Die DSGVO-Grundsätze, die die Verarbeitung personenbezogener Daten im Unternehmen leiten

01

Die sechs Grundsätze des Artikels 5 der DSGVO

Artikel 5 der DSGVO legt fest, dass personenbezogene Daten rechtmäßig, in einer für die betroffene Person nachvollziehbaren Weise, auf faire und transparente Art verarbeitet werden müssen; für festgelegte, eindeutige Zwecke erhoben werden; angemessen und auf das Notwendige beschränkt sein müssen; sachlich richtig und erforderlichenfalls aktuell sein müssen; nur so lange gespeichert werden dürfen, wie es für die genannten Zwecke erforderlich ist; und durch geeignete technische und organisatorische Maßnahmen vor unbefugter Verarbeitung, Verlust oder Zerstörung geschützt werden müssen.

Diese sechs Kriterien — Rechtmäßigkeit/Fairness/Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit — bilden die Grundlage, auf der jeder Geschäftsprozess mit personenbezogenen Daten aufgebaut werden sollte.

02

Rechenschaftspflicht als Leitprinzip

Die DSGVO fügt ein siebtes Element hinzu, die Rechenschaftspflicht: Der Verantwortliche muss in der Lage sein, die Einhaltung der genannten Grundsätze nachzuweisen und nicht nur zu behaupten. Das bedeutet, Entscheidungen, Gründe und getroffene Maßnahmen zu dokumentieren, nicht nur anzuwenden.

03

Wie man die Grundsätze in einen Unternehmensprozess übersetzt

Schritte

1. Die Zwecke jeder Verarbeitung schriftlich festlegen, bevor personenbezogene Daten erhoben werden.
2. Nur Daten erheben, die für den angegebenen Zweck angemessen und notwendig sind.
3. Verantwortlichkeiten für die regelmäßige Überprüfung der Richtigkeit gespeicherter Daten festlegen.
4. Speicherfristen festlegen, die mit den Zwecken übereinstimmen, und nicht mehr benötigte Daten löschen.
5. Die getroffenen Sicherheitsmaßnahmen dokumentieren, um die Rechenschaftspflicht nachzuweisen.

04

Ein hypothetischer Fall

Annahme: Ein Unternehmen erhebt die E-Mail-Adressen von Bewerbern für ein Vorstellungsgespräch. Bei Anwendung der Grundsätze bewahrt es nur die für die Auswahl notwendigen Daten auf (Minimierung), informiert die Bewerber über die vorgesehene Nutzung (Transparenz) und löscht die Daten nicht ausgewählter Bewerber nach einem festgelegten Zeitraum (Speicherbegrenzung), wobei die Entscheidung dokumentiert wird, um die Rechenschaftspflicht nachzuweisen.

05

Was regelmäßig zu prüfen ist

• Die angegebenen Zwecke stimmen noch mit den tatsächlich verarbeiteten Daten überein.
• Die gespeicherten Daten sind aktuell, und Unrichtigkeiten werden unverzüglich korrigiert.
• Die Speicherfristen werden eingehalten und überflüssige Daten werden gelöscht.
• Die Sicherheitsmaßnahmen bleiben dem Risiko angemessen, mit Überprüfung bei Änderung des Risikos.
• Bei Einsatz externer Auftragsverarbeiter sieht der Vertrag dokumentierte Anweisungen und Vertraulichkeit vor.

06

Wie Software diese Grundsätze unterstützen kann

Ein Unternehmen kann sich entscheiden, gemeinsam mit seinem Softwarepartner ein Verzeichnis der Verarbeitungszwecke, klare Rollen für die Entscheidung, was und wie lange erhoben wird, sowie eine dokumentarische Nachvollziehbarkeit der getroffenen Entscheidungen einzurichten, um die Rechenschaftspflicht nachzuweisen. Dies sind vorgeschlagene operative Entscheidungen, keine spezifischen Produktfunktionen.

Für Beziehungen zu Lieferanten, die Daten im Auftrag des Unternehmens verarbeiten, ist es sinnvoll, Vertragsklauseln vorzusehen, die dokumentierte Anweisungen, Vertraulichkeitspflichten und Zusammenarbeit bei Überprüfungen vorsehen, damit leicht nachvollzogen werden kann, wer welche Daten warum verarbeitet hat.

07

Häufig gestellte Fragen zu den DSGVO-Grundsätzen

• Die sechs Grundsätze gelten für jede Art von personenbezogenen Daten, die vom Unternehmen verarbeitet werden, unabhängig von der Branche.
• Die Rechenschaftspflicht erfordert, die Einhaltung der Grundsätze mit Dokumentation nachweisen zu können und nicht nur zu erklären.
• Eine Überprüfung der Sicherheitsmaßnahmen ist angebracht, wenn sich das mit der Verarbeitung verbundene Risikoniveau ändert.

08

Nächster Schritt

Ein guter Ausgangspunkt ist es, die im Unternehmen aktiven Verarbeitungen personenbezogener Daten zu erfassen und für jede zu prüfen, ob sie die sechs Grundsätze des Artikels 5 einhält und ob die Rechenschaftspflicht dokumentiert ist.