Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) geht in Teil 2 seiner Beitragsreihe zur EU-DSGVO auf Begrifflichkeiten und Grundsätze im Zusammenhang mit der anstehenden EU-DSGVO ein. Die bereitgestellten Informationen sollen die bayerischen öffentlichen Stellen bei der Umstellung auf die Datenschutz-Grundverordnung unterstützen.

TERMINOLOGIE DER DSGVO

Eine Reihe zentraler Begriffe der Datenschutz-Grundverordnung ist in Art. 4 DSGVO definiert. Viele davon sind bereits aus dem bisherigen Datenschutzrecht bekannt und inhaltlich im Wesentlichen unverändert; teilweise ergeben sich jedoch Abweichungen. Zu diesen Begrifflichkeiten zählen z. B. „Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ oder „Einwilligung“.
Zur ordnungsgemäßen Umsetzung der Datenschutz-Grundverordnung ist es unerlässlich, dass sich die bayerischen öffentlichen – insbesondere staatlichen und kommunalen – Stellen mit den (teilweise vom bisherigen Sprachgebrauch abweichenden) Begrifflichkeiten der Datenschutz-Grundverordnung vertraut machen. Besonderes Augenmerk ist in diesem Zusammenhang auf die in Art. 4 DSGVO enthaltenen Begriffsbestimmungen zu legen.

GRUNDSÄTZE DER DSGVO

Auch wenn die Datenschutz-Grundverordnung gegenüber dem bisherigen nationalen Datenschutzrecht insbesondere in formeller Hinsicht einige Neuregelungen trifft, hat sie materiell-rechtlich die bekannten und vertrauten Datenschutzgrundsätze im Wesentlichen beibehalten und fortentwickelt. Diese Grundsätze sind in Art. 5 DSGVO („Grundsätze für die Verarbeitung personenbezogener Daten“) aufgeführt und werden durch die weiteren Vorschriften der Datenschutz-Grundverordnung konkretisiert.
Im Einzelnen:

1. Art. 5 Abs. 1 Buchst. a DSGVO normiert die Grundsätze der Rechtmäßigkeit der Verarbeitung personenbezogener Daten, der Verarbeitung nach Treu und Glauben sowie der Transparenz. Personenbezogene Daten müssen hiernach „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden“.
2. Der Grundsatz der Zweckbindung ist in Art. 5 Abs. 1 Buchst. b DSGVO festgelegt. Personenbezogene Daten dürfen hiernach nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine Weiterverarbeitung ist unzulässig, wenn sie mit diesen Erhebungszwecken nicht zu vereinbaren ist.
3. Nach Art. 5 Abs. 1 Buchst. c DSGVO müssen „personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“. Diese (sprachlich etwas unglückliche) Formulierung entspricht inhaltlich im Wesentlichen dem Erforderlichkeitsgrundsatz, der bereits das geltende Datenschutzrecht prägt. Die Datenschutz-Grundverordnung spricht in diesem Zusammenhang aber vom Grundsatz der „Datenminimierung“. Vor diesem Hintergrund hat der Verantwortliche insbesondere zu prüfen, ob ein bestimmter Verarbeitungszweck tatsächlich die Verarbeitung personenbezogener Daten erfordert oder ob nicht vielmehr die Verarbeitung anonymisierter Daten ausreichend ist.
4. Personenbezogene Daten müssen nach Art. 5 Abs. 1 Buchst. d DSGVO sachlich richtig sein. Soweit erforderlich, müssen sie auf dem neuesten Stand sein. Es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden (Grundsatz der „Richtigkeit“).
5. Art. 5 Abs. 1 Buchst. e DSGVO regelt den Grundsatz der „Speicherbegrenzung“: Demnach müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Verarbeitungszwecke erforderlich ist.
   Ausnahmen hiervon sieht diese Vorschrift unter bestimmten Voraussetzungen für Verarbeitungen vor, die ausschließlich für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1 DSGVO erfolgen.
6. Nach dem in Art. 5 Abs. 1 Buchst. f DSGVO normierten Grundsatz der „Integrität und Vertraulichkeit“ müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet. Dies schließt den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen ein. Konkretisierende Vorgaben hierzu in technischer und organisatorischer Hinsicht finden sich insbesondere in Art. 32 DSGVO.

Die Einhaltung der dargestellten Grundsätze für die Verarbeitung personenbezogener Daten ist durch den Verantwortlichen nachzuweisen (sog. Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).