Mit Google fortfahren
Datenschutz: Daten erkennen und sparsam verarbeiten
Datenschutz schützt Menschen, wenn Informationen über sie verarbeitet werden. Entscheidend sind vier Fragen: Wer verarbeitet welche personenbezogenen Daten, zu welchem Zweck und wie lange? Du lernst, Personenbezüge zu erkennen, eine Verarbeitung zu prüfen und datensparsame Alternativen zu entwickeln.
Hake ab, was du schon kannst — und komm am Ende hierher zurück!
Welche Daten beziehen sich auf eine Person?
Personenbezogene Daten
Personenbezogene Daten sind Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu gehören offensichtliche Angaben wie Name und Anschrift, aber auch Kennnummern oder Nutzungsdaten, wenn sie einer Person zugeordnet werden können.
Ein direkter Personenbezug ist sofort erkennbar, etwa bei einem vollständigen Namen. Ein indirekter Personenbezug entsteht, wenn zusätzliche Informationen zur Zuordnung nötig sind. Eine Kundennummer wirkt zunächst anonym, kann aber über die Kundendatei zu einer Person führen.
Typische personenbezogene Daten sind:
- Name, Anschrift, Telefonnummer und E-Mail-Adresse,
- Geburtsdatum, IP-Adresse und Kundennummer,
- Fotos, Videos und Chatnachrichten,
- Bank-, Bewerbungs- und Gesundheitsdaten.
Gesundheitsdaten, biometrische Daten oder Angaben zur ethnischen Herkunft sind besonders sensibel. Für ihre Verarbeitung gelten erhöhte Anforderungen.
Eine Bibliothekskarte trägt nur die Nummer B-1047. Für Außenstehende nennt sie keine Person. Die Bibliothek kann die Nummer jedoch einem Mitglied zuordnen. Deshalb ist auch die Kartennummer ein personenbezogenes Datum.
Was bedeutet Verarbeitung?
Verarbeitung
Verarbeitung umfasst jeden Umgang mit personenbezogenen Daten: zum Beispiel Erheben, Speichern, Ordnen, Nutzen, Übermitteln, Offenlegen, Berichtigen und Löschen.
Datenschutz beginnt daher nicht erst bei einer Veröffentlichung. Schon das Eingeben und Speichern einer E-Mail-Adresse ist eine Verarbeitung.
Untersuche einen digitalen Dienst mit vier Leitfragen:
- Zweck: Wofür werden die Daten benötigt?
- Daten: Welche Angaben werden verarbeitet?
- Beteiligte: Wer verarbeitet oder erhält die Daten?
- Dauer: Wie lange werden sie benötigt und gespeichert?
Eine Bibliothek verleiht ein Buch. Der Zweck ist, die Ausleihe zu verwalten und an die Rückgabe zu erinnern.
| Zweck | Benötigte Daten | Beteiligte | Ende der Erforderlichkeit |
|---|---|---|---|
| Ausleihe verwalten | Kartennummer, ausgeliehenes Buch, Rückgabefrist | Bibliothek und ihr Verwaltungssystem | wenn Ausleihe und notwendige Nachweise abgeschlossen sind |
Die Lieblingsfarbe des Mitglieds hilft bei diesem Zweck nicht. Sie sollte dafür nicht erhoben werden.
Eine technisch mögliche Datensammlung ist nicht automatisch eine notwendige oder zulässige Datensammlung.
Welche Grundsätze schützen dich?
Personenbezogene Daten dürfen nur mit einer passenden Rechtsgrundlage verarbeitet werden. Eine Einwilligung kann eine solche Grundlage sein, ist aber nicht die einzige. Auch ein Vertrag, eine gesetzliche Pflicht, lebenswichtige Interessen, öffentliche Aufgaben oder berechtigte Interessen können unter den jeweiligen Bedingungen eine Verarbeitung erlauben.
Die wichtigsten Grundsätze helfen bei der Prüfung:
- Rechtmäßigkeit, Fairness und Transparenz: Die Verarbeitung braucht eine Grundlage und muss nachvollziehbar erklärt werden.
- Zweckbindung: Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben.
- Datenminimierung: Es werden nur die für den Zweck erforderlichen Daten verarbeitet.
- Richtigkeit: Daten sollen sachlich richtig und bei Bedarf aktuell sein.
- Speicherbegrenzung: Daten werden nicht länger als für den Zweck erforderlich gespeichert.
- Integrität und Vertraulichkeit: Daten werden angemessen vor Verlust, Manipulation und unbefugtem Zugriff geschützt.
- Rechenschaftspflicht: Verantwortliche müssen die Einhaltung der Grundsätze nachweisen können.
Speicherbegrenzung bedeutet nicht immer sofortige Löschung. Gesetzliche Aufbewahrungspflichten oder andere zulässige Gründe können eine weitere, begrenzte Speicherung erfordern.
Welche Rechte haben betroffene Personen?
Die Person, auf die sich Daten beziehen, heißt betroffene Person. Unter den jeweiligen gesetzlichen Voraussetzungen kann sie mehrere Rechte ausüben:
- Auskunft: erfahren, welche Daten verarbeitet werden,
- Berichtigung: falsche Daten korrigieren lassen,
- Löschung: nicht mehr zulässig benötigte Daten löschen lassen,
- Einschränkung: die Nutzung von Daten vorübergehend begrenzen lassen,
- Widerspruch: einer Verarbeitung in bestimmten Situationen widersprechen,
- Datenübertragbarkeit: bestimmte bereitgestellte Daten in einem geeigneten Format erhalten,
- Widerruf: eine Einwilligung für die Zukunft zurücknehmen,
- Beschwerde: sich an eine Datenschutzaufsichtsbehörde wenden.
Diese Rechte gelten nicht grenzenlos. Ein Löschverlangen kann beispielsweise auf eine gesetzliche Aufbewahrungspflicht treffen. Dann muss geprüft werden, welche Daten noch wie lange gespeichert werden dürfen.
In deinem Kundenkonto steht eine falsche Anschrift. Du verlangst nicht die Löschung des gesamten Kontos, sondern die Berichtigung der fehlerhaften Angabe. Dieses Recht passt genau zum Problem.
Wie unterscheiden sich Datenschutz und Datensicherheit?
Datenschutz fragt: Darf eine Stelle personenbezogene Daten für diesen Zweck verarbeiten, und werden die Rechte der Menschen gewahrt?
Datensicherheit fragt: Wie werden Daten vor Verlust, Beschädigung, Manipulation und unbefugtem Zugriff geschützt?
| Merkmal | Datenschutz | Datensicherheit |
|---|---|---|
| Schwerpunkt | Schutz von Menschen und ihrer Privatsphäre | Schutz von Daten und Systemen |
| Leitfrage | Ist die Verarbeitung zulässig und zweckgebunden? | Sind die Daten angemessen geschützt? |
| Mittel | rechtliche, technische und organisatorische Regeln | technische und organisatorische Maßnahmen |
Beide Bereiche arbeiten zusammen. Zugriffsschutz, Verschlüsselung, regelmäßige Updates, Backups und klare Zuständigkeiten können die Datensicherheit verbessern und zugleich personenbezogene Daten schützen.
Eine Schule verschlüsselt eine Datei mit Schülerdaten sehr sicher. Trotzdem wäre das heimliche Sammeln unnötiger Angaben nicht allein wegen der Verschlüsselung datenschutzgerecht. Sicherheit beantwortet das Wie des Schutzes, aber noch nicht das Ob und Wozu der Verarbeitung.
Wie entwirfst du eine datensparsame Alternative?
Stell dir eine Schrittzähler-App vor. Sie zählt Schritte ausschließlich mit dem Bewegungssensor des Geräts, speichert nur die Tagessumme lokal und besitzt weder Konto noch Freundesfunktion. Trotzdem verlangt sie Name, genaue Standortdaten und Zugriff auf alle Kontakte.
Gehe in fünf Schritten vor:
- Formuliere die tatsächlich angebotene Funktion.
- Ordne jede verlangte Angabe einem Zweck zu.
- Streiche Angaben ohne notwendigen Zweck.
- Prüfe, ob Daten kürzer, ungenauer oder nur lokal gespeichert werden können.
- Kontrolliere, ob die Funktion danach weiterhin nutzbar bleibt.
Für das reine lokale Zählen der Schritte sind Name, Kontakte und genaue Standortdaten nach den beschriebenen Bedingungen nicht erforderlich. Eine datensparsame Alternative verarbeitet nur die Bewegungsdaten, berechnet daraus die Tagessumme und speichert diese lokal. Die Kernfunktion bleibt erhalten, während weniger personenbezogene Daten anfallen.
Karteikasten
Überlege zuerst selbst und drehe die Karte anschließend zum Prüfen um.
Alles auf einen Blick
- Datenschutz
- Personenbezug
- direkt oder indirekt erkennbar
- sensible Angaben besonders schützen
- Verarbeitung prüfen
- Zweck, Daten und Beteiligte
- Speicherdauer und Rechtsgrundlage
- Grundsätze anwenden
- zweckgebunden und datenminimiert
- richtig, transparent und sicher
- Rechte nutzen
- Auskunft, Berichtigung und Löschung
- Einschränkung, Widerspruch und Übertragung
- Datensicherheit ergänzen
- Zugriff verhindern
- Verlust und Manipulation vorbeugen
- Personenbezug
Abschluss-Check
Du kannst eine Verarbeitung nun mit einem kurzen Prüfsatz untersuchen: Wer verarbeitet welche personenbezogenen Daten, zu welchem Zweck, für wie lange und mit welchem Schutz?