Löschen von Daten. Ein Stück in vielen Akten

Persönliche Daten, die nicht (mehr) da sind, können auch nicht missbraucht werden. Diese Logik steckt hinter der Verpflichtung, personenbezogene Daten wieder zu löschen, sobald man sie nicht mehr braucht. Und sobald keine andere Stelle aufgrund von Gesetzen auf einer weiteren Speicherung besteht, wie z.B. das Finanzamt.

Klingt einfach, ist aber in der Praxis alles andere als einfach. Manchmal denke ich, der Mensch ist dem Eichhörnchen verwandt und hortet einfach gerne. Hinzu kommen die Tücken von IT-Systemen und Software.

Es ist auch heute nicht selbstverständlich, dass sich Daten unkompliziert und automatisiert löschen lassen. Auf diese Weise wird das Löschen von Personendaten in der Praxis oftmals zu einem Theaterstück in vielen Akten.

Einer meiner Auftraggeber speicherte eine Fülle unternehmenskritischer Informationen in einem riesigen allgemeinen Archiv. Schon zu Beginn meiner Tätigkeit war dieses Archiv ungefähr 10 Jahre alt und die meisten Daten hätten längst nicht mehr vorhanden sein dürfen. Ich und auch die internen Datenschutzverantwortlichen mahnten das Löschen der Daten an, für die keine weitere Aufbewahrung erlaubt war.

Die Reaktion der Geschäftsführung: nein. Gelöscht werde gar nichts.

Nun denn - ich bin verantwortlich für die richtigen Ratschläge, den Rest müssen andere tun. Oder auch nicht.

Nach einer Beschwerde einer Kundin des Auftraggebers bei einer Datenschutzaufsichtsbehörde kam das Thema wieder hoch. Ich war sicher, es würde Ärger geben und die Aufsichtsbehörde die rechtswidrige Speicherung der Daten der Kundin in diesem Archiv beanstanden. Die Aufsichtsbehörde allerdings brauchte 18 Monate, um in der Sache zu einer Entscheidung zu kommen und stellte keine weiteren kritischen Fragen zum Sinn der Speicherung im Archiv.

Als wir schließlich an einem Löschkonzept für das gesamte Unternehmen arbeiteten, sagte man mir, es sei jetzt doch geplant, Daten aus dem allgemeinen Unternehmensarchiv zu löschen. Der Grund war aber nicht unser Löschkonzept.

Der Grund war vielmehr, dass die technischen Kapazitäten nicht mehr ausreichten, das Archiv drohte sozusagen zu platzen, und eine Erweiterung wäre sehr teuer geworden.

Das Löschen hatte gerade Stück für Stück begonnen, da kam der Cyberangriff. Der Angreifer kopierte keine Daten – er zerstörte das Archiv so gründlich, dass nichts mehr davon übrig war. „Aus Datenschutzsicht eigentlich gar nicht so schlecht“, sagte mein Ansprechpartner und ich versuchte nicht zu lachen. Seine Geschäftsführung hatte jedoch den verrückten Einfall, das Archiv wieder aufbauen zu lassen. Ein Dienstleister erklärte, er könne da nichts mehr retten. Ein zweiter Dienstleister sah das anders und machte sich an die Arbeit. „Dann können Sie sich das weitere Löschen ja sparen“, sagte ich. „Soll er doch nur die Daten wiederherstellen, die Sie noch brauchen“. Das, hatte der Dienstleister gleich zu Beginn klargestellt, sei nicht möglich. Entweder alle Daten oder keine.

Das Ende baute ein hochspezialisierter Dienstleister ein Datenarchiv wieder auf, damit danach ein Großteil des Inhalts wieder gelöscht würde. Eugène Ionescu hätte es sich nicht besser ausdenken können.