DSGVO Art. 6
Artikel 6 DSGVO listet die sechs Rechtsgrundlagen, auf die jede Datenverarbeitung gestützt werden muss.
Aktualisiert: 23. Februar 2026
Was ist DSGVO Art. 6?
Artikel 6 der DSGVO legt die abschließende Liste der Rechtsgrundlagen fest, auf die eine Verarbeitung personenbezogener Daten gestützt werden kann. Ohne eine dieser Grundlagen ist jede Datenverarbeitung verboten. Der Artikel ist das Herzstück des europäischen Datenschutzrechts: Er beantwortet die Frage „Darf ich diese Daten überhaupt verarbeiten?" — bevor alle weiteren Fragen zum Wie, Wie lange und Mit wem relevant werden.
- Art. 6 Abs. 1 lit. a — Einwilligung der betroffenen Person
- Art. 6 Abs. 1 lit. b — Vertragserfüllung oder vorvertragliche Maßnahmen
- Art. 6 Abs. 1 lit. c — Erfüllung einer rechtlichen Verpflichtung
- Art. 6 Abs. 1 lit. d — Schutz lebenswichtiger Interessen
- Art. 6 Abs. 1 lit. e — Wahrnehmung einer Aufgabe im öffentlichen Interesse
- Art. 6 Abs. 1 lit. f — Berechtigte Interessen des Verantwortlichen
Die sechs Rechtsgrundlagen im Detail
Lit. a — Einwilligung: Die betroffene Person muss freiwillig, informiert, unmissverständlich und für einen bestimmten Zweck eingewilligt haben. Die Einwilligung muss jederzeit widerrufbar sein, und der Widerruf darf nicht nachteilig sein. Vorangehakte Kästchen oder „Inaktivitäts-Einwilligungen" sind unwirksam. Typische Anwendungsfälle: Newsletter-Anmeldung, nicht notwendige Cookies (Analytics, Marketing), Profiling.
Lit. b — Vertragserfüllung: Die Verarbeitung ist zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich. Typisch: Lieferadresse für einen Online-Kauf, Kontoname für einen Dienst, der eine Registrierung erfordert. Wichtig: „Erforderlich" ist eng auszulegen. Daten, die nur nützlich oder wünschenswert sind, fallen nicht darunter.
Lit. c — Rechtliche Verpflichtung: Der Verantwortliche ist nach nationalem oder EU-Recht zur Verarbeitung verpflichtet. Beispiele: Steuerrechtliche Aufbewahrungspflichten, Identifikationspflichten nach Geldwäschegesetz.
Lit. d — Lebenswichtige Interessen: Greift in Ausnahmesituationen, in denen Leben oder körperliche Unversehrtheit auf dem Spiel stehen. Im Web-Kontext kaum relevant.
Lit. e — Öffentliches Interesse: Für Behörden und öffentliche Stellen. Für private Webseitenbetreiber in der Regel nicht anwendbar.
Lit. f — Berechtigte Interessen: Die flexibelste Grundlage — und die am häufigsten missbrauchte. Sie verlangt eine dreiteilige Prüfung: (1) Der Verantwortliche verfolgt ein legitimes Interesse. (2) Die Verarbeitung ist zur Erreichung dieses Interesses erforderlich. (3) Die Interessen oder Grundrechte der betroffenen Person überwiegen nicht (Interessenabwägung). Typische valide Fälle: IT-Sicherheitsmaßnahmen, betrugsverhindernde Maßnahmen, Direktmarketing an bestehende Kunden (unter Einschränkungen). Nicht möglich: Tracking ohne Einwilligung als „berechtigtes Interesse" durchzusetzen — das sehen viele Aufsichtsbehörden nach dem EuGH-Urteil zu IAB TCF als unzulässig.
Art. 6 für WordPress-Webseitenbetreiber
Jede Datenverarbeitung auf einer WordPress-Site benötigt eine Grundlage aus Art. 6. Für typische Fälle:
| Verarbeitung | Übliche Rechtsgrundlage |
|---|---|
| Kontaktformular | Lit. b (vorvertragliche Maßnahme) oder lit. a |
| Kommentarfunktion | Lit. a (Einwilligung) oder lit. f |
| Server-Log (Sicherheit) | Lit. f (berechtigtes Interesse) |
| Google Analytics | Lit. a (Einwilligung zwingend) |
| Gravatar-Bilder | Lit. f fraglich — oft Einwilligung empfohlen |
| WooCommerce-Bestellung | Lit. b (Vertrag) + lit. c (Steuer) |
| Newsletter | Lit. a (Einwilligung zwingend) |
Die gewählte Rechtsgrundlage muss in der Datenschutzerklärung transparent genannt werden (Art. 13 Abs. 1 lit. c DSGVO). Ein nachträglicher Wechsel der Rechtsgrundlage ist nicht zulässig.
Häufige Verstöße und wie man sie vermeidet
„Berechtigte Interessen" als Catch-All: Lit. f ist keine Generalklausel. Die Interessenabwägung muss tatsächlich dokumentiert werden. Wer Analytics-Cookies mit „berechtigtem Interesse" rechtfertigt, riskiert Bußgelder — der EDSB und zahlreiche nationale Behörden haben das wiederholt klargestellt.
Falsche Grundlage für Pflichtfelder: Ein Kontaktformular mit Pflichtfeld „Geburtsdatum" lässt sich nicht auf lit. b stützen, wenn das Geburtsdatum für die Kontaktaufnahme nicht erforderlich ist. Die Erforderlichkeit muss objektiv begründbar sein.
Einwilligung als „Freikarte" missverstehen: Eine Einwilligung ist nur wirksam, wenn sie wirklich freiwillig ist. Wenn der Zugang zu einem Dienst von der Einwilligung in Marketing-Tracking abhängt, ist das in der Regel keine freiwillige Einwilligung (Kopplungsverbot, Art. 7 Abs. 4 DSGVO).
Häufige Fragen
Muss ich für jeden Cookie eine eigene Rechtsgrundlage haben? Ja, für jeden Verarbeitungszweck ist eine separate Rechtsgrundlage zu prüfen und zu dokumentieren. Technisch notwendige Cookies (Session, Login, Warenkorb) können auf lit. f oder lit. b gestützt werden. Analytics- und Marketing-Cookies benötigen Einwilligung nach lit. a.
Kann ich die Rechtsgrundlage nachträglich wechseln? Nein. Die Rechtsgrundlage muss vor Beginn der Verarbeitung feststehen und darf nicht nachträglich ausgetauscht werden, um eine Verarbeitung nachträglich zu legitimieren. Das hat der EuGH in mehreren Entscheidungen bestätigt.
Was ist der Unterschied zwischen Einwilligung (lit. a) und berechtigtem Interesse (lit. f)? Die Einwilligung gibt der betroffenen Person die Kontrolle und kann jederzeit widerrufen werden. Das berechtigte Interesse erlaubt Verarbeitung ohne aktive Zustimmung, wenn nach Abwägung die Interessen des Verantwortlichen überwiegen. Für Tracking und Profiling ist die Einwilligung der sicherere Weg.