Themenreihe DSGVO: Grundsätze der Verarbeitung

In Art. 5 DSGVO wurden folgende allgemeine Grundsätze für die Verarbeitung personenbezogener Daten normiert: „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“ (Abs. 1 lit. a), „Zweckbindung“ (Abs. 1 lit. b), „Datenminimierung“ (Abs. 1 lit. c), „Richtigkeit“ (Abs. 1 lit. d), „Speicherbegrenzung“ (Abs. 1 lit. e) und „Integrität und Vertraulichkeit“. Als Bestandteil der Verordnung haben diese Grundsätze unmittelbare Geltung, wobei aus Art. 5 Abs. 2 DSGVO folgt, dass sie in erster Linie den Verantwortlichen binden. Die recht allgemein gehaltenen Grundsätze werden in zahlreichen weiteren Vorschriften der DSGVO wieder aufgegriffen und in diesen auch weiter konkretisiert. In diesem Zusammenhang ist insbesondere auf die Betroffenenrechte hinzuweisen, die in Art. 15 bis 22 DSGVO erfasst sind. Verstöße gegen die in Art. 5 DSGVO normierten Grundsätze können sowohl bußgeldbewährt sein, als auch sonstige Maßnahmen der Aufsichtsbehörden nach sich ziehen. Insbesondere vor dem Hintergrund dieser Sanktionsmöglichkeit kann die nur allgemeine Formulierung mitunter problematisch werden.

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (Abs. 1 lit. a)

Zunächst normiert Art. 5 Abs. 1 lit. a DSGVO, dass personenbezogene Daten auf rechtmäßige Art und Weise verarbeitet werden müssen. Das bedeutet, dass personenbezogene Daten grundsätzlich nur auf Basis einer Einwilligung der betroffenen Person oder aufgrund einer gesetzlichen Ermächtigung als anderweitige Rechtsgrundlage verarbeitet werden dürfen. Bei der Einwilligung ist darauf zu achten, dass die einwilligende Person vor ihrer Einwilligung ausreichend über die Verarbeitung informiert wurde. Bei der gesetzlichen Ermächtigung ist insbesondere darauf zu achten, dass die jeweilige Zweckbindung eingehalten wird.

Das Erfordernis der Verarbeitung nach „Treu und Glauben“ muss im Anwendungsbereich der DSGVO als europarechtliche Norm autonom aufgefasst und ausgelegt werden. Im Kontext der DSGVO kann das Erfordernis von „Treu und Glauben“ als eine Pflicht zur Rücksichtnahme auf die Interessen und Erwartungen der betroffenen Person aufgefasst werden. Insbesondere soll der Betroffene über diesen Grundsatz vor unklaren Verarbeitungsvorgängen geschützt und einer offenen und direkten Erhebung personenbezogener Daten bei der betroffenen Person der Vorrang eingeräumt werden.

Durch den Transparenzgrund soll eine heimliche Verarbeitung personenbezogener Daten ausgeschlossen werden. Darüber hinaus soll erreicht werden, dass die betroffene Person über die Erhebung personenbezogener Daten umfassend informiert wird. Diese Informationen müssen in leicht zugänglicher Art und Weise und in einer klaren und verständlichen Sprache abgefasst sein.

Zweckbindung (Abs. 1 lit. b)

Beim Zweckbindungsgrundsatz handelt es sich um ein Kernstück des Datenschutzrechts. Ihm liegt der Gedanke zugrunde, dass schon bereits bei der Erhebung personenbezogener Daten der jeweilige legitime Zweck der Erhebung eindeutig festgelegt sein muss und der Zweck einer möglichen weiteren Verarbeitung mit dem ursprünglichen Erhebungszweck nicht unvereinbar sein darf. Obwohl Art. 5 Abs. 1 lit. b DSGVO für die Zweckfestlegung keine spezielle Form vorsieht empfiehlt es sich, den Zweck schriftlich oder in einer anderen dauerhaften Dokumentationsform festzulegen, um eventuellen Rechenschaftspflichten nachkommen zu können. Damit die Zweckfestlegung auch eindeutig erfolgt, muss sie hinreichend bestimmt zum Ausdruck gebracht werden. Bloß allgemeine Bestimmungen wie „Werbung“ sind hierfür wohl nicht ausreichend. Legitim ist der festgelegte Zweck dann, wenn er als rechtlich zulässig anzusehen ist. Um festzustellen, ob der Zweck der Weiterverarbeitung mit dem Zweck der Erhebung vereinbar ist, kann etwa auf die Konkretisierungen in Art. 6 Abs. 4 DSGVO Bezug genommen werden. Von besonderer Bedeutung ist zusätzlich die Frage, ob die weitere Verarbeitung den Erwartungen der betroffenen Person im Erhebungszeitpunkt entspricht. Die betroffene Person muss den Zweck der Weiterverarbeitung schon in der Zweckfestlegung für die ursprüngliche Erhebung angelegt gesehen haben können. Bei Archivzwecken, Forschungszwecken und statistischen Zwecken handelt es sich gem. Art. 5 Abs. 1 lit. b Hs. 2 um privilegierte Sekundärzwecke, bei denen bei einer Weiterverarbeitung ursprünglich zu anderen Zwecken erhobener Daten die sonst notwendige Prüfung der Vereinbarkeit mit dem ursprünglichen Erhebungszweck entfällt.

Datenminimierung (Abs. 1 lit. c)

Der Grundsatz der Datenminimierung vereint drei Anforderungen. Personenbezogene Daten müssen dem Zweck nach angemessen, erheblich und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Angemessenheit ist gegeben, wenn die Verarbeitung bei wertender Betrachtung in diesem Umfang verhältnismäßig ist. Bei der Erheblichkeit ist danach zu fragen, ob die Verarbeitung personenbezogener Daten dazu geeignet ist, ein legitimes Ziel zu erreichen. Bei der Begrenzung auf das notwendige Maß ist darauf abzustellen, dass keine Daten erhoben werden, die über die Erreichung des verfolgten Zwecks hinausgehen.

Richtigkeit der Datenverarbeitung (Abs. 1 lit. d)

Der Grundsatz der Richtigkeit der Datenverarbeitung bezieht sich darauf, dass die erhobenen personenbezogenen Daten sachlich richtig sein müssen. Darüber hinaus wird gefordert, dass die personenbezogenen Daten auch auf dem neuesten Stand sein müssen. Relevant wird dies insbesondere in Fällen einer weiteren Verarbeitung der erhobenen Daten. Zu beachten ist, dass der für die Erhebung Verantwortliche schon von sich aus angemessene Maßnahmen ergreifen muss, um unrichtige Daten unverzüglich zu löschen oder zu berichtigen. Hinsichtlich der Angemessenheit der Maßnahmen kommt es jeweils auf den konkreten Einzelfall an. In den Artikeln 16 und 17 der DSGVO finden sich beispielsweise konkrete Regelungen, mit denen der Grundsatz der Richtigkeit der Datenverarbeitung verwirklicht werden soll.

Speicherbegrenzung (Abs. 1 lit. e)

Der Grundsatz der Speicherbegrenzung ist eng mit dem Zweckbindungsgrundsatz verbunden. Daten, die die Identifizierung einer Person ermöglichen, dürfen nur solange gespeichert werden, wie es für die Zweckerreichung erforderlich ist. Den Verantwortlichen trifft die Pflicht in regelmäßigen Abständen zu überprüfen, dass die von ihm gespeicherten Daten nicht unnötig lange gespeichert werden. Ausnahmen von der Speicherbegrenzung sieht Art. 5 Abs. 1 lit e Hs. 2 für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vor.

Integrität und Vertraulichkeit (Abs. 1 lit. f)

Über das Kriterium der Integrität soll die Unversehrtheit der Daten geschützt werden. Es soll sichergestellt werden, dass die erhobenen Daten weder ganz noch teilweise gelöscht oder sie auf andere Art vernichtet oder unbefugt verändert werden. Über das Kriterium der Vertraulichkeit sollen die erhobenen Daten vor einer unbefugten Kenntnisnahme und Verarbeitung geschützt werden. Die eben beschriebenen Schutzzwecke sollen durch geeignete technische und organisatorische Maßnahmen erreicht werden. Insbesondere in Art. 32 DSGVO finden sich Konkretisierungen für solche Maßnahmen.

Das Thema der nächsten Woche sind die Einwilligung und der Widerspruch nach der DSGVO.