Die Datenschutzgrundsätze nach Art. 5 DSGVO im Überblick

Art. 5 DSGVO legt die zentralen Datenschutzgrundsätze für die Verarbeitung personenbezogener Daten fest. Diese Grundsätze bilden das Fundament des europäischen Datenschutzrechts und sind für jeden Verantwortlichen verbindlich. Dieser Beitrag erläutert die einzelnen Grundsätze, ihre rechtliche Stellung sowie die Konsequenzen bei Verstößen und beleuchtet zudem den risikobasierten Ansatz im Datenschutz.

Wie sind die Datenschutzgrundsätze entstanden?

Bereits das Bundesverfassungsgericht hatte 1983 bestimmte Bedingungen, wie die Transparenz, Zweckbegrenzung und Erforderlichkeit in seinem Volkszählungsurteil festgelegt. Nur unter Einhaltung dieser Bedingungen sollten Einschränkungen und Eingriffe in das Recht auf informationelle Selbstbestimmung des Einzelnen gerechtfertigt sein.

In das deutsche Datenschutzrecht wurde eine solche Liste von Grundsätzen zwar nicht übernommen, diente jedoch zumindest als Auslegungshilfe der Datenschutzgesetze.

Auch die Datenschutz-Richtlinie (RL 46/95/EG) enthielt in Art. 6 bereits eine Liste spezieller Qualitätsgrundsätze. Diese Vorschrift zählte bereits einige der in der DSGVO genannten Grundsätze, wie bspw. Treu und Glauben, Richtigkeit und Speicherbegrenzung auf und verwies in ihrem zweiten Absatz auf den Verantwortlichen, der für die Einhaltung der Grundsätze Sorge zu tragen hat.

Daneben führte auch die Grundrechtecharta seit 2009 die wichtigsten Datenschutzgrundsätze auf, welche 2016 in die DSGVO übertragen wurden. Zusätzlich wurde der Grundsatz der Verantwortung aus der Datenschutz-RL in die DSGVO überführt.

In einer Gesamtschau kann daher allein die Rechenschaftspflicht als neuer Grundsatz bezeichnet werden, obwohl auch dieser sich bereits aus der in der Datenschutz-RL beschriebenen Sorgfaltspflicht des Verantwortlichen ableiten ließ.

Welche Grundsätze gibt es für die Verarbeitung personenbezogener Daten?

Wer personenbezogene Daten verarbeitet, muss die Datenschutzgrundsätze der DSGVO einhalten und deren Beachtung auf Anfrage der Aufsichtsbehörde nachweisen können. Der folgende Überblick zeigt, welche Grundsätze Art. 5 DSGVO vorgibt und was sie im Einzelnen bedeuten.

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz (Art. 5 Abs. 1 lit. a DSGVO)
  Die Verarbeitung personenbezogener Daten muss rechtmäßig, nach Treu und Glauben und in nachvollziehbarer Weise erfolgen:
  • Rechtmäßigkeit
    Die Rechtmäßigkeit der Verarbeitung wird grundsätzlich in Art. 6 DSGVO näher konkretisiert. Für die Verarbeitung personenbezogener Daten ist daher regelmäßig eine Rechtsgrundlage nach Art. 6 Abs. 1 lit. a bis f DSGVO erforderlich. Je nach Einzelfall können daneben weitere Anforderungen, etwa aus Art. 9 DSGVO oder aus fachspezifischem Recht, hinzukommen.
  • Verarbeitung nach Treu und Glauben
    Die Verarbeitung nach Treu und Glauben ist rechtlich schwerer zu fassen. Ob eine Verarbeitung nach Treu und Glauben erfolgt, ist unter Berücksichtigung der Umstände des Einzelfalls zu beurteilen und betrifft die Frage, ob ein bestimmtes Verhalten als redlich angesehen werden kann.
  • Transparenz
    Betroffene Personen müssen ihre Betroffenenrechte und ihr Recht auf informationelle Selbstbestimmung wahrnehmen können (Grundsatz der Transparenz). Konkretisiert wird dieser Grundsatz insbesondere durch Art. 12 ff. DSGVO, etwa durch Informationspflichten bei der Erhebung personenbezogener Daten und durch das Auskunftsrecht. Auch Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Data Protection by Design and by Default) sollen Transparenz gewährleisten (vgl. Art. 25 DSGVO, Erwägungsgrund 78). Hinzu kommen Zertifizierungsverfahren sowie Datenschutzsiegel und -prüfzeichen, die betroffenen Personen einen raschen Überblick über das Datenschutzniveau einschlägiger Produkte und Dienstleistungen ermöglichen, vgl. Art. 42 f., Erwägungsgrund 100).
• Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO):
  Die Zwecke der Datenverarbeitung müssen bei der Erhebung festgelegt, eindeutig und legitim sein. Eine Weiterverarbeitung ist möglich, sofern die Zwecke nicht mit den ursprünglichen Erhebungszwecken unvereinbar sind und eine Rechtsgrundlage vorliegt (Grundsatz der Zweckbindung).
• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO):
  Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt werden (Grundsatz der Datenminimierung).
• Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO):
  Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein (Grundsatz der Richtigkeit). Unrichtige Daten sind zu löschen (vgl. etwa Art. 17 Abs. 1 lit. d DSGVO) oder zu berichtigen (Art. 16 DSGVO).
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO):
  Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung der betroffenen Person ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist (Grundsatz der Speicherbegrenzung). Sobald die Speicherung für den Verarbeitungszweck nicht mehr erforderlich ist, sind die Daten zu löschen oder zu anonymisieren. Ausnahmen bestehen für Archivzwecke im öffentlichen Interesse, wissenschaftliche oder historische Forschungszwecke und statistische Zwecke.
• Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO):
  Schließlich müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet (Grundsatz der Integrität und Vertraulichkeit). Dies umfasst auch den Schutz vor unbefugter und unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung der personenbezogenen Daten. Hierfür sind geeignete technische und organisatorische Maßnahmen zu treffen, die insbesondere in Art. 32 DSGVO konkretisiert werden.
• Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO):
  Die Rechenschaftspflicht verlangt, dass der Verantwortliche die zuvor genannten Datenschutzgrundsätze nicht nur einhält, sondern deren Einhaltung auch nachweisen kann. Dies geschieht insbesondere durch geeignete Dokumentation sowie technische und organisatorische Maßnahmen.

Welche rechtliche Stellung haben die Datenschutzgrundsätze?

Die Datenschutzgrundsätze haben eine übergeordnete Stellung, in dem sie nicht nur für sich selbst stehen und verbindlichen Charakter haben, sondern auch als Auslegungshilfe der anderen Vorschriften der DSGVO dienen. Genau genommen sind demnach auch alle anderen Artikel der DSGVO im Lichte der Grundsätze zu betrachten. Dennoch bedürfen die Grundsätze selbst teilweise einer Konkretisierung. So wird bspw. der Grundsatz der Transparenz durch Art. 13, 14 und 15 DSGVO näher konkretisiert und der Richtigkeitsgrundsatz wird durch das Recht auf Berichtigung näher ausgefüllt. Überdies wird der Grundsatz der Vertraulichkeit und Integrität in Art. 32 Abs. 1 S.2 lit. b) und Art. 28  Abs. 3 S. 2 lit b) DSGVO ebenfalls aufgegriffen.

Um den Ansprüchen der Datenschutzgrundsätze gerecht zu werden, sind somit auch die anderen Regelungen der DSGVO zu berücksichtigen. Eine sorgfältige Handhabung und Umsetzung der Grundsätze sind somit wichtig, gerade um Bußgelder zu vermeiden.

Was ist der risikobasierte Ansatz im Datenschutz?

In der DSGVO findet sich zwar keine Definition des risikobasierten Ansatzes jedoch findet man an mehreren Stellen Hinweise zum Inhalt des Risikobegriffs. So zeigt auch die DSK in ihrem Kurzpapier Nr. 18 ein Beispiel für eine mögliche Definition auf:

„Ein Risiko im Sinne der DSGVO ist das Bestehen der Möglichkeit des Eintritts eines Ereignisses, das selbst einen Schaden (einschließlich ungerechtfertigter Beeinträchtigung von Rechten und Freiheiten natürlicher Personen) darstellt oder zu einem weiteren Schaden für eine oder mehrere natürliche Personen führen kann. Es hat zwei Dimensionen: Erstens die Schwere des Schadens und zweitens die Wahrscheinlichkeit, dass das Ereignis und die Folgeschäden eintreten.“

Ebenfalls verweist Art. 24 DSGVO darauf, dass der Verantwortliche sowohl die Eintrittswahrscheinlichkeit als auch die Schwere von Risiken für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung beachten muss. Die Handhabung der Risikobewertung hierzu ist nochmals in Erwägungsgrund 76 dargestellt. Des Weiteren können Beispiele zu den Risiken, welchen Betroffene durch die Datenverarbeitung ausgesetzt sein können, aus den Erwägungsgründen 75 entnommen werden.

Greift der risikobasierte Ansatz bei den Datenschutzgrundsätzen?

Inwieweit dieser risikobasierte Ansatz jedoch auch auf die Datenschutzgrundsätze Anwendung findet, ist bis heute umstritten. Jedoch wäre es verfehlt zu behaupten, dieser hätte keinen Einfluss auf die Grundsätze.

Auch wenn der risikobasierte Ansatz nicht direkt in Art. 5 DSGVO normiert wurde und systematisch erst in den nachfolgenden Normen integriert ist, sollte er bei der Verarbeitung personenbezogener Daten stets Berücksichtigung finden. Dies ergibt sich schon daraus, dass der risikobasierte Ansatz ebenfalls ein wichtiges Grundprinzip der DSGVO darstellt und an mehreren Stellen das Risiko für die Rechte und Freiheiten der Betroffenen aufgegriffen wird.

Können die Grundsätze für die Verarbeitung personenbezogener Daten eingeschränkt werden?

Die Grundsätze für die Verarbeitung personenbezogener Daten können nicht im Rahmen einer bloßen Abwägung zugunsten des Verantwortlichen eingeschränkt werden. Allerdings sind entsprechende Ausnahmen in der DSGVO explizit geregelt. So heißt es in der Öffnungsklausel des Art. 23 DSGVO, dass Art. 5 DSGVO im Wege von Gesetzgebungsmaßnahmen beschränkt werden kann, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die schützenswerte Güter, wie bspw. die nationale Sicherheit, die öffentliche Sicherheit oder den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen gewährleistet.

Der deutsche Gesetzgeber bediente sich der Öffnungsklausel und hat sowohl Beschränkungen hinsichtlich des Zweckbindungsgrundsatzes, in §§ 4, 23, 24 und 32 bis 36 BDSG, als auch bzgl. der Betroffenenrechte im BDSG geregelt.

Was droht bei einem Verstoß gegen die Datenschutzgrundsätze?

Die Nichteinhaltung der Datenschutzgrundsätze kann unangenehme Folgen haben. Verstöße gegen die Grundsätze der Verarbeitung personenbezogener Daten können ein Bußgeld von bis zu 20.000.000 Euro oder – im Falle eines Unternehmens – von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres nach sich ziehen (Art. 83 Abs. 5 lit. a) DSGVO).

Bereits verhängte Bußgelder für Verstöße gegen die Datenschutzgrundsätze

Der Fall Deutsche Wohnen SE verdeutlicht, dass Verstöße gegen Datenschutzgrundsätze erhebliche Bußgelder nach sich ziehen können. Wegen der Speicherung von Mieterdaten in einem Archivsystem ohne ausreichende Löschmöglichkeit verhängte der Berliner Beauftragte für Datenschutz zunächst ein Bußgeld in Höhe von 14,5 Millionen Euro. Die Behörde wertete dies unter anderem als Verstoß gegen den Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Auch wenn das Bußgeld später auf 900.000 Euro reduziert wurde, zeigt der Fall eindrücklich die finanziellen Risiken rechtswidriger Datenverarbeitung.

Auch der Fall Unicaja Banco verdeutlicht, dass Mängel bei Zugriffsrechten und Passwortkonzepten nicht nur gegen Art. 32 DSGVO verstoßen, sondern auch grundlegende Datenschutzgrundsätze berühren. Gemeinsam genutzte Passwörter, fehlende individuelle Benutzerkonten und nicht nachvollziehbare Zugriffe auf Videoaufzeichnungen stehen insbesondere im Widerspruch zum Grundsatz der Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO. Zugleich zeigt der Fall, dass der Verantwortliche die datenschutzkonforme Ausgestaltung der Verarbeitung nicht auf seine Dienstleister verlagern kann.[SF3.1]

Beide Beispiele zeigen deutlich, dass Aufsichtsbehörden den Datenschutzgrundsätzen hohe Bedeutung beimessen und Verstöße hiergegen mit empfindlichen Sanktionen ahnden. Verantwortliche sollten deshalb die Einhaltung und Dokumentation dieser Grundsätze konsequent sicherstellen.

Welche Probleme wirft der Bestimmtheitsgrundsatz im Datenschutz auf?

Die Datenschutzgrundsätze des Art. 5 DSGVO sind teilweise weit gefasst und müssen durch zusätzliche Vorschriften erst näher konkretisiert werden, um in der Praxis hinreichend bestimmbar und anwendbar zu sein. Dies stellt nicht nur eine Herausforderung für den Verantwortlichen dar, sondern wirft auch Zweifel hinsichtlich der Bestimmtheit auf.

Nach deutschem Verfassungsrecht und nach Unionsrecht gilt das strafrechtliche Bestimmtheitsgebot, welches auch für Bußgeldtatbestände herangezogen wird. Demnach kann jemand nur für eine Handlung oder ein Unterlassen mit einem Bußgeld belegt werden, wenn aus der Vorschrift hinreichend bestimmt hervorgeht, welches Verhalten bußgeldbewehrte Konsequenzen nach sich zieht.
Unter Heranziehung dieser Überlegungen könnte Art. 83 Abs. 5 lit. a DSGVO als zu unbestimmt eingestuft werden. Hierauf kann man sich jedoch nicht ohne Weiteres berufen, denn der EuGH stellt darauf ab, dass es genügt, wenn der Verantwortliche durch Auslegung erkennen kann, welche Handlung oder welches Unterlassen ein Bußgeld begründet.

Bis eine zunehmende Rechtsprechung hier mehr Klarheit schafft, sind Verantwortliche gehalten, ihren Rechenschaftspflichten in angemessenem Umfang nachzukommen. Eine ordentliche Dokumentation kann dazu beitragen, einem Verstoß gegen die Datenschutzgrundsätze vorzubeugen und die Aufsichtsbehörden von der eigenen DSGVO-Konformität zu überzeugen.

Datenschutzgrundsätze als Herzstück der DSGVO

Die Datenschutzgrundsätze finden sich nicht nur namentlich in Art. 5 DSGVO wieder, sondern sind mit allen Regelungen der DSGVO verwoben. Ihren hohen Stellenwert belegen nicht zuletzt die empfindlichen Bußgelder, die bei Verstößen verhängt werden. Auch wenn die Bestimmtheit der Normen nicht unumstritten ist, hindert dies die Aufsichtsbehörden bislang nicht an der Verhängung von Bußgeldern.

Verantwortliche sollten die Grundsätze konsequent einhalten und umsetzen sowie dem Grundsatz der Rechenschaftspflicht besonderes Gewicht beimessen. Denn auch eine sorgfältige Umsetzung der Grundsätze reicht für sich genommen nicht aus, wenn keine angemessene Dokumentation erfolgt und der Aufsichtsbehörde am Ende kein Nachweis erbracht werden kann.