Datenschutz wird im Unternehmensalltag häufig auf Einwilligungsbanner, Datenschutzerklärungen und sichere Passwörter reduziert. Das greift deutlich zu kurz. Personenbezogene Daten befinden sich schließlich nicht nur in Cloud-Anwendungen oder CRM-Systemen, sondern ebenso auf Notebooks, Servern, Smartphones, Speichermedien und ausgemusterten Netzwerkgeräten. Gerade beim Austausch älterer IT-Infrastruktur entsteht deshalb ein Moment, der rechtlich wie organisatorisch besondere Aufmerksamkeit verdient. Welche Daten liegen noch auf den Geräten? Wer ist für deren Löschung zuständig? Kann die Löschung nachvollziehbar belegt werden? Und was geschieht anschließend mit der Hardware? Die Pflichten im Bundesdatenschutzgesetz stehen dabei nicht isoliert, sondern sind im Zusammenspiel mit der Datenschutz-Grundverordnung zu betrachten. Für deutsche Unternehmen, öffentliche Stellen und internationale Geschäftspartner bedeutet das: Datenschutz muss über den gesamten Lebenszyklus von Informationen und IT-Systemen hinweg organisiert werden. Eine dokumentierte, sichere und zugleich ressourcenschonende Verwertung gebrauchter Hardware kann dabei mehrere unternehmerische Ziele sinnvoll miteinander verbinden.
Besonders beim Umgang mit ausgemusterten IT-Geräten zeigt sich, wie eng rechtliche Anforderungen und praktische Unternehmensprozesse miteinander verbunden sind. Ein Laptop, Server oder Speichersystem kann auch nach dem Ende seiner betrieblichen Nutzung noch personenbezogene Informationen enthalten. Deshalb sollten Unternehmen bereits vor der Übergabe festlegen, welche Daten gelöscht werden, welches Verfahren zum Einsatz kommt und wie der Erfolg dokumentiert wird. So lassen sich Datenschutzrisiken reduzieren, während funktionsfähige Hardware weiterhin nachhaltig genutzt werden kann.
Das Bundesdatenschutzgesetz ergänzt den europäischen Rechtsrahmen
Seit dem Geltungsbeginn der Datenschutz-Grundverordnung im Mai 2018 bildet die DSGVO das zentrale Datenschutzrecht innerhalb der Europäischen Union. Das Bundesdatenschutzgesetz, kurz BDSG, ergänzt diesen Rahmen um nationale Regelungen. Es präzisiert unter anderem Fragen zum Beschäftigtendatenschutz, zur Bestellung eines Datenschutzbeauftragten, zu besonderen Verarbeitungssituationen sowie zu Befugnissen der deutschen Datenschutzaufsicht. Unternehmen sollten beide Regelwerke daher nicht getrennt voneinander behandeln. Viele grundlegende Pflichten, etwa die Einhaltung der Rechtmäßigkeit, Zweckbindung, Datenminimierung und Speicherbegrenzung, ergeben sich unmittelbar aus der DSGVO. Das BDSG konkretisiert diese Vorgaben an entscheidenden Stellen für Deutschland. In der Praxis ist weniger wichtig, ob eine einzelne Handlung ausschließlich auf einer Vorschrift des BDSG oder der DSGVO beruht. Entscheidend ist, dass die gesamte Verarbeitung personenbezogener Daten nachvollziehbar, angemessen abgesichert und rechtlich begründet erfolgt. Das betrifft aktive Systeme genauso wie Geräte, die bereits im Lager stehen und scheinbar nicht mehr genutzt werden. Auch ein ausgeschalteter Server kann schließlich noch große Mengen sensibler Daten enthalten.
Rechenschaftspflicht verlangt mehr als gute Absichten
Ein wesentlicher Bestandteil moderner Datenschutzorganisation ist die Rechenschaftspflicht. Verantwortliche müssen Datenschutzvorgaben nicht nur einhalten, sondern dies im Zweifelsfall auch belegen können. Eine mündliche Aussage wie „Die Festplatten wurden wahrscheinlich gelöscht“ wird bei einer internen Prüfung, einer Kundenanfrage oder einer Kontrolle durch die Aufsichtsbehörde kaum ausreichen. Gefragt sind klare Zuständigkeiten, dokumentierte Abläufe und belastbare Nachweise. Dazu können Verzeichnisse von Verarbeitungstätigkeiten, Löschkonzepte, technische Richtlinien, Übergabeprotokolle und Löschberichte gehören. Bei ausgemusterter Hardware beginnt die Dokumentation idealerweise bereits mit der Inventarisierung. Seriennummern, Gerätekategorien, Speicherarten, bisherige Einsatzbereiche und der weitere Verwertungsweg sollten eindeutig zugeordnet werden können. Das klingt zunächst nach zusätzlicher Bürokratie. Tatsächlich verhindert eine saubere Prozessstruktur jedoch Missverständnisse, Doppelarbeit und nicht zuletzt Haftungsrisiken. Datenschutz lebt nicht von einem einzelnen Dokument im Ordner, sondern von einem Verfahren, das auch dann funktioniert, wenn Mitarbeitende wechseln, Geräte in großer Zahl ausgetauscht werden oder externe Dienstleister beteiligt sind.
Beschäftigtendaten genießen einen besonderen Stellenwert
Ein Schwerpunkt des Bundesdatenschutzgesetzes liegt auf der Verarbeitung personenbezogener Daten im Beschäftigungskontext. § 26 BDSG regelt, unter welchen Voraussetzungen Daten von Beschäftigten für Zwecke des Arbeitsverhältnisses verarbeitet werden dürfen. In der täglichen Praxis entstehen solche Informationen an zahlreichen Stellen: in E-Mail-Postfächern, Personalverwaltungssystemen, digitalen Zeiterfassungen, Projektordnern, Gesprächsprotokollen oder lokalen Benutzerprofilen. Wird ein dienstliches Notebook zurückgegeben oder ein Server ersetzt, verschwinden diese Daten nicht automatisch. Selbst eine Formatierung bietet abhängig vom Verfahren und vom Speichermedium nicht zwingend den erforderlichen Schutz. Unternehmen müssen deshalb festlegen, wie Datenträger vor einer Weitergabe, einem Verkauf oder einer Wiederverwendung behandelt werden. Besondere Vorsicht ist bei Informationen über Gesundheit, Fehlzeiten, Vergütung, Leistungsbeurteilungen oder arbeitsrechtliche Maßnahmen geboten. Ein unkontrollierter Zugriff kann für die betroffenen Personen erhebliche Folgen haben. Datenschutzgerechte Aussonderungsprozesse sollten daher nicht erst beginnen, wenn ein Gerät die Betriebsräume verlässt. Personalabteilung, IT, Einkauf und Datenschutzverantwortliche müssen frühzeitig zusammenarbeiten und verbindliche Übergabepunkte definieren.
Wann ein Datenschutzbeauftragter erforderlich wird
Zu den bekannten Pflichten im Bundesdatenschutzgesetz zählt die Benennung eines Datenschutzbeauftragten unter den in § 38 BDSG beschriebenen Voraussetzungen. In der Regel ist für nicht öffentliche Stellen relevant, ob mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei geht es nicht allein um Mitarbeitende der IT-Abteilung. Auch Personen in Vertrieb, Buchhaltung, Personalwesen oder Kundenservice können regelmäßig automatisiert Daten verarbeiten. Unabhängig von dieser Personengrenze kann eine Benennung erforderlich sein, wenn Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung unterliegen, oder wenn bestimmte geschäftsmäßige Verarbeitungen erfolgen. Der Datenschutzbeauftragte berät, überwacht die Einhaltung der Vorschriften, unterstützt bei Folgenabschätzungen und fungiert als Kontaktstelle für die Aufsichtsbehörden. Die operative Verantwortung bleibt jedoch beim Unternehmen beziehungsweise bei der Leitung. Auch die Aussonderung von Hardware sollte in die Datenschutzorganisation einbezogen werden. Ein Datenschutzbeauftragter kann beispielsweise prüfen, ob Löschverfahren ausreichend dokumentiert sind, wie Dienstleister kontrolliert werden und ob vertragliche sowie technische Schutzmaßnahmen zusammenpassen. Er ersetzt dabei nicht die IT-Sicherheit, sondern ergänzt sie um eine unabhängige datenschutzrechtliche Perspektive.
Technische und organisatorische Maßnahmen müssen zum Risiko passen
Datenschutzrecht verlangt keine identische Sicherheitslösung für jedes Unternehmen. Die Maßnahmen müssen vielmehr zum jeweiligen Risiko, zum Stand der Technik, zu den Verarbeitungstätigkeiten und zu den schutzbedürftigen Daten passen. Ein Architekturbüro mit vertraulichen Bauplänen hat andere technische Anforderungen als ein Onlinehändler oder ein Krankenhaus. Zu den typischen technischen und organisatorischen Maßnahmen gehören Zugriffskontrollen, Verschlüsselung, Rollen- und Berechtigungskonzepte, Protokollierung, Datensicherungen, Wiederherstellungsverfahren und Schulungen. Häufig wird übersehen, dass diese Schutzmaßnahmen auch für Geräte gelten, die nicht länger produktiv eingesetzt werden. Ein Server im Abstellraum ist nicht automatisch aus dem Verantwortungsbereich verschwunden. Bleiben Datenträger ungeschützt, können frühere Sicherheitsmaßnahmen mit einem Schlag wertlos werden. Deshalb sollte der Lebenszyklus eines Geräts von der Anschaffung bis zur endgültigen Verwertung betrachtet werden. Dazu gehören sichere Zwischenlagerung, kontrollierter Transport, nachvollziehbare Übergabe und ein geeignetes Lösch- oder Vernichtungsverfahren. Je sensibler die gespeicherten Informationen, desto höher sind die Anforderungen an Kontrolle, Nachweis und Auswahl der beteiligten Dienstleister.
Ausgemusterte Hardware ist ein unterschätzter Datenschutzmoment
In vielen Unternehmen wird der Kauf neuer IT sorgfältig geplant, während die alte Ausstattung eher beiläufig behandelt wird. Genau darin liegt ein vermeidbares Risiko. Festplatten, SSDs, Serversysteme, Mobilgeräte und sogar bestimmte Drucker oder Netzwerkkomponenten können personenbezogene Daten speichern. Werden solche Geräte ungeprüft verkauft, gespendet oder entsorgt, drohen Datenabflüsse. Eine einfache manuelle Löschung oder das Verschieben in den Papierkorb reicht nicht. Auch das Zurücksetzen eines Geräts kann je nach System, Konfiguration und Speichertechnologie unzureichend sein. Professionelle Verfahren berücksichtigen die Art des Datenträgers, seinen technischen Zustand und das erforderliche Schutzniveau. Funktionsfähige Hardware lässt sich nach einer wirksamen Datenlöschung häufig weiterverwenden. Ist eine sichere Löschung technisch nicht möglich, kann die kontrollierte physische Vernichtung des Speichermediums notwendig werden. Wichtig ist die Trennung zwischen Gerät und Daten: Ein Notebook kann wirtschaftlich noch wertvoll sein, während die darauf befindlichen Informationen vollständig entfernt werden müssen. Dieser Ansatz schützt nicht nur Betroffene, sondern eröffnet zugleich Möglichkeiten für eine nachhaltigere Nutzung vorhandener Ressourcen.
Sichere Löschung und nachhaltiges IT-Remarketing gehören zusammen
Datenschutz und Nachhaltigkeit werden gelegentlich als konkurrierende Ziele dargestellt. In der Praxis können sie sich sehr gut ergänzen. Eine pauschale Vernichtung sämtlicher ausgemusterter Geräte mag unkompliziert erscheinen, verursacht jedoch unnötigen Ressourcenverbrauch und lässt bestehende Restwerte ungenutzt. Werden Datenträger dagegen fachgerecht behandelt und Geräte technisch geprüft, kann funktionsfähige Hardware in einen zweiten Nutzungszyklus gelangen. KONSER OHG verbindet diesen Gedanken mit professionellem IT-Refurbishing, datenschutzkonformen Prozessen und der Wiedervermarktung gebrauchter IT-Systeme. Für Unternehmen ist dabei nicht nur der mögliche Verkaufserlös interessant. Ebenso bedeutsam sind nachvollziehbare Abläufe, transparente Zuständigkeiten und ein sicherer Umgang mit den gespeicherten Informationen. Nachhaltiges IT-Remarketing beginnt deshalb nicht erst mit dem neuen Käufer, sondern bereits bei der Erfassung, Abholung und Datenbereinigung. Ein seriös aufgebauter Prozess unterscheidet zwischen wiederverwendbaren Geräten, verwertbaren Komponenten und Speichermedien, die aus Sicherheitsgründen vernichtet werden müssen. So entsteht eine Lösung, die Datenschutz, Wirtschaftlichkeit und Ressourcenschutz miteinander verbindet, ohne einen dieser Bereiche lediglich als schmückendes Zusatzargument zu behandeln.
Externe Dienstleister müssen sorgfältig ausgewählt werden
Die Beauftragung eines spezialisierten Dienstleisters entbindet ein Unternehmen nicht automatisch von seinen datenschutzrechtlichen Verantwortlichkeiten. Zunächst ist zu klären, welche Rolle der externe Partner im konkreten Prozess einnimmt. Verarbeitet er personenbezogene Daten im Auftrag des Unternehmens, kann ein Vertrag zur Auftragsverarbeitung erforderlich sein. Je nach Ausgestaltung des Vorgangs sind allerdings auch andere rechtliche Einordnungen möglich. Deshalb sollte der tatsächliche Ablauf betrachtet werden: Wann geht die Hardware über? Wer kann auf gespeicherte Daten zugreifen? Nach welchen Vorgaben wird gelöscht? Was geschieht bei defekten Datenträgern? Werden weitere Unterauftragnehmer eingesetzt? Neben passenden Verträgen sind technische und organisatorische Prüfungen wichtig. Aussagekräftige Löschprotokolle, dokumentierte Transportketten, sichere Betriebsstätten und klar geregelte Vorfälle schaffen Vertrauen. Auch Kontroll- und Weisungsrechte sollten nicht nur auf dem Papier existieren. Ein günstiges Angebot verliert schnell seinen Reiz, wenn Herkunft, Verbleib oder Behandlung der Geräte nicht transparent sind. Datenschutzgerechte Dienstleisterwahl bedeutet daher, Preis, Sicherheit, Erfahrung, Nachweisfähigkeit und Nachhaltigkeit gemeinsam zu bewerten.
Internationale Geschäftsmodelle erhöhen die Anforderungen
Bei grenzüberschreitenden Unternehmen kommen zusätzliche Fragen hinzu. Werden personenbezogene Daten aus Deutschland oder einem anderen EU-Mitgliedstaat in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, gelten die Vorgaben für internationale Datentransfers. Das betrifft nicht nur Datenbanken und Cloud-Dienste. Auch ein physischer Datenträger kann eine Datenübermittlung darstellen, wenn darauf personenbezogene Informationen gespeichert sind und er in ein Drittland gelangt. Bei der IBW Group Dubai sehen wir, wie wichtig frühzeitige Datenschutzplanung für Geschäftsbeziehungen zwischen Europa und der MENA-Region ist. Unternehmen sollten vor einem Transfer prüfen, ob die Daten tatsächlich benötigt werden, welche Rechtsgrundlage greift und welche Garantien erforderlich sind. Je nach Zielland und Konstellation können beispielsweise Standardvertragsklauseln, zusätzliche Schutzmaßnahmen und eine Bewertung des Transferumfelds notwendig sein. Bei gebrauchter Hardware ist die sicherste Lösung häufig, personenbezogene Daten vor dem Export nachweisbar zu löschen. Dadurch wird aus einer potenziell komplexen Datenübermittlung im besten Fall ein reiner Warenverkehr mit bereinigten Geräten.
Löschfristen müssen praktisch umsetzbar sein
Personenbezogene Daten dürfen grundsätzlich nicht unbegrenzt gespeichert werden. Sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten oder anderen rechtlichen Gründe entgegenstehen, müssen sie gelöscht werden. In der Unternehmenspraxis treffen dabei verschiedene Anforderungen aufeinander. Steuer- und handelsrechtliche Unterlagen können über Jahre aufzubewahren sein, während Bewerbungsdaten, alte Benutzerkonten oder nicht mehr benötigte Projektkopien wesentlich früher entfernt werden sollten. Ein gutes Löschkonzept ordnet Datenkategorien konkreten Fristen, Verantwortlichen und technischen Systemen zu. Schwieriger wird es, wenn identische Informationen auf lokalen Rechnern, Sicherungsmedien, mobilen Geräten und Altsystemen verteilt sind. Genau deshalb sollte die Ausmusterung von Hardware mit dem allgemeinen Löschkonzept abgestimmt werden. Wird ein System ersetzt, muss geklärt sein, ob benötigte Daten vollständig und korrekt migriert wurden. Anschließend dürfen auf dem Altgerät keine unkontrollierten Kopien zurückbleiben. Ebenso problematisch wäre es, aufbewahrungspflichtige Unterlagen zu früh zu vernichten. Datenschutzgerechte Löschung ist daher kein spontaner Knopfdruck, sondern ein kontrollierter Prozess zwischen Speicherbegrenzung, Nachweispflichten und gesetzlichen Aufbewahrungsinteressen.
Betroffenenrechte erfordern auffindbare und beherrschbare Datenbestände
Unternehmen müssen in der Lage sein, auf Anfragen betroffener Personen angemessen zu reagieren. Dazu zählen unter anderem Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und – unter bestimmten Voraussetzungen – Datenübertragbarkeit. Solche Rechte lassen sich nur erfüllen, wenn bekannt ist, wo personenbezogene Daten gespeichert werden. Unstrukturierte Altbestände erschweren das erheblich. Ein vergessenes Notebook im Schrank, ein alter Fileserver oder ein ausgelagertes Sicherungsmedium kann Informationen enthalten, die bei einer Auskunftsanfrage eigentlich berücksichtigt werden müssten. Zugleich entstehen unnötige Risiken, wenn Daten ohne nachvollziehbaren Zweck weiter vorgehalten werden. Ein sauberes Asset-Management unterstützt daher nicht nur die IT-Abteilung, sondern auch die Bearbeitung von Betroffenenanfragen. Unternehmen sollten nachvollziehen können, welche Geräte welchen Bereichen zugeordnet waren, wann sie außer Betrieb gingen und wie gespeicherte Daten behandelt wurden. Wurde die Hardware bereits verwertet, schafft ein nachvollziehbarer Lösch- oder Vernichtungsnachweis Klarheit. Die eigentliche Stärke eines solchen Prozesses zeigt sich oft nicht im Alltag, sondern dann, wenn kurzfristig eine verlässliche Antwort benötigt wird.
Datenschutzverletzungen brauchen vorbereitete Reaktionswege
Gehen personenbezogene Daten verloren, werden sie unbefugt offengelegt oder erhalten Unbefugte Zugriff, kann eine meldepflichtige Datenschutzverletzung vorliegen. Abhängig vom Risiko für die betroffenen Personen muss die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden informiert werden. Bei einem hohen Risiko kann zusätzlich eine Benachrichtigung der Betroffenen erforderlich sein. Unter Zeitdruck erstmals Zuständigkeiten zu suchen, ist keine gute Strategie. Unternehmen benötigen einen festen Notfallprozess mit klaren Meldewegen, Ansprechpartnern und Bewertungskriterien. Das gilt auch für Vorfälle rund um ausgesonderte Hardware. Ein verschwundener Datenträger, eine fehlerhafte Löschung oder eine ungeklärte Transportkette sollte nicht als bloßes Logistikproblem behandelt werden. Benötigt werden Informationen darüber, welche Daten betroffen sein könnten, wie viele Personen berührt sind, welche Schutzmaßnahmen bestanden und ob ein tatsächlicher Zugriff wahrscheinlich ist. Gute Dokumentation kann in diesem Moment entscheidend sein. Sie erleichtert die Risikobewertung und zeigt, dass nicht improvisiert, sondern nach einem vorbereiteten Verfahren gehandelt wurde.
Eine belastbare Datenschutzpraxis beginnt mit klaren Fragen
Für die Umsetzung empfiehlt sich ein pragmatischer Blick auf die tatsächlichen Abläufe. Welche personenbezogenen Daten verarbeitet das Unternehmen? Auf welchen Geräten und Systemen befinden sie sich? Wer entscheidet über Austausch, Verkauf oder Entsorgung der Hardware? Wie werden Datenträger während Lagerung und Transport geschützt? Welche Löschverfahren kommen zum Einsatz, und wer überprüft deren Erfolg? Gibt es für jedes Gerät oder jede Charge einen eindeutigen Nachweis? Werden externe Partner regelmäßig bewertet? Solche Fragen machen abstrakte rechtliche Anforderungen greifbar. Sie helfen außerdem, Lücken zwischen IT, Einkauf, Compliance, Personalabteilung und Geschäftsführung zu erkennen. Die Pflichten im Bundesdatenschutzgesetz sollten dabei nicht als einmaliges Projekt verstanden werden. Geschäftsmodelle verändern sich, neue Systeme kommen hinzu, Mitarbeitende wechseln und technische Standards entwickeln sich weiter. Prozesse müssen deshalb regelmäßig kontrolliert und angepasst werden. Wer Datenschutz mit einem strukturierten IT-Lebenszyklus verbindet, reduziert Risiken und gewinnt zugleich Transparenz über vorhandene Vermögenswerte. Im besten Fall entsteht daraus kein schwerfälliger Verwaltungsapparat, sondern ein verlässlicher, wirtschaftlicher und nachhaltiger Bestandteil der Unternehmensorganisation.
Häufige Fragen zum Bundesdatenschutzgesetz und zur Datenlöschung
Rund um die praktische Umsetzung des deutschen Datenschutzrechts tauchen im Unternehmensalltag immer wieder ähnliche Fragen auf. Besonders groß ist die Unsicherheit dort, wo rechtliche Vorgaben, technische Möglichkeiten und betriebliche Abläufe ineinandergreifen. Das betrifft etwa die Benennung eines Datenschutzbeauftragten, den Umgang mit alten Datenträgern, die Auswahl externer Dienstleister oder die Frage, wie eine ordnungsgemäße Löschung nachgewiesen werden kann. Pauschale Antworten sind dabei mit Vorsicht zu genießen, denn die richtige Vorgehensweise hängt häufig von der Art der Daten, dem konkreten Verarbeitungszweck und dem Risiko für betroffene Personen ab. Die folgenden Antworten vermitteln daher eine praxisnahe Orientierung. Bei komplexen Einzelfällen, besonderen Kategorien personenbezogener Daten oder internationalen Verarbeitungen kann eine zusätzliche rechtliche beziehungsweise datenschutzfachliche Prüfung erforderlich sein.
Was ist der Unterschied zwischen DSGVO und Bundesdatenschutzgesetz?
Die DSGVO gilt unmittelbar in allen Mitgliedstaaten der Europäischen Union und stellt den übergeordneten Rahmen für die Verarbeitung personenbezogener Daten dar. Sie enthält beispielsweise die grundlegenden Verarbeitungsprinzipien, die Rechte betroffener Personen, die Pflichten von Verantwortlichen und Auftragsverarbeitern sowie Vorgaben für Datenschutzverletzungen. Das Bundesdatenschutzgesetz ergänzt diese europäischen Regelungen für Deutschland. Möglich wird das durch sogenannte Öffnungs- und Konkretisierungsklauseln der DSGVO. Das BDSG enthält unter anderem nationale Bestimmungen zum Beschäftigtendatenschutz, zu Datenschutzbeauftragten und zu den Aufgaben der Aufsichtsbehörden. Unternehmen können sich deshalb nicht aussuchen, welches der beiden Regelwerke sie anwenden möchten. Im betrieblichen Alltag müssen DSGVO und BDSG gemeinsam betrachtet werden. Hinzu kommen gegebenenfalls weitere Vorschriften, etwa branchenspezifische Geheimhaltungspflichten, arbeitsrechtliche Regeln sowie steuer- und handelsrechtliche Aufbewahrungsvorgaben.
Welche Unternehmen müssen einen Datenschutzbeauftragten benennen?
Nicht öffentliche Stellen müssen in Deutschland in der Regel einen Datenschutzbeauftragten benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Entscheidend ist dabei nicht nur die Zahl der Vollzeitbeschäftigten. Auch Teilzeitkräfte, Auszubildende, freie Mitarbeitende oder Mitglieder der Geschäftsleitung können je nach Tätigkeit mitzuzählen sein. Ebenso wenig beschränkt sich die Betrachtung auf die IT-Abteilung. Wer regelmäßig Kundendaten in einer Software bearbeitet, Personalinformationen verwaltet oder digitale Bestellungen verarbeitet, kann unter diese Voraussetzung fallen. Eine Benennung kann unabhängig von der Personenzahl notwendig werden, beispielsweise wenn eine Datenschutz-Folgenabschätzung vorgeschrieben ist. Unternehmen sollten die Voraussetzungen daher nicht allein anhand ihrer Gesamtgröße beurteilen. Wichtig sind die konkreten Verarbeitungstätigkeiten, deren Umfang und die damit verbundenen Risiken. Die verantwortliche Unternehmensleitung bleibt trotz der Benennung für die rechtskonforme Organisation des Datenschutzes zuständig.
Reicht es aus, eine Festplatte zu formatieren oder Dateien manuell zu löschen?
Das Löschen einzelner Dateien, das Leeren des Papierkorbs oder eine einfache Schnellformatierung reicht für eine sichere Datenlöschung normalerweise nicht aus. Bei solchen Vorgängen werden häufig lediglich Verweise im Dateisystem entfernt, während die eigentlichen Inhalte zumindest teilweise auf dem Datenträger verbleiben. Mit geeigneten Werkzeugen können sie unter Umständen wiederhergestellt werden. Welches Löschverfahren angemessen ist, hängt von der Speichertechnik, dem Zustand des Datenträgers und der Schutzbedürftigkeit der Daten ab. Festplatten, SSDs, Flash-Speicher und mobile Geräte müssen nicht zwangsläufig identisch behandelt werden. Bei funktionsfähigen Datenträgern kann ein geprüftes softwarebasiertes Löschverfahren geeignet sein. Defekte oder nicht zuverlässig löschbare Speichermedien müssen gegebenenfalls kontrolliert physisch vernichtet werden. Vor einer Wiederverwendung oder Weitergabe sollte außerdem geprüft und dokumentiert werden, ob der gewählte Löschvorgang erfolgreich abgeschlossen wurde.
Wie lange dürfen personenbezogene Daten gespeichert werden?
Eine einheitliche Speicherfrist für alle personenbezogenen Daten gibt es nicht. Nach dem Grundsatz der Speicherbegrenzung dürfen Daten nur so lange aufbewahrt werden, wie sie für den jeweiligen Zweck benötigt werden. Danach sind sie grundsätzlich zu löschen, sofern keine gesetzliche Aufbewahrungspflicht, ein laufender Rechtsstreit oder ein anderer legitimer Grund für die weitere Speicherung besteht. Die zulässige Dauer richtet sich deshalb nach der Datenkategorie und dem Nutzungskontext. Rechnungsunterlagen können anderen Fristen unterliegen als Bewerbungsunterlagen, Supportanfragen oder ehemalige Benutzerkonten. Unternehmen sollten diese Unterschiede in einem dokumentierten Löschkonzept abbilden. Darin werden Datenarten, Speicherorte, Löschfristen, Ausnahmen und Zuständigkeiten festgehalten. Wichtig ist außerdem, Sicherungskopien, lokale Geräte und Altsysteme einzubeziehen. Eine Löschung in der zentralen Anwendung genügt wenig, wenn identische Informationen weiterhin auf einem ausgemusterten Notebook oder einem alten Server verfügbar sind.
Ist für die Datenlöschung durch einen externen Dienstleister ein Vertrag zur Auftragsverarbeitung notwendig?
Ob ein Vertrag zur Auftragsverarbeitung erforderlich ist, hängt von der konkreten Ausgestaltung der Zusammenarbeit ab. Erhält ein externer Dienstleister Zugriff auf personenbezogene Daten und verarbeitet diese nach den Weisungen des beauftragenden Unternehmens, spricht vieles für eine Auftragsverarbeitung. Bei der Übernahme und Löschung gebrauchter IT-Geräte kann dies je nach Prozess der Fall sein. Eine pauschale Einordnung allein anhand der Bezeichnung des Vertrags wäre jedoch zu kurz gegriffen. Zu prüfen ist unter anderem, wer über Zweck und Mittel der Verarbeitung entscheidet, wann Eigentum und tatsächliche Kontrolle übergehen und ob ein Zugriff auf gespeicherte Daten vorgesehen oder zumindest möglich ist. Neben der rechtlichen Einordnung sollten Unternehmen Sicherheitsmaßnahmen, Vertraulichkeit, Unterauftragnehmer, Rückgabe- und Löschpflichten sowie Kontrollrechte regeln. Im Zweifel empfiehlt sich eine Prüfung durch den Datenschutzbeauftragten oder eine entsprechend qualifizierte Rechtsberatung.
Wie kann ein Unternehmen die ordnungsgemäße Datenlöschung nachweisen?
Ein belastbarer Nachweis sollte eine eindeutige Verbindung zwischen dem jeweiligen Gerät oder Datenträger und dem ausgeführten Löschvorgang herstellen. Sinnvolle Angaben sind beispielsweise Inventar- oder Seriennummer, Gerätetyp, Speichermedium, Datum der Bearbeitung, verwendetes Verfahren, Löschstatus und verantwortliche Stelle. Bei größeren Beständen können chargenbezogene Nachweise zweckmäßig sein, sofern die einzelnen Geräte innerhalb der Charge nachvollziehbar erfasst bleiben. Auch fehlgeschlagene Löschungen sollten dokumentiert werden. In diesem Fall muss erkennbar sein, wie anschließend mit dem Datenträger verfahren wurde, etwa durch kontrollierte physische Vernichtung. Ergänzend sind Übergabeprotokolle, Transportnachweise und dokumentierte Kontrollschritte hilfreich. Ein Zertifikat allein ersetzt allerdings keinen schlüssigen Gesamtprozess. Unternehmen sollten prüfen können, ob die Angaben plausibel sind und zum eigenen Gerätebestand passen. Die Dokumentation muss außerdem entsprechend den internen Nachweis- und Aufbewahrungsanforderungen geschützt verfügbar bleiben.
Dürfen gelöschte Firmencomputer anschließend verkauft oder gespendet werden?
Grundsätzlich können gebrauchte Firmencomputer verkauft, gespendet oder innerhalb einer Organisation weitergegeben werden, wenn die darauf gespeicherten personenbezogenen und vertraulichen Daten zuvor wirksam entfernt wurden. Vor der Weitergabe sollten Unternehmen jedoch mehr als nur die sichtbaren Benutzerdateien betrachten. Informationen können sich unter anderem in lokalen Profilen, versteckten Partitionen, E-Mail-Archiven, Browserdaten, temporären Verzeichnissen oder integrierten Speichern befinden. Auch gespeicherte Zugangsdaten, Verschlüsselungsschlüssel und Konfigurationsinformationen können ein Sicherheitsrisiko darstellen. Nach der Datenlöschung ist eine technische Prüfung sinnvoll, bevor das Gerät in einen neuen Nutzungszyklus gelangt. Bestehen Zweifel daran, dass ein Datenträger zuverlässig gelöscht werden kann, sollte dieser ausgebaut und sicher vernichtet werden. Das übrige Gerät lässt sich gegebenenfalls mit einem neuen Speichermedium weiterverwenden. Auf diese Weise können Datenschutz, Werterhalt und Ressourcenschonung miteinander vereinbart werden.
Was ist zu tun, wenn ein alter Datenträger verloren geht?
Der Verlust eines Datenträgers sollte unverzüglich an die intern zuständige Stelle gemeldet werden. Zunächst muss geklärt werden, ob sich personenbezogene Daten auf dem Medium befanden, welche Personengruppen betroffen sein könnten und ob Schutzmaßnahmen wie eine wirksame Verschlüsselung bestanden. Anschließend ist das Risiko für die Rechte und Freiheiten der betroffenen Personen zu bewerten. Führt der Vorfall voraussichtlich zu einem entsprechenden Risiko, muss grundsätzlich eine Meldung an die zuständige Datenschutzaufsichtsbehörde erfolgen. Dafür gilt regelmäßig eine Frist von 72 Stunden ab Bekanntwerden der Verletzung. Bei einem hohen Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen notwendig sein. Unabhängig von einer Meldepflicht ist der Vorgang intern zu dokumentieren. Unternehmen sollten außerdem prüfen, wie es zum Verlust kommen konnte und welche Maßnahmen eine Wiederholung verhindern, beispielsweise sicherere Transportbehälter, lückenlose Übergabeprotokolle oder strengere Lagerungsregeln.