(Teil eins von zwei)
Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union steht bevor: Der Stichtag für den Übergang ist offiziell auf den 25. Mai 2018 festgelegt. In früheren Beiträgen haben wir die meisten neuen Pflichten und Rollen erläutert, eine Frage verdient jedoch weiterhin mehr Aufmerksamkeit: das sogenannte „Recht auf Vergessenwerden“.
Der Verantwortliche (eine Person oder Organisation, die Daten verarbeitet) ist nach der DSGVO unter bestimmten Umständen verpflichtet, betroffenen Personen (der in der DSGVO verwendete Fachbegriff für eine Person) die Löschung beziehungsweise die Möglichkeit zur Ausübung des Rechts auf Vergessenwerden anzubieten.
Wenn ein EU-Bürger sein Recht auf Vergessenwerden geltend macht, muss der Verantwortliche alle personenbezogenen Daten über diese Person löschen, die sich in seinem Besitz befinden. Allerdings zeichnet sich sofort eine Grauzone ab: Wenn der Verantwortliche die Dienste verschiedener Auftragsverarbeiter nutzt (etwa externer Anbieter von Cloud-Speicher) und ein Teil der personenbezogenen Daten der betroffenen Person bei diesen Auftragsverarbeitern gespeichert ist, wer ist dann für die Löschung verantwortlich: der Verantwortliche (der die personenbezogenen Daten der betroffenen Person ursprünglich erhoben und verarbeitet hat) oder der bzw. die Auftragsverarbeiter?
Es ist klar, dass der Verantwortliche dafür zuständig ist, dass die betroffene Person ihre Rechte in Bezug auf personenbezogene Daten ausüben kann, einschließlich:
- • Auskunft (die Möglichkeit zu erfahren, welche personenbezogenen Daten der Verantwortliche und der Auftragsverarbeiter über die jeweilige Person gesammelt haben)
- • Berichtigung (die Möglichkeit, die Korrektur jeglicher Fehler in den Daten zu verlangen)
- • Einschränkung der Verarbeitung
- • Datenübertragbarkeit
- • Löschung
Jeder vom Verantwortlichen eingesetzte Auftragsverarbeiter ist gleichzeitig verpflichtet, ihn durch „geeignete technische und organisatorische Maßnahmen“ zu unterstützen, um die Einhaltung der Rechte betroffener Personen zu erleichtern.
Personen haben das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn:
- • Die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind
- • Die betroffene Person ihre Einwilligung zur Verarbeitung ihrer Daten widerruft und keine anderen rechtlichen Gründe für die weitere Verarbeitung bestehen; also wenn der Verantwortliche keine überwiegende, berechtigte Grundlage für die Verarbeitung nachweisen kann
- • Die Verarbeitung anderweitig rechtswidrig ist
Dies sind alle Bedingungen, unter denen der Verantwortliche dem Löschantrag der betroffenen Person entsprechen muss.
Mehr als nur Primärdaten: das Recht auf Vergessenwerden und Datensicherungen
Wenn eine Person ihr Recht auf Vergessenwerden ausübt, erwartet sie wahrscheinlich, dass auch Sicherungskopien ihrer personenbezogenen Daten gelöscht werden. Dies stellt Verantwortliche und Auftragsverarbeiter vor ein technisches Problem. Die personenbezogenen Daten der betroffenen Person können über viele Anwendungen verteilt sein, die von einem bestimmten Unternehmen genutzt werden (z. B. CRM-, Marketing-Automatisierungs- oder Bestellsysteme usw.), und in vielen lokalen sowie Cloud-Datenspeichern abgelegt sein. Die mit den einzelnen Anwendungen verbundenen Sicherungen können in getrennten Archiven gespeichert werden. Darüber hinaus enthält jedes Sicherungsarchiv in der Regel Daten aus vielen weiteren Anwendungen bzw. von vielen weiteren Nutzern.
Üblicherweise sind die Originaldaten und Sicherungsarchive so organisiert und gezielt eingerichtet, dass die Löschung personenbezogener Daten einer einzelnen Person ohne Auswirkungen auf die Sicherungen anderer Anwendungen und Nutzer praktisch nicht durchführbar ist. Die Löschung der Daten eines einzelnen Nutzers kann negative Folgen für die Datensicherheit vieler weiterer Nutzer haben – und damit effektiv sämtliche Vorteile zunichtemachen, die die Datensicherung bot.
Abwägung konkurrierender Pflichten
Da Acronis ein auf Datenschutz ausgerichtetes Unternehmen ist, ist es verpflichtet, Sicherungen auch bei Eingang eines Löschantrags aufzubewahren. Wir betreiben ein weltweites Netzwerk von Rechenzentren, in denen die Sicherungsarchive unserer Partner und Kunden gespeichert werden. Acronis kann jedoch nicht einsehen, welche Daten in den Rechenzentren gespeichert sind und ob es sich dabei um personenbezogene oder andere Daten handelt.
Selbst wenn wir davon ausgingen, dass die meisten Sicherungsarchive personenbezogene Daten enthalten, die Gegenstand eines Löschantrags sein werden, kann Acronis die Änderung eines Sicherungsarchivs in vielen Fällen aufgrund vertraglicher oder rechtlicher Verpflichtungen gegenüber unseren Kunden und Partnern nicht zulassen. In einigen Fällen geht es darum, die grundlegende Funktion der Datensicherung zu erhalten: die Wiederherstellung verlorener oder beschädigter Daten aus einer exakten Kopie zu ermöglichen, die zu einem bestimmten Zeitpunkt erstellt wurde. In anderen Fällen müssen wir die Sicherungsarchive unserer Kunden und Partner aufbewahren, weil sie sich darauf verlassen, um ihre eigenen regulatorischen und rechtlichen Verpflichtungen einzuhalten.
Beispielsweise können sie auf vollständig erhaltene Sicherungen angewiesen sein, um Anfragen zur elektronischen Beweiserhebung in laufenden Gerichtsverfahren zu erfüllen oder steuerliche beziehungsweise branchenspezifische Vorschriften zur Aufbewahrung von Unterlagen einzuhalten. In solchen Fällen erkennt die DSGVO an, dass personenbezogene Daten nicht unmittelbar nach Bearbeitung eines Löschantrags aus Sicherungen entfernt werden können, weil andere Anforderungen Vorrang haben.
Pflichten nach der Wiederherstellung
Beachten Sie, dass die primäre Verantwortung für die Einhaltung des Rechts auf Löschung bei den Verantwortlichen liegt. Da die Wiederherstellung eines Produktionssystems zur Wiedereinführung zuvor gelöschter Daten führen kann, muss der Verantwortliche weitere Maßnahmen ergreifen und sicherstellen, dass die betreffenden Daten nach der Wiederherstellung erneut aus dem Produktionssystem gelöscht werden.
Die Frage der Einhaltung des Rechts eines Nutzers auf Vergessenwerden lässt sich im Zusammenhang mit Sicherungsarchiven auf zwei Fragen reduzieren:
- • Wie lassen sich Daten schützen, wenn ihre Kopie in einem Sicherungsarchiv fortbesteht?
- • Wie lassen sich die von der DSGVO eingeführten Grundsätze der Datenminimierung einhalten, also nur das erforderliche Minimum an Daten für den Zeitraum aufzubewahren, in dem wir sie unbedingt benötigen?
Acronis bietet einige bewährte Verfahren – sowie mehrere hilfreiche Funktionen in unseren Produkten und Dienstleistungen zum Datenschutz – die Partnern (einschließlich Anbietern verwalteter Dienste, die Backup-as-a-Service auf der Acronis Data Cloud-Plattform anbieten) und ihren Kunden (Unternehmen, die als Verantwortliche für die personenbezogenen Daten von EU-Bürgern fungieren) dabei helfen, diese außergewöhnlichen Herausforderungen zu bewältigen, die sich aus der Notwendigkeit zur Einhaltung der DSGVO ergeben. Diese Empfehlungen und die Technologien, die wir zur Unterstützung anbieten, werden wir im zweiten Teil dieses Beitrags erläutern.
Autor: James Slaby
Wir weisen darauf hin, dass dieser Beitrag ausschließlich Informationszwecken dient. Er ist nicht als Rechtsberatung gedacht und sollte nicht als solche verstanden werden. Sie sollten nicht auf Grundlage dieses Beitrags handeln, ohne weitere rechtliche oder sonstige professionelle Beratung einzuholen.
Quelle: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Artikelautor: ZEBR.ai-Redaktion
