Was sind vier wichtige Grundsätze des Datenschutzes? Art. 5 DSGVO erklärt

Inhalt in Kürze

• Art. 5 DSGVO definiert sieben Grundsätze für die Verarbeitung personenbezogener Daten. Vier davon bilden das operative Fundament: Rechtmäßigkeit, Zweckbindung, Datenminimierung und Richtigkeit.
• Verstöße gegen diese Grundsätze gehören zur höchsten Bußgeldkategorie der DSGVO: bis zu 20 Mio. Euro oder 4 % des Jahresumsatzes.
• Deutsche Behörden verhängten 2025 rund 46,9 Mio. Euro an DSGVO-Bußgeldern. Die HmbBfDI in Hamburg allein 775.000 Euro.
• Die Rechenschaftspflicht verlangt: Sie müssen Compliance nicht nur umsetzen, sondern nachweisen können.

Art. 5 DSGVO klingt nach trockener Theorie. Ist es aber nicht. Dieser Artikel zeigt alle sieben Grundsätze auf, die Ihr Unternehmen direkt betreffen. Sie erfahren, welche vier davon in der Praxis am häufigsten zu Problemen führen und wie Sie Bußgelder vermeiden.

Was regelt Art. 5 DSGVO?

Art. 5 der Datenschutz-Grundverordnung ist die zentrale Norm. Hier stehen die Spielregeln, an denen Aufsichtsbehörden jede Datenverarbeitung messen. Sieben Grundsätze, eine Rechenschaftspflicht. Kein Unternehmen kommt daran vorbei.

Die Grundsätze gelten ausnahmslos. Sie binden Konzerne genauso wie den Handwerksbetrieb mit fünf Mitarbeitern. Und sie greifen ineinander: Ohne klaren Zweck keine Datenminimierung. Ohne Richtigkeit keine verlässliche Verarbeitung.

Wer nach den "vier wichtigen Grundsätzen des Datenschutzes" sucht, meint in der Regel die operativen Kernprinzipien: Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung und Richtigkeit. Diese vier bestimmen den Alltag jeder Datenschutzberatung.

Alle sieben Grundsätze im Überblick

Bevor wir in die Tiefe gehen, hier der komplette Rahmen aus Art. 5 Abs. 1 und Abs. 2 DSGVO:

Die vier fettgedruckten Grundsätze stehen im Fokus dieses Artikels. Sie werfen in der Praxis die meisten Fragen auf.

Grundsatz 1: Rechtmäßigkeit und Transparenz

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage aus Art. 6 DSGVO. Ohne Rechtsgrundlage ist die Verarbeitung schlicht rechtswidrig. Punkt.

In der Praxis stützen sich Unternehmen meist auf drei Rechtsgrundlagen: Vertragserfüllung, rechtliche Verpflichtung oder berechtigtes Interesse. Die Einwilligung spielt vor allem im Marketing eine Rolle.

Transparenz bedeutet: Betroffene müssen wissen, was mit ihren Daten passiert. Verständlich, vollständig, proaktiv. Eine Datenschutzerklärung in Juristendeutsch reicht nicht. Die DSGVO verlangt ausdrücklich "klare und einfache Sprache" (Art. 12 Abs. 1).

Fehler in der Datenschutzerklärung gehören zu den häufigsten Abmahngründen. Lassen Sie Ihre Website regelmäßig prüfen, etwa mit unserem kostenlosen Datenschutz-Check.

Grundsatz 2: Zweckbindung

Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine spätere Nutzung für andere Ziele ist verboten, es sei denn, der neue Zweck ist mit dem ursprünglichen kompatibel.

Klingt logisch. Scheitert trotzdem regelmäßig in der Praxis:

• Kundendaten im Newsletter: Ein Kunde gibt seine E-Mail für eine Bestellbestätigung an. Das Unternehmen trägt die Adresse ohne Einwilligung in den Verteiler ein. Die Rechtsgrundlage der Vertragserfüllung deckt nur die Bestellung.
• Zeiterfassung zur Leistungskontrolle: Daten, die zur Lohnabrechnung erhoben werden, dürfen nicht ohne Weiteres für Leistungsbeurteilungen genutzt werden.
• Videoüberwachung: Kameras zum Einbruchschutz dürfen nicht die Arbeitsleistung von Mitarbeitern überwachen.

Die Dokumentation der Zweckbindung erfolgt über das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Für jede Verarbeitungstätigkeit muss der Zweck klar benannt sein. Ein DSGVO-Audit deckt Lücken in der Zweckdokumentation schnell auf.

Grundsatz 3: Datenminimierung

Art. 5 Abs. 1 lit. c DSGVO verlangt: Nur die Daten erheben, die Sie tatsächlich brauchen. Daten "auf Vorrat" sammeln, weil sie "irgendwann nützlich sein könnten"? Verboten.

In der Praxis sehen wir regelmäßig Verstöße:

• Kontaktformulare fragen nach Geburtsdatum, Familienstand und Geschlecht, obwohl Name und E-Mail reichen.
• Newsletter-Anmeldungen verlangen Adresse und Arbeitgeber. Nötig ist nur die E-Mail.
• CRM-Systeme speichern private Interessen und Social-Media-Profile von Mitarbeitern ohne dienstlichen Bezug.

Der Grundsatz lässt sich konkret umsetzen: Pflichtfelder in Formularen auf das Minimum beschränken. Optionale Felder kennzeichnen. Quartalsweise prüfen, ob gespeicherte Datenkategorien noch erforderlich sind. Automatische Löschroutinen einrichten.

Grundsatz 4: Richtigkeit

Personenbezogene Daten müssen "sachlich richtig und erforderlichenfalls auf dem neuesten Stand" sein (Art. 5 Abs. 1 lit. d). Unrichtige Daten sind unverzüglich zu löschen oder zu berichtigen.

Falsche Daten haben Konsequenzen: fehlerhafte Kreditentscheidungen, falsche Gehaltsabrechnungen, falsch adressierte Bescheide. Betroffene können nach Art. 16 DSGVO Berichtigung verlangen und bei Schäden Schadensersatz nach Art. 82 DSGVO fordern.

Was müssen Sie tun? Daten aus verlässlichen Erstquellen erheben. Jährlich die Datenqualität prüfen. Bei Unrichtigkeit sofort berichtigen. Und wenn Sie falsche Daten an Dritte weitergegeben haben: Diese nach Art. 19 DSGVO informieren.

Aus der Praxis: Warum viele Geschäftsführer überrascht sind

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern.

Nils OehmichenDatenschutzberater bei frag.hugo

Genau das erleben wir bei vielen Mandanten. Die Grundsätze wirken abstrakt, bis man sie auf das eigene Unternehmen anwendet. Dann wird klar: Der Newsletter-Verteiler hat keine dokumentierte Zweckbindung. Das CRM sammelt Daten, die niemand braucht. Und ein Löschkonzept existiert nur als Vorsatz.

Die gute Nachricht: Es braucht kein Großprojekt. Fünf Schritte reichen für den Einstieg.

Die drei weiteren Grundsätze

Neben den vier Kernprinzipien gehören drei weitere Grundsätze zum Gesamtbild:

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Daten nur so lange aufbewahren, wie der Zweck es erfordert. Danach löschen, sofern keine gesetzlichen Aufbewahrungspflichten greifen. Ein dokumentiertes Löschkonzept ist Pflicht.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Angemessener Schutz durch technische und organisatorische Maßnahmen (TOM). Art. 32 DSGVO konkretisiert das: Verschlüsselung, Zugriffskontrolle, regelmäßige Überprüfung.

Rechenschaftspflicht (Art. 5 Abs. 2): Das verbindende Element. Sie müssen die Einhaltung aller Grundsätze nicht nur umsetzen, sondern nachweisen können. Beweislast liegt beim Unternehmen. Verarbeitungsverzeichnis, TOM-Dokumentation, Löschkonzept, Schulungsnachweise: All das gehört dazu.

1. Bestandsaufnahme: Alle Verarbeitungstätigkeiten erfassen. Welche Daten, welcher Zweck, welche Rechtsgrundlage?
2. Lückenanalyse: Ist-Zustand mit den sieben Grundsätzen abgleichen. Wo fehlen Zweckdefinitionen, Löschkonzepte, Rechtsgrundlagen?
3. Priorisierung: Höchste Risiken zuerst angehen. Fehlendes Verarbeitungsverzeichnis, fehlende Rechtsgrundlagen, keine Löschprozesse.
4. Dokumentation: Jeden Schritt dokumentieren. Die Rechenschaftspflicht verlangt den Nachweis, nicht die Perfektion.
5. Laufende Prüfung: Mindestens jährlich prüfen. Bei Änderungen der Verarbeitung sofort.

Bußgelder: Was passiert bei Verstößen?

Verstöße gegen Art. 5 DSGVO fallen unter die höchste Bußgeldkategorie: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Europaweit summierten sich DSGVO-Bußgelder bis Anfang 2026 auf rund 5,88 Milliarden Euro.

In Deutschland war das höchste Bußgeld 2025 die Sanktion von 45 Millionen Euro gegen Vodafone. Insgesamt verhängten deutsche Behörden 2025 rund 249 Bußgelder mit einer Gesamtsumme von 46,9 Millionen Euro.

Auch KMU sind betroffen. Die Bußgelder reichen schnell in den fünf- bis sechsstelligen Bereich. Ein externer Datenschutzbeauftragter hilft, diese Risiken systematisch zu minimieren.

Datenschutzgrundsätze für Hamburger Unternehmen

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) gehört zu den aktivsten Aufsichtsbehörden in Deutschland. Allein 2025 verhängte die Behörde Bußgelder in Höhe von 775.000 Euro. Darunter ein Bußgeld von fast 500.000 Euro gegen ein Finanzunternehmen wegen automatisierter Kreditentscheidungen ohne korrekte Information der Betroffenen.

Hamburger Unternehmen stehen unter genauer Beobachtung. Als Datenschutzberatung in Hamburg kennen wir die Prüfschwerpunkte der HmbBfDI und setzen die Grundsätze praxisnah in Ihrem Unternehmen um.

Häufige Fragen (FAQ)

Welche vier Grundsätze des Datenschutzes sind besonders wichtig?

Die vier operativ wichtigsten Grundsätze nach Art. 5 DSGVO sind Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung und Richtigkeit. Sie bestimmen den gesamten Lebenszyklus personenbezogener Daten im Unternehmen und werden von Aufsichtsbehörden am häufigsten geprüft.

Was droht bei Verstößen gegen die Datenschutzgrundsätze?

Verstöße gegen Art. 5 DSGVO fallen unter die höchste Bußgeldkategorie: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Deutsche Aufsichtsbehörden verhängten 2025 Bußgelder in Höhe von rund 46,9 Millionen Euro.

Wo sind die Grundsätze des Datenschutzes geregelt?

Die sieben Grundsätze für die Verarbeitung personenbezogener Daten stehen in Art. 5 DSGVO. Art. 5 Abs. 1 enthält die materiellen Grundsätze, Art. 5 Abs. 2 die Rechenschaftspflicht. Weitere Artikel konkretisieren einzelne Grundsätze: Art. 6 die Rechtmäßigkeit, Art. 13/14 die Transparenz, Art. 17 die Löschpflicht.

Was bedeutet Rechenschaftspflicht nach der DSGVO?

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verpflichtet Unternehmen, die Einhaltung aller Datenschutzgrundsätze jederzeit nachweisen zu können. Dafür brauchen Sie ein Verarbeitungsverzeichnis, dokumentierte Rechtsgrundlagen, ein Löschkonzept, TOM-Dokumentation und Schulungsnachweise.

Gilt Art. 5 DSGVO auch für kleine Unternehmen?

Ja. Die Grundsätze gelten ausnahmslos für jedes Unternehmen, das personenbezogene Daten verarbeitet. Auch ein Betrieb mit drei Mitarbeitern muss Zweckbindung, Datenminimierung und Rechenschaftspflicht einhalten. Ein DSGVO-Audit zeigt, wo Ihr Unternehmen steht.