Die Einhal­tung nachste­hender Grund­sätze ist bei der Verar­bei­tung perso­nen­be­zo­gener Daten unbedingt notwendig. Die Rechen­schafts­pflicht darüber liegt beim Verantwortlichen.

Perso­nen­be­zo­gene Daten müssen auf recht­mä­ßige Weise, nach dem Grund­satz von Treu und Glauben und in einer für die betrof­fene Person nachvoll­zieh­baren Weise verar­beitet werden. Um die Trans­pa­renz herzu­stellen, sind Personen zu infor­mieren, welche Daten über sie erhoben werden und wie bzw. in welchem Umfang diese perso­nen­be­zo­genen Daten heute und zukünftig verar­beitet werden. Die dafür verwen­dete Sprache soll klar und einfach sowie leicht zugäng­lich sein. Auch die Identität des Verant­wort­li­chen, der Zweck der Verar­bei­tung sowie die Rechte Betrof­fener müssen einfach und trans­pa­rent bereit­ge­stellt werden.

Ebenso dürfen perso­nen­be­zo­gene Daten nur für festge­legte, eindeu­tige und legitime Zwecke erhoben werden. Sie dürfen nicht in einer mit diesen Zwecken nicht zu verein­ba­renden Weise weiter­ver­ar­beitet werden. Dem liegt der Gedanke zu Grunde, dass natür­liche Personen selbst bestimmen sollten, wer wann was über sie weiß. Daher ist hier zu empfehlen, den Zweck der Daten­ver­ar­bei­tung möglichst konkret anzugeben und die Zustim­mung dazu einzu­holen (sofern nicht eine andere Rechts­grund­lage heran­ge­zogen wird).

Ausnahmen von der Zweckbindung

Die Weiter­ver­ar­bei­tung

• für im öffent­li­chen Inter­esse liegende Archivzwecke
• für wissen­schaft­liche oder histo­ri­sche Forschungszwecke
• für statis­ti­sche Zwecke

ist legitim. (Art. 89 DSGVO)

Achten Sie darauf, nur das notwen­dige Maß an Daten zu verwenden, das für die jewei­lige Aufgabe notwendig ist. Konkret müssen die Daten “dem Zweck angemessen und erheb­lich sowie auf das für die Zwecke der Verar­bei­tung notwen­dige Maß beschränkt sein”.

Nehmen Sie als Beispiel, Sie machen – natür­lich mit einer gültigen Rechts­grund­lage – ein Mailing. Die Adres­sie­rung erledigt als Auftrags­ver­ar­beiter Ihre Druckerei für Sie. Dann müssen Sie darauf achten, dass in den zur Verfü­gung gestellten Daten nur die für das Mailing wirklich notwen­digen Daten enthalten sind.

Perso­nen­be­zo­gene Daten müssen sachlich richtig und auf dem neuesten Stand sein. Es sind alle angemes­senen Maßnahmen zu treffen, dass perso­nen­be­zo­gene Daten, die im Hinblick auf die Zwecke ihrer Verar­bei­tung unrichtig sind, unver­züg­lich berich­tigt / gelöscht werden.

Perso­nen­be­zo­gene Daten müssen in einer Form gespei­chert werden, die die Identi­fi­zie­rung der betrof­fenen Personen nur so lange ermög­licht, wie es für die Zwecke, für die sie verar­beitet werden, erfor­der­lich ist.

Auch hier greift wieder die Ausnahme der Speiche­rung und Weiter­ver­ar­bei­tung für im öffent­li­chen Inter­esse liegende Archiv­zwecke oder für wissen­schaft­liche und histo­ri­sche Forschungs­zwecke oder für statis­ti­sche Zwecke (gemäß Art. 89 DSGVO) verar­beitet werden.

Perso­nen­be­zo­gene Daten müssen in einer Weise verar­beitet werden, die eine angemes­sene Sicher­heit der perso­nen­be­zo­genen Daten gewähr­leistet. Der Schutz vor unbefugter oder unrecht­mä­ßiger Verar­bei­tung,  vor unbeab­sich­tigtem Verlust, unbeab­sich­tigter Zerstö­rung oder unbeab­sich­tigter Schädi­gung ist durch geeig­nete techni­sche und organi­sa­to­ri­sche Maßnahmen sicherzustellen.