Speichern, archivieren, löschen – wohin mit all den Daten?
02.03.2021 | Die zunehmende zu bewältigende Datenflut der Mittelständigen- und Kleinunternehmen wächst täglich. Ebenso wie die rechtlichen Herausforderungen und Konsequenzen. Erfahren Sie, wie Sie den Überblick über Ihre Daten behalten, welche Maßnahmen Sie ergreifen können, um nicht abgemahnt zu werden und wie Ihnen die Leistungen der BADEN CLOUD® dabei helfen.
Kennen Sie das auch? – Daten, Daten, Daten und noch mal Daten
Seit der Einführung der E-Mail-Kommunikation und der Möglichkeit, Geschäftsdaten digital zu archivieren, wächst in jedem Unternehmen die Menge der zu speichernden Daten von Tag zu Tag. Diese Daten liegen auf Festplatten, USB-Sticks und CDs, vielleicht sogar noch auf Disketten irgendwo in Büroschränken. Manch ein Mitarbeiter vergisst diese Speichermedien sogar, Speichermedien gehen verloren oder werden zerstört bzw. unbrauchbar.
Deswegen müssen Sie Daten kontinuierlich sichern und Backups erstellen. Sie müssen auch verhindern, dass Dritte bzw. Betriebsfremde Zugriffe auf diese Daten erhalten, sie stehlen oder für ihre Zwecke missbrauchen können.
Überlegen Sie doch einmal: Was geschieht mit den Daten auf dem Laptop eines Handelsvertreters, dem der Dienstwagen aufgebrochen wurde und der Laptop oder das iPad mit allen wichtigen Kundeninformationen gestohlen wurde?
Ein Alptraum! Nicht nur, dass alle Daten der letzten Abschlüsse auf dem Rechner gespeichert und noch nicht weiter bearbeitet wurden, auch Kundendaten und Informationen sowie betriebsinterne Dokumente sind nun in fremden Händen. Abgesehen von den internen Problemen, die solch eine Sache nach sich zieht, fand hier ein Verstoß gegen die DSGVO statt. Die Gefahren, die so ein Verlust des Dienstlaptops mit sich bringen, sind nicht nur finanzieller Natur, viel schlimmer ist der Schaden an der Reputation und das verlorene Vertrauen in das Unternehmen.
Abhilfe schaffen kann hier ein umfangreiches Datensicherungs- und Löschkonzept, das sich bei jedem Mitarbeiter in den Workflow integrieren lässt und regelmäßig durchgeführt wird.
Was ist ein Löschkonzept?
Das Löschkonzept ist vereinfacht ausgedrückt ein System, welches sicherstellt, dass Daten jeglicher Art zu einem bestimmten Zeitpunkt gelöscht werden, wenn diese nicht mehr von Nutzen bzw. nicht mehr für die Erfüllung des Kundenauftrags notwendig sind. Dabei gilt es zu bedenken, dass im Rahmen eines Löschkonzepts nicht nur die unmittelbaren Daten auf der Festplatte des z.B. betreuenden Kundenberaters gelöscht werden, sondern auch alle mit dem Kunden in Verbindung stehende Datensicherungen.
Das Löschkonzept muss individuell an das jeweilige Unternehmen angepasst werden und die im Unternehmen bestehenden Verfahren, Systeme und Prozesse berücksichtigen, um das Kategorisierungs- und Verteilungsverfahren personenbezogener Daten nach den entsprechenden Löschfristen regeln.
Was kostet die Missachtung der Datenlöschung?
Fall 1)
210.000 € musste ein Möbelhaus zahlen, welches seinen Online-Shop auf ein neues System umstellte, aber offenbar keine Daten aus dem alten System löschte. Die „vergessenen“ Daten bestanden aus Adressen, Telefonnummern, E-Mails und Kundenhistorien von etwa 387.000 Kunden. In diesem Zusammenhang empfahl die Aufsichtsbehörde die Verhängung diese Geldbuße wegen Verstoßes gegen die Datenschutzgrundsätze gemäß Artikel 5 Absatz 1 der DSGVO (Speicherbeschränkung) und Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).
Fall 2)
In Dänemark wurde aufgrund eines unzureichenden Löschkonzepts gegenüber dem Betreiber einer Taxiplattform eine Geldbuße von mehr als 160.000 € verhängt.
Fall 3)
14,5 Millionen € soll die Deutsche Wohnen SE auf Empfehlung der zuständigen Aufsichtsbehörde aufgrund eines fehlenden Löschkonzepts zahlen. Der Prozess läuft noch.
Wie Sie die Entwicklung eines Löschkonzepts in IhremUnternehmen gezielt fördern und umsetzen können
Nach dem Datenschutzgesetz besteht für Unternehmen eine gesetzliche Verpflichtung bzw. Rechtsgrundlage, personenbezogene Daten innerhalb der gegebenen Aufbewahrungsfristen aufzubewahren und anschließend innerhalb der Löschfristen zu löschen, wenn diese für die Zwecke, für die sie ursprünglich erhoben oder verarbeitet wurden, nicht mehr erforderlich sind. Zudem darf keine gesetzliche Verpflichtung bestehen, sie nicht zu löschen.
Die Datenschutz-Grundverordnung (DSGVO) hat diese Löschverpflichtungen in der Rechtsgrundlage erheblich erweitert. Bei Nichteinhaltung der Anforderungen an die Löschfristen drohen nun hohe Bußgelder. Eine Umsetzung des Konzepts der Löschung unterschiedlicher Datenarten nach der DSGVO steht daher in engem Zusammenhang mit der Umsetzung von Handels- und Steuergesetzen sowie anderen Aufbewahrungspflichten, die ebenfalls eine genaue Kenntnis der Datenflüsse im Unternehmen erfordern. Das Deaktivieren des Empfangs von Werbung per E-Mail kann beispielsweise nur durch Löschen bestimmter Daten implementiert werden.
Bei der Erstellung eines Löschkonzepts ist die DIN-Norm 66398 hilfreich. Sie definiert ein Modell zur Entwicklung und Validierung eines Löschkonzepts inklusive Löschfristen. Die Norm beschreibt die Verfahren, nach denen die Regeln des Löschkonzepts und die Löschfristen definiert werden, und bietet einen Rahmen für die Dokumentation des Löschkonzepts.
Die Entwicklung eines Löschkonzepts ist normalerweise ein komplexer und ressourcenintensiver Prozess. Grundsätzlich geht es darum, eine Grundstruktur von Datenströmen mithilfe verschiedener Testphasen zu entwerfen, eine Verteilung der Löschfristen festzulegen, die passende Löschregel zu finden und diese dann mit dem System zu verknüpfen.
Entwickeln Sie ein Löschkonzept!
Die DSGVO verpflichtet Sie nicht ausdrücklich dazu, ein Löschkonzept zu erstellen. Dies ist jedoch sehr nützlich, um dem Grundsatz der Speicherbeschränkung in Artikel 5 Absatz 1 Buchstabe e) DSGVO zu entsprechen. Dementsprechend ist es für Unternehmen sinnvoll, Löschkonzepte und Verfahren für Löschkonzepte und Löschregeln inklusive der Löschfristen und Löschpflichten zu entwickeln und in den täglichen Betrieb zu integrieren. Je später ein solcher Prozess eingeleitet wird, desto schwieriger ist seine Implementierung. Vor allem aber besteht ein höheres Risiko, mit Geldbußen belegt zu werden. Die DIN 66398 hilft bei der Entwicklung eines solchen Löschkonzepts und der dazugehörigen Löschfristen und Löschregeln.
Passen Sie das Löschkonzept individuell an Ihr Unternehmen an!
Das Löschkonzept sollte immer ein an das jeweilige Unternehmen angepasst werden und unter Berücksichtigung, der im Unternehmen vorhandenen Verfahren, Systeme und Prozesse das Verfahren zur Kategorisierung und Verteilung personenbezogener Daten nach den entsprechenden Löschfristen festlegen.
Ziel ist es, mithilfe der verschiedenen Testschritte die Grundstruktur der Datenströme zu entwickeln, den Zeitpunkt für das Löschen festzulegen und diese dann in Ihre eigenen Systembedingungen zu integrieren oder zu implementieren.
Archivierung und Löschung von E-Mails
Die E-Mail Archivierung ist ein eigenständiger Begriff für die langfristige, unveränderliche und sichere Speicherung elektronischer Nachrichten. Grundlage für eine solche Archivierung sind zum einen die gesetzlichen Anforderungen an die vollständige Dokumentation von Steuerdokumenten und zum anderen die Anforderungen von Unternehmen und Einzelpersonen an die Verwaltung immer komplexer werdender Daten- und E-Mail-Prozesse und Datenkategorien.
Welche Richtlinien gelten bei der Archivierung von E-Mails?
Bei der Archivierung von E-Mails gemäß den gesetzlichen Bestimmungen gelten bestimmte Richtlinien. Die Grundsätze einer guten Verwaltung und Archivierung von Aufzeichnungen und Dokumenten in elektronischer Form sehen vor, dass alle steuerrelevanten Daten in vorzeigbarer Form als Sicherungskopien gespeichert werden müssen. Diese Sicherungskopien und Datenkategorien müssen von Maschinen ausgewertet werden können. Dies gilt auch für Sicherungskopien für E-Mails und Anhänge.
Die Verwendung einer E-Mail Archivierungslösung
Die Archivierung mit einer Archivierungslösung dient zum Schutz vor E-Mail-Datenverlust. E-Mails als Träger kritischer Informationen müssen vor Datenverlust und illegaler Spionage geschützt werden.
E-Mails gehen oft aufgrund fehlerhafter PST-Dateien (MS Outlook), unachtsamen Löschens oder Systemwechsel verloren. Teilweise werden ganze Postfächer gelöscht, wenn ein Mitarbeiter das Unternehmen verlässt.
Archivieren Sie E-Mails mit einer cloudbasierten Archivierungslösung der und erfüllen Sie die gesetzlichen Anforderungen nach DSGVO.
Was macht eine Cloud-basierte Sicherung der E-Mails aus?
Wenn die Archivierung der E-Mails in einer cloudbasierten Archivierungslösung erfolgt, wird diese gleichzeitig mit dem Empfangen und Senden von E-Mails archiviert, wodurch die Manipulation einzelner Nachrichten wirksam verhindert wird.
Im Falle einer Revision kann ein Zugriff auf die Sicherungskopien sofort bereitgestellt werden. Dies gibt einem Außenstehenden vorübergehenden Zugriff auf das E-Mail-Archiv.
E-Mail DSGVO-konform speichern und archivieren
Jede Speicherung von E-Mails in Sicherungskopien beinhaltet die datenschutzrechtliche Verarbeitung personenbezogener Daten (Dateien), da nach dem Datenschutzgesetz der Empfang und die kürzeste (Zwischen-) Speicherzeit ausreichen, um die „Verarbeitung“ personenbezogener Daten (Dateien) zu implizieren. Mit dem Inkrafttreten der DSGVO ergeben sich insbesondere im Zusammenhang mit den Sicherungskopien von E-Mails verschiedene Probleme. Von der Zulässigkeit der Protokollarchivierung unternehmensbezogener E-Mails bis zur Sortierung des privaten E-Mail-Verkehrs in einer Archivierungslösung. Regeln zur E-Mail-Archivierung und die DSGVO zeigen, wann und warum Unternehmen bei der automatischen E-Mail Archivierung rechtlichen Einschränkungen ausgesetzt sind.
Speicherung und Archivierungslösungen von Daten (Dateien)
Backup Systeme und Archivierungslösungen dienen zur Speicherung von Backups, um Systeme bei Bedarf (z. B. bei technischen Vorfällen, Viren, Umweltauswirkungen usw.) schnell wiederherstellen und das Risiko von Datenverlusten, die das Unternehmen schädigen, minimieren zu können.
Im Falle der Archivierungslösung besteht der Zweck wiederum darin, Dokumente und Dateien, während des durch die einschlägigen Gesetze oder Vorschriften festgelegten Zeitraums, vor unbefugtem Zugriff zu schützen. Selbst bei einer konsequenten Umsetzung der Löschregel bzw. des Löschkonzepts besteht immer ein Risiko eines „erneuten Imports“ bereits gelöschter Daten (Dateien). Deswegen wird klar, das ein Löschprotokoll bei einem Löschkonzept sinnvoll sein kann.
Was ist der Sinn des Aufbewahrungszeitraumes für Sicherungskopien?
Per Definition beschreibt der Aufbewahrungszeitraum für Sicherungskopien den Zeitraum, in dem die Dokumente, für die eine Aufbewahrungspflicht besteht, ordnungsgemäß archiviert werden müssen. Der Zweck von Aufbewahrungsfristen für Sicherungskopien besteht darin, das sogenannte „Beweisbedürfnis“ zu verhindern, wenn abgeschlossene Geschäftsvorfälle wieder wichtig werden. Ein klassisches Beispiel: Eine Steuerprüfung durch das Finanzamt. Archivdokumente können nicht nur als Steuer-, sondern auch als Rechtsnachweis verwendet werden. Zum Beispiel, wenn es um Garantien und Versicherungen geht. In solchen Fällen können „lästige“ Aufbewahrungsanforderungen ein wertvolles Gut für das Unternehmen sein.
Sie haben Fragen oder möchten mehr erfahren? Dann freuen wir uns auf Ihren Anruf oder Ihre Mail!
Sie erreichen uns telefonisch unter +49 (7805) 918-0 oder über das Kontaktformular.
