DSGVO jenseits der Einwilligung: ein CDO-Playbook für Aufbewahrung und Datenminimierung

Die Einwilligung beherrschte die Schlagzeilen, als die DSGVO 2018 in Kraft trat, und sie dominiert bis heute die Diskussion auf Vorstandsebene. Die Durchsetzungspraxis erzählt jedoch eine andere Geschichte. Die irische Data Protection Commission, die französische CNIL und die niederländische Autoriteit Persoonsgegevens haben in den letzten Jahren erhebliche Bußgelder verhängt, bei denen die zentrale Feststellung überhaupt nichts mit der Einwilligung zu tun hatte. Es ging darum, dass Organisationen Daten weit länger aufbewahrten, als es ein legitimer Zweck rechtfertigte, oder von Anfang an mehr erhoben, als sie brauchten. Das Bußgeld der französischen CNIL gegen Clearview AI aus dem Jahr 2023 enthielt ausdrückliche Feststellungen zu Verstößen bei der Aufbewahrung. Das Verfahren der irischen DPC gegen Meta umfasste Bedenken zur Datenminimierung, die weit über die Einwilligungsfrage hinausgingen.

Für einen CDO im Jahr 2026 stellen diese beiden Pflichten, Aufbewahrung und Minimierung, die größte unbewirtschaftete Compliance-Fläche in den meisten Unternehmensdatenbeständen dar. Es sind zugleich, und das hilft, lösbare Probleme mit klaren technischen und organisatorischen Antworten.

Das Programm aufbauen: eine konkrete Reihenfolge

Schritt 1: erfassen, was Sie tatsächlich haben, bevor Sie irgendeine Policy festlegen

Arbeit an Aufbewahrung und Minimierung kann nicht mit einer Policy-Vorlage beginnen. Sie muss mit einem verifizierten Dateninventar beginnen. Das bedeutet, Discovery-Tooling über Ihre strukturierten Datenbanken, Ihren Data LakeData LakeEin Data Lake ist ein zentraler Speicher, der große Datenmengen im Rohformat ablegt, von strukturierten Tabellen bis zu unstrukturierten Dateien, bis sie gebraucht werden.Vollständige Definition ansehen →, Ihren SaaS-Bestand (Salesforce, Workday, ServiceNow) und Ihre unstrukturierten Speicher laufen zu lassen. Tools von Anbietern wie Varonis und BigID kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen einen großen Teil dieser Klassifizierungsarbeit automatisieren, wobei es sich bei beiden um kommerzielle Produkte handelt und ihre Angaben zur Abdeckung gegen Ihre konkrete Umgebung validiert und nicht ungeprüft übernommen werden sollten.

Das Ergebnis, das Sie brauchen, ist ein Datenbestandsregister, das jeden Datensatz folgenden Punkten zuordnet: Rechtsgrundlage der Verarbeitung, Geschäftsprozess, der ihn erzeugt hat, aktuelle Aufbewahrungsdauer (die tatsächliche, nicht die nominelle) und Data Owner. Ohne das bleibt jede von Ihnen veröffentlichte Aufbewahrungsfrist theoretisch.

Schritt 2: Aufbewahrungsfristen an der rechtlichen Realität ausrichten, nicht an der Bequemlichkeit der IT

Die meisten Organisationen haben Aufbewahrungsfristen, die von Rechtsabteilungen geschrieben wurden, ohne die Menschen zu fragen, die die Daten tatsächlich verwalten. Das Ergebnis sind Fristen, die für nahezu alles „sieben Jahre“ vorsehen, weil das irgendwo einer steuer- oder vertragsrechtlichen Anforderung entspricht, unterschiedslos angewandt auf Datensätze, die mit Steuern oder Verträgen nichts zu tun haben.

Gehen Sie Kategorie für Kategorie vor. Transaktionsdaten von Kunden, die an eine Vertragsbeziehung gebunden sind, haben eine belastbare Aufbewahrungsdauer, die sich an diesem Vertrag plus den jeweils geltenden Verjährungsfristen orientiert. Prospect-Daten aus dem Marketing, die über ein Webformular erhoben wurden, haben ein deutlich kürzeres Fenster. Sobald der Prospect 12 bis 18 Monate keine Reaktion gezeigt hat und kein aktiver Vertriebsprozess läuft, erodiert die Grundlage des berechtigten Interesses für die weitere Aufbewahrung dieser Daten schnell.

Der praktische Schritt hier ist ein gemeinsamer Workshop von Legal, der betreffenden Business Unit und Ihrem Data-Engineering-Team. Legal definiert die äußere Grenze. Die Business Unit definiert das Minimum, das sie operativ braucht. Engineering definiert, was in den beteiligten Systemen tatsächlich umsetzbar ist. Aufgabe des CDO ist es, diesen Prozess zu steuern und das Ergebnis in einer Form zu dokumentieren, die technisch durchgesetzt werden kann und nicht nur in einem Policy-PDF referenziert wird.

Schritt 3: Löschung automatisieren und Audit Trails aufbauen

Eine Aufbewahrungsregel, die darauf setzt, dass Menschen Daten zum richtigen Zeitpunkt manuell löschen, wird scheitern. Die einzige dauerhafte Lösung sind automatisierte Löschjobs mit Logging. Für strukturierte Datenbanken ist das üblicherweise über geplante Prozeduren erreichbar. Für Cloud-Speicher können AWS S3 Lifecycle Policies und Azure Blob Storage Retention Rules die Löschung auf Objektebene ohne menschliches Eingreifen erzwingen.

Der Audit Trail ist genauso wichtig wie die Löschung selbst. Wenn eine Aufsichtsbehörde fragt, ob Sie Kundendatensätze nach Ablauf der angegebenen Aufbewahrungsdauer gelöscht haben, ist „ja, wir haben eine Policy“ keine Antwort. Ein Log mit Zeitstempel, das zeigt, dass an einem bestimmten Datum eine Batch-Löschung gegen einen bestimmten Datensatz gelaufen ist, ist eine Antwort.

Schritt 4: Minimierung am Punkt der Erhebung operationalisieren

Fehler bei der Minimierung entstehen häufig in Produkt- und Engineering-Teams, nicht in Legal oder Compliance. Ein Entwickler, der ein Registrierungsformular baut, ergänzt ein Feld für das Geburtsdatum, weil es später für die Marketing-Segmentierung nützlich sein könnte. Ein Data Analyst fordert die vollständige Transaktionshistorie an, obwohl ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → für ein Dashboard nur aggregierte Zahlen braucht. Solche Entscheidungen fallen in einer mittelgroßen Organisation dutzende Male pro Woche, und kein CDO kann jede einzelne prüfen.

Die skalierbare Lösung ist ein Privacy-by-Design-Gate in Ihren Entwicklungs- und Daten-PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen →-Prozessen. Bevor eine neue Datenerhebung oder ein neuer Datenfluss genehmigt wird, sollte eine kurze dokumentierte Antwort auf zwei Fragen verlangt werden: welchem konkreten Verarbeitungszweck dient dieses Feld, und gibt es einen weniger eingriffsintensiven Weg, dasselbe Ergebnis zu erreichen? Bauen Sie das in Ihren Jira-Workflow ein, in Ihren Anforderungsprozess für Datenprodukte oder in welchen Delivery-Mechanismus Ihre Engineering-Teams tatsächlich nutzen.

Wo es schiefgeht

Der häufigste Fehler ist, das Dateninventar als einmaliges Projekt zu behandeln. Datenbestände verändern sich schneller als Inventarisierungsübungen. Ein SaaS-Tool kommt hinzu, eine neue Analytics-Pipeline wird gebaut, ein Legacy-System migriert. Innerhalb von 18 Monaten ist das Inventar veraltet und die Aufbewahrungsfristen beruhen auf Daten, die nicht mehr abbilden, was Sie haben. Die Abhilfe ist, laufende Data-Stewardship-Verantwortung an konkret benannte Personen zu übertragen, nicht an ein Team oder ein Komitee, mit einem quartalsweisen Review-Rhythmus.

Ein zweites Fehlermuster ist, das Programm zu stark in Legal oder Compliance zu zentralisieren. Entscheidungen zu Aufbewahrung und Minimierung erfordern Domänenwissen. Das Team, das Ihr CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → betreibt, weiß, dass bestimmte Felder über eine Integration mit einem Dritten gefüllt werden und nicht eigenständig gelöscht werden können. Legal weiß das nicht. Programme, die Business- und Technical Owner in der Designphase umgehen, produzieren Fristen, die auf dem Papier korrekt und in der Praxis nicht durchsetzbar sind.

Achten Sie schließlich auf Scope Creep in der Inventarphase. Manche Organisationen verbringen zwei Jahre mit dem Mapping von Daten, bevor überhaupt etwas passiert. Wählen Sie Ihre risikoreichsten Datensätze, typischerweise Marketing-Datenbanken, HR-Akten und Customer-Support-Logs, und implementieren Sie dort zuerst Aufbewahrungskontrollen. Bauen Sie von einem funktionierenden Fundament aus weiter.

Quick Wins für diese Woche

• Ziehen Sie die Access Logs der letzten 90 Tage für Ihre drei größten Datenbanken und identifizieren Sie Datensätze ohne aktive Queries. Das sind starke Kandidaten für Löschung oder Archivierung.
• Fordern Sie bei Ihrer Rechtsabteilung das tatsächliche Dokument mit den Aufbewahrungsfristen an und gleichen Sie es gegen Ihre laufenden Datensysteme ab. Notieren Sie jeden Datensatz, für den es keinen entsprechenden Eintrag gibt.
• Prüfen Sie, ob für Ihre Cloud-Storage-Buckets Lifecycle Policies aktiviert sind. Wenn nicht, ist das eine Konfigurationsänderung, die in Stunden erledigt ist.
• Identifizieren Sie einen neuen Erhebungspunkt für Daten, der im nächsten Sprint live geht, und gehen Sie mit dem Team die Minimierungsfrage durch, bevor er ausgeliefert wird.

Das zugrunde liegende Prinzip der Aufsichtsbehörden ist einfach: wenn Sie nicht darlegen können, warum Sie ein bestimmtes personenbezogenes Datum heute noch brauchen, sollten Sie es nicht mehr haben. Operative Systeme zu bauen, die dieses Prinzip durchsetzen, ist die Lücke, die die meisten Datenorganisationen noch nicht geschlossen haben.