Der Verantwortliche ist zur Einhaltung dieser Grundsätze gemäß Art. 5 & Art. 6 DSGVO verpflichtet und muss dies nachweisen können.

Personenbezogene Daten dürfen nur für einen bestimmten Zweck und nicht willkürlich erhoben werden. Der Zweck muss vor der Erhebung klar sein und darf nachträglich nur mit Zustimmung des Betroffenen geändert werden.

Die Daten müssen sachlich richtig und aktuell sein. Falsche Daten müssen berichtigt oder gelöscht werden.

Verletzungen des Schutzes personenbezogener Daten muss der Verantwortliche an die Aufsichtsbehörde melden.

Gegebenenfalls muss er die Betroffenen in transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache benachrichtigen.

„Datenschutz durch Technikgestaltung“ – Datenschutz lässt sich am besten einhalten, wenn er bereits bei Erarbeitung eines Datenverarbeitungsvorgangs technisch integriert ist.

In anderen Worten: der Schutz personen-bezogener Daten im Sinne der DSGVO erfolgt durch das frühzeitige Ergreifen technischer und organisatorischer Maßnahmen (TOM) im Entwicklungsstadium.

„Datenschutz durch datenschutzfreundliche Voreinstellungen“ – bedeutet, dass die Werkseinstellungen datenschutzfreundlich zu gestalten sind.

Nutzer, die weniger technikaffin sind, sollen geschützt werden.

Es besteht ein Verarbeitungsverbot mit Erlaubnisvorbehalt. D.h. die Verarbeitung ist generell verboten und muss immer rechtlich legitimiert werden. Dies kann z.B. durch eine Einwilligung oder ein Gesetz geschehen oder auf Grund von sog. berechtigten Interessen des Verantwortlichen.

Die Verarbeitung nach “Treu und Glauben” ist im Kern so zu deuten, dass das Verhalten beim Umgang mit personenbezogenen Daten von Anstand und Verantwortungsbewusstsein geprägt sein muss.

Personenbezogene Daten sind nur so lange aufzubewahren, wie durch den Zweck oder eine rechtliche Verpflichtung erforderlich. Ist der Zweck erfüllt oder die Mindestaufbewahrungspflicht überschritten, so sind die Daten zu löschen oder zu anonymisieren.

Bei der Datenübermittlung in ein Drittland muss der Verantwortliche (samt Auftragsverarbeiter) Garantien für eine rechtmäßige Verarbeitung bieten.

Der Verantwortliche muss ein Verzeichnis aller Verarbeitungstätigkeiten führen – ähnlich dem aus dem Bundesdatenschutzgesetz (BDSG) bekannten Verfahrensverzeichnis.

Die Sicherheit, Integrität und Vertraulichkeit von personenbezogenen Daten sind vom Verantwortlichen durch geeignete technische und organisatorische Maßnahmen (TOM) sicher zu stellen und nachzuweisen.

Die Daten sollen z.B. vor Verlust, Fälschung, Zerstörung, Offenlegung oder unrechtmäßiger Änderung oder Verarbeitung durch Unbefugte geschützt werden.