Die richtigen Daten richtig behandeln

Personenbezogene Daten müssen gelöscht werden, sobald ein Unternehmen sie nicht mehr zwingend benötigt. Das verlangt das deutsche Datenschutzrecht. Daten müssen revisionssicher aufbewahrt werden, fordern hingegen immer öfter Regulierer oder Betriebsprüfer, die nicht selten Massenauswertungen von Buchungsbelegen durchführen wollen. Der Konflikt zwischen schnellem und zuverlässigem Löschen einerseits und revisionssicherer Speicherung andererseits scheint vorprogrammiert, meint Derk Fischer, Partner im Bereich Risk Assurance Solutions (RAS) von PwC.

"Bei der Datenhaltung sitzen Verantwortliche derzeit zwischen allen Stühlen", fasst PwC-Experte Derk Fischer die Situation zusammen. Denn sie müssen nicht nur die widerstreitenden Interessen von Datenschützern und Betriebsprüfern unter einen Hut bringen. Vermehrt klopfen Datenschutzbeauftrage bei Unternehmen und Behörden an mit dem Verdacht, dass bestimmte Anwendungen für die Unternehmensplanung und -steuerung (Enterprise-Resource-Planning, ERP) Daten nur unzureichend löschen. Von den Unternehmen wollen die Datenschützer deshalb wissen, welche ERP-Anwendungen sie einsetzen.

Gelöscht ist nicht gelöscht

Die Datenschützer mahnen zur "Datensparsamkeit", nur die minimale Menge an Daten soll erhoben und gespeichert werden. Wenn personenbezogene Daten nicht mehr zwingend benötigt werden, sind sie konsequenterweise so zu löschen, das sie nicht wiederhergestellt werden können. Derk Fischer veranschaulicht das Problem: "Wer auf seinem eigenen Computer schon einmal in den elektronischen Papierkorb auf dem Desktop geschaut hat und längst gelöscht geglaubte Dokumente gefunden hat, der weiß, dass sich hinter der Softwarefunktion 'Löschen' nicht unbedingt ein technisches, unwiederbringliches Löschen verbirgt."

Unternehmen müssen deshalb sicherstellen, dass ihre IT-Systeme Funktionen für das Löschen von Daten vorhalten, die den Anforderungen des Bundesdatenschutzgesetzes (BDSG) genügen. Das Gesetz definiert in Paragraf 3 Absatz 4 Satz Nr. 5 das Löschen als "unkenntlich machen" gespeicherter personenbezogener Daten.

Löschvorgang muss dauerhaft und nachhaltig sein

Die reine Markierung von Daten als "gelöscht" reicht für die Erfüllung der gesetzlichen Anforderungen keinesfalls aus, betont IT-Spezialist Fischer. Auch ein logisches Löschen auf Ebene des Anwendungssystems ist nicht hinreichend, wenn die Daten auf Ebene des Datei- oder Datenbanksystems noch vorgehalten werden. Denn dann lässt sich entweder der Löschvorgang in der Anwendung umkehren oder über das Auslesen des Dateisystems oder der Datenbank auf die Daten zugreifen, so genannte "Data-Recovery"-Programme und -Prozeduren zeichnen sich eben dadurch aus, dass sie möglichst viele "alte" Daten wieder lesbar machen.

Wer wissen will, ob die Daten wirklich "gelöscht" wurden, muss teilweise tief in die Technik der Datenvernichtung einsteigen. Hinweise, wann Daten als gelöscht angesehen werden können, sind in DIN 32757 und DIN 33858 sowie den dort definierten Schutzklassen zu finden. Auch aus rechtlicher Sicht müssen IT-Anwendungen gewährleisten, dass Löschvorgänge dauerhaft sind und nachhaltig wirken. Stellt das eingesetzte Softwareprodukt keine geeigneten Verfahren zur Verfügung, müssen weiterführende Maßnahmen ergriffen werden.

Unternehmen brauchen den Überblick über ihre gespeicherten Daten

Nur Unternehmen, die eine klare und vollständige Landkarte über die gespeicherten Daten und deren Verknüpfungen besitzen, können zuverlässig entscheiden, welche Daten aufzubewahren sind und welche gelöscht werden müssen. Berücksichtigen müssen sie bei der Inventarisierung der Daten logische Verknüpfungen, die Zuordnung zu Prozessen, Speicherorten und IT-Systemen sowie die rechtliche Kategorisierung.

Zu handels- und steuerrechtlichen Zwecken aufzubewahrende Daten

• Handelsbücher
• Inventare
• Eröffnungsbilanzen
• Jahresabschlüsse
• Einzelabschlüsse
• Lageberichte
• Konzernabschlüsse
• Konzernlageberichte sowie die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und sonstigen Organisationsunterlagen
• empfangene Handelsbriefe
• abgesandte Handelsbriefe
• Belege für Buchungen

 Rechtsgrundlage: Paragraf 257 HGB, Paragraf 147 Abgabenordnung

Wenn die Entscheidungsgrundlage geschaffen ist, welche Daten gelöscht und welche möglicherweise aufbewahrt oder archiviert werden müssen, sind die Verfahren festzulegen. Dabei müssen Fach- und IT-Verantwortliche gemeinsam die Verfahren festlegen und deren Konformität mit den rechtlichen und betrieblichen Anforderungen gewährleisten.