Datenminimierung / Datensparsamkeit

Datenminimierung bezeichnet den datenschutzrechtlichen Grundsatz, personenbezogene Daten nur in dem Umfang zu verarbeiten, der für einen festgelegten Zweck erforderlich ist. Der Begriff Datensparsamkeit beschreibt denselben grundlegenden Gedanken, während die Datenschutz-Grundverordnung (DS-GVO) ausdrücklich von Datenminimierung spricht. Die gesetzliche Grundlage bildet Art. 5 Abs. 1 lit. c DS-GVO.

Was bedeutet Datenminimierung und wie unterscheidet sie sich von Datensparsamkeit?

Der Grundsatz der Datenminimierung verpflichtet Unternehmen und andere Verantwortliche, die Verarbeitung personenbezogener Daten auf das notwendige Maß zu beschränken. Nach Art. 5 Abs. 1 lit. c DS-GVO müssen personenbezogene Daten dem Verarbeitungszweck angemessen und erheblich sowie auf das erforderliche Maß begrenzt sein.

Datensparsamkeit ist ein Begriff aus dem früheren deutschen Datenschutzrecht. Er beschreibt das Ziel, möglichst wenige personenbezogene Daten zu erheben, zu verarbeiten und zu nutzen. Die DS-GVO verwendet stattdessen den Begriff Datenminimierung und stellt die Erforderlichkeit der Datenverarbeitung für den jeweiligen Zweck in den Mittelpunkt.

Beide Begriffe werden im allgemeinen Sprachgebrauch häufig gleichbedeutend verwendet. Rechtlich maßgeblich ist jedoch der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DS-GVO.

Datenminimierung bedeutet nicht, dass Unternehmen grundsätzlich keine personenbezogenen Daten erheben dürfen. Entscheidend ist, ob die jeweiligen Informationen für einen rechtmäßigen und eindeutig bestimmten Verarbeitungszweck benötigt werden.

Welche Anforderungen stellt die DS-GVO an die Datenminimierung?

Die Datenminimierung gehört zu den grundlegenden Verarbeitungsgrundsätzen des Art. 5 DS-GVO. Verantwortliche müssen bei jedem Verarbeitungsvorgang prüfen, welche personenbezogenen Daten zur Erreichung des vorgesehenen Zwecks erforderlich sind.

Dabei sind insbesondere drei Anforderungen zu beachten:

• Angemessenheit: Art und Umfang der verarbeiteten Daten müssen in einem angemessenen Verhältnis zum Verarbeitungszweck stehen.
• Erheblichkeit: Die verarbeiteten Informationen müssen für den jeweiligen Zweck relevant sein.
• Beschränkung auf das notwendige Maß: Personenbezogene Daten dürfen nicht über den Umfang hinaus verarbeitet werden, der für den vorgesehenen Zweck erforderlich ist.

Die Anforderungen gelten nicht nur bei der erstmaligen Datenerhebung. Auch die anschließende Nutzung, Weitergabe und sonstige Verarbeitung personenbezogener Daten müssen dem Grundsatz der Datenminimierung entsprechen.

Eine Einwilligung hebt diesen Grundsatz nicht auf. Auch bei einer Verarbeitung auf Grundlage einer wirksamen Einwilligung müssen die allgemeinen Datenschutzgrundsätze eingehalten werden.

Nach Art. 5 Abs. 2 DS-GVO müssen Verantwortliche die Einhaltung der Verarbeitungsgrundsätze nachweisen können. Unternehmen sollten deshalb nachvollziehbar festlegen, welche Daten für die jeweiligen Verarbeitungsvorgänge benötigt werden.

Wie können Unternehmen Datenminimierung praktisch umsetzen?

Datenminimierung beginnt bereits bei der Planung eines Verarbeitungsvorgangs. Unternehmen müssen zunächst den Verarbeitungszweck bestimmen und anschließend prüfen, welche personenbezogenen Informationen dafür erforderlich sind.

Geeignete Maßnahmen sind insbesondere:

• Beschränkung von Pflichtangaben: Formulare und Registrierungsprozesse fragen nur die Daten verpflichtend ab, die für den jeweiligen Zweck benötigt werden.
• Verzicht auf unnötige Datenerhebung: Informationen ohne ausreichenden Bezug zum Verarbeitungszweck werden nicht erhoben.
• Anonymisierung: Soweit der Verarbeitungszweck ohne Personenbezug erreicht werden kann, werden anonyme Daten verwendet.
• Pseudonymisierung: Identifizierende Merkmale werden durch Kennungen ersetzt, wenn dies für den jeweiligen Verarbeitungsvorgang geeignet ist.
• Begrenzung des Datenzugriffs: Beschäftigte erhalten nur Zugriff auf personenbezogene Daten, die sie zur Erfüllung ihrer Aufgaben benötigen.
• Überprüfung bestehender Prozesse: Unternehmen kontrollieren regelmäßig, ob die verarbeiteten Daten weiterhin für die festgelegten Zwecke erforderlich sind.

Eine besondere Bedeutung hat die Datenminimierung bei der Entwicklung digitaler Anwendungen. Nach Art. 25 DS-GVO müssen Verantwortliche den Datenschutz bereits bei der Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigen.

Dabei müssen die Voreinstellungen insbesondere sicherstellen, dass grundsätzlich nur die für den jeweiligen Verarbeitungszweck erforderlichen personenbezogenen Daten verarbeitet werden. Dies betrifft unter anderem die Datenmenge, den Verarbeitungsumfang, die Speicherfrist und die Zugänglichkeit.

Was ist der Unterschied zwischen Datenminimierung und Speicherbegrenzung?

Datenminimierung und Speicherbegrenzung sind zwei eigenständige Datenschutzgrundsätze, die sich gegenseitig ergänzen.

Die Datenminimierung nach Art. 5 Abs. 1 lit. c DS-GVO betrifft insbesondere die Frage, welche personenbezogenen Daten und welcher Verarbeitungsumfang für einen bestimmten Zweck erforderlich sind.

Die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DS-GVO regelt dagegen, wie lange personenbezogene Daten in einer Form gespeichert werden dürfen, die eine Identifizierung der betroffenen Personen ermöglicht.

Ein Unternehmen kann beispielsweise nur die erforderlichen Kundendaten erheben und damit den Grundsatz der Datenminimierung beachten. Werden diese Daten jedoch länger als zulässig aufbewahrt, liegt ein Verstoß gegen den Grundsatz der Speicherbegrenzung vor.

Gesetzliche Aufbewahrungspflichten sind dabei zu berücksichtigen. Sie können eine weitere Speicherung personenbezogener Daten erforderlich machen, obwohl der ursprüngliche Verarbeitungszweck bereits erfüllt ist.

Beide Grundsätze müssen daher bei der Gestaltung und Durchführung von Verarbeitungsvorgängen berücksichtigt werden.

Welche Folgen hat ein Verstoß gegen den Grundsatz der Datenminimierung?

Die Verarbeitung nicht erforderlicher personenbezogener Daten kann gegen Art. 5 Abs. 1 lit. c DS-GVO verstoßen. Dies gilt beispielsweise, wenn Unternehmen ohne ausreichenden Zweckbezug zusätzliche personenbezogene Informationen erheben oder weiterverarbeiten.

Die zuständige Datenschutzaufsichtsbehörde kann nach Art. 58 DS-GVO Maßnahmen zur Beseitigung des Verstoßes anordnen. Dazu gehören insbesondere die Beschränkung unzulässiger Verarbeitungsvorgänge oder die Anordnung der Löschung rechtswidrig verarbeiteter Daten.

Verstöße gegen die grundlegenden Verarbeitungsgrundsätze können außerdem mit Geldbußen nach Art. 83 Abs. 5 lit. a DS-GVO geahndet werden. Der gesetzliche Bußgeldrahmen beträgt bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Eine konsequente Datenminimierung reduziert zugleich Sicherheitsrisiken. Werden weniger personenbezogene Daten verarbeitet, verringert sich regelmäßig auch die Menge der Informationen, die bei einer Datenschutzverletzung betroffen sein können.

Praxisbeispiel: Datenminimierung bei der Kundenregistrierung

Ein Online-Shop bietet seinen Kunden die Möglichkeit, ein Benutzerkonto anzulegen. Für die Registrierung verlangt das Unternehmen zunächst den vollständigen Namen, die Wohnanschrift, das Geburtsdatum, die Telefonnummer und die E-Mail-Adresse.

Bei einer Überprüfung stellt der Online-Shop fest, dass für die reine Einrichtung und Nutzung des Benutzerkontos lediglich eine E-Mail-Adresse und geeignete Zugangsdaten benötigt werden. Die Lieferanschrift wird erst bei einer Bestellung erhoben, während die Telefonnummer grundsätzlich freiwillig bleibt.

Das Unternehmen passt daraufhin den Registrierungsprozess an und entfernt die nicht erforderlichen Pflichtfelder. Dadurch werden personenbezogene Daten erst dann erhoben, wenn sie für einen konkreten Verarbeitungsvorgang benötigt werden.

Für die spätere Bestellabwicklung verarbeitet der Online-Shop die erforderlichen Liefer- und Zahlungsinformationen. Gesetzliche Aufbewahrungspflichten werden unabhängig davon eingehalten.

legal data Einschätzung: Datenminimierung muss bereits bei der Gestaltung betrieblicher Prozesse berücksichtigt werden. Unternehmen sollten für jeden Verarbeitungsvorgang festlegen, welche personenbezogenen Daten tatsächlich benötigt werden, und unnötige Pflichtangaben konsequent vermeiden. Eine datensparsame Gestaltung reduziert rechtliche Risiken, vereinfacht die Datenverwaltung und unterstützt die Einhaltung der DS-GVO.

Rechtsgrundlagen

Art. 5 Abs. 1 lit. b, c und e sowie Abs. 2 DS-GVO

Art. 6 DS-GVO

Art. 24 DS-GVO

Art. 25 DS-GVO

Art. 58 DS-GVO

Art. 83 DS-GVO