Das IT-System hatte in seinem Archiv eine L\u00f6schung nicht vorgesehen, und so waren \u00fcber viele Jahre hinweg im datenschutzrechtlichen Sinne nicht mehr erforderliche (Versto\u00df Zweckbindungsgrundsatz<\/em> und Grundsatz der Speicherbegrenzung<\/em>), sensible (z.B. Sozialversicherungs-) Daten gespeichert und f\u00fcr mit den Vorg\u00e4ngen nicht befasste Mitarbeiter des Verantwortlichen (Versto\u00df need-to-know-Prinzip) einsehbar abgelegt.<\/p>\n\n\n\n Die Verletzung der Datenschutzgrunds\u00e4tze des Art. 5 DSGVO<\/a>, wozu u.a. die Speicherbegrenzung und die Rechenschaftspflicht geh\u00f6ren, ist mit einem Bu\u00dfgeldrisiko von bis zu 20 Mio. EUR oder 4 % des Jahresgesamtumsatzes bedroht (Art. 83 Abs. 5a DSGVO<\/a>).<\/p>\n\n\n\n Die Bu\u00dfgeldh\u00f6he kann sich unter anderem nach den Kategorien der unter Verletzung der einschl\u00e4gigen Vorschriften weiterverarbeiteten Daten ergeben, aber auch das Fehlen von Dokumentationen einbeziehen, ferner die Anzahl der betroffenen Personen und insbesondere auch unzureichende technische und organisatorische Datenschutzma\u00dfnahmen.<\/p>\n\n\n\n In zivilrechtlicher Hinsicht besteht \u00fcber Art. 82 DSGVO<\/a> die M\u00f6glichkeit, dass betroffene nat\u00fcrliche Personen, denen durch die unterlassene Datenl\u00f6schung oder sonstige Verst\u00f6\u00dfe gegen die Verpflichtung zur Erstellung und Unterhaltung eines L\u00f6schkonzepts unmittelbare oder mittelbare Sch\u00e4den entstanden sind, diese gegen\u00fcber dem Verantwortlichen geltend machen. <\/p>\n\n\n\n Ihnen steht dabei eine prozessuale Privilegierung durch Beweislastumkehr zu ihren Gunsten zur Seite. Daher ist die Dokumentation eines L\u00f6schkonzepts von hoher Wichtigkeit, nicht zuletzt auch zur Beweissicherung und zur Abwehr unberechtigter Anspr\u00fcche Dritter oder seitens der Aufsichtsbeh\u00f6rden.<\/p>\n\n\n\n Wertvolle Orientierung geben hier \u2013 wie im Teil 1<\/a> bereits erw\u00e4hnt \u2013 die DIN 66399, ferner das BSI-Grundschutzkompendium im Baustein \u201eL\u00f6schen und Vernichten\u201c CON.6<\/a>, das Erfordernis zur Angabe der Dauer der Datenverarbeitung im Verzeichnis der Verarbeitungst\u00e4tigkeiten (Art. 30 Abs. 1 lit. f DSGVO) und der Baustein 60 des Standarddatenschutzmodells<\/a> der Datenschutzaufsichtsbeh\u00f6rden zur L\u00f6schung und Vernichtung von Daten.<\/p>\n\n\n\n Die Erstellung eines L\u00f6schkonzepts wird daher regelm\u00e4\u00dfig notwendig sein, um der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO nachzukommen.<\/p>\n\n\n\n Hierbei k\u00f6nnen neu entwickelte Softwarel\u00f6sungen unterst\u00fctzend hinzugezogen werden. Dieses k\u00f6nnen als weiteren Compliance-Garanten f\u00fcr Unternehmen und \u00f6ffentliche Verwaltung \u00fcberaus hilfreich sein, ein L\u00f6schkonzept zu erstellen und nachfolgend zu aktualisieren. Dr. Jens B\u00fccking ist Rechtsanwalt und Fachanwalt f\u00fcr IT-Recht. Er ist Mitbegr\u00fcnder und Senior Partner der internationalen Kanzlei e|<\/sub>s|<\/sub>b, Lehrbeauftragter, VOI Certified Expert \u201eRisk Management and Compliance\u201c und Datenschutzbeauftragter und renommierter Autor diverser Fachpublikationen zum IT- und IP-Recht.<\/p>\n\n\n\n Herr Dr. B\u00fccking fungiert zudem als Gesch\u00e4ftsf\u00fchrer der e|<\/sub>s|<\/sub>b data gmbh. Die e|<\/sub>s|<\/sub>b data gmbh bietet eine umfassende Beratung und Unterst\u00fctzung bei der Umsetzung der Datenschutzgrundverordnung (DSGVO) sowie anderer Datenschutzbestimmungen.<\/p>\n\n\n
Inzwischen stehen die DSGVO-Konformit\u00e4t erleichternde Tools zur Verf\u00fcgung, welche die in der jeweiligen Organisation eingesetzte Software nach verarbeiteten Datenarten klassifiziert, mehrstufige Fristen f\u00fcr L\u00f6schtermine hinterlegt und ein Gesamtverzeichnis f\u00fcr Verarbeitungst\u00e4tigkeiten anlegen kann.<\/p>\n\n\n\u00dcber den Autor:<\/h4>\n\n\n\n
![\"\"](\"https:\/\/www.mammut-aktenvernichtung.de\/bl\/wp-content\/uploads\/2024\/03\/dr-jens-buecking-1.jpg\" "\\"dr-jens-buecking-1\\"")
<\/figure>\n\n<\/div><\/div>\n\n