Kurzdefinition: Art. 5 DSGVO stellt die Grundprinzipien jeder Verarbeitung personenbezogener Daten auf. Sie gelten für alle Verarbeitungen und werden durch die Rechenschaftspflicht ergänzt, die verlangt, ihre Einhaltung nachweisen zu können. [N-DSGVO-5]
Der Normwortlaut
Art. 5 Abs. 1 DSGVO verlangt, dass personenbezogene Daten „a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden“, ferner zweckgebunden, datenminimiert, sachlich richtig, speicherbegrenzt und in einer Sicherheit gewährleistenden Weise. Art. 5 Abs. 2 DSGVO fügt die Rechenschaftspflicht hinzu. [N-DSGVO-5]
Welche Grundsätze gelten nach Art. 5 DSGVO?
Sechs materielle Grundsätze und ein übergreifender. Rechtmäßigkeit, Treu und Glauben, Transparenz (Buchst. a); Zweckbindung (Buchst. b); Datenminimierung (Buchst. c); Richtigkeit (Buchst. d); Speicherbegrenzung (Buchst. e); Integrität und Vertraulichkeit (Buchst. f). Hinzu tritt nach Art. 5 Abs. 2 DSGVO die Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nicht nur gewährleisten, sondern nachweisen können. [N-DSGVO-5]
Was bedeutet Datenminimierung?
Dass nur die Daten verarbeitet werden, die für den jeweiligen Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind. Datenminimierung ist damit die praktische Kehrseite der Zweckbindung: Wer den Zweck eng fasst, verarbeitet weniger Daten. Sie steht außerdem in engem Zusammenhang mit datenschutzfreundlichen Voreinstellungen nach Art. 25 DSGVO. [N-DSGVO-5] [N-DSGVO-25]
Warum ist die Rechenschaftspflicht so wichtig?
Weil sie die Grundsätze überprüfbar macht. Art. 5 Abs. 2 DSGVO verlagert die Darlegungslast auf den Verantwortlichen: Er muss belegen können, dass er rechtmäßig, zweckgebunden und datenminimiert verarbeitet. Ohne Dokumentation bleibt die Einhaltung der Grundsätze im Streitfall unbeweisbar — deshalb sind Verzeichnis, Konzepte und Nachweise keine Kür. [N-DSGVO-5]
Welche Grundsätze zählt Art. 5 Abs. 1 DSGVO auf?
Mehrere. Personenbezogene Daten sind rechtmäßig, nach Treu und Glauben und nachvollziehbar zu verarbeiten sowie zweckgebunden, datenminimiert, sachlich richtig, speicherbegrenzt und in einer Sicherheit gewährleistenden Weise. Diese Grundsätze bilden das Fundament jeder Verarbeitung. [N-DSGVO-5]
Was bedeutet der Grundsatz der Integrität und Vertraulichkeit?
Sicherheit. Art. 5 Abs. 1 DSGVO verlangt, personenbezogene Daten in einer Weise zu verarbeiten, die eine angemessene Sicherheit gewährleistet. Der Datenschutzgrundsatz verknüpft damit die Rechtmäßigkeit der Verarbeitung unmittelbar mit der IT-Sicherheit. [N-DSGVO-5]
Häufige Fehlannahmen
- „Die Grundsätze sind unverbindliche Leitlinien.“ Nein. Art. 5 DSGVO ist unmittelbar geltendes Recht; Verstöße gegen die Grundsätze unterliegen nach Art. 83 Abs. 5 DSGVO dem höheren Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. [N-DSGVO-5] [N-DSGVO-83]
- „Datenminimierung heißt möglichst wenig speichern.“ Genauer: nur das für den Zweck Erforderliche — Umfang und Dauer folgen dem Zweck. [N-DSGVO-5]
- „Einhaltung genügt, Nachweis ist zweitrangig.“ Nein. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt den Nachweis. [N-DSGVO-5]
- „Es gibt nur einen Datenschutzgrundsatz.“ Nein. Art. 5 DSGVO nennt mehrere Grundsätze: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. [N-DSGVO-5]
- „Einmal erhobene Daten darf man beliebig weiterverwenden.“ Nein. Die Zweckbindung erlaubt die Erhebung nur für festgelegte, eindeutige und legitime Zwecke; eine Weiterverarbeitung zu unvereinbaren Zwecken ist unzulässig. [N-DSGVO-5]
Was die Geschäftsleitung tun sollte
- Grundsätze verankern. Zweckbindung und Datenminimierung in Prozesse einbauen.
- Speicherfristen setzen. Speicherbegrenzung braucht konkrete Löschregeln.
- Nachweise führen. Die Rechenschaftspflicht verlangt Dokumentation.
- Sicherheit sicherstellen. Integrität und Vertraulichkeit verbinden Art. 5 mit der Sicherheit der Verarbeitung nach Art. 32 DSGVO. [N-DSGVO-32]
Für die Geschäftsleitung
Art. 5 DSGVO ist das Grundgesetz der Verarbeitung: sechs Prinzipien und die Pflicht, ihre Einhaltung zu beweisen. Der entscheidende Hebel ist die Rechenschaftspflicht — sie macht Datenschutz von einer Behauptung zu einem Nachweis. Wer Zweckbindung, Datenminimierung und Löschfristen dokumentiert, erfüllt nicht nur die Grundsätze, sondern kann es auch belegen.
Quellen
- [N-DSGVO-5] Art. 5 DSGVO (Grundsätze für die Verarbeitung personenbezogener Daten), Abs. 1 und 2. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-25] Art. 25 DSGVO (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-83] Art. 83 DSGVO (Allgemeine Bedingungen für die Verhängung von Geldbußen), insbesondere Abs. 5 Buchst. a. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-32] Art. 32 DSGVO (Sicherheit der Verarbeitung), Abs. 1. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
