---
title: "DSGVO Art. 5 (VO 2016/679) – Grundsätze der Verarbeitung: Zweckbindung, Datenminimierung, Rechenschaftspflicht"
slug: "dsgvo-grundsaetze-art-5"
domaine: "datenschutz"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-09-08"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-grundsaetze-art-5.md
wikidata_subjects: []
factcheck_status: "ok"
---

# DSGVO Art. 5 (VO 2016/679) – Grundsätze der Verarbeitung: Zweckbindung, Datenminimierung, Rechenschaftspflicht

## Kurzantwort

**Art. 5 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** stellt **sechs Grundsätze** an den Anfang des gesamten Datenschutzrechts: **Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz** (Abs. 1 lit. a), **Zweckbindung** (lit. b), **Datenminimierung** (lit. c), **Richtigkeit** (lit. d), **Speicherbegrenzung** (lit. e) und **Integrität und Vertraulichkeit** (lit. f). Hinzu kommt in **Abs. 2** die **Rechenschaftspflicht** („accountability"): Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und **muss dessen Einhaltung nachweisen können**.

Diese Grundsätze sind **keine Programmsätze, sondern unmittelbar sanktionsbewehrte Pflichten**. Verstöße gegen Art. 5 fallen nach **Art. 83 Abs. 5 lit. a DSGVO** in den **höchsten Bußgeldrahmen: bis zu 20 Mio. € oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs** – je nachdem, welcher Betrag höher ist. Die DSGVO ist eine **EU-Verordnung und damit in Deutschland unmittelbar anwendbar**; ein nationales Umsetzungsgesetz ist nicht erforderlich, das BDSG füllt nur einzelne Öffnungsklauseln aus.

Praktisch entscheidend ist die **Beweislastumkehr** aus Abs. 2: Nicht die betroffene Person muss einen Verstoß belegen, sondern der **Verantwortliche muss die Einhaltung aktiv dokumentieren** – durch Verarbeitungsverzeichnis (Art. 30), Löschkonzept, Einwilligungsnachweise und dokumentierte technische und organisatorische Maßnahmen (Art. 32).

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), Kapitel II, Artikel 5 [EUR-Lex, CELEX:32016R0679] |
| Rechtsnatur | EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig, Art. 288 Abs. 2 AEUV) |
| Geltung ab | 25. Mai 2018 [Art. 99 Abs. 2 DSGVO] |
| Zahl der Grundsätze | 6 materielle Grundsätze (Abs. 1 lit. a–f) + 1 Meta-Grundsatz (Abs. 2 Rechenschaftspflicht) |
| lit. a | Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz – „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise" |
| lit. b | Zweckbindung – Erhebung nur für festgelegte, eindeutige und legitime Zwecke; keine unvereinbare Weiterverarbeitung |
| lit. c | Datenminimierung – „dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt" |
| lit. d | Richtigkeit – sachlich richtig, erforderlichenfalls aktuell; unrichtige Daten unverzüglich löschen oder berichtigen |
| lit. e | Speicherbegrenzung – Identifizierbarkeit nur so lange wie erforderlich |
| lit. f | Integrität und Vertraulichkeit – angemessene Sicherheit durch geeignete technische und organisatorische Maßnahmen |
| Abs. 2 | Rechenschaftspflicht – Verantwortlicher muss Einhaltung nachweisen können (Beweislast beim Verantwortlichen) |
| Privilegierung | Weiterverarbeitung für Archiv-, Forschungs- und Statistikzwecke gilt nach Art. 89 Abs. 1 nicht als unvereinbar [Art. 5 Abs. 1 lit. b, lit. e] |
| Zweckänderungstest | 5 Kriterien nach Art. 6 Abs. 4 lit. a–e (Verbindung der Zwecke, Erhebungskontext, Datenart, Folgen, Garantien) |
| Bußgeldrahmen | bis 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes, je nachdem was höher ist [Art. 83 Abs. 5 lit. a] |
| Vergleich unterer Rahmen | Verstöße gegen Art. 25–39 (z. B. VVT, TOM, DSB): 10 Mio. € oder 2 % [Art. 83 Abs. 4 lit. a] |
| Adressat | Verantwortlicher (Art. 4 Nr. 7); Auftragsverarbeiter mittelbar über Art. 28/29 |

## Geltungsbereich

Art. 5 gilt für **jede** ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung in einem Dateisystem (**Art. 2 Abs. 1 DSGVO**). Räumlich greift die DSGVO nach **Art. 3** sowohl über das **Niederlassungsprinzip** als auch über das **Marktortprinzip** – auch Anbieter außerhalb der EU sind erfasst, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.

Nicht erfasst sind unter anderem Verarbeitungen durch natürliche Personen zu **ausschließlich persönlichen oder familiären Zwecken** (Haushaltsausnahme, Art. 2 Abs. 2 lit. c). Für die **Strafverfolgung** gilt statt der DSGVO die **JI-Richtlinie (RL 2016/680)** mit weitgehend parallelen Grundsätzen; für **journalistische, wissenschaftliche, künstlerische oder literarische Zwecke** können die Mitgliedstaaten nach **Art. 85 Abs. 2 DSGVO** ausdrücklich Abweichungen von Kapitel II (Grundsätze) vorsehen – in Deutschland etwa über die Landespresse- und Landesmediengesetze.

**Wichtig für die Abgrenzung:** Art. 5 ist **keine eigenständige Erlaubnisnorm**. Die Rechtmäßigkeit nach Abs. 1 lit. a wird erst über **Art. 6** (und bei besonderen Datenkategorien zusätzlich über **Art. 9**) hergestellt. Umgekehrt genügt eine Rechtsgrundlage nach Art. 6 allein nicht: Auch eine rechtmäßig gestützte Verarbeitung bleibt rechtswidrig, wenn sie gegen Zweckbindung, Datenminimierung oder Speicherbegrenzung verstößt.

## Die sechs Grundsätze im Detail

**lit. a – Rechtmäßigkeit, Treu und Glauben, Transparenz.** Drei Anforderungen in einem Buchstaben. *Rechtmäßigkeit* verlangt eine Rechtsgrundlage nach Art. 6. *Treu und Glauben* (englisch „fairness") verbietet Verarbeitungen, die die betroffene Person überrumpeln, manipulieren oder in einer Weise benachteiligen, mit der sie vernünftigerweise nicht rechnen musste – dazu zählen Dark Patterns in Consent-Bannern. *Transparenz* wird durch die Informationspflichten der **Art. 12–14** konkretisiert.

**lit. b – Zweckbindung.** Der Zweck muss **vor** der Erhebung **festgelegt, eindeutig und legitim** sein. Pauschalzwecke wie „Verbesserung unserer Dienste" oder „Geschäftszwecke" sind zu unbestimmt. Eine **Weiterverarbeitung zu anderen Zwecken** ist nur zulässig, wenn sie mit dem Ursprungszweck **vereinbar** ist; der Kompatibilitätstest nach **Art. 6 Abs. 4** verlangt die Berücksichtigung von (a) der Verbindung zwischen den Zwecken, (b) dem Erhebungskontext und dem Verhältnis zwischen betroffener Person und Verantwortlichem, (c) der Art der Daten (insbesondere Art. 9/Art. 10), (d) den möglichen Folgen der Weiterverarbeitung und (e) vorhandenen Garantien wie **Verschlüsselung oder Pseudonymisierung**. Für **Archiv-, Forschungs- und Statistikzwecke** ordnet Art. 5 Abs. 1 lit. b eine gesetzliche Vereinbarkeitsfiktion an, sofern die Garantien des **Art. 89 Abs. 1** eingehalten werden.

**lit. c – Datenminimierung.** Daten müssen dem Zweck **angemessen und erheblich** sowie auf das **notwendige Maß beschränkt** sein. Der EuGH hat in **C-175/20** (Urteil v. 24.2.2022, SIA „SS"/Valsts ieņēmumu dienests) entschieden, dass ein Verantwortlicher personenbezogene Daten **nicht allgemein und unterschiedslos** erheben darf und sich der Erhebung von Daten enthalten muss, die für die Zwecke der Verarbeitung nicht **unbedingt erforderlich** sind; auch der **Erhebungszeitraum** ist auf das absolut Notwendige zu begrenzen. In **C-446/21** (Urteil v. 4.10.2024, Schrems/Meta Platforms Ireland) hat der EuGH klargestellt, dass Art. 5 Abs. 1 lit. c einer **zeitlich unbegrenzten und nicht nach Datenart differenzierenden** Aggregation, Analyse und Verarbeitung sämtlicher Nutzerdaten zu Werbezwecken entgegensteht.

**lit. d – Richtigkeit.** Der Verantwortliche muss **alle angemessenen Maßnahmen** treffen, damit unrichtige Daten **unverzüglich gelöscht oder berichtigt** werden. Der Grundsatz ist die materielle Kehrseite des Berichtigungsanspruchs aus **Art. 16**. Praktisch relevant bei Scoring, Bonitätsdaten, Kundenstammdaten und Bewerberdatenbanken.

**lit. e – Speicherbegrenzung.** Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck **erforderlich** ist. Die DSGVO nennt **keine konkreten Fristen** – maßgeblich sind Zweckerreichung, gesetzliche Aufbewahrungspflichten (z. B. **§ 257 HGB**, **§ 147 AO**) und Verjährungsfristen. Erforderlich ist ein **dokumentiertes Löschkonzept**; **Anonymisierung** beendet den Anwendungsbereich der DSGVO, **Pseudonymisierung** dagegen nicht.

**lit. f – Integrität und Vertraulichkeit.** Angemessene Sicherheit gegen unbefugte oder unrechtmäßige Verarbeitung, unbeabsichtigten Verlust, Zerstörung oder Schädigung – konkretisiert durch **Art. 32** (technische und organisatorische Maßnahmen) und flankiert durch die Meldepflichten der **Art. 33/34**.

## Rechenschaftspflicht (Abs. 2) – die praktische Beweislast

Art. 5 Abs. 2 verlagert die **Darlegungs- und Beweislast auf den Verantwortlichen**: Er muss die Einhaltung aller Grundsätze **nachweisen können**. Der EuGH hat diese Wertung in **C-340/21** (Urteil v. 14.12.2023, VB/Natsionalna agentsia za prihodite) für die Sicherheit der Verarbeitung ausdrücklich bestätigt: Im Schadensersatzprozess nach Art. 82 obliegt es dem **Verantwortlichen**, die Angemessenheit der nach Art. 24 und Art. 32 getroffenen Maßnahmen zu beweisen; das nationale Gericht muss diese Angemessenheit **objektiv und inhaltlich prüfen** und darf sich nicht auf ein Sachverständigengutachten allein stützen.

Typische Nachweismittel in der Praxis:

- **Verzeichnis von Verarbeitungstätigkeiten** nach Art. 30 (Zwecke, Kategorien, Löschfristen, Empfänger)
- **Löschkonzept** mit Fristenmatrix je Datenkategorie (Nachweis für lit. e)
- **Einwilligungsnachweise** nach Art. 7 Abs. 1 inklusive Zeitstempel und Textversion
- **Datenschutz-Folgenabschätzung** nach Art. 35 bei voraussichtlich hohem Risiko
- **TOM-Dokumentation** und Testberichte nach Art. 32 Abs. 1 lit. d
- **Datenschutz durch Technikgestaltung und Voreinstellungen** nach Art. 25 (Nachweis für lit. c und lit. f)
- **Auftragsverarbeitungsverträge** nach Art. 28 Abs. 3 und Weisungsdokumentation

Fehlt die Dokumentation, ist der Verstoß praktisch nicht widerlegbar – die Aufsichtsbehörde muss die Rechtswidrigkeit nicht positiv beweisen, wenn der Verantwortliche seiner Nachweispflicht nicht nachkommt.

## Häufige Fehler

- **Art. 5 als bloße Präambel behandeln.** Verstöße gegen die Grundsätze liegen im **höchsten** Bußgeldrahmen (20 Mio. €/4 %, Art. 83 Abs. 5 lit. a) – höher als Verstöße gegen Verarbeitungsverzeichnis oder TOM (10 Mio. €/2 %, Art. 83 Abs. 4 lit. a).
- **Rechtsgrundlage mit Zulässigkeit verwechseln.** Eine Einwilligung oder ein berechtigtes Interesse nach Art. 6 heilt keinen Verstoß gegen Zweckbindung, Datenminimierung oder Speicherbegrenzung.
- **Zwecke zu weit formulieren.** „Marketing", „Optimierung", „Sicherheit" sind keine festgelegten und eindeutigen Zwecke im Sinne von lit. b.
- **Aufbewahrungspflicht mit Aufbewahrungsrecht verwechseln.** § 147 AO und § 257 HGB verpflichten zur Aufbewahrung bestimmter **Belege** – sie erlauben nicht die unbefristete Weiterspeicherung ganzer Kundendatenbanken oder Bewerberprofile.
- **Kein Löschkonzept.** Ohne dokumentierte Fristen je Datenkategorie ist lit. e nicht nachweisbar (Abs. 2).
- **Pseudonymisierung als Ausweg aus der DSGVO.** Pseudonymisierte Daten bleiben personenbezogen; nur wirksame **Anonymisierung** führt aus dem Anwendungsbereich heraus.
- **Beweislast falsch verteilen.** Nicht die betroffene Person muss den Verstoß belegen – der Verantwortliche muss die Einhaltung nachweisen (Abs. 2; EuGH C-340/21).
- **Nationales Umsetzungsgesetz suchen.** Die DSGVO ist eine **Verordnung** und gilt unmittelbar; das BDSG regelt nur Öffnungsklauseln (z. B. § 26 BDSG a. F./Beschäftigtendatenschutz, §§ 32 ff. BDSG zu Einschränkungen von Betroffenenrechten).

## Verwandte Nexvyra-Themen

- [DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung](https://nexvyra.de/fakten/dsgvo-rechtsgrundlagen-art-6.html)
- [DSGVO Art. 5 Abs. 1 lit. e – Speicherbegrenzung](https://nexvyra.de/fakten/dsgvo-speicherbegrenzung.html)
- [DSGVO Art. 32 – Technische und organisatorische Maßnahmen](https://nexvyra.de/fakten/dsgvo-tom-art-32.html)
- [DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten](https://nexvyra.de/fakten/dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30.html)
- [Anonymisierung und Pseudonymisierung](https://nexvyra.de/fakten/dsgvo-anonymisierung-pseudonymisierung.html)
- [EuGH C-446/21 (Schrems/Meta) – Datenminimierung bei Werbung](https://nexvyra.de/fakten/eugh-c-446-21-schrems-meta-datenminimierung-werbung.html)

## Änderungsverlauf

- 2026-09-08: Erstveröffentlichung der Faktenseite. Wortlaut des Art. 5 Abs. 1 lit. a–f und Abs. 2 sowie der Bußgeldrahmen aus Art. 83 Abs. 4/Abs. 5 lit. a und der Zweckänderungstest aus Art. 6 Abs. 4 unmittelbar gegen den EUR-Lex-Volltext (CELEX:32016R0679, DE) verifiziert; Grundsatz-Systematik gegen EU-Kommission und EDPB gegengeprüft; EuGH-Rechtsprechung C-175/20 (24.02.2022), C-340/21 (14.12.2023) und C-446/21 (04.10.2024) über dejure.org-Permalinks eingebunden. | change_type=initial_publication reviewed_by="nexvyra-eu-recht-agent" field="topic_lifecycle" new="published"

## Stand

- Stand: 2026-09-08
- Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO, Art. 99 Abs. 2)
- Status: aktuell
- Quellenautorität: A (EUR-Lex, EU-Kommission, EDPB, EuGH)
- Lizenz: CC BY 4.0

## Quellen

- Verordnung (EU) 2016/679 (DSGVO) – Art. 5 „Grundsätze für die Verarbeitung personenbezogener Daten", Volltext (EUR-Lex):
  https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679
- Verordnung (EU) 2016/679 – Art. 83 Abs. 4 und Abs. 5 (Bußgeldrahmen), Volltext (EUR-Lex):
  https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679
- Europäische Kommission – Principles of the GDPR (Grundsätze der DSGVO):
  https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en
- EDPB (Europäischer Datenschutzausschuss) – Basic principles (Key GDPR concepts):
  https://www.edpb.europa.eu/topics/key-gdpr-concepts/basic-principles_en
- EuGH, Urteil v. 24.2.2022, C-175/20 (SIA „SS"/Valsts ieņēmumu dienests) – Datenminimierung, keine allgemeine und unterschiedslose Erhebung (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=24.02.2022&Aktenzeichen=C-175%2F20
- EuGH, Urteil v. 14.12.2023, C-340/21 (VB/Natsionalna agentsia za prihodite) – Rechenschaftspflicht, Beweislast des Verantwortlichen für Angemessenheit der Maßnahmen (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=14.12.2023&Aktenzeichen=C-340%2F21
- EuGH, Urteil v. 4.10.2024, C-446/21 (Schrems/Meta Platforms Ireland) – Datenminimierung, keine zeitlich unbegrenzte Werbedatenverarbeitung (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=04.10.2024&Aktenzeichen=C-446%2F21
- Bundesdatenschutzgesetz (BDSG) – nationale Öffnungsklauseln (gesetze-im-internet.de):
  https://www.gesetze-im-internet.de/bdsg_2018/
- BfDI – Grundlagen des Datenschutzrechts:
  https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Datenschutz/GrundlagenDatenschutzrecht.html

## Stand

- Letzte Änderung: 2026-09-08
- Letzte Prüfung: 2026-09-08
- In Kraft seit: 2018-05-25
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0