8 Prüfpunkte zur Umsetzung des Datenminimierungs-Prinzips

In der heutigen Zeit scheint für Unternehmen eines immer wichtiger zu werden: Je mehr personenbezogene Daten man hat, desto besser. Doch das beißt sich mit dem, was etwa die Datenschutz-Grundverordnung (DSGVO) vorgibt.

Sollen personenbezogene Daten verarbeitet werden, sind Sie als Datenschutzbeauftragter der Ansprechpartner Nummer eins. Dabei zählt es zu Ihren Aufgaben, die Umsetzung der gesetzlichen und betrieblichen Anforderungen im Unternehmen zu fördern, etwa durch Beratung und Wissensvermittlung. Zu den wichtigsten gesetzlichen Aspekten gehört der in Art. 5 Buchst. c DSGVO verankerte Grundsatz der Datenminimierung. Und das lässt sich ganz einfach zusammenfassen: Personenbezogene Daten dürfen nur verarbeitet werden, wenn diese Verarbeitung für den vorher bestimmten Zweck erforderlich, angemessen und auf das notwendige Maß beschränkt ist.

Das muss ganz oben auf Ihrer Agenda stehen 

Das Prinzip der Datenminimierung spielt bei jeder Verarbeitung eine Rolle. Machen Sie also bei neuen Verarbeitungen, aber auch bei der Kontrolle bestehender Verarbeitungen, deutlich, welche Möglichkeiten es gibt, die Regelungen des Art. 5 DSGVO praxisgerecht umzusetzen.

Zunächst sollte geprüft werden, ob für den beabsichtigten Zweck nicht auch anonymisierte oder pseudonymisierte Daten ausreichend sind. Neben dem Anonymisierungs- bieten auch das Pseudonymisierungsverfahren den Vorteil, dass schützenswerte Daten vor dem Zugriff Unbefugter besser geschützt werden. Aber: Für pseudonymisierte Daten gelten die gleichen gesetzlichen Bestimmungen wie für alle anderen personenbezogenen Daten (vgl. Erwägungsgrund 26 zur DSGVO). Außerdem: Die Pseudonymisierung ist im Gegensatz zur Anonymisierung reversibel, sprich, der Personenbezug ist wiederherstellbar. S Kommen Anonymisierung und Pseudonymisierung nicht infrage, muss zunächst der Zweck konkret umrissen werden. Dieser muss legitim und berechtigt sein, er darf insbesondere nicht gegen Grundrechte (z. B. Menschenwürde), Gesetze und andere Prinzipien verstoßen. Steht der Zweck fest, kann bewertet werden, was nötig ist, um ihn zu erreichen.

Nicht vergessen: „Privacy by Design and Default“

Für die Umsetzung des Minimalprinzips sind gemäß Art. 25 DSGVO schon bei der Planung und Gestaltung von Verarbeitungsverfahren die Grundsätze des Datenschutzes zu berücksichtigen.

8 Prüfpunkte des Prinzips Datenminimierung

1. Werden mit der Verarbeitung personenbezogener Daten verarbeitet? Klären Sie immer zunächst, ob überhaupt personenbezogene Daten im Spiel sind. Sind Daten einer Person nicht zuordenbar, spielen die datenschutzrechtlichen Anforderungen keine Rolle.
2. Sind für die Erreichung des verfolgten Zwecks überhaupt personenbezogene Daten erforderlich? Hinterfragen Sie, ob es nicht auch mit anonymen Daten geht. Lässt sich auch so der Zweck erreichen, braucht man sich nicht lange mit Datenschutzaspekten aufhalten. Aber: Anonymität ist nur gegeben, wenn dauerhaft kein Personenbezug herstellbar ist.
3. Kann mit pseudonymen Daten gearbeitet werden? Zwar gelten auch diese als personenbezogene Daten. Allerdings ist das Arbeiten damit datenschutzfreundlicher. Nach außen können solche Daten auch fast wie anonyme Daten wirken, wenn etwa Dritte die Zuordnung nicht vornehmen können.
4. Ist die Verarbeitung der personenbezogenen Daten wirklich auf das Minimum beschränkt? Hinterfragen Sie stets, was passiert, wenn diese oder jene Information nicht zur Verfügung steht. Funktioniert das Vorhaben dennoch, ist die Information in der Regel nicht erforderlich.
5. Wird die Verarbeitung am Grundsatz "Privacy by Design and Default" ausgerichtet? Schon frühzeitig müssen die Grundprinzipien in die Gestaltung von Verarbeitungen einfließen. Das gilt auch für das Minimalprinzip und datenschutzfreundliche Voreinstellungen.
6. Ist die Verarbeitung voll von einer Rechtsgrundlage gedeckt? Bei jeder Verarbeitung bedarf es einer Rechtsgrundlage. Will man mehr verarbeiten als unbedingt erforderlich, geht das häufig nur mit der Einwilligung des Betroffenen.
7. Wird auch hinsichtlich der Zugriffs- und Auswertungsmöglichkeiten das Minimalprinzip umgesetzt? Achten Sie auf Erforderlichkeit, auch im Hinblick auf Berechtigungen und Auswertungen. Weniger ist hier oft mehr, denn das reduziert auch Risiken, etwa hinsichtlich unbefugter Zugriffe.
8. Werden personenbezogene Daten gelöscht, wenn etwa ihre Kenntnis nicht mehr erforderlich ist? Wurde der Zweck erreicht, sind die Daten nicht mehr erforderlich. Um das Minimalprinzip auch hier umzusetzen, müssen die Daten gelöscht werden, falls diesbezüglich keine Aufbewahrungspflichten bestehen.

Autor: Andreas Würtz