Daten löschen – ein nicht immer angenehmes Thema

Ein Teil des Datenschutzes ist die Datenvermeidung und -sparsamkeit von personenbezogenen Daten.

Was bedeutet das für Sie als Unternehmer*in? Sie müssen für Ihre Geschäftsprozesse regeln, wie viele Daten dafür unbedingt notwendig sind und wann diese wieder gelöscht werden können bzw. dürfen.

Die gesetzlichen Aufbewahrungsfristen schränken in diesem Zusammenhang das Recht auf die Löschung personenbezogener Daten ein. Die Aufbewahrungsfristen können dabei erheblich voneinander abweichen. Reisekostenabrechnungen 10 Jahre, Versicherungspolicen 6 Jahre, Protokolle 1 Jahr, Lohnkonten 7 Jahre, Altersvorsorge 30 Jahre, Datenschutzanfragen 4 Jahre, Datenschutzschulungsnachweise 3 Jahre, Arbeitsunfallmeldungen 5 Jahre oder Abmahnungen 3 Jahre. Quelle: https://caralegal.eu/blog/aufbewahrungsfristen-dsgvo-datenschutz/

Willkommen im Aufbewahrungsfristen-Jungle.

Dem technischen Löschvorgang geht demnach auch immer ein organisatorischer Akt der Qualifizierung der Daten voraus.

Die technische Umsetzung der Einhaltung von Löschfristen stellt sich in der Praxis oft schwieriger dar, als es zunächst erscheint. Wenn Sie mit einer branchenspezifischen Software arbeiten, sollte diese in der Lage sein Datenlöschungen für Sie durchführen zu können. Technisch bedingte Notwendigkeiten für die Unlöschbarkeit von Daten kann dabei aber schnell zu einem Streitfall werden. Eine moderne Software sollte die Löschung von personenbezogenen Daten oder zumindest eine Anonymisierung immer unterstützen.

Arbeiten Sie zusätzlich oder auch ausschließlich mit einer beliebigen Office-Software wie zum Beispiel Microsoft Office und besitzen Sie kein Dokumentenmanagementsystem, spricht man von unstrukturierten Daten. Die Löschfristen können in dem Fall auf Basis der Erstellung bzw. des letzten Änderungsstands umgesetzt werden. Aber der Teufel steckt im Detail. Wie geht man mit gemischten Informationen um? In Excel gibt es eine Liste mit personenbezogenen Daten, die neueren Daten müssen aufbewahrt werden, die älteren müssten gelöscht werden. Meist haben die Datensätze aber kein datumsbasierendes Ordnungskriterium. Hier muss im Zweifelsfall gesichtet und im manuell entschieden werden.

Bei nicht „cloud-basierenden“ und nicht „serverbasierenden“ Datenspeicherungen kann man zum Auffinden der betroffenen Dateien Hilfsprogramme wie Everything (https://www.voidtools.com/) oder UltraSearch (https://www.jam-software.de/ultrasearch) für Windows (für Linux und Mac benötigt man andere Tools) einsetzen. Der Suchvorgang, das Sichten und das Löschen sind in dem Fall manuell vorzunehmen.

Für „cloud-basierenden“ Lösungen wie Microsoft 365 benötigt man in der Regel die Softwareunterstützung der Anbieter. Dort stehen Administrationstools für diese Aufgabenstellung zur Verfügung (bei MS 365 sind die Speicherorte zum Beispiel OneDrive, Teams oder auch SharePoint). In den meisten Fällen wird dies ein*e Unternehmer*in über einen Dienstleister erledigen lassen.

Sollten Sie einen physischen Server entweder in Ihren eigenen Räumlichkeiten oder in einer Serverfarm (housing, homeing) zur Datenspeicherung einsetzen, benötigt man die Unterstützung des Server-Softwareanbieters wie z.B. Windows Server 2022. Dies gilt auch für sogenannte virtuelle Server, die bei Unternehmen angemietet werden können.  In den meisten Fällen wird dies ein*e Unternehmer*in über einen Dienstleister erledigen lassen.

Aber auch die E-Mails müssen bedacht werden. Dort muss die Löschung sowohl im Mail-Server als auch unter Umständen im Mail-Client (z.B. Outlook) organisiert werden.

E-Mail-Programme wie Outlook gibt es viele und bei der gleichzeitigen Vielzahl von Geräten (Computer, Laptop, Tablet, Smartphone) ist es nicht gerade trivial verteilte Datenbestände im Griff zu behalten.

Die Verwaltung der E-Mails in den Programmen auf den Endgeräten kann sich dabei auch grundlegend unterscheiden. Werden die E-Mails als lokale Kopie verwaltet oder wird nur ein Abbild eines Mail-Servers dargestellt? Meist sind die Unternehmer*innen an der Stelle auch überfordert und benötigen einen Dienstleister als Unterstützung.

Wird als Beispiel Microsoft 365 Business Premium eingesetzt, werden die E-Mails über den Exchange-Server von Microsoft verwaltet. Jedes Endgerät greift darauf zu. Die Datenlöschung muss demnach nur an einer Stelle organisiert werden.

Setzt man zum Beispiel Office 2024 als Kaufversion ein, können die Mails in Outlook sowohl als Kopie (pop3) als auch mit Verweis zum Server (imap) eingerichtet werden. Im Fall von Mail-Kopien muss die Löschung auf jedem Endgerät einzeln organisiert werden.

Fazit

Was sich zunächst trivial anhört, ist in der Praxis leider ohne umfangreiche Kenntnisse bezüglich der Aufbewahrungsfristen oder der IT-Organisation nicht umsetzbar. Als verantwortlicher*e Unternehmer*in benötigen Sie zur Lösung dieser Aufgabe entweder entsprechende Fachkenntnisse oder sie beauftragen eine Fachfirma damit. Wir bei dacuro GmbH unterstützen Sie gerne mit unseren Fachmitarbeitern bei der Umsetzung entsprechender Konzepte für Ihr Unternehmen.