Grundsätze der Verarbeitung (Art. 5 DSGVO)

Art. 5 DSGVO stellt einen Katalog von Grundpflichten auf, die jede Verarbeitung personenbezogener Daten erfüllen muss. Die Grundsätze gehen auf Art. 8 Abs. 2 GRC zurück und bilden zusammen mit den Rechtsgrundlagen des Art. 6 DSGVO den materiellen Kern des unionsrechtlichen Datenschutzrechts.

1 Überblick

1.1 Rechtsfolge und Systematik

Jede Datenverarbeitung muss zugleich die Grundsätze des Art. 5 DSGVO und eine Rechtsgrundlage nach Art. 6 DSGVO erfüllen. Die Grundsätze beschreiben die Qualität der Verarbeitung, Art. 6 DSGVO ihre Zulässigkeit. Der EuGH hält in ständiger Rechtsprechung daran fest, dass beide Prüfungen kumulativ erfüllt sein müssen.

Die Grundsätze sind keine bloßen Programmsätze und auch keine bloßen Optimierungsgebote, sondern verbindliche Grundpflichten des Verantwortlichen. Ihre Bindungswirkung folgt unmittelbar aus Art. 8 Abs. 2 GRC, der selbst einzelne dieser Grundsätze (Einwilligung oder gesetzliche Grundlage, Zweckfestlegung und Treu und Glauben) benennt.

1.2 Die neun Grundsätze im Einzelnen

Art. 5 Abs. 1 DSGVO nennt sechs materielle Grundsätze, lit. a enthält darüber hinaus zwei weitere eigenständige Anforderungen:

Gegenüber Art. 6 der Datenschutz-Richtlinie 95/46/EG sind die Grundsätze der Transparenz, der Integrität und Vertraulichkeit sowie die Rechenschaftspflicht neu hinzugekommen. Parallel zu Art. 5 DSGVO bestehen inhaltlich weitgehend gleichlaufende Vorschriften in Art. 4 Abs. 1 der Richtlinie (EU) 2016/680 (umgesetzt in § 47 BDSG) sowie in Art. 4 der Verordnung (EU) 2018/1725 für die Organe und Einrichtungen der Union.

1.3 Adressaten

Art. 5 Abs. 2 DSGVO spricht die Rechenschaftspflicht ausdrücklich dem Verantwortlichen zu. Die Grundsätze des Absatzes 1 richten sich demgegenüber an jede Stelle, die personenbezogene Daten verarbeitet, also auch an den Auftragsverarbeiter. Soweit die DSGVO den Auftragsverarbeiter gesondert verpflichtet (etwa durch Art. 28, 32 DSGVO), konkretisieren diese Regelungen die Grundsätze für seine Tätigkeit.

1.4 Bußgeldbewehrung

Verstöße gegen die Grundsätze des Art. 5 DSGVO sind nach Art. 83 Abs. 5 lit. a DSGVO mit Bußgeldern der höchsten Kategorie (bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes) bedroht. Die Allgemeinheit der Grundsätze wirft dabei Fragen des Bestimmtheitsgrundsatzes auf, weil die Grundsätze aus sich heraus wenig konkrete Verhaltensanforderungen formulieren.

2 Ausnahmen von den Grundsätzen

2.1 Nationale Ausnahmen nach Art. 23 DSGVO

Art. 23 Abs. 1 DSGVO erlaubt nationalen Gesetzgebern Ausnahmen von den Grundsätzen des Art. 5 DSGVO, allerdings nur „insofern dessen Bestimmungen den in den Art. 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen". Die Einschränkung ist an den praktischen Auswirkungen des jeweiligen Grundsatzes zu messen: Informationspflichten, die sich aus Transparenz oder Treu und Glauben neben Art. 13, 14 DSGVO ergeben können, dürfen beschränkt werden; eine Ausnahme vom Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) lässt sich hingegen nicht auf Art. 23 Abs. 1 DSGVO stützen, weil dieser keinen Bezug zu den Betroffenenrechten hat.

2.2 Medienprivileg nach Art. 85 DSGVO

Art. 85 Abs. 2 DSGVO erlaubt Ausnahmen vom Kapitel II der DSGVO (und damit auch von Art. 5 DSGVO) für Verarbeitungen zu journalistischen, künstlerischen, wissenschaftlichen und literarischen Zwecken. Die Mitgliedstaaten haben diese Öffnungsklausel durch Medien- und Presserecht ausgefüllt, in Deutschland etwa durch § 23 Abs. 1 S. 4 MStV sowie die Landespressegesetze.

3 Verhältnis zu Art. 6 DSGVO

Der Grundsatz der Rechtmäßigkeit in Art. 5 Abs. 1 lit. a DSGVO verweist auf Art. 6 DSGVO, der die konkreten Rechtsgrundlagen für die Verarbeitung benennt. Die übrigen Grundsätze entfalten daneben eigenständige Anforderungen. Das führt dazu, dass eine Verarbeitung trotz wirksamer Rechtsgrundlage unzulässig sein kann, wenn sie beispielsweise gegen die Datenminimierung oder die Speicherbegrenzung verstößt.

4 Die einzelnen Grundsätze im Hub