Was sind die Grundprinzipien der GDPR und wie lautet die Frist für die Meldung von Datenschutzverletzungen?

Die Datenschutz-Grundverordnung regelt, wie Organisationen die personenbezogenen Daten von Personen in der EU verarbeiten. Interviewer stellen diese Frage, um zu prüfen, ob Sie die rechtlichen Grundsätze mit operativen Pflichten verknüpfen können — und nicht nur Schlagworte aufsagen.

Die sieben Grundsätze (Artikel 5)

Die GDPR baut auf sieben Grundsätzen auf, die jede Verarbeitungstätigkeit erfüllen muss:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz — Sie benötigen eine gültige Rechtsgrundlage und müssen offen darüber sein.
• Zweckbindung — Daten für festgelegte, eindeutige Zwecke erheben, nicht „für alle Fälle".
• Datenminimierung — nur das, was angemessen und erheblich ist.
• Richtigkeit — sie korrekt und aktuell halten.
• Speicherbegrenzung — sie nicht länger als nötig aufbewahren.
• Integrität und Vertraulichkeit — sie mit angemessener Sicherheit schützen.
• Rechenschaftspflicht — die Einhaltung all dessen nachweisen können.

Meldung von Verletzungen

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt.

• An die Behörde (Artikel 33): Der Verantwortliche benachrichtigt die zuständige Aufsichtsbehörde unverzüglich und nach Möglichkeit binnen 72 Stunden nach Bekanntwerden. Ist es unwahrscheinlich, dass ein Risiko für die Personen entsteht, kann die Meldung entfallen.
• An die betroffenen Personen (Artikel 34): Birgt die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Personen, müssen diese unverzüglich und in klarer Sprache informiert werden.

Warum das wichtig ist

Starke Antworten verknüpfen die Grundsätze (besonders die Rechenschaftspflicht) mit Nachweisen: Verzeichnis von Verarbeitungstätigkeiten, DSFA und ein erprobtes Notfallhandbuch für Verletzungen. „72 Stunden" zu sagen ist das Minimum; zu erklären, wann die Frist beginnt und wo die Schwelle des hohen Risikos für die Benachrichtigung von Personen liegt, zeigt echtes Verständnis.