Grundlegende Informationen zum Datenschutz
Verfassungsrechtliche Fundierung des Datenschutzes
Auf bundesdeutscher Ebene hat das Datenschutzrecht seine Grundlage im Recht auf informationelle Selbstbestimmung, das vom Bundesverfassungsgericht als Element des allgemeinen Pers?nlichkeitsrechts anerkannt worden ist ("Volksz?hlungsurteil" vom 15.12.1983, BVerfGE 65, 1). Demnach darf der Einzelne “grunds?tzlich selbst über die Preisgabe und Verwendung seiner pers?nlichen Daten […] bestimmen”, Einschr?nkungen dieses Rechts bedürfen einer verfassungsgem??en gesetzlichen Grundlage und die von einer Datenverarbeitung Betroffenen müssen “wissen k?nnen, wer was wann und bei welcher Gelegenheit über sie wei?”.
In der EU-Grundrechtecharta (GRCh) ist mit Art. 8 eine explizite Norm zum Schutz personenbezogener Daten verankert worden, wonach u. a. personenbezogene Daten “nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden [dürfen]” und Alle das Recht haben, “Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken”.
Menschen und ihre Daten als Gegenstand des Datenschutzrechts
Die Regelungen des Datenschutzes gelten damit nur für personenbezogene Daten, also Daten, die einem konkreten Menschen zugeordnet werden k?nnen. Dazu geh?ren auch pseudonyme Daten, wobei die Personenzuordnung hier nur unter Zuhilfenahme zus?tzlicher, separat aufbewahrter Informationen m?glich ist. Anonyme Daten, d.h. Daten, bei denen kein Personenbezug herstellbar ist, werden von den datenschutzrechtlichen Regelungen nicht berührt. N?here Informationen hierzu finden sich auf der Unterseite zum Personenbezug von Daten.
Grunds?tze für die Verarbeitung personenbezogener Daten
Die Datenschutz-Grundverordnung (DSGVO) formuliert insgesamt neun Grunds?tze, die bei der Verarbeitung von personenbezogenen Daten zu beachten sind:
Rechtm??igkeit
Jede Verarbeitung von personenbezogenen Daten ben?tigt eine Rechtsgrundlage. Dies kann bspw. die Erforderlichkeit der Datenverarbeitung zur Erfüllung einer ?ffentlichen Aufgabe oder eines Vertrags sein oder eine Einwilligung der betroffenen Person in die Verarbeitung ihrer Daten. N?here Informationen hierzu finden sich weiter unten.
Verarbeitung nach Treu und Glauben
Die Verarbeitung von personenbezogenen Daten darf nur auf ?faire“ Art und Weise erfolgen. Beispiele für ?unfaire“ Datenverarbeitung w?ren verborgene Verarbeitungsvorg?nge wie z. B. versteckte Videokameras oder Software zum geheimen Ausspionieren oder ?berwachen von Nutzenden.
Transparenz
Personenbezogene Daten müssen in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden, weshalb die von der Datenverarbeitung Betroffenen hinsichtlich der “W-Fragen" (Wer? Wozu? Was? Wo? Wie lange?) aufgekl?rt werden müssen. Der Herstellung von Verarbeitungstransparenz dienen insbesondere die Informationspflichten nach Art. 13 und 14 DSGVO sowie das Auskunftsrecht nach Art. 15 DSGVO.
Zweckbindung
Personenbezogene Daten dürfen allein für festgelegte Zwecke erhoben und nur weiterverarbeitet werden, wenn der Weiterverarbeitungszweck mit dem ursprünglichen Erhebungszweck vereinbar ist. Dadurch soll die Verarbeitung ihrer personenbezogenen Daten für die betroffenen Personen überschaubar und kontrollierbar sein.
Datenminimierung
Der Umfang der verarbeiteten Daten muss dem jeweiligen Zweck angemessen und auf das zu dessen Erreichung erforderliche Ma? beschr?nkt sein. Eine Erhebung und Verarbeitung nicht notwendiger Daten ist damit zu vermeiden und mit den Daten “sparsam” umzugehen. Werkzeuge der Datenminimierung sind auch Pseudonymisierung und Anonymisierung, also die Entfernung des Personenbezugs von Daten.
Richtigkeit
Personenbezogene Daten müssen inhaltlich korrekt und auf einem aktuellen Stand sein; ?falsche“ bzw. veraltete Daten sind zu l?schen oder zu berichtigen.
Speicherbegrenzung
Wenn personenbezogene Daten nicht mehr ben?tigt werden, muss ihre L?schung erfolgen.
Integrit?t und Vertraulichkeit
Personenbezogene Daten müssen vertraulich behandelt und sicher verarbeitet werden. Insbesondere dürfen Unbefugte keinen Zugang zu den Daten und mithin auch keine Zugriffsm?glichkeit auf die Ger?te und Systeme, mit denen diese verarbeitet werden, haben, und eine unbeabsichtigte Sch?digung oder Zerst?rung der Daten ist unbedingt zu vermeiden. Hierfür sind geeignete technische und organisatorische Ma?nahmen zu treffen.
Rechenschaftspflicht
Der für die Datenverarbeitung Verantwortliche muss nachweisen k?nnen, dass die Verarbeitung personenbezogener Daten nach den Vorgaben der DSGVO erfolgt. Dazu ist eine entsprechende Dokumentation erforderlich, bspw. hinsichtlich der Erfüllung der Informationspflichten oder der ergriffenen technischen und organisatorischen Ma?nahmen.