Im Gesch\u00e4ftsleben sagt man sich oft, dass es im Zweifel besser ist, mehr Informationen als notwendig bei einem Kunden zu erheben und zu speichern, weil die zus\u00e4tzlichen Informationen irgendwann einmal n\u00fctzlich sein k\u00f6nnten. Dabei wird meist \u00fcbersehen, dass die gro\u00dfe Mehrheit dieser zus\u00e4tzlichen Informationen nie benutzt werden und dass unter den meist recht umfangreichen Datensammlungen, die eigentlichen n\u00fctzlichen schwieriger zu finden sind.<\/strong><\/p>\n Zudem werden f\u00fcr umfangreiche Datensammlung entsprechende Ressourcen ben\u00f6tigt, bspw. Arbeitszeit und Geld. Unabh\u00e4ngig davon, verst\u00f6\u00dft es regelm\u00e4\u00dfig gegen das sogenannte Datenminimierungsprinzip der DSGVO.<\/p>\n Was ist Datenminimierung und wie k\u00f6nnen Sie das die Anforderungen aus der DSGVO umsetzen?<\/p>\n \nIm Artikel 5 der Datenschutzgrundverordnung (DSGVO) werden die wesentlichen Grundprinzipien des Datenschutzes aufgef\u00fchrt, die bei der Verarbeitung von personenbezogenen Daten beachtet werden m\u00fcssen Hier ist u.a. auch die Datenminimierung, h\u00e4ufig auch als \u201eDatensparsamkeit\u201c bezeichnet, zu finden.<\/p>\n Die DSGVO sieht im Rahmen der Forderungen zur Datenminimierung vor, dass personenbezogene Daten \u201edem Zweck angemessen und erheblich\u201c sowie auf das \u201ef\u00fcr die Zwecke der Verarbeitung notwendige Ma\u00df beschr\u00e4nkt sein\u201c m\u00fcssen. Dies bedeutet, dass folgende Anforderungen beachtet werden sollten:<\/p>\n Die Erhebung der Daten muss geeignet sein, die festgelegten Zwecke der Verarbeitung zu erf\u00fcllen. Bei der Anmeldung zu einem Newsletter beispielsweise, ist die Erhebung der Anschrift des Betroffenen nicht geeignet den Zweck zu erf\u00fcllen (Versand der digitalen Newsletter per E-Mail) und darf hierf\u00fcr nicht bei der Anmeldung zu einem E-Newsletter erhoben werden. Anders bei der Anmeldung zum Erhalt eines monatlich erscheinenden Produktkatalogs, der per Post versendet wird.<\/p>\n Aber dass die Erhebung eines bestimmten Datentyps angemessen ist, um den Zweck der Verarbeitung zu erreichen, reicht alleine nicht aus. Das Datenminimisierungsprinzip setzt auch voraus, dass diese Erhebung auch notwendig ist, weil das Ziel der Verarbeitung nicht anders erreicht werden kann. Ein Beispiel: Die Erhebung von biometrischen Daten im Rahmen einer Fingerabdruckkontrolle am Eingang eines Geb\u00e4udes hat den Zweck unberechtigten den Zutritt zu verwehren. Es w\u00e4re aber zus\u00e4tzlich m\u00f6glich, die Fingerabdruckkontrolle zu nutzen, um die Arbeitszeiten der Mitarbeiter in Deutschland zu erfassen. Diesen Zweck kann aber (ohne die Verwendung besonderer Datenkategorien) bspw. \u00fcber eine Stechuhr oder eine separate Software erf\u00fcllt werden \u2013 beides sollten hier mildere Mittel als die Verarbeitung besonderer Datenkategorien (biometrische Daten) sein.<\/p>\n Dass die Erhebung von bestimmten Daten geeignet und notwendig ist, um den Zweck zu erreichen, reicht nicht immer aus. Der Kontext der Verarbeitung der Daten spielt auch eine Rolle. Ein Beispiel: ein Geolokalisierungssystem darf bei einem LKW zwecks effektiven Routenplanung installiert werden, aber er darf nur w\u00e4hrend der Arbeitszeit des Fahrers aktiv sein. Ein weiteres Beispiel ist die Video\u00fcberwachung. Sie kann f\u00fcr den Zweck der Sicherheit des Geb\u00e4udes und der Diebstahlpr\u00e4vention benutzt werden. Kameras d\u00fcrfen allerdings nur in bestimmten Bereiche verwendet werden: z.B. am Eingang des Geb\u00e4udes, nicht aber in der Umkleide.<\/p>\n <\/p>\n Die Dataminimierung erscheint vielen zuerst nur f\u00fcr die Personen gut zu sein, deren Daten verarbeitet werden (\u201eBetroffene\u201c: Kunde, Besucher der Webseite, etc.) und wird vom Unternehmer meist als eine Begrenzung seiner Handlungsm\u00f6glichkeiten im Rahmen seiner T\u00e4tigkeiten angesehen. Dabei ist Datenminimierung bzw. Datensparsamkeit auch im Interesse der Unternehmen. Abgesehen von der Vermeidung etwaiger Sanktionsma\u00dfnahmen inkl. Bu\u00dfgelder wegen eines Datenschutzversto\u00dfes, erleichtert der Verzicht auf der Vorratsdatenspeicherung das Auffinden der n\u00fctzlichen Daten. Indem Sie Platz f\u00fcr die Datenspeicherung gewinnen, k\u00f6nnen Sie auch dazu Ressourcen sparen.<\/p>\n Die Erstellung und die Pr\u00fcfung vom Verzeichnis der Verarbeitungst\u00e4tigkeiten ist ein guter Anlass, um unter den Verfahren, die Sie einsetzen und den Daten, die Sie speichern, aufzur\u00e4umen. \u00dcberfl\u00fcssige Verfahren werden beseitigt. Daten, deren Verarbeitung Sie nicht rechtfertigen k\u00f6nnen, werden gel\u00f6scht. Abseits von Daten, die Sie auf Vorrat gespeichert haben, betrifft es auch Daten, die Sie nicht mehr identifizieren k\u00f6nnen. Wenn Sie z.B. Kontaktdaten von Personen haben, aber nicht mehr wissen, um wen es sich handelt und in welchem Kontext die Daten erhoben wurden, ist es ein Zeichen, dass diese Daten nicht weiter gespeichert werden sollten.<\/p>\n Wichtig ist hier zu verstehen, dass die Datensparsamkeit nicht ein Verbot der Erhebung von bestimmten Daten bedeutet, sondern nur, dass Sie eine Rechtfertigung f\u00fcr ihre Erhebung und ihre Verarbeitung insgesamt haben m\u00fcssen.<\/p>\n Dar\u00fcber hinaus ist die Datenminimierung zunehmend wichtig f\u00fcr das Vertrauen der Kunden. Wenn Kunden bemerken, dass \u201eTricks\u201c benutzt werden, um mehr \u00fcber sie zu erfahren, als das was notwendig w\u00e4re, kann es sie dazu bewegen, nicht weiter mit dem Unternehmen zusammenzuarbeiten.<\/p>\n <\/p>\n <\/p>\n Die Betroffenen verf\u00fcgen \u00fcber alle Rechte, die im Kapitel III und im Artikel 77 der DSGVO dargestellt werden. Insbesondere haben sie das Recht auf L\u00f6schung der Daten, wenn diese nicht f\u00fcr die Erreichung des Zweckes der Verarbeitung notwendig sind.<\/p>\n <\/p>\n <\/p>\n Irgendwann sind Daten auch zu l\u00f6schen, n\u00e4mlich dann wenn keine Notwendigkeit bzw. Verpflichtung zur Aufbewahrung mehr vorhanden ist. Die konkreten Aufbewahrungsfristen sind stark abh\u00e4ngig vom Kontext der Datenverarbeitung. Die Erstellung und Implementierung eines L\u00f6schkonzepts ist daher sehr zu empfehlen. Stark vereinfacht werden die vorhandenen Daten kategorisiert und hinsichtlich der Erforderlichkeit mit Fristen versehen, insbesondere sind hierbei die gesetzlichen und branchen\u00fcblichen Aufbewahrungsfristen zu beachten. Im Rahmen des Konzepts werden die Aufbewahrungsfristen f\u00fcr verschiedene Datenkategorien die gemeinsam aufbewahrt werden harmonisiert und eine gemeinsame Frist f\u00fcr diese festgelegt. Eine Frist alleine reicht aber nicht aus, da auch festgelegt werden muss wann diese beginnt. Bspw. k\u00f6nnte festgelegt werden, dass die Frist zur L\u00f6schung einer Kundenakte beginnt, sobald drei Jahre lang kein Kontakt mehr zu diesem besteht.<\/p>\n <\/p>\n <\/p>\n Sie m\u00fcssen sich bei jeder Datenverarbeitung fragen, welche Daten f\u00fcr die Erreichung des Zweckes erforderlich sind. Alle anderen Daten (\u201eDatenspeicherung auf Vorrat\u201c) k\u00f6nnen nicht in diesem Rahmen verarbeitet werden, bzw., f\u00fcr diese muss eine separate Erlaubnisnorm\/Rechtsgrundlage verwendet werden (bspw. die Einwilligung).<\/p>\n Transparenz ist dabei ebenfalls sehr wichtig. Verstecken Sie Hinweise auf Datenverarbeitungen nicht in langen Vertragstexten oder machen Sie den Vertragsabschluss nicht von der Abgabe einer Einwilligung zu einer anderen Verarbeitung abh\u00e4ngig. Beispielsweise sollten Sie in einem Formular als Pflichtfelder nur die Felder kennzeichnen, die f\u00fcr die Erreichung des Zweckes der Hauptverarbeitung notwendig sind.<\/p>\n Ein weiteres Beispiel: Im Regelfall brauchen Sie f\u00fcr den Zweck der Durchf\u00fchrung eines Vertrags keine Informationen dar\u00fcber, ob ein Kunde Kinder hat oder wann er in Urlaub war. Diese Informationen k\u00f6nnen somit nicht auf Basis des Artikel 6 Abs. 2 Buchstabe b der DSGVO (\u201eVertragserf\u00fcllung\u201c) verarbeiten werden. Nat\u00fcrlich haben Sie aber als Verk\u00e4ufer ein berechtigtes Interesse daran eine Vertrauensbasis mit dem Kunden zu schaffen und tauschen hierf\u00fcr einige private Informationen aus. Diese Informationen k\u00f6nnen auf der Basis der Einwilligung des Kunden f\u00fcr den Zweck von guten Kundenbeziehungen verarbeitet werden. Allerdings sollen Sie der Einzige sein, der Zugriff auf diese Informationen hat, die Elemente d\u00fcrfen nicht z.B. in einem CRM eingetragen werden. Wenn ein anderer Verk\u00e4ufer den Kunden \u00fcbernimmt, d\u00fcrfen Sie diese Informationen nicht weitergeben.<\/p>\n <\/p>\n <\/p>\n Das Datenminimierungsprinzip hat \u00dcberschneidungspunkte mit dem Prinzip der datenschutzfreundlichen Voreinstellungen (Privacy by design), welches im Art.25 Abs. 2 DSGVO aufgef\u00fchrt wird.<\/p>\n Dieses Prinzip besagt, dass geeignete technische und organisatorische Ma\u00dfnahmen sicherstellen m\u00fcssen, dass durch Voreinstellung grunds\u00e4tzlich nur personenbezogene Daten, deren Verarbeitung f\u00fcr den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Das Prinzip betrifft unter anderen die Mittel, die tats\u00e4chlich implementiert werden m\u00fcssen, damit das Datenminimierungsprinzip beachtet wird. Z.B. optionale Felder und Pflichtfelder in einem Formular m\u00fcssen f\u00fcr den Kunden einfach voneinander differenzierbar sein.<\/p>\n Wie empfehlen Ihnen weiter als datenschutzfreundlichen Voreinstellungen, die das Datenminimierungsprinzip umsetzen, bei den Formularen, Freiform-Eingabefelder zu vermeiden und Dropdown-Auswahlm\u00f6glichkeiten bzw. Kontrollk\u00e4stchen zu bevorzugen, wenn es sich nicht um Kontaktformularen handelt und wo also nur bestimmte Daten notwendig sind. Wenn die Leute nicht wissen, was sie eingeben sollen, gibt es ein Risiko, dass sie Informationen geben, die f\u00fcr die Verarbeitung unn\u00f6tig sind.<\/p>\n Als zweites Beispiel m\u00f6chten wir die Frage der Kommentarfelder bei Dateien, die von Ihren Mitarbeitern gepflegt werden, erw\u00e4hnen. Aufsichtsbeh\u00f6rden haben z.B. Bu\u00dfgeld verh\u00e4ngt, weil Mitarbeitern von Call Center sehr pr\u00e4zise und nicht f\u00fcr den Zweck der Verarbeitung relevante Informationen \u00fcber Kunden (\u00fcber ihre Gesundheit,..) mit zum Teil sogar beleidigende Bemerkungen in Kommentarfeldern vom CRM System eingetragen hatten. Abseits von der notwendigen Datenschutzschulung ihrer Mitarbeiter, empfehlen wir Ihnen eine Warnbanner f\u00fcr die Nutzung von solchen Kommentarfeldern einzurichten, oder die Eintr\u00e4ge durch Dropdown-Men\u00fcs einzuschr\u00e4nken.<\/p>\n <\/p>\n Sie m\u00fcssen alle personenbezogenen Daten, die Sie in Ihrer Datenbank haben, bewerten, indem Sie sich f\u00fcr jede Verarbeitung fragen, ob die Daten, die erhoben werden, in Einklang mit diesem Prinzip sind. Dann m\u00fcssen Sie pr\u00fcfen, ob die nicht notwendigen erhobenen Daten in einem anderen Rahmen verarbeitet werden d\u00fcrfen. Schlie\u00dflich m\u00fcssen Sie die Daten l\u00f6schen, f\u00fcr die keinen Rahmen gefunden werden kann und Sie d\u00fcrfen in der Zukunft nicht mehr diese Daten erheben.<\/p>\n Die Sammlung der Informationen f\u00fcr das Verzeichnis der Verarbeitungst\u00e4tigkeiten sollte Ihnen eigentlich viele Elemente geben, die Ihnen erm\u00f6glichen ein Bild vom Zustand Ihrer Organisation in Hinsicht auf das Datenminimierungsprinzip.<\/p>\n <\/p>\n Wir k\u00f6nnen Sie helfen, festzustellen wann Daten f\u00fcr eine Verarbeitung notwendig sind und beraten \u00fcber Alternative Rahmen f\u00fcr die Verarbeitung der zus\u00e4tzlichen Daten, wenn dies m\u00f6glich ist. In der Regel f\u00fchren wir diese Arbeit im Rahmen von der Erstellung eines Verzeichnisses oder ihrer Aktualisierung, im Rahmen von externen Datenschutzbeauftragten-Mandate oder von einer speziellen Beauftragung f\u00fcr diesen Zweck. Dar\u00fcber hinaus geben wir Ihnen Ratschl\u00e4ge in Hinsicht der besten Umsetzungen von datenschutzfreundlichen Voreinstellungen.<\/p>\n","protected":false},"excerpt":{"rendered":" Das Datenminimierungsprinzip in der DSGVO Im Gesch\u00e4ftsleben sagt man sich oft, dass es im Zweifel besser ist, mehr Informationen als notwendig bei einem Kunden zu erheben und zu speichern, weil die zus\u00e4tzlichen Informationen irgendwann einmal n\u00fctzlich sein k\u00f6nnten. Dabei wird meist \u00fcbersehen, dass die gro\u00dfe Mehrheit dieser zus\u00e4tzlichen Informationen nie benutzt werden und dass unter den meist recht umfangreichen Datensammlungen, …<\/p>\n","protected":false},"author":1,"featured_media":15959,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[13],"tags":[],"class_list":["post-15727","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-datenschutz-unternehmen"],"yoast_head":"\n\nBedeutung des Datenminimisierungsprinzips nach der DSGVO<\/h3>\n
Definition des Datenminimierungsprinzips<\/h3>\n
\u00a0<\/h3>\n
Ist Datensparsamkeit gut oder schlecht f\u00fcr Sie als Unternehmen?<\/h3>\n
Welche Rechte hat eine betroffene Person bei einer Missachtung des Datenminimierungsprinzips?<\/h3>\n
Wie lange k\u00f6nnen Sie Daten maximal speichern?<\/h3>\n
Wie gew\u00e4hrleisten Sie die Datenminimierung?<\/h3>\n
Welche Frage m\u00fcssen Sie sich stellen?<\/h3>\n
Datenschutzfreundlichen Voreinstellungen als Umsetzung des Datenminimierungsprinzips<\/h3>\n
\u00a0<\/h3>\n
Fazit: wie k\u00f6nnen Sie eine Initiative zur Datenminimierung erfolgreich umsetzen?<\/h3>\n
\u00a0<\/h3>\n
Wie kann 2B Advice Sie bei der Umsetzung des Datenminimierungsprinzips helfen?<\/h3>\n