Datenminimierung im Betrieb: weniger erheben, weniger verwalten

Ein Coiffeursalon in St. Gallen führt seit Jahren eine Kundenkartei. Angefangen hat sie mit Name und Telefonnummer. Dazugekommen sind die Adresse für die Weihnachtskarte, das Geburtsdatum für einen Rabatt, der Beruf, weil jemand fand, das sei nützlich, und eine Spalte «Bemerkungen», in der inzwischen auch steht, wer schwanger ist und wer eine Hautkrankheit hat. Niemand hat das so geplant. Jede Spalte hatte einmal einen Grund.

So wachsen Datensammlungen in kleinen Betrieben: nicht aus Absicht, sondern aus Gelegenheit. Das Datenschutzgesetz setzt dem einen Gedanken entgegen, der im Alltag erstaunlich entlastend ist — nur so viel, wie der Zweck braucht.

Was das DSG unter Verhältnismässigkeit versteht

Die Grundsätze stehen in Art. 6 DSG, und drei davon greifen ineinander.

Verhältnismässig. Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein (Art. 6 Abs. 2 DSG). Der EDÖB erklärt den Grundsatz in einem Merkblatt so: nicht mehr Daten als nötig beschaffen und sie nicht mehr als nötig verwenden. Er bezieht sich also auf beides, das Erheben und das Verwenden.

Zweckgebunden. Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden, und nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist (Art. 6 Abs. 3 DSG).

Befristet. Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG).

Dazu kommt eine Pflicht, die oft übersehen wird: Wer Daten bearbeitet, muss sich über deren Richtigkeit vergewissern und angemessene Massnahmen treffen, damit unrichtige oder unvollständige Daten berichtigt oder gelöscht werden (Art. 6 Abs. 5 DSG). Jede zusätzliche Spalte ist auch eine Spalte, die stimmen muss.

Das Wort «Datenminimierung» steht so nicht im Gesetz. Es ist die Kurzform dafür, was diese drei Absätze zusammen bedeuten.

Weniger erheben: die Frage nach dem Wofür

Der einfachste Ort für Datenminimierung ist der Moment, in dem Daten entstehen: das Formular, die Kundenkarte, das Anmeldeblatt. Der EDÖB gibt im Merkblatt zu Patientenformularen ein anschauliches Beispiel. Die systematische Beschaffung von Angaben wie Mädchenname, Zivilstand, Staatsangehörigkeit, Geschäftstelefon, Beruf und Name des Arbeitgebers sei grundsätzlich nicht notwendig. Das heisse nicht, dass solche Angaben nie erhoben werden dürfen — der Beruf kann bei Rückenschmerzen relevant sein. Problematisch sei die systematische Beschaffung.

Diese Unterscheidung lässt sich auf jeden Betrieb übertragen. Für jedes Feld hilft eine Frage: Wofür brauchen wir das, und brauchen wir es von allen?

Feld in der Kartei	Typische Begründung	Die Frage dahinter
Telefonnummer	Termine verschieben	Braucht es sie, oder reicht die E-Mail-Adresse?
Postadresse	Weihnachtskarte	Wünscht die Person Post, oder wird sie einfach erfasst?
Geburtsdatum	Geburtstagsrabatt	Genügen Tag und Monat, und nur bei Interesse?
Beruf	«könnte nützlich sein»	Gibt es einen konkreten, erkennbaren Zweck?
Freitext-Notizen	Gedächtnisstütze	Was steht dort, und wäre es der Person recht?

Die letzte Zeile verdient Aufmerksamkeit. In Freitextfeldern landen oft Angaben, die das Gesetz als besonders schützenswert einstuft, etwa Daten über die Gesundheit (Art. 5 Bst. c DSG). Niemand hat entschieden, solche Daten zu erheben — sie stehen einfach da. Ein Freitextfeld ist deshalb das Feld, das sich am meisten lohnt, gelegentlich durchzulesen.

Nicht länger behalten als nötig

Der zweite Ort ist das Ende. Daten, deren Zweck erfüllt ist, werden vernichtet oder anonymisiert (Art. 6 Abs. 4 DSG). Das Gesetz nennt keine Frist, weil die Frist vom Zweck abhängt.

Wo andere Gesetze eine Aufbewahrung verlangen, gilt diese. Die bekannteste steht im Obligationenrecht: Geschäftsbücher und Buchungsbelege sowie Geschäftsbericht und Revisionsbericht sind während zehn Jahren aufzubewahren (Art. 958f Abs. 1 OR). Die Rechnung an eine Kundin fällt darunter, ihre Notiz zur Lieblingsfarbe nicht.

In der Praxis wird die Aufbewahrung leicht unterschiedslos: Weil die Buchhaltung zehn Jahre bleibt, bleibt alles zehn Jahre. Hilfreich ist die umgekehrte Frage — was muss aus einem bestimmten Grund bleiben, und wie lange? Alles andere hat ein Ablaufdatum, auch wenn es noch niemand festgelegt hat.

Weniger verwenden: Voreinstellungen und Zugriffe

Datenminimierung betrifft nicht nur, welche Daten existieren, sondern auch, wer sie sieht und wofür sie genutzt werden. Das DSG verpflichtet den Verantwortlichen, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt (Art. 7 Abs. 3 DSG). Und er soll das ab der Planung berücksichtigen (Art. 7 Abs. 1 DSG).

Im Alltag eines kleinen Betriebs heisst das zum Beispiel:

• Ein Häkchen für den Newsletter ist leer, bis die Person es selbst setzt.
• Die Aushilfe am Empfang sieht Termine und Namen, aber nicht die Bemerkungen.
• Eine Exportfunktion liefert die Spalten, die für den Zweck nötig sind, nicht die ganze Tabelle.

Auch Arbeitgeber kennen diesen Gedanken. Der EDÖB verweist in seinen FAQ auf Art. 328b OR, wonach nur die Bearbeitung von Personendaten zulässig ist, die die Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind — der Arbeitgeber habe nur die notwendigen Personaldaten zu bearbeiten.

Weniger Daten, weniger Aufwand

Datenminimierung wird oft als Einschränkung wahrgenommen. Für einen kleinen Betrieb ist sie eher das Gegenteil, weil fast jede Pflicht im DSG mit der Menge der Daten wächst.

Datensicherheit. Verantwortliche gewährleisten eine dem Risiko angemessene Datensicherheit (Art. 8 Abs. 1 DSG). Was nicht gespeichert ist, muss nicht geschützt werden.

Auskunft. Jede Person kann verlangen zu erfahren, ob Daten über sie bearbeitet werden (Art. 25 Abs. 1 DSG). Eine schlanke Kartei ist schneller durchsucht und einfacher erklärt.

Richtigkeit. Jede Angabe muss stimmen oder berichtigt werden (Art. 6 Abs. 5 DSG). Weniger Angaben, weniger Pflege.

Verletzungen der Datensicherheit. Geht etwas verloren oder gelangt an Unbefugte, hängt die Frage, ob eine Meldung an den EDÖB nötig ist, davon ab, ob voraussichtlich ein hohes Risiko für die betroffenen Personen entsteht (Art. 24 Abs. 1 DSG). Eine Liste mit Namen und Terminen ist etwas anderes als eine mit Gesundheitsnotizen.

Wo man anfangen kann

Eine Kartei aufzuräumen ist selten ein Projekt, eher eine Stunde mit einer Tasse Kaffee. Der Salon in St. Gallen könnte so vorgehen:

1. Die Felder der Kartei auflisten und neben jedes den Zweck schreiben. Felder ohne Zweck fallen weg.
2. Die Bemerkungen durchsehen und alles entfernen, was für die Arbeit nicht nötig ist — insbesondere Angaben zur Gesundheit, die niemand bewusst erhoben hat.
3. Für jede Art von Daten festlegen, wie lange sie bleibt, und dabei die Buchhaltung von der Kundenpflege trennen.
4. Das Anmeldeblatt oder Online-Formular so anpassen, dass es nur noch fragt, was übrig geblieben ist.

Für Privatpersonen gilt der Gedanke in umgekehrter Richtung: Ein Formular, das viele Angaben verlangt, darf man fragen, wofür. Pflichtfelder, die nichts mit der Sache zu tun haben, sind ein Anlass für diese Frage.

Wir bauen unsere Apps nach demselben Grundsatz: nur erheben, was eine App für ihre Aufgabe braucht. Es ist einer der Gründe, weshalb jede unserer Apps genau eine Aufgabe erledigt.