Was bedeutet Datenminimierung?
Datenminimierung ist einer der tragenden Grundsätze der DSGVO. Art. 5 Abs. 1 lit. c verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind. Vereinfacht: Erheben Sie nur, was Sie wirklich brauchen. Jedes zusätzliche Datenfeld, das niemand auswertet, ist ein Risiko ohne Nutzen.
Der Grundsatz greift in drei Richtungen. Er begrenzt, welche Daten erhoben werden, wie viele Datensätze verarbeitet werden und wie lange sie gespeichert bleiben. Damit ist Datenminimierung eng verwandt mit der Zweckbindung: Erst wird der Zweck festgelegt, dann ergibt sich daraus, welche Daten überhaupt erforderlich sind. Alles andere bleibt weg.
Datenminimierung im Arbeitsalltag
Der Grundsatz klingt abstrakt, hat aber sehr konkrete Folgen. Überall dort, wo Daten erhoben werden, lohnt die Frage: Brauchen wir dieses Feld wirklich? Typische Ansatzpunkte:
- Formulare: Pflichtfelder auf das Nötige reduzieren – ein Newsletter braucht selten die Telefonnummer.
- Kundendaten: keine Daten "auf Vorrat" sammeln, nur weil es technisch möglich wäre.
- Bewerbungen: keine sensiblen Angaben abfragen, die für die Stelle irrelevant sind.
- Auswertungen: wo Statistik genügt, mit aggregierten oder pseudonymisierten Daten arbeiten.
- Speicherdauer: nicht benötigte Daten über ein Löschkonzept regelmäßig entfernen.
Gut umgesetzte Datenminimierung spart nebenbei Aufwand: Weniger Daten bedeuten weniger Schutzbedarf, weniger Pflege und ein kleineres Schadenspotenzial im Fall einer Datenpanne.
Datenminimierung und Privacy by Design
Datenminimierung lässt sich am besten von Anfang an mitdenken, statt sie nachträglich aufzupfropfen. Genau das ist der Kern von Privacy by Design und Privacy by Default: Voreinstellungen und Systemarchitektur so wählen, dass standardmäßig nur die nötigen Daten verarbeitet werden. Eine Software, die im Auslieferungszustand jedes Feld als Pflicht markiert, arbeitet gegen diesen Grundsatz.
In meiner Beratung schaue ich Datenminimierung deshalb nicht als isolierte Regel an, sondern als Haltung, die sich durch Prozesse und IT zieht. Bei der Einführung neuer Tools prüfe ich im Rahmen der Datenschutzberatung, ob die Datenerhebung wirklich erforderlich ist – oft lässt sich der Datenhunger deutlich reduzieren, ohne dass die Funktion leidet.