Gastkommentar: Durchblick im Dschungel der Löschfristen!

Die Datenschutz-Grundverordnung (DSGVO) verlangt ganz allgemein die Minimierung der Verarbeitung personenbezogener Daten – auch in zeitlicher Hinsicht: So sind die Daten zu löschen, sobald der Zweck wegfällt, für den diese ursprünglich erhoben wurden. [...]

Andreas Schütz ist Partner bei Taylor Wessing in Wien.
Andreas Schütz ist Partner bei Taylor Wessing in Wien. (c) Taylor Wessing

In den erforderlichen Verarbeitungsverzeichnissen müssen Angaben zu den konkreten Löschfristen gemacht werden. Diese müssen daher zunächst für jede konkrete Verarbeitung festgestellt werden. Von Land zu Land unterscheidet sich jedoch der relevante gesetzliche Rahmen. Besonders multinationale Konzerne müssen hier – trotz EU-weiter Harmonisierung durch die DSGVO – auf die landesspezifischen Besonderheiten Rücksicht nehmen.

Das österreichische Datenschutz-Anpassungsgesetz 2018 sieht keinen Katalog von Aufbewahrungs- oder Löschfristen vor (Ausnahme: Bildaufnahmen/Videoaufzeichnungen).

Gelöscht werden muss nach Wegfall des ursprünglichen Zweckes aber nur dann, wenn dem keine gesetzliche Verpflichtung zur Aufbewahrung (etwa Pflicht zur Führung von Büchern) entgegensteht oder die Aufbewahrung der Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen weiterhin erforderlich ist. Dazu hier einige Beispiele:

Für steuerrelevante Unterlagen besteht eine siebenjährige Aufbewahrungspflicht gemäß der Bundesabgabenordnung (BAO). Zu empfehlen ist jedoch die Aufbewahrung dieser Unterlagen für zumindest zehn Jahre (Verjährungsfrist für Abgabenhinterziehung).
Nach dem Allgemeinen Bürgerlichen Gesetzbuch gilt an sich eine 30-jährige Verjährungsfrist; für die häufigsten vertraglichen Ansprüche (z.B. auf Zahlung von Kaufpreis, Arbeitsentgelt, Werklohn, etc.) gilt jedoch die kurze dreijährige Verjährungsfrist. Schadenersatzansprüche verjähren etwa innerhalb von drei Jahren, spätestens aber nach 30 Jahren.

Mitarbeiter können bis zu 30 Jahre nach ihrem Ausscheiden ein Dienstzeugnis verlangen. Dafür ist es etwa erforderlich, die verschiedenen Stationen des Mitarbeiters (Art der Tätigkeit, etc.) aufzubewahren, um ein Zeugnis ausstellen zu können.

Entscheidungen zur Frage, wann bestimmte Daten zu löschen sind, liegen in Österreich nur sehr begrenzt vor. Einhellig wird davon ausgegangen, dass eine Aufbewahrung solange zulässig ist, als Ansprüche von oder gegen Mitarbeiter(n), Kunden, etc. möglich sind.

Während der Aufbewahrung der Daten sollten diese auf jeden Fall vor internen Zugriffen geschützt werden (etwa durch Verschlüsselung, Archivierung, Einschränkung der Zugriffsberechtigungen).

Die Ausarbeitung des Löschkonzeptes und die Erstellung der Verarbeitungsverzeichnisse verlangen von jedem datenschutzrechtlichen Verantwortlichen, kurz jedem Unternehmen, die Auseinandersetzung und die Feststellung der für sie konkreten Aufbewahrungsdauern.


Mehr Artikel

News

ISO/IEC 27001 erhöht Informationssicherheit bei 81 Prozent der zertifizierten Unternehmen

Eine Umfrage unter 200 Personen verschiedener Branchen und Unternehmensgrößen in Österreich hat erstmals abgefragt, inwiefern der internationale Standard für Informationssicherheits-Managementsysteme (ISO/IEC 27001) bei der Bewältigung von Security-Problemen in der Praxis unterstützt. Ergebnis: Rund 81 Prozent der zertifizierten Unternehmen gaben an, dass sich durch die ISO/IEC 27001 die Informationssicherheit in ihrem Unternehmen erhöht hat. […]

News

Public Key Infrastructure: Best Practices für einen erfolgreichen Zertifikats-Widerruf

Um die Sicherheit ihrer Public Key Infrastructure (PKI) aufrecht zu erhalten, müssen PKI-Teams, sobald bei einer Zertifizierungsstelle eine Sicherheitslücke entdeckt worden ist, sämtliche betroffenen Zertifikate widerrufen. Ein wichtiger Vorgang, der zwar nicht regelmäßig, aber doch so häufig auftritt, dass es sich lohnt, PKI-Teams einige Best Practices für einen effektiven und effizienten Zertifikatswiderruf an die Hand zu geben. […]

News

UBIT Security-Talk: Cyberkriminalität wächst unaufhaltsam

Jedes Unternehmen, das IT-Systeme nutzt, ist potenziell gefährdet Opfer von Cyberkriminalität zu werden, denn die Bedrohung und die Anzahl der Hackerangriffe in Österreich nimmt stetig zu. Die Experts Group IT-Security der Wirtschaftskammer Salzburg lädt am 11. November 2024 zum „UBIT Security-Talk Cyber Defense“ ein, um Unternehmen in Salzburg zu unterstützen, sich besser gegen diese Bedrohungen zu wappnen. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*