Löschen im Datenschutzrecht – Teil 2

Im Blogartikel Löschen im Datenschutzrecht – Teil 1 haben wir dich in die Thematik des Löschens im Datenschutzrecht eingeführt. In Teil 2 erläutern wir, was man unter den Begriffen Löschung, Vernichtung, Anonymisierung, Sperrung, Einschränkung und Verschlüsselung versteht.

Löschen von Daten

Die DSGVO definiert den Begriff des Löschens nicht näher. Im Standard-Datenschutzmodell (SDM) bedeutet Löschen das Unkenntlichmachen gespeicherter personenbezogener Daten. Nach einer Löschung dürfen keine Kopien oder Replikationen der Daten mehr in den Dateisystemen des Verantwortlichen oder möglicher Auftragsverarbeiter vorhanden sein. Sollten personenbezogene Daten durch Unkenntlichmachung gelöscht werden, müssen diese zwingend nicht mehr wiederherstellbar sein.

• Datenlöschung mittels Software

Du erreichst eine sichere Datenlöschung durch den Einsatz professioneller Softwarelösungen, welche die Datenträger mehrfach überschreiben. Professionelle Tools zur Datenlöschung bieten ausführliche Reporting-Funktionen, die Verifizierung der erfolgreichen Löschung sowie Nachweise über die erfolgten Löschvorgänge an. Zudem wählst oder definierst du bei Bedarf Parameter und Löschalgorithmen selbst. Auch datenschutzkonforme Anwendungen (z.B. Recruiting-Plattformen oder CRM-Lösungen) bieten oft integrierte Löschfunktionen an.

• Datenlöschung mittels Hardware

Die physikalische Zerstörung von Datenträgern stellt eine zuverlässige Methode zur endgültigen Datenlöschung dar. Eine gängige Methode ist das Schreddern. Ein Schredder zerkleinert unterschiedliche Materialien mechanisch, d.h. er zerstört den Datenträger durch Zerlegung in kleine Teile.

Auch die Entmagnetisierung mittels eines Degaussers ermöglicht eine nachhaltige Löschung. Ein Degausser ist ein elektrisches Gerät, das magnetische Datenträger durch Entmagnetisierung zuverlässig löscht. Dabei setzt das Gerät den Datenträger einem starken Magnetfeld aus. Durch die Entmagnetisierung verlieren die Datenträger ihre Informationen unwiederbringlich und werden zudem unbrauchbar. Anschließend kannst du die Medien umweltgerecht entsorgen. Alternativ löschst du Daten durch thermische Zerstörung des Datenträgers (Erhitzen von Magnetplatten).

Vernichtung

Im Gegensatz zur Löschung bezeichnet der Begriff „Vernichtung“ die physische Zerstörung analoger oder digitaler Datenträger. Die Vernichtung stellt eine unwiderrufliche Form des Löschens dar. Für eine datenschutzkonforme Umsetzung beachtest du bei der Wahl der Methode die DIN 66399.

Anonymisierung

Die Anonymisierung stellt eine weitere Form der Datenlöschung dar. Anonymisierte Daten sind nicht mehr personenbezogen, weshalb das Datenschutzrecht auf sie nicht mehr anwendbar ist. Aber Achtung: Einige Datenschutzvertreter*innen betrachten die Anonymisierung als Verarbeitung, die eine Rechtsgrundlage erfordert. Bei der Anonymisierung muss der Aufwand zur Wiederherstellung eines Personenbezugs unverhältnismäßig hoch sein bzw. die Wiederherstellbarkeit muss ausgeschlossen sein. Sie ist in der Regel ein anspruchsvoller Verarbeitungsvorgang. Allgemein gilt: Je einzigartiger die erfassten Informationen sind, desto mehr Veränderungen sind notwendig. Das bloße Herauslöschen von Namen aus einem Datensatz reicht in der praktischen Umsetzung meist nicht aus.

Sperrung

Das Sperren elektronisch gespeicherter Daten stellt keine Löschung dar. Du musst Daten jedoch immer dann sperren, wenn eine längere Datenspeicherung nach Wegfall von Zweck und Rechtsgrundlage erforderlich ist, um beispielsweise Aufbewahrungspflichten zu erfüllen. Durch die Sperrung schließt du eine weitere Datenverarbeitung aus. Ein Zugriff auf diese Daten bleibt nur erlaubt, um die zugrundeliegenden Zwecke (z.B. Aufbewahrung oder Verteidigung gegen Rechtsansprüche) zu erfüllen. Dokumentiere eine längere legitime Speicherdauer und den Schutz der Daten durch Sperrung sinnvollerweise im sogenannten Löschkonzept.

Einschränkung

§ 35 Abs. 1 BDSG definiert eine Ausnahmeregelung für „nicht automatisierte Datenverarbeitungen“. Ist eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich und ist das Interesse der betroffenen Person an der Löschung gering, entfällt die Löschpflicht des Verantwortlichen. An die Stelle der Löschung tritt dann die Einschränkung der Verarbeitung gemäß Art. 18 DSGVO. „Einschränkung“ bedeutet, dass die Daten für die Benutzenden nicht mehr verfügbar sein sollen. Es genügt nicht, die Daten nur mit einem Vermerk zu versehen. Vielmehr muss der Verantwortliche durch technische und organisatorische Maßnahmen eine weitere Verarbeitung effektiv unterbinden, z.B. durch Sperrung oder Übertragung auf ein anderes Dateisystem.

Verschlüsselung

Das Verschlüsseln von Daten kann eine Form der Löschung darstellen, sofern du das sichere Verschlüsselungsverfahren anwendest und anschließend den zur Entschlüsselung benötigten Schlüssel vernichtest.

Wann findet real keine Datenlöschung statt?

Keine Datenlöschung erfolgt:

• durch bloßes Austragen von Verweisen auf die weiterhin gespeicherten personenbezogenen Daten aus elektronischen Verzeichnissen.
• durch „Schnelles Formatieren“ von Festplatten, da dieses nur das Inhaltsverzeichnis (die Dateizuordnungstabelle) löscht; die personenbezogenen Daten selbst bleiben unverändert.
• durch ein Verbot der weiteren Verarbeitung personenbezogener Daten gegenüber Beschäftigten, Auftragsverarbeitern und Dritten.
• durch Nutzen der vom Betriebssystem angebotenen Löschbefehle (delete, etc.), da das System die Daten nur in den Papierkorb verschiebt. Die Daten verbleiben auf der Festplatte und das System kennzeichnet sie nur als „gelöscht“. Solange die freigegebenen Speicherbereiche nicht überschrieben werden, kann eine herkömmliche Datenrettungs-Software die Daten problemlos wiederherstellen.

Fazit

Es gibt, abhängig von der Art der Datenträger, unterschiedliche Möglichkeiten für eine sichere Datenlöschung. Wähle eine Methode, die dem Schutzbedarf deiner Daten entspricht. Für die datenschutzkonforme Vernichtung beachtest du die DIN 66399. Unternehmen greifen für die sichere Datenlöschung auf Softwarelösungen, Schredder oder Degausser zurück.

Alternativ lagerst du die Entsorgung von Daten (Löschung/Vernichtung) an einen externen Dienstleister aus, der die Entsorgung im Auftrag gemäß Art. 28 DSGVO übernimmt. Zur Erfüllung der Rechenschaftspflichten ist es zudem wichtig, dass jedes Unternehmen Datenlöschungen lückenlos dokumentiert. Belege Löschvorgänge am besten mit einem manipulationssicheren Report, Zertifikaten oder Löschprotokollen. Die DSGVO macht keine Vorgaben dazu, wie lange du Löschprotokolle aufbewahren musst. Aufgrund der aus § 31 OWiG ableitbaren dreijährigen Verjährungsfrist für Bußgelder wegen Verstößen gegen die DSGVO oder das BDSG empfehlen wir eine Aufbewahrungsfrist von drei Jahren.

Empfehlungen

• Zieh bei hochsensiblen Daten immer eine physikalische Zerstörung der Datenträger in Erwägung.
• Zerstöre defekte Datenträger grundsätzlich vor deren Entsorgung, damit keine Daten in die Hände unbefugter Dritter gelangen.
• Überschreibe mobile Datenträger (Festplatten, Laptops, Mobiltelefone, USB-Sticks etc.) bei einer Weiterverwendung im Unternehmen (z.B. Übergabe an andere Beschäftigte oder Rückgabe an Leasingfirmen) mit einem geeigneten Softwaretool komplett. Überschreibe sie mindestens dreimal, bei hochsensiblen Daten siebenmal.
• Verwende für die physische Weitergabe von Daten an Dritte möglichst neue Datenträger. Ist dies nicht möglich, überschreibe die alten Datenträger mehrfach und formatiere sie keinesfalls nur.

Siehe auch Teil 1 in diesem Blog.

Quellen/Links:
Datenschutzgrundverordnung (DSGVO): https://dsgvo-gesetz.de/
Bundesdatenschutzgesetz (BDSG): https://dsgvo-gesetz.de/bdsg/
Gesetz über Ordnungswidrigkeiten (OWiG): https://www.gesetze-im-internet.de/owig_1968/
Din-Normen: DIN 66398