Source: https://arbeitssicherheit-saarland.de/index.php/aktuelles/datenschutz
Timestamp: 2020-02-27 07:44:53
Document Index: 239060760

Matched Legal Cases: ['Art. 5', 'Art. 25', '§ 146', '§ 146', '§ 147', 'Art. 6']

NOVEMBER 6, 2019, DATENSCHUTZRECHT, EU-DSGVO
dass Daten von MieterInnen ohne Prüfung, ob diese erforderlich sind, gespeichert wurden
dass ein Archiv-System verwendet wurde, dass nicht über die Möglichkeit zur Löschung von nicht mehr erforderlichen Daten verfügte.
In den von der Behörde begutachteten Einzelfällen wurden jahrelang personenbezogene Daten von MieterInnen verarbeitet, ohne dass noch ein Zweck zur Verarbeitung vorgelegen hätte. In der Pressemitteilung heißt es, es handelte sich dabei um Daten zu den persönlichen und finanziellen Verhältnissen der Mieterinnen und Mieter, wie z. B. Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits-und Ausbildungsverträgen, Steuer-, Sozial-und Krankenversicherungsdaten sowie Kontoauszüge.
Die BlnBDI sprach bereits im Jahr 2017 die dringende Empfehlung aus, das Archivsystem umzustellen. Dies bedeute, die Deutsche Wohnen SE hätte entweder die Software ändern und mit einem Löschkonzept versehen oder aber eine neue Software anschaffen müssen, die die Möglichkeit der Klassifizierung von Daten sowie deren differenzierte Löschung enthielt.
Dem gemäß legte die BlnDI die Grundsumme zur Berechnung des Bußgeldes bei der Deutsche Wohnen SE auf 28 Millionen EUR und damit auf rund 2,5% des Jahresumsatzes fest. Bußgeldmildernd wurde berücksichtigt, dass das Unternehmen bereits erste Maßnahmen zur Beseitigung der rechtswidrigen Zustände ergriffen hatte und formal gut mit der Aufsichtsbehörde zusammenarbeitete. Weiter konnten auch keine missbräuchlichen Zugriffe von Dritten festgestellt werden, so dass nach Auffassung der BlnBDI ein Bußgeld im mittleren Bereich des vorgegebenen Bußgeldrahmens angemessen war.
Der Bußgeldbescheid ist nicht rechtskräftig. Die Deutsche Wohnen SE möchte wohl dagegen vorgehen.
Nachfolgend sollen die vorgeworfenen Verstöße gegen Art. 5 und Art. 25 DSGVO betrachtet werden. Spannend ist der dabei der zwischen dem Wunsch nach Revisionssicherheit und den Anforderungen der DSGVO (scheinbar) auftretende Konflikt.
nur rechtmäßig, nur für festgelegte, legitime Zwecke nur dem Zweck angemessen sowie auf das notwendige Maß beschränkt („Datenminimierung“) erfolgen darf.
Wenn eine Datenverarbeitung erfolgt, ohne dass diese Grundsätze eingehalten werden, ist sie rechtswidrig. Dies Grundsätze können nicht eingehalten werden, wenn eben hinsichtlich verarbeiteter Daten nicht zuvor geprüft wird, ob die Verarbeitung diesen Grundsätzen entspricht. Die BlnBDI drückt wohl dies sehr verkürzt mit „Prüfung der Erforderlichkeit“ in ihrer Pressemitteilung aus.
Zunächst einmal muss geklärt werden, was Aufbewahrungspflichten und was Revionssicherheit eigentlich konkret ist und wie das jeweils rechtlich zu bewerten ist.
Die Revisionssicherheit. Tja. Bösartig gesagt, ist das ein gesetzlich verankertes Konzept, mit dem die Hersteller von digitalen Archivierungssystemen durch das Umsetzen der Anforderungen an revisionssicheres Archivieren bei zeitgleichem Negieren von schon lange bestehenden datenschutzrechtlichen Anforderungen sehr viel Geld verdient haben. Warum verdient man mit dem Negieren von datenschutzrechtlichen Anforderungen viel Geld? Nun es ist natürlich wesentlichen einfacher, Systeme zu programmieren, die eine Klassifizierung von Daten sowie das entsprechende Anlegen von Löschkonzepten nicht vorsehen. Dazu macht es die Anwendung leichter, wenn der Kunde einfach „alles“ aus „Gründen der Revisionssicherheit“ (vermeintlich) speichern muss.
Weder der Begriff „Revisionssicherheit“ noch „revisionssichere Archivierung“ taucht an irgendeiner Stelle im Gesetz auf. Jedoch regeln insbesondere §§ 146a, 146b der Abgabenordnung (AO) sowie die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“ (GoBD, vormals: GoBS) recht genau auf welche Art und Weise elektronische Buchführungsdaten aufzubewahren sind. Unter Revisonssicherheit oder aber eben der „revisionssicheren Archivierung“ wird damit im Ergebnis verstanden, dass digitale Daten so aufbewahrt werden (müssen), dass dies den rechtlichen Anforderungen in Bezug auf Ordnungsmäßigkeit, Vollständigkeit, Sicherheit, Verfügbarkeit, Nachvollziehbarkeit, Unveränderlichkeit und Zugriffsschutz genügt.
In den §§ 146a, 146b AO finden sich gar keine Regelungen zu Aufbewahrungsfristen. Das ist auch unnötig, schließlich sind diese insbesondere in § 147 AO bereits geregelt. In der GoBD finden sich gleich mehrer Regelungen dazu, hier heißt es:
GoBD Ziffer 3 Rz. 27:
GoBD Ziffer 3 Rz 33
Werden Handels- oder Geschäftsbriefe und Buchungsbelege in Papierform empfangen und danach elektronisch erfasst (scannen), ist das Scanergebnis so aufzubewahren, dass die Wiedergabe mit dem Original bildlich übereinstimmt, wenn es lesbar gemacht wird. Werden gescannte Dokumente per Optical-Character-Recognition-Verfahren (OCR-Verfahren) um Volltextinformationen angereichert (zum Beispiel Volltext recherchierbare PDFs), so ist dieser Volltext nach Verifikation und Korrektur über die Dauer der Aufbewahrungsfrist aufzubewahren und auch für Prüfzwecke verfügbar zu machen.
Anmerkung zu Ziffer 9.2. : Ich hatte mich über diese Formulierung zunächst stark gewundert und zunächst geschrieben, warum hier eine Ausnahme statuiert wurde, bei der denn eine Speicherung über die Aufbewahrungsfrist hinaus erfolgen können sollte. Dank @FranzOnBrands wurde dieses Missverständnis meinerseits ganz schnell aufgeklärt. Denn zu lesen ist hier in der GoBD „über die Dauer der Aufbewahrungsfrist“ im Sinne von „für die Dauer der Aufbewahrungsfrist“ und nicht im Sinne von „darüber hinaus“. So macht das auch gleich viel mehr Sinn. Aber vielleicht sind Sie darüber auch gestolpert…
In Folge dessen wird auch deutlich, dass es einer Prüfung des Art. 6 I c) DSGVO durch die Behörden nicht bedurfte, jedenfalls bedurfte es keines Hinweises darauf in der Pressemitteilung, die wir alle bis zum jetztigen Zeitpunkt ausschließlich kennen.
Und in diesem Zusammenhang ist auch die – wahrscheinlich verkürzt wiedergegebene – die nachfolgende Äußerung Smoltczyks im Tagesspiegel zu verstehen
Wenn das so ist, warum sind dann bei den wenigsten „revisionssicheren“ System Datenklassifizierungen und Löschkonzepte vorgesehen!?
Anforderung „Datenklassifizierung“ und „Löschkonzepte“ ist nicht neu
Gerade wenn der Bescheid gerichtlich überprüft und die Frage der Revsionssicherheit versus Grundsatz der Datenminimierung im Ergebnis wie hier beantwortet würde, verbleiben spannende Fragen. So etwa, ob Unternehmen die „rechtssichere“ Software für die „revisionssichere“ Archivierung erworben haben und nun feststellen müssen, dass sie in einem DSGVO-Compliance Problem stecken, Schadensersatzansprüche gegen den Hersteller haben könnten. Dieser hätte schließlich die gesetzliche Lage kennen müssen.
Landesdatenschützer kündigen verstärkte Kontrollen an
Die seit Mai vergangenen Jahres geltenden neuen EU-Datenschutzregeln entfalten ihre Wirkung, auch in Deutschland. Die obersten Datenschützer machen nun Ernst - und suchen gezielt nach Verstößen.
Sprunghaft angestiegen ist auch die Zahl der Beschwerden, die die Behörden erreichten und die den nicht-öffentlichen Bereich, also beispielsweise Unternehmen, betrafen. Hier gab es einen Anstieg von 1872 (2017) auf 2714 (2018). Dabei ging es unter anderem um unerlaubte Werbungen, Spammails, Videoüberwachungen und speziell den Datenschutz, den Firmen gegenüber ihren Mitarbeitern einhalten müssen. Im vergangenen Jahr verhängte die Landesdatenschutzbehörde Bußgelder in Höhe von insgesamt rund 100 000 Euro.