Personenbezogene Daten und Backups – wie damit umgehen?
Was muss mit personenbezogenen Daten passieren, welche im Backup gespeichert sind? Eine neue Aussage des EDSA könnte bei dem Umgang mit den Daten im Sinne des Datenschutzes nun weiterhelfen.
Inhaltsverzeichnis
Datenschutz in der Praxis umsetzen
Um Unternehmensdaten und Abläufe abzusichern, werden in der Regel Backups von Daten, Programmen und Systemen erstellt. Im Datenschutz gehören Backups unter Umständen auch zu technischen und organisatorischen Maßnahmen (TOM) um die Wiederherstellung von personenbezogenen Daten zu sichern oder auch die Sicherheit von Systemen aufrecht zu erhalten.
Das bedeutet aber auch, dass Verantwortliche im Datenschutz sich damit beschäftigen müssen, was bezüglich der Löschung von personenbezogenen Daten in Backups zu beachten ist, um zum Beispiel Löschfristen einzuhalten. Der Europäische Datenschutzausschuss – kurz EDSA – hat dazu eine Aussage getroffen, welche den Umgang damit regeln kann.
BLOG-TIPP: SICHERES ON- UND OFFBOARDING VON MITARBEITENDEN: DATENSCHUTZ SICHER UMSETZEN
Was ist der EDSA und was sind seine Aufgaben?
Der Europäische Datenschutzausschuss (EDSA) ist ein unabhängiges Gremium, das die einheitliche Anwendung der Datenschutz-Grundverordnung (DS-GVO) und der Datenschutzrichtlinie für die Strafverfolgung in allen EU-Mitgliedstaaten sowie in Norwegen, Liechtenstein und Island sicherstellt.
Der EDSA fördert die Zusammenarbeit der nationalen Datenschutzbehörden, gibt Leitlinien und Empfehlungen heraus und sorgt dafür, dass Datenschutzbestimmungen überall gleich ausgelegt und durchgesetzt werden. Zudem berät er die Europäische Kommission in Fragen des Datenschutzes und unterstützt den Austausch bewährter Verfahren zwischen den Behörden. Damit trägt der EDSA dazu bei, dass der Schutz personenbezogener Daten in Europa auf hohem und einheitlichem Niveau gewährleistet wird.
Personenbezogene Daten und Backups
In der Regel besagt der Datenschutz in seinen Vorgaben, dass personenbezogene Daten nachdem zum Beispiel der Zweck nicht mehr gegeben ist, gelöscht werden müssen. Was bedeutet das aber bei Backups und wie wird hier die Löschpflicht umgesetzt?
Bei Backups kommt zusätzlich zu der technischen Umsetzung einer Löschung auch noch die Problematik dazu, dass Backups inhaltlich nicht verändert werden können bzw. dürfen.
Abschlussbericht des EDSA – Löschung nicht immer zwingend?
In einem kürzlich veröffentlichten Abschlussbericht des EDSA gibt es nun Andeutungen, dass eine Löschung in Backups nicht immer zwingend nötig sein könnte. In diesem Bericht wurden in einem Abschnitt die Ergebnisse der Antworten der nationalen Aufsichtsbehörden zu dem Thema zusammengefasst und der Bericht enthält auch Empfehlungen für Verantwortliche im Sinne des Datenschutzes.
Dabei enthält der Bericht auch Passagen, die aussagen, dass Backups ein wichtiges Instrument zu Schutz der Integrität personenbezogener Daten sei, bei einem Sicherheitsvorfall. Darüber hinaus heißt es, dass es daher nicht immer ratsam sei, „Informationen aus Backups zu ändern oder zu löschen“.
BLOG-TIPP: CHECKLISTE FÜR UNTERNEHMEN UND ORGANISATIONEN – DATENSCHUTZ RICHTIG UMSETZEN
Voraussetzungen
So kann man aus dem Text also erkennen, dass die europäischen Aufsichtsbehörden durchaus empfehlen unter bestimmten Voraussetzungen personenbezogene Daten nicht aus Backups zu löschen, falls durch die Löschung die Integrität oder eben die Wiederherstellbarkeit nicht gegeben wäre. Ganz ohne Voraussetzungen lassen diese ihre Aussage allerdings nicht, denn dies wird abhängig gemacht von den technischen Möglichkeiten und dem Risiko.
Darüber hinaus wird verlangt, dass bei Organisationen, welche über geeignete Verfahren verfügen, um Löschanträge zu verfolgen, diese auch auf wiederhergestellte Systeme so weit wie möglich zu erfüllen. Das bedeutet, dass in dem Fall, dass personenbezogene Daten, welche eigentlich gelöscht werden müssten, nicht im Backup gelöscht wurden und dann wieder in das Livesystem eingespielt werden, entsprechend gelöscht werden müssen.
Dazu muss der Verantwortliche entsprechende Systeme, Maßnahmen oder Prozesse implementieren. Es soll also verhindert werden, dass bereits gelöschte personenbezogene Daten, welche Aufgrund von Löschfristen z.B. gelöscht wurden, durch ein Backup wieder im Livesystem eingespielt werden.
EDSA-Bericht für praktische Anwendungen
Die im Bericht gemachten Angaben zeigen auch, dass die praktischen Umsetzungen des Datenschutzes und die damit einhergehenden Anwendungsproblematiken in Organisationen gesehen und angepasst werden.
Sollten sich Verantwortliche auf die Angaben im Bericht beziehen und daher die Löschung bei Backups entsprechend handhaben, sollten sie aber eine inhaltliche, nachvollziehbare und rechtsichere Begründung für die Aufsichtsbehörden entwickeln. Dabei müssen diese aufzeigen warum die personenbezogenen Daten im Backup nicht gelöscht werden können, aber vor allem auch nachweisen, warum dies kein Risiko für die Betroffenen darstellt.
Ziel der Löschung soll eigentlich sein, dass ein Datum nach der Löschung in den Dateisystemen, die dem betroffenen Verantwortlichen zurechenbar sind, weder vorhanden ist noch wiederhergestellt werden kann. Die Löschpflicht erfasse daher eigentlich auch Backups-Systeme.
Dabei sollten auch entsprechende Schutzmaßnahmen erstellt und eingeführt werden, welche die personenbezogenen Daten auch in den Backups sichern.
Begründung des EDSA
Eine Begründung ist dabei, dass ein Backup eben der Integrität aber nicht der der Verarbeitung dient. Dabei wären Backups nicht dazu da, personenbezogene Daten weiter zu verarbeiten. Trotzdem müssen unterschiedliche Maßnahmen gewährleistet werden, zum Beispiel, dass Backup-Daten nicht aktiv zugänglich sind, nicht verarbeitet werden und bei der Wiederherstellung wie eben genannt bereits gelöschte Daten nicht wieder eingespielt werden.
Um die neuen Empfehlungen des EDSA sicher umzusetzen, gilt es noch weitere Maßnahmen zu treffen und diese mit einem entsprechenden Fachmann aus dem Datenschutz und der IT-Sicherheit zu bewerten. Dann können die Vorgaben zu einer sicheren und umsetzbaren Lösung im Datenschutz werden.
Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.
Wir betreuen Mandanten bundesweit. Lesen Sie mehr zu unserem individuellen Angebot. Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.
