Lesezeit: 3 Min
Grundsätze und ihre Einhaltung nach DS-GVO und BDSG
Der Datenschutz ist eine zentrale Säule der Informationssicherheit in Unternehmen. Einer der fundamentalen Prinzipien der Datenschutzgrundverordnung (DS-GVO) ist der Grundsatz der Speicherbegrenzung.
Dieser Grundsatz besagt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. In diesem Artikel erläutern wir, warum die Speicherbegrenzung im Datenschutz wichtig ist, und was Unternehmen beachten müssen, um diesem Prinzip gerecht zu werden.
BLOG-TIPP: DATENSCHUTZ FÜR UNTERNEHMEN IN NRW – GRUNDSÄTZE DES DATENSCHUTZES
Warum ist die Speicherbegrenzung im Datenschutz wichtig?
Es gibt wichtige Gründe, warum es gilt, die Speicherbegrenzung im Datenschutz einzuhalten, dazu gehört der Schutz der Privatsphäre. Der Schutz personenbezogener Daten ist essenziell, um die Privatsphäre der betroffenen Personen zu gewährleisten. Übermäßige und unnötige Speicherung von Daten erhöht das Risiko von Datenschutzverletzungen.
Wie kann die Speicherbegrenzung umgesetzt werden?
Um den Grundsatz der Speicherbegrenzung im Sinne des Datenschutzes umzusetzen, müssen die Daten entweder gelöscht werden oder der Bezug zum Betroffenen aufgehoben werden, damit es keine personenbezogenen Daten mehr sind. Die DS-GVO sagt dabei, dass die Identifikation des Betroffenen durch die Daten nicht mehr gegeben sein darf. Das kann zum Beispiel durch Anonymisierung erfolgen.
BLOG-TIPP: ANONYMISIERUNG UND PSEUDONYMISIERUNG IM DATENSCHUTZ
Speicherbegrenzung, Zweckbindung und Recht auf Löschung
Eng gebunden an den Grundsatz der Speicherbegrenzung ist der Grundsatz der Zweckbindung. Dieser besagt, dass personenbezogene Daten nur zu dem Zweck verarbeitet werden dürfen, für den Sie erfasst wurden. Diese liegen so eng beieinander, weil es ohne den definierten Zweck auch keine Löschfrist und somit die Speicherbegrenzung geben kann.
Das zur Speicherbegrenzung gehörende Betroffenenrecht ist das Recht auf Löschung bzw. das Recht auf Vergessenwerden. Damit hat der Betroffene das Recht, die Löschung seiner Daten zu verlangen.
Je länger Daten gespeichert werden, desto größer ist das Risiko, dass sie unbefugten Personen in die Hände fallen. Durch die begrenzte Speicherung und die regelmäßige Löschung nicht mehr benötigter Daten wird das Risiko von Datenpannen reduziert.
BLOG-TIPP: BETROFFENRECHTE IM DATENSCHUTZ FÜR NRW
Rechtliche Pflichten – Speicherbegrenzung im Datenschutz
Die DS-GVO und das Bundesdatenschutzgesetz (BDSG) verpflichten Unternehmen, personenbezogene Daten nur so lange aufzubewahren, wie es für die Erreichung des Zwecks der Datenverarbeitung notwendig ist. Verstöße gegen diese Regelungen können zu erheblichen Bußgeldern und rechtlichen Konsequenzen führen.
Was müssen Unternehmen beachten?
Unternehmen müssen klar definieren, wie lange sie bestimmte personenbezogene Daten aufbewahren. Diese Dauer sollte auf den rechtlichen und geschäftlichen Anforderungen basieren. Beispielsweise können gesetzliche Aufbewahrungsfristen für steuerliche Unterlagen oder arbeitsrechtliche Dokumente gelten.
Dabei spielt im nächsten Schritt auch die Implementierung von Löschfristen eine wichtige Rolle. Es ist ratsam, interne Richtlinien und Verfahren für die regelmäßige Überprüfung und Löschung nicht mehr benötigter Daten zu etablieren. Dies umfasst sowohl manuelle als auch automatisierte Löschprozesse.
Unternehmen sollten nachvollziehbar dokumentieren, wie lange Daten aufbewahrt werden und welche Maßnahmen zur Einhaltung der Speicherbegrenzung getroffen werden. Dies ist nicht nur aus Gründen der Rechenschaftspflicht gegenüber Aufsichtsbehörden sinnvoll, sondern auch um Transparenz gegenüber den betroffenen Personen zu gewährleisten.
BLOG-TIPP: DATENSCHUTZ: LÖSCHFRISTEN UND AUFBEWAHRUNGSPFLICHTEN FÜR UNTERNEHMEN IN NRW
Mitarbeiter sensibilisieren
Schulungen und regelmäßige Sensibilisierungsmaßnahmen für Mitarbeiter sind essenziell, damit diese die Bedeutung der Speicherbegrenzung verstehen und in ihrer täglichen Arbeit berücksichtigen. Noch gilt der Mensch als größtes Risiko im Datenschutz.
Beispiel für die Speicherbegrenzung im Datenschutz
Ein Beispiel für die Umsetzung der Speicherbegrenzung kann in der Personalabteilung eines Unternehmens gefunden werden. Nach Beendigung eines Arbeitsverhältnisses können bestimmte personenbezogene Daten, wie steuerliche Informationen und arbeitsrechtliche Nachweise, bis zu zehn Jahre aufbewahrt werden, um rechtlichen Verpflichtungen nachzukommen. Nach Ablauf dieser Frist müssen die Daten jedoch gelöscht oder anonymisiert werden, um die Erfüllung des Grundsatzes der Speicherbegrenzung sicherzustellen.
Die Umsetzung des Grundsatzes der Speicherbegrenzung ist komplex
Die Speicherbegrenzung ist ein wesentliches Prinzip im Datenschutz, das maßgeblich dazu beiträgt, die Privatsphäre der betroffenen Personen zu schützen und das Risiko von Datenschutzverletzungen zu minimieren. Unternehmen müssen klare Richtlinien und Verfahren implementieren, um sicherzustellen, dass personenbezogene Daten nur so lange gespeichert werden, wie es notwendig ist.
Die Umsetzung dieses Grundsatzes im Datenschutz ist komplex, da alle Prozesse bei denen personenbezogene Daten verarbeitet werden, analysiert und auf die Speicherbegrenzung nach DS-GVO hin geprüft werden müssen. Dabei sollten sich Unternehmen Beratung durch einen Fachmann wie einen externen Datenschutzbeauftragten suchen, der Ihnen bei der Umsetzung und Bewertung helfen kann.
Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten, ein Datenschutz-Audit und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.
Wir betreuen Mandanten in Köln, Düsseldorf, Siegen, Bonn, Siegburg und ganz NRW. Lesen Sie mehr zu unserem individuellen Angebot.
Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten
Dennis Manz ist seit über 20 Jahren selbstständig. Ist in der IT für unterschiedliche Branchen und seit langer Zeit auch im Bereich Buchhaltung und Steuerrecht tätig. Als Gründer und Geschäftsführer der Datenschutzberater.NRW GmbH betreut er zusammen mit seinem Team erfolgreich Unternehmen, Praxen, Steuerberater und unterschiedliche Einrichtungen in Sachen Datenschutz und GoBD-Beratung.