Grund dafür sind die Datenschutz-Prinzipien der Rechtmäßigkeit und Zweckbindung. Das bisher höchste DSGVO-Bußgeld in Deutschland wurde wegen Verstößen gegen diese Grundsätze verhängt.
Grundsatz der Rechtmäßigkeit der Datenverarbeitung
Daten dürfen nur erhoben, gespeichert und genutzt werden, wenn die DSGVO oder ein Gesetz dies erlaubt. Es bedarf daher einer Rechtsgrundlage. Die wichtigsten Rechtsgrundlagen für Unternehmen sind:
- freiwillige und ausdrückliche Einwilligung der betroffenen Person
- Erfüllung eines Vertrags zwischen Unternehmen und der betroffenen Person
- gesetzliche Pflicht
- berechtigtes Interesse des Unternehmens, das die Daten nutzt.
In Unternehmen werden Daten zu verschiedenen Zwecken in unterschiedlichen Prozessen verarbeitet. Die Gesamtheit dieser Prozesse sind die Verarbeitungstätigkeiten, die in einem Verarbeitungsverzeichnis zu dokumentieren sind. Für jede einzelne Verarbeitungstätigkeit sollte geprüft werden, ob eine Rechtsgrundlage vorliegt.
Die Rechtsgrundlagen setzen in der Regel voraus, dass die Nutzung der Daten erforderlich ist.
Beispiel: Zur Erfüllung eines Kaufvertrages ist eine Lieferanschrift erforderlich, sofern die Ware versandt werden soll. Der Versand von Werbung ist dafür dagegen nicht erforderlich, so dass für Werbung die Rechtsgrundlage „Vertrag“ ausscheidet.
Die Verarbeitung besonders sensibler Daten wie Gesundheitsdaten, politische Meinungen oder Religionszugehörigkeit ist nur unter besonders strengen Vorgaben erlaubt.
Grundsatz der Zweckbindung
Mit dem Prinzip der Rechtmäßigkeit verwandt ist der Grundsatz der Zweckbindung. Zweckbindung bedeutet, dass
- schon vor der Erhebung von Daten die Zwecke der Datenverarbeitung festgelegt werden müssen und
- später die Daten nur zu diesen Zwecken genutzt werden dürfen.
In Ausnahmefällen ist aber auch eine spätere Änderung des Verarbeitungszwecks möglich. Die Zwecke sind im Verzeichnis der Verarbeitungstätigkeiten zu dokumentieren und in Datenschutzerklärungen mitzuteilen.
Datenminimierung: Zweckbindung schon bei Datenerhebung
Das Prinzip der Datenminimierung ist eine Spielart des Grundsatzes der Zweckbindung. Demnach soll schon das erstmalige Erheben der Daten auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt werden. Dadurch soll verhindert werden, dass Daten auf Vorrat erhoben werden.
Beispiel: Für die Anmeldung zu einem E-Mail-Newsletter wird zwar eine E-Mail-Adresse benötigt, nicht aber eine Telefonnummer. Letztere darf daher nicht zwingend abgefragt werden.
Speicherbegrenzung: Löschkonzept erforderlich
Das Prinzip der Speicherbegrenzung konkretisiert das Zweckbindungs-Prinzip in zeitlicher Hinsicht: Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke, für die die Daten genutzt werden, erforderlich ist. Um dieses Prinzip einhalten zu können, müssen Speicherfristen ermittelt, festgesetzt und durch Löschkonzepte umgesetzt werden.
Privacy by default
Der Grundsatz Privacy by default besagt, dass IT-Systeme technisch so entwickelt werden müssen, dass das Prinzip der Datenminimierung später eingehalten werden kann. Das IT-System muss demnach in der Grundkonfiguration so eingestellt sein, dass möglichst wenig Daten verarbeitet werden. Dieser Grundsatz gilt schon weit vor der ersten Datenverarbeitung. Er ist somit schon im Entwicklungsprozess oder beim Einkauf von Software zur berücksichtigen.
Beispiel: Verzicht auf vorangekreuzte Checkboxes, Zugriff auf die Handy-Kamera durch eine App erst nach Freischaltung.
Hinweis
Die Prinzipien der Rechtmäßigkeit und Zweckbindung gehören zu den wichtigsten Grundsätzen des Datenschutzrechts. Während manche Rechtsgrundlagen für die Datenverarbeitung leicht geprüft werden können, erfordern andere eine aufwändige Interessensabwägung. In der Praxis wird der Zweckbindungsgrundsatz unterschätzt: Die Verarbeitungszwecke werden in Datenschutzerklärungen und Verarbeitungsverzeichnissen oft nicht detailliert genug beschrieben.
