Personenbezogene Daten sind nicht für die Tonne

Jeder kennt das: Der Briefkasten quillt über und die Werbebriefe landen in der Tonne oder im Unternehmen wird es mal wieder Zeit, den Aktenschrank zu leeren. Doch dürfen Dokumente, die (fremde) personenbezogene Daten wie Name, Anschrift, Kundennummer oder Geburtstag enthalten, einfach in der Papiertonne entsorgt werden? Und falls nein: Wie werden solche Dokumente dann datenschutzkonform entsorgt?

Entsorgung im Betrieb

Seit Inkrafttreten der DSGVO bemühen sich Betriebe darum, sensible Dokumente verschlossen aufzubewahren, Speicherfristen einzuhalten und die Betroffenenrechte zu wahren. Viel zu oft landen die Dokumente nach der Aufbewahrungszeit dann aber allenfalls einmal durchgerissen in der Papiertonne, während externe Speichermedien mit Backups sogar oft in einsatzfähigem Zustand im Hausmüll zu finden sind.

Dies ist ein großer Schwachpunkt und gibt Aufsichtsbehörden regelmäßig Grund zur Beanstandung, zumal die Papiertonne, die an der öffentlichen Straße steht, ganz einfach eingesehen werden kann. Diese Peinlichkeiten sollte man natürlich vermeiden.

Rechtliche Grundlagen

Eines der Betroffenenrechte aus der DSGVO findet sich in Art. 17 I DSGVO, nämlich das Recht auf Löschung oder auch das „Recht auf Vergessenwerden“. Nach einer Löschung nach der DSGVO darf keine Möglichkeit mehr bestehen, die betroffenen personenbezogenen Daten ohne unverhältnismäßigen Aufwand wahrzunehmen. Die Art und Weise wie dies zu geschehen hat, legt die DSGVO nicht fest. Der Grundgedanke ist nur, dass die Kenntnisnahme der gespeicherten Daten für jedermann zu jeder Zeit tatsächlich unmöglich sein soll. Es kommt dabei nicht darauf an, ob die Daten theoretisch mittels eines speziellen Programmes wiederhergestellt werden könnten.

Aus dem Zweckbindungsgrundsatz (Art. 5 I DSGVO) wird zudem abgeleitet, dass alle Daten, die für den ursprünglichen Erhebungszweck nicht mehr erforderlich sind, ohne gesonderte Aufforderung durch den Betroffenen zu löschen sind. Dies ist in der Praxis besonders beim Ablauf von Aufbewahrungspflichten oder dem Ende eines Beschäftigungsverhältnisses oder der Kundenbeziehung der Fall.

Sonderregeln gibt es im nationalen Recht nur für Papierakten gem. § 35 I 1 BDSG, wenn die Löschung nur mit unverhältnismäßig großem Aufwand erfolgen kann.

Ein Verstoß gegen die Löschpflichten kann Geldbußen von bis zu € 20 Mio. bzw. 4% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs zur Folge haben.

Zudem haben Betroffene auch das Recht auf transparente Information über die Speicherdauer der Daten.

Praktische Umsetzung

Die Entsorgung hängt in der Praxis nicht nur vom Faktor der grundsätzlich bestehenden Möglichkeiten, sondern auch den Sicherheitsstufen, dem Aufwand und den zur Verfügung stehenden Geräten ab. 

Bei Codierungen oder virtuellen Verknüpfungen braucht man einen zuverlässig irreversiblen Löschvorgang. Bei wiederbeschreibbarem Trägermaterial ist auf spezielle Löschsoftware zurückzugreifen, um die Wiederherstellbarkeit zu verhindern, was aber besonders im Bezug auf den zu betreibenden Aufwand immer am Einzelfall beurteilt werden muss. Es reicht jedenfalls nicht aus, nur organisatorische Maßnahmen zu treffen oder Datenträger einfach im Original zu entsorgen. Bei Papierunterlagen, Festplatten, Magnetbändern, USB-Sticks, CD-ROMs, DVDs, optischen Speichern, Filmen und ähnlichen Datenträgern kommt vor allem die physische Zerstörung in Betracht.

Zur Entsorgung kann man sich an bestimmten DIN- Normen (DIN EN 15713, DIN 66398 und DIN 66399) orientieren. Hier finden sich Einteilungen in Sicherheitsstufen und Anforderungen an Aktenvernichter. Diese Normen haben allerdings keinen Gesetzescharakter und die DSGVO nimmt auch keinen Bezug auf sie, sodass sie lediglich der Orientierung dienen.

Zudem hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Technische Leitlinie BSI-TL 03420 herausgegeben, die das Löschen und Vernichten schutzbedürftiger Informationen auf Datenträgern betrifft. Diese kann ebenfalls bei der Orientierung helfen.

In der Praxis sollte immer Rücksprache mit dem Datenschutzbeauftragten oder anderem Fachpersonal gehalten werden, um das passendste Konzept für den eigenen Betrieb zu entwickeln.

Entsorgung im privaten Haushalt

Auch im privaten Rahmen werden oft viel zu leichtsinnig Werbeschreiben oder ähnliche Dokumente mit persönlichen Daten im Papiermüll entsorgt, ohne die personenbezogenen Daten unkenntlich zu machen. Denken Sie immer daran, dass es sehr einfach ist, auf eine Mülltonne, die offen an der Straße steht, zuzugreifen. Gehen Sie lieber auf Nummer sicher und schreddern Sie Dokumente, die Ihren Namen, Adresse, Kundennummer, Geburtstag oder andere Daten enthalten.