Die Verarbeitung personenbezogener Daten ist rechtmäßig, wenn mindestens eine der sechs Bedingungen von Art. 6(1) DSGVO erfüllt ist. Selbst wenn die Verarbeitung auf diesen Bedingungen beruht, ist sie jedoch durch die anderen Bestimmungen der DSGVO begrenzt und unterliegt den damit verbundenen Verpflichtungen. So müssen beispielsweise immer alle Grundsätze von Art. 5 DSGVO eingehalten werden.
Die DSGVO listet die folgenden Bedingungen auf:
- Zustimmung der betroffenen Person zur Verarbeitung für bestimmte Zwecke
oder eine Verarbeitung ist notwendig für:
- Erfüllung eines Vertrages (bei dem die betroffene Person eine Partei ist) oder um auf Wunsch der betroffenen Person vorvertragliche Schritte zu unternehmen
- Einhaltung einer rechtlichen Verpflichtung nach EU- oder MS-Recht
- Schutz der lebenswichtigen Interessen der betroffenen Person/einer anderen Person (nur in Fällen von Leben oder Tod)
- Erfüllung von Aufgaben, die im öffentlichen Interesse/bei der Ausübung der amtlichen Befugnisse des Datenschutzverantwortlichen („Verantwortliche“) ausgeführt werden.
- die Zwecke der berechtigten Interessen des Verantwortlichen oder eines Dritten
Rechtmäßiges Interesse
Auf ein berechtigtes Interesse kann man sich nur dann verlassen, wenn die Interessen des Einzelnen oder seine Grundfreiheiten die Interessen des Verantwortlichen nicht außer Kraft setzen (insbesondere wenn es sich um Daten von Kindern handelt). Um die Daten von Kindern verarbeiten zu können, müssen die Eltern ihre Zustimmung geben.
Die Wahl der geeigneten Rechtsgrundlage hängt von der Verarbeitung selbst, ihren Zwecken und den Datenkategorien ab. Alle Rechtsgrundlagen sind hierarchisch gleichwertig. Es ist auch erlaubt, verschiedene Rechtsgrundlagen für verschiedene Verarbeitungstätigkeiten zu verwenden; es sei jedoch daran erinnert, dass jede einzelne Person unterschiedliche rechtliche Verantwortlichkeiten trägt, wie beispielsweise im Zusammenhang mit den Rechten der betroffenen Person.
Wenn der Zweck der Änderungen-Verarbeitung und Datenerhebung auf Grundlage von entweder: (1) Einwilligung der betroffenen Person, (2) EU-Recht oder (3) MS-Recht beruht, darf der Verantwortliche diese nur dann weiterverarbeiten, wenn der neue Zweck mit dem ursprünglichen vereinbar ist. Dazu muss der Verantwortliche die folgenden Faktoren berücksichtigen:
- jede Verbindung zwischen den Zwecken
- den Kontext, in dem die personenbezogenen Daten erhoben wurden (in erster Linie die Beziehung zwischen den betroffenen Personen und dem Verantwortlichen)
- die Art der personenbezogenen Daten
- die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen
- das Vorhandensein geeigneter Sicherheitsvorkehrungen (z.B. Verschlüsselung oder Pseudonymisierung)
