heise+ | Recht: DSGVO-Löschpflichten im Clinch mit Backups und Logfiles

Ein deutscher Kunde hat die Löschung aller personenbezogenen Daten eines Unternehmens gefordert, was zu einem rechtlichen Konflikt zwischen Datenschutzgesetzen und Anforderungen an die Informationssicherheit führte. Die Situation unterstreicht die Spannung zwischen der Datenschutz-Grundverordnung (DSGVO) und der Notwendigkeit sicherer Datenverwaltungspraktiken. Gemäß dem beschriebenen Fall schickte der Kunde am Dienstagmorgen eine E-Mail mit der Bitte um die Löschung seiner Daten. Während das Unternehmen den entsprechenden Eintrag schnell aus seinem Customer Relationship Management (CRM) -System gelöscht hatte, waren die Daten bereits über Nacht auf mehreren Bändern gesichert.

Inkrementelle Backups enthielten ebenfalls die Informationen, und die IP-Adresse des Kunden mit Zeitstempeln erschien wiederholt in den Serverprotokollen. Jetzt stellt sich die Frage: Müssen all diese Daten gelöscht werden, und wenn ja, wie? Das Kernproblem liegt im Widerspruch zwischen zwei rechtlichen Verpflichtungen. Auf der einen Seite steht das Recht auf Löschung gemäß Artikel 17 der DSGVO, das es Einzelpersonen erlaubt, die Löschung ihrer personenbezogenen Daten zu beantragen. Dies wird durch den Grundsatz der begrenzten Speicherung gemäß Artikel 5 unterstützt, der besagt, dass personenbezogene Daten nur so lange aufbewahrt werden sollten, wie dies für die Zwecke der Verarbeitung erforderlich ist.

Wenn dieser Zweck beendet wird, z. B. durch das Abmelden eines Newsletters, müssen die zu diesem Zweck gesammelten Daten gelöscht werden. Auf der anderen Seite steht die Anforderung an die Informationssicherheit. Unternehmen, die unter einem Informationssicherheitsmanagementsystem (ISMS) arbeiten, wie z. B. Unternehmen, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) oder ISO / IEC 27001 zertifiziert sind, müssen Backups führen und Protokolldateien sammeln. Die DSGVO selbst unterstützt diese Praktiken indirekt durch Artikel 32, der vorschreibt, dass Daten nach einem Vorfall wiederherstellbar sein müssen. Sicherheitsstandards verlangen jedoch Unveränderlichkeit und Manipulationssicherheit.

Ein Backup, aus dem einzelne Datensätze später entfernt werden können, ist nicht zuverlässig, und eine Protokolldatei verliert ihren Beweiswert, wenn die darin enthaltenen personenbezogenen Daten gelöscht werden können. Dieses Dilemma stellt eine Herausforderung für Organisationen dar, die Standardtechnologie verwenden. Es ist fast unmöglich, bestimmte personenbezogene Daten zu löschen, während sichergestellt wird, dass Backups und Protokolle intakt bleiben. Die Situation unterstreicht die Komplexität der Einhaltung von Datenschutz- und Informationssicherheitsvorschriften gleichzeitig.

Die Aufrechterhaltung der betrieblichen Integrität erfordert jedoch die Aufbewahrung von Kopien von Daten für Wiederherstellungszwecke. Dies schafft einen Konflikt, der mit aktuellen Tools und Prozessen schwer zu lösen ist. Rechtsexperten haben festgestellt, dass es keine klaren Leitlinien für den Umgang mit solchen Szenarien gibt. Der Europäische Datenschutzrat (EDPB) hat Leitlinien herausgegeben, die sich jedoch mehr auf allgemeine Grundsätze als auf spezifische technische Lösungen konzentrieren. Infolgedessen befinden sich Unternehmen oft in einer Grauzone und müssen die Einhaltung mit praktischen Einschränkungen in Einklang bringen. Als Reaktion auf solche Fälle haben einige Unternehmen begonnen, alternative Ansätze zu erforschen.

Einige Unternehmen arbeiten mit Rechtsberatern zusammen, um Richtlinien zu entwickeln, die klarstellen, wie diese Konflikte zu bewältigen sind. Diese Maßnahmen entwickeln sich jedoch immer noch weiter, und es gibt noch keine allgemein akzeptierte Lösung. Während die Debatte weitergeht, werden die wichtigsten Interessengruppen, einschließlich Regulierungsbehörden, Juristen und IT-Manager, wahrscheinlich eine verstärkte Kontrolle erfahren. Das Ergebnis dieses speziellen Falles könnte zukünftige Interpretationen der DSGVO beeinflussen und die besten Praktiken für das Datenmanagement gestalten.

Bis dahin bleibt die Herausforderung bestehen: Wie können die Rechte der Einzelpersonen geachtet und gleichzeitig die Zuverlässigkeit kritischer Systeme gewahrt werden?