Datenschutzgrundsätze bezeichnen die in Artikel 5 DSGVO festgelegten Grundsätze für die Verarbeitung personenbezogener Daten, nämlich die Grundsätze der Buchstaben a bis f des Absatzes 1 und die Rechenschaftspflicht des Verantwortlichen in Absatz 2.
Auf einen Blick
Absatz 1 gliedert sich in die Buchstaben a bis f; Buchstabe a umfasst Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz.
Nach Absatz 2 ist der Verantwortliche für die Einhaltung des Absatzes 1 verantwortlich und muss sie nachweisen können.
Zweckbindung (Buchstabe b) und Datenminimierung (Buchstabe c) gehören zu den Grundsätzen des Absatzes 1.
Was sind die Datenschutzgrundsätze?
Buchstabe a des Artikels 5 Absatz 1 DSGVO fasst drei Anforderungen zusammen: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz. Die weiteren Buchstaben nennen die Zweckbindung (b), die Datenminimierung (c), die Richtigkeit (d), die Speicherbegrenzung (e) sowie die Integrität und Vertraulichkeit (f). Nach Buchstabe b dürfen Daten nicht in einer mit den Erhebungszwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken. Hinzu kommt in Absatz 2 die Rechenschaftspflicht: Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können.
Prüft ein Versicherer ein neues Schadenportal, misst er es an den Grundsätzen des Artikels 5 DSGVO, unter anderem Rechtmäßigkeit, Transparenz, Zweckbindung und Datenminimierung, und muss deren Einhaltung nach Absatz 2 nachweisen können. Die Datenminimierung nach Buchstabe c verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind. Die Richtigkeit nach Buchstabe d verlangt sachlich richtige und erforderlichenfalls auf dem neuesten Stand gehaltene Daten; es sind alle angemessenen Maßnahmen zu treffen, damit Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.
Wie wirken die Datenschutzgrundsätze zusammen?
Artikel 24 Absatz 1 DSGVO verknüpft die Einhaltung der Verordnung mit Maßnahmen des Verantwortlichen. Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt.
Artikel 25 Absatz 1 DSGVO nennt die Datenschutzgrundsätze ausdrücklich: Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen. Datenminimierung steht dort als ein Beispiel unter den Datenschutzgrundsätzen.
Datenschutzgrundsätze im Vergleich
| Kriterium | Datenschutzgrundsätze | Datenminimierung |
|---|---|---|
| Gegenstand | Die Grundsätze des Artikels 5 Absatz 1 Buchstaben a bis f sowie die Rechenschaftspflicht nach Absatz 2. | Ein einzelner Grundsatz (Buchstabe c): Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“. |
| Fundstelle | Artikel 5 Absatz 1 und 2 DSGVO. | Artikel 5 Absatz 1 Buchstabe c DSGVO. |
| Nennung im Gesetz | Artikel 25 Absatz 1 DSGVO spricht von „den Datenschutzgrundsätzen“. | Artikel 25 Absatz 1 DSGVO nennt Datenminimierung als Beispiel („wie etwa Datenminimierung“). |
Woran erkenne ich, ob die Datenschutzgrundsätze eingehalten werden?
| Grundsatz | Was das Gesetz sagt |
|---|---|
| Rechtmäßigkeit, Treu und Glauben, Transparenz (Buchstabe a) | Verarbeitung „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise“. |
| Zweckbindung und Datenminimierung (Buchstaben b und c) | Zweckbindung: Erhebung „für festgelegte, eindeutige und legitime Zwecke“, keine Weiterverarbeitung „in einer mit diesen Zwecken nicht zu vereinbarenden Weise“; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken. Datenminimierung: „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“. |
| Richtigkeit und Speicherbegrenzung (Buchstaben d und e) | Richtigkeit: „sachlich richtig und erforderlichenfalls auf dem neuesten Stand“; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden. Speicherbegrenzung: Speicherung in einer Form, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; laut Artikel 5 Absatz 1 Buchstabe e DSGVO dürfen personenbezogene Daten länger gespeichert werden, soweit sie vorbehaltlich geeigneter technischer und organisatorischer Maßnahmen ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden. |
| Integrität und Vertraulichkeit (Buchstabe f) | Verarbeitung „in einer Weise, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen“. |
| Rechenschaftspflicht (Absatz 2) | Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können. |
Beispiele aus der Praxis
- Daten, die für die Bearbeitung eines Schadens erhoben wurden, dürfen nach Artikel 5 Absatz 1 Buchstabe b DSGVO nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; beruht die Verarbeitung zu einem anderen Zweck weder auf der Einwilligung der betroffenen Person noch auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz bestimmter, in der DSGVO genannter Ziele darstellt, berücksichtigt der Verantwortliche nach Artikel 6 Absatz 4 unter anderem die Verbindung zwischen den Zwecken, für die die Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung.
- Ein Verantwortlicher gestaltet ein Formular so, dass die erhobenen Angaben auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind; das beschreibt Buchstabe c, die Datenminimierung.
- Prüft ein Versicherer ein neues Schadenportal, misst er es an den Grundsätzen des Artikels 5 DSGVO und muss deren Einhaltung nachweisen können.
