DSGVO Archivierungspflicht: Konflikt & Lösung | IT-Medienrecht

Erfahren Sie, wie sich DSGVO und Archivierungspflichten vertragen. Vermeiden Sie Bußgelder wie bei Deutsche Wohnen. Jetzt alle Infos zum Datenkonflikt!

Das Wichtigste in Kürze

  • Der Fall Deutsche Wohnen SE verdeutlicht den Konflikt zwischen DSGVO-Anforderungen und gesetzlichen Archivierungspflichten.
  • Unternehmen müssen sicherstellen, dass ihre Archivsysteme das Löschen nicht mehr benötigter personenbezogener Daten ermöglichen.
  • Die Speicherung sensibler Daten über den notwendigen Zeitraum hinaus kann zu hohen Bußgeldern führen.
  • Datenschutzbehörden sehen „Datenfriedhöfe“ als strukturelle Mängel und sanktionieren diese.
  • Eine Überprüfung der Datenhaltung und die Implementierung rechtssicherer Lösungen sind für Unternehmen unerlässlich.

DSGVO vs. Archivierungspflichten: Ein Dilemma für Unternehmen

In den letzten Wochen ist eine neue Diskussion rund um die zahlreichen Rechtsfragen der DSGVO entbrannt. Es scheint, als ob die Datenschutz-Grundverordnung mit ihren Unsicherheiten den grundsätzlich richtigen Gedanken des verbesserten Datenschutzes aufs Spiel setzt. Dies führt zu Frustration bei Unternehmen, Dienstleistern, Selbstständigen und Freelancern.

Der Bußgeldbescheid gegen Deutsche Wohnen SE

Auslöser dieser Diskussion ist die aktuelle Entscheidung des Berliner Beauftragten für Datenschutz und Informationsfreiheit. Dieser hat einen Bußgeldbescheid in Höhe von rund 14,5 Millionen Euro gegen die Deutsche Wohnen SE wegen Verstößen gegen die DSGVO erlassen.

Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 stellte die Aufsichtsbehörde fest, dass das Unternehmen ein Archivsystem verwendete. Dieses System sah keine Möglichkeit vor, nicht mehr erforderliche personenbezogene Daten von Mieterinnen und Mietern zu entfernen.

Die Daten wurden gespeichert, ohne zu überprüfen, ob die Speicherung zulässig oder überhaupt erforderlich war. In begutachteten Einzelfällen konnten daher teilweise Jahre alte private Angaben von Mieterinnen und Mietern eingesehen werden. Diese dienten nicht mehr dem ursprünglichen Erhebungszweck.

Das Dilemma für die Praxis: Unklare Archivierungspflichten

Datenschutzexperten sind der Meinung, dass die Behörde durch den juristischen Rückgriff auf „Privacy by Design“ schlampig vorgegangen ist. Oder sie hat dem Datenschutz einen Bärendienst erwiesen. Zwar liegt nun ein Bußgeld vor, gegen das Deutsche Wohnen vorgehen wird.

Doch andere Unternehmen und Datenschutzverpflichtete wissen weiterhin nicht, welche Mieterdaten zu welchem Zeitpunkt hätten gelöscht werden müssen. Diese Erkenntnisse können sie somit nicht auf ihre eigenen Datenbestände anwenden und ihre Prozesse entsprechend gestalten.

Archivierungspflichten vs. Revisionssicherheit

Der vorliegende Fall betrifft die Archivierung von Vorgängen im Bereich von Mieterdaten. Die Probleme sind jedoch auf zahlreiche weitere Bereiche übertragbar. Dazu gehören beispielsweise Buchhaltungsvorgänge, Jobbewerbungen, Supportanfragen, Steuern, Reisekostenabrechnungen oder Urlaubsanträge.

Für viele dieser Umstände existieren gesetzliche Archivierungspflichten. Darüber hinaus ist es oft Pflicht oder zumindest relevant, dass die Archivierung revisionssicher erfolgt. Dies ermöglicht es kontrollierenden Behörden wie den Finanzämtern, Änderungen nachzuvollziehen.

Ein wesentlicher Zweck vieler Archivierungsvorgänge ist es daher, zu verhindern, dass bestimmte Vorgänge sowie die damit verbundenen Belege oder Daten gelöscht oder geändert werden können. Ist dies in jedem dieser Fälle durch Art. 6 Abs. 1 Satz 1c DSGVO gedeckt? Diese Vorschrift erlaubt die Datenverarbeitung zur Erfüllung gesetzlicher Pflichten.

Dies mag in vielen Fällen möglich sein. Doch was ist mit den Situationen, in denen die Revisionssicherheit vielleicht nur sinnvoll, aber nicht explizit juristisch geregelt ist?

Die Sichtweise des Berliner Datenschutzbeauftragten

Die Datenschutzbehörde in Berlin hat in ihrer Pressemeldung eine ganz eigene Meinung geäußert. Es bleibt spannend, ob diese vor Gericht Bestand haben wird:

Datenfriedhöfe, wie wir sie bei der Deutsche Wohnen SE vorgefunden haben, begegnen uns in der Aufsichtspraxis leider häufig. Die Brisanz solcher Missstände wird uns leider immer erst dann deutlich vor Augen geführt, wenn es, etwa durch Cyberangriffe, zu missbräuchlichen Zugriffen auf die massenhaft gehorteten Daten gekommen ist. Aber auch ohne solch schwerwiegende Folgen haben wir es hierbei mit einem eklatanten Verstoß gegen die Grundsätze des Datenschutzes zu tun, die die Betroffenen genau vor solchen Risiken schützen soll. Es ist erfreulich, dass der Gesetzgeber mit der Datenschutz-Grundverordnung die Möglichkeit eingeführt hat, solche strukturellen Mängel zu sanktionieren, bevor es zum Daten-GAU kommt. Ich empfehle allen datenverarbeitenden Stellen, ihre Datenarchivierung auf Vereinbarkeit mit der DS-GVO zu überprüfen.

Auch wenn Cyberangriffe in der Tat relevant sind und jeder technische wie auch organisatorische Vorkehrungen gegen Datendiebstahl treffen sollte, ist der Umstand, von Datenfriedhöfen zu reden, schon recht hart. Viele Unternehmen würden sich wünschen, weniger Daten für kürzere Zeiträume speichern zu müssen.

Sie möchten bestimmte Tendenzen überbordender Bürokratie abbauen. Gerade im Bereich Steuerrecht, Sozialversicherungsrecht oder Arbeitsrecht können schnell graue Haare wachsen. Dies geschieht, wenn man überlegt, welche Pflichten alle existieren. Diese sind oft nur indirekt normiert oder durch Gerichtsurteile ausgeformt.

Ausblick und Fazit: Datenschutz zwischen Bürokratie und Innovation

Die Angst ist durchaus berechtigt, dass in den nächsten Jahren der Streit zwischen Datenschutz und Bürokratie auf dem Rücken von Selbstständigen oder dem Mittelstand ausgetragen wird. Dies gilt auch für den Konflikt zwischen Cybersicherheit und den berechtigten Interessen von Steuer-, Zoll- und Sozialversicherungsbehörden. Ob dies Wirtschaft und Datenschutz gleichermaßen dienlich ist, darf bezweifelt werden.

Im schlimmsten Fall kommen noch mehr Pflichten und noch mehr Kosten für verbesserte Softwarelösungen auf die Wirtschaft zu. Man darf gespannt sein, wie dieses Verfahren weitergeht und welche Auswirkungen es auf die rechtlichen Herausforderungen für Unternehmen haben wird.

Zusammenfassend zeigt der Fall Deutsche Wohnen SE die anhaltende Spannung zwischen Datenschutzanforderungen und Archivierungspflichten. Für Unternehmen ist es unerlässlich, ihre Datenhaltung zu überprüfen und rechtssichere Lösungen zu implementieren, um hohe Bußgelder zu vermeiden und das Vertrauen der Betroffenen zu sichern.

Häufig gestellte Fragen

Warum wurde die Deutsche Wohnen SE mit einem Bußgeld belegt?
Die Deutsche Wohnen SE erhielt ein Bußgeld von rund 14,5 Millionen Euro, weil ihr Archivsystem keine Möglichkeit bot, nicht mehr erforderliche personenbezogene Daten von Mieterinnen und Mietern zu entfernen. Die Daten wurden ohne Überprüfung der Zulässigkeit oder Erforderlichkeit gespeichert.
Welche Art von Daten wurden bei der Deutschen Wohnen SE unzulässig gespeichert?
Es handelte sich um sensible Informationen zu den persönlichen und finanziellen Verhältnissen der Mieterinnen und Mieter, darunter Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen, Steuer-, Sozial- und Krankenversicherungsdaten sowie Kontoauszüge.
Was versteht der Berliner Datenschutzbeauftragte unter „Datenfriedhöfen“?
Der Berliner Datenschutzbeauftragte bezeichnet damit massenhaft gehortete Daten, die nicht mehr dem ursprünglichen Erhebungszweck dienen und bei denen keine Möglichkeit zur Löschung besteht. Solche „Datenfriedhöfe“ stellen einen eklatanten Verstoß gegen die Grundsätze des Datenschutzes dar.
Wie verhält sich Art. 6 Abs. 1 Satz 1c DSGVO zu Archivierungspflichten?
Diese Vorschrift erlaubt die Datenverarbeitung zur Erfüllung gesetzlicher Pflichten. Sie kann in vielen Fällen die Speicherung von Daten rechtfertigen, aber es bleibt unklar, ob sie auch Situationen abdeckt, in denen Revisionssicherheit zwar sinnvoll, aber nicht explizit juristisch geregelt ist.