Die Grundsätze der DSGVO

Art. 5 DSGVO bestimmt die wesentlichen Grundsätze des Datenschutzes, die für alle weiteren Regelungen die Grundlage bilden und damit den zentralen Dreh- und Angelpunkt der Verordnung darstellen. Personenbezogene Daten müssen danach auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz), für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer damit unvereinbaren Weise weiterverarbeitet werden (Zweckbindung). Weitere Grundsätze sind die Minimierung des Umfangs, die Richtigkeit der Daten, die Beschränkung der Speicherung auf die zur Zweckerfüllung erforderliche Zeit sowie Integrität und Vertraulichkeit. Der Verantwortliche ist für die Einhaltung all dieser Grundsätze verantwortlich und muss nachweisen können, dass er sie einhält.

In der praktischen Betrachtung beginnt man sinnvollerweise mit der Zweckbindung, auch wenn sie in Art. 5 Abs. 1 DSGVO erst unter Buchstabe b genannt ist: In der Praxis steht sie ohnehin am Anfang, weil man ein Problem hat und es mithilfe von IT lösen möchte – das ist der Zweck der Verarbeitung. Art. 5 Abs. 1 Lit. b bestimmt, dass Daten nur für festgelegte, eindeutige und legitime Zwecke verarbeitet werden dürfen. „Festgelegt“ bedeutet, dass vor der Verarbeitung feststehen muss, welchem Zweck sie dient; „eindeutig“ bedeutet, dass die Zwecke konkret und nicht vage oder vieldeutig bestimmt werden müssen, etwa: Durchführung der Gehaltsabrechnung und Steuermeldungen, Ermittlung von Reparaturkosten, Erfüllung der Dokumentationspflichten aus § 257 HGB und § 148 AO oder Gewährleistung der Auditierbarkeit nach ISO 9001.