Artikel 5 DSGVO: Grundsätze für die Verarbeitung personenbezogener Daten

Kategorien: Datenschutz, Recht und Übersicht

Der Artikel 5 der Datenschutz-Grundverordnung (DS-GVO) ist eine Rechtsvorschrift zu Grundsätzen für die Datenverarbeitung. Im DSGVO-Gesetz nimmt er eine wichtige Stellung ein, weil er u. a. eine Datensparsamkeit und die Fixierung der Verarbeitung auf zuvor festgelegte, eindeutige Zwecke fordert.

Zusammenfassung (nicht offiziell)

Personenbezogene Daten (wie Namen, Adressen oder Telefonnummern) müssen sorgfältig behandelt werden. Es gibt einige Grundregeln dafür:

• Die Daten werden auf rechtmäßige Weise und mit ehrlicher Absicht gesammelt.
• Sie werden für einen bestimmten Zweck erhoben und dürfen nicht missbraucht werden.
• Die Daten müssen genau und aktuell sein und nur so lange gespeichert werden, wie sie noch benötigt werden.
• Es werden Maßnahmen getroffen, um die Daten zu schützen und vor Missbrauch oder Beschädigung zu bewahren.

Der Verantwortliche (z.B. ein Unternehmen) ist für die Einhaltung dieser Regeln verantwortlich und muss nachweisen können, dass er sie befolgt hat.

Gesetzestext

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Häufige Begriffe (normiert): Zweck(9), Daten(5), verarbeiten(4), Verarbeitung(4), personenbezogen(4), betroffen(3), Person(3), angemessen(3).

Bemerkungen

Zur Rechtmäßigkeit der Verarbeitung und allen anderen Grundsätzen aus Abs. 1 dieses Artikels verkündet der EuGH (Urteil vom 24.02.2022, Az.: C‑175/20, Rn. 77): „In diesem Zusammenhang ist darauf hinzuweisen, dass der für die Verarbeitung Verantwortliche nach dem in Art. 5 Abs. 2 der Verordnung 2016/679 verankerten Grundsatz der Rechenschaftspflicht nachweisen können muss, dass er die in Abs. 1 dieses Artikels festgelegten Grundsätze für die Verarbeitung personenbezogener Daten einhält.“

Das Prinzip der Datenminimierung wurde ebendort auch erwähnt (Rn. 78: „Folglich obliegt es der lettischen Steuerverwaltung, nachzuweisen, dass sie gemäß Art. 25 Abs. 2 dieser Verordnung versucht hat, die Menge der zu erhebenden personenbezogenen Daten so gering wie möglich zu halten.“). Die Datenminimierung wirkt sich beispielsweise darauf aus, wie Schriftarten oder Hilfsbibliotheken eingebunden werden dürfen. Google Fonts oder JavaScript-Bibliotheken etwa dürfen nicht ohne Einwilligung von einem Server Dritter geladen werden, außer natürlich, der Dritte bietet geeignete Garantien wie einen AVV. Dies kann bei Anbietern wie Google nicht angenommen werden.

Ein weiteres Beispiel für die Datenminimierung sind Online Shops. Laut Beschluss der DSK müssen diese ihren Kunden (auch) einen Gastzugang anbieten. Manche sehen diese Vorgabe aber kritisch und verweisen auf Art. 6 Abs. 1 b DSGVO (Vertragserfüllung). Hier spielt m. E. aber wohl auch das Wettbewerbsrecht eine Rolle. Vgl. auch das Urteil des OLG Hamm vom 28.02.2008 – Az. 4 U 196/07 oder des BGH vom 31.03.2010 – Az.: I ZR 34/08.

Zum Schutz personenbezogener Daten schreibt der EuGH (Gutachten 1/15 des Gerichtshofs vom 26.07.2017, Rn. 140): „Zum Grundsatz der Verhältnismäßigkeit ist festzustellen, dass der Schutz des Grundrechts auf Achtung des Privatlebens auf Unionsebene nach ständiger Rechtsprechung des Gerichtshofs verlangt, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das absolut Notwendige beschränken ([Angabe diverser EuGH-Urteile])“.

Die Datenverarbeitung für fest vorgegebene Zwecke zwingt dazu, diese Zwecke festzuschreiben und zu erklären. Das betrifft Einwilligungsabfragen und Datenschutzerklärungen.

Das Prinzip von Treu und Glauben verbietet es, irreführende Angaben zu machen oder andere als die angegebenen Datenerhebungen durchzuführen. Auch dies betrifft Einwilligungsabfragen und Datenschutzerklärungen.

Die Vorschrift in Abs. 1 e zielt auf die Vorratsdatenspeicherung ab, die demnach nur in bestimmten Fällen bzw. nur für eine bestimmte Dauer erlaubt ist. In Frankreich wurden 1.75 Mio. Euro Bußgeld gegen ein Unternehmen erlassen, weil es gegen diese Vorschrift verstoßen hat.

Der Nachweis der Rechtmäßigkeit der Verarbeitung, die Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO, ist laut Urteil des OLG Stuttgart vom 18.05.2021 (Az.: 12 U 296/20) durch den Verantwortlichen auch gegenüber einer betroffenen Person zu erbringen.

Auch interessant

• DSGVO allgemein
• Art. 6 DSGVO: Rechtsgrundlagen der Verarbeitung
• Art. 7 DSGVO: Bedingungen für die Einwilligung
• Art. 12 DSGVO: Transparente Information
• Art. 13 DSGVO: Informationspflichten
• Art. 15 DSGVO: Auskunftsrecht
• Art. 26 DSGVO: Gemeinsame Verantwortlichkeit