Kurz gesagt: Art. 5 DSGVO legt fest, wie personenbezogene Daten verarbeitet werden müssen: rechtmäßig, fair und transparent, zweckgebunden, auf das Nötige beschränkt, richtig, nicht länger als nötig gespeichert und sicher. Der Verantwortliche muss nachweisen können, dass er diese Grundsätze einhält.
Art. 5 ist das Herzstück der DSGVO. Wer ihn verstanden hat, kann viele Fragen beantworten, ohne jede Einzelvorschrift zu kennen. In der Sachkundeprüfung werden die Grundsätze gern als Aufzählung abgefragt oder mit einem Fall verknüpft: Welcher Grundsatz ist hier verletzt? Deshalb lohnt es sich, jeden Grundsatz mit einem Bild aus dem Dienst zu verbinden.
Was im Gesetz steht
Art. 5 Abs. 1 DSGVO nennt sechs Grundsätze, jeweils in einem Buchstaben von a bis f. Art. 5 Abs. 2 ergänzt die Rechenschaftspflicht. Ein Verstoß gegen diese Grundsätze kann nach Art. 83 Abs. 5 DSGVO mit den höchsten Geldbußen der Verordnung geahndet werden. Sie sind also keine unverbindlichen Leitlinien, sondern geltendes Recht.
Die Grundsätze im Einzelnen
| Buchstabe | Grundsatz | Kurz gesagt |
|---|---|---|
| a | Rechtmäßigkeit, Treu und Glauben, Transparenz | Erlaubt, fair und nachvollziehbar |
| b | Zweckbindung | Nur für festgelegte Zwecke |
| c | Datenminimierung | So wenig wie nötig |
| d | Richtigkeit | Sachlich richtig und aktuell |
| e | Speicherbegrenzung | Nur so lange wie nötig |
| f | Integrität und Vertraulichkeit | Sicher vor Zugriff, Verlust und Manipulation |
a) Rechtmäßigkeit, Treu und Glauben, Transparenz
Rechtmäßig ist eine Verarbeitung, wenn sie auf einer Rechtsgrundlage nach Art. 6 DSGVO beruht. Treu und Glauben heißt: fair, ohne Tricks, ohne versteckte Absichten. Transparenz bedeutet, dass die betroffene Person erkennen kann, wer was mit ihren Daten macht. Dafür sorgen zum Beispiel Hinweisschilder an Kameras oder ein Datenschutzhinweis auf dem Besucherformular. Eine versteckte Kamera im Pausenraum verstößt gleich gegen alle drei Teile.
b) Zweckbindung
Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben und dürfen nicht in einer Weise weiterverarbeitet werden, die damit unvereinbar ist. Eine Besucherliste zur Sicherheit im Gebäude ist kein Adressverteiler für Werbung. Ausführlich auf der Seite zur Zweckbindung.
c) Datenminimierung
Die Daten müssen dem Zweck angemessen und erheblich und auf das notwendige Maß beschränkt sein. Für eine Besucherkontrolle braucht man Name und Firma, aber nicht Geburtsdatum und Wohnadresse. Mehr dazu unter Datenminimierung.
d) Richtigkeit
Daten müssen sachlich richtig und, wenn nötig, auf dem neuesten Stand sein. Unrichtige Daten sind unverzüglich zu löschen oder zu berichtigen. Für dich ist das vor allem beim Schreiben von Berichten wichtig. Trenne klar zwischen dem, was du gesehen hast, und dem, was dir jemand erzählt hat. "Herr K. hat die Scheibe eingeschlagen" ist etwas anderes als "Laut Zeuge M. soll Herr K. die Scheibe eingeschlagen haben". Ein falscher Eintrag im Wachbuch kann einem Menschen ernsthaft schaden. Auch eine Liste mit Zutrittsberechtigten muss aktuell sein. Wer gekündigt hat, darf nicht weiter auf der Liste stehen.
e) Speicherbegrenzung
Daten dürfen in einer Form, die die Identifizierung der Person ermöglicht, nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Danach werden sie gelöscht oder anonymisiert. Besucherlisten, Kameraaufnahmen und Fahrzeuglisten brauchen deshalb feste Löschfristen. Die genaue Frist hängt vom Zweck ab und wird vom Verantwortlichen festgelegt.
f) Integrität und Vertraulichkeit
Die Daten müssen durch geeignete technische und organisatorische Maßnahmen geschützt werden: gegen unbefugte oder unrechtmäßige Verarbeitung und gegen unbeabsichtigten Verlust, Zerstörung oder Schädigung. Abschließbare Schränke, Passwörter, gesperrte Bildschirme und Zugriffsrechte sind Beispiele. Hier liegt der Teil, auf den du als Wachperson täglich den größten Einfluss hast.
Die Rechenschaftspflicht nach Abs. 2
Der Verantwortliche ist nicht nur dafür zuständig, die Grundsätze einzuhalten. Er muss es auch nachweisen können. Das nennt die DSGVO Rechenschaftspflicht. Deshalb gibt es Verzeichnisse von Verarbeitungstätigkeiten, schriftliche Löschkonzepte, Schulungsnachweise und unterschriebene Vertraulichkeitsverpflichtungen. Wenn du eine Datenschutzschulung abzeichnest, hilfst du deinem Arbeitgeber, diese Pflicht zu erfüllen.
Ein Fall aus dem Dienst
In einem Krankenhaus arbeitest du im Empfangsdienst. Dein Vorgänger hat eine private Excel-Liste auf dem Dienst-PC hinterlassen. Darin stehen seit drei Jahren alle Besucher der geschlossenen Station mit Namen, Telefonnummer, Geburtsdatum und einem Feld "Bemerkungen", in dem Dinge stehen wie "nervig" oder "trinkt wohl". Die Datei ist nicht passwortgeschützt.
Hier sind fast alle Grundsätze verletzt. Es gibt keinen erkennbaren festgelegten Zweck (b), Geburtsdatum und Telefonnummer sind für die Besuchskontrolle nicht nötig (c), die Bemerkungen sind abwertend und unbelegt (a und d), drei Jahre ohne Löschung sind zu lang (e), und die Datei ist ungeschützt (f). Du löschst die Datei nicht eigenmächtig, sondern meldest den Fund deinem Vorgesetzten oder dem Datenschutzbeauftragten. Der Verantwortliche entscheidet, was damit geschieht.
Typische Prüfungsfallen
- Art. 5 enthält sechs Grundsätze in Absatz 1 und die Rechenschaftspflicht in Absatz 2.
- Datenminimierung betrifft die Menge der Daten, Speicherbegrenzung die Dauer.
- Transparenz heißt nicht, dass jeder alle Daten sehen darf, sondern dass die Betroffenen wissen, was passiert.
- Die Rechenschaftspflicht trifft den Verantwortlichen, nicht die einzelne Wachperson.
- Verstöße gegen Art. 5 sind bußgeldbewehrt, die Grundsätze sind kein unverbindlicher Leitfaden.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Welche Grundsätze stehen in Art. 5 Abs. 1 DSGVO?
Was verlangt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO?
Eine Besucherliste wird seit Jahren nie gelöscht, obwohl sie nur der Kontrolle am jeweiligen Tag dient. Gegen welchen Grundsatz wird vor allem verstoßen?
Du schreibst in einen Bericht: Herr K. hat die Scheibe eingeschlagen. Gesehen hast du es nicht, ein Zeuge hat es dir erzählt. Welcher Grundsatz ist berührt?
Welche Maßnahmen dienen dem Grundsatz der Integrität und Vertraulichkeit?
Was bedeutet Transparenz im Sinne von Art. 5 Abs. 1 Buchstabe a DSGVO?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 5 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.