DSGVO jenseits der Einwilligung: Warum Aufbewahrung und Datenminimierung die eigentlichen Compliance-Lücken sind

Die Einwilligung ist seit Mai 2018 das Gesicht der DSGVO. Cookie-Banner vermehrten sich, Datenschutzerklärungen wuchsen zu dreißigseitigen Monumenten, die niemand liest, und Compliance-Teams feierten. Gleichzeitig horteten Organisationen weiter Daten, die sie längst nicht mehr brauchten, verarbeiteten personenbezogene Attribute, die sie nie begründet hatten, und bauten Data Pipelines, die Minimierung als Nice-to-have behandelten. Acht Jahre später liegt genau hier das eigentliche Risiko.

Die vorherrschende Sicht: Einwilligung ist der Kern

Die übliche Compliance-Haltung ist nachvollziehbar. Einwilligung ist sichtbar, prüfbar und lässt sich sauber auf Produktentscheidungen abbilden. Ein DSB kann auf eine Consent-Management-Plattform zeigen und Aufsichtsbehörden etwas Greifbares vorlegen. Bußgelder wie die 1,2 Milliarden Euro gegen Meta durch die irische DPC im Jahr 2023 haben das Narrativ verstärkt: Datentransfers in Drittländer und Verstöße gegen die Rechtsgrundlage sind das, was Behörden verfolgen. Vorstände haben diese Lektion aufgenommen und Consent-Infrastruktur entsprechend finanziert.

Es gibt auch ein legitimes technisches Argument dafür, die Einwilligung zu priorisieren. Die nachgelagerte Datennutzung lässt sich schwer steuern, wenn nicht zuerst am Erhebungspunkt eine Rechtsgrundlage festgelegt wird. Viele Rechtsabteilungen argumentierten mit gutem Grund, dass eine saubere Einwilligung das Fundament sei, auf dem alles andere aufbaut.

Wo dieses Bild bricht

Das Problem ist, dass aus „consent first“ ein „consent only“ wurde. Löschfristen und Datenminimierung, beides ausdrückliche Anforderungen nach Art. 5 Abs. 1 lit. c und Art. 5 Abs. 1 lit. e der Verordnung, wurden als operative Hausarbeit behandelt und nicht als rechtliche Pflichten. Das sind sie aber.

Verstöße gegen Löschfristen tauchen inzwischen in der Durchsetzung auf. Die französische CNIL und die britische ICO haben beide Feststellungen getroffen, die damit zusammenhingen, dass Organisationen personenbezogene Daten weit über den angegebenen Zweck hinaus aufbewahrt haben, auch Daten, die auf einer gültigen Rechtsgrundlage erhoben wurden. Die Einwilligung war in Ordnung. Die fortgesetzte Speicherung nicht. Das sind strukturell andere Verstöße, und keine Consent-Management-Plattform erkennt sie.

Bei der Minimierung sieht es schlechter aus. Das moderne Data WarehouseData WarehouseEin zentrales Repository, das Daten aus vielen Quellsystemen in einem strukturierten, abfrageoptimierten Speicher zusammenführt, ausgelegt für Analytics, Reporting und Business Intelligence.Vollständige Definition ansehen → macht es trivial, alles einzulesen und später zu entscheiden, was man nutzt. Genau diese Logik, die Engineers und Produktteams anspricht, verbietet Art. 5 Abs. 1 lit. c. „Dem Zweck angemessen und erheblich sowie auf das notwendige MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ß beschränkt“ ist keine nachträgliche Bewertung. Die Verbreitung von Cloud-Datenplattformen hat Überkollektion zur architektonischen Standardentscheidung gemacht.

Hier wird die Data-Tooling-Landschaft 2026 unmittelbar relevant, und hier sollten CDOs genau hinsehen. dbt Labs hat kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ürzlich seine Partner of the Year 2026 bekanntgegeben: phData, Snowflake, Cívica, Datum Studio und 66degrees. Die Ankündigung (von dbt Labs, einem kommerziellen Anbieter im Bereich Datentransformation, und entsprechend einzuordnen) zeigt, wohin die Branche investiert: Transformationslogik, modulare Datenmodellierung und warehouse-native Verarbeitung im großen Maßstab. Diese Tools sind wirklich nützlich. Aber sie sind darauf optimiert, Daten effizient zu bewegen und zu transformieren, nicht darauf zu steuern, wie lange Daten existieren sollten oder ob sie überhaupt hätten erhoben werden dürfen.

Snowflake, einer dieser Partner-Gewinner, ist ein gutes Beispiel. Technisch ist es unkompliziert, in Snowflake ein Table Expiry auf Basis von Aufbewahrungsfristen umzusetzen. Governance-Funktionen für Tagging und richtlinienbasierten Zugriff existieren. Trotzdem behandeln die meisten Implementierungen diese als fortgeschrittene Konfiguration statt als Grundanforderung. Das Tooling unterstützt Compliance; die Kultur drumherum fordert sie nicht ein.

Es gibt einen Effekt zweiter Ordnung, den man benennen sollte. Je mehr personenbezogene Daten Organisationen über Transformationsschichten modellieren, desto schwerer wird die Lineage personenbezogener Attribute nachvollziehbar. Ein Feld, das als Kunden-E-Mail startet, wird zu einem gehashten Identifier, der wiederum zum Feature in einem Segmentierungsmodell wird. Zu verstehen, wo diese Daten entstanden sind und was mit ihnen passiert ist, ist eine rechtliche Notwendigkeit, keine Data-Engineering-Kuriosität. Die meisten Organisationen, die dbt oder ähnliche Tools nutzen, haben aus operativen Gründen in Lineage investiert. Wenige haben den Kreis zu ihren Datenschutzteams geschlossen.

Die KI-Dimension erhöht den Druck zusätzlich. Personenbezogene Daten in Large-Language-Model-Pipelines einzuspeisen, ob für Retrieval-Augmented Generation oder Fine-TuningFine-TuningFine-Tuning passt ein vortrainiertes Modell an eine bestimmte Aufgabe oder Domäne an, indem das Training auf einem kleineren, gezielten Datensatz fortgesetzt wird. Das verbessert Genauigkeit und Stil für den jeweiligen Anwendungsfall.Vollständige Definition ansehen →, erzeugt neue Minimierungspflichten, die die meisten DSB noch nicht nachvollzogen haben. Eine KDnuggets-Analyse zu Orchestrierungsplattformen für KI-Agenten von Anfang dieses Jahres beschrieb „persistent runtimes“ und zustandsbehafteten Speicher als architektonische Standards. Aus DSGVO-Sicht sind persistente personenbezogene Daten im KI-Speicher gespeicherte personenbezogene Daten, und sie brauchen eine Löschregel.

Was ein guter CDO tatsächlich tun sollte

Behandeln Sie Löschfristen als Infrastruktur, nicht als Dokumentation. Eine Löschregel, die irgendwo in einem Word-Dokument lebt und in der Datenplattform keinen Durchsetzungsmechanismus hat, ist keine Löschregel. Sie ist formatierte Haftung.

Verknüpfen Sie Ihr Inventar personenbezogener Daten mit der Transformationslogik. Wenn Sie dbt oder ein vergleichbares Tool nutzen, sollte jedes Modell, das personenbezogene Daten berührt, Metadaten zur Kategorie der betroffenen Personen, zur Rechtsgrundlage und zur Aufbewahrungsdauer tragen. Das ist keine theoretische Best Practice. Es ist genau die operative Nachweisführung, nach der eine Aufsichtsbehörde bei der Prüfung einer Beschwerde fragt. IhrAnsatz für Datenklassifizierung und Zugriffskontrolle sollte direkt in diese Modell-Metadaten einfließen und nicht in einem separaten Governance-Silo liegen.

Stellen Sie sich gegen die Engineering-Kultur des „alles sammeln, später filtern“. Dafür müssen CDOs in Architekturentscheidungen präsent sein, nicht nur in Governance-Reviews. Wenn ein Data-Engineering-Team vorschlägt, ein neues personenbezogenes Attribut ins Warehouse zu laden, gehört die Minimierungsfrage gestellt, bevor die PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → gebaut wird. Minimierung nachzurüsten ist immer teurer.

Zu den Tooling-Partnerschaften: Das dbt-Labs-Partnerökosystem 2026, phData, Cívica, Datum Studio und andere, umfasst Implementierungspartner mit echter Data-Governance-Expertise. CDOs, die diese Partner bewerten, sollten nicht nur deren Transformations-Credentials prüfen, sondern auch ihre Fähigkeit, Datenschutzanforderungen von Anfang an in Datenmodelle einzubauen. Governance sollte ein Auswahlkriterium sein und keine Fußnote im Statement of Work.

Und schließlich: Lassen Sie aus Consent-Müdigkeit keine Minimierungs-Nachlässigkeit werden. Die beiden Pflichten sind rechtlich unabhängig voneinander. Eine Aufsichtsbehörde, die einen Verstoß gegen Aufbewahrungsfristen prüft, interessiert es nicht, dass Ihre Consent Flows makellos waren. Die Daten wurden zu lange aufbewahrt, und Art. 5 Abs. 1 lit. e enthält keine Ausnahme für Organisationen, die den einfachen Teil der Compliance gut erledigt haben.

Die praktische Konsequenz ist einfach: Führen Sie ein Audit Ihrer fünf größten Datensätze mit personenbezogenen Daten durch und fragen Sie für jeden, welche Aufbewahrungsdauer dokumentiert ist und ob sie auf Plattformebene durchgesetzt wird. In den meisten Organisationen bringt dieses Audit mehr Risiken ans Licht als die letzten drei Consent-Reviews zusammen.