Grundsätze für die Verarbeitung personenbezogener Daten
Bei den neun Grundsätzen für die Verarbeitung personenbezogener Daten, die in Art. 5 DSGVO festgelegt sind, handelt es sich um grundlegende Anforderungen an die Datenverarbeitung, die konsequent eingehalten werden müssen. Sie sind Konkretisierungen der grundrechtlichen Bestimmungen aus Art. 8 Abs. 2 GRCh.
Jede Verarbeitung von personenbezogenen Daten benötigt eine Rechtsgrundlage. Dies kann bspw. die Erforderlichkeit der Datenverarbeitung zur Erfüllung einer öffentlichen Aufgabe oder eines Vertrags sein oder eine Einwilligung der betroffenen Person in die Verarbeitung ihrer Daten.
Die Verarbeitung von personenbezogenen Daten darf nur auf „faire“ Art und Weise erfolgen. Beispiele für „unfaire“ Datenverarbeitung wären verborgene Verarbeitungsvorgänge wie z. B. versteckte Videokameras oder Software zum geheimen Ausspionieren oder Überwachen von Nutzenden.
Personenbezogene Daten müssen in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden, weshalb die von der Datenverarbeitung Betroffenen hinsichtlich der “W-Fragen" (Wer? Wozu? Was? Wo? Wie lange?) aufgeklärt werden müssen. Der Herstellung von Verarbeitungstransparenz dienen insbesondere die Informationspflichten nach Art. 13 und 14 DSGVO sowie das Auskunftsrecht nach Art. 15 DSGVO.
Personenbezogene Daten dürfen allein für festgelegte Zwecke erhoben und nur weiterverarbeitet werden, wenn der Weiterverarbeitungszweck mit dem ursprünglichen Erhebungszweck vereinbar ist. Dadurch soll die Verarbeitung ihrer personenbezogenen Daten für die betroffenen Personen überschaubar und kontrollierbar sein.
Der Umfang der verarbeiteten Daten muss dem jeweiligen Zweck angemessen und auf das zu dessen Erreichung erforderliche Maß beschränkt sein. Eine Erhebung und Verarbeitung nicht notwendiger Daten ist damit zu vermeiden und mit den Daten “sparsam” umzugehen. Werkzeuge der Datenminimierung sind auch Pseudonymisierung und Anonymisierung, also die Entfernung des Personenbezugs von Daten.
Personenbezogene Daten müssen inhaltlich korrekt und auf einem aktuellen Stand sein; „falsche“ bzw. veraltete Daten sind zu löschen oder zu berichtigen.
Wenn personenbezogene Daten nicht mehr benötigt werden, muss ihre Löschung erfolgen.
Personenbezogene Daten müssen vertraulich behandelt und sicher verarbeitet werden. Insbesondere dürfen Unbefugte keinen Zugang zu den Daten und mithin auch keine Zugriffsmöglichkeit auf die Geräte und Systeme, mit denen diese verarbeitet werden, haben, und eine unbeabsichtigte Schädigung oder Zerstörung der Daten ist unbedingt zu vermeiden. Hierfür sind geeignete technische und organisatorische Maßnahmen (TOM) zu treffen.
Der für die Datenverarbeitung Verantwortliche muss nachweisen können, dass die Verarbeitung personenbezogener Daten nach den Vorgaben der DSGVO erfolgt. Dazu ist eine entsprechende Dokumentation erforderlich, bspw. hinsichtlich der Erfüllung der Informationspflichten oder der ergriffenen technischen und organisatorischen Maßnahmen.