5.
2
ErwG 50 betont insbesondere in S. 8, dass die in der DS-GVO niedergelegten Grundsätze bei der Verarbeitung personenbezogener Daten zu anderen Zwecken zu gewährleisten sind.
1. DSRL
3
Art. 5 übernimmt weitgehend die Inhalte des Art. 6 DSRL. Gänzlich neu im Gegensatz zu Art. 6 DSRL ist die Rechenschaftspflicht des Art. 5 Abs. 2.
2. BDSG a.F.
4
Die Grundsätze aus Art. 6 DSRL sind auf nationaler Ebene überwiegend verfassungsrechtlich verankert und wurden im Übrigen mehr oder weniger im BDSG a.F. umgesetzt. So erfuhr bspw. der Grundsatz von „Treu und Glauben“ aus Art. 6 DSRL keine ausdrückliche Erwähnung im BDSG a.F.
3. WP der Art.-29-Datenschutzgruppe
5
| – | WP 260 der Art.-29-Datenschutzgruppe zur Transparenz („Guidelines in transparency under Regulation“ 2016/679), |
| – | WP 172 der Art.-29-Datenschutzgruppe zum Grundsatz der Rechenschaftspflicht, |
| – | WP 203 der Art.-29-Datenschutzgruppe on purpose limitation. |
I. Allgemeines
6
Art. 5 bildet das Herzstück der DS-GVO und regelt das „Wie“ der Verarbeitung.[2]
7
In Art. 5 sind unmittelbar anwendbare, allgemeine Grundsätze als Rechtssätze normiert. Namentlich sind dies die Rechtmäßigkeit, die Verarbeitung nach Treu und Glauben und die Transparenz (Abs. 1 lit. a), der Grundsatz der Zweckbindung mit Ausnahmen für Forschungszwecke (Abs. 1 lit. b), die Datenminimierung (Abs. 1 lit. c), die Datenrichtigkeit (Abs. 1 lit. d), die Speicherbegrenzung (Abs. 1 lit. e) sowie die Integrität und Vertraulichkeit (Abs. 1 lit. f).
8
Inhaltlich deckt sich Art. 5 nicht vollständig mit der Vorgängerreglung des Art. 6 DSRL. So ist bereits die Überschrift des Art. 5 mit der Bezeichnung „Grundsätze“ eine andere als die Überschrift des Art. 6 DSRL mit „Qualität der Daten“. Das bisher nur ungeschriebene Transparenzprinzip wird nunmehr in Art. 5 Abs. 1 lit. a ausdrücklich erwähnt. Der Grundsatz der Transparenz zieht sich durch die gesamte DS-GVO. Insbesondere in den Art. 12 ff. im Rahmen der Informationspflichten und Auskunftsrechten des Betroffenen hat das Transparenzprinzip elementare Bedeutung.[3] Die weiteren, klauselartig formulierten Prinzipien des Art. 5 finden ihre praktische Relevanz insbesondere an den Stellen, an denen die DS-GVO nur sehr allgemeine oder gar keine näheren Regelungen enthält. Hier entfalten sie unmittelbare Wirkung, weil sie im Rahmen gebotener Interessenabwägungen zu gewichten sind. Zu denken ist hier insbesondere an die – für den Geltungsbereich des BDSG n.F. freilich durch § 4 BDSG n.F. präzisierte[4] – Videoüberwachung oder an das Scoring.[5] In diesen Fällen müssen Rechtsanwender vor allem auf den Grundsatz von „Treu und Glauben“ nach Art. 5 Abs. 1 lit. a zurückgreifen.
9
Für den deutschen Rechtsanwender ist die Verwendung dieser Grundätze neu. Art. 6 DSRL war insoweit nur sehr eingeschränkt in deutsches Recht übernommen worden. Lediglich die Grundsätze der Datenvermeidung und Datensparsamkeit wurden ins BDSG (§ 3a) übernommen, aber als bloße Programmsätze bezeichnet.[6]
10
Die Grundsätze des Art. 5 sind trotz ihrer offenen und unbestimmten Formulierung geltendes Recht.[7] Sie sind verbindlich und stellen nicht nur bloße Programmsätze dar.[8] Bei Programmsätzen handelt es sich nämlich um allgemein gehaltene Begriffe oder Sätze, aus denen sich keine unmittelbaren Vorgaben entnehmen lassen und die auch nicht einklagbar sind.[9] Somit macht bereits die Bußgeldbewährung der Verletzung der Grundsätze[10] des Art. 5 deutlich, dass im Rahmen des Art. 5 nicht von Programmgrundsätzen auszugehen ist.[11]
11
Eine eigenständige Bedeutung kommt den Grundsätzen des Art. 5 insoweit zu, als sie den Verantwortlichen mit Blick auf die Betroffenenrechte auch Pflichten aufgeben. So ergeben sich aus Art. 15–22 eigenständige Pflichten für den Verantwortlichen zur Sperrung und Löschung, auch wenn die Betroffenen diese nicht geltend machen, wenn die Verarbeitung dem Grundsatz der Richtigkeit (Abs. 1 lit. d) nicht entspricht.
12
Die Nachweispflicht nach Art. 5 Abs. 2 hat erhebliche praktische Bedeutung, da sie umfangreiche Dokumentationspflichten nach sich zieht und zu einer Beweislast des Verantwortlichen bei Kontrollen oder Interventionen der Aufsichtsbehörden führt. Nach Art. 5 Abs. 2 hat der Verantwortliche dafür zu sorgen, dass die datenschutzrechtlichen Grundsätze eingehalten werden. Die Einhaltung derselbigen hat der Verantwortliche nachzuweisen. Zu beachten ist, dass nach dem Wortlaut der Regelung lediglich der Verantwortliche (Art. 4 Nr. 7), nicht aber der Auftragsverarbeiter (Art. 4 Nr. 8), von dieser Pflicht erfasst wird.[12]
13
Da Art. 5 als eine Kernnorm der Verordnung elementare Grundsätze
