GoLaw

News

Hier finden Sie Neuigkeiten

Das Löschen von Daten geht oft vergessen

Die Löschung von Daten ist ebenfalls Bestandteil eines Datenlebenszyklus. Sobald die Daten nicht mehr benötigt werden, müssen diese wieder gelöscht werden. Eine solche Aussage würde wohl kaum einer bestreiten und trotzdem wird dies in vielen Unternehmen sträflich vernachlässigt. In einem kürzlich auf Businessinsider erschienen Artikel, beschreibt ein Händler von gebrauchter IT-Hardware, wie er immer wieder Speichermedien mit ungelöschtem Inhalt erhält und zum Teil waren darauf sogar Passwörter oder strengvertrauliche Daten gespeichert. Dabei musste er nicht einmal Wiederherstellungsmassnahmen vornehmen, da die Daten gar nicht erst gelöscht bzw. überschrieben wurden. 

Im Gegensatz zu früher, als der Aktenschrank oder das Archiv im Keller irgendwann voll waren und ausgemistet werden mussten, lassen immer grösser werdende Speichermedien ein Horten wunderbar zu und fördern unsere Sammelwut noch zusätzlich. Nicht nur lassen sich Daten wunderbar aufbewahren, sie laden auch zum Kopieren und Verteilen ein. Zum Beispiel werden Anstelle einer ausschliesslichen Speicherung der Daten auf einem speziell gesicherten Server, plötzlich vertrauliche Daten auf dem Arbeitscomputer gespeichert, der Zugriff ist halt bequemer. Der Entsorgung des Arbeitscomputer wird dann vielleicht nicht mehr die gleiche Beachtung geschenkt, wie der Entsorgung eines Servers mit sensiblen Daten. Ein anderes Beispiel ist die Verwendung von gratis Cloud-Speicherdiensten, wenn einem der Arbeitgeber einen zu langsamen Speicherplatz zu er Verfügung stellt oder kein externer Zugriff möglich ist. 

Das Problem ungelöschter Daten ist daher leider nicht nur ein technisches Problem, so spielen die rechtliche Unsicherheit und organisatorische Mängel ebenfalls eine Rolle. 

Zu rechtlichen Unsicherheiten führt der Umstand, dass die Datenschutzgesetze keine genauen zeitlichen Vorschriften zur Aufbewahrung machen. Grundsätzlich dürfen Daten solange gespeichert bzw. verarbeitet werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Diese Gummi - Formulierung verleitet viele Unternehmen dazu, die Daten zulange aufzubewahren, die Informationen könnten ja nochmals gebraucht werden. Neben einer Löschung wäre allenfalls eine Anonymisierung oder Pseudonymisierung möglich. Was sich in den meisten Fällen aber wohl zu aufwändig gestaltet und daher nicht getan wird. Werden die Daten aufgrund einer Geschäftsbeziehung gespeichert, können diese ohne Probleme während der Verjährungsfrist aufbewahrt werden. Der Geschäftsfall muss ja bei einem Gewährleistungsfall oder einem Rechtsstreit nachvollziehbar bleiben. Unternehmen sind daneben aus Buchführungspflichten verpflichtet, Geschäftsvorfälle und damit meist auch Personendaten aufzubewahren. Dabei gilt es zu bemerken, dass dies nicht eine umfassende Datenverarbeitung und Aufbewahrung rechtfertigt. Der Zweck ist auf die Buchführung beschränkt und deshalb sind nur noch die zu diesem Zweck notwendigen Unterlagen aufzubewahren. Es kann bereits hier eine teilweise Löschung stattfinden. Die Aufbewahrungsfristen betragen in den meisten Fällen 10 Jahre, weshalb 10 Jahre als Faustregel für die Aufbewahrung genommen werden kann. Nach 10 Jahren sind die Daten meist endgültig zu löschen, da kein Verarbeitungszweck mehr vorhanden ist. 

Dies führt einen nun automatisch zu den organisatorischen Problemen. Damit diese Fristen kontrolliert und eingehalten werden können, muss einerseits ein Archivierungskonzept vorliegen und anderseits muss dieses gelebt werden. Ein Geschäftsvorfall ist entsprechend den Vorgaben abzuspeichern und anschliessend zu archivieren, nur so können die Fristen überhaupt systematisch überwacht werden. Kann allerdings bspw. ein Sachbearbeiter oder Verkäufer nach der Archivierung garnichtmehr auf die Daten zugreifen, besteht das Risiko, dass er sich vor der Archivierung Angebote - z.B. für Musterzwecke oder um Angebote für Folgeaufträge zu erstellen - herunterkopiert und so einer Fristenkontrolle entzieht. Der Archivierungsprozess bzw. die technische Umsetzung muss so ausgestaltet sein, dass möglichst keine Anreize entstehen, die Daten zu kopieren und an weiteren Orten (unkontrolliert) zu speichern. Eine vollständige Zentralisierung wird sich aufgrund verschiedener Systeme und Datenbanken trotzdem nicht erreichen lassen,So ist ein CRM nicht immer mit der Buchhaltung verknüpft und die Korrespondenz insb. Emails sind wiederum an einer anderen Stelle gespeichert. 

Neben den organisatorischen Massnahmen gilt es die Archivierung und Löschung von Daten bereits bei der technischen Planung und Umsetzung der Systemarchitektur zu berücksichtigen. Eine Grundmassanahme kann sein, die Daten standardmässig zu verschlüsseln, werden die Speichermedien ohne Löschung ausgetauscht, vermindert eine Verschlüsselung zumindest die Risiken einer Datenpanne. Dadurch wird das interne Problem einer zu langen Speicherung aber noch nicht gelöst. Sobald die die interne Hardware ersetzt wird, muss die korrekte Löschung oder Zerstörung der Speichermedien kontrolliert werden. Hierfür sind entsprechende Prozesse zu schaffen. 

Ebenso gilt dies für extern gespeicherte Daten, gerade hier kann eine Umsetzung und Kontrolle schnell kompliziert werden. Ein Zwischending stellen Daten im BYOD dar, da diese nicht bei einem externen Dienstleister per se gespeichert sind. Bei Daten auf Geräten von Mitarbeitern, gilt es auch immer die arbeitsrechtlichen Fragen zu berücksichtigen, was die Sache nicht einfacher macht. Insbesondere wenn das Arbeitsverhältnis nicht einvernehmlich beendet wurde, kann eine Löschung schnell schwierig werden. 

Der grösste Teil von Unternehmensdaten wird heute in externen Rechenzentren oder bei Cloud – Anbietern wie AWS, Google, Azure gespeichert. Diese machen ein effektives Löschen und eine Kontrolle ebenfalls nicht einfacher, vor allem bei grossen Cloud Anbietern, wird mir zwar ein Löschen der Daten zugesichert, eine Kontrolle bleibt aber schwierig. Bei kleineren Rechenzentren kann ich vertraglich allenfalls weitergehende Kontrollrechte vereinbaren aber hier bleibt eine Kontrolle ebenfalls schwierig. Natürlich können Speichermedien durch überschreiben unlesbar gemacht werden aber dies bringt keine absolute Sicherheit und in den seltensten Fällen wird dies von einem Kunden eines Rechenzentrums überprüft. Bei den grossen Anbietern habe ich als kleines Unternehmen meist keine grossen Kontrollmöglichkeiten. Ich kann die Vertragsbedingungen nur annehmen oder ablehnen. 

Wie im oben erwähnten Artikel beschrieben wurde, scheinen viele Unternehmen das effektive Löschen zu vernachlässigen. Neben einer besseren Kontrolle, kann einer ungewünschten Datenweitergabe dadurch vorgebeugt werden, dass man bspw. auch bei der Hardware verschiedene Sicherheitszonen schafft und sehr sensible Daten nur auf eigenen Speichermedien speichert, welche ein Unternehmen beim Austausch kontrolliert zerstören kann und diese dann nicht mit sensiblen Daten auf dem Sekundärmarkt landen. 

Tipps zum Vorgehen: 

  • Prüfen Sie, welche Daten zur Zweckerfüllung für wie lange benötigt werden

  • Prüfen Sie wo die Daten gespeichert sind

  • Definieren Sie einen Archivierungs- und Löschprozess, der die gesetzlichen Anforderungen erfüllt aber auch das tägliche Arbeiten berücksichtigt 

  • Implementieren Sie den Prozess 

  • Schulen und erklären Sie den Prozess den Mitarbeitern

  • Kontrollieren Sie die Umsetzung und Einhaltung

 

Gerne können Sie uns für eine individuelle Beratung direkt kontaktieren.