§ 3 Allgemeine Verarbeitungsgrundsätze / D. Datenminimierung

Rz. 28

Als weiteren Datenschutzgrundsatz normiert Art. 5 Abs. 1 lit c.) DSGVO den Grundsatz der "Datenminimierung", der sich nach dem Verordnungstext in der Weise ausdrückt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen. Erwägungsgrund 39 DSGVO konkretisiert dies dahingehend, dass personenbezogene Daten nur verarbeitet werden dürfen, "wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann."

Rz. 29

Eine trennscharfe Abgrenzung der einzelnen Anforderungen an die "Angemessenheit", die "Erheblichkeit" und die "Beschränkung auf das erforderliche Maß" ist kaum möglich.

Rz. 30

Frenzel^[74] sieht die "Angemessenheit" dann als gegeben an, wenn die "Zuordnung der Daten zu den Zwecken nicht beanstandet werden kann". Herbst^[75] will sie als gegeben ansehen, wenn "die Daten überhaupt einen Bezug zum Verarbeitungszweck haben". Eine richtige Kontur erfährt der Angemessenheitsbegriff damit nicht. Es erscheint vielmehr angezeigt, die Angemessenheit in Zusammenschau mit der "Erheblichkeit" zu sehen und dahingehend zu verstehen, dass die Prüfung der Angemessenheit eine Feststellung erfordert, dass die verarbeiteten personenbezogenen Daten überhaupt geeignet sind, den mit ihrer Verarbeitung verfolgten Zweck zu erreichen oder zumindest zu fördern. Beispielhaft sei hier die ärztliche Anamnese genannt, die in der Praxis in der Regel durch Anamnesebögen erfolgt. Hier finden sich neben Fragen zu potenziell medizinisch relevanten Informationen oft auch Fragen zum Arbeitgeber oder zum Versicherungsstatus. Diese Fragen sind jedoch von vornherein nicht geeignet, das mit der Anamnese verfolgte Ziel (= den Verarbeitungszweck) der Erfassung der Krankengeschichte eines Patienten im Rahmen einer aktuellen Erkrankung zu erreichen oder diesen auch nur zu fördern. Vielmehr dienen derartige Fragen eher "Abrechnungszwecken" oder der "Erleichterung von Zwangsvollstreckungsmaßnahmen" für den Fall der Nichtzahlung des vereinbarten Behandlungshonorars; sie haben daher im Rahmen der Zweckverfolgung "Anamnese" nichts zu suchen und dürfen unter Beachtung des Gebots der Datenminimierung daher bereits mangels "Angemessenheit" und "Erheblichkeit" nicht verarbeitet (erhoben) werden. Ein weiteres Beispiel: Ein Inkassounternehmen hat beim Gläubiger im Rahmen der Forderungsübernahme neben den Kontaktdaten des Schuldners auch dessen Kontonummer erhoben, letzteres mit der Zwecksetzung der "Durchsetzung des Vertragserfüllungsanspruches in Form der Zwangsvollstreckung". Im Rahmen eines Inbound-Telefonates nimmt der Schuldner nun "vor Titulierung" Kontakt zum Inkassounternehmen auf, um die Möglichkeiten einer Ratenzahlung zu eruieren. Ist es nunmehr "angemessen", dem Sachbearbeiter bei Anrufeingang die Kontoverbindung anzuzeigen? Die Ratenzahlung könnte ggf. mithilfe einer Lastschrift realisiert werden, weswegen das Anzeigen der Kontoverbindung ggf. zur Zweckerreichung dienlich wäre. Das Inkassounternehmen weiß bei Anrufeingang jedoch nicht, warum der Schuldner Kontakt aufnimmt. Von daher erscheint das Einblenden der Kontoinformation an dieser Stelle für die Bearbeitung von Kundentelefonaten jedenfalls nicht erforderlich, was wiederum dem Grundsatz der Datenminimierung widersprechen kann.

Rz. 31

Die "Beschränkung auf das erforderliche Maß" ist dahingehend zu verstehen, dass nur so viele Daten (=Menge) erhoben werden, wie es der konkrete Zweck erfordert. Bezogen auf die Anamnese durch einen Zahnarzt wäre zum Beispiel fraglich, ob Fragen zu orthopädischen Vorerkrankungen erhoben werden müssen. Ebenso kann die Frage nach dem Zigarettenkonsum des Patienten im Zusammenhang mit der Durchführung einer Zahnreinigung oder einer Parodontosebehandlung durchaus als "angemessen" und "erheblich" eingestuft werden. Ob tatsächlich die genaue Menge der täglich konsumierten Zigaretten ("20 am Tag") in Erfahrung gebracht werden muss, oder ob hier nicht auch eine Eingruppierungs-Frage ("bis 20" oder "über 20" am Tag) oder gar dichotome Fragen (Rauchen Sie? Ja/Nein) ausreichend erscheinen, ist fraglich. Schließlich ist auch zu berücksichtigen, ob der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel – etwa mit anonymisierten Daten^[76] – erreicht werden kann.

[74] Frenzel, in: Paal/Pauly (Hrsg.), Datenschutz-Grundverordnung, 2017, Art. 5 Rn 35.

[75] Herbst, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 5 Rn 57.

[76] Hierzu: Herbst, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 5 Rn 57.