„Gibt es aus Sicht des Datenschutzes eine Pflicht zur Löschung von Unterlagen?“ Ja, eine solche Pflicht gibt es! Allerdings stehen dieser Pflicht teilweise gesetzliche Aufbewahrungsfristen entgegen.
Nachfolgend fassen wir Ihnen kurz zusammen, welche Überlegungen nun zu treffen sind und wie Sie aus Sicht des Datenschutzes vorgehen sollten.
Aus datenschutzrechtlichem Blickwinkel stellt sich nicht die Frage, wie lange ich Dokumente aufbewahren muss, sondern wie lange ich Dokumente aufbewahren darf. Personenbezogene Daten können nach Art. 5 Abs. 1 lit. b DSGVO nur für festgelegte, eindeutige und rechtmäßige Zwecke verarbeitet und daher gespeichert und/oder aufbewahrt werden. Wenn der Zweck nicht mehr besteht, dürfen solche Daten auch nicht mehr verarbeitet werden. Dies führt zu einer Löschpflicht.
Gesetzliche Aufbewahrungsfristen haben jedoch Vorrang gegenüber der Pflicht, Daten zu löschen, und ergeben sich beispielsweise aus der Abgabenordnung (AO), dem Handelsgesetzbuch (HGB) sowie anderen Gesetzen und Verordnungen. So sind auch die Anforderungen des § 76 Bundesdatenschutzgesetz für automatisierte Verarbeitungssysteme zu beachten.
Die Art und Weise, wie die betreffenden Daten gelöscht werden müssen, ergibt sich aus den jeweiligen Anforderungen an deren Schutz: Je sensibler/vertraulicher die Daten, desto besser muss eine weitere (unbefugte) Nutzung unmöglich gemacht werden! Das gilt übrigens unabhängig davon, ob die Daten in digitaler/elektronischer oder analoger Form (z. B: in Papierakten, Karteikarten) vorliegen. Sofern Daten physisch zugänglich sind, muss sich die Zerkleinerungsstufe an der DIN 66399 orientieren. Bei digitalen Daten ist besonders darauf zu achten, dass diese irreversibel gelöscht werden.
Außerdem wichtig: Wenn Dritte die Daten vernichten, handelt es sich um eine Auftragsverarbeitung. Nach Art. 28 DSGVO muss darüber ein Vertrag zur Auftragsverarbeitung mit dem Dienstleister (Auftragsverarbeiter) geschlossen werden.
Gerne beraten wir Sie bei der Umsetzung Ihres Löschkonzeptes.
Sprechen Sie uns an!