Datenminimierung
Die Datenminimierung ist ein grundlegendes DSGVO-Prinzip, das vorschreibt, nur die personenbezogenen Daten zu erheben und zu verarbeiten, die für den erklärten Zweck unbedingt erforderlich sind. Dieses Prinzip verpflichtet Organisationen, jeden erhobenen Datenpunkt zu rechtfertigen und jede übermäßige Ansammlung von Informationen zu vermeiden.
Die Datenminimierung ist in Artikel 5 Absatz 1 Buchstabe c der DSGVO verankert und verlangt, dass personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sein müssen. Dieses Prinzip gilt ab der Systemkonzeption (Privacy by Design) und während des gesamten Datenlebenszyklus.
Im KYC-Bereich stellt die Datenminimierung eine besondere Herausforderung dar. Regulatorische Verpflichtungen erfordern die Erhebung umfangreicher Informationen (Ausweisdokument, Adressnachweis, Herkunft der Mittel), doch das Prinzip verbietet, über das streng Erforderliche hinauszugehen. Beispielsweise rechtfertigt eine Identitätsprüfung für ein einfaches Bankkonto nicht die Erhebung einer Gehaltsabrechnung, wenn die Regulierung dies nicht verlangt.
Moderne Dokumentenverifikationslösungen setzen dieses Prinzip um, indem sie Ansätze der "selektiven Verifikation" anbieten: nur die notwendigen Felder aus einem Dokument extrahieren, nicht relevante Informationen automatisch schwärzen und Dokumentenkopien nach Abschluss der Verifizierung löschen. Dieser Ansatz reduziert das Risiko bei Datenschutzverletzungen und vereinfacht die DSGVO-Compliance.
Vorschriften
Praxisbeispiele
- 1Eine Immobilienvermietungsplattform verlangt eine Passkopie, Kontoauszüge der letzten drei Monate und einen Steuerbescheid: Die Datenschutzbehörde stuft die Erhebung der Kontoauszüge als unverhältnismäßig für eine einfache Mieteridentitätsprüfung ein.
- 2Ein Identitätsprüfungsdienstleister konfiguriert sein System so, dass nur Name, Geburtsdatum und Foto aus einem Ausweisdokument extrahiert werden, ohne die auf bestimmten Dokumenten sichtbare Sozialversicherungsnummer zu speichern.
- 3Eine Wirtschaftsprüfungskanzlei löscht automatisch Kopien von Ausweisdokumenten 30 Tage nach der Kundenvalidierung und bewahrt nur einen Verifizierungshash und das Prüfdatum auf.