Nexvyra

DSGVO Art. 5 (VO 2016/679) – Grundsätze der Verarbeitung: Zweckbindung, Datenminimierung, Rechenschaftspflicht In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-08 · letzte Prüfung: 2026-09-08 · Quellen-Autorität A Fehler melden ✉
Kurzantwort **Art. 5 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** stellt **sechs Grundsätze** an den Anfang des gesamten Datenschutzrechts: **Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz** (Abs. 1 lit. a), **Zweckbindung** (lit. b), **Datenminimierung** (lit. c), **Richtigkeit** (lit. d), **Speicherbegrenzung** (lit. e) und **Integrität und Vertraulichkeit** (lit. f). Hinzu kommt in **Abs. 2** die **Rechenschaftspflicht** („accountability"): Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und **muss dessen Einhaltung nachweisen können**. Diese Grundsätze sind **keine Programmsätze, sondern unmittelbar sanktionsbewehrte Pflichten**. Verstöße gegen Art. 5 fallen nach **Art. 83 Abs. 5 lit. a DSGVO** in den **höchsten Bußgeldrahmen: bis zu 20 Mio. € oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs** – je nachdem, welcher Betrag höher ist. Die DSGVO ist eine **EU-Verordnung und damit in Deutschland unmittelbar anwendbar**; ein nationales Umsetzungsgesetz ist nicht erforderlich, das BDSG füllt nur einzelne Öffnungsklauseln aus. Praktisch entscheidend ist die **Beweislastumkehr** aus Abs. 2: Nicht die betroffene Person muss einen Verstoß belegen, sondern der **Verantwortliche muss die Einhaltung aktiv dokumentieren** – durch Verarbeitungsverzeichnis (Art. 30), Löschkonzept, Einwilligungsnachweise und dokumentierte technische und organisatorische Maßnahmen (Art. 32).

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Kapitel II, Artikel 5 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig, Art. 288 Abs. 2 AEUV)
Geltung ab25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
Zahl der Grundsätze6 materielle Grundsätze (Abs. 1 lit. a–f) + 1 Meta-Grundsatz (Abs. 2 Rechenschaftspflicht)
lit. aRechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz – „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise"
lit. bZweckbindung – Erhebung nur für festgelegte, eindeutige und legitime Zwecke; keine unvereinbare Weiterverarbeitung
lit. cDatenminimierung – „dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt"
lit. dRichtigkeit – sachlich richtig, erforderlichenfalls aktuell; unrichtige Daten unverzüglich löschen oder berichtigen
lit. eSpeicherbegrenzung – Identifizierbarkeit nur so lange wie erforderlich
lit. fIntegrität und Vertraulichkeit – angemessene Sicherheit durch geeignete technische und organisatorische Maßnahmen
Abs. 2Rechenschaftspflicht – Verantwortlicher muss Einhaltung nachweisen können (Beweislast beim Verantwortlichen)
PrivilegierungWeiterverarbeitung für Archiv-, Forschungs- und Statistikzwecke gilt nach Art. 89 Abs. 1 nicht als unvereinbar [Art. 5 Abs. 1 lit. b, lit. e]
Zweckänderungstest5 Kriterien nach Art. 6 Abs. 4 lit. a–e (Verbindung der Zwecke, Erhebungskontext, Datenart, Folgen, Garantien)
Bußgeldrahmenbis 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes, je nachdem was höher ist [Art. 83 Abs. 5 lit. a]
Vergleich unterer RahmenVerstöße gegen Art. 25–39 (z. B. VVT, TOM, DSB): 10 Mio. € oder 2 % [Art. 83 Abs. 4 lit. a]
AdressatVerantwortlicher (Art. 4 Nr. 7); Auftragsverarbeiter mittelbar über Art. 28/29

Geltungsbereich

Art. 5 gilt für jede ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung in einem Dateisystem (Art. 2 Abs. 1 DSGVO). Räumlich greift die DSGVO nach Art. 3 sowohl über das Niederlassungsprinzip als auch über das Marktortprinzip – auch Anbieter außerhalb der EU sind erfasst, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.

Nicht erfasst sind unter anderem Verarbeitungen durch natürliche Personen zu ausschließlich persönlichen oder familiären Zwecken (Haushaltsausnahme, Art. 2 Abs. 2 lit. c). Für die Strafverfolgung gilt statt der DSGVO die JI-Richtlinie (RL 2016/680) mit weitgehend parallelen Grundsätzen; für journalistische, wissenschaftliche, künstlerische oder literarische Zwecke können die Mitgliedstaaten nach Art. 85 Abs. 2 DSGVO ausdrücklich Abweichungen von Kapitel II (Grundsätze) vorsehen – in Deutschland etwa über die Landespresse- und Landesmediengesetze.

Wichtig für die Abgrenzung: Art. 5 ist keine eigenständige Erlaubnisnorm. Die Rechtmäßigkeit nach Abs. 1 lit. a wird erst über Art. 6 (und bei besonderen Datenkategorien zusätzlich über Art. 9) hergestellt. Umgekehrt genügt eine Rechtsgrundlage nach Art. 6 allein nicht: Auch eine rechtmäßig gestützte Verarbeitung bleibt rechtswidrig, wenn sie gegen Zweckbindung, Datenminimierung oder Speicherbegrenzung verstößt.

Die sechs Grundsätze im Detail

lit. a – Rechtmäßigkeit, Treu und Glauben, Transparenz. Drei Anforderungen in einem Buchstaben. *Rechtmäßigkeit* verlangt eine Rechtsgrundlage nach Art. 6. *Treu und Glauben* (englisch „fairness") verbietet Verarbeitungen, die die betroffene Person überrumpeln, manipulieren oder in einer Weise benachteiligen, mit der sie vernünftigerweise nicht rechnen musste – dazu zählen Dark Patterns in Consent-Bannern. *Transparenz* wird durch die Informationspflichten der Art. 12–14 konkretisiert.

lit. b – Zweckbindung. Der Zweck muss vor der Erhebung festgelegt, eindeutig und legitim sein. Pauschalzwecke wie „Verbesserung unserer Dienste" oder „Geschäftszwecke" sind zu unbestimmt. Eine Weiterverarbeitung zu anderen Zwecken ist nur zulässig, wenn sie mit dem Ursprungszweck vereinbar ist; der Kompatibilitätstest nach Art. 6 Abs. 4 verlangt die Berücksichtigung von (a) der Verbindung zwischen den Zwecken, (b) dem Erhebungskontext und dem Verhältnis zwischen betroffener Person und Verantwortlichem, (c) der Art der Daten (insbesondere Art. 9/Art. 10), (d) den möglichen Folgen der Weiterverarbeitung und (e) vorhandenen Garantien wie Verschlüsselung oder Pseudonymisierung. Für Archiv-, Forschungs- und Statistikzwecke ordnet Art. 5 Abs. 1 lit. b eine gesetzliche Vereinbarkeitsfiktion an, sofern die Garantien des Art. 89 Abs. 1 eingehalten werden.

lit. c – Datenminimierung. Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein. Der EuGH hat in C-175/20 (Urteil v. 24.2.2022, SIA „SS"/Valsts ieņēmumu dienests) entschieden, dass ein Verantwortlicher personenbezogene Daten nicht allgemein und unterschiedslos erheben darf und sich der Erhebung von Daten enthalten muss, die für die Zwecke der Verarbeitung nicht unbedingt erforderlich sind; auch der Erhebungszeitraum ist auf das absolut Notwendige zu begrenzen. In C-446/21 (Urteil v. 4.10.2024, Schrems/Meta Platforms Ireland) hat der EuGH klargestellt, dass Art. 5 Abs. 1 lit. c einer zeitlich unbegrenzten und nicht nach Datenart differenzierenden Aggregation, Analyse und Verarbeitung sämtlicher Nutzerdaten zu Werbezwecken entgegensteht.

lit. d – Richtigkeit. Der Verantwortliche muss alle angemessenen Maßnahmen treffen, damit unrichtige Daten unverzüglich gelöscht oder berichtigt werden. Der Grundsatz ist die materielle Kehrseite des Berichtigungsanspruchs aus Art. 16. Praktisch relevant bei Scoring, Bonitätsdaten, Kundenstammdaten und Bewerberdatenbanken.

lit. e – Speicherbegrenzung. Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Die DSGVO nennt keine konkreten Fristen – maßgeblich sind Zweckerreichung, gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO) und Verjährungsfristen. Erforderlich ist ein dokumentiertes Löschkonzept; Anonymisierung beendet den Anwendungsbereich der DSGVO, Pseudonymisierung dagegen nicht.

lit. f – Integrität und Vertraulichkeit. Angemessene Sicherheit gegen unbefugte oder unrechtmäßige Verarbeitung, unbeabsichtigten Verlust, Zerstörung oder Schädigung – konkretisiert durch Art. 32 (technische und organisatorische Maßnahmen) und flankiert durch die Meldepflichten der Art. 33/34.

Rechenschaftspflicht (Abs. 2) – die praktische Beweislast

Art. 5 Abs. 2 verlagert die Darlegungs- und Beweislast auf den Verantwortlichen: Er muss die Einhaltung aller Grundsätze nachweisen können. Der EuGH hat diese Wertung in C-340/21 (Urteil v. 14.12.2023, VB/Natsionalna agentsia za prihodite) für die Sicherheit der Verarbeitung ausdrücklich bestätigt: Im Schadensersatzprozess nach Art. 82 obliegt es dem Verantwortlichen, die Angemessenheit der nach Art. 24 und Art. 32 getroffenen Maßnahmen zu beweisen; das nationale Gericht muss diese Angemessenheit objektiv und inhaltlich prüfen und darf sich nicht auf ein Sachverständigengutachten allein stützen.

Typische Nachweismittel in der Praxis:

Fehlt die Dokumentation, ist der Verstoß praktisch nicht widerlegbar – die Aufsichtsbehörde muss die Rechtswidrigkeit nicht positiv beweisen, wenn der Verantwortliche seiner Nachweispflicht nicht nachkommt.

Häufige Fehler

Verwandte Nexvyra-Themen

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-09-08
Letzte Prüfung:
2026-09-08
In Kraft seit:
2018-05-25
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.