Die Marketingmitarbeiterin einer Werbeagentur mit zwölf Beschäftigten fragt den Datenschutzkoordinator: Der Agentur liegen Kontaktdaten von Interessenten vor, die auf einer Messe ihre Visitenkarte abgegeben haben. Jetzt sollen diese Personen per E-Mail einen monatlichen Newsletter erhalten. Darf die Agentur das?

Drei mögliche Antworten: Ja ohne Weiteres — Nein grundsätzlich nicht — Ja, aber nur unter bestimmten Voraussetzungen. Die Wahrheit ist die dritte. Und um sie zu ermitteln, braucht die Koordinatorin ein strukturiertes Prüfschema. Denn ohne gültige Rechtsgrundlage ist jede Verarbeitung personenbezogener Daten rechtswidrig — unabhängig davon, ob technisch alles reibungslos läuft und niemand klagt. Das ist der Kern des Erlaubnisvorbehalts in Art. 6 Abs. 1 DSGVO.

Kein Verarbeiten ohne Erlaubnis —
das Verbotsprinzip mit Erlaubnisvorbehalt

Erlaubnisvorbehalt bedeutet: Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, einer der abschließend geregelten Erlaubnistatbestände liegt vor. Vereinfacht gesagt: Nicht die Betroffene muss beweisen, dass die Verarbeitung falsch ist — der Verantwortliche muss beweisen, dass sie erlaubt ist.

Art. 6 Abs. 1 DSGVO nennt sechs Erlaubnistatbestände. Mindestens einer muss zutreffen, bevor die Verarbeitung beginnt. Wichtig: Eine Verarbeitung kann auf mehrere Rechtsgrundlagen gestützt werden — aber nur soweit jede Rechtsgrundlage den jeweiligen Verarbeitungszweck eigenständig trägt.

Konsequenz für die Praxis: Im Verarbeitungsverzeichnis (Art. 30 DSGVO) wird pro Verarbeitungstätigkeit und pro Zweck die zutreffende Rechtsgrundlage eingetragen. Wer diese Zuordnung nicht vornimmt, kann bei einer Aufsichtsbehörden-Prüfung nicht belegen, dass die Verarbeitung rechtmäßig ist.

Die sechs Rechtsgrundlagen (Art. 6) — kurz und präzise

Einwilligung (Art. 6 Abs. 1 lit. a) muss
vier Eigenschaften erfüllen

Einwilligung

ist die freiwillig, für einen bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person. Vereinfacht gesagt: Ein vorangehaktes Häkchen genügt nicht. Das Häkchen muss von der Person selbst gesetzt werden — aktiv, vor der Verarbeitung, nach verständlicher Information.

Vier Pflichtmerkmale nach Art. 7 DSGVO:

Im Beschäftigungsverhältnis gilt ein besonderer Vorbehalt: Wegen des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Beschäftigten ist die Freiwilligkeit strukturell fraglich. Prüfung erforderlich, ob ein rechtlicher oder wirtschaftlicher Vorteil für den Beschäftigten die Freiwilligkeit absichert.

Für das Messe-Beispiel:

Visitenkarten-Übergabe ist keine Einwilligung zum Newsletter-Empfang. Die Agentur braucht eine separate, aktive Einwilligung — oder eine andere Rechtsgrundlage.

Vertrag (Art. 6 Abs. 1 lit. b) trägt nur das Notwendige

Verarbeitung ist erlaubt, wenn sie zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erforderlich ist. Vereinfacht gesagt: Was für die Vertragsabwicklung nötig ist — Name, Adresse, Bestellinformationen —, ist hier gedeckt. Was darüber hinausgeht — Geburtstag für einen Glückwunsch, Telefonnummer für Marketing —, braucht eine eigene Grundlage.

Typische Anwendungsfälle: Kundenstammdaten zur Auftragsabwicklung, Rechnungsstellung, Lieferantendaten, Bewerberdaten während des Bewerbungsverfahrens.

Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c) gilt zwingend

Die Verarbeitung ist erforderlich, um einer rechtlichen Verpflichtung nachzukommen. In KMU besonders relevant: handelsrechtliche und steuerrechtliche Aufbewahrungspflichten — Buchungsbelege und Rechnungen acht Jahre (seit 2025 durch das Bürokratieentlastungsgesetz IV von zehn auf acht verkürzt), Handelsbücher und Jahresabschlüsse zehn Jahre, Handelsbriefe und Lohnkonten sechs Jahre (§§ 238, 257 HGB, § 147 AO, § 41 EStG), Lohnabrechnung nach Sozialversicherungsrecht. Keine Einwilligung nötig — und auch nicht hilfreich, da die Pflicht besteht.

Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d) und öffentliches Interesse (lit. e) sind Nischen

Lebenswichtige Interessen greifen bei medizinischen Notfällen, wenn die betroffene Person nicht einwilligen kann. Öffentliches Interesse deckt Behördenaufgaben ab — für privatwirtschaftliche KMU in aller Regel nicht einschlägig. Beide Tatbestände spielen im KMU-Alltag eine Randrolle.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) braucht Abwägung

Die Verarbeitung ist zulässig, wenn ein berechtigtes Interesse des Verantwortlichen oder Dritter vorliegt — und die Interessen, Grundrechte oder Grundfreiheiten der betroffenen Person nicht überwiegen. Vereinfacht gesagt: Der Verantwortliche darf die Daten verwenden, wenn er ein legitimes Ziel hat — und die Betroffenen dafür keinen unverhältnismäßigen Preis zahlen.

Das ist die flexibelste Rechtsgrundlage — und die risikoreichste, weil sie Abwägungsarbeit erfordert. Erwägungsgrund 47 DSGVO nennt Direktmarketing ausdrücklich als mögliches berechtigtes Interesse. Das OLG Stuttgart hat bestätigt, dass postalische Briefwerbung an Bestandskunden auf dieser Grundlage zulässig sein kann — vorausgesetzt, die Interessenabwägung fällt zugunsten des Verantwortlichen aus und das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO wird gewährt (OLG Stuttgart, Beschl. v. 02.02.2024 — 2 U 63/22). Wichtig für die Praxis: Für E-Mail-Werbung gilt das gerade nicht — sie verlangt nach § 7 Abs. 2 UWG eine vorherige ausdrückliche Einwilligung; nur die enge Bestandskunden-Ausnahme des § 7 Abs. 3 UWG (eigene E-Mail-Adresse aus einem Verkauf, ähnliche Produkte, Hinweis auf Widerspruch) lässt sie ohne Einwilligung zu. Das Gericht betonte ausdrücklich, dass E-Mail-Werbung kein „milderes Mittel" gegenüber Briefwerbung ist. 

Das Prüfschema: Fünf Schritte zur richtigen Rechtsgrundlage

Die Prüfung läuft in dieser Reihenfolge ab:

Entscheidungstabelle: Welche Rechtsgrundlage für welchen Fall?

Besondere Kategorien nach Art. 9 — ein eigenes Regime

Art. 9 sperrt zuerst —
und öffnet dann gezielt

Art. 9 Abs. 1 DSGVO stellt ein pauschales Verarbeitungsverbot auf für: Gesundheitsdaten, genetische Daten, biometrische Daten zur Identifizierung, rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit sowie Daten zum Sexualleben oder zur sexuellen Orientierung.

Vereinfacht gesagt: Diese Daten sind besonders sensibel, weil ihre Offenlegung besonders schwere Diskriminierungen, Eingriffe in die Privatsphäre oder Gefährdungen ermöglichen kann. Die DSGVO behandelt sie deshalb mit einem eigenständigen Schutzsystem.

Art. 9 Abs. 2 listet Ausnahmen —
zehn Tatbestände

Die Verarbeitung ist ausnahmsweise erlaubt, wenn:

Für KMU in der Praxis: 

Die häufigsten Tatbestände sind lit. b (Beschäftigtendaten mit Gesundheitsbezug), lit. h (Gesundheitsdienstleister) und lit. a (ausdrückliche Einwilligung, wenn keine andere Ausnahme greift). Lit. h erfordert zusätzlich, dass die Verarbeitung durch Personen mit Geheimhaltungspflicht erfolgt oder vergleichbare Schutzmaßnahmen vorliegen.

Einwilligung vs. berechtigtes Interesse — die wichtigste Abwägung in der Praxis

Einwilligung klingt sicher, ist aber anfällig

Die Einwilligung hat einen intuitiven Reiz: Mit ihr scheint alles abgedeckt. Das ist ein Trugschluss. Einwilligungen haben drei strukturelle Schwächen: Sie können jederzeit widerrufen werden — mit sofortiger Wirkung und ohne Begründung. Im Beschäftigungsverhältnis sind sie wegen des Machtgefälles strukturell verdächtig. Und bei der Messe-Visitenkarte: Eine Visitenkarte ist keine Einwilligung.

Das bedeutet: Einwilligung ist die richtige Grundlage, wenn sie wirklich freiwillig ist und der Verantwortliche mit einer jederzeitigen Rücknahme umgehen kann. Für Newsletter, optionale Profile, Cookies zu Marketingzwecken. Aber als allgemeine Absicherungsstrategie — „wir holen uns immer eine Einwilligung" — ist sie fehleranfällig.

Berechtigtes Interesse setzt Arbeit voraus — und gibt Stabilität

Das berechtigte Interesse ist robuster als eine Einwilligung, weil es nicht widerrufen werden kann. Dafür muss es verdient werden: Die Drei-Stufen-Prüfung ist Pflicht.

Drei-Stufen-Prüfung berechtigtes Interesse:

Das Ergebnis dieser Prüfung muss dokumentiert werden — schriftlich, nachvollziehbar, vor Beginn der Verarbeitung. Der EuGH hat in C-708/18 klargestellt, dass alle drei Stufen vollständig zu durchlaufen sind.

Das OLG Stuttgart hat bestätigt: Briefwerbung an Bestandskunden kann auf berechtigtem Interesse beruhen, wenn die Werbung produktbezogen ist, der Widerspruch einfach möglich ist und die Abwägung dokumentiert wurde. Für E-Mail-Werbung genügt das nicht: Hier verlangt § 7 Abs. 2 UWG die vorherige ausdrückliche Einwilligung; ohne sie hilft nur die enge Bestandskunden-Ausnahme des § 7 Abs. 3 UWG. Erst DSGVO-Abwägung und UWG-Konformität zusammen geben Rechtssicherheit.

Die Antwort auf das Messe-Beispiel

Zurück zur Werbeagentur. Die Interessenten, die auf der Messe eine Visitenkarte abgegeben haben, sind keine Bestandskunden. Visitenkarten-Übergabe ist keine Einwilligung zum Newsletter. Ein Vertragsverhältnis besteht nicht. Eine gesetzliche Pflicht fehlt. Bleibt das berechtigte Interesse — aber hier ist die vernünftige Erwartung der Person auf der Messe zu berücksichtigen: Wer seine Karte gibt, erwartet einen möglichen geschäftlichen Kontakt, keinen automatischen Newsletter. Die Abwägung würde zugunsten der Betroffenen ausfallen.

Das Ergebnis: Die Agentur braucht eine Einwilligung — aktiv, informiert, dokumentiert. Ohne sie darf der Newsletter nicht versandt werden. Eine einfache Lösung wäre: beim Erhalt der Karte (oder per Follow-up-E-Mail) eine klare Opt-In-Anfrage senden. Das ist der legale Weg.