Grundsätze und Rechtsgrundlagen

Die Grundsätze nach Artikel 5

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz.
• Zweckbindung: festgelegte, eindeutige und legitime Zwecke, keine unvereinbare Weiterverarbeitung.
• Datenminimierung: angemessen, erheblich und auf das Notwendige beschränkt.
• Richtigkeit: sachlich richtig und erforderlichenfalls aktuell.
• Speicherbegrenzung: nicht länger als nötig in identifizierbarer Form.
• Integrität und Vertraulichkeit: angemessene Sicherheit.
• Rechenschaftspflicht: Der Verantwortliche ist für die Einhaltung verantwortlich und muss sie nachweisen können.

Die sechs Rechtsgrundlagen

Artikel 6 Absatz 1 nennt sechs Grundlagen: Einwilligung; Vertrag; rechtliche Verpflichtung; lebenswichtige Interessen; Wahrnehmung einer Aufgabe im öffentlichen Interesse; und berechtigte Interessen, auf die sich Behörden bei der Erfüllung ihrer Aufgaben nicht stützen können. Die Grundlage ist vor Beginn der Verarbeitung zu wählen, zu dokumentieren und in den Datenschutzhinweisen zu erläutern. Sie sollte später nicht gewechselt werden, nur weil die erste Wahl unbequem wird.

Eine Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige bestätigende Handlung erteilt werden und so leicht widerrufbar sein, wie sie erteilt wurde. Bei einem klaren Ungleichgewicht, etwa zwischen Arbeitgeber und Beschäftigten, ist sie selten freiwillig. Berechtigte Interessen erfordern eine dreistufige Prüfung – Zweck, Erforderlichkeit und Abwägung –, die schriftlich festgehalten werden sollte.

Besondere Kategorien und Strafdaten

Artikel 9 untersagt die Verarbeitung von Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von genetischen Daten, biometrischen Daten zur Identifizierung, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung, sofern keine Ausnahme nach Artikel 9 Absatz 2 greift – etwa ausdrückliche Einwilligung, Arbeits- und Sozialrecht, lebenswichtige Interessen oder ein erhebliches öffentliches Interesse. Daten über Straftaten (Artikel 10) erfordern behördliche Aufsicht oder eine Grundlage im Unions- oder mitgliedstaatlichen Recht. Das Alter, ab dem ein Kind in Online-Dienste einwilligen kann, liegt je nach Mitgliedstaat zwischen 13 und 16 Jahren.