DSGVO Artikel 6 — Rechtmäßigkeit der Verarbeitung

Hinweis: Dieser Explainer ist informativ; Framework-Referenzen sind nie eine Compliance-Garantie — stimmen Sie Ihr Programm mit Ihrer Rechtsberatung ab.

Was Artikel 6 verlangt

Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der Rechtsgrundlagen aus Artikel 6 greift — Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Keine Grundlage, keine Verarbeitung. Und die Grundlage muss für die konkrete Verarbeitung bestehen, nicht für das Unternehmen im Allgemeinen.

Was das für Ihr Unternehmen bedeutet

Ihr Datenschutzprogramm hat Rechtsgrundlagen für CRM, HR-System und Support-Desk etabliert. Ziemlich sicher aber nicht für „Beschäftigte fügen Kundendaten in einen Consumer-KI-Chatbot ein" — diese Offenlegung ist ein neuer Verarbeitungsvorgang, oft an einen neuen Verantwortlichen, den niemand geprüft hat. Schatten-KI-Nutzung ist DSGVO-technisch Verarbeitung ohne entschiedene Grundlage.

Wie Shield sie operationalisiert

Die sauberste Antwort auf grundlose Verarbeitung: Sie findet nicht statt. Die Vorlagen Transform PII before it reaches AI tools und Transform financial data (referenziert auf Art. 6) entfernen personenbezogene Daten auf dem Gerät aus Prompts und Pastes — die ungeprüfte Offenlegung an den KI-Anbieter passiert nicht, während freigegebene, geprüfte KI-Workflows unberührt weiterlaufen. Discovery hält das Tool-Inventar explizit — Ihr Datenschutz-Team bewertet reale Nutzung statt Vermutungen.

Beide Vorlagen sind ab Tag eins in jeder neuen Organisation aktiv; verwaltet in der Vorlagen-Bibliothek.

Das Ergebnis

Die Verarbeitung, die Ihre Rechtsgrundlagen nicht decken, wird an der Quelle verhindert — und die geprüfte läuft normal weiter, mit einem Audit-Trail, der zeigt, welche Kontrolle wann gegriffen hat.