Was ist Datenminimierung?
Datenminimierung verlangt, nur die personenbezogenen Daten zu verarbeiten, die ein festgelegter Zweck erfordert. Der Grundsatz steht in Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 (DSGVO); der Klammerzusatz der Vorschrift lautet „Datenminimierung“.
Nach Art. 5 Abs. 2 muss der Verantwortliche die Einhaltung des Grundsatzes nachweisen können („Rechenschaftspflicht“). Wie die Datenminimierung mit den übrigen Pflichten der DSGVO zusammenspielt, beschreibt der DSGVO-Leitfaden.
Der festgelegte Zweck ist der Maßstab
Datenminimierung heißt nicht, möglichst wenige Daten zu verarbeiten, sondern nicht mehr, als der festgelegte Zweck verlangt. Ohne bestimmten Zweck lässt sich der Grundsatz deshalb nicht anwenden. Ein vage beschriebener Zweck rechtfertigt jede zusätzliche Datenerhebung und begrenzt keine.
Eine Rechtsgrundlage oder Einwilligung ändert daran nichts: Art. 5 Abs. 1 Buchst. c gilt für jede Verarbeitung neben Art. 6.
Die Datenminimierung hängt damit an der Zweckbindung nach Art. 5 Abs. 1 Buchst. b: Daten werden „für festgelegte, eindeutige und legitime Zwecke erhoben“. Beide Grundsätze prüfen Sie zusammen.
Die vier Bezugspunkte des Art. 25 Abs. 2 DSGVO
Art. 25 Abs. 2 Satz 2 DSGVO nennt vier Bezugspunkte, für die datenschutzfreundliche Voreinstellungen gelten. Sie eignen sich als Prüfliste für jedes System und jedes Formular:
| Bezugspunkt nach Art. 25 Abs. 2 Satz 2 | Prüffrage | Beispiel |
|---|---|---|
| Menge der erhobenen Daten | Welche Felder und welche Genauigkeit braucht der Zweck? | Geburtsjahr statt vollständigem Geburtsdatum, Postleitzahl statt Anschrift |
| Umfang ihrer Verarbeitung | Welche Verarbeitungsschritte braucht der Zweck? | Auswertung auf Summen statt auf Einzeldatensätzen |
| Speicherfrist | Wie lange braucht der Zweck die Daten? | Löschfrist je Datenkategorie im Löschkonzept |
| Zugänglichkeit | Wer muss die Daten sehen? | Rollen- und Berechtigungskonzept, Sichten statt Vollzugriff |
Satz 3 schärft den letzten Punkt: Voreinstellungen müssen sicherstellen, dass personenbezogene Daten nicht ohne Eingreifen der Person einer unbestimmten Zahl natürlicher Personen zugänglich werden. Der Vorgabewert eines Formularfelds, einer Freigabe oder einer Aufbewahrung ist damit die Variante mit den wenigsten Daten; wer mehr will, entscheidet sich aktiv dafür.
Art. 25 Abs. 1 nennt die Pseudonymisierung ausdrücklich als Maßnahme, mit der sich Grundsätze wie die Datenminimierung wirksam umsetzen lassen. Den Zusammenhang beider Pflichten erläutert der Eintrag zu Privacy by Design und by Default.
Wie verhält sich Datenminimierung zur Speicherbegrenzung?
Datenminimierung und Speicherbegrenzung sind zwei Grundsätze mit verschiedenen Fragen. Die Datenminimierung nach Buchst. c fragt, ob ein Datum überhaupt erforderlich ist. Die Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e fragt, wie lange die Form der Speicherung eine Identifizierung noch ermöglichen darf.
Eine Verarbeitung, die bei der Erhebung minimal war, verstößt gegen den Grundsatz der Speicherbegrenzung, sobald der Zweck entfallen ist und die Daten trotzdem gespeichert bleiben. Beide Fragen beantwortet ein Löschkonzept mit Datenkategorien, Zwecken und Fristen.
Jede Kopie fällt unter die Löschfrist des Originals
Überflüssige Kopien personenbezogener Daten entstehen neben dem führenden System, an Stellen wie diesen:
- Protokoll- und Telemetriedaten
- Testumgebungen mit kopierten Produktivdaten
- Tabellenexporte auf Arbeitsplätzen
- Postfächer und Ticketsysteme
- Auswertungsdatenbanken
- Datensicherungen
Jede dieser Kopien gehört in die Löschfristen des führenden Bestands. Für Datensicherungen legt das Löschkonzept fest, nach welcher Frist ein Sicherungsstand überschrieben wird.
Was unterscheidet Pseudonymisierung, Anonymisierung und Aggregation?
Pseudonymisierung, Anonymisierung und Aggregation verkleinern den Personenbezug in unterschiedlichem Maß:
| Werkzeug | Wirkung auf den Personenbezug | Anwendbarkeit der DSGVO |
|---|---|---|
| Pseudonymisierung (Art. 4 Nr. 5) | Zuordnung nur mit gesondert aufbewahrten Zusatzinformationen möglich | gilt weiter; pseudonymisierte Daten bleiben personenbezogen (Erwägungsgrund 26) |
| Anonymisierung | Person ist nicht oder nicht mehr identifizierbar | gilt nicht für anonyme Informationen (Erwägungsgrund 26) |
| Aggregation | Auswertung auf Summen oder Gruppen statt Einzeldatensätzen | hängt davon ab, ob Einzelpersonen identifizierbar bleiben |
Für die Anonymität zählen nach Erwägungsgrund 26 alle Mittel, die nach allgemeinem Ermessen wahrscheinlich zur Identifizierung genutzt werden. Ein entfernter Name reicht dafür nicht, solange Kennnummern oder Online-Kennungen bleiben.
Wie begründen Sie die Erforderlichkeit eines Datenfelds?
Die Erforderlichkeit eines Datenfelds begründen Sie dort, wo die Entscheidung fällt: bei der Einführung eines Systems, beim Entwurf eines Formulars, bei der Anbindung einer Schnittstelle. Weil Art. 5 Abs. 2 den Nachweis verlangt, gehört die Begründung in die Dokumentation des Systems.
Bei Verarbeitungen mit hohem Risiko ist die Prüfung Pflichtinhalt der Datenschutz-Folgenabschätzung. Art. 35 Abs. 7 Buchst. b verlangt dort eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck.
Fünf Muster hebeln den Grundsatz aus, und jedes lässt sich bei dieser Begründung erkennen:
- Felder werden erhoben, weil das eingeführte System sie anbietet.
- Der Zweck ist so weit formuliert, dass er jede Erhebung deckt.
- Auswertungen laufen auf Einzeldatensätzen, obwohl Summen genügen.
- Testsysteme arbeiten mit unveränderten Produktivdaten.
- Löschfristen sind festgelegt, aber kein Prozess führt sie aus.
Kopien als unterstützende Assets
In Rizzqo verknüpfen Sie jede Kopie eines Datenbestands als unterstützendes Asset mit dem primären Asset, aus dem ihre Daten stammen, etwa eine Testumgebung mit Produktivdaten oder eine Auswertungsdatenbank. Jede Kopie übernimmt dessen Personenbezugsmerkmal und Vertraulichkeitseinstufung, auch ein Dateiserver, dessen technische Rolle das nicht verrät.
Die Frage nach Art. 5 Abs. 1 Buchst. c, ob der Zweck diese Kopie braucht, stellen Sie an dem Prozess, der sie begründet.