Jede Website, die personenbezogene Daten verarbeitet, ben\u00f6tigt daf\u00fcr eine g\u00fcltige Rechtsgrundlage nach Art. 6 DSGVO. Ohne eine solche Grundlage ist die Verarbeitung unzul\u00e4ssig. Die DSGVO benennt sechs m\u00f6gliche Rechtsgrundlagen, von denen f\u00fcr Websites in der Praxis vor allem drei relevant sind: Einwilligung, berechtigtes Interesse und Vertragserf\u00fcllung. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um die korrekte Rechtsgrundlage f\u00fcr Websites.<\/p>\n\n\n\n
Die DSGVO erlaubt in Art. 6 Abs. 1 insgesamt sechs Rechtsgrundlagen f\u00fcr die Verarbeitung personenbezogener Daten. F\u00fcr Websites sind davon typischerweise drei besonders relevant: die Einwilligung (Art. 6 Abs. 1 lit. a), die Vertragserf\u00fcllung (Art. 6 Abs. 1 lit. b) und das berechtigte Interesse (Art. 6 Abs. 1 lit. f). Die \u00fcbrigen drei Grundlagen betreffen eher beh\u00f6rdliche oder gesetzlich geregelte Verarbeitungen.<\/p>\n\n\n\n
Im \u00dcberblick lauten die sechs Rechtsgrundlagen nach Art. 6 DSGVO:<\/p>\n\n\n\n
Wichtig: F\u00fcr jeden einzelnen Verarbeitungsvorgang auf Ihrer Website muss eine eigene Rechtsgrundlage identifiziert und dokumentiert werden. Eine pauschale Begr\u00fcndung f\u00fcr alle Datenverarbeitungen reicht nicht aus.<\/p>\n\n\n\n
Die Einwilligung ist die richtige Rechtsgrundlage, wenn keine andere Grundlage greift und Sie die betroffene Person aktiv um Zustimmung bitten k\u00f6nnen. Sie ist zwingend erforderlich f\u00fcr nicht notwendige Cookies, Tracking-Tools, Werbema\u00dfnahmen und externe Dienste, die Daten in unsichere Drittstaaten \u00fcbertragen. Eine Einwilligung muss freiwillig, informiert, spezifisch und eindeutig sein.<\/p>\n\n\n\n
Konkret bedeutet das f\u00fcr Websites:<\/p>\n\n\n\n
Ein h\u00e4ufiger Fehler: Viele Website-Betreiber setzen Cookies und laden externe Dienste, bevor der Nutzer eine Auswahl im Cookie-Banner getroffen hat. Dieses Vorgehen ist nach der Rechtsprechung des Europ\u00e4ischen Gerichtshofs und der deutschen Aufsichtsbeh\u00f6rden nicht zul\u00e4ssig. Die Einwilligung muss vor der Datenverarbeitung vorliegen, nicht danach.<\/p>\n\n\n\n
Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO erlaubt die Datenverarbeitung, wenn ein legitimes Interesse des Verantwortlichen vorliegt, dieses Interesse die Grundrechte der betroffenen Person nicht \u00fcberwiegt und die Verarbeitung f\u00fcr den Zweck erforderlich ist. F\u00fcr Websites kommt diese Grundlage etwa f\u00fcr Sicherheitsma\u00dfnahmen, technisch notwendige Funktionen oder bestimmte externe Inhalte in Betracht.<\/p>\n\n\n\n
Typische Anwendungsf\u00e4lle auf Websites, bei denen ein berechtigtes Interesse in Betracht kommt:<\/p>\n\n\n\n
Entscheidend ist jedoch: Das berechtigte Interesse ist keine Auffangl\u00f6sung f\u00fcr alle F\u00e4lle, in denen eine Einwilligung unbequem w\u00e4re. Vor der Nutzung dieser Grundlage ist eine sogenannte Interessenabw\u00e4gung durchzuf\u00fchren und zu dokumentieren. Setzt ein Dienst trotz berechtigten Interesses nicht notwendige Cookies, kann die Einwilligung dennoch erforderlich werden, da f\u00fcr Cookies das TTDSG als nationales Recht gilt und dort kein Konzept des berechtigten Interesses existiert.<\/p>\n\n\n\n
In der Datenschutzerkl\u00e4rung muss f\u00fcr jede Verarbeitungst\u00e4tigkeit die zugrunde liegende Rechtsgrundlage transparent und verst\u00e4ndlich angegeben werden. Das ist keine optionale Erg\u00e4nzung, sondern eine Pflichtinformation nach Art. 13 und Art. 14 DSGVO. Betroffene m\u00fcssen nachvollziehen k\u00f6nnen, auf welcher Basis ihre Daten verarbeitet werden.<\/p>\n\n\n\n
In der Praxis bedeutet das konkret:<\/p>\n\n\n\n
Eine veraltete oder unvollst\u00e4ndige Datenschutzerkl\u00e4rung ist einer der h\u00e4ufigsten Kritikpunkte bei Pr\u00fcfungen durch Aufsichtsbeh\u00f6rden. Mit einem Datenschutzgenerator f\u00fcr Websites<\/a> l\u00e4sst sich sicherstellen, dass erkannte externe Dienste direkt in den Datenschutztext einflie\u00dfen k\u00f6nnen.<\/p>\n\n\n\n Fehlt eine g\u00fcltige Rechtsgrundlage f\u00fcr eine Datenverarbeitung, ist diese nach der DSGVO unzul\u00e4ssig. Aufsichtsbeh\u00f6rden k\u00f6nnen Verarbeitungen untersagen, Abhilfema\u00dfnahmen anordnen und Bu\u00dfgelder verh\u00e4ngen. Dar\u00fcber hinaus k\u00f6nnen Betroffene Beschwerden einreichen und unter Umst\u00e4nden Schadensersatzanspr\u00fcche geltend machen. Das Risiko betrifft nicht nur gro\u00dfe Unternehmen, sondern grunds\u00e4tzlich jeden Website-Betreiber.<\/p>\n\n\n\n In der Praxis ergeben sich folgende Konsequenzen:<\/p>\n\n\n\nWas passiert, wenn eine Website keine g\u00fcltige Rechtsgrundlage nachweisen kann?<\/h2>\n\n\n\n
\n