Drei Prüfsteine im Gesetzestext
Art. 5 Abs. 1 lit. c verlangt, dass Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind. Daraus lassen sich drei Fragen ableiten: Passt die Information überhaupt zum Zweck (angemessen)? Trägt sie zum Zweck etwas bei (erheblich)? Und geht es nicht mit weniger (notwendig)?
Erwägungsgrund 39 ergänzt einen strengen Satz: Personenbezogene Daten sollten nur verarbeitet werden, „wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann“. Datenminimierung beginnt also nicht beim Löschen, sondern bei der Frage, ob bestimmte Daten überhaupt entstehen müssen.
Der Grundsatz richtet sich an den Verantwortlichen, gilt aber für jede einzelne Verarbeitung: beim Erheben, beim Speichern, beim Weitergeben. Ein Kontaktformular, das neben Name und Mailadresse auch Geburtsdatum und Familienstand verlangt, obwohl nur ein Rückruf vereinbart werden soll, ist ein typisches Beispiel für zu viel. Ähnlich heikel sind Tools, die standardmäßig jedes Gespräch aufzeichnen und dauerhaft für die ganze Firma sichtbar machen.
Abgrenzung zu den Nachbargrundsätzen
Die Grundsätze in Art. 5 greifen ineinander, meinen aber Verschiedenes. Die Zweckbindung legt fest, wofür Daten verarbeitet werden dürfen. Die Datenminimierung fragt, wie viel dafür nötig ist. Die Speicherbegrenzung bestimmt, wie lange Daten in identifizierbarer Form bleiben dürfen.
Ohne klaren Zweck lässt sich Datenminimierung gar nicht prüfen. „Wir zeichnen alles auf, man weiß nie“ scheitert deshalb meist schon an der Zweckfrage, bevor es um die Menge geht.
In Art. 25 Abs. 2 wird der Gedanke technisch verankert: Durch Voreinstellungen sollen grundsätzlich nur die Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind – bezogen auf Menge, Umfang der Verarbeitung, Speicherfrist und Zugänglichkeit. Das ist der Kern von Privacy by Design und datenschutzfreundlichen Voreinstellungen.
Datenminimierung bei Besprechungen
Gerade bei Gesprächsaufnahmen entsteht schnell mehr, als gebraucht wird. Einige Stellschrauben:
- Protokollart wählen: Für die meisten Zwecke reicht ein Ergebnisprotokoll mit Entscheidungen und Aufgaben. Ein Wortprotokoll mit jedem Satz ist selten nötig.
- Aufnahme nur, wo sie etwas bringt: Ein kurzer interner Abgleich braucht keine Tonaufnahme, ein komplexes Anforderungsgespräch vielleicht schon.
- Rohdaten nicht länger als nötig: Ist das Transkript erstellt, wird die Audiodatei oft nicht mehr gebraucht.
- Privates heraushalten: Smalltalk, Gesundheitsthemen oder Bemerkungen über Abwesende gehören nicht ins Protokoll, wenn sie für den Zweck keine Rolle spielen.
- Verteiler klein halten: Auch die Zahl der Personen, die ein Protokoll lesen können, ist eine Frage der Minimierung.
Was Datenminimierung nicht verlangt
Der Grundsatz verlangt nicht, so wenig wie überhaupt möglich zu speichern, sondern so wenig wie für den Zweck nötig. Ein Protokoll, das wegen falsch verstandener Sparsamkeit nicht mehr nachvollziehbar ist, verfehlt seinen Zweck – und ist dann auch kein gutes Datenschutzbeispiel. Fehlen etwa Verantwortliche und Fristen bei den Aufgaben, entstehen Rückfragen und Nebendokumente, die am Ende mehr Daten erzeugen als ein ordentliches Protokoll.
Auch der Grundsatz der Richtigkeit (Art. 5 Abs. 1 lit. d) setzt der Minimierung Grenzen: Eine Zusage ohne Namen ist zwar sparsam, kann aber falsch verstanden werden.
Nach Vorstellungsgesprächen notierte die Personalleiterin Huber bisher alles, was ihr auffiel – auch, dass ein Bewerber „wohl bald Vater wird“ und eine Bewerberin „einen Dialekt aus dem Innviertel“ spricht.
Nach einer Schulung beschränkt sie ihre Notizen auf die Kriterien der Ausschreibung: fachliche Erfahrung, Antworten auf die Fallfrage, Verfügbarkeit, Gehaltsvorstellung. Die Notizen werden dadurch kürzer, besser vergleichbar und enthalten nichts mehr, was für die Entscheidung keine Rolle spielen darf.
Dieser Eintrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.