Die sieben Grundsätze der Verarbeitung

Wenn eine Aufsichtsbehörde eine Verarbeitung prüft, greift sie selten zuerst zu einer speziellen Vorschrift. Sie prüft an Art. 5 DSGVO. Die Grundsätze der Verarbeitung sind der Maßstab, an dem sich alles messen lassen muss – und sie sind zugleich bußgeldbewehrt im höheren Rahmen.

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

Drei Anforderungen in einem Grundsatz.

Rechtmäßigkeit heißt: Es gibt eine Erlaubnis nach Art. 6. Ohne sie ist alles Weitere gegenstandslos.

Treu und Glauben ist der am wenigsten beachtete Teil. Er verlangt, dass die Verarbeitung fair ist – dass sie die betroffene Person nicht überrumpelt und nicht ausnutzt. Er ist der Maßstab, an dem irreführende Gestaltungen scheitern, etwa im Einwilligungsbanner; siehe Dark Patterns.

Transparenz heißt: Die Person weiß, was mit ihren Daten geschieht – in klarer, einfacher Sprache und zum Zeitpunkt der Erhebung. Das leisten die Informationspflichten nach Art. 13.

2. Zweckbindung

Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet.

Der Grundsatz hat zwei Hälften, und die zweite wird regelmäßig übersehen. Der Zweck ist vor der Erhebung festzulegen, nicht danach. Und eine spätere Nutzung zu einem anderen Zweck ist nur zulässig, wenn sie mit dem ursprünglichen vereinbar ist – oder wenn dafür eine eigene Rechtsgrundlage besteht.

Praktisch scheitert daran der klassische Fall: Adressen aus der Auftragsabwicklung werden für Werbung genutzt. Ob das trägt, entscheidet sich nach eigenen Regeln – siehe E-Mail-Marketing.

Zweckangaben wie „zur Verbesserung unserer Dienste” sind keine. Sie sind so weit, dass sie alles decken – und damit nichts.

3. Datenminimierung

Angemessen, erheblich und auf das notwendige Maß beschränkt.

Die Prüffrage lautet nicht „Könnte das nützlich sein?”, sondern „Kann der Zweck ohne dieses Feld erreicht werden?”. Wo die Antwort ja lautet, ist das Feld zu streichen.

Der häufigste Verstoß ist das Formular, das mehr abfragt, als der Vorgang braucht – Geburtsdatum im Kontaktformular, Anrede als Pflichtfeld, Telefonnummer für eine E-Mail-Antwort. Jedes davon ist eine kleine Erhebung ohne Erforderlichkeit, und in der Summe sind sie das, was bei einer Prüfung zuerst auffällt.

4. Richtigkeit

Daten müssen sachlich richtig und, wo nötig, aktuell sein; was unrichtig ist, wird unverzüglich berichtigt oder entfernt.

Das ist kein passiver Grundsatz: Es sind angemessene Maßnahmen zu treffen. In der Praxis heißt das, dass es einen Weg geben muss, über den Korrekturen tatsächlich in allen Systemen ankommen – und nicht nur in dem, in dem sie eingegeben wurden.

5. Speicherbegrenzung

Eine Speicherung in identifizierbarer Form ist nur so lange zulässig, wie der Zweck sie verlangt.

Dies ist der Grundsatz, an dem die meisten Unternehmen offen scheitern, weil Löschen technisch aufwendig und organisatorisch unbeliebt ist. Nichts zu löschen fühlt sich sicher an und ist das Gegenteil.

Zu unterscheiden sind zwei Fälle: Aufbewahrungspflichten aus Handels- und Steuerrecht zwingen zur Speicherung – dann sind die Daten für andere Zwecke zu sperren. Aufbewahrungswünsche gibt es rechtlich nicht. Wie sich beides ordnen lässt, steht im Löschkonzept.

6. Integrität und Vertraulichkeit

Angemessene Sicherheit der Verarbeitung, einschließlich Schutz vor unbefugter Verarbeitung, Verlust und Schädigung.

Hier trifft der Datenschutz auf die Informationssicherheit. Konkretisiert wird der Grundsatz durch Art. 32; die Umsetzung dokumentieren die technischen und organisatorischen Maßnahmen.

7. Rechenschaftspflicht

Der Verantwortliche ist für die Einhaltung verantwortlich und muss sie nachweisen können.

Dieser Grundsatz kehrt die übliche Beweislage um. Es genügt nicht, rechtmäßig zu handeln – Sie müssen es belegen können. Was nicht dokumentiert ist, gilt im Zweifel als nicht geschehen.

Daraus folgt der praktische Rat, der diese ganze Seite zusammenfasst: Jede der sechs vorstehenden Prüfungen ist wertlos, wenn ihr Ergebnis nirgends steht. Das Verzeichnis, die Abwägungen, die Löschfristen, die Schulungsnachweise – sie sind nicht Bürokratie, sie sind der Nachweis.

Kontakt

Sie wollen wissen, wo Ihre Verarbeitungen an diesen sieben Punkten stehen? Genau das prüft ein Datenschutzaudit.