Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 301

27

Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein, Art. 5 Abs. 1 lit. c DSGVO. Zur Wahrung dieses Grundsatzes der Datenminimierung muss die Datenverarbeitung nicht auf ein absolutes Minimum beschränkt werden, sondern sie muss lediglich ein dem Verarbeitungszweck angemessenes Niveau aufweisen.66 Wie dieses Niveau im Einzelfall auszugestalten ist, ist vom Verantwortlichen vor Beginn der Verarbeitungstätigkeit anhand einer Verhältnismäßigkeitsprüfung zu bestimmen.67

28

Der Datenminimierungsgrundsatz steht prinzipiell der gängigen Praxis entgegen, Daten nicht nur in einem Hauptsystem, sondern darüber hinaus auch in diversen Nebenakten oder „Schattendatenbanken“ vorzuhalten, also Systemen, auf denen Kopien von Datensätzen jenseits zentral gesteuerter Backup-Routinen gespeichert sind (wie bspw. lokale Kopien, Excel-Datenbanken oder, soweit sie gem. Art. 2 DSGVO dem Anwendungsbereich der Verordnung unterfallen, auch Papierakten). Ob und inwieweit die Datenspeicherung in solchen Schattendatenbanken zulässig ist, ist stets eine Frage des Einzelfalls und in erster Linie davon abhängig, ob eine doppelte Aktenführung – etwa zur ordnungsgemäßen Wahrnehmung der Personalverwaltung – erforderlich ist und mithin gerechtfertigt werden kann. Grundsätzlich ist die Verwendung von Nebenakten und Schattendatenbanken zwar nicht ausgeschlossen, jedoch sollte damit sparsam verfahren werden, da sich sämtliche die Hauptakte betreffende organisatorische Pflichten (beispielsweise Lösch-, Berichtigungs- und Auskunftspflichten sowie die Pflicht zur Implementierung technischer und organisatorischer Maßnahmen) auch auf etwaige Nebenakten erstrecken.68

29

Eine konkrete Ausprägung erfährt der Datenminimierungsgrundsatz durch Art. 25 DSGVO, der den Datenschutz durch Technikgestaltung (privacy by design) und durch datenschutzfreundliche Voreinstellungen (privacy by default) zum Gegenstand hat.69 Gemäß Art. 25 Abs. 1 DSGVO ist der Verantwortliche dazu verpflichtet, geeignete technische und organisatorische Maßnahmen – wie beispielsweise die Pseudonymisierung – zur Einhaltung der Anforderungen der DSGVO zu treffen. Diese Maßnahmen müssen für die Wahrung aller Datenschutzgrundsätze ausgelegt sein, wobei die Norm ausdrücklich auf den Grundsatz der Datenminimierung Bezug nimmt. Nach Maßgabe des Art. 25 Abs. 2 DSGVO ist darüber hinaus durch Voreinstellungen sicherzustellen, dass eine Verarbeitung lediglich erfolgt, solange und soweit die personenbezogenen Daten für den jeweiligen bestimmten Verarbeitungszweck erforderlich sind. Auch hierbei handelt es sich um eine unmittelbare Ausprägung des Grundsatzes der Datenminimierung.70 Demgemäß verstößt es gegen Art. 5 DSGVO, wenn ein Archivsystem keine Möglichkeit bereitstellt, personenbezogene Daten wieder zu löschen.71