Datenminimierung: Warum weniger Daten oft die bessere Lösung ist
Ein mittelständisches Unternehmen führt ein neues CRM-System ein. Die Vertriebsleitung möchte möglichst viele der angebotenen Felder nutzen: Geburtsdatum, private Anschrift, Hobbys, ein Freitextfeld für „sonstige Bemerkungen“. Die Überlegung klingt nachvollziehbar – man weiß ja nie, wofür man die Informationen später einmal brauchen könnte. Genau hier beginnt aus datenschutzrechtlicher Sicht das Problem. Die entscheidende Frage lautet nämlich nicht, welche Daten irgendwann nützlich sein könnten, sondern welche personenbezogenen Daten für den konkret festgelegten Zweck tatsächlich benötigt werden.
Damit ist der Grundsatz der Datenminimierung angesprochen – einer der zentralen Grundsätze der DSGVO, verankert in Art. 5 Abs. 1 lit. c) DSGVO. Er betrifft praktisch jede Verarbeitung personenbezogener Daten, vom Bewerbungsformular über die Personalakte und das CRM bis zur Videoüberwachung und zum Einsatz künstlicher Intelligenz.
Die häufig verwendete Kurzformel „so wenig Daten wie möglich“ trifft den Gedanken nur bedingt. Datenminimierung bedeutet nicht, unter allen Umständen die kleinstmögliche Datenmenge zu verarbeiten. Entscheidend ist vielmehr: so viele personenbezogene Daten wie für den konkreten Zweck erforderlich – aber nicht mehr. Ein Versandhändler kann eine Bestellung nicht ausliefern, ohne die Lieferanschrift zu kennen. Das widerspricht der Datenminimierung also keineswegs. Würde im selben Bestellprozess zusätzlich verpflichtend nach dem Familienstand gefragt, sähe es anders aus.
Eine einfache und wirkungsvolle Gegenprobe hilft dabei: Man denkt sich ein zweifelhaftes Datenfeld einfach weg. Lässt sich der Zweck ohne diese Information genauso erreichen, spricht vieles dafür, dass sie nicht erforderlich ist. Voraussetzung für diese Prüfung ist allerdings, dass der Zweck klar feststeht. „Kundendaten verarbeiten“ oder „Vertrieb“ helfen kaum weiter. Erst eine Formulierung wie „Verwaltung der geschäftlichen Ansprechpartner bestehender Kunden zur Kommunikation im Rahmen der Vertragsabwicklung“ lässt sich sinnvoll gegen einzelne Datenfelder prüfen: Name und geschäftliche E-Mail-Adresse werden in aller Regel benötigt, Geburtsdatum, private Anschrift und Hobbys normalerweise nicht.
Mehr als nur wenige Eingabefelder
Eine der häufigsten Fehlvorstellungen besteht darin, Datenminimierung ausschließlich mit der Frage zu verbinden, welche Daten beim Betroffenen abgefragt werden. Art. 25 Abs. 2 DSGVO zeigt, dass der Ansatz deutlich weiter reicht. Datenschutzfreundliche Voreinstellungen müssen sicherstellen, dass grundsätzlich nur die erforderlichen Daten verarbeitet werden – und zwar in vier Dimensionen:
Menge: Welche personenbezogenen Daten werden überhaupt benötigt?
Verarbeitungsumfang: Was muss mit diesen Daten tatsächlich gemacht werden?
Speicherdauer: Wie lange werden die Daten für den jeweiligen Zweck benötigt?
Zugänglichkeit: Welche Mitarbeiter, Abteilungen und Dienstleister müssen tatsächlich Zugriff haben?
Das bekannte Need-to-know-Prinzip gehört damit genauso zur Datenminimierung wie ein funktionierendes Löschkonzept. Auch technisch vorhandene Freitextfelder – „Bemerkungen“, „Notizen“, „interne Anmerkungen“ – sind ein unterschätztes Risiko: Sie laden dazu ein, Informationen zu sammeln, die niemand für den eigentlichen Geschäftsprozess benötigt, und können schnell besonders sensible Angaben enthalten, etwa zu Gesundheit oder familiären Verhältnissen. Wo möglich, sind strukturierte Felder mit eindeutig festgelegtem Verwendungszweck die bessere Lösung.
Infografik zu den vier Dimensionen der Datenminimierung nach DSGVO. Im Zentrum steht „Datenminimierung – nur erforderliche personenbezogene Daten“. Vier verbundene Bereiche erläutern die Dimensionen Menge, Verarbeitungsumfang, Speicherdauer und Zugänglichkeit mit kurzen Praxisbeispielen zu erforderlichen Daten, Zweckbindung, Löschfristen und beschränkten Zugriffsrechten.
Eine Rechtsgrundlage allein reicht nicht
Ein typischer Fehler lautet: „Wir haben doch eine Rechtsgrundlage, also dürfen wir die Daten verarbeiten.“ So einfach ist es nicht. Eine Rechtsgrundlage nach Art. 6 DSGVO beantwortet zunächst nur, ob eine Verarbeitung grundsätzlich erlaubt werden kann. Der Grundsatz der Datenminimierung begrenzt anschließend, welche und wie viele Daten dafür verarbeitet werden dürfen. Das gilt auch bei einer Einwilligung: Sie schaltet den Grundsatz der Datenminimierung nicht aus, sondern ist ebenfalls daran zu messen, ob die erhobenen Daten für den angegebenen Zweck tatsächlich erforderlich sind.
Wie praxisrelevant diese Überlegung ist, zeigt ein Urteil des Europäischen Gerichtshofs vom 9. Januar 2025 (Rechtssache C-394/23 – Mousse gegen CNIL und SNCF Connect). Beim Onlinekauf von Bahnfahrscheinen mussten Kundinnen und Kunden verpflichtend eine Anrede angeben. Der EuGH stellte klar, dass die Personalisierung der geschäftlichen Kommunikation die Verarbeitung dieser Information nicht ohne Weiteres für die Vertragserfüllung erforderlich macht. Die Lehre daraus reicht weit über Bahntickets hinaus: Auch völlig alltägliche Datenfelder benötigen einen nachvollziehbaren Zweck, an dem sie gemessen werden können – und lohnen gelegentlich einen kritischen Blick auf die eigenen Formulare.
Was Aufsichtsbehörden und Gerichte in der Praxis beanstanden
Auch bereits vorhandene Daten dürfen nicht ungeprüft weiterverwendet werden, nur weil sie technisch verfügbar sind. Ein CRM mit zehn Jahren Kundenhistorie erlaubt nicht automatisch, jede historische Information für jede aktuelle Vertriebsmaßnahme zu nutzen. Wie ernst Aufsichtsbehörden und Gerichte diesen Punkt nehmen, zeigen zwei aktuelle Entscheidungen aus Frankreich. Die Datenschutzbehörde CNIL verhängte im Dezember 2024 gegen ein kleines Immobilienunternehmen ein Bußgeld von 40.000 Euro, unter anderem wegen einer permanenten Video- und Tonüberwachung, die auch den Pausenraum erfasste – eine besondere Notwendigkeit für diese Dauerüberwachung konnte das Unternehmen nicht darlegen.
Noch deutlicher wird das Prinzip in der Entscheidung des französischen Conseil d’État vom 23. Dezember 2025 zur Mitarbeiterdatenverarbeitung bei Amazon France Logistique. Das Gericht reduzierte das ursprüngliche CNIL-Bußgeld von 32 auf 15 Millionen Euro, bestätigte den Verstoß gegen die Datenminimierung aber ausdrücklich: Amazon hatte sehr detaillierte Qualitäts- und Produktivitätsindikatoren von Mitarbeitenden undifferenziert über 31 Tage gespeichert, ohne die Notwendigkeit dieser umfassenden Speicherung ausreichend zu belegen. Der Fall macht dabei auch eine Grenze deutlich: Nicht jede detaillierte Datenerhebung ist automatisch unzulässig. Problematisch wird es erst durch die Kombination aus sehr vielen Informationen, hoher Detailgenauigkeit und einer pauschalen, undifferenzierten Aufbewahrung.
Die praktische Kontrollfrage
Für den Unternehmensalltag lässt sich Datenminimierung auf eine zentrale Frage zuspitzen: Was würde konkret nicht mehr funktionieren, wenn diese personenbezogene Information nicht verarbeitet würde? „Dann könnten wir die Rechnung nicht zustellen“ ist eine überzeugende Antwort. „Vielleicht brauchen wir es irgendwann“, „das Feld ist im System eben vorhanden“ oder „das haben wir schon immer abgefragt“ sind es nicht. Diese einfache Methode zwingt dazu, betriebliche Gewohnheiten von tatsächlichen Erfordernissen zu unterscheiden – und funktioniert gleichermaßen bei einzelnen Formularfeldern, bei Zugriffsrechten und bei Speicherfristen.
Wichtig ist dabei auch eine Klarstellung: Datenminimierung bedeutet nicht, möglichst viel zu löschen oder wegzulassen. Ein Unternehmen darf und muss die Daten verarbeiten, die für rechtmäßige Zwecke tatsächlich erforderlich sind – etwa gesetzlich vorgeschriebene Dokumentationen oder Informationen zur Sicherung von Rechtsansprüchen. Die richtige Frage lautet nicht, wie sich möglichst viele Daten löschen lassen, sondern welche personenbezogenen Daten in welcher Form, für welchen Zweck, für welche Dauer und für welchen Personenkreis tatsächlich benötigt werden.
Warum Datenminimierung wirtschaftlich sinnvoll ist: Weniger unnötige personenbezogene Daten reduzieren nicht nur rechtliche Risiken, sondern auch Kosten, Komplexität und organisatorischen Aufwand.
Warum sich Datenminimierung auch betriebswirtschaftlich lohnt
Datenminimierung wird häufig als reine Beschränkung wahrgenommen. Sie hat jedoch einen erheblichen praktischen Nebeneffekt: Was nicht verarbeitet wird, muss später auch nicht geschützt, berichtigt, beauskunftet oder gelöscht werden. Ein Unternehmen mit zwanzig sauber ausgewählten Datenfeldern hat weniger Pflegeaufwand als eines mit achtzig Feldern, von denen die Hälfte niemand zuverlässig aktualisiert. Bei einem Sicherheitsvorfall können weniger Informationen betroffen sein, bei einem Systemwechsel müssen weniger Altbestände migriert werden, und Auskunftsersuchen lassen sich schneller beantworten. Datenminimierung reduziert damit nicht nur das rechtliche Risiko, sondern auch den organisatorischen Aufwand im Unternehmensalltag.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
