Oft stellt Datenlöschung Unternehmen vor große Probleme. Wie kann man sicherstellen, dass personenbezogene Daten von Kunden und Mitarbeitern fristgerecht und überall gelöscht werden? Was ist, wenn man die Kundendaten gerne noch für weitere Auswertungen nutzen würde? Anonymisierung ist daher für einige Unternehmen das Mittel der Wahl. Ob das jedoch ausreicht, was dabei zu beachten ist und was im Falle einer unvollständigen Löschung droht, erfahren Sie im Folgenden.
Datenlöschung ist Pflicht
Laut Gesetz sind personenbezogene Daten zu löschen, sobald sie für den ursprünglichen Verarbeitungszweck nicht mehr benötigt werden und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Wir raten unseren Kunden daher zur Führung eines Löschkonzepts. Mit Hilfe dessen dokumentiert man, wer wann wie die Löschfristen aus dem Verarbeitungsverzeichnis umzusetzen und zu kontrollieren hat.
Anonymisierung statt Löschung
Unternehmen, die mit einer Vielzahl von Kundendaten arbeiten, sehen sich hierdurch vor einer schier unlösbaren Aufgabe. Neben einer Vielzahl von Verarbeitungstätigkeiten, Verarbeitungsorten und Datensätzen, die eine bestimmte Person betreffen, birgt diese Löschpflicht noch einen weiteren Nachteil. Sobald die Kundendaten gelöscht sind, können sie nicht mehr in Kundenauswertungen- und Statistiken, für die übrigens regelmäßig eine entsprechende Einwilligung notwendig ist, miteinfließen. Viele Unternehmen ziehen daher die Anonymisierung der Löschung vor.
Hierbei werden die personenbezogenen Daten mit Hilfe moderner Technologien so verändert, dass ein Personenbezug wegfällt. D. h. man verändet die Informationen einer Person derart, dass sie nach Abschluss der Anonymisierung keiner bestimmten Person mehr zugeordnet werden können. Der Vorgang der Anonymisierung an sich stellt eine Datenverarbeitung gem. Art. 4 Nr. 2 DSGVO dar, der ebenso eine Rechtsgrundlage erfordert. Diese findet sich in der gesetzlichen Verpflichtung zur Datenlöschung (Art. 17 DSGVO). Nach Abschluss der Anonymisierung fallen die Daten allerdings nicht mehr unter den Anwendungsbereich der DSGVO, denn ein Personenbezug ist nicht mehr vorhanden. Die Gretchenfrage ist nun, ob diese Anonymisierung einer Datenlöschung gleichsteht.
Der BfDI sagt ja – aber nur unter bestimmten Voraussetzungen
Der Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) vertritt in seiner Stellungnahme die Ansicht, dass die Anonymisierung von Daten mit der Löschung gleichgesetzt werden kann. Denn in beiden Fällen werden Identifizierungsmerkmale, also personenbezogene Daten gelöscht und nicht weiterverarbeitet.
Allerdings gelte dies nur dann, wenn eine Re-Identifizierung vollständig ausgeschlossen ist. Die anonymisierten Informationen dürfen nachträglich keiner bestimmten Person wieder zugeordnet werden können. Soweit dies nicht der Fall ist, liegt keine ausreichende Anonymisierung, sondern lediglich eine Pseudonymisierung vor und die DSGVO kommt weiterhin zur Anwendung. Der Personenbezug muss vollständig vernichtet sein, damit eine ausreichende Datenlöschung i. S. v. Art. 17 DSGVO vorliegt.
Datenschutz-Folgenabschätzung bei Anonymisierung
Der BfDI empfiehlt daher Unternehmen, die Daten anonymisieren statt zu löschen, eine Datenschutz-Folgenabschätzung gem. Art. 35 DSGVO durchzuführen. Bei einer Anonymisierung wird oftmals eine Großzahl von Daten mit Hilfe von neuen Technologien verarbeitet. Dieser Vorgang, der um einiges schwieriger ist als einfaches Löschen, erhöht das Risiko, dass schlussendlich doch noch ein Personenbezug vorhanden ist und damit die Daten zu anderen als den ursprünglichen Zwecken weiterverarbeitet werden.
Dies stellt ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen dar. Um diesen nun ausreichend zu begegnen, ist eine Datenschutz-Folgenabschätzung erforderlich. Hier werden alle gefundenen Risiken und Abhilfemaßnahmen dokumentiert und gegeneinander abgewogen.
Unzureichende Datenlöschungen können teuer werden
Ein aktuelles Urteil des Arbeitsgerichts Neuruppin von Ende letzten Jahres zeigt, was Unternehmen bei unzureichender Datenlöschung droht. Das Gericht sprach der Klägerin und ehemaligen Arbeitnehmerin einen Schadensersatzanspruch gem. Art. 82 DSGVO in Höhe von 1000 EUR zu, da deren Arbeitgeber ihre Daten auf der Webseite nicht ordnungsgemäß gelöscht hatte. Das Gericht stellte fest, dass der Beklagte selbstständig und proaktiv die Daten der Klägerin gemäß festgesetzter Löschfristen und mit Hilfe eines Löschkonzepts hätte löschen müssen. Da er dem nicht nachkam, war der Schadensersatzanspruch der Klägerin gerechtfertigt.
Sollte auch ihr Unternehmen Daten anonymisieren statt löschen wollen, so raten wir Ihnen, uns vorab einzubinden, das Verfahren umfassend zu prüfen und eine Datenschutz-Folgenabschätzung durchzuführen. Nur so können Sie sich wirksam vor unzulässigen Datenverarbeitungen und unnötigen Kosten schützen.
Sollten Sie noch Fragen in diesem Bereich haben, sprechen Sie uns gerne an. Wir sind bundesweit tätig und unterstützen Sie gerne: info@sidit.de oder 0931-780 877-0.
Kein Kommentar