Datenminimierung bezeichnet den Grundsatz der Datenschutz-Grundverordnung (DSGVO), personenbezogene Daten bei ihrer Verarbeitung dem jeweiligen Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß zu beschränken.
Auf einen Blick
Der Grundsatz steht in Art. 5 Abs. 1 lit. c DSGVO und ist dort als „Datenminimierung“ bezeichnet.
Maßstäbe sind drei Merkmale: Die Daten sind dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt.
Die Pflicht zu datenschutzfreundlichen Voreinstellungen nach Art. 25 Abs. 2 DSGVO gilt für die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit.
Was ist Datenminimierung?
Datenminimierung betrifft die Frage, welche personenbezogenen Daten für einen Zweck überhaupt verarbeitet werden. Nach Auffassung der Datenschutzkonferenz sind Daten angemessen, wenn sie einen konkreten inhaltlichen Bezug zum Verarbeitungszweck aufweisen, und erheblich, wenn ihre Verarbeitung einen Beitrag zur Zweckerreichung leistet. Auf das notwendige Maß beschränkt sind nach derselben Auslegung nur die Daten, ohne deren Verarbeitung der Verarbeitungszweck nicht erreicht werden kann. Für die Einhaltung der Grundsätze nach Artikel 5 Absatz 1 DSGVO, zu denen die Datenminimierung gehört, ist der Verantwortliche verantwortlich; er muss die Einhaltung nachweisen können (Rechenschaftspflicht).
Nach einem Erwägungsgrund der DSGVO sollten personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Die Datenschutzkonferenz sieht die Datenminimierung in einem engen Zusammenhang mit dem Grundsatz der Zweckbindung. Fragt ein Versicherer im Antrag nur die Daten ab, die er für die Risikoprüfung benötigt, setzt er den Grundsatz um, die Verarbeitung auf das für die Zwecke der Verarbeitung notwendige Maß zu beschränken. Die Anforderung entspricht nach der Datenschutzkonferenz weitgehend dem aus dem deutschen Recht bekannten Grundprinzip der Datensparsamkeit.
Wie funktioniert Datenminimierung?
Der Verantwortliche trifft nach Artikel 25 Absatz 2 DSGVO geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Als Beispiel für geeignete Maßnahmen, die dafür ausgelegt sind, Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen, nennt Artikel 25 Absatz 1 die Pseudonymisierung.
Damit personenbezogene Daten nicht länger als nötig gespeichert werden, sollte der Verantwortliche nach den Erwägungsgründen der DSGVO Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen. Bei Verstößen gegen die Grundsätze für die Verarbeitung nach den Artikeln 5, 6, 7 und 9 werden nach Artikel 83 Absatz 5 Buchstabe a DSGVO im Einklang mit Absatz 2 je nach den Umständen des Einzelfalls Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
Datenminimierung im Vergleich
| Kriterium | Datenminimierung | Datensparsamkeit | Speicherbegrenzung | Zweckbindung |
|---|---|---|---|---|
| Fundstelle | Art. 5 Abs. 1 lit. c DSGVO | § 71 Abs. 1 BDSG (Teil 3; besonderer Anwendungsbereich nach § 45 BDSG) | Art. 5 Abs. 1 lit. e DSGVO | Art. 5 Abs. 1 lit. b DSGVO |
| Gegenstand | Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt | Verarbeitung und Systemgestaltung am Ziel ausrichten, so wenig personenbezogene Daten wie möglich zu verarbeiten | Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist; nach Art. 5 Abs. 1 lit. e DSGVO dürfen die Daten länger gespeichert werden, soweit sie vorbehaltlich geeigneter technischer und organisatorischer Maßnahmen ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden | Erhebung für festgelegte, eindeutige und legitime Zwecke, keine mit diesen Zwecken nicht zu vereinbarende Weiterverarbeitung |
| Einordnung nach der Datenschutzkonferenz | Steht in einem engen Zusammenhang mit der Zweckbindung | Die Anforderung der Datenminimierung entspricht weitgehend dem Grundprinzip der Datensparsamkeit | In Art. 5 Abs. 1 lit. e DSGVO als eigener Grundsatz definiert | Steht in einem engen Zusammenhang mit der Datenminimierung |
Woran erkenne ich, ob Datenminimierung umgesetzt ist?
| Merkmal | Worauf es ankommt |
|---|---|
| angemessen | Die Daten haben nach Auffassung der Datenschutzkonferenz einen konkreten inhaltlichen Bezug zum Verarbeitungszweck. |
| erheblich | Die Verarbeitung der Daten leistet nach Auffassung der Datenschutzkonferenz einen Beitrag zur Zweckerreichung. |
| auf das notwendige Maß beschränkt | Nach Auffassung der Datenschutzkonferenz sind nur die Daten erfasst, ohne deren Verarbeitung der Verarbeitungszweck nicht erreicht werden kann. |
Schutz im Ernstfall
Vorbeugen
- Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken geeignete technische und organisatorische Maßnahmen wie Pseudonymisierung treffen, die dafür ausgelegt sind, Datenminimierung wirksam umzusetzen (Art. 25 Abs. 1 DSGVO).
- Durch Voreinstellung nur Daten verarbeiten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist (Art. 25 Abs. 2 DSGVO).
- Bei den Voreinstellungen die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit berücksichtigen.
- Fristen für die Löschung oder regelmäßige Überprüfung der Daten vorsehen, damit sie nicht länger als nötig gespeichert werden.
Beispiele aus der Praxis
- Ein Online-Händler erhebt für die Abwicklung eines einzelnen Geschäfts nur die dafür erforderlichen Daten; nach Vertragserfüllung nicht mehr benötigte Daten löscht er unverzüglich.
- Ein Verantwortlicher legt die Voreinstellungen so fest, dass nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist.
- Ein Versicherer erhebt im Antrag nur die Daten, die er für die Risikoprüfung benötigt, und beschränkt damit die Verarbeitung auf das für ihren Zweck notwendige Maß.
