{
  "bam_id": "DSGVO-005-GRUNDSAETZE",
  "regulation": "DSGVO",
  "article": "Art. 5",
  "status": "ausstehend",
  "tags": [
    "grundsaetze",
    "rechenschaftspflicht",
    "datenminimierung"
  ],
  "cross_refs": [
    "ISO 27001 A.5.34",
    "NIS-2 Art. 21 §2a",
    "EU AI Act Art. 10"
  ],
  "requirement": {
    "text": "Personenbezogene Daten müssen rechtmäßig, nach Treu und Glauben, in nachvollziehbarer Weise, zweckgebunden, auf das notwendige Maß beschränkt, sachlich richtig, in begrenzter Speicherdauer sowie integer und vertraulich verarbeitet werden. Der Verantwortliche muss die Einhaltung dieser Grundsätze nachweisen können (Rechenschaftspflicht).",
    "source": "DSGVO Art. 5 Abs. 1-2",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Können Sie für jede Verarbeitungstätigkeit nachweisen, dass die Grundsätze (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit) eingehalten und dokumentiert werden?",
    "if_yes": "Anforderung erfüllt – Nachweise (VVT, Löschkonzept, Richtlinien) aktuell halten.",
    "if_no": "Kritische Lücke: Grundprinzipien nicht dokumentiert. Basis für alle weiteren DSGVO-Pflichten fehlt.",
    "if_partial": "Einzelne Grundsätze adressiert, aber keine systematische Dokumentation. Rechenschaftsnachweis formalisieren."
  },
  "remediation": {
    "summary": "Dokumentierte Grundsatz-Compliance je Verarbeitungstätigkeit etablieren",
    "steps": [
      "Verarbeitungstätigkeiten inventarisieren (Voraussetzung für Art. 30)",
      "Je Tätigkeit Zweck, Rechtsgrundlage und Speicherdauer festlegen und dokumentieren",
      "Datenminimierung als Pruefkriterium in neue Projekte/Systeme integrieren (Privacy by Design, Art. 25)",
      "Loeschkonzept mit Fristen je Datenkategorie erstellen"
    ],
    "effort": "hoch",
    "deadline": "kurzfristig",
    "tools": [
      "VVT-Vorlage",
      "Loeschkonzept",
      "Privacy-by-Design-Checkliste"
    ],
    "book_reference": {
      "book": "DSGVO Survival Kit",
      "chapter": "Kap. 1 – Grundsaetze und Rechenschaftspflicht"
    },
    "cost_estimate": {
      "pt_min": 5,
      "pt_max": 12,
      "note": "Abhaengig von Anzahl Verarbeitungstaetigkeiten"
    }
  },
  "risk": {
    "likelihood": 4,
    "impact": 5,
    "score": 9,
    "description": "Verstoss gegen Grundsaetze nach Art. 5 ist Basis fuer hoechste Bussgeldstufe und betrifft i.d.R. alle nachgelagerten Verarbeitungen.",
    "regulatory_fine": {
      "max_eur": 20000000,
      "max_pct": "4% weltweiter Jahresumsatz",
      "basis": "DSGVO Art. 83 Abs. 5 – je nachdem was hoeher ist"
    }
  },
  "control": {
    "measure": "Verarbeitungstaetigkeiten inventarisieren, Zweck/Rechtsgrundlage/Speicherdauer dokumentieren und regelmaessig (jaehrlich) reviewen",
    "priority": "sofort",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "Verarbeitungsverzeichnis (VVT) + Loeschkonzept",
    "template": "VVT-Vorlage nach Art. 30",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.5.34"
    ],
    "coverage": "teilweise"
  },
  "iso27001_2022_controls": [
    "5.34"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/DSGVO-005-GRUNDSAETZE",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}