Datenminimierung: Was versteht die DSGVO darunter?

Warum Datenminimierung?

Die Datenschutz-Grundverordnung (DSGVO) nennt in Art. 5 DSGVO Datenminimierung als einen der Grundsätze der Verarbeitung personenbezogener Daten: Personenbezogene Daten müssen demnach „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“.

Eigentlich liegen die Vorteile der Datenminimierung auf der Hand: Personenbezogene Daten, die unerheblich oder unangemessen für den Zweck der Verarbeitung sind, die Verantwortliche also für die geplante Datenverarbeitung nicht brauchen, müssen sie weder erheben noch speichern und entsprechend auch nicht später löschen oder anderweitig schützen.

Was man nicht braucht, hat man dann nicht und muss man deshalb nicht schützen. Das sollte doch ein sehr gutes Argument für die Datenminimierung oder die Datensparsamkeit in Unternehmen und Behörden sein, wie das alte Bundesdatenschutzgesetz die Forderung früher nannte.

Wie lässt sich Datenminimierung umsetzen?

Damit die Praxis den Grundsatz der Datenminimierung besser umsetzen kann, schlägt zum Beispiel das Standard-Datenschutzmodell der Datenschutz-Aufsichtsbehörden einige Maßnahmen vor. Ein Datenschutzbeauftragter sollte dieses Modell auf jeden Fall kennen. Vorgeschlagene Maßnahmen sind unter anderem:

• erfasste Attribute der betroffenen Personen reduzieren
• Voreinstellungen festlegen, die dieVerarbeitung personenbezogener Daten auf das Maß beschränken, das für den Verarbeitungszweck notwendig ist
• Datenmasken implementieren, die Datenfelder unterdrücken
• automatische Sperr- und Löschroutinen, Pseudonymisierungs- und Anonymisierungsverfahren vorsehen
• Löschkonzept festlegen und umsetzen

Was sagen die Aufsichtsbehörden für den Datenschutz zur Datenminimierung?

Ein grundsätzliches Problem bei der Umsetzung rechtlicher Forderungen ist, dass es nicht leicht ist, die Vorgaben richtig oder vollständig zu verstehen. Hier versuchen die Aufsichtsbehörden für den Datenschutz, Abhilfe zu schaffen. Denn sie erklären die Forderungen der DSGVO.

So erklärt etwa der Europäische Datenschutzbeauftragte:

• Der Grundsatz der „Datenminimierung“ bedeutet, dass ein für die Verarbeitung Verantwortlicher die Erhebung personenbezogener Daten auf die Informationen beschränken sollte, die von direkter Relevanz und für die Erfüllung eines spezifischen Zwecks erforderlich sind.
• Außerdem sollten Verantwortliche die personenbezogenen Daten nur so lange aufbewahren, wie es erforderlich ist, um diesen Zweck zu erfüllen.
• Anders ausgedrückt, sollten die für die Verarbeitung Verantwortlichen nur die personenbezogenen Daten erheben, die sie benötigen, und diese nur so lange aufbewahren, wie erforderlich.

Das BMJ (Bundesjustizministerium) nennt als konkretes Beispiel: „Datenminimierung heißt, dass nur die personenbezogenen Daten erhoben werden, die für den Zweck notwendig sind. Die Telefonnummer wäre für die Versendung des Buches also unerheblich und sollte daher nicht abgefragt werden.“

Was kritisieren Wirtschaftsverbände und Politiker an der Datenminimierung?

In der Praxis findet der Grundsatz der Datenminimierung trotz seiner Vorteile für den Datenschutz und trotz der logischen Begründung der Forderung nicht immer die Umsetzung, wie sie sein müsste. Stattdessen gibt es Kritik. Sie beruht mitunter aber auf einem Missverständnis der Datenminimierung.

So kommt zum Beispiel aus der Politik Kritik wie: „Datenminimierung kann Fortschritt verhindern und Wirtschaft ausbremsen: (…) Auch das Prinzip der Datenminimierung in der DSGVO kann Fortschritt verhindern, wenn beispielsweise anonymisierte Gesundheitsdaten nicht für die wichtige Gesundheitsforschung zum Vorteil aller genutzt werden können. Auch in der Wirtschaft verknappt das Prinzip der Datenminimierung unseren Rohstoff Daten künstlich und die USA und China eilen immer weiter davon.“ (https://www.cducsu.de/presse/pressemitteilungen/europas-standard-beim-datenschutz-erhalten-aber-datensouveraenitaet-anstreben)

Von den Wirtschaftsverbänden hört man Positionen wie: „Von entscheidender Bedeutung wird es daher sein, dass Prinzipien wie Datensouveränität, Datensorgfalt und Datenverfügbarkeit zum Leitbild entwickelt werden und eine Balance zu Prinzipien wie Datenminimierung hergestellt wird.“ (https://www.bitkom.org/Kurzpositionen/Datenpolitik)

Laut Wirtschaft und Politik hat die Datenminimierung also ein zu hohes Gewicht. Beobachtungen von Datenschutzbeauftragten aus der Praxis in Unternehmen und Behörden legen allerdings eher das Gegenteil nahe.