Datenminimierung bei Dokumentanfragen: eine praktische Checkliste

Datenminimierung beginnt vor dem Upload einer Datei. Fordern Sie das kleinste Dokument, den kürzesten Seiten- und Berichtszeitraum und den geringsten Detaillierungsgrad an, die Ihre Entscheidung tragen können.

"Senden Sie alles Relevante" verlagert die Entscheidung auf die absendende Person. Sie übermittelt womöglich einen vollständigen Kontoauszug, obwohl eine Seite ausreicht, oder einen langen Vertrag mit nicht benötigten Angaben. Das Unternehmen muss dann Material schützen, prüfen und löschen, das es nie gebraucht hat.

Eine genaue Anfrage ist für beide Seiten besser. Die absendende Person weiß, was die Anforderungen erfüllt. Das Team muss weniger sensible Informationen bearbeiten.

Datenminimierung ist eine Gestaltungsentscheidung

Artikel 5 der Datenschutz-Grundverordnung der Europäischen Union verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind. Dieser Grundsatz gilt für die Anfrage ebenso wie für die spätere Speicherung.

Die Leitlinien des Europäischen Datenschutzausschusses zu Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen beziehen die Erforderlichkeit auf den Umfang der erhobenen Daten, ihre Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Die Standardanfrage sollte eng gefasst sein.

Die US-Verbraucherschutzbehörde FTC kommt in Start with Security zu einer ähnlichen betrieblichen Folgerung: Erheben Sie keine personenbezogenen Informationen, die Sie nicht benötigen, und bewahren Sie Informationen nur auf, solange ein berechtigter geschäftlicher Grund besteht.

Diese Quellen sagen nicht jedem Unternehmen, welche konkrete Seite es anfordern soll. Das muss die Organisation anhand ihres Zwecks, des anwendbaren Rechts und der vom Prozess tatsächlich benötigten Nachweise entscheiden.

Vier Teile jeder Anfrage minimieren

1. Das Dokument

Prüfen Sie zunächst, ob die Entscheidung überhaupt ein Quelldokument erfordert. Eine Bestätigung, eine Referenznummer oder ein in einem freigegebenen System erfasstes Ergebnis kann ausreichen.

Wird das Quelldokument benötigt, benennen Sie es. "Finanzunterlagen" ist ungenau. "Die Kontoübersicht mit Kontoinhaber und Schlusssaldo für Juni" gibt der absendenden Person ein klares Ziel.

2. Die Seiten

Ein Dokument kann Dutzende Seiten haben, während der Prozess nur eine davon benötigt. Geben Sie die benötigte Seite oder den benötigten Abschnitt an und erläutern Sie, ob andere Seiten weggelassen werden dürfen.

Erlauben Sie Schwärzungen nur, wenn der Prozess sie zulässt. Sagen Sie, was verborgen werden darf und was sichtbar bleiben muss.

3. Der Zeitraum

Nennen Sie einen Monat, ein Steuerjahr, eine Vertragsversion oder einen Datumsbereich. Ein genauer Zeitraum vermeidet Rückfragen und die Erhebung jahrelanger, nicht benötigter Aufzeichnungen.

4. Der Detaillierungsgrad

Legen Sie fest, welche Felder sichtbar sein müssen. Für eine Altersprüfung ist womöglich kein vollständiges Geburtsdatum erforderlich. Eine Prüfung der Kontoinhaberschaft braucht vielleicht keine Transaktionshistorie. Für die Prüfung eines unterzeichneten Vertrags können die Unterschriftsseite und Versionskennung statt sämtlicher Anlagen genügen.

Der richtige Umfang hängt von der Aufgabe ab. Entfernen Sie keine Angaben, die für eine korrekte Entscheidung oder zur Erfüllung einer dokumentierten Pflicht erforderlich sind.

Weit gefasste Anfragen überarbeiten

Verwenden Sie diese Tabelle als redaktionelle Übung. Die engeren Fassungen sind Beispiele, keine allgemeingültigen Anforderungen.

Manche Prozesse erfordern das vollständige Dokument. Halten Sie in diesem Fall intern fest, weshalb es benötigt wird, und weisen Sie die absendende Person darauf hin, keine Seiten zu entfernen. Datenminimierung bedeutet nicht, den Beweiswert zu beeinträchtigen. Sie macht den Umfang bewusst.

Mit der Entscheidung beginnen und rückwärts arbeiten

Verantwortliche übernehmen häufig eine Checkliste und fragen nicht mehr, weshalb ein Punkt darauf steht. Kehren Sie den Prozess um.

Formulieren Sie die Entscheidung in einem Satz: "Wir müssen bestätigen, dass das bezeichnete Konto dem Lieferanten gehört, bevor wir die Zahlungsdaten freigeben." Listen Sie dann die Tatsachen auf, die Sie dafür benötigen. Erst danach wählen Sie das Dokument, das jede Tatsache belegt.

Füllen Sie für jede Unterlage diese Punkte aus:

1. Entscheidung oder Handlung: ___
2. Dieses Dokument belegt: ___
3. Erforderliche Seite oder Abschnitt: ___
4. Diese Felder müssen sichtbar bleiben: ___
5. Maßgeblicher Zeitraum: ___
6. Akzeptierte Alternative: ___
7. Die Eingangskopie kann gelöscht werden, wenn: ___
8. Danach bewahren wir folgende offizielle Aufzeichnung auf: ___

Kann das Team den zweiten Punkt nicht ausfüllen, entfernen Sie die Unterlage. Wenn mehrere Dokumente dieselbe Tatsache belegen, wählen Sie eine Standardoption und führen Sie Alternativen auf.

Bedingte Anfragen verwenden

Lange allgemeine Checklisten erheben Dokumente, die nur auf wenige Personen zutreffen. Stellen Sie zuerst eine kurze Auswahlfrage und zeigen Sie anschließend die passende Anfrage.

Ein Lieferantenprozess kann zum Beispiel fragen, ob die Zahlung auf ein Privat- oder Geschäftskonto geht. Die nächste Anfrage richtet sich nach der Antwort. Im Bewerbungsverfahren können Onboarding-Nachweise erst angefordert werden, wenn die Person die richtige Phase erreicht. Beim Kundeneingang lässt sich eine zusätzliche Anlage erst dann anfordern, wenn das erste Dokument ihre Erforderlichkeit zeigt.

Halten Sie Auswahlfragen sachlich. Testen Sie die Logik, damit sich eine falsche Antwort berichtigen lässt, ohne dass in einer Supportanfrage private Informationen wiederholt werden.

Sagen, was nicht hochgeladen werden soll

Menschen fügen zusätzliche Dateien hinzu, wenn sie durch eine unvollständige Übermittlung eine Verzögerung befürchten. Geben Sie ihnen die Erlaubnis, sich zu beschränken.

Verwenden Sie zum Beispiel diese Hinweise:

• Laden Sie ein Dokument aus der Liste hoch, nicht alle Unterlagen, die Sie besitzen.
• Nur die bezeichnete Seite wird benötigt.
• Schreiben Sie keine Passwörter in die Nachricht oder den Dateinamen.
• Laden Sie keine Kartenprüfnummern oder Zugangsdaten hoch.
• Senden Sie keine Gesundheitsdaten, Angaben zu Straftaten oder andere besonders geschützte Informationen, sofern die Anfrage sie nicht ausdrücklich verlangt und der freigegebene Prozess sie abdeckt.
• Falls eine weitere Unterlage erforderlich ist, melden wir uns über den angegebenen Weg.

Die Ausschlüsse müssen zu den Dienstbedingungen und zum Prozess passen. Ein Warnhinweis macht einen ungeeigneten Dienst nicht für regulierte Daten geeignet.

Eine eigenständig verständliche Anfrage schreiben

Die absendende Person öffnet einen Upload-Link womöglich erst Tage nach dem ursprünglichen Gespräch. Die Seite sollte genügend Kontext bieten, ohne private Einzelheiten in URL oder Überschrift offenzulegen.

Eine Anfrage kann so aufgebaut sein:

Zweck

Wir benötigen die unten genannten Dokumente, um {konkrete Tatsache zu bestätigen oder konkrete Aufgabe zu erledigen}.

Hochzuladende Unterlagen

• {ein bezeichnetes Dokument mit Seite und Zeitraum}
• {zweite Unterlage nur, wenn sie unabhängig erforderlich ist}

Akzeptierte Alternativen: {begrenzte Liste}.

Nicht hochladen: {klare Ausschlüsse}.

Wer die Übermittlung prüfen darf

Autorisierte Mitglieder von {Team oder Organisation} dürfen Ihre Übermittlung für diesen Zweck prüfen.

Löschung

Die Eingangskopie soll am {Datum oder nach dem angegebenen Zeitraum} gelöscht werden. Wir können sie früher löschen, wenn die Prüfung abgeschlossen ist. Aufzeichnungen, die wir aufbewahren müssen, unterliegen unserer gesonderten Aufbewahrungsrichtlinie.

Fragen oder Berichtigungen

Wenden Sie sich vor dem Upload über {freigegebener Kontaktweg} an uns, wenn die Anfrage nicht zu Ihrer Situation passt.

Nehmen Sie keine ausführliche Fallbeschreibung, Dokumentenliste oder personenbezogenen Daten in eine Benachrichtigungs-E-Mail auf. Die Nachricht kann die absendende Person auf die kontrollierte Anfrageseite leiten.

Vergleichbare Alternativen anbieten

Jede zugelassene Alternative sollte dieselbe Tatsache belegen. Dokumentieren Sie:

• Welche Tatsache sie belegt
• Die erforderlichen Felder
• Das zulässige Höchstalter
• Ob eine unvollständige Seite akzeptiert wird
• Wann die Kopie als unlesbar oder unvollständig gilt
• Ob eine Eskalation erforderlich ist

Vermeiden Sie ein offenes Feld mit der Bezeichnung "anderes Dokument". Es führt zu unvorhersehbaren Formaten und Inhalten. Wenn die aufgeführten Optionen nicht passen, bieten Sie vor dem Upload einen Kontaktweg an.

Unerwartetes Material sicher behandeln

Auch auf eine genaue Anfrage können zusätzliche Seiten oder die falsche Datei eingehen. Die prüfende Person sollte sie nicht herunterladen und weitergeben, während über das weitere Vorgehen entschieden wird.

Das Verfahren sollte:

1. Die Übermittlung im kontrollierten Eingang belassen.
2. Die Prüfung auf autorisierte Personen beschränken.
3. Den Fehler erfassen, ohne Inhalte in das Protokoll zu kopieren.
4. Über den freigegebenen Weg eine berichtigte Übermittlung anfordern.
5. Die nicht benötigte Unterlage so schnell wie zulässig löschen.
6. Den Wortlaut der Anfrage anpassen, wenn derselbe Fehler wiederholt auftritt.

Dateivalidierung und Schadsoftwareprüfung können technische Risiken verringern. Sie beweisen jedoch nicht, dass eine Datei sicher ist. Sie beantworten nicht, ob das Unternehmen ihren Inhalt hätte erheben dürfen.

Die Anfrage mit realistischen Übermittlungen prüfen

Testen Sie die Anfrage mit einem Kollegen, der den Prozess nicht ausführt. Fragen Sie, welche Datei, Seite, welchen Zeitraum und welche Felder er bereitstellen würde. Wählen zwei Personen verschiedene Nachweise, überarbeiten Sie den Wortlaut.

Erfassen Sie nach der Einführung nicht sensible betriebliche Signale:

• Anfragen, bei denen nachgefasst werden muss
• Als unvollständig abgelehnte Übermittlungen
• Unerwartete Dokumentenkategorien
• Wiederholte Fragen zu Schwärzungen oder akzeptierten Alternativen
• Unterlagen, die ungenutzt gelöscht wurden

Nehmen Sie keine Dateinamen, Identitäten der absendenden Personen oder Inhalte in diese Kennzahlen auf.

Prüfen Sie die Liste jedes Mal, wenn sich die Entscheidung ändert. Ein Dokument kann überflüssig werden, sobald ein freigegebenes System das Ergebnis liefert.

Erhebung mit Aufbewahrung und Zugriff verbinden

Beschränken Sie nach dem Upload den Zugriff, vermeiden Sie routinemäßige Originaldownloads und legen Sie den Löschtermin fest.

Der Leitfaden für Aufbewahrungsrichtlinien erläutert die Unterscheidung zwischen vorübergehender Übermittlung und offizieller Aufzeichnung. Die Checkliste zum Minimalprinzip beschreibt, wer sie ansehen, drucken, herunterladen, verlängern oder löschen darf.

So entsteht ein kürzerer Ablauf: festgelegte Nachweise anfordern, für einen Zweck prüfen, das Ergebnis erfassen und die Eingangskopie planmäßig entfernen.

Häufig gestellte Fragen

Bedeutet Datenminimierung, dass wir nie ein vollständiges Dokument anfordern dürfen?

Nein. Ein vollständiges Dokument kann zur Beurteilung von Echtheit und Zusammenhang oder wegen einer dokumentierten Anforderung nötig sein. Halten Sie fest, weshalb die vollständige Fassung erforderlich ist, und fordern Sie keine zusätzlichen Dokumente an, die ohne weiteren Nutzen dasselbe belegen.

Sollten wir Schwärzungen immer zulassen?

Nein. Erlauben Sie Schwärzungen nur, wenn die verbleibenden Angaben die Entscheidung tragen und der anwendbare Prozess sie zulässt. Sagen Sie der absendenden Person genau, was abgedeckt werden darf. Eine unklare Schwärzungsregel führt zu abgelehnten Übermittlungen und wiederholter Offenlegung.

Können wir zusätzliche Nachweise erheben, damit wir später nicht danach fragen müssen?

Bequemlichkeit allein zeigt nicht, dass der zusätzliche Nachweis erforderlich ist. Nutzen Sie bedingte Anfragen, wenn sich der spätere Bedarf erst dann erkennen lässt. Gibt es einen konkreten, dokumentierten Grund für die gleichzeitige Erhebung beider Unterlagen, erläutern Sie ihn und wenden Sie eine angemessene Aufbewahrungsfrist an.

Reicht ein kurzer Löschzeitraum für die Datenminimierung aus?

Nein. Aufbewahrung und Erhebung sind getrennte Kontrollen. Ein nicht benötigtes Dokument nach sieben Tagen zu löschen, ändert nichts daran, dass die Organisation es erhoben und zur Prüfung offengelegt hat. Begrenzen Sie zuerst die Anfrage und bewahren Sie das angenommene Material danach nur so lange wie nötig auf.

Was gilt, wenn jemand mehr als angefordert hochlädt?

Belassen Sie die Unterlage im kontrollierten Ablauf, beschränken Sie den Zugriff, fordern Sie bei Bedarf eine berichtigte Übermittlung an und löschen Sie das nicht benötigte Material so schnell wie zulässig. Übernehmen Sie es nicht allein deshalb in eine dauerhafte Akte, weil es beim Unternehmen eingegangen ist.

Wer sollte eine neue Dokumentanfrage freigeben?

Die für den Prozess verantwortliche Person sollte Zweck und erforderliche Nachweise erläutern. Die für Datenschutz, Recht oder Aufzeichnungspflichten verantwortliche Person sollte risikoreichere Kategorien und ihre Aufbewahrung prüfen. Sicherheit oder IT sollten bestätigen, dass der Eingangsweg für die geplanten Dateitypen und das Zugriffsmuster geeignet ist.