Datenqualität
Wie prüft man Datenqualität DSGVO-konform in deutschen Unternehmen?
DSGVO-konforme Datenanalyse in Deutschland: Prüfschema, Rechtsgrundlagen, Aufsichtsbehörden und Checkliste für Datenqualität und Berichte im Alltag.
Das Wichtigste auf einen Blick
- DSGVO-konforme Datenanalyse verbindet Datenqualität mit den Pflichten aus DSGVO und BDSG.
- Rechtsgrundlagen sind Artikel 5, 6, 9, 15 bis 22, 35 DSGVO sowie Paragraf 26 BDSG.
- Datenqualität wird an Zweckbindung, Richtigkeit, Löschfristen und Betroffenenrechten gemessen.
- Aufsichtsbehörden wie BfDI und BayLDA prüfen und beraten, verhängen aber auch Bußgelder.
- Ein Prüfschema mit sieben Schritten macht Berichte reproduzierbar und auditierbar.
- Typische Verstöße reichen von fehlender Rechtsgrundlage bis zu unvollständigen Löschkonzepten.
Was DSGVO-konforme Datenanalyse bedeutet und wen sie betrifft
DSGVO-konforme Datenanalyse heißt: Wer personenbezogene Daten auswertet, muss Datenqualität und Datenschutz zusammen prüfen. Beides lässt sich nicht trennen. Ein falscher Wert in einem Bericht ist ein Datenschutzproblem, wenn er die falsche Person betrifft.
Betroffen sind Datenschutzbeauftragte und Datenanalysten in Unternehmen jeder Größe. Hinzu kommen Fachbereiche, die Berichte anfordern, und IT-Teams, die Pipelines betreiben. In Deutschland gilt die DSGVO unmittelbar, ergänzt durch das BDSG.
Die praktische Folge: Jede Auswertung braucht einen dokumentierten Zweck, eine Rechtsgrundlage und eine Aussage darüber, wie lange die Daten bleiben. Ohne diese drei Angaben ist der Bericht nicht prüfbar.
Ein Beispiel aus der Praxis: Ein Analyst zieht Kundendaten für eine Churn-Analyse. Der Zweck ist Vertragsoptimierung, die Rechtsgrundlage Artikel 6 Absatz 1 Buchstabe f DSGVO. Die Daten werden nach 90 Tagen gelöscht. Das ist prüfbar.
Rechtsgrundlagen: DSGVO, BDSG und die relevanten Paragraphen
Die DSGVO bildet den Rahmen, das BDSG füllt Lücken für Deutschland. Das BDSG regelt unter anderem Beschäftigtendatenschutz, Videoüberwachung und die Aufgaben der Aufsichtsbehörden. Wer personenbezogene Daten verarbeitet, findet die nationale Grundlage im BDSG als nationale Grundlage.
Die zentralen Paragraphen im Überblick:
| Norm | Inhalt | Bedeutung für die Analyse |
|---|---|---|
| Artikel 5 DSGVO | Grundsätze | Zweckbindung, Richtigkeit, Speicherbegrenzung |
| Artikel 6 DSGVO | Rechtsgrundlage | Erlaubnistatbestand für die Verarbeitung |
| Artikel 9 DSGVO | Besondere Kategorien | Gesundheitsdaten, Herkunft, Religion |
| Artikel 15 bis 22 DSGVO | Betroffenenrechte | Auskunft, Berichtigung, Löschung |
| Artikel 35 DSGVO | Folgenabschätzung | Pflicht bei hohem Risiko |
| Paragraf 26 BDSG | Beschäftigtendaten | Analyse von Mitarbeiterdaten |
| Paragraf 32 BDSG | Aufsichtsbehörden | Zuständigkeit und Befugnisse |
Für die Analysepraxis ist Artikel 5 der wichtigste Paragraf. Er verlangt Richtigkeit. Ein Bericht mit veralteten oder falschen Daten verstößt dagegen, auch wenn niemand ihn liest. Die Richtigkeit ist keine technische Kennzahl, sondern eine Rechtspflicht.
Artikel 9 greift schneller, als viele denken. Standortdaten können Gesundheitsdaten offenbaren, wenn sie den Weg zu einer Klinik zeigen. Kombinierte Datensätze erzeugen besondere Kategorien oft erst durch Verknüpfung.
Datenqualität prüfen ohne Verstoß: Datenschutz-Folgenabschätzung und Zweckbindung
Die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO ist der formale Rahmen für riskante Auswertungen. Sie ist Pflicht bei systematischer umfassender Bewertung, bei großen Mengen besonderer Kategorien und bei systematischer Überwachung.
Eine Folgenabschätzung beschreibt den Verarbeitungsvorgang, bewertet Risiken und nennt Abhilfemaßnahmen. Sie ist kein einmaliges Dokument. Ändert sich die Analyse, ändert sich die Bewertung.
Die Zweckbindung begrenzt, welche Daten überhaupt in die Prüfung dürfen. Wer Kundendaten für Marketing erhoben hat, darf sie nicht ohne Weiteres für Kreditrisiken nutzen. Jede Zweckänderung braucht eine neue Grundlage.
Für die Datenqualität ergeben sich daraus vier Prüffragen:
- Passt jedes Feld zum dokumentierten Zweck?
- Ist die Herkunft jedes Feldes nachvollziehbar?
- Sind Dubletten und Widersprüche bereinigt?
- Sind Löschfristen je Feld definiert und technisch umgesetzt?
Die DIN 66398 beschreibt ein Verfahren zur Löschkonzeption. Sie hilft, Fristen systematisch aus Rechtsgrundlagen abzuleiten. Das BSI wiederum liefert mit seinen IT-Grundschutz-Bausteinen die technische Seite für Protokollierung und Zugriffskontrolle.
Berichte erstellen mit personenbezogenen und anonymisierten Daten
Berichte erstellen heißt entscheiden, ob personenbezogene oder anonymisierte Daten hinein dürfen. Anonymisierung ist der sicherste Weg, aber kein Freifahrtschein. Sie muss irreversibel sein.
Pseudonymisierung reicht nicht. Pseudonymisierte Daten bleiben personenbezogen, weil eine Zuordnung möglich bleibt. Wer pseudonymisierte Daten in einem Bericht zeigt, braucht weiterhin eine Rechtsgrundlage.
Für aggregierte Berichte gilt eine Faustregel: Kleine Gruppen sind riskant. Eine Auswertung mit drei Beschäftigten in einer Abteilung erlaubt Rückschlüsse auf Einzelpersonen. Gruppengrößen unter fünf Fällen sollten gesperrt oder zusammengefasst werden.
Der Ablauf für einen konformen Bericht:
- Zweck und Empfängerkreis schriftlich festlegen.
- Datenherkunft und Rechtsgrundlage je Feld dokumentieren.
- Direkte Identifikatoren entfernen oder gruppieren.
- Gruppengrößen und Merkmalskombinationen prüfen.
- Freigabe durch den Datenschutzbeauftragten einholen.
- Bericht mit Löschfrist und Zugriffsliste ablegen.
Für die Dokumentation dieser Schritte gelten die GoBD als Orientierung, wenn der Bericht in die Buchführung einfließt. Dann muss er unveränderbar archiviert und auffindbar sein. Die Anforderungen an Nachvollziehbarkeit und Vollständigkeit sind dort geregelt.
Die Aufsichtsbehörden: BfDI, BayLDA, LDI NRW und Hessen
In Deutschland gibt es eine Aufsicht pro Bundesland plus den Bund. Der BfDI als Datenschutzaufsicht ist für Bundesbehörden, Telekommunikation und Post zuständig. Er berät auch Bürgerinnen und Bürger.
Für Unternehmen ist der BfDI meist nicht die erste Adresse. Zuständig ist die Landesaufsicht am Sitz des Unternehmens. In Bayern ist das BayLDA für bayerische Unternehmen mit Sitz in Ansbach zuständig. Es berät Unternehmen und prüft Beschwerden.
In Nordrhein-Westfalen ist die LDI NRW zuständig. Sie stellt in ihrer Infothek zum Datenschutzrecht Definitionen und Pflichten bereit. Das ist nützlich, wenn Berichte begründet werden müssen.
In Hessen übernimmt der Hessische Beauftragte für Datenschutz und Informationsfreiheit die Aufsicht. Weitere Landesbehörden bestehen in Baden-Württemberg, Berlin, Hamburg, Sachsen und Niedersachsen. Die Zuständigkeit folgt dem Sitz des Verantwortlichen, nicht dem Wohnort der Betroffenen.
Die Aufsichtsbehörden arbeiten in einem Ausschuss zusammen und stimmen Leitlinien ab. Für Unternehmen heißt das: Eine Entscheidung aus Bayern kann später auch in NRW gelten.
Betroffenenrechte als Prüfmaßstab für Datenqualität
Betroffenenrechte sind der härteste Test für Datenqualität. Wer Auskunft nach Artikel 15 DSGVO erteilt, muss alle gespeicherten Daten finden, richtig wiedergeben und verständlich erklären.
Der BfDI beschreibt die Betroffenenrechte der DSGVO im Detail: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Jedes Recht stellt eine Anforderung an die Datenhaltung.
Die Auskunft verlangt Vollständigkeit. Ein Data Warehouse, das nur transformierte Daten hält, muss dennoch auf die Originaldaten verweisen können. Die Berichtigung verlangt Durchgriff. Ein falscher Wert im Quellsystem muss bis in alle Berichte korrigiert werden.
Die Löschung verlangt Technik. Wer Löschfristen nur dokumentiert, aber nicht automatisiert, kann sie nicht einhalten. Die Einschränkung verlangt Markierungen, die jede Auswertung respektiert.
Praktisch bedeutet das: Prüfe vor jedem Bericht, ob eine betroffene Person mit einer Anfrage den gesamten Weg vom Rohdatum bis zur Kennzahl nachvollziehen könnte. Wenn nicht, ist die Datenqualität nicht ausreichend.
Prüfschema und Checkliste für die Praxis
Das folgende Prüfschema lässt sich auf jede Auswertung anwenden. Es verbindet Rechtsgrundlage, Datenqualität und Bericht in einem Ablauf.
Schritt 1: Zweck und Rechtsgrundlage festlegen. Notiere in einem Satz, wofür die Auswertung dient und auf welcher Norm sie beruht.
Schritt 2: Datenfelder inventarisieren. Liste jedes Feld mit Herkunft, Kategorie und Sensibilität auf. Markiere besondere Kategorien nach Artikel 9 DSGVO.
Schritt 3: Folgenabschätzung prüfen. Entscheide, ob Artikel 35 DSGVO greift. Wenn ja, dokumentiere Risiken und Maßnahmen.
Schritt 4: Qualität messen. Prüfe Vollständigkeit, Eindeutigkeit, Aktualität und Konsistenz je Feld. Halte die Ergebnisse schriftlich fest.
Schritt 5: Anonymisierung oder Gruppierung umsetzen. Entferne Identifikatoren und sperre kleine Gruppen.
Schritt 6: Betroffenenrechte testen. Simuliere Auskunft, Berichtigung und Löschung für einen Testfall.
Schritt 7: Freigabe und Archivierung. Lass den Bericht freigeben und lege ihn mit Löschfrist ab.
Checkliste für den Arbeitsalltag:
- Zweck und Rechtsgrundlage schriftlich fixiert
- Datenfelder mit Herkunft dokumentiert
- Folgenabschätzung geprüft oder begründet verneint
- Qualitätskennzahlen je Feld erhoben
- Direkte Identifikatoren entfernt
- Gruppengrößen unter fünf Fällen gesperrt
- Betroffenenrechte an einem Testfall geprüft
- Löschfrist im System hinterlegt
- Freigabe durch den Datenschutzbeauftragten dokumentiert
- Zugriffsliste und Empfängerkreis archiviert
Wer dieses Schema einmal durchläuft, kann es auf weitere Berichte übertragen. Der Aufwand sinkt mit jeder Wiederholung, weil Vorlagen entstehen.
Typische Verstöße und ihre Folgen
Der häufigste Verstoß ist die fehlende Rechtsgrundlage. Daten werden ausgewertet, weil sie vorhanden sind, nicht weil sie gebraucht werden. Das verletzt Artikel 6 DSGVO.
Der zweite häufige Verstoß ist die unvollständige Löschung. Fristen stehen im Konzept, aber nicht in der Pipeline. Das verletzt Artikel 5 Absatz 1 Buchstabe e DSGVO.
Der dritte Verstoß betrifft die Auskunft. Ein Unternehmen kann nicht alle Daten zu einer Person finden, weil Berichte und Rohdaten getrennt liegen. Das verletzt Artikel 15 DSGVO und trifft die Datenqualität direkt.
Die Folgen regeln die Aufsichtsbehörden. Sie können Bußgelder verhängen, Verarbeitungen untersagen und Maßnahmen anordnen. Die Höhe richtet sich nach Art und Dauer des Verstoßes sowie nach der Zahl der Betroffenen.
Neben Bußgeldern entstehen Kosten durch Nacharbeit. Berichte müssen neu erstellt, Verträge neu bewertet und Prozesse umgebaut werden. Der Reputationsverlust bei Kunden und Bewerbern kommt hinzu.
Ein weiterer Verstoß ist die unzulässige Zweckänderung. Daten, die für Vertragsabwicklung erhoben wurden, landen in einem Scoring. Ohne neue Grundlage ist das unzulässig, auch wenn die Datenqualität stimmt.
Häufige Fragen
Welche Paragraphen sind für die Datenanalyse am wichtigsten? Artikel 5, 6, 9, 15 bis 22 und 35 DSGVO sowie Paragraf 26 BDSG. Sie regeln Grundsätze, Rechtsgrundlagen, besondere Kategorien, Betroffenenrechte und die Folgenabschätzung.
Wann ist eine Datenschutz-Folgenabschätzung Pflicht? Wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen hat. Das gilt bei systematischer Bewertung, großen Mengen besonderer Kategorien und systematischer Überwachung.
Reicht Pseudonymisierung für Berichte? Nein. Pseudonymisierte Daten bleiben personenbezogen, solange eine Zuordnung möglich ist. Erst eine irreversible Anonymisierung nimmt sie aus dem Anwendungsbereich der DSGVO.
Welche Aufsichtsbehörde ist für mein Unternehmen zuständig? Die Landesaufsicht am Sitz des Verantwortlichen, etwa das BayLDA in Bayern oder die LDI NRW in Nordrhein-Westfalen. Der BfDI ist für Bundesbehörden, Telekommunikation und Post zuständig.
Wie prüfe ich Datenqualität gegen Betroffenenrechte? Simuliere Auskunft, Berichtigung und Löschung an einem Testfall. Wenn der Weg vom Rohdatum bis zum Bericht nachvollziehbar ist, ist die Datenqualität ausreichend.
Was kostet ein Verstoß? Die Aufsichtsbehörden können Bußgelder verhängen und Verarbeitungen untersagen. Hinzu kommen Kosten für Nacharbeit, Vertragsprüfungen und Prozessumbau.