You're balancing customer data for marketing and privacy rights. How can you find the right path?

Dem kann ich so nur zustimmen. Eine gesunde Datenethik im Unternehmen führt nicht nur zu mehr Vertrauen, viel mehr bewahrt sie auch vor Datenpannen und führt generell zu einer kreativeren und zielgerichteteren Verarbeiting personenbezogenener Daten, was am Ende sowohl dem Betroffenen als auch dem Unternehmen zugute kommt.

Gerade der Punkt das der Kunde merkt, man nimmt ihn ernst und hat eben nicht das Ziel ihn mit Fachtermini zu verwirren führt meiner Erfahrung nach eher dazu, das Vertrauen entsteht und Kunden eher bereit sind, ihre, dann informierte, Einwilligung zu erteilen.

Die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sollte nicht das Mittel der Wahl sein. Unabhängig davon, dass sie jederzeit und ohne Angabe von Gründen widerrufbar ist. Eine Einwilligung hat u.a. informiert, transparent zu erfolgen und die Informationspflichten (sog. Datenschutzhinweise) sollten zudem leicht verständlich sein - ein Zitieren (abschreiben) des Gesetzestextes und wiederholen der Art. und §§ ist nicht leicht verständlich. Die Einwilligung hat vor allem aber auch freiwillig zu erfolgen. Ständige Pop-ups, welche man dann mühsam wegklicken muss, haben nichts mit Freiwilligkeit zu tun.

Da es oft immer noch gang und gäbe ist, dass Unternehmen eher zu viele Daten sammeln und diese mangels geeigneter Zuordnung und Verwendung meist auf Datenfriedhöfe landen, sehe ich diesen Ansatz als besonders wichtig an. Zum einen hilft es einem Unternehmen wenig, so viel wie möglich Daten zu sammeln nach dem Motto "Viele Daten viele Profite", viel mehr sollte der Ansatz lauten, welche Daten benötige ich überhaupt für welche Zwecke. Hat man das verinnerlicht kann Datenminimierung nicht nur sinnvoll sein, sonder Produktivität und Kampagnenwirksamkeit enorm steigern.

Der Ansatz der Datenminimierung (Datensparksamkeit) beginnt bereits vor der Erhebung der Daten, d.h. es ist zu definieren, welche Daten werden (tatsächlich) benötigt, welche nicht - und diese sind dann zu löschen ("keine Datenfriedhöfe"). Die (erforderlich) Datenspeicherung für die Verarbeitung sollte dann auch regelmäßig hinterfragt werden.

Erwähnt werden sollte auch - der/die DSB ist frühzeitig einzubinden und ist Teil des Teams, - Dokumentation nicht nur aufgrund der Rechenschaftspflicht, sondern auch zwecks Nachvollziehbarkeit, - regelmäßige Prüfung von Dokumenten, nicht nur aus Datenschutzsicht, - Verantwortlichkeiten und Zuständigkeiten für (einzelne) Themen(abschnitte) definieren, - PDCA-Methode, - Datenschutz kann nicht isoliert betrachtet werden, es ist immer ein Teil von etwas, - Datenschutz ist ein Prozess, kein Produkt.