Was sind die Grundsätze für die Verarbeitung personenbezogenerdaten?

Laut Datenschutz-Grundverordnung (DSGVO) ist eine Verarbeitung personenbezogener Daten nur zulässig, wenn zumindest eine der folgenden Rechtsgrundlagen vorliegt:

• Einwilligung
  Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden Daten gegeben.
  Beispiel: Zustimmung zum Erhalt eines Newsletters
  Ausführliche Informationen zum Thema "Einwilligung in die Datenverarbeitung" finden sich auf USP.gv.at.
• Erfüllung eines Vertrags
  Die Datenverarbeitung ist für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich.
  Beispiel: Kundendatenbank eines Unternehmens
• Erfüllung einer rechtlichen Verpflichtung
  Die Datenverarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.
  Beispiele: Arbeitsrechtliche Pflichten des Arbeitgebers; Verpflichtungen einer Bank aufgrund des Bankwesengesetzes
• Berechtigte Interessen des Verantwortlichen oder eines Dritten
  Eine Datenverarbeitung ist auch dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Datenverarbeiters erforderlich ist − außer die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen (dies ist insbesondere bei Kindern anzunehmen). Es muss daher eine Interessenabwägung vorgenommen werden.
  Beispiel: Einholung einer Bonitätsauskunft durch eine Bank

Hinweis

Die DSGVO sieht neben den genannten Rechtsgrundlagen noch weitere vor.

Grundsätze für die Datenverarbeitung

Folgende Grundsätze müssen bei der Verarbeitung personenbezogener Daten immer beachtet werden:

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

Zweckbindung

Eine Erhebung von Daten darf nur für festgelegte, eindeutige und legitime Zwecke erfolgen. Eine Weiterverarbeitung der Daten ist nur in einer mit diesen Zwecken zu vereinbarenden Weise erlaubt.

Datensparsamkeit ("Datenminimierung")

Personenbezogene Daten müssen dem Zweck angemessen und erheblich sein. Darüber hinaus verlangt die DSGVO, dass sie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind.

Richtigkeit

Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Es müssen alle angemessenen Maßnahmen getroffen werden, damit unrichtige Daten unverzüglich gelöscht oder berichtigt werden.

Speicherbegrenzung

Die Speicherfrist für personenbezogene Daten muss auf das unbedingt erforderliche Mindestmaß beschränkt bleiben. Um dies zu erfüllen, ist es ratsam, als Verantwortlicher Fristen für die Löschung oder regelmäßige Überprüfung der Daten vorzusehen.

Integrität und Vertraulichkeit

Die Art und Weise, in der personenbezogene Daten verarbeitet werden, muss eine angemessene Sicherheit der Daten gewährleisten (einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, vor unbeabsichtigtem Verlust, vor unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung).

Online-Ratgeber und -Rechner

Weiterführende Links

Rechtsgrundlagen

Zum besseren Verständnis und zur leichteren Lesbarkeit gilt in diesem Text bei allen personenbezogenen Bezeichnungen die gewählte Form für beide Geschlechter.

Eine zentrale, vielleicht sogar die bedeutsamste, Norm des Datenschutzrechts ist Art. 5 der Datenschutz-Grundverordnung. In diesem Artikel sind die sogenannten Grundsätze für die Verarbeitung personenbezogener Daten geregelt. Die Grundsätze sind wesentlich für die Gewährleistung einer datenschutzkonformen Ausgestaltung von Datenverarbeitungsprozessen. Verantwortliche müssen sie zwingend beachten und berücksichtigen.

Was sind die Grundsätze für die Verarbeitung personenbezogener Daten?

Die Grundsätze sind konkret in Absatz 1 des Artikel 5 DS-GVO definiert. Demnach müssen Sie personenbezogene Daten

• auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeiten („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
• für festgelegte, eindeutige und legitime Zwecke erheben („Zweckbindung“);
• dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
• sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein („Richtigkeit“);
• in einer Form speichern, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist („Speicherbegrenzung“);
• in einer Weise verarbeiten, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).

Ergänzend regelt Artikel 5 in Absatz 2 noch die Rechenschaftspflicht. Nach dieser sind Verantwortliche dazu verpflichtet die Einhaltung der oben genannten Grundsätze nachweisen zu können.

Bedeutung für die Praxis

Aus den Grundsätzen ergibt sich ganz konkret, wie Verarbeitungstätigkeiten zu gestalten sind. Alle Verarbeitungsprozesse sind daher an den Grundsätzen zu messen. Sie stellen insoweit den Dreh- und Angelpunkt für die datenschutzkonforme Umsetzung von Verarbeitungstätigkeiten dar. Ein Verstoß gegen die Grundsätze nach Art. 5 DS-GVO kann empfindliche Bußgelder nach sich ziehen. Wir empfehlen Organisationen daher, alle Verarbeitungstätigkeiten auf die Einhaltung der Grundsätze zu überprüfen. Damit können Sie dokumentieren, dass Sie auch Ihre Rechenschaftspflicht erfüllen.  

Benötigen Sie für die Ausgestaltung und Bewertung Ihrer Verarbeitungsprozesse Unterstützung? Berater von ENSECUR können Sie fachkompetent beraten. Nehmen Sie gerne Kontakt mit uns auf!

Wie lauten die Grundsätze für die Verarbeitung personenbezogener Daten?

Was versteht man unter der Verarbeitung von personenbezogenen Daten?

Was muss bei der Verarbeitung von Sensordaten beachtet werden?

Was beschreibt der Grundsatz der speicherbegrenzung?