Akten DSGVO-konform vernichten: Pflichten und Praxis

Gilt die DSGVO auch für Papierakten?

Ja. Die DSGVO erfasst neben der automatisierten Verarbeitung auch personenbezogene Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art. 2 Abs. 1 DSGVO). Eine nach Namen, Kundennummern oder Datum geordnete Ablage erfüllt das in aller Regel. Außerdem zählt das Löschen und Vernichten selbst ausdrücklich zur Verarbeitung (Art. 4 Nr. 2 DSGVO). Auch die Vernichtung muss also den Anforderungen der Verordnung genügen.

Speicherbegrenzung: Daten haben ein Ablaufdatum

Art. 5 Abs. 1 lit. e DSGVO legt den Grundsatz der Speicherbegrenzung fest: Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist. Ein Archiv „für alle Fälle“ ist damit nicht vereinbar.

Gleichzeitig verpflichtet Art. 5 Abs. 1 lit. f DSGVO dazu, Daten vor unbefugtem Zugriff, Verlust und Zerstörung zu schützen. Und nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung dieser Grundsätze nachweisen können.

Löschpflicht nach Art. 17 DSGVO

Art. 17 DSGVO wird oft nur als Recht auf Löschung verstanden, das Betroffene geltend machen können. Er enthält aber auch eine Pflicht des Verantwortlichen: Personenbezogene Daten sind unverzüglich zu löschen, wenn einer der Gründe in Abs. 1 vorliegt. Die wichtigsten für die Praxis:

• Die Daten sind für den ursprünglichen Zweck nicht mehr notwendig (lit. a).
• Die betroffene Person widerruft ihre Einwilligung und es gibt keine andere Rechtsgrundlage (lit. b).
• Die Daten wurden unrechtmäßig verarbeitet (lit. d).
• Eine rechtliche Verpflichtung verlangt die Löschung (lit. e).

Die Pflicht gilt nicht unbegrenzt. Nach Art. 17 Abs. 3 DSGVO geht unter anderem eine gesetzliche Aufbewahrungspflicht vor (lit. b), ebenso die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (lit. e). Eine Rechnung an einen Privatkunden bleibt also bis zum Ende der steuerlichen Aufbewahrungsfrist im Archiv. Danach entfällt der Grund, und sie ist zu vernichten.

Hilfreich ist das Verzeichnis von Verarbeitungstätigkeiten: Nach Art. 30 Abs. 1 lit. f DSGVO sollen darin, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien stehen. Wer das gepflegt hat, weiß, wann welche Akten fällig sind.

Warum die Altpapiertonne nicht reicht

Akten im Altpapier sind nicht vernichtet, sondern nur weggeworfen. Die Blätter bleiben vollständig lesbar, die Tonne steht oft frei zugänglich im Hof, und auf dem Weg zur Sortieranlage hat niemand die Unterlagen unter Kontrolle. Das widerspricht dem Gebot der Vertraulichkeit aus Art. 5 Abs. 1 lit. f DSGVO und den Anforderungen an die Sicherheit der Verarbeitung nach Art. 32 DSGVO.

Gelangen Unterlagen dadurch an Unbefugte, kann eine Verletzung des Schutzes personenbezogener Daten vorliegen. Diese ist nach Art. 33 DSGVO in der Regel binnen 72 Stunden der Datenschutzbehörde zu melden, sofern kein geringes Risiko für die Betroffenen besteht. Für Verstöße gegen die Grundsätze des Art. 5 sieht Art. 83 Abs. 5 DSGVO Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Das ist der gesetzliche Rahmen, nicht der Regelfall.

Auch ein Bürohäcksler mit Streifenschnitt ist oft zu wenig: Lange Streifen lassen sich mit etwas Geduld wieder zusammensetzen, und bei größeren Mengen ist ein kleines Gerät schnell überfordert.

Nachweis und Dokumentation

Weil der Verantwortliche die Einhaltung der Grundsätze nachweisen muss, sollte jede Vernichtung dokumentiert werden. Ein brauchbarer Nachweis enthält mindestens:

• Datum der Übergabe und der Vernichtung
• Art und Menge der Unterlagen, etwa Anzahl der Ordner oder Behälter
• wie vernichtet wurde, also auf welche Weise und von wem
• wer vernichtet hat und wer die Vernichtung bestätigt

Intern sollte festgehalten sein, welche Jahrgänge oder Akten damit erledigt sind. So lässt sich bei einer Anfrage der Datenschutzbehörde oder einer betroffenen Person zeigen, dass die Daten nicht mehr vorhanden sind.

Externer Dienstleister: Auftragsverarbeitung nach Art. 28

Wenn ein externer Dienstleister Ihre Akten abholt und vernichtet, verarbeitet er dabei personenbezogene Daten in Ihrem Auftrag. In der Praxis wird das üblicherweise als Auftragsverarbeitung nach Art. 28 DSGVO eingeordnet. Daraus ergeben sich Pflichten für beide Seiten:

• Sie dürfen nur Dienstleister beauftragen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1).
• Es braucht einen Vertrag zur Auftragsverarbeitung, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt (Art. 28 Abs. 3). Er kann auch elektronisch geschlossen werden (Art. 28 Abs. 9).
• Der Dienstleister handelt nur auf Ihre dokumentierte Weisung, verpflichtet seine Mitarbeitenden zur Vertraulichkeit und setzt Subunternehmer nur mit Ihrer Genehmigung ein.
• Er stellt Ihnen die Informationen zur Verfügung, die Sie zum Nachweis der Einhaltung brauchen, und ermöglicht Überprüfungen.

Die Verantwortung für die Daten bleibt bei Ihnen. Achten Sie deshalb darauf, dass Transport, Zwischenlagerung und Vernichtung im Vertrag beschrieben sind und dass Sie am Ende einen Nachweis erhalten.

Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Für die Einordnung Ihres konkreten Falls wenden Sie sich an Ihre Datenschutzbeauftragte oder Rechtsvertretung.