Source: https://www.project-consult.de/comment/6541
Timestamp: 2019-12-11 20:01:24+00:00

Document:
Das neue SDM Standard-Datenschutzmodell: Löschen & Verarbeiten
Gespeichert von uli am/um 29. November 2019 - 16:39 Permanenter Link
In reply to Logisches Löschen und Nachrangigkeit der DSGVO?! by uli
Leider keine eindeutigen Antworten zu unserer Diskussion oben ...
#Datenschutz #DSGVO #DS-GVO #BDSG #Datenschutz #Richtlinie #Pruefung #Löschen #Loeschen #DeutscheWohnen #Strafe http://bit.ly/SDM_DSGVO_2019
Gespeichert von uli am/um 6. Dezember 2019 - 12:55 Permanenter Link
... müssen jetzt alle Archivsysteme mit WORM-Speicherung abgeschaltet werden ... ?
Das Thema Löschen elektronisch gespeicherter personenbezogener Daten ist nicht einfach. Bisher setzte man bedingt durch Anforderungen an die Unveränderbarkeit nach Handels- und Steuerrecht auf nur einmal beschreibbare Speicher - sei digital-optische WORM-Medien, spezielle Festplatten-Subsysteme oder per Software auf nur einmal beschreibbar gesetzte Festplattenbereiche. Gleiches gilt auch für Blockchain-Verfahren. Aus einer verteilten Distributed Ledger Blockchain Daten zu entfernen ist schier unmöglich. Und über alte Backup-Medien muss man erst garnicht nachdenken. Diese Form der Nicht-Löschbarkeit von Daten steht im Widerspruch zu den Anforderungen von DSGVO/BDSG. Jüngst wurde das Recht auf Vergessen - sprich Löschen - auch in Online-Archiven durch das Bundesverfassungsgericht gestärkt: http://bit.ly/2Lts6m1. In unserem Fall der Deutsche Wohnen ging es aber nicht um den Anspruch einer einzelnen Person auf Löschung der eigenen persönlichen Daten sondern generell um die Handhabung personenbezogener Daten im Unternehmen. Es lag keine Anforderung eines Berechtigten vor sondern es wurde das Bußgeld auf Grund generellen Umgangs mit personenbezogenen Daten erhoben.
Die Anbieter von elektronischen Archivsystemen haben meine Anfrage (siehe oben) nicht beantwortet. Man zieht einfach den Kopf ein und hofft, dass es nicht so schlimm wird wie der Gesetzgeber es vorsieht. Auch Kunden der Archivsystemanbieter erhalten hierauf keine Antwort ... außer in einem Fall ... "das Archivsystem ist vom Wirtschaftsprüfer zertifiziert, es ist rechtssicher, es erfüllt natürlich alle gesetzlichen Vorschriften vollständig, es speichert unveränderbar alle Daten, der Anwender brauche sich keine Sorgen machen.". Dermaßen unprofessionell gehen auch andere Anbieter mit den Themen rund um die Revisionssicherheit und Compliance um.
Fragt man nun zum Thema verschiedene Datenschützer in der näheren Umgebung an (Hamburg [unser eigener Datenschützer], Schleswig-Holstein und Mecklenburg-Vorpommern [beide verantwortlich auch für das neue Standard-Datenschutzmodell SDM]) bekommt man sehr weiche Antworten auf die vier gestellten Fragen:
Würde in einem gleichliegenden Fall der Datenschützer in "xyz" genauso wie der Berliner Datenschutz entscheiden?
Wenn ja, würde die Strafe auch so hoch ausfallen?
Ist "logisches Löschen" in Archivierungssystemen ausreichend im Sinne des Löschens nach DSGVO/BDSG(neu)? (Hierbei wird nur der Verweis in der Datenbank auf die separat gehaltene Information gelöscht und das Wiederfinden verhindert. Die Information auf einem nur einmal beschreibbaren Speichermedium entsprechend HGB/AO/GoBD ist zwar noch vorhanden, aber nicht mehr nutzbar, nicht mehr auswertbar und nicht mehr findbar.)
Warum wurde im SDM 2.0 nicht eindeutig geklärt, was mit "Löschen" und was mit "Nicht Verarbeitbar" in Bezug auf archivierte, nicht veränderbare Daten zu verstehen ist?
Aus Schleswig-Holstein wurde zu 1. und 2. auf den Datenschutz Berlin verwiesen und die fiktionale Analogie des Hintergrundes der Frage ignoriert.
Zu 4. wurde auf Anpassungen des SDM in Bezug auf mögliche Lücken in Zukunft und auf die natürlich selbst durchzuführenden Maßnahmen verwiesen.
Die besonders interessante, generelle Frage 3 zum "logischen Löschen", einem seit Jahrzehnten eingeführten Verfahren der revisionssicheren Archivierung, wurde z.B. vom Datenschützer aus Schleswig-Holstein wie folgt beantwortet:
<Zitat aus E-Mail vom 6.12.2019> Grundsätzlich gilt, dass ein personenbezogenes Verfahren, bei dem personenbezogene Daten nicht tatsächlich wirksam gelöscht (im Sinne von "entfernt") werden können, nicht eingesetzt werden darf. </Zitat>
Leider wird immer noch nicht klar gesagt, was "Entfernen" oder "wirksames Löschen" meint. Ist hier "Vernichtung" gemeint? Technisch gesehen würde dies physischem Löschen der Daten auf dem Datenträger entsprechen. Bei einer Anfrage eines Betroffenen müssten dann dessen Daten entfernt aber die anderen Daten auf dem Archivdatenträger oder im Archivspeicher, z.B. unter Aufbewahrungspflichten nach ITSG, BGB Vertragsrecht, HGB/AO/GoBD, usw. weiterhin aufbewahrt werden. Es wäre also ein zielgerichtetes Löschen einzelner Datenobjekte notwendig, was bei einem einzelnen digital-optischen WORM-Speichermedium nur durch Umkopieren der weiterhin aufbewahrungspflichtigen oder aufbewahrungswürdigen Daten auf ein neues Medium erfüllbar würde (inkl. möglicher Beeinträchtigung der Authentizität, Originalität, Integrität, Zertifikate etc. der umkopierten Daten-Objekte). Ein hardwaremäßig abgesichertes WORM-Festplatten-Speicher-Subsystem wie eine alte Centera kann man dann gleich komplett in die Schrottpresse schieben. Also konkret - was meint "entfernen". Was meint "ein solches Verfahren darf nicht eingesetzt werden" wenn man im Unternehmen bereits seit 10, 20 Jahren eine sichere elektronische Archivierung betreibt?
Nun kommt noch die Urteile des BVerfG hinzu, die den Anwendungsbereich datenschutzrechtlicher Ansprüche erheblich erweitern (6. November 2019 1 BvR 16/13 Recht auf Vergessen I; 6. November 2019 1 BvR 276/17 Recht auf Vergessen II). Das Löschen aus Verzeichnissen wie Google ist dabei inzwischen als "einfach" zu betrachten. Große Unternehmen wie Facebook, Google & Co. haben Abteilungen, die sich um das Löschen von Fakes und nach GDPR kümmern - außerdem wird dort nicht "aufbewahrt" (HGB) oder archiviert (Archivgesetze). Schwieriger dürfte dies bei Projekten wie dem Internet-Archiv (www.archive.org) sein, da dort komplette Webseiten ohne Zutun des Webseitenbetreibers aus archivalisch-historischer Sicht archiviert werden. Auch Webseitenbetreiber wie PROJECT CONSULT, die alle ihre Webseiteninhalte seit Jahrzehnten verfügbar halten, können betroffen sein.
Es scheint aber eine vergebliche Hoffnung zu sein, dass die Datenschutzbehörden das logische Löschen bei Inhouse-Archiven - die für sehr spezielle Nutzungsmodelle, nur berechtigte User und Berücksichtigung von Compliance-Vorgaben, Gesetzen und archivischen Grundsätzen geschaffen wurden - für ausreichend erachtet werden. Die Frage "logisches Löschen" versus "physisches Löschen" betrifft zigtausende von Unternehmen und Organisationen in Deutschland, die seit langer Zeit bereits sicher elektronisch archivieren. Aber die Hoffnung stirbt zuletzt!
Gespeichert von Gregor Joeris (nicht überprüft) am/um 9. Dezember 2019 - 17:30 Permanenter Link
viele der 13 Fragen, die Du gestellt hast, sind sicherlich berechtigt, allerdings richten sich diese überwiegend nicht an die Anbieter von Archivierungslösungen bzw. beziehen sich nicht auf die technischen Fähigkeiten der Produkte. Letztlich können die Anbieter nur dazu Stellung beziehen (Rechtsberatung machen wir ja nicht), was ich für SER gerne tue.
Ich sehe auch keinen direkten Konflikt zur WORM-Speicherung. "Write once, read many" sagt ja nicht aus, dass man nicht Löschen kann. "Write once, read many, delete when allowed or needed" (WORMDAON) liest sich nur nicht so gut.
Um die gesetzlichen Anforderungen erfüllen zu können, muss ein Archiv-System logischerweise nicht nur die Unveränderbarkeit während der Aufbewahrungsfrist sicherstellen, sondern auch die Möglichkeit bieten, Dokumente danach zu löschen.
Ob hierbei ein logisches Löschen ausreicht, ist schwer zu beurteilen. Allerdings ist auf Basis des heutigen Stands der Technik ein physikalisches Löschen mit nahezu jedem aktuellen Speichersystem möglich, so dass man als Anwender zumindest damit rechnen sollte, dass ein physikalisches Löschen als verhältnismäßig angesehen wird und entsprechend umzusetzen ist.
Physikalisch Löschen bedeutet hierbei, die Metadaten aus der Datenbank zu löschen und die Dokumentinhalte vom Speichersystem. Dies gilt für alle Replikate, die das Archivsystem erzeugt hat. Nur den Zugriffspfad zu löschen, würde ich nicht als physikalisches Löschen einordnen. Das Archivsystem muss also in geeigneter Weise die Löschung an das Speichersystem weitergeben. Sofern dieses intern ein Löschen nur als logisches Löschen abbilden, so liegt dies außerhalb der Veranwortung des Archivsystem (Beispiel: die von Dir genannte Centera hat durchaus einen richtigen Löschbefehl, der vom Archivsystem zu nutzen ist; wie das Löschen in der Centera realisiert ist, liegt dann in der Verantwortung des Herstellers).
Eine Zusammenfassung von Dokumentinhalten in (virtuelle) Medien und deren Speicherung ist unter dem Gesichtspunkt der DSGVO mehr als problematisch. Archivsysteme, die immer noch so agieren und Container speichern, in denen sie einzelne Dokumente nicht löschen können, würde ich aus dem Verkehr ziehen.
Bleibt noch der Sonderfall bzw. der Konflikt:
Trotz Aufbewahrungsfrist muss ein Dokument gelöscht werden, da der Datenschutz höher wiegt.
Hierfür bietet unser System Doxis4 beispielsweise ein "priviligiertes Löschen", dass natürlich erst per Konfiguration zu aktivieren ist, per gesonderter Berechtigung geschützt ist, ein Vier-Augen-Prinzip verlangt und natürlich einen Audit Trail Eintrag nach sich zieht (der im Übrigen gehashed und verkettet ist, ohne dass ich das als Blockchain Revolution akzeptiere, sondern eher als Trivialität ansehe).
Da zudem die gesetzlichen Regelungen sehr unterschiedlich sind - so gibt es durchaus auch Anforderungen außerhalb der EU, Dokumente unter wirklich gar keinen Umständen vor der Aufbewahrungsfrist löschen zu können - kann man diese Funktion auch irreversibel deaktivieren.
Da die Speichersysteme nicht notwendigerweise über eine solche Funktion verfügen, kann das physikalische Löschen erst dann erfolgen, wenn dort die Frist auch abgelaufen ist. Entsprechende Löschaufträge hält unser System so lange vor.
Neben dem priviligierten Löschen gibt es in Doxis4 auch die Möglichkeit, eine Aufbewahrungsfrist zu verkürzen, sofern die Aufbewahrungsregel dies erlaubt. Auch hier kann man diese Option also irreversibel deaktivieren, damit kein Zweifel an der Durchsetzung von Aufbewahrungsfristen entsteht.
Als Archivanbieter können wir leider wenig daran ändern, dass Aufbewahrungspflichten und Löschpflichten nur sehr schwer unter einen Hut zu bekommen sind. Wir können nur verschiedene technische Lösungsmöglichkeiten aufzeigen und anbieten, was ich hiermit mal getan habe.
Gespeichert von uli am/um 10. Dezember 2019 - 8:47 Permanenter Link
In reply to WORM-Speicherung und Löschen passen durchaus zusammen by Gregor Joeris (nicht überprüft)
zu Deinem ausführlichen Kommentar ein paar Antworten.
(1) Mir ging es generell um diejenigen Archivierungsverfahren, die ein Löschen physisch verhindern. Da sind die traditionelle nur einmal beschreibbare digital-optische Speicherplatte (Sony kommt gerade mit einer neuen 5,5 TB Cartridge-Optical-Version heraus), ältere Festplatten-Subsysteme wie die ersten Generationen der Centera oder das neue Verfahren der Datenarchivierung per Blockchain zu nennen.
(1.1) Von einem echten WORM-Medium wie einer 5 1/4" Optical oder einer hochkapazitativen DVD-R kann man bei Verlangen eines echten "Erasure" (physisches Löschen, Vernichten, Zerstören) nur diejenige nicht betroffene Information auf ein neues Medium kopieren und das Ursprungsmedium zerstören. Dies natürlich bei jedem Einzelfall, wenn ein Betroffener Nachweis und Löschung verlangt (die beiden aktuellen Fälle Deutsche Wohnen - Verstoß bei Speicherung - und 1&1 - mangelnde Zugangssicherung zu personenbezogenen Daten bei Auskünften - sind anders gelagert und betreffen nicht die Rechte von dedizierten einzelnen Betroffenen).
(1.2) Eine alte, nicht wieder nutzbare Centera kann man gleich publikumswirksam in einer Schrottpresse zusammenfalten lassen.
(1.3) Ein Blockchain-Verfahren mit distributed ledger Architektur erlaubt auch das Löschen einzelner Einträge nicht (es sei denn, man wählt die Kampffmeyersche Inhouse-Variante von Block Chain mit Blockchain).
Also sind alle Anbieter von Archivmedien und Archivsubsystemen betroffen. Die Anbieter von Archivierungssoftware nur indirekt.
(1.4) Du selbst weist auf die Speicherung von Containern oder selbstgebauten Ablageobjekten hin (obwohl es für solche sogar mit OAIS ISO 14721 eine Norm gäbe ... und man nur möglichst Einzelobjekte als AIP speichern sollte). Auch aus einem z.B. 500seitigen PDF/A einzelne Seiten mit personenbezogenen Daten herauszulöschen oder mittels Redaction zu schwärzen dürfte problematisch sein.
(2) Es geht nicht um "Rechtsberatung" sondern um verlässliche Antworten, wenn ein Anwender fragt, wie wird denn im System gelöscht. Diese Antwort müssen auch die Anbieter von Archivsystem-Software geben können (die sich ja sonst auch gern mit "Rechts-Konformität", "GoBD-Konformität", "Rechtssicherheit" etc. Zertifikaten schmücken). Auch die - richtig verstandene - revisionssichere Archivierung erlaubt das nachvollziehbare, dokumentierte Löschen.
(3) In Bezug auf das Löschen von Informationen haben wir in Deutschland ein generelles Problem. Das Löschen nicht mehr benötigter Information war in vielen elektronischen Archivsystemen nicht eingeplant. Es fehl(t)en Attribute und Verfahren. Im international gebräuchlichen Records Management (übrigens die Medien-unabhängige Verwaltung von Aufzeichnungen) ist das Löschen von Information eines der 8 Grundprinzipien. Von einer Löschkultur in Deutschland einmal ganz zu schweigen ... es wird gern einfach alles aufgehoben. Die Kombination einer Software, die nur Logisches Löschen unterstützt mit einem nur einmal beschreibbaren WORM-Archivmedium oder WORM-Subsystem passt dann nicht auf die GDPR/DSGVO/BDSG/LDSG-Anforderungen.
(4) Der Text von DSGVO und BDSG(neu) ist leider nicht so ganz eindeutig. Da weder die DSGVO noch das BDSG den Begriff Löschen definiert, muss man nach dem Ziel fragen, das in der DSGVO mit Löschen erreicht werden soll. Während eingangs Formulierungen ein Logisches Löschen als Möglichkeit erscheinen lassen, wird es weiter hinten wieder beim Thema Speicherung abgelehnt. Art. 5 Abs. 1 e (Grundsatz der Speicherbegrenzung): "Personenbezogene Daten müssen ... in einer Form gespeichert werden, die die Identifizierung der betrof­fenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist" würde das logische Löschen prinzipiell erlauben. Sie werden nicht mehr verarbeitet.
Jedoch sieht es beim Thema Speicherung gleich entsprechend Art. 4 Nr. 2 anders aus. Hier gelten dann die Zweckbindung und die Datenminimierung entsprechend Art. 5 Abs. 1 b und c. Aus diesen folgt, dass man für die weitere Speicherung der Daten ungeachtet der Einschränkung des Zugriffs und der Verarbeitbarkeit einen dedizierten Zweck braucht. Hier hilft vielleicht der Erlaubnistatbestand, damit diese Art der Speicherung rechtmäßig entsprechend Art. 5 Abs. 1 rechtmäßig bleibt. Art. 6 Abs. 1, das berechtigte Interesse entsprechend Art. 6 Abs. 1 kann man nur anziehen, wenn eine saubere Begründung entsprechend (auch Art. 9 Abs. 1) vorhanden ist. Dies ist nicht der Regelfall.
Datenschützer - auch hier in Posts in unserem Blog - sind daher eher der Meinung, dass physisches Löschen im Sinne von Entfernen, Zerstören, Vernichten gefordert ist. Hierdurch haben alle Anwender, die auf ältere Archiv-Software und Archivierungssysteme setzen ein massives Problem. Wenn man personenbezogene Daten nicht sauber von den kaufmännischen und diese von den anderen Daten und Dokumenten bei der Erfassung getrennt hat oder über die Indexdatenbank ausselektieren kann, muss halt das gesamte System erneuert werden. Liegen dort Informationen im TeraByte-Bereich mit 10, 20, 30 Jahren Aufbewahrungsfrist wird dies sehr aufwändig und teuer. Eigentlich helfen nur Datensparsamkeit und saubere Klassifikation der Informationsobjekte.
(5) Oben schreibst Du im Titel "WORM-Speicherung und Löschen passen durchaus zusammen". In Deinem letzten Absatz hebst Du diese Aussage wieder auf: "Als Archivanbieter können wir leider wenig daran ändern, dass Aufbewahrungspflichten und Löschpflichten nur sehr schwer unter einen Hut zu bekommen sind."
WORM-Medien und physisches Löschen gehen nicht zusammen!
Man kann hierfür sinnvolle Lösungen entwickeln und die Prinzipien des Records Managements umsetzen. Man kann mit seinen Branchenverbänden Initiativen starten, um das Logische Löschen als ausreichend bei den Datenschützern zu verankern. Man kann mit den Herstellern von Speichermedien und Subsystemen über vernünftige Verfahren sprechen. Und man kann hier schreiben, was man denn den Interessenten und Kunden sagt, wie das DSGVO-Problem mit alten wie auch neuen Systemen lösbar ist.
Schöne Adventsgrüße,

References: Art. 5
 Art. 4
 Art. 5
 Art. 5
 Art. 6
 Art. 6
 Art. 9