking-Dienste oder Werbecookies ohne Einwilligung geladen werden, da dies in der Rechtsprechung wiederholt als klarer Verstoß eingestuft wurde. Ein automatisierter DSGVO-Website-Check kann helfen, solche Schwachstellen frühzeitig zu identifizieren.
Wie lässt sich die korrekte Rechtsgrundlage für jede Verarbeitung ermitteln?
Die korrekte Rechtsgrundlage lässt sich ermitteln, indem Sie für jede Verarbeitungstätigkeit systematisch drei Fragen beantworten: Was wird verarbeitet? Zu welchem Zweck? Und welche der sechs Grundlagen aus Art. 6 DSGVO passt am besten zu diesem Zweck? Dieses Vorgehen sollte dokumentiert und regelmäßig überprüft werden.
Eine bewährte Vorgehensweise für Website-Betreiber:
- Alle Verarbeitungen erfassen: Identifizieren Sie sämtliche Stellen, an denen Ihre Website personenbezogene Daten erhebt oder weitergibt, einschließlich eingebundener externer Dienste, Cookies und Formulare.
- Zweck klären: Bestimmen Sie für jede Verarbeitung den konkreten Zweck, z. B. Webanalyse, Kontaktaufnahme, Zahlungsabwicklung oder Sicherheit.
- Rechtsgrundlage zuordnen: Wählen Sie die passende Grundlage aus Art. 6 DSGVO. Für Werbung und nicht notwendige Cookies ist das in aller Regel die Einwilligung, für technisch notwendige Funktionen kann das berechtigte Interesse oder die Vertragserfüllung greifen.
- Interessenabwägung dokumentieren: Wenn Sie berechtigtes Interesse nutzen möchten, führen Sie eine nachvollziehbare Abwägung durch und halten Sie das Ergebnis schriftlich fest.
- Regelmäßig überprüfen: Websites ändern sich, neue Dienste kommen hinzu. Überprüfen Sie die Rechtsgrundlagen mindestens einmal jährlich oder bei wesentlichen Änderungen.
Für viele Dienste ist die Zuordnung nicht trivial. Ob beispielsweise ein Analyse-Tool ohne Cookies einwilligungsfrei betrieben werden kann, hängt von der konkreten technischen Umsetzung ab. Hier empfiehlt sich im Zweifel die Rücksprache mit einem qualifizierten Datenschutzbeauftragten oder einer Rechtsanwaltskanzlei.
Wie decareto Sie bei der Rechtsgrundlagenprüfung unterstützt
Die manuelle Prüfung jedes einzelnen Dienstes und Cookies auf einer Website ist zeitaufwendig und fehleranfällig, besonders wenn mehrere Websites zu betreuen sind. Hier setzt decareto an. Unsere SaaS-Plattform scannt Websites automatisiert und ordnet jedem erkannten externen Dienst auf Basis von Art. 6 DSGVO eine Rechtsgrundlage zu. So erhalten Sie strukturierte, priorisierte Ergebnisse, ohne jeden Dienst manuell recherchieren zu müssen.
Was decareto konkret leistet:
- Automatische Erkennung externer Dienste und Cookies sowie Zuordnung der passenden Rechtsgrundlage gemäß Art. 6 DSGVO
- Warnungen im Report, wenn Dienste oder Cookies ohne die erforderliche Einwilligung geladen werden
- Bewertung von Drittstaatentransfers und Hinweis auf fehlende Garantien wie das EU-US Data Privacy Framework
- Möglichkeit, Rechtsgrundlagen im Report manuell anzupassen, wenn Ihre rechtliche Einschätzung abweicht
- Dauerhaftes Monitoring mit automatischen Benachrichtigungen bei Änderungen auf der Website
- Direktes Einfügen erkannter Dienste in die Datenschutzerklärung über den integrierten Datenschutzgenerator
decareto ersetzt keine rechtliche Beratung und trifft keine abschließenden rechtlichen Urteile, unterstützt Datenschutzbeauftragte, Kanzleien und Compliance-Teams aber dabei, Schwachstellen schnell zu identifizieren und strukturiert zu dokumentieren. Testen Sie jetzt, wie Ihre Website abschneidet, und registrieren Sie sich kostenlos.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Welche Barrierefreiheitsanforderungen gelten für Fehlerhinweise in Formularen?
- Welche Datenschutzschwachstellen entstehen durch ungesicherte Subdomains und Testumgebungen?
- Welche Datenschutzlücken entstehen durch veraltete Blog-Beiträge mit alten Tracking-Skripten?
- Was sind häufige WCAG-Fehler bei Tabellen auf Websites?
- Wie liest man einen DSGVO-Audit-Report richtig und was bedeuten die Risikostufen?
