Als sich die DSGVO noch in der Anpassungsphase befand, betrachteten datengesteuerte Organisationen und öffentliche Einrichtungen, die in großem Umfang personenbezogene Daten verarbeiten, die neue Anforderung, Daten zu reduzieren, als eine sehr zweideutige Herausforderung.

In der DSGVO heißt es: „Personenbezogene Daten müssen ausreichend und angemessen sein und dürfen nicht in Bezug auf den Zweck oder die Zwecke, für die sie verarbeitet werden, unverhältnismäßig sein.“ Doch auch diese Definition stellt einige Unternehmen oft vor Herausforderungen.

Mehr als ein Jahr nach Inkrafttreten der EU-Datenschutzverordnung haben wir festgestellt, dass die Datenminimierung viele Vorteile für Unternehmen bietet, die sie in ihre Verfahren integrieren wollen. Bevor wir uns ansehen, wie die Datenminimierung in der Realität aussehen kann, sollten wir uns genau ansehen, was die Definition der DSGVO beinhaltet.

Pflichten zur Datenminimierung gemäß der DSGVO

Art. 5 (1) DSGVO besagt, dass personenbezogene Daten „den Zwecken entsprechen, für die sie erhoben werden, dafür erheblich sein und auf das für die Zwecke, für die sie verarbeitet werden, erforderliche Maß beschränkt sein müssen.“

Was bedeutet das?

In der Datenschutz-Grundverordnung wird nicht beschrieben, was mit „angemessen, geeignet und auf das erforderliche Maß beschränkt“ gemeint ist. Sie wird sich auf den genauen Grund für die Erhebung und Verwendung personenbezogener Daten stützen.

Sie kann auch von einer betroffenen Person zur anderen und von der Form der verarbeiteten personenbezogenen Daten variieren. All diese Dinge müssen berechnet werden, damit die Mindestanzahl der Mitarbeiter, die zur Erfüllung der Aufgabe erforderlich sind, festgelegt werden kann.

Unnötig und irrelevant

Nehmen wir an, Ihr Unternehmen speichert mehr Daten, als für Ihre Zwecke vernünftigerweise erforderlich sind. In diesem Fall ist dies wahrscheinlich rechtswidrig (da die meisten der Rechtsgrundlagen von Art. 6 und 9 DSGVO auch ein Erforderlichkeitselement enthalten) sowie ein Verstoß gegen den Grundsatz der Datenminimierung. Die betroffenen Personen können auch das Recht haben, von Ihnen die Löschung aller unnötigen Daten zu verlangen.

Unzureichend

Wenn die von Ihrem Unternehmen durchgeführte Verarbeitung Sie nicht in die Lage versetzt, Ihr Ziel zu erreichen, dann sind die Ihnen vorliegenden personenbezogenen Daten wahrscheinlich unzureichend. Sie sollten keine personenbezogenen Daten verarbeiten, wenn sie für den beabsichtigten Zweck nicht geeignet sind. Denken Sie daran, dass Personen auch das Recht haben, unzureichende Informationen über sie zu korrigieren.

In einigen Fällen könnte dies dazu führen, dass Sie mehr personenbezogene Daten erheben müssen, als Sie ursprünglich erwartet haben, damit Sie über angemessene Informationen für den betreffenden Zweck verfügen. Es ist geschäftlich nicht sinnvoll, über unzureichende personenbezogene Daten zu verfügen – aber Sie müssen aufpassen, dass Sie nicht zu weit in die andere Richtung gehen und mehr sammeln, als Sie brauchen.

Verantwortlichkeit

Der Grundsatz der Transparenz ermöglicht es Ihnen außerdem, die Verantwortung dafür zu übernehmen, was Sie mit Ihren personenbezogenen Daten tun und wie Sie die anderen Grundsätze einhalten. Das bedeutet, dass Sie in der Lage sein müssen, nachzuweisen, dass Sie über ausreichende Verfahren, Schritte und Dokumente verfügen, um zu belegen, dass Sie nur die personenbezogenen Daten erheben und aufbewahren, die Sie benötigen.

Neben der Ergreifung der richtigen Maßnahmen, um die Einhaltung der DSGVO zu gewährleisten, kann die Umsetzung der Datenminimierung in der Praxis auch einige zusätzliche Vorteile bieten. Schauen wir uns die vier Vorteile an, die Unternehmen durch Datenminimierung erzielen können.

Umsetzung eines strategischen Plans für die Datenlöschung

Das Konzept der Datenminimierung ist eine Gewohnheit, die Unternehmen immer wieder überprüfen können. Wenn Sie sich die Zeit nehmen, Ihre Verarbeitung zu überprüfen, um sicherzustellen, dass die von Ihnen aufbewahrten personenbezogenen Daten immer noch anwendbar oder für Ihre Zwecke unerlässlich sind, und wenn Sie alle Daten löschen, die als veraltet gelten, erhöht sich nicht nur die Wahrscheinlichkeit, dass Sie die DSGVO einhalten, sondern es entsteht auch eine aktuelle Datenbank.

Die strategische Datenlöschung ist ein entscheidender Bestandteil der Datenminimierungspraxis, da Unternehmen sicherstellen müssen, dass Daten, die als veraltet oder überholt gelten, sicher gelöscht werden.

Eine weitere Anpassung des „eingebauten Datenschutzes“ bei der Datenerhebung und -speicherung würde es den Unternehmen ermöglichen, selbst zu bestimmen, welche Art von Daten sie aufbewahren müssen und welche nicht. Es wird auch die Möglichkeit bieten, spezifische Leitlinien festzulegen, die bei der Datenerhebung zu befolgen sind, um die wichtigsten und geeignetsten Informationen zu optimieren.

Datenminimierung ist eine Chance

Unabhängig davon, um welches Unternehmen es sich handelt, besteht nach wie vor ein großes Interesse daran, die Erlaubnis für die Erhebung, Aufbewahrung und Verarbeitung personenbezogener Daten einzuholen.

Organisationen müssen stets sicherstellen, dass ihre Datenverarbeitungsaktivitäten mit der DSGVO konform sind, und sollten erkennen, dass die Erhebung von immer mehr personenbezogenen Daten ihnen nicht immer den gewünschten Vorteil bringt.

Letztlich kann sich das Unternehmen durch die generelle Beschränkung der Datenerfassung auf ein Minimum vor möglichen externen oder internen Risiken schützen.