Bei der Verarbeitung personenbezogener Daten gemäß Art. 4 Nr. 2 Datenschutz-Grundverordnung (DS-GVO) müssen Verantwortliche im Sinne des Art. 4 Nr. 7 DS-GVO die Grundsätze des Datenschutzes nach Art. 5 DS-GVO einhalten und dies nachweisen. Zu diesen Grundsätzen zählt unter anderem die Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DS-GVO. Darüber hinaus haben von der Verarbeitung ihrer Daten betroffene Personen gemäß Art. 17 Abs. 1 DS-GVO gegenüber Verantwortlichen das Recht auf unverzügliche Löschung ihrer Daten, wenn mindestens eine der dort genannten Voraussetzungen erfüllt ist. Näheres hierzu findet sich im Kurzpapier 11: Recht auf Löschung / „Recht auf Vergessenwerden“Öffnet sich in einem neuen Fenster der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK).
In der Informationstechnik wird unter „Löschen“ allgemein das Entfernen von Daten verstanden. Die konkrete Umsetzung ist vom jeweiligen Kontext abhängig. So werden Daten aus Datenbanken auf andere Weise gelöscht als aus Dateisystemen. Hier können Löschverfahren bei Bedarf aufeinander aufbauen.
In gängigen Betriebssystemen werden bei Löschvorgängen im Dateisystem teilweise lediglich Verweise im Inhaltsverzeichnis entfernt und so Bereiche zum Überschreiben freigegeben. Tatsächlich überschrieben werden die zu löschenden Daten dabei jedoch nicht. Auch bei der Formatierung eines Speichermediums können Daten zurückbleiben, etwa bei einer sogenannten „Schnellformatierung“. Im Ergebnis sind die Daten in diesen und in weiteren Fällen weiterhin vorhanden: Sie sind mit Hilfsmitteln wiederherstellbar und wurden somit nicht wirksam gelöscht. Nähere Informationen zur Löschung von Daten und zu weiterführenden Problemstellungen bietet der Beitrag „Normales Löschen bringt nichts“Öffnet sich in einem neuen Fenster auf der Website des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Aus datenschutzrechtlicher Perspektive handelt es sich bei der Löschung von personenbezogenen Daten um eine Verarbeitung gemäß Art. 4 Nr. 2 DS-GVO. Daher müssen Verantwortliche bei der Löschung die oben genannten Grundsätze des Datenschutzes nach Art. 5 DS-GVO im Sinne des Datenschutzes durch Technikgestaltung gemäß Art. 25 DS-GVO mittels geeigneter technischer und organisatorischer Maßnahmen (TOMs) umsetzen. Zur Gewährleistung der Sicherheit der Verarbeitung müssen Verantwortliche und deren etwaige Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DS-GVO darüber hinaus gemäß Art. 32 Abs. 1 DS-GVO weitere geeignete TOMs ergreifen.
Bei der Festlegung der TOMs sind folgende Aspekte zu berücksichtigen:
- Stand der Technik
- Implementierungskosten
- Art, Umfang, Umstände und Zwecke der Verarbeitung
- unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten der betroffenen Personen.
Entsprechend ist als Grundlage für die Festlegung eine Risikobetrachtung durchzuführen. Hierbei können Verantwortliche und Auftragsverarbeiter sich am Kurzpapier Nr. 18: Risiko für die Rechte und Freiheiten natürlicher PersonenÖffnet sich in einem neuen Fenster der DSK orientieren.
Als Werkzeug zur Ermittlung und Festlegung der erforderlichen TOMs auf Basis eines risikobasierten Ansatzes empfehlen die DSK, der IT-Planungsrat und das BSI das Standard-Datenschutzmodell (SDM) der DSK. Zum Thema „Löschen und Vernichten“ hat die DSK mit dem Baustein 60 „Löschen und Vernichten“Öffnet sich in einem neuen Fenster eine spezifische Hilfestellung veröffentlicht. Diese unterstützt bei der Auswahl konkreter Löschmaßnahmen unter Einbeziehung des Löschgrundes. So können etwa strengere Maßstäbe anzulegen sein, wenn ein Datenträger die Organisation verlässt, als wenn nach einem Verarbeitungsschritt temporäre Daten gelöscht werden müssen.
Aus Sicht der IT-Sicherheit sollten ebenfalls sichere Prozesse und Verfahrensweisen für das Löschen von Daten und das Vernichten von Datenträgern umgesetzt und etabliert werden. Nähere Informationen hierzu bietet der IT-Grundschutz-Baustein CON.6 „Löschen und Vernichten“Öffnet sich in einem neuen Fenster des BSI.
Bei der Auswahl und der Umsetzung von Löschverfahren und -werkzeugen sowie der zugehörigen Prozesse sind somit sowohl Anforderungen der IT-Sicherheit als auch des Datenschutzes umzusetzen. Diese müssen in Einklang gebracht und die resultierenden Maßnahmen entsprechend aufeinander abgestimmt werden. Dabei sollten Informationssicherheitsmanagement und Datenschutzmanagement Hand in Hand arbeiten.
Stand: 17.05.2024