Datenminimierung lässt sich an einem einzelnen Feld prüfen: Welcher konkrete Zweck benötigt diese Information, in welcher Genauigkeit und an welcher Stelle des Ablaufs? „Das Formular sieht dieses Feld vor“ beantwortet keine dieser Fragen. Auch ein später möglicherweise nützlicher Datenbestand rechtfertigt keine vorsorgliche Vollerhebung.
Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt, personenbezogene Daten auf ein angemessenes, zweckbezogenes und notwendiges Maß zu begrenzen. Dieser Leitfaden übersetzt den Grundsatz in eine Feldmatrix, eine Prüfung der nachgelagerten Datenflüsse und einen nachvollziehbaren Änderungsauftrag. Das Ergebnis soll sowohl dem Fachbereich als auch der IT zeigen, was erhalten bleibt, was entfällt und warum.
1. Zweck, Umfang und Dauer auseinanderhalten
Die Zweckbindung beantwortet, wofür Daten verwendet werden. Die Datenminimierung begrenzt, welche Informationen dafür verarbeitet werden. Die Speicherbegrenzung betrifft die erforderliche Dauer. Diese Anforderungen stehen in Artikel 5 DSGVO nebeneinander und müssen gemeinsam erfüllt sein.
Ein präziser Ausgangspunkt wäre: „Wir verwenden die Lieferanschrift, um das bestellte Ersatzteil an den gewünschten Ort zu versenden.“ „Kundenmanagement“ ist für die Prüfung deutlich weniger geeignet. Unter diesem Begriff könnten Versand, Werbung, Bonitätsprüfung und Reklamationen mit ganz unterschiedlichen Anforderungen zusammenfallen. Der Leitfaden zur Zweckbindung hilft, diese Vorgänge zu trennen.
Datenminimierung bedeutet nicht, möglichst wenig Information um jeden Preis zu behalten. Unzureichende Daten können zu Verwechslungen oder falschen Entscheidungen führen. Ein Kundendienst muss den richtigen Vertrag finden können. Er sollte dafür aber zunächst eine geeignete Vertragsreferenz verwenden und nicht routinemäßig eine vollständige Ausweiskopie verlangen. Angemessenheit und Begrenzung werden am selben Zweck gemessen.
2. Drei Fragen für jedes Feld
Beginnen Sie mit der Eignung: Trägt das Feld überhaupt zum beschriebenen Ergebnis bei? Ein Geburtsdatum verbessert nicht automatisch die Zustellung eines gewöhnlichen Ersatzteils. Fragen Sie anschließend nach dem Zusammenhang: Wird die Information für diesen Vorgang verwendet oder eigentlich für einen anderen, bislang nicht klar benannten Zweck?
Die dritte Frage betrifft weniger eingreifende Alternativen. Genügt eine interne Kennung statt einer amtlichen Identifikationsnummer? Reicht ein Altersnachweis ohne dauerhaft gespeichertes vollständiges Geburtsdatum? Kann eine Auswertung mit größeren Regionen statt exakten Anschriften arbeiten? Die Alternative muss den legitimen Zweck tatsächlich ausreichend erfüllen. Ein ungeprüftes Kästchen „volljährig“ ist beispielsweise nicht automatisch für jede gesetzlich vorgeschriebene Alterskontrolle geeignet.
Dokumentieren Sie diese Prüfung kurz und konkret. „Nicht erforderlich, weil die Antwort ausschließlich per E-Mail erfolgt und kein Rückruf angeboten wird“ ist aussagekräftiger als „Datensparsamkeit“. Wenn das Feld benötigt wird, sollte die Begründung ebenso konkret ausfallen: „Lieferanschrift erforderlich für den Versand der bestellten Ware; für die ausschließlich digitale Anleitung wird sie nicht erhoben.“
3. Ausgefüllte Feldmatrix für eine Serviceanfrage
Der fiktive Anbieter Werkpunkt beantwortet Fragen zu bereits gekauften Haushaltsgeräten. Das folgende Beispiel betrifft eine gewöhnliche technische Anfrage per E-Mail. Reparaturauftrag, Rechnung und ein ausdrücklich gewünschter telefonischer Rückruf werden als getrennte Abläufe behandelt.
| Feld | Ursprüngliche Begründung | Entscheidung | Umsetzung |
|---|---|---|---|
| E-Mail-Adresse | Antwort auf die Anfrage | Für diesen Kontaktweg erforderlich | Pflichtfeld mit Eingabeprüfung |
| Modellbezeichnung | Passende technische Anleitung finden | Erforderlich | Auswahlliste statt vollständiger Kaufhistorie |
| Seriennummer | „Vielleicht später nützlich“ | Nicht bei jeder allgemeinen Frage nötig | Erst anfordern, wenn die konkrete Fehlerprüfung sie benötigt |
| Vollständige Anschrift | Einheitliches Kundenformular | Für die reine E-Mail-Auskunft nicht erforderlich | Entfernen; bei Versand gesondert erheben |
| Telefonnummer | Schnellerer Kontakt | Kein Pflichtfeld für den gewählten E-Mail-Ablauf | Nur im gesondert gewählten Rückrufablauf abfragen |
| Geburtsdatum | Kunden eindeutig erkennen | Für diese Auskunft ungeeignet und unnötig | Entfernen; vorhandene Vorgangsnummer nutzen |
| Freitext | Fehler verständlich beschreiben | Sachverhalt nötig, Umfang begrenzen | Hinweis gegen unnötige private Angaben und fremde Daten |
| Dateianhang | Foto des sichtbaren Defekts | Nur bei entsprechendem Fehlerbild nötig | Optional aktivierbarer Upload mit konkretem Hinweis |
Die ausgefüllte Freigabe lautet: „Das allgemeine Kontaktformular enthält künftig E-Mail-Adresse, Modell und Fehlerbeschreibung. Anschrift und Geburtsdatum entfallen. Seriennummer und Bild werden nur bei sachlichem Bedarf im Vorgang angefordert. Der Rückruf bleibt eine getrennte Wahl. Bestehende Datensätze werden anhand der bisherigen Zwecke und Aufbewahrungsgründe geprüft.“
Diese Entscheidung verschiebt die rechtliche Prüfung nicht einfach auf ein optionales Feld. Ein freiwillig angebotenes Zusatzverfahren braucht weiterhin einen bestimmten Zweck, eine Rechtsgrundlage und einen angemessenen Datenumfang. Die Oberfläche muss anschließend dieselbe Trennung umsetzen; dafür ergänzt der Leitfaden zur datenschutzgerechten Formulargestaltung die fachliche Feldprüfung.
4. Was der EuGH zur Anrede entschieden hat
Im Urteil vom 9. Januar 2025, C-394/23, Mousse, ging es um die verpflichtende Auswahl „Monsieur“ oder „Madame“ beim Erwerb von Bahnleistungen. Der EuGH hielt die Personalisierung der Kommunikation nach der Geschlechtsidentität nicht für objektiv unverzichtbar zur Vertragserfüllung. Allgemeine inklusive Anreden kamen als weniger eingreifende Alternative in Betracht.
Für ein berechtigtes Interesse bleiben Information, strikte Erforderlichkeit und Interessenabwägung maßgeblich; insbesondere können Diskriminierungsrisiken entgegenstehen. Die Möglichkeit eines späteren Widerspruchs ersetzt die Prüfung der anfänglichen Erforderlichkeit nicht. Das Urteil behandelt die vorgelegten Vertrags- und Interessenrechtfertigungen, nicht ein ausnahmsloses Verbot jeder Anredeverarbeitung. Siehe die Entscheidungsgründe und den Tenor von C-394/23.
Für die Praxis folgt daraus ein Arbeitsauftrag: Prüfen Sie gewohnheitsmäßig übernommene Auswahlfelder ebenso ernsthaft wie umfangreiche Dokumente. Eine geringe Zahl möglicher Werte macht eine Information nicht automatisch notwendig. Der Zweck einer besonderen Zusatzleistung rechtfertigt außerdem nicht ohne Weiteres dieselbe Erhebung bei sämtlichen Kunden.
5. Optional ist keine eigene Rechtsgrundlage
Ein Feld kann für den Hauptvorgang unnötig sein und für einen zusätzlichen, tatsächlich gewünschten Dienst benötigt werden. Im Werkpunkt-Beispiel benötigt ein Rückruf eine Telefonnummer. Das bedeutet jedoch nicht, dass die Telefonnummer vorsorglich in jedem E-Mail-Vorgang gespeichert werden sollte.
Legen Sie fest, wodurch der zusätzliche Zweck ausgelöst wird und auf welche Rechtsgrundlage die Verarbeitung gestützt wird. Eine ausdrückliche Rückrufanforderung ist etwas anderes als die spätere Nutzung derselben Nummer für Werbung. Für Werbung sind zusätzlich die Anforderungen des jeweiligen Kommunikationskanals zu prüfen. Die Abgrenzung von Opt-in und Opt-out hilft dabei, die Entscheidungen auseinanderzuhalten.
Auch eine Einwilligung hebt Datenminimierung nicht auf. Der Umfang muss zum bestimmten Einwilligungszweck passen. Ein einziges freiwilliges Feld für „weitere Informationen“ eröffnet keinen unbegrenzten Raum für sensible Angaben, fremde Daten oder die spätere Profilbildung. Erläutern Sie deshalb, welche Information hilfreich ist, und bieten Sie einen begrenzten geeigneten Eingabeweg an.
6. Hinter dem Formular weiterprüfen
Ein entferntes Feld kann im Hintergrund weiterhin aus dem Kundenkonto, einer Schnittstelle oder einem Import ergänzt werden. Beginnen Sie deshalb nicht ausschließlich mit dem sichtbaren Formular. Vergleichen Sie Oberfläche, übermittelte Anfrage, gespeicherten Datensatz, Benachrichtigung und Export. Die Kartierung der IT-Systeme liefert dafür die Verbindung zwischen den beteiligten Anwendungen.
Bei Werkpunkt würde beispielsweise die Löschung des Anschriftenfelds wenig bewirken, wenn das Ticketsystem anschließend automatisch das komplette Kundenprofil an jede interne Benachrichtigung anhängt. Der Änderungsauftrag muss auch diese Anreicherung entfernen. Das Servicepersonal kann bei Bedarf einen berechtigten Zugriff auf den notwendigen Vorgang erhalten, ohne dass sämtliche Profildaten in jede Nachricht kopiert werden.
Die finalen EDSA-Leitlinien 4/2019 zu Artikel 25 betrachten unter anderem Datenmenge, Verarbeitungsausmaß, Speicherdauer und Zugänglichkeit. Ihre Hinweise zur Minimierung betreffen auch unnötige Kopien, geringere Detailtiefe und begrenzte Zugriffe. Das macht die Prüfung zu einer Aufgabe für den gesamten Ablauf und seine Voreinstellungen.
7. Altdaten und Auswertungen kontrolliert reduzieren
Die neue Feldmatrix beantwortet zunächst, was künftig erhoben werden soll. Für den vorhandenen Bestand sind die bisherigen Zwecke, aktuelle Erforderlichkeit und gegebenenfalls einschlägige Aufbewahrungsgründe zu prüfen. Eine technische Umstellung löscht ältere Kopien nicht automatisch. Umgekehrt sollte kein für einen noch offenen Vorgang benötigter Nachweis ohne Prüfung verschwinden.
Unterscheiden Sie im Änderungsplan zwischen laufenden Vorgängen, abgeschlossenen Serviceanfragen und tatsächlich aufbewahrungspflichtigen Unterlagen. Ein zulässiger Aufbewahrungsgrund für eine Rechnung bedeutet nicht, dass jede freie Notiz im Kundenprofil genauso lange gebraucht wird. Der Leitfaden zur Speicherbegrenzung unterstützt die getrennte Festlegung der Löschereignisse.
Für statistische Fragen kann eine weniger genaue Auswertung genügen. Werkpunkt benötigt zur Verbesserung einer Anleitung möglicherweise die Anzahl bestimmter Fehlertypen je Modell, nicht die Namen der meldenden Personen. Prüfen Sie aber, ob kleine Gruppen oder zusätzliche Merkmale weiterhin Rückschlüsse erlauben. Die Anonymisierung personenbezogener Daten verlangt eine eigene Kontextprüfung; das bloße Entfernen von Namen genügt nicht immer.
8. Einen überprüfbaren Änderungsauftrag schreiben
Ein brauchbarer Auftrag benennt Feld, betroffene Systeme, Entscheidung, Verantwortlichen und Abnahmekriterium. Für Werkpunkt könnte er lauten: „Geburtsdatum aus dem allgemeinen Anfrageformular und dessen Schnittstellenabbildung entfernen. Keine automatische Übernahme aus dem Kundenprofil. Historische Werte in Serviceanfragen nach Bestandsprüfung löschen. Fachliche Abnahme anhand eines neuen Vorgangs und eines bereinigten Altvorgangs.“
Ergänzen Sie Abhängigkeiten, damit die Änderung nicht unbeabsichtigt einen anderen Zweck beeinträchtigt. Wird dieselbe Datenbankspalte auch für einen gesonderten, rechtmäßig betriebenen Vorgang verwendet, braucht es eine gezielte Trennung. „Spalte überall löschen“ ist ebenso wenig eine fachliche Prüfung wie „Spalte überall behalten“.
Speichern Sie die begründete Entscheidung mit der maßgeblichen Formularversion und dem Ergebnis der Abnahme. Bei einer neuen Funktion oder einem neuen Empfänger wird die Matrix erneut geprüft. Die Rechenschaftspflicht und ihre Nachweise betreffen gerade diese Verbindung zwischen Entscheidung und tatsächlich umgesetztem Zustand.
Häufige Fragen
Muss jedes freiwillige Feld entfallen?
Nein. Ein zusätzlicher legitimer Zweck kann passende Daten erfordern. Die Freiwilligkeit allein begründet aber weder den Zweck noch die Rechtsgrundlage und rechtfertigt keinen unbegrenzten Umfang. Beschreiben Sie den Zusatzablauf und erheben Sie nur die dafür benötigten Angaben.
Ist weniger Genauigkeit immer ausreichend?
Das hängt vom Zweck ab. Eine Region kann für eine Vertriebsstatistik ausreichen, für die Zustellung eines Pakets jedoch nicht. Die Alternative muss wirksam sein; eine unzuverlässige Identitätsprüfung wird durch weniger Daten nicht automatisch angemessen.
Wo sollte die Prüfung beginnen?
Bei einem konkreten Verarbeitungsvorgang mit benanntem Zweck und seinen tatsächlichen Datenflüssen. Ein einzelnes häufig genutztes Formular samt Schnittstellen ist ein guter Anfang. Die abgeschlossene Prüfung liefert dann eine Methode, die andere Fachbereiche auf ihre eigenen Vorgänge anwenden können.