Personenbezogene Daten minimieren

Verarbeitung statt bloßer Tabellen inventarisieren

Die Prüfung folgt einem tatsächlichen Vorgang: Welche Angaben werden erhoben, abgeleitet, übertragen, angezeigt, exportiert und gelöscht? Neben Kernsystemen gehören Formulare, E-Mail-Anhänge, lokale Dateien, Analysewerkzeuge und Sicherungen in die Betrachtung. Das Team notiert Feld, Zweck, Quelle, Empfänger, Zugriff und Speicherort. Freitextfelder verdienen besondere Aufmerksamkeit, weil dort leicht zusätzliche Informationen landen. Ein technischer Spaltenkatalog allein reicht nicht, wenn dieselben Daten unkontrolliert in Exporte oder Benachrichtigungen wandern. Die Bestandsaufnahme bleibt auf den gewählten Prozess begrenzt und wird schrittweise erweitert.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Erforderlichkeit für jedes Element begründen

Für jedes personenbezogene Feld wird gefragt, welche konkrete Funktion ohne dieses Element nicht oder nur wesentlich schlechter erfüllt werden kann. Bequeme spätere Nutzung, allgemeine Analysewünsche oder „haben wir immer erhoben“ sind noch keine belastbare Zweckbeschreibung. Der Test unterscheidet Pflichtangabe, optionale Angabe und technisch erzeugte Information. Wo eine gröbere Kategorie genügt, muss kein exakter Wert gespeichert werden. Felder ohne bestätigten Bedarf werden aus Erfassung, Schnittstellen und Ansichten entfernt oder zunächst gestoppt. Die Entscheidung wird datiert, damit ein später geänderter Zweck erneut geprüft werden kann.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Grundsätze der DSGVO korrekt einordnen

Art. 5 DSGVO nennt Datenminimierung neben weiteren Grundsätzen; Art. 25 behandelt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Diese Normen liefern keine universelle Liste erlaubter Felder und keine pauschale Speicherfrist. Die konkrete Umsetzung hängt von Zweck, Rechtsgrundlage, Risiken und weiteren Pflichten ab. Technische Teams sollten daher dokumentieren, wie ihre Gestaltung den festgelegten Bedarf begrenzt, und offene Bewertungen mit Datenschutzverantwortlichen klären. Eine verkürzte Benutzeroberfläche genügt nicht, wenn ausgeblendete Daten weiterhin vollständig im Hintergrund kopiert oder unbegrenzt exportiert werden.

Beleggrundlage: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) · Info 6: Die DSGVO in der Bundesverwaltung

Kopien und Berechtigungen gezielt reduzieren

Nach den Feldern werden Vervielfältigung und Sichtbarkeit geprüft. Regelmäßige Vollabzüge, gemeinsam genutzte Arbeitsdateien und breite Leserechte sind typische Ansatzpunkte. Stattdessen können gefilterte Ansichten, aggregierte Werte oder zeitlich begrenzte Exporte den Arbeitszweck erfüllen. Pseudonymisierung kann Risiken mindern, macht Daten aber nicht automatisch anonym; die Zuordnungsmöglichkeiten des konkreten Umfelds müssen betrachtet werden. Änderungen erfolgen kontrolliert, damit ein notwendiger Prozess nicht unbemerkt ausfällt. Jede verbleibende Kopie erhält Besitzer, Zweck, Schutz und einen Weg zur Aktualisierung oder Löschung.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Speicherdauer mit dem Prozess verknüpfen

Eine Löschregel beginnt beim fachlichen Ereignis, etwa Abschluss, Vertragsende oder Wegfall eines Kontos, und nicht nur bei einem willkürlichen Erstellungsdatum. Unterschiedliche Zwecke können unterschiedliche Bewertungen erfordern. Gesetzliche Aufbewahrungspflichten müssen für den konkreten Datentyp und Fall fachkundig bestimmt werden; aus einer allgemeinen Webseite sollte keine frei übertragene Standardfrist entstehen. Das Team beschreibt Primärsystem, Exporte, Archive und Sicherungen getrennt. Es prüft außerdem, ob eine Sperrung oder eingeschränkte Verarbeitung in bestimmten Situationen technisch unterscheidbar ist, statt alle Zustände mit einem einzigen Löschschalter zu vermischen.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Reduktion nachweisen, ohne neue Datenberge zu bauen

Der Abschluss dokumentiert entfernte Felder, geschlossene Zugriffe, beendete Exporte und getestete Löschwege. Als Nachweis genügen häufig Konfiguration, Testfall und aggregierte Mengen; eine neue Liste mit personenbezogenen Einzelwerten wäre kontraproduktiv. Stichproben prüfen, ob Oberflächen, APIs und Hintergrundjobs dieselbe Begrenzung einhalten. Fehler und Ausnahmen erhalten Verantwortliche und Termin. Nach Prozess- oder Produktänderungen wird die Prüfung wiederholt. Die Organisation behauptet nicht pauschal, „DSGVO-konform“ zu sein, sondern hält konkret fest, welcher Verarbeitungsschritt mit welchem Ergebnis und welchen verbleibenden offenen Punkten untersucht wurde. Ein ergänzender Rückfragetest mit Nutzenden zeigt, ob entfernte Angaben tatsächlich entbehrlich sind oder ob Arbeit nun in unkontrollierte Nachrichten ausweicht. Solche Nebenwirkungen werden als Prozessbefund behandelt und nicht als Grund, vorsorglich sämtliche früheren Felder wieder einzuführen.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Im Zusammenhang weiterlesen

• Löschkonzept operativ umsetzen — Ein Löschkonzept wirkt erst, wenn Ereignisse, Regeln, Ausnahmen, technische Jobs und Nachweise zu einem überprüfbaren Ablauf verbunden sind.
• Zugriffsrechte regelmäßig rezertifizieren — Rezertifizierung ist eine begründete Entscheidung über einzelne Rechte, keine pauschale Bestätigung einer langen Berechtigungsliste.
• Datenexport auf Wiederverwendbarkeit prüfen — Ein Export ist wiederverwendbar, wenn Empfänger Inhalt und Grenzen verstehen, ihn automatisiert prüfen und sicher weiterverarbeiten können.