Sicheres Löschen von Daten unter Einhaltung der Aufbewahrungspflichten
(veröffentlicht am 30.09.2010 in der Ausgabe 07/2010 vom "Storage-Magazin.de" auf Speicherguide.de)
Firmen speichern mehr Daten als nötig – auch aus Angst, gegen Aufbewahrungspflichten zu verstoßen. Gleichwohl gibt es z.B. aus dem Datenschutz aber auch Löschpflichten. Hier den Spagat zu finden zwischen Reduktion der Speicherkosten, Gesetzeskonformität und Beibehaltung (elektronischer) Beweisführung ist nicht einfach, aber machbar.
Unstrukturiertes Datenwachstum im Unternehmen
Die Erfahrung bei den Mandanten zeigt, dass viele Unternehmen ihre Daten unstrukturiert ablegen und keine verbindlichen Regelungen zum Umgang damit besitzen. Es sind eben über die Jahre "gewachsene Strukturen". Es wachsen aber auch die Speichermengen, respektive die Kosten dafür. Das Backup wird größer und benötigt mehr Zeit und Medien. Neuesten Studien zufolge versechsfachen sich die Datenbestände binnen drei Jahren. Der Informationsstand wird dadurch schnell unübersichtlich, was die Kosten in den Prozessen durch Recherchezeiten erhöhen.
Vorsicht bei unstrukturiertem Löschen
Auf der anderen Seite kann ein ebenso unstrukturiertes Löschen von Daten sehr schnell »nach hinten losgehen«. Einige für alle Unternehmensgrößen gültige Rechtsvorschriften verlangen eine Aufbewahrung für eine bestimmte Zeit (z.B. § 147 Abgabenordnung, AO) bzw. eine Löschung von Daten (z.B. §§ 28, 35 Bundesdatenschutzgesetz, BDSG). Ohne Kenntnisse im Bereich der IT-Compliance wird es also zunehmend schwieriger, sich innerhalb der gesetzlichen Regelungen zu bewegen.
Rechtlicher Hintergrund
Ist der Zweck der Erhebung, Verarbeitung und Nutzung personenbezogener Daten erfüllt, müssen sie gelöscht, gesperrt oder anonymisiert / pseudonymisiert werden. Auf der anderen Seite müssen steuerrelevante Daten zehn Jahre und länger aufbewahrt werden – auch mit personenbezogenen Daten darin (z.B. Reisekostenbelege).
In diesem Falle geht das Steuerrecht dem Datenschutzrecht vor bzw. letzteres erlaubt dies in § 28 BDSG: die Erhebung, Verarbeitung und Nutzung für eigene Rechtsgeschäfte – z.B. als Kundendaten - ist eindeutig erlaubt. Schwieriger wird es bei Auftragsdatenverarbeitung oder Adresshandel. Hier greifen härtere Regeln und es muss genauer hingeschaut werden.
Sonderfall Bewerbungen
Etwas anderes ist es bei (abgelehnten) Bewerbungen. Hier sieht der Gesetzgeber vor, dass die Bewerbungsmappen, die ja ohnehin Eigentum der Bewerber sind, nach der Ablehnung wieder in den Besitz derselben zurückgeführt werden müssen. Papierakten sollten demnach zurückgeschickt werden, mit E-Mails macht das weniger Sinn. Diese sind zu löschen.
Eine Karenzzeit bis zum Ablauf der 2-monatigen AGG-Einspruchsfrist wird allgemein toleriert. Auch das auf Bitten von Bewerber/innen weitere Aufbewahren, um bei Bedarf darauf zurückzugreifen, sollte 6 Monate nicht übersteigen.
Sinnvolles Löschen
Ein sinnvolles Löschen von Daten sollte demnach mit System geschehen: Soll es automatisiert ablaufen, helfen so genannte Policys im elektronischen Archiv. Besitzt das Unternehmen (noch) keines, tun es auch Richtlinien zur Speicherung und Löschung von Daten, mit deren Hilfe die Mitarbeiter diese Aufgabe selbst erledigen können. Bei kritischen Datenbeständen empfiehlt sich ein 4-Augenprinzip (z.B. mit dem Vorgesetzten, dem Datenschutzbeauftragten).
Offene Flanken und Gefahrenherde
Wichtigster Ausgangspunkt ist, die eigenen Informationsbestände zu kennen, diese zu klassifizieren und darauf aufbauend besagte Policys bzw. Richtlinien zu erlassen. Das erfordert zwar etwas Aufwand, schafft aber (ggf. mit externer Unterstützung) die notwendigen Speicherfreiräume, reduziert Kosten und Aufwand und sorgt für Rechtssicherheit in den täglichen Abläufen.