Datensparsamkeit bezeichnet einen Datenschutzgrundsatz, den § 71 BDSG (Teil 3 des Gesetzes) nennt; danach sind insbesondere die Verarbeitung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen am Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten.
Auf einen Blick
Der BfDI beschreibt, dass sich das bereits im BDSG verankerte Prinzip der Datensparsamkeit nunmehr als Datenminimierung in der DSGVO wiederfindet.
Teil 3 des BDSG enthält Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680; § 71 gehört zu diesem Teil.
Auch § 47 Nr. 3 BDSG stellt in Teil 3 des Gesetzes Anforderungen an die Daten selbst: Die Daten müssen dem Verarbeitungszweck entsprechen und für dessen Erreichen erforderlich sein, und ihre Verarbeitung darf nicht außer Verhältnis zu diesem Zweck stehen.
Was ist Datensparsamkeit?
Das BDSG nennt die Datensparsamkeit in § 71, der zu Teil 3 des Gesetzes gehört, als Beispiel für Datenschutzgrundsätze, zu deren wirksamer Umsetzung der Verantwortliche angemessene und dafür geeignete Vorkehrungen zu treffen hat. Zu berücksichtigen sind dabei Umstände, die § 71 Abs. 1 BDSG weiter nennt. Der Verantwortliche hat die Vorkehrungen sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der Verarbeitung selbst zu treffen.
Fragt ein Versicherer im Kundenportal nur die nötigen Angaben ab, folgt er dem Grundsatz der Datenminimierung nach Artikel 5 DSGVO; den Begriff Datensparsamkeit verwendet § 71 BDSG, der zu dem Teil des Gesetzes gehört, der nach § 45 etwa für Strafverfolgungsbehörden gilt. Nach § 45 BDSG gelten die Vorschriften dieses Teils für die Verarbeitung personenbezogener Daten durch die für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten zuständigen öffentlichen Stellen, soweit sie Daten zum Zweck der Erfüllung dieser Aufgaben verarbeiten. Art. 5 Abs. 1 Buchstabe c DSGVO nennt die Datenminimierung: Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.
Wie funktioniert Datensparsamkeit?
§ 71 BDSG verlangt in Teil 3 des Gesetzes neben den Vorkehrungen nach Absatz 1 geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellungen grundsätzlich nur solche personenbezogenen Daten verarbeitet werden können, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist.
Personenbezogene Daten sind nach § 71 Abs. 1 BDSG zum frühestmöglichen Zeitpunkt zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verarbeitungszweck möglich ist. Art. 25 Abs. 2 DSGVO formuliert für die Voreinstellung eine eigene Regel: Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Die Datenminimierung nach Art. 5 Abs. 1 Buchstabe c DSGVO wirkt dagegen über die Anforderung an die Daten selbst, nämlich auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt zu sein.
Datensparsamkeit im Vergleich
| Kriterium | Datensparsamkeit | Datenminimierung |
|---|---|---|
| Fundstelle | § 71 Abs. 1 BDSG in Teil 3 des Gesetzes („Datenschutzgrundsätze wie etwa die Datensparsamkeit“) | Art. 5 Abs. 1 Buchstabe c DSGVO |
| Geltungsbereich | § 71 gehört zu Teil 3 des BDSG, der nach § 45 für die Verarbeitung durch die für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten zuständigen öffentlichen Stellen gilt, soweit sie Daten zum Zweck der Erfüllung dieser Aufgaben verarbeiten | Grundsatz der Verordnung (EU) 2016/679; Teil 3 des BDSG enthält dagegen Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680 |
| Wortlaut | Insbesondere sind die Verarbeitung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten (§ 71 Abs. 1 BDSG, dazu weitere in § 71 Abs. 1 genannte Umstände) | Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein |
Datensparsamkeit und Datenminimierung: Wo gilt welcher Begriff?
| Begriff | Wo er steht und was gilt |
|---|---|
| Datensparsamkeit | § 71 Abs. 1 BDSG nennt sie als Beispiel („wie etwa“) für Datenschutzgrundsätze; § 71 steht in Teil 3 des BDSG, der nach § 45 für die Verarbeitung durch die für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten zuständigen öffentlichen Stellen gilt, soweit sie Daten zum Zweck der Erfüllung dieser Aufgaben verarbeiten. |
| Datenminimierung | Art. 5 Abs. 1 Buchstabe c DSGVO: Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. |
| Wortlaut im BDSG | Nach § 71 Abs. 1 BDSG (Teil 3 des Gesetzes) sind insbesondere die Verarbeitung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten; „wie etwa“ kennzeichnet die Datensparsamkeit als ein Beispiel unter den Datenschutzgrundsätzen. |
| Anforderung an die Daten in Teil 3 | § 47 Nr. 3 BDSG nennt für Teil 3 des Gesetzes, dass personenbezogene Daten dem Verarbeitungszweck entsprechen, für das Erreichen des Verarbeitungszwecks erforderlich sein und ihre Verarbeitung nicht außer Verhältnis zu diesem Zweck stehen müssen. |
| Zu berücksichtigende Umstände | Bei den Vorkehrungen hat der Verantwortliche nach § 71 Abs. 1 BDSG den Stand der Technik, die Implementierungskosten und die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen zu berücksichtigen. |
Beispiele aus der Praxis
- Ein Webshop erhebt bei der Gastbestellung nur Lieferadresse und Zahlungsdaten und legt kein dauerhaftes Nutzerkonto mit Profilhistorie an; das ist ein Beispiel für die Beschränkung auf das notwendige Maß im Sinne der Datenminimierung.
- Ein Unternehmensverzeichnis speichert für die Zugriffskontrolle nur die Abteilungszugehörigkeit eines Mitarbeiters, nicht jedoch Geburtsdatum oder Privatadresse; das ist ein Beispiel für die Beschränkung auf das notwendige Maß im Sinne der Datenminimierung.
- Ein Authentifizierungssystem gibt einer Anwendung per SAML-Assertion nur das Attribut Berechtigung ja oder nein weiter, statt den vollständigen Identitätsdatensatz zu übermitteln; das ist ein Beispiel für die Beschränkung auf das notwendige Maß im Sinne der Datenminimierung.
- Ein Versicherer fragt im Kundenportal nur die Angaben ab, die für den jeweiligen Zweck nötig sind; das entspricht dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 Buchstabe c DSGVO, während § 71 BDSG zu Teil 3 des Gesetzes gehört.
