Art. 6 Abs. 1 DSGVO erlaubt als dritte Alternative die Verarbeitung personenbezogener Daten, wenn ein Verantwortlicher die Daten zum Zwecke der Erfüllung einer rechtlichen Verpflichtung verarbeitet. Die Verarbeitung ist notwendig, um die Rechtspflicht zu erfüllen.
Die rechtliche Pflicht ergibt sich aus objektivem, kodifiziertem Recht, z.B. einem Gesetz (Erwägungsgrund 45) und nicht aus einer vertraglichen Pflicht. Die Erfüllung einer vertraglichen Pflicht unterliegt Art. 6 Abs. 1 DSGVO Buchstabe b. Die rechtliche Pflicht kann sichh aus dem Recht der EU oder eines Mitgliedsstaates ergeben. Dabei spielt die Rangfolge des objektiven Rechts keine Rolle. Daher kann sich die Pflicht aus Bundes- oder Landes-, Verordnungs- und Satzungsrecht ergeben. Allgemeinverbindlich erklärte Tarifverträge und Betriebsvereinbarungen fallen auch darunter.
Die Verarbeitung muss nach Treu und Glauben erforderlich sein.