Artikel 5 DSGVO

Artikel 5 DSGVO beschreibt die sechs zwingenden Grundprinzipien, die bei der Verarbeitung personenbezogener Daten eingehalten werden müssen. Der Artikel besagt, dass Daten rechtmäßig, ordnungsgemäß und transparent verarbeitet werden müssen, für festgelegte Zwecke erhoben werden müssen, auf ein Mindestmaß beschränkt sein müssen, korrekt und aktuell sein müssen, nicht länger als nötig aufbewahrt werden dürfen und sicher verarbeitet werden müssen. Für niederländische KMU bilden diese Grundsätze die Grundlage für jeden Datenschutzprozess, von der Kundenregistrierung bis zur Newsletter-Verwaltung. Die Behörde für personenbezogene Daten bezeichnet Artikel 5 als das Fundament, auf dem alle anderen DSGVO-Verpflichtungen ruhen.

Wie die sechs Grundsätze von Artikel 5 DSGVO funktionieren

Die sechs Grundsätze bilden eine Checkliste für jede Datenverarbeitung. Der Grundsatz der Rechtmäßigkeit erfordert eine gültige Rechtsgrundlage wie Einwilligung oder vertragliche Notwendigkeit. Zweckbindung bedeutet, dass du Daten nur für einen bestimmten, im Voraus festgelegten Zweck erheben darfst. Sie dürfen beispielsweise E-Mail-Adressen aus Ihrem Webshop nicht ohne Weiteres für einen Newsletter verwenden, wenn sich die Kunden nicht ausdrücklich dafür entschieden haben. Die minimale Datenerhebung bedeutet, dass Sie nicht mehr Daten erheben dürfen, als notwendig ist: Ein B2B-Dienstleister muss kein Geburtsdatum erfassen, wenn dieses für die Erbringung der Dienstleistung nicht relevant ist. Die Richtigkeit verpflichtet Sie dazu, fehlerhafte Daten zu korrigieren, die Speicherbegrenzung dazu, alte Daten zu löschen, und die Integrität dazu, technische und organisatorische Maßnahmen gegen Datenlecks zu ergreifen.

Warum Artikel 5 DSGVO ins Leben gerufen wurde und warum er heute wichtig ist

Vor der DSGVO gab es in Europa verschiedene Datenschutzgesetze mit unterschiedlichen Anforderungen. Unternehmen, die grenzüberschreitend tätig waren, mussten in jedem Land andere Regeln befolgen. Der europäische Gesetzgeber hat 2018 die DSGVO eingeführt, um einen einheitlichen Rahmen zu schaffen. Artikel 5 wurde bewusst an zentraler Stelle platz iert, da die bisherige Gesetzgebung nicht genügend Instrumente zur Prävention bot. In der Praxis sehen wir bei KMU-Kunden, dass vor allem der Grundsatz der Zweckbindung Probleme bereitet: Marketingteams nutzen Kundendaten für Zwecke, für die keine Einwilligung vorliegt. Die von der Datenschutzbehörde seit 2020 verhängten Bußgelder beruhen häufig auf Verstößen gegen diese Grundprinzipien.

Was die Einhaltung von Artikel 5 DSGVO den KMUs bringt

Unternehmen, die die sechs Grundsätze konsequent anwenden, bauen Vertrauen bei ihren Kunden auf und gehen ein geringeres Risiko für Bußgelder oder Reputationsschäden ein. Unsere Projekte zeigen, dass eine durchdachte SEO-Strategie in Verbindung mit der Einhaltung datenschutzrechtlicher Vorschriften auch zu besseren Konversionsraten führt: Besucher füllen Formulare häufiger aus, wenn Sie die Verwendung ihrer Daten klar darlegen. In der Praxis bedeutet die Einhaltung der Vorschriften, dass Sie für jede Datenverarbeitung ein Verarbeitungsverzeichnis führen, Einwilligungserklärungen klar formulieren und regelmäßig alte Daten bereinigen. Ein Webshop mit 500 Produkten kann beispielsweise Kundendaten nach drei Jahren Inaktivität löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Dies verhindert nicht nur Verstöße gegen die DSGVO, sondern verbessert auch die Qualität Ihrer CRM-Daten und senkt die Speicherkosten.

In der Praxis nehmen die sechs Grundsätze von Artikel 5 DSGVO in konkreten Prozessen und Entscheidungen Gestalt an. Für KMU bedeutet dies, dass sie bei jeder neuen Dienstleistung, jedem neuen Formular oder jeder neuen Marketingkampagne die Einhaltung von Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Integrität überprüfen müssen. Nachfolgend finden Sie vier typische Anwendungen, bei denen diese Grundsätze direkt zum Tragen kommen.

Formulargestaltung und Datenerfassung auf Ihrer Website

Wenn Sie ein Kontaktformular, eine Angebotsanfrage oder eine Newsletter-Anmeldung entwerfen, legt Artikel 5 DSGVO fest, welche Felder Pflichtfelder sein dürfen. Ein B2B-Dienstleister darf für ein Angebot den Namen, den Firmennamen und die E-Mail-Adresse abfragen, darf jedoch kein Geburtsdatum oder keine Sozialversicherungsnummer verlangen, wenn diese für den Zweck nicht erforderlich sind. Der Grundsatz der Datenminimierung zwingt Sie dazu, jedes Feld zu begründen. In der Praxis beobachten wir oft, dass Unternehmen standardmäßig Telefonnummer und Adresse als Pflichtfelder festlegen, obwohl ein erster Kontakt per E-Mail ausreicht. Indem Sie nur wesentliche Daten abfragen, steigern Sie die Konversionsrate und verringern das Risiko im Falle einer möglichen Datenpanne. Eine gut konzipierte Website integriert diese Prinzipien bereits in der Wireframe-Phase, sodass Sie später keine Felder mehr streichen müssen.

Aufbewahrungsfristen und automatische Löschung von Daten

Der Grundsatz der Speicherbegrenzung verpflichtet Sie, Daten nicht länger aufzubewahren als für den ursprünglichen Zweck erforderlich. Ein Webshop, der Kundendaten zur Auftragsabwicklung sammelt, darf diese Daten ohne erneute Einwilligung nicht unbegrenzt für zukünftige Marketingzwecke speichern. In der Praxis bedeutet dies, dass Sie für jede Datenkategorie Aufbewahrungsfristen festlegen: Rechnungsdaten bewahren Sie aus steuerrechtlichen Gründen sieben Jahre lang auf, aber E-Mail-Adressen von Newsletter-Abonnenten, die drei Jahre lang inaktiv waren, können Sie löschen. Viele KMU automatisieren dies mit Skripten oder CRM-Funktionen, die inaktive Kontakte markieren und nach einer Warnfrist endgültig löschen. Dadurch wird verhindert, dass sich Ihre Datenbank mit veralteten Daten füllt, und die Auswirkungen einer möglichen Datenschutzverletzung werden verringert.

Zustimmungsmanagement und Zielgruppenbindung im E-Mail-Marketing

Zweckbindung ist der Grundsatz, gegen den im E-Mail-Marketing am häufigsten verstoßen wird. Sie dürfen Kundendaten aus einem Webshop-Kauf nicht ungefragt für einen Newsletter verwenden, es sei denn, der Kunde hat ausdrücklich zugestimmt. In der Praxis bedeutet dies, dass an der Kasse ein separates Opt-in für Marketingkommunikation angeboten wird, getrennt von den Pflichtfeldern für die Bestellabwicklung. Ein Fehler, den wir häufig beobachten: Unternehmen versenden nach einer Angebotsanfrage automatisch monatliche Newsletter, obwohl der Kunde nur in eine Kontaktaufnahme wegen des Angebots eingewilligt hat. Dies ist ein direkter Verstoß gegen Artikel 5 DSGVO. Eine strukturierte Einrichtung der Marketingautomatisierung hilft Ihnen, die Zwecke zu verfolgen, für die die Zustimmung für jeden Kontakt erteilt wurde, so dass Sie Segmente auf der Grundlage der rechtmäßigen Grundlage erstellen können.

Wann Artikel 5 DSGVO der richtige Schwerpunkt ist und wann nicht

Artikel 5 DSGVO gilt immer, sobald Sie personenbezogene Daten verarbeiten, aber die Priorität ist von Unternehmen zu Unternehmen unterschiedlich. Für einen Online-Shop mit Tausenden von Kunden und komplexen Marketingtrichtern ist ein systematischer Ansatz für Zweckbindung und Aufbewahrungsfristen entscheidend. Für einen Einzelunternehmer, der nur Rechnungsdaten aufbewahrt, genügen ein einfaches Verarbeitungsregister und eine jährliche Bereinigung. Artikel 5 enthält keine konkreten Durchführungsanweisungen, sondern Grundsätze. Unternehmen, die international tätig sind oder sensible Daten verarbeiten, sollten sich zusätzlich Artikel 9 DSGVO für besondere Kategorien und Artikel 15 DSGVO für Einsichtsrechte ansehen. Die Grundsätze aus Artikel 5 bilden die Grundlage, sind aber nicht das Einzige, worauf Sie bei einer vollständigen Überprüfung der Einhaltung der DSGVO achten sollten.