Der Maßstab ist der Zweck, nicht das Gefühl
Datenminimierung bedeutet nicht, möglichst wenige Daten zu verarbeiten, sondern nicht mehr als der festgelegte Zweck verlangt. Das ist ein wichtiger Unterschied: Der Grundsatz ist ohne einen sauber bestimmten Zweck gar nicht anwendbar. Wer den Zweck nur vage beschreibt, kann jede zusätzliche Datenerhebung rechtfertigen und keine begrenzen. Die Datenminimierung hängt deshalb unmittelbar an der Zweckbindung und wird zusammen mit ihr geprüft.
Vier Dimensionen
| Dimension | Prüffrage | Typischer Hebel |
|---|---|---|
| Menge | Welche Felder werden wirklich gebraucht? | Pflichtfelder reduzieren, Freitextfelder begrenzen, Vorbefüllungen prüfen |
| Detailtiefe | Wie genau muss die Angabe sein? | Geburtsjahr statt vollständigem Datum, Postleitzahlbereich statt Anschrift, Altersgruppe statt Alter |
| Zugriffskreis | Wer muss die Daten sehen? | Rollen- und Berechtigungskonzept, Mandantentrennung, Sichten statt Vollzugriff |
| Dauer | Wie lange werden sie gebraucht? | Löschfristen je Datenkategorie, automatisierte Löschläufe, Archivtrennung |
Die vierte Dimension wird am häufigsten übersehen. Eine Verarbeitung, die zum Zeitpunkt der Erhebung minimal war, verstößt gegen den Grundsatz, sobald der Zweck entfallen ist und die Daten trotzdem liegen bleiben.
Wo die Datenmenge tatsächlich wächst
Selten im führenden System, fast immer daneben: in Protokoll- und Telemetriedaten, in Testumgebungen mit kopierten Produktivdaten, in Tabellenexporten auf Arbeitsplätzen, in Postfächern und Ticketsystemen, in Auswertungsdatenbanken und in Datensicherungen. Kopien vermehren sich schneller, als das führende System wächst, und sie werden bei Löschläufen regelmäßig vergessen.
Für Datensicherungen ist der Konflikt zwischen Minimierung und Wiederherstellbarkeit gesondert zu lösen und im Löschkonzept zu beschreiben, statt ihn offen zu lassen.
Technikgestaltung und Voreinstellungen
Die Verordnung (EU) 2016/679 verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen als eigenständige Pflicht. Für die Minimierung heißt das konkret: Der Vorgabewert eines Formularfelds, einer Freigabe, einer Sichtbarkeit oder einer Aufbewahrung ist die datensparsame Variante. Wer mehr will, entscheidet sich aktiv dafür. Diese Voreinstellung wirkt stärker als jede Schulung.
Pseudonymisierung, Anonymisierung, Aggregation
Drei Werkzeuge mit unterschiedlicher Wirkung. Die Pseudonymisierung senkt das Risiko, hebt den Personenbezug aber nicht auf; die Daten bleiben personenbezogen. Anonymisierte Daten fallen aus dem Anwendungsbereich der Verordnung heraus, der Maßstab dafür ist jedoch hoch und mit einem bloßen Entfernen des Namens nicht erreicht. Aggregierte Auswertungen sind häufig der pragmatischste Weg: Für die meisten Kennzahlen genügt eine Summe, wo bisher Einzeldatensätze ausgewertet wurden.
Nachweisbarkeit
Die Erforderlichkeit jedes Datenfelds ist zu begründen, und die Begründung sollte dort entstehen, wo die Entscheidung fällt: bei der Einführung eines Systems, beim Entwurf eines Formulars, bei der Anbindung einer Schnittstelle. Eine schlanke Prüffrage in der Anforderungsaufnahme kostet Minuten. Eine nachträgliche Feldbereinigung im Produktivbetrieb kostet ein Projekt. Bei risikoreichen Verarbeitungen ist die Minimierung ohnehin Teil der Datenschutz-Folgenabschätzung.
Fünf Muster, die den Grundsatz aushebeln
- Felder werden erhoben, weil das eingeführte System sie anbietet.
- Der Zweck ist so weit formuliert, dass er alles deckt.
- Auswertungen laufen auf Einzeldatensätzen, obwohl Summen genügen würden.
- Testsysteme arbeiten mit Produktivdaten ohne Verfremdung.
- Es gibt Löschfristen, aber keinen Prozess, der sie ausführt.