Was ist Datenminimierung?
Die DSGVO formuliert es in Art. 5 Abs. 1 lit. c so: Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Kurz: Sammle nur, was du wirklich brauchst.
Was „notwendig“ heißt, entscheidet der Zweck. Den musst du vorher festlegen, das verlangt der Grundsatz der Zweckbindung. Erst dann lässt sich messen, ob ein Feld, ein Cookie oder eine Speicherdauer zu viel ist.
Art. 25 Abs. 2 DSGVO nennt vier Stellschrauben:
- Menge: Wie viele Daten erhebst du?
- Umfang: Was machst du alles damit?
- Speicherfrist: Wie lange behältst du sie?
- Zugänglichkeit: Wer im Team kommt dran?
Dazu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2: Du musst nachweisen können, dass du dich daran hältst. „Haben wir immer so gemacht“ reicht nicht.
Datenminimierung oder Datensparsamkeit?
Das alte Bundesdatenschutzgesetz kannte bis Mai 2018 die Datensparsamkeit (§ 3a BDSG a. F.): so wenig Daten wie möglich. Das war eine Soll-Vorschrift. Die Datenminimierung der DSGVO ist strenger formuliert, bindend und mit Bußgeld bewehrt. Im Alltag werden beide Wörter trotzdem gleich benutzt.
Grundsatz
Frage
Zweckbindung
Wofür sammle ich?
Datenminimierung
Wie viel brauche ich dafür?
Speicherbegrenzung
Wie lange brauche ich es?
Pseudonymisierung ist ein Mittel zur Datenminimierung, aber kein Ersatz. Pseudonymisierte Daten bleiben personenbezogen, nur anonyme Daten fallen aus der DSGVO.
So sieht das im Marketing aus
Formulare
Der Europäische Datenschutzausschuss (EDSA) nennt in seinen Leitlinien 4/2019 ein Beispiel, das jeder Shop kennt: Ein Buchladen macht Geburtsdatum und Telefonnummer zu Pflichtfeldern. Bei Vorkasse braucht er beides nicht, also dürfen es keine Pflichtfelder sein. Für E-Books braucht er nicht mal eine Adresse.
Der EuGH hat im Januar 2025 nachgelegt (C-394/23, „Mousse“): Die französische Bahn durfte beim Ticketkauf die Anrede „Herr“ oder „Frau“ nicht verpflichtend abfragen. Für den Vertrag ist sie nicht nötig.
Newsletter
Die Datenschutzbehörde Niedersachsen empfiehlt: Pflicht ist nur die E-Mail-Adresse. Den Vornamen darfst du freiwillig abfragen, mit Hinweis auf die Freiwilligkeit. Den Nachweis der Einwilligung führst du per Double-Opt-in.
Tracking
- GA4: Die Aufbewahrung für Ereignis- und Nutzerdaten lässt sich auf 2 oder 14 Monate stellen. Wer nur Standardberichte nutzt, kommt mit 2 Monaten aus.
- Matomo: IP-Adressen werden standardmäßig um 2 Bytes gekürzt. Matomo selbst empfiehlt, Rohdaten nur 3 bis 6 Monate zu behalten.
CRM
Kontakte, die seit Jahren nicht reagieren, gehören gelöscht oder anonymisiert. Gesetzliche Aufbewahrungsfristen gelten für Buchungsbelege und Handelsbriefe (§ 257 HGB: 8 bzw. 6 Jahre), nicht pauschal für Marketingprofile.
Fälle mit Bußgeld
Verstöße gegen die Grundsätze aus Art. 5 können bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes kosten. Zwei Fälle, in denen die Datenminimierung eine Rolle spielte:
Fall A · Logistik, Frankreich
Amazon France Logistique
32 → 15 Mio. €
Bußgeld nach Gericht
31 Tage
pauschale Speicherung
Verstoß gegen die Datenminimierung bestätigt
Der Conseil d'État senkte die CNIL-Strafe im Dezember 2025, bestätigte aber: Alle Scanner-Indikatoren 31 Tage zu speichern, ohne Begründung je Indikator, war zu viel.
Fall B · Immobilien, Berlin
Deutsche Wohnen SE
14,5 Mio. €
Bescheid 2019
900.000 €
LG Berlin I, Juni 2026
Alte Mieterdaten nicht gelöscht
Gestützt auf Datenminimierung und Speicherbegrenzung. Das Urteil ist noch nicht rechtskräftig.
Häufige Fehler
Fehler 1 · „Ein Pflichtfeld mehr schadet nicht“
Doch. Jedes Pflichtfeld braucht einen Zweck, den du begründen kannst. Was nur „nett zu haben“ ist, wird optional oder fliegt raus. Nebenbei steigt meist deine Conversion Rate.
Fehler 2 · „Mit Einwilligung darf ich alles“
Nein. Die Datenminimierung gilt unabhängig von der Rechtsgrundlage. Auch mit Einwilligung darfst du nicht unbegrenzt sammeln und aufbewahren.
Fehler 3 · „Einmal erhoben, für immer behalten“
Die Speicherdauer gehört dazu. Der EDSA verlangt, regelmäßig zu prüfen, ob Daten gelöscht oder anonymisiert werden müssen. Der Fall Deutsche Wohnen zeigt, was passiert, wenn das System das nicht kann.
Was tun?
- Geh jedes Formular durch und schreib neben jedes Pflichtfeld den Zweck. Kein Zweck, kein Pflichtfeld.
- Stell in GA4 die Datenaufbewahrung bewusst ein, statt den Standard zu nehmen.
- Leg im CRM Löschregeln fest, zum Beispiel für Kontakte ohne Reaktion seit zwei Jahren.
- Prüf, wer im Team welche Daten sehen muss, und schränk Rechte ein.
Häufige Fragen
Was bedeutet Datenminimierung nach DSGVO?
Nach Art. 5 Abs. 1 lit. c DSGVO dürfen personenbezogene Daten nur in dem Umfang verarbeitet werden, der für den festgelegten Zweck notwendig ist. Das gilt für Menge, Umfang der Nutzung, Speicherdauer und Zugriff.
Darf ich bei der Newsletter-Anmeldung nach dem Vornamen fragen?
Ja, aber als freiwilliges Feld mit Hinweis auf die Freiwilligkeit. Pflicht sollte nur die E-Mail-Adresse sein, so empfiehlt es die Datenschutzbehörde Niedersachsen.
Muss ich im Formular eine Anrede abfragen?
Als Pflichtfeld in der Regel nicht. Der EuGH hat im Januar 2025 entschieden, dass eine verpflichtende Abfrage von „Herr“ oder „Frau“ beim Online-Ticketkauf nicht nötig war. Mach sie optional oder lass sie weg.
Was ist der Unterschied zwischen Datenminimierung und Datensparsamkeit?
Datensparsamkeit stand bis 2018 im alten BDSG und war eine Soll-Vorschrift. Datenminimierung ist der Grundsatz der DSGVO, bindend und bußgeldbewehrt. Im Alltag werden beide Begriffe gleich verwendet.
Gilt Datenminimierung auch, wenn jemand eingewilligt hat?
Ja. Die Grundsätze aus Art. 5 DSGVO gelten für jede Verarbeitung, egal auf welcher Rechtsgrundlage. Eine Einwilligung erlaubt die Verarbeitung, aber nicht beliebig viele Daten.
