Compliance-Lexikon · DSGVO
Rechtsgrundlagen – Praxis
Rechtsgrundlagen wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Ist für jede im Verarbeitungsverzeichnis gelistete Tätigkeit eine konkrete, dokumentierte Rechtsgrundlage nach Art. 6 DSGVO hinterlegt?
Gap-Check
Ist für jede im Verarbeitungsverzeichnis gelistete Tätigkeit eine konkrete, dokumentierte Rechtsgrundlage nach Art. 6 DSGVO hinterlegt?
Häufige Fehler in der Praxis
- Rechtsgrundlage wird pauschal als „berechtigtes Interesse“ angegeben, ohne Interessenabwägung zu dokumentieren
- Mehrere mögliche Rechtsgrundlagen werden vermischt, ohne die tatsächlich einschlägige zu benennen
- Änderung des Verarbeitungszwecks führt nicht zur erneuten Prüfung der Rechtsgrundlage
Praxis-Tipp
Berechtigtes Interesse ist keine Auffanglösung für Fälle ohne bessere Begründung. Die erforderliche Interessenabwägung muss dokumentiert und im Zweifel vorlegbar sein.
Die sechs Rechtsgrundlagen im Überblick
Art. 6 DSGVO nennt sechs mögliche Rechtsgrundlagen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigtes Interesse. Jede Verarbeitungstätigkeit benötigt genau eine tragfähige Rechtsgrundlage, die vor Beginn der Verarbeitung feststehen muss.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Verarbeitungsverzeichnis mit expliziter Rechtsgrundlage je Tätigkeit, Dokumentation der Interessenabwägung bei berechtigtem Interesse. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Rechtsgrundlagen über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.