Löschen und Sperren von Daten mit Konzept

daten 11
Fachbeitrag

Das Löschen bzw. Sperren von Daten ist insbesondere dann kompliziert, wenn ein Unternehmen einen sehr großen Datenbestand hat. Wenn erst nach Jahren des Bestehens eines Unternehmens Löschroutinen implementiert werden sollen, ist die Entwicklung eines Löschkonzepts eine sehr große Herausforderung, die nicht nur den Datenschutzbeauftragten involviert.

Warum überhaupt löschen?

Im Datenschutz gilt der Grundsatz, dass man Daten nicht unbegrenzt speichern darf. Die datenschutzrechtliche Regelung zur Löschung von Daten ist in § 35 Abs. 2 BDSG zu finden.

„(2) Personenbezogene Daten können außer in den Fällen des Absatzes 3 Nr. 1 und 2 jederzeit gelöscht werden. Personenbezogene Daten sind zu löschen, wenn ihre Speicherung unzulässig ist,

  1. es sich um Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, strafbare Handlungen oder Ordnungswidrigkeiten handelt und ihre Richtigkeit von der verantwortlichen Stelle nicht bewiesen werden kann,
  2. sie für eigene Zwecke verarbeitet werden, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist, oder
  3. sie geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden und eine Prüfung jeweils am Ende des vierten, soweit es sich um Daten über erledigte Sachverhalte handelt und der Betroffene der Löschung nicht widerspricht, am Ende des dritten Kalenderjahres beginnend mit dem Kalenderjahr, das der erstmaligen Speicherung folgt, ergibt, dass eine längerwährende Speicherung nicht erforderlich ist.“

Zwar gilt die datenschutzrechtliche Löschungspflicht grundsätzlich nur für Daten, die in Datenverarbeitungsanlagen oder in nicht-automatisierten Dateien verarbeitet oder genutzt werden. Jedoch ist § 32 Abs. 2 BDSG zu beachten, nach dem auch personenbezogene Daten in Papierform davon betroffen sind. Im Personalbereich, wo es häufig noch Aufzeichnungen in Papierform gibt, gilt daher dieselbe Löschpflicht, die für elektronisch erfasste Daten nach § 35 BDSG gilt.

Löschen auf Gedeih und Verderb?

Heißt das jetzt, ich muss alle Daten unverzüglich löschen egal ob ich Sie noch benötige oder nicht? Nein.

Die gesetzliche Löschpflicht wird ausgesetzt, wenn Daten aufgrund von Aufbewahrungsfristen vorgehalten werden müssen. Hierunter fallen beispielsweise Jahresabschlüsse und Bilanzen (10 Jahre), ärztliche Dokumentation (10 Jahre, teilweise bis zu 30 Jahre) und Rechnungen (2 Jahre). Darüber hinaus gibt es zahlreiche weitere Tatbestände, die einer Löschung entgegenstehen.

Sofern das Gesetz eine Aufbewahrungsfrist vorsieht, tritt anstelle der Löschung eine Sperrung gem. § 35 Abs. 3 BDSG.

„(3) An die Stelle einer Löschung tritt eine Sperrung, soweit

  1. im Fall des Absatzes 2 Satz 2 Nr. 3 einer Löschung gesetzliche, satzungsmäßige oder vertragliche Aufbewahrungsfristen entgegenstehen,
  2. Grund zu der Annahme besteht, dass durch eine Löschung schutzwürdige Interessen des Betroffenen beeinträchtigt würden, oder
  3. eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist.“

Sperren ist das Kennzeichnen gespeicherter personenbezogener Daten, um ihre weitere Verarbeitung oder Nutzung einzuschränken; beispielsweise die Kennzeichnung als „inaktiv“.

Praktische Umsetzung

Die Empfehlung, ein Löschkonzept zu erstellen, hört sich für viele so an, als müsste ein umfangreiches Dokument erstellt werden. Praxisgerechter ist es, von der Implementierung von Löschroutinen zu sprechen, die dann Eingang in die internen Prozesse und internen Verfahrensverzeichnisse finden sollten.

Die häufig zu hörende Annahme, es sei alleinige Aufgabe des Datenschutzbeauftragten, entsprechende Löschroutinen zu implementieren, ist nicht korrekt. Der Datenschutzbeauftragte kann lediglich unterstützen – das Unternehmen muss als verantwortliche Stelle und damit Herrin der Daten den Großteil selbst leisten. Schließlich weiß das Unternehmen bzw. wissen die jeweiligen Abteilungen am besten, welche Daten vorhanden sind und wo sowie wie lange diese faktisch gespeichert werden.

Konkret empfiehlt sich in einem ersten Schritt folgendes Vorgehen:

  1. Identifizierung der Datenarten (z.B. Personaldaten, Buchhaltungsdaten, Rechnungsdaten)
  2. Aussortieren definitiv nicht mehr benötigter Daten (z.B. ausgeschiedener Mitarbeiter)
  3. Prüfung bestehender Aufbewahrungsfristen

Sobald das Unternehmen den bestehenden Datenbestand genauer identifiziert hat, ist neben dem Datenschutzbeauftragten der Steuerberater und der Wirtschaftsprüfer des Unternehmens hinzuzuziehen. Darüber hinaus ist in Bezug auf die Umsetzung die Zusammenarbeit mit der IT-Abteilung gefragt. Es sollte auch die die Protokollierung der gelöschten Daten beispielsweise mittels timestamp nicht vergessen werden.

Löschroutinen – ein erfolgloses Unterfangen?

Es wird deutlich, dass die Etablierung von Löschroutinen in einem Unternehmen – gerade, wenn Löschverpflichtungen längere Zeit vernachlässigt wurden – erst einmal mit einem gewissen (insbesondere zeitlichen) Aufwand verbunden ist. Sobald man allerdings erst einmal die Datenarten identifiziert hat und Löschroutinen (ggf. technisch) etabliert sind, ist der tägliche Umgang recht einfach.

Sie haben Fragen?

Die Bestellung eines externen Datenschutzbeauftragten bietet Ihrem Unternehmen zahlreiche Vorteile. Bei der Zusammenarbeit mit unseren Beratern können Sie folgendes erwarten:

  • Praxisnahe und wirtschaftsorientierte Datenschutzorganisation für Ihr Unternehmen
  • Hochqualifizierte Berater mit interdisziplinären Kompetenzen in Recht und IT
  • Klar kalkulierbare Kosten und hohe Flexibilität

Informieren Sie sich hier über unser Leistungsspektrum: Externer Datenschutzbeauftragter

6 Kommentare zu diesem Beitrag

  1. @ Dr. Datenschutz

    Müssen Rechnungen tatsächlich nur 2 Jahre aufbewahrt werden? Ich ging bislang davon aus, dass alle finanzbezogenen Daten und Unterlagen (überall wo Geld fließt) 10 Jahre aufzubewahren sind.

    Beispiel: Kontoauszüge oder Rechnungen von Bestellungen im Versandhandel. Hier speichern die Banken und Händler soweit ich weiß 10 Jahre.

    • Eine pauschale Antwort kann ich Ihnen leider nicht so einfach geben. Bei den Angaben im Beitrag handelt es sich lediglich um Beispiele.

      Bei Rechnungen gibt es beispielsweise Unterschiede in der Aufbewahrungsfrist: In den Fällen des § 14 Abs. 2 Satz 1 Nr. 1 hat der Leistungsempfänger die Rechnung, einen Zahlungsbeleg oder eine andere beweiskräftige Unterlage zwei Jahre gemäß den Sätzen 2 und 3 aufzubewahren, soweit er (1.) nicht Unternehmer ist oder (2.) Unternehmer ist, aber die Leistung für seinen nichtunternehmerischen Bereich verwendet. Sofern es sich um einen Unternehmer handelt ist die Frist 10 Jahre. Genauere Details hinsichtlich der Buchhaltung/Steuerfragen kann Ihnen Ihr Steuerberater sicherlich geben.

  2. Muss man bei Sicherungsdatenträger was beachten? Auf einem Datenträger befinden sich unterschiedliche Daten mit unterschiedlichen Aufbewahrungsfristen.
    Wenn ich heute eine Datei lösche, könnte Sie ja immer noch von einer älteren Datensicherung wiederhergestellt werden. Also ist sie faktisch nicht vollständig entfernt!

    • Grundsätzlich kommt es auf die Art der Sicherung an die bei Ihnen stattfindet. Bei einer inkrementellen und differenziellen Datensicherung müssen alle Teilsicherungen gelöscht werden. Bei einer Vollsicherung wird es wahrscheinlich keine weiteren Teilsicherungen geben, so dass es ausreichen sollte wenn nur die Vollsicherung gelöscht wird. Fazit: alle Teile müssen gelöscht werden. Die Daten sollten dann so gelöscht werden, dass eine Wiederherstellung nicht mehr möglich ist.

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.