DSGVO Artikel 5: Grundsätze Verarbeitung 2026

In einem Satz. DSGVO Artikel 5 definiert die sieben Grundsätze der Datenverarbeitung — Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit und Rechenschaftspflicht — und ist mit höchsten Bußgeldern verbunden (Art. 83 Abs. 5: bis 20 Mio. € oder 4% Konzernumsatz).

Verstöße gegen Art. 5 sind regelmäßig Hauptbegründung für Aufsichtsbußgelder. Siehe ergänzend DSGVO Anforderungen, Datensparsamkeit, Zweckbindung, Datenrichtigkeit.

Wichtige Punkte

• Sieben Grundsätze, Verstoß = höchste Bußgeldkategorie.
• Deutsche Wohnen: 14,5 Mio. € (Speicherbegrenzung).
• H&M Hamburg: 35,3 Mio. € (Datenminimierung, Treu und Glauben).
• Rechenschaftspflicht (Accountability) als Querschnittsanforderung.
• Dokumentation als zentrales Beweismittel.

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

Art. 5 Abs. 1 lit. a: Verarbeitung nur mit Rechtsgrundlage (Art. 6, 9), fair gegenüber Betroffenen, transparent erkennbar. Auslegung: Information nach Art. 13/14 in klarer Sprache, ohne versteckte Klauseln.

2. Zweckbindung

Art. 5 Abs. 1 lit. b: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Zweckänderung nur unter engen Voraussetzungen (Art. 6 Abs. 4).

3. Datenminimierung

Art. 5 Abs. 1 lit. c: Nur die für den Zweck angemessen, erheblich und auf das notwendige Maß beschränkten Daten. Praxis: jede Datenkategorie hinterfragen, Pflichtfelder minimieren.

Ein Feld-für-Feld-Review zur Datenminimierung dokumentiert dafür Zweck, Notwendigkeit, optionale Angaben und die Folgen einer Entfernung im gesamten Datenfluss.

4. Richtigkeit

Art. 5 Abs. 1 lit. d: Daten müssen sachlich richtig und aktuell sein. Pflicht zur Berichtigung (Art. 16). Praxis: Update-Prozesse, Plausibilitätsprüfungen.

5. Speicherbegrenzung

Art. 5 Abs. 1 lit. e: Daten nur so lange aufbewahren, wie zum Zweck erforderlich. Lösch- und Archivkonzept Pflicht. Deutsche-Wohnen-Lehre: passives Archivieren ist Verarbeitung — Löschkonzept erforderlich.

6. Integrität und Vertraulichkeit

Art. 5 Abs. 1 lit. f: Schutz vor unbefugter Verarbeitung, Verlust, Zerstörung. Verbindung zu Art. 32. Konkrete Maßnahmen siehe DSGVO Art. 32.

7. Rechenschaftspflicht (Accountability)

Art. 5 Abs. 2: Verantwortlicher muss Einhaltung der Grundsätze nachweisen können. Querschnittsanforderung mit Dokumentation aller Verarbeitungen.

8. Bußgeldhöhen

Art. 83 Abs. 5: bis 20 Mio. € oder 4% des weltweiten Konzernumsatzes — je nachdem, welcher Wert höher ist.

9. Dokumentationsanforderungen

• Verzeichnis nach Art. 30.
• Datenschutz-Folgenabschätzung Art. 35.
• Einwilligungen Art. 7 Abs. 1.
• Auftragsverarbeitungsverträge Art. 28.
• TOM-Konzept Art. 32.
• Schulungsnachweise.

10. Praktische Umsetzung

11. Vollständiger Artikeltext (Auszug)

Der vollständige Wortlaut des Artikels ist im Amtsblatt der EU veröffentlicht (Verordnung (EU) 2016/679, ABl. L 119/1 vom 4.5.2016). Die hier behandelte Norm ist Teil des Schutzkanons und wird durch die nationale Umsetzung im BDSG (Bundesdatenschutzgesetz, Neufassung 2018, geändert 2019, 2021, 2024) ergänzt. Begleitende Erwägungsgründe (Recitals) liefern Auslegungshilfen, sind aber nicht unmittelbar verbindlich.

12. Relevante Erwägungsgründe (Recitals)

Erwägungsgründe konkretisieren die Anwendung. Besonders einschlägig für diesen Artikel:

• Recital 39: Grundsatz der Transparenz und faire Verarbeitung.
• Recital 50: Vereinbare Weiterverarbeitung — kompatible Zwecke.
• Recital 75: Risiken für Rechte und Freiheiten.
• Recital 76: Bewertung der Eintrittswahrscheinlichkeit.
• Recital 83: Sicherheit der Verarbeitung (Stand der Technik).
• Recital 85: Datenpannenrisiken und Meldepflicht.

Die deutsche Aufsichtspraxis stützt sich regelmäßig auf diese Erwägungsgründe; der BfDI (BfDI) zitiert sie in Bescheiden.

13. Enforcement-Fälle 2020-2024

Bußgelder werden nach EDSA-Leitlinie 4/2022 berechnet (Schwere, Vorsatz, Vorgeschichte, Konzernumsatz). Maximum: 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

14. EuGH-Rechtsprechung

Wesentliche Urteile mit Relevanz:

• C-311/18 Schrems II (16.7.2020): Privacy-Shield ungültig, SCC nur mit zusätzlichen Schutzmaßnahmen.
• C-184/20 Vyriausioji (1.8.2022): Verarbeitung sensibler Daten nur restriktiv.
• C-300/21 Österreichische Post (4.5.2023): Schadensersatz nach Art. 82 setzt konkreten Schaden voraus, keine Bagatellgrenze.
• C-340/21 Natsionalna agentsia (14.12.2023): Beweislast für TOM beim Verantwortlichen.
• C-687/21 MediaMarktSaturn (25.1.2024): Mitarbeiterfehler entlasten nicht.
• C-26/22 SCHUFA-Scoring (7.12.2023): Score-Wert ist automatisierte Einzelentscheidung nach Art. 22.

Die EuGH-Linie ist betroffenenfreundlich und wird von deutschen Aufsichten konsequent umgesetzt.

15. EDPB- und BfDI-Leitlinien

Verbindliche Auslegungshilfen:

• EDPB Guidelines 4/2022: Bußgeldberechnung.
• EDPB Guidelines 5/2020: Einwilligung.
• EDPB Guidelines 8/2020: Targeting Social Media Users.
• BfDI-Tätigkeitsbericht 2024 (Bundestag-Drucksache).
• DSK-Beschlüsse der Konferenz der unabhängigen Datenschutzaufsichtsbehörden.
• Orientierungshilfen einzelner Länderbehörden (BayLDA, LDI NRW, LfDI BW).

Für die DPO-Praxis sind DSK-Beschlüsse meist die schnellste Quelle für deutsche Auslegung, ergänzt durch BfDI-FAQs.

16. Zusammenspiel mit BDSG

Das BDSG (Bundesdatenschutzgesetz, Neufassung 2018) regelt:

• § 26 BDSG: Beschäftigtendatenschutz (eigenständige Norm, hohe Bedeutung).
• § 38 BDSG: DSB-Pflicht ab 20 Beschäftigten (über DSGVO hinaus).
• § 22 BDSG: Verarbeitung besonderer Kategorien (Konkretisierung Art. 9).
• § 27 BDSG: Forschungsdatenschutz.
• § 32 ff. BDSG: Informationspflichten und Betroffenenrechte.
• § 41 ff. BDSG: Bußgeldvorschriften und Strafvorschriften (§ 42 BDSG).

Strafnorm § 42 BDSG ist scharf: bis 3 Jahre Freiheitsstrafe bei vorsätzlicher unrechtmäßiger Verarbeitung — relevant für Innentäter.

17. Implementierungs-Checkliste

1. Verarbeitungsverzeichnis aktualisieren (Art. 30).
2. Rechtsgrundlage dokumentieren (Art. 6 / Art. 9).
3. Informationspflichten erfüllen (Art. 13/14).
4. TOM nach DSGVO Art. 32 Sicherheit prüfen.
5. AVV mit allen Auftragsverarbeitern (AVV Muster).
6. DSFA bei hohem Risiko nach Art. 35.
7. Datenpannenprozess installieren (Datenpanne melden).
8. DSB benennen und einbinden.
9. Schulung mindestens jährlich.
10. Audit alle 12-24 Monate.

Fazit

Art. 5 ist DAS Herzstück der DSGVO. Bei jeder Aufsichtsprüfung wird zuerst gefragt: “Erfüllen Sie die Grundsätze, und können Sie das nachweisen?”. Wer Verzeichnis, Löschkonzept und TOM sauber hat, beherrscht 80% der Aufsichtsrisiken.

Amtliche Quellen

• Verordnung (EU) 2016/679 (DSGVO) — konsolidierter Volltext auf EUR-Lex
• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)
• Datenschutzkonferenz (DSK) — Beschlüsse und Orientierungshilfen der Aufsichtsbehörden
• Europäischer Datenschutzausschuss (EDPB) — Leitlinien

FAQ

Was sind die sieben Grundsätze?

Rechtmäßigkeit/Treu/Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit, Rechenschaftspflicht.

Wie hoch sind Bußgelder bei Art. 5-Verstößen?

Bis 20 Mio. € oder 4% des weltweiten Konzernumsatzes (Art. 83 Abs. 5). H&M zahlte 35,3 Mio. €.

Was bedeutet Accountability?

Rechenschaftspflicht: der Verantwortliche muss die Einhaltung aller Grundsätze nachweisen können — Beweislast liegt bei ihm.

Wie zeige ich Datenminimierung nach?

Dokumentation pro Datenfeld: Zweck, Erforderlichkeit, Alternative geprüft? Pflichtfeld-Review mindestens jährlich.

Was lehrt der Deutsche-Wohnen-Fall?

Passives Archivieren ist Verarbeitung. Löschkonzept mit klaren Fristen und automatischer Umsetzung ist Pflicht.

Wer überwacht die Einhaltung dieses Artikels in Deutschland?

Primär die zuständige Landesdatenschutzbehörde am Sitz des Verantwortlichen (Art. 55 DSGVO). Bei grenzüberschreitenden Verfahren greift One-Stop-Shop nach Art. 56 mit Federführung der Hauptniederlassungs-Behörde. Bundesbehörden, Telekommunikation und Post unterliegen dem BfDI. Die DSK koordiniert bundesweit einheitliche Auslegung über Beschlüsse und Orientierungshilfen.

Welche Bußgelder drohen bei Verstößen?

Nach Art. 83 Abs. 5 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes — je nachdem, welcher Betrag höher ist. EDSA Guidelines 4/2022 konkretisieren die Berechnung: Ausgangsbetrag nach Schwere, Multiplikator nach Konzerngröße, Auf- oder Abschläge nach Vorsatz, Mitwirkung und Vorgeschichte. In Deutschland sind bislang Sanktionen bis 35,3 Mio. € (H&M Hamburg, 2020) verhängt worden.

Wie verhält sich die Norm zum BDSG?

BDSG (Bundesdatenschutzgesetz 2018) ergänzt die DSGVO dort, wo Öffnungsklauseln dies erlauben. Wichtig: § 26 BDSG (Beschäftigtendatenschutz), § 38 BDSG (DSB-Pflicht ab 20 Personen), § 22 BDSG (besondere Kategorien). § 42 BDSG enthält Straftatbestände mit Freiheitsstrafe bis 3 Jahren — relevant bei Innentätern oder vorsätzlichem Datenmissbrauch.

Welche EuGH-Urteile sollte ich kennen?

Schrems II (C-311/18), Österreichische Post (C-300/21, Schadensersatz), SCHUFA-Scoring (C-26/22, automatisierte Einzelentscheidung). Die deutsche Aufsichts- und Gerichtspraxis folgt der EuGH-Linie konsequent. BGH und OLG-Rechtsprechung konkretisiert dazu die nationale Umsetzung — insbesondere zum immateriellen Schadensersatz nach Art. 82.

Wie sieht ein typischer Compliance-Workflow aus?

Bestandsaufnahme über Art. 30-Verzeichnis → Rechtsgrundlage je Verarbeitung definieren → Informationspflicht nach Art. 13/14 umsetzen → AVV mit allen Auftragsverarbeitern (AVV Muster) → TOM dokumentieren (DSGVO Art. 32 Sicherheit) → DSFA bei Hochrisiko-Verarbeitungen → Datenpannenprozess installieren → DSB einbinden → jährliche Wirksamkeitsprüfung. Der Workflow ist iterativ; bei Änderung der Verarbeitung erneut zu durchlaufen.