Art. 5 DSGVO: Die Grundsätze der Datenverarbeitung und die Rechenschaftspflicht – kurz erklärt

Art. 5 DSGVO ist die Zentralnorm des europäischen Datenschutzrechts. Absatz 1 legt sechs Grundsätze fest, nach denen personenbezogene Daten verarbeitet werden müssen. Absatz 2 verpflichtet Sie, die Einhaltung dieser Grundsätze jederzeit nachweisen zu können – die sogenannte Rechenschaftspflicht. Hier die Kurzfassung, ohne Umwege.

Die sechs Grundsätze aus Art. 5 Abs. 1 DSGVO

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (lit. a): Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO, muss fair ablaufen und für die betroffene Person nachvollziehbar sein.
• Zweckbindung (lit. b): Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht zweckwidrig weiterverarbeitet werden.
• Datenminimierung (lit. c): Es dürfen nur so viele Daten erhoben werden, wie für den jeweiligen Zweck tatsächlich notwendig sind.
• Richtigkeit (lit. d): Daten müssen sachlich richtig und, wenn nötig, aktuell sein; unrichtige Daten sind unverzüglich zu berichtigen oder zu löschen.
• Speicherbegrenzung (lit. e): Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es der Zweck erfordert.
• Integrität und Vertraulichkeit (lit. f): Es müssen angemessene technische und organisatorische Maßnahmen getroffen werden, u. a. gegen unbefugten Zugriff, Verlust oder Zerstörung.

Die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)

Art. 5 Abs. 2 DSGVO macht aus den sechs Grundsätzen mehr als eine reine Verhaltensregel: "Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können." Es reicht also nicht, sich datenschutzkonform zu verhalten – Sie müssen das im Zweifel auch belegen können. Damit dreht sich faktisch die Beweislast: Nicht die Aufsichtsbehörde muss Ihnen im Zweifel einen Verstoß nachweisen, sondern Sie müssen zeigen können, dass Sie alles richtig gemacht haben.

Warum das wichtig ist

Verstöße gegen die Grundsätze aus Art. 5 DSGVO gehören nach Art. 83 Abs. 5 lit. a DSGVO zur höchsten Bußgeldkategorie der Verordnung: Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs – je nachdem, welcher Betrag höher ist. Für die praktische Relevanz zählt aber vor allem die Beweislastumkehr aus Absatz 2: Wer im Ernstfall keine Dokumentation vorlegen kann, verliert unter Umständen selbst dann, wenn inhaltlich alles korrekt gelaufen ist.

Was das für KMU konkret bedeutet

Die Rechenschaftspflicht lässt sich in der Praxis auf eine überschaubare Zahl von Nachweisen herunterbrechen:

• Ein aktuelles Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO).
• Die technischen und organisatorischen Maßnahmen dokumentieren, nicht nur umsetzen (Art. 32 DSGVO).
• Für jede Verarbeitung schriftlich festhalten, auf welcher Rechtsgrundlage sie beruht (Art. 6 DSGVO).
• Löschfristen definieren und deren tatsächliche Einhaltung nachweisbar machen.
• Mit allen externen Dienstleistern, die Daten in Ihrem Auftrag verarbeiten, einen Auftragsverarbeitungsvertrag abschließen (Art. 28 DSGVO).
• Mitarbeitende auf Vertraulichkeit verpflichten, schulen und auch das dokumentieren.

Kurz gesagt: Rechenschaftspflicht heißt nicht nur richtig handeln, sondern es auch belegen können. Genau diese Lücke deckt ein Datenschutzaudit auf – dazu mehr in meinem Beitrag zum Datenschutzaudit.