Datenminimierung: das „Kenntnis nur bei Bedarf“-Prinzip

Datenminimierung gemäß Artikel 5 Absatz 1 Buchstabe c DSGVO bedeutet, dass Sie nur die personenbezogenen Daten erheben dürfen, die für einen bestimmten Zweck unbedingt erforderlich sind. Wenn Sie beispielsweise einen Newsletter betreiben, reicht eine E-Mail-Adresse aus – Sie müssen nicht um eine Kopie des Reisepasses oder die Wohnanschrift bitten. Der entscheidende Unterschied besteht zwischen Daten, die für die Aufgabe unerlässlich sind, und Daten, die lediglich wünschenswert wären; die Verordnung verlangt Erstere, nicht Letztere.

Ein häufiger Prüfungstrick besteht darin, ein Szenario vorzugeben, in dem zusätzliche Daten hilfreich erscheinen, etwa die Speicherung des Geburtsdatums eines Kunden für ein Rabattsystem, obwohl lediglich seine Altersgruppe benötigt wird. Denken Sie daran, dass „notwendig“ bedeutet, dass Sie den Zweck ohne diese Daten nicht erreichen können – wenn dies doch möglich ist, verstoßen die zusätzlichen Daten gegen die Vorschriften. Ein weiterer Hinweis für das Ausschlussverfahren: Wenn in einer Frage mehrere Datenfelder aufgeführt werden, fragen Sie sich, welche davon unmittelbar dem angegebenen Ziel dienen; alles darüber Hinausgehende ist wahrscheinlich nicht konform.

Stellen Sie sich zur Überprüfung Ihres Verständnisses vor, dass Sie Bewerbungen bearbeiten: Sie benötigen den Namen, die Kontaktdaten und die einschlägigen Qualifikationen der sich bewerbenden Person, nicht jedoch ihren Familienstand oder ihre Hobbys. Wenn Sie sich ein Feld wegdenken und die Aufgabe dennoch erledigen können, besteht dieses Feld den Datenminimierungstest wahrscheinlich nicht. Dieser gedankliche Filter hilft Ihnen, Verstöße in jedem Datenverarbeitungsszenario schnell zu erkennen.