Die sechs DSGVO-Grundsätze: Ein praktischer Leitfaden zur Datenverarbeitung im Unternehmen

01

Was Artikel 5 der DSGVO besagt

Die Verordnung (EU) 2016/679 legt fest, dass personenbezogene Daten auf rechtmäßige, faire und transparente Weise, für festgelegte, eindeutige Zwecke und beschränkt auf das für diese Zwecke Notwendige verarbeitet werden müssen (citation-1, citation-3).

Diese Daten müssen richtig sein, nur so lange gespeichert werden wie nötig, und durch geeignete technische und organisatorische Maßnahmen vor unbefugter Verarbeitung oder versehentlichem Verlust geschützt werden; der Verantwortliche ist dafür zuständig, die Einhaltung dieser Grundsätze nachweisen zu können, gemäß dem Grundsatz der Rechenschaftspflicht (citation-1, citation-3).

02

Warum die Rechenschaftspflicht die Arbeitsweise verändert

Absatz 2 von Artikel 5 führt die Rechenschaftspflicht ein: Es reicht nicht, die Grundsätze einzuhalten, man muss dies auch nachweisen können (citation-2, citation-3). Jede Entscheidung über Erhebung, Nutzung und Speicherung von Daten muss eine nachweisbare Spur hinterlassen, die im Falle einer Kontrolle und für solidere interne Entscheidungen nützlich ist.

03

Wie man die Grundsätze im Arbeitsalltag anwendet

Schritte

1. Für jede Verarbeitung einen festgelegten und eindeutigen Zweck definieren, bevor Daten erhoben werden (citation-1).
2. Nur Daten erheben, die für diesen Zweck angemessen und relevant sind, überflüssige Felder vermeiden (citation-1).
3. Eine Speicherfrist festlegen, die dem Zweck entspricht, und regelmäßig nicht mehr benötigte Daten überprüfen (citation-1).
4. Die getroffenen technischen und organisatorischen Maßnahmen zur Sicherstellung von Integrität und Vertraulichkeit dokumentieren, um sie nachweisen zu können (citation-3, citation-2).

04

Ein hypothetischer Fall: Datenerhebung für ein Treueprogramm

Hypothetisches Beispiel: Ein Unternehmen, das ein Treueprogramm startet, erhebt Name, E-Mail und Kaufhistorie für einen bei der Anmeldung angegebenen Marketingzweck. Durch die Anwendung der Grundsätze aus Artikel 5 beschränkt es die Daten auf das Notwendige, vermeidet eine Weiterverwendung für mit dem ursprünglichen Zweck unvereinbare Zwecke und legt ein Löschdatum für inaktive Kunden fest, wobei die Entscheidungen dokumentiert werden, um sie nachweisen zu können (citation-1, citation-3).

05

Checkliste zur Überprüfung laufender Verarbeitungen

• Ist der Zweck der Verarbeitung schriftlich festgehalten, festgelegt und eindeutig? (citation-1)
• Sind die erhobenen Daten auf das für diesen Zweck Notwendige beschränkt? (citation-1)
• Gibt es eine definierte und angewandte Speicherfrist? (citation-1)
• Sind die getroffenen Sicherheitsmaßnahmen dokumentiert und aktuell? (citation-3)
• Kann die Einhaltung der Grundsätze auf Anfrage nachgewiesen werden? (citation-2)

06

Was eine Verwaltungssoftware bei diesen Grundsätzen unterstützen kann

Ein Unternehmen kann von seinem Softwareanbieter verlangen, für jede konfigurierte Verarbeitung den angegebenen Zweck, die beteiligten Rollen und die vorgesehenen Speicherfristen sichtbar zu machen, um eine mit den Grundsätzen von Artikel 5 übereinstimmende Spur zu erhalten (citation-1, citation-3). Es ist außerdem eine nützliche betriebliche Entscheidung, im System zu unterscheiden, wer als Verantwortlicher und wer als Auftragsverarbeiter handelt, und dabei im Rollendesign die dokumentierten Anweisungen und Unterstützungspflichten des Auftragsverarbeiters widerzuspiegeln (citation-4).

07

Häufig gestellte Fragen zu den Verarbeitungsgrundsätzen

• Verbietet der Grundsatz der Datenminimierung jedes freiwillige Feld? Nein: Er verbietet die Erhebung von Daten, die für den angegebenen Zweck nicht angemessen oder relevant sind (citation-1).
• Erfordert die Rechenschaftspflicht nur interne Verfahren? Sie erfordert, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen kann, nicht nur, dass er sie anwendet (citation-2, citation-3).
• Können Daten für statistische Zwecke unbegrenzt gespeichert werden? Nur mit den von der Verordnung geforderten technischen und organisatorischen Maßnahmen zum Schutz der betroffenen Personen (citation-1).

08

Der nächste praktische Schritt

Ein guter Ausgangspunkt ist es, bestehende Verarbeitungen zu erfassen und dabei Zweck, erhobene Daten, Speicherfristen und Verantwortliche anzugeben, um dann zu prüfen, welche Grundsätze von Artikel 5 bereits eingehalten werden und wo Handlungsbedarf besteht (citation-1, citation-3).