Zum Inhalt springen
Guidance Observatory

Technology

Datenminimierung in der Begleitung: Was die DSGVO an Dokumentation verlangt

Notizen, Verläufe, Fragebögen: Wer begleitet, sammelt Daten. Die DSGVO setzt dafür Grundsätze (Art. 5), Voreinstellungen (Art. 25) und Sicherheit (Art. 32). Ein Überblick mit Prüffragen und klaren Grenzen. Keine Rechtsberatung.

Sven · Senior Systemic Architect & Executive Coach

Die Analyse zu Wirkung messen, ohne Vertraulichkeit zu brechen fragt, wie viele Daten Begleitung braucht. Die Analyse zu Software-Architektur für Begleitung beschreibt, wie man das technisch begrenzt. Hier steht die rechtliche Seite im Mittelpunkt: Was verlangt die DSGVO an Dokumentation, und was folgt daraus für die Praxis?

Vorab: Dies ist keine Rechtsberatung. Der Text nennt Normen und markiert eigene Einschätzungen als These.

Normen im Überblick

NormKernaussage (sinngemäß)
Art. 5 Abs. 1 lit. b DSGVO1Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden (Zweckbindung)
Art. 5 Abs. 1 lit. c DSGVO1Daten müssen dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein (Datenminimierung)
Art. 5 Abs. 1 lit. e DSGVO1Die Identifizierung der Person darf nur so lange möglich sein, wie es der Zweck erfordert (Speicherbegrenzung)
Art. 25 Abs. 2 DSGVO2Durch Voreinstellung dürfen nur die für den Zweck erforderlichen Daten verarbeitet werden; das betrifft Menge, Umfang, Speicherfrist und Zugänglichkeit
Art. 32 Abs. 1 DSGVO3Technische und organisatorische Maßnahmen müssen ein dem Risiko angemessenes Schutzniveau gewährleisten; genannt werden unter anderem Pseudonymisierung und Verschlüsselung

Was daraus für Begleitung folgen könnte

These: Die Normen übersetzen sich in Fragen an die eigene Dokumentation.

  1. Wozu erhebe ich das? Jede Notiz, jedes Feld und jeder Fragebogen sollte einem festgelegten Zweck dienen (Art. 5 Abs. 1 lit. b).1
  2. Reicht weniger? Was für den Zweck nicht nötig ist, wird nicht erhoben (lit. c).1 Das gilt besonders für Angaben, die in die Nähe von Gesundheitsdaten rücken; diese schützt Art. 9 Abs. 1 DSGVO besonders.
  3. Wie lange? Wer eine Speicherfrist festlegt, setzt lit. e um.1 These: Nach Abschluss einer Begleitung ist die Frage, welche Daten dann noch einen Zweck haben, ein guter Standardpunkt.
  4. Was ist voreingestellt? Ein System, das standardmäßig alles speichert und freigibt, widerspricht dem Gedanken von Art. 25 Abs. 2.2 Die Voreinstellung sollte das Minimum sein.
  5. Wer kommt heran? Die Zugänglichkeit nennt Art. 25 Abs. 2 ausdrücklich als Teil der Voreinstellungen,2 die Sicherheit regelt Art. 32 als eigene Pflicht.3

Grenzen

  • Keine Rechtsberatung. Ob im Einzelfall eine Rechtsgrundlage besteht, wie lange aufbewahrt werden darf und welche Pflichten zusätzlich gelten (etwa Berufsrecht), hängt von Rolle und Land ab.
  • Normtext ist abstrakt. Die Artikel nennen Grundsätze, keine festen Fristen oder Feldlisten.
  • Keine Wirksamkeitsaussage. Dass weniger Daten die Begleitung besser machen, behauptet der Text nicht.
  • Auswahl statt Vollständigkeit. Die Tabelle nennt drei Artikel; die DSGVO enthält weitere Pflichten, etwa zu Auftragsverarbeitung und Betroffenenrechten.

Wann diese Erkenntnis nicht gilt

Wer in einem rein mündlichen Gespräch weder Notizen macht noch Daten in Systemen speichert, verarbeitet unter Umständen keine personenbezogenen Daten im Sinne der DSGVO. Sobald aber Namen, Termine oder Notizen gespeichert werden, greifen die Grundsätze.

Offene Fragen

  • Welche Dokumentation ist für Begleitung fachlich nötig, welche nur bequem?
  • Wie lassen sich Speicherfristen so festlegen, dass sie Nachvollziehbarkeit und Löschung verbinden?
  • Wie sieht ein vertrauenswürdiger Standard für Voreinstellungen in Begleitungssoftware aus?

Alle hier verwendeten Quellen stehen im Evidenzregister.

Offenlegung: Guidance Observatory wird von BA Entertainment herausgegeben. BA Entertainment betreibt mit Co;Gether zugleich eine Plattform für professionelle Begleitung. Diese Analyse beschreibt Prinzipien und nennt keine Anbieter.

Quellen

  1. Art. 5 Abs. 1 lit. b, c, e Verordnung (EU) 2016/679 (DSGVO), Grundsätze für die Verarbeitung personenbezogener Daten. http://data.europa.eu/eli/reg/2016/679/oj ↩ ↩2 ↩3 ↩4 ↩5 ↩6

  2. Art. 25 Abs. 2 Verordnung (EU) 2016/679 (DSGVO), Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. http://data.europa.eu/eli/reg/2016/679/oj ↩ ↩2 ↩3

  3. Art. 32 Abs. 1 Verordnung (EU) 2016/679 (DSGVO), Sicherheit der Verarbeitung. http://data.europa.eu/eli/reg/2016/679/oj ↩ ↩2