Pseudonymisierung für den Datenschutz nutzen
Wir berichten in unserem Datenschutz-Blog immer wieder darüber, welche personenbezogene Daten verarbeitet werden dürfen. Auch wann die Daten verarbeitet werden dürfen, war schon mehrmals Thema. Darüber hinaus gibt es aber eine Einschränkung, wie viele Daten überhaupt erhoben werden dürfen.
Die sogenannte Datenminimierung ist ein Grundsatz im Datenschutz und Thema unseres heutigen Blogs.
Wenn Sie mehr darüber lesen wollen, was personenbezogene Daten sind oder wann diese verarbeitet werden dürfen, lesen Sie die Artikel in unserem Blog.
Welche Grundsätze gibt es im Datenschutz?
Die Grundsätze im Datenschutz geben vor, wann und wie grundsätzlich personenbezogene Daten verarbeitet werden dürfen bzw. müssen. Zu den Grundsätzen im Datenschutz zählen:
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Integrität und Vertraulichkeit
Die Grundsätze müssen entsprechend der DS-GVO von jedem eingehalten werden, der personenbezogene Daten verarbeitet. Personenbezogene Daten von den sogenannten Betroffenen dürfen nur unter bestimmten Voraussetzungen verarbeitet werden. Dazu gehören zum Beispiel gesetzliche Vorgaben, die die Verarbeitung notwendig machen oder die Einwilligung des Betroffenen. Mehr dazu, wann Sie personenbezogene Daten verarbeiten dürfen, finden Sie hier.
Datenminimierung nach Art. 5 DS-GVO – eine Definition
Ein Grundsatz des Datenschutzes, nach Datenschutzgrundverordnung (DS-GVO) ist wie bereits geschrieben die Datenminimierung. Das Bundesdatenschutzgesetz (BDSG) benutzt die Begriffe Datensparsamkeit und -vermeidung.
Im Grunde haben die Begrifflichkeiten eine Gemeinsamkeit: Sie sagen aus, dass nur so viele Daten, wie nötig von einem Betroffenen erhoben und vor allem verarbeitet werden dürfen, wie für den Zweck für den Sie erhoben werden notwendig sind.
Dabei steht die Datenminimierung auch im Zusammenhang mit der Zweckbindung, denn Artikel 5 der DS-GVO besagt:
„Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“)“
Art.5 DS-GVO
Was bedeutet das für den Datenschutz im Alltag?
Datenminimierung praktisch umsetzen
An erster Stelle muss noch einmal klar gesagt werden: Sprechen wir von der Verarbeitung personenbezogener Daten, dann berücksichtig das jegliche Art von Verarbeitung – von der Erhebung bis zur Löschung, auch die Ablage usw. Alle Vorgänge also, bei denen Daten eine Rolle spielen, die Rückschlüsse auf eine natürliche Person zulassen. Daher spielt auch die Übermittlung von Daten an andere Befugte auch eine wichtige Rolle bei der Datenminimierung.
Im Zusammenhang mit der Datenminimierung sollte man sich daher auch Gedanken darüber machen, welcher Personenkreis die personenbezogenen Daten des Betroffenen überhaupt sehen muss.
Wenn man den Grundsatz der Datenminimierung zum Beispiel in einem Unternehmen umsetzen will, dann sollte man sich daher Gedanken über Menge, Verarbeitungsumfang, Speicherdauer und Zugänglichkeit der personenbezogenen Daten machen. Nach den Vorgaben im Datenschutz ist es ebenfalls nicht erlaubt, aus den vorhandenen personenbezogenen Daten weitere Daten für einen anderen Zweck abzuleiten.
Datenerhebung hinterfragen
Konkret sollte man im Verlauf verschiedener Prozesse praktisch hinterfragen, ob die Datenerhebung, der Versand oder die Freigabe der Daten an unterschiedliche Personen an der entsprechenden Stelle wirklich notwendig und sinnvoll sind. Fragen Sie sich daher immer wieder:
- Welche Daten werden für den Zweck wirklich benötigt? Werden alle Daten wirklich gebraucht?
- Wer muss die Daten sehen können, machen Einschränkungen Sinn?
- Müssen diese Daten wirklich erfasst/übermittelt/gespeichert werden?
Schon wenn man sich diese Fragen ernsthaft bei den verschiedenen Prozessen stellt und ehrlich beantwortet, kann man die Menge an personenbezogenen Daten merklich reduzieren, ebenso deren Übermittlung und Speicherdauer.
Pseudonymisierung und Anonymisierung
Ein möglicher Schritt, weniger personenbezogene Daten zu übermitteln, können die Pseudonymisierung oder die Anonymisierung bilden. Hintergrund dabei ist, dass Daten, die keine Rückschlüsse auf einen Betroffenen zulassen, nicht als personenbezogene Daten gelten. Das bedeutet, wenn die Daten trotzdem nutzbar sind, können Sie für den Zweck verarbeitet werden, spielen für den Grundsatz der Datenminimierung aber unter Umständen keine Rolle.
Auch Daten die pseudonymisiert oder anonymisiert nur teilweise sichtbar sind, haben ebenfalls einen positiven Einfluss auf die Datenminimierung. Der Unterschied zwischen Pseudonymisierung und Anonymisierung liegt in der Wiederherstellung der Daten. Während bei der Anonymisierung die Daten nicht wieder in Ihren ursprünglichen Zustand, also erkennbar als personenbezogene Daten, versetzt werden können, kann dies bei einer Pseudonymisierung erfolgen. Meist werden die Daten durch eine weitere Information, welche anderweitig gespeichert und gesichert ist, wieder voll hergestellt.
Was tun, wenn zu viele personenbezogene Daten erfasst wurden?
Die Grundsätze im Datenschutz besagen eindeutig, dass personenbezogene Daten dem Grundsatz der Datenminimierung unterliegen. Es dürfen also nicht mehr Daten erfasst werden, als für den Zweck notwendig sind. Zu viel erhobene Daten müssen gelöscht oder alternativ anonymisiert werden.
Welche Daten sind für einen Zweck ausreichend?
Diese Frage ist nicht immer einfach zu beantworten. Grundsätzlich gilt: Sind Sie sich unsicher, ob diese Daten wirklich benötigt werden, werden Sie vermutlich nicht gebraucht. In jedem Fall sollten Sie sich bei der Beurteilung von Ihrem (externen) Datenschutzbeauftragten beraten lassen.
Auch bei der Löschung der Daten kann es zu Stolpersteinen kommen, daher macht es auch hier Sinn die betreffenden Vorgänge von einem Fachmann im Datenschutz beurteilen zu lassen.
Grundsätzlich sollte jede Organisation, die personenbezogene Daten verarbeitet, sich regelmäßig durch einen Fachmann beraten lassen. Durch ein Datenschutz-Audit kann dieser in regelmäßigen Abständen den Datenschutz beurteilen und neue Anregungen bei der Umsetzung geben, sowie diese weiterentwickeln.
Das Team von Datenschutzberater.NRW bietet neben dem Datenschutz-Audit auch die Datenschutz-Erstberatung an, die eine erste Bestandsaufnahme im Datenschutz darstellt. Darüber hinaus können wir mit einem Website Scan beurteilen, ob Ihre Homepage die Richtlinien des Datenschutzes einhält. Unser Team aus Datenschutz, IT und Steuerrecht bietet Ihnen darüber hinaus auch noch Beratung in der IT-Sicherheit in Form eines IT-Audits oder auch Hilfe bei Umsetzung der GoBD-Vorgaben.
Wir betreuen Unternehmen, Schulen, Vereine, Praxen und Kanzleien im Großraum Köln, Bonn, Düsseldorf, Gummersbach, Siegen, Siegburg und ganz NRW.
Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.
Dennis Manz ist seit über 20 Jahren selbstständig. Ist in der IT für unterschiedliche Branchen und seit langer Zeit auch im Bereich Buchhaltung und Steuerrecht tätig. Als Gründer und Geschäftsführer der Datenschutzberater.NRW GmbH betreut er zusammen mit seinem Team erfolgreich Unternehmen, Praxen, Steuerberater und unterschiedliche Einrichtungen in Sachen Datenschutz und GoBD-Beratung.