Art. 5 DSGVO legt sieben Grundsätze fest, an denen jede Verarbeitung personenbezogener Daten gemessen wird: Rechtmäßigkeit, Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie die Rechenschaftspflicht. Die ersten sechs stehen in Art. 5 Abs. 1, die Rechenschaftspflicht in Abs. 2. Sie müssen die Grundsätze nicht nur einhalten, sondern ihre Einhaltung auch nachweisen können.
Die sieben Grundsätze im Überblick
| Grundsatz | Fundstelle | Was Sie konkret tun |
|---|---|---|
| Rechtmäßigkeit, Treu und Glauben, Transparenz | Art. 5 Abs. 1 lit. a | Rechtsgrundlage festlegen, verständlich informieren |
| Zweckbindung | lit. b | Zwecke vor der Erhebung festlegen, keine unvereinbare Weiternutzung |
| Datenminimierung | lit. c | nur die Daten erheben, die für den Zweck nötig sind |
| Richtigkeit | lit. d | Daten aktuell halten, Fehler berichtigen |
| Speicherbegrenzung | lit. e | Löschfristen festlegen und umsetzen |
| Integrität und Vertraulichkeit | lit. f | technische und organisatorische Maßnahmen treffen |
| Rechenschaftspflicht | Abs. 2 | alles dokumentieren und nachweisen können |
1. Rechtmäßigkeit, Treu und Glauben, Transparenz
Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO, bei sensiblen Daten zusätzlich eine Ausnahme nach Art. 9 DSGVO. "Treu und Glauben" verlangt Fairness: keine versteckte Datenerhebung, keine Täuschung, keine Verarbeitung, mit der die Person nicht rechnen muss. Transparenz bedeutet, dass die Person versteht, wer was mit ihren Daten tut. Umgesetzt wird das über die Informationspflichten nach Art. 12 bis 14 DSGVO.
Beispiel: Ein Online-Shop wertet das Surfverhalten aus, erwähnt das aber nirgends. Das verletzt die Transparenz, auch wenn eine Rechtsgrundlage bestünde.
2. Zweckbindung
Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben. Eine Weiterverarbeitung für andere Zwecke ist nur erlaubt, wenn sie mit dem ursprünglichen Zweck vereinbar ist (Art. 6 Abs. 4 DSGVO). Für Archiv-, Forschungs- und Statistikzwecke gelten Erleichterungen (Art. 89 Abs. 1 DSGVO).
Beispiel: Die E-Mail-Adresse aus einer Supportanfrage darf nicht ohne Weiteres in den Newsletter-Verteiler wandern.
3. Datenminimierung
Die Daten müssen dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein. Das betrifft die Menge der Daten, den Umfang der Verarbeitung und den Kreis der Zugriffsberechtigten.
Beispiel: Ein Kontaktformular fragt Geburtsdatum und Anschrift als Pflichtfelder ab, obwohl nur eine Rückrufnummer nötig ist. Machen Sie solche Felder optional oder streichen Sie sie.
4. Richtigkeit
Daten müssen sachlich richtig und, wo nötig, aktuell sein. Unrichtige Daten sind unverzüglich zu löschen oder zu berichtigen. Die Betroffenen haben dazu ein eigenes Recht auf Berichtigung (Art. 16 DSGVO).
Beispiel: Eine Auskunftei führt eine längst bezahlte Forderung weiter als offen. Das verletzt den Grundsatz der Richtigkeit und kann erhebliche Folgen für die Person haben.
5. Speicherbegrenzung
Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Danach werden sie gelöscht oder anonymisiert. Gesetzliche Aufbewahrungspflichten, etwa nach § 147 AO und § 257 HGB, können eine längere Speicherung verlangen.
Beispiel: Unterlagen abgelehnter Bewerber bewahren viele Unternehmen etwa sechs Monate auf, um sich gegen Ansprüche nach dem AGG verteidigen zu können, und löschen sie dann.
6. Integrität und Vertraulichkeit
Die Daten müssen durch geeignete technische und organisatorische Maßnahmen geschützt sein: vor unbefugter Verarbeitung, Verlust, Zerstörung und Schädigung. Wie diese Maßnahmen aussehen, konkretisiert Art. 32 DSGVO.
Beispiel: Verschlüsselte Laptops, Mehr-Faktor-Anmeldung, ein Berechtigungskonzept und regelmäßige Backups.
7. Rechenschaftspflicht
Der Verantwortliche ist für die Einhaltung aller Grundsätze verantwortlich und muss sie nachweisen können (Art. 5 Abs. 2 DSGVO). Die Beweislast liegt also bei Ihnen. Aus der Rechenschaftspflicht folgen viele Dokumentationen:
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
- Dokumentierte Rechtsgrundlagen und Interessenabwägungen
- Einwilligungsnachweise (Art. 7 Abs. 1 DSGVO)
- Beschreibung der technischen und organisatorischen Maßnahmen
- Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)
- Dokumentation aller Datenpannen (Art. 33 Abs. 5 DSGVO)
- Verträge zur Auftragsverarbeitung (Art. 28 DSGVO)
- Schulungsnachweise und Verpflichtungen der Beschäftigten
Was bedeuten die Grundsätze im Alltag?
Die Grundsätze sind kein Programmsatz, sondern unmittelbar geltendes Recht. Aufsichtsbehörden stützen Bußgelder direkt auf Art. 5 DSGVO. Verstöße fallen unter die höhere Bußgeldstufe bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. a DSGVO).
Nützlich sind die Grundsätze auch als Prüfraster für neue Vorhaben. Bevor Sie eine neue Software, ein neues Formular oder einen neuen Dienstleister einführen, stellen Sie sieben Fragen:
- Auf welcher Rechtsgrundlage verarbeiten wir, und wie informieren wir darüber?
- Für welchen Zweck genau?
- Brauchen wir wirklich jedes Datenfeld?
- Wie halten wir die Daten richtig?
- Wann löschen wir?
- Wie schützen wir die Daten?
- Wo dokumentieren wir das alles?
Gleichzeitig verlangt Art. 25 DSGVO, diese Grundsätze schon bei der Planung technisch umzusetzen (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen).
Vier, sechs oder sieben Grundsätze?
Je nach Quelle ist von vier, sechs oder sieben Grundsätzen die Rede. Das liegt an der Zählweise. Art. 5 Abs. 1 DSGVO enthält sechs Buchstaben, lit. a bis f. Zählt man die Rechenschaftspflicht aus Abs. 2 hinzu, sind es sieben. Manche Darstellungen fassen Grundsätze zusammen, etwa Zweckbindung, Datenminimierung und Speicherbegrenzung zum Gedanken der Datensparsamkeit. Rechtlich maßgeblich ist der Wortlaut von Art. 5 DSGVO mit allen sieben Grundsätzen. Die Verpflichtung der Beschäftigten auf den Datenschutz bezieht sich nach dem DSK-Kurzpapier Nr. 19 auf die sechs Grundsätze des Art. 5 Abs. 1 DSGVO.
Typische Verstöße gegen Art. 5 DSGVO
- Transparenz: Die Datenschutzerklärung nennt eingesetzte Dienste nicht oder nur pauschal.
- Zweckbindung: Kundendaten aus dem Service werden ohne Prüfung für Werbung genutzt.
- Datenminimierung: Ein Bewerbungsformular verlangt Angaben zu Familienstand und Religion.
- Richtigkeit: Veraltete Adressen führen dazu, dass Briefe mit Vertragsdaten an falsche Empfänger gehen.
- Speicherbegrenzung: Ein Archivsystem kann Daten gar nicht löschen, alte Datensätze bleiben jahrelang gespeichert.
- Integrität und Vertraulichkeit: Alle Beschäftigten haben Zugriff auf alle Personalakten.
- Rechenschaft: Das Unternehmen kann auf Nachfrage der Aufsichtsbehörde keine Dokumentation vorlegen.
Wie hängen die Grundsätze mit anderen Pflichten zusammen?
Fast jede Pflicht der DSGVO lässt sich auf einen Grundsatz zurückführen. Die Informationspflichten dienen der Transparenz, die Betroffenenrechte der Richtigkeit und Speicherbegrenzung, Art. 32 DSGVO der Integrität und Vertraulichkeit. Wer die sieben Grundsätze verstanden hat, versteht deshalb die Logik der gesamten Verordnung. Ein externer Datenschutzbeauftragter prüft Ihre Prozesse genau an diesem Raster.