Alle Regeln zu personenbezogenen Daten beruhen auf einigen Grundsätzen. Sie stehen in Artikel 5 der Datenschutz-Grundverordnung. Wenn Sie sie kennen, finden Sie sich in den meisten Alltagssituationen zurecht, auch in solchen, für die niemand Regeln aufgeschrieben hat.
1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
Die Verarbeitung muss eine gültige Grundlage haben (siehe nächste Lektion), gegenüber der Person fair sein und offen erfolgen. Menschen müssen verstehen können, was mit ihren Daten geschieht. Deshalb muss das Unternehmen informieren, zum Beispiel in einer Datenschutzinformation.
2. Zweckbindung
Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden. Sie dürfen später nicht in einer Weise verwendet werden, die mit diesem Zweck unvereinbar ist. Hat ein Kunde seine E-Mail-Adresse angegeben, um eine Quittung zu erhalten, dürfen Sie sie nicht ohne Weiteres für einen Newsletter verwenden.
3. Datenminimierung
Die Daten müssen angemessen, erheblich und auf das notwendige Maß beschränkt sein. Fragen Sie nur nach dem, was Sie brauchen. Das Geburtsdatum des Kunden brauchen Sie nicht, um ein Paket zu verschicken.
4. Richtigkeit
Die Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Falsche Daten müssen unverzüglich berichtigt oder gelöscht werden. Eine falsche Adresse kann dazu führen, dass eine Rechnung oder eine Antwort der Ärztin an einen Fremden geht.
5. Speicherbegrenzung
Daten dürfen nicht länger als nötig für den Zweck gespeichert werden. Ist der Zweck erfüllt und verlangt kein Gesetz, dass Sie sie aufbewahren, müssen sie gelöscht oder anonymisiert werden. Manche Regeln verlangen im Gegenteil die Aufbewahrung: Buchhaltungsunterlagen müssen zum Beispiel 5 Jahre nach Ablauf des Geschäftsjahres aufbewahrt werden, auf das sie sich beziehen (Buchführungsgesetz, dän. „bogføringsloven“, § 12). Das Unternehmen sollte feste Löschfristen haben, und Sie müssen sie einhalten.
6. Integrität und Vertraulichkeit
Daten müssen vor unbefugter oder unrechtmäßiger Verarbeitung und vor versehentlichem Verlust, Zerstörung oder Beschädigung geschützt werden. Das erfordert geeignete technische und organisatorische Maßnahmen. Die meisten davon gehören zu Ihrer täglichen Arbeit: gesperrter Bildschirm, starke Passwörter, der richtige Empfänger bei der E-Mail.
7. Rechenschaftspflicht
Der Verantwortliche muss die Grundsätze nicht nur einhalten, sondern dies auch nachweisen können (Artikel 5 Abs. 2). Deshalb schreibt das Unternehmen Richtlinien, führt Verzeichnisse und dokumentiert seine Entscheidungen. Sie helfen, indem Sie die Verfahren befolgen und Bescheid sagen, wenn etwas in der Praxis nicht funktioniert.
Eingebauter Datenschutz
Artikel 25 verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Neue Systeme und Abläufe müssen von Anfang an so gestaltet werden, dass sie nur die notwendigen Daten verwenden. Wenn Sie bei der Auswahl eines neuen Werkzeugs oder Formulars mitwirken, denken Sie daran.
Beispiel aus dem Alltag
Ein Mitarbeiter in einem Verein hat eine Mitgliederliste, um Beitragsrechnungen zu verschicken. Ein Kollege bittet um die Liste, um zu einer privaten Veranstaltung einzuladen. Die Zweckbindung sagt nein: Die Liste wurde für die Beitragserhebung erhoben. Die Datenminimierung sagt, dass für eine Einladung zu einem Treffen nur Name und E-Mail nötig sind, nicht Adresse und Geburtsdatum. Und die Speicherbegrenzung sagt, dass die Liste ehemaliger Mitglieder nicht ewig aufbewahrt werden soll.
Faustregel: Speichern und teilen Sie nur die Daten, die Sie brauchen. Verwenden Sie sie nur für den Zweck, für den sie erhoben wurden. Löschen Sie sie, wenn sie nicht mehr gebraucht werden.