DSGVO · Art. 6
DSGVO-006-RECHTSGRUNDLAGE
Rechtsgrundlagen je Verarbeitungstaetigkeit pruefen und dokumentieren
Anforderung
Die Verarbeitung personenbezogener Daten ist nur rechtmaessig, wenn mindestens eine der in Art. 6 genannten Bedingungen erfuellt ist (z. B. Einwilligung, Vertragserfuellung, rechtliche Verpflichtung, berechtigtes Interesse).
Fundstelle
DSGVO Art. 6 Abs. 1
Gap-Check
Ist fuer jede Verarbeitungstaetigkeit eine konkrete Rechtsgrundlage nach Art. 6 dokumentiert und im VVT eingetragen?
Wenn ja
Anforderung erfuellt – bei Aenderungen der Verarbeitung Rechtsgrundlage neu pruefen.
Teilweise
Rechtsgrundlagen teilweise erfasst, Interessenabwaegung bei 'berechtigtem Interesse' fehlt haeufig.
Wenn nein
Kritische Luecke: Verarbeitung ohne dokumentierte Rechtsgrundlage ist rechtswidrig und abmahnfaehig.
Maßnahme
- Fuer jede Verarbeitungstaetigkeit im VVT die einschlaegige Rechtsgrundlage (Art. 6 Abs. 1 lit. a-f) eintragen
- Bei 'berechtigtem Interesse' (lit. f) eine schriftliche Interessenabwaegung (LIA – Legitimate Interest Assessment) durchfuehren
- Einwilligungen (lit. a) auf Freiwilligkeit, Informiertheit und Widerrufbarkeit pruefen
- Prozess fuer Widerruf von Einwilligungen einrichten
Aufwand
mittel
Schätzung
3 bis 8 Personentage (Je nach Anzahl Verarbeitungen mit 'berechtigtem Interesse')
Zeithorizont
kurzfristig
Hilfsmittel
VVT, LIA-Vorlage, Einwilligungs-Management
Vertiefung
DSGVO Survival Kit, Kap. 2 – Rechtsgrundlagen der Verarbeitung
Risiko
Fehlende Rechtsgrundlage macht die gesamte Verarbeitung rechtswidrig – haeufigster Beanstandungsgrund bei Aufsichtsbehoerden.
Eintritt
4 von 5
Auswirkung
5 von 5
Bußgeldrahmen
20.000.000 EUR oder 4% weltweiter Jahresumsatz
DSGVO Art. 83 Abs. 5
Control und Nachweis
Control
Rechtsgrundlage je Verarbeitungstaetigkeit im VVT dokumentieren, LIA bei berechtigtem Interesse durchfuehren
Art
organisatorisch
Dringlichkeit
sofort
Nachweis
VVT-Eintrag + LIA-Dokumentation
Vorlage
LIA-Vorlage (Legitimate Interest Assessment)
Verknüpfungen
Querverweise
EU AI Act Art. 10, CROSS-DSGVO-VVT
ISO 27001:2022
A.5.34 (teilweise)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json