Eine Aufbewahrungsrichtlinie wählen

Die Frage hinter "wie lange sollten wir das aufbewahren"

Der Grundsatz der Speicherbegrenzung der DSGVO (Art. 5(1)(e)) besagt, dass personenbezogene Daten "nicht länger, als für die Zwecke, für die sie verarbeitet werden, notwendig" aufbewahrt werden dürfen. Das ist eine echte gesetzliche Pflicht, welchen Kanal Sie auch betreiben — aber "notwendig" definiert sich nicht von selbst, und ein Unternehmen, das einen Kanal von Grund auf einrichtet, muss das vor dem ersten Tag in tatsächliche Zahlen übersetzen, nicht erst, wenn ein Prüfer danach fragt. Der folgende Rahmen zeigt, wie man diese Übersetzung angeht; wie Provoxis ihn umgesetzt hat, ist ein Anwendungsbeispiel, nicht die einzig richtige Antwort.

Das Ergebnis eines Falls sollte bestimmen, wie lange er aufbewahrt wird, nicht eine einzige pauschale Frist

Der zu vermeidende Fehler ist, eine einzelne Aufbewahrungsfrist zu wählen und sie auf alles anzuwenden, was über den Kanal eingeht. Eine Angelegenheit, die sich als völlig unabhängig vom Kanal herausstellt, braucht nicht dieselbe Aufbewahrung wie ein begründeter Befund, und ein begründeter Befund, der noch in einem aktiven rechtlichen oder disziplinarischen Verfahren steht, braucht wieder eine andere Behandlung — Beweise zu löschen, die ein Unternehmen gesetzlich aufbewahren muss, ist ein weit größeres Problem als sie ein paar Monate früher als ideal zu löschen. Eine solide Aufbewahrungsgestaltung beginnt mit der Frage, was das Ergebnis eines Falls tatsächlich darüber aussagt, wie lange die Aufzeichnung noch relevant ist, nicht damit, eine Zahl für jeden Fall zu wählen.

Eine vernünftige allgemeine Struktur, unabhängig vom konkreten Anbieter:

• Nicht relevant — eine Angelegenheit, die dieser Kanal eigentlich nicht hätte bearbeiten sollen. Kurze Aufbewahrung ist vertretbar; es gibt kaum einen fortlaufenden Zweck, sie lange zu behalten.
• Ein begründeter Fall ohne laufendes Verfahren — aufbewahrt für ein aussagekräftiges, mehrjähriges Zeitfenster, lang genug, um als Aufzeichnung nützlich zu sein, falls sich dasselbe Muster wiederholt oder später ein Anspruch geltend gemacht wird, kurz genug, dass es nicht standardmäßig unbegrenzt aufbewahrt wird.
• Ein Fall unter aktivem oder vernünftigerweise zu erwartendem rechtlichem oder disziplinarischem Verfahren — unbegrenzt aufbewahrt, oder zumindest bis dieses Verfahren tatsächlich abgeschlossen ist, und in der Zwischenzeit nie einer automatischen Löschung unterworfen. Hier wird die eigene Ausnahme der DSGVO vom Löschungsrecht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17(3)(e)) unmittelbar relevant — siehe den Abschnitt zur Aufbewahrungssperre unten dafür, wie das fallweise ausgeübt wird, zusätzlich zu welchem Zeitplan auch immer die anderen Stufen sonst folgen.

Wie Provoxis das heute umgesetzt hat

Provoxis' eigene Standardeinstellungen folgen genau dieser Struktur. Wenn ein Fallbearbeiter einen Fall schließt, hält er das Ergebnis fest (Bestätigt, Teilweise bestätigt, Nicht bestätigt oder An externe Stelle verwiesen) und, getrennt davon, welche Aufbewahrungsstufe gilt — die beiden sind unabhängig voneinander, sodass ein nicht bestätigter Fall trotzdem in derselben Stufe liegen kann wie ein bestätigter:

• Nicht relevant — 60 Tage nach Abschluss aufbewahrt, danach für die automatische Löschung vorgesehen.
• Standard — die Standardstufe für einen begründeten Fall ohne laufendes Verfahren. Das Zeitfenster richtet sich nach dem registrierten Land Ihres Kontos: Legt das nationale Recht dieses Landes zur Umsetzung der Richtlinie einen bestimmten Zeitraum fest, verwendet Provoxis diesen — wir haben in der EU Werte von 3 Monaten (Zypern) bis 5 Jahren (unter anderem Italien) gefunden, Deutschland und Polen liegen beide bei 3 Jahren. Legt das Recht eines Landes keinen bestimmten Zeitraum fest, gilt standardmäßig 5 Jahre. So oder so wird der Fall nach Ablauf des Zeitfensters für die automatische Löschung vorgesehen.
• Disziplinar- oder Rechtsverfahren — für einen Fall, bei dem noch Verfahren laufen. Unbegrenzt aufbewahrt; nie automatisch gelöscht. Der einzige Weg aus dieser Stufe ist, dass ein Fallbearbeiter den Fall wieder öffnet, sobald die Verfahren tatsächlich abgeschlossen sind, und beim erneuten Schließen eine andere Stufe wählt.

Die Zeitfenster für „Nicht relevant" und „Disziplinar- oder Rechtsverfahren" sind fest und gelten heute für jedes Unternehmen, das Provoxis nutzt, in gleicher Weise; das Standard-Zeitfenster wird automatisch aus dem registrierten Land Ihres Kontos abgeleitet, statt dass Sie es selbst festlegen. Das ist eine bewusste Ausgangsposition, keine Lücke: Die Standardwerte — einschließlich des länderspezifischen Werts — sind so gebaut, dass sie den Grundsatz der Speicherbegrenzung ab dem Moment erfüllen, in dem ein Kanal live geht, statt einem Unternehmen zu überlassen, seinen eigenen Zeitplan von Grund auf zu entwerfen, bevor es am ersten Tag konform sein kann. Falls Ihre eigene Überlegung zu anderen Zahlen als diesen konkreten kommt, ist das ein legitimes Ergebnis, den obigen Rahmen selbst durchzuspielen — der Rahmen zählt mehr als die genaue Übereinstimmung mit Provoxis' Zahlen.

Die Ausnahme, die jeder Rahmen braucht: Aufbewahrungssperre

Welchen Zeitplan Sie auch wählen — eine automatische, unbeaufsichtigt laufende Löschung gegen einen Fall unter aktivem oder vernünftigerweise zu erwartendem rechtlichem Verfahren wäre ein echtes Problem, nicht nur eine Unannehmlichkeit — und genau für diesen Fall existiert die Ausnahme Art. 17(3)(e) der DSGVO, damit Aufbewahrung den Standardzeitplan außer Kraft setzen kann, wenn das eintritt. In Provoxis setzt ein Admin eine Sperre — ein Grund ist erforderlich und wird protokolliert —, und der Fall ist vollständig von der automatischen Löschung ausgenommen, unabhängig davon, in welcher Stufe er sich gerade befindet. Das Aufheben einer Sperre erfordert ebenfalls einen Grund und wird genauso protokolliert; erst nach der Aufhebung unterliegt der Fall wieder seiner eigenen Stufe.

Getrennt davon kann ein Mandanten-Admin die Daten eines Falls manuell auf Anfrage löschen — etwa um einer Löschanfrage einer betroffenen Person nachzukommen, die nicht unter die Rechtsansprüche-Ausnahme fällt. Das ist bei aktiver Aufbewahrungssperre vollständig blockiert: Die Sperre muss erst ausdrücklich aufgehoben werden, selbst eine protokollierte Handlung, sodass eine Sperre nie still durch eine manuelle Löschung umgangen werden kann.

Rechtsgrundlage

• Art. 5(1)(e), DSGVO — der Grundsatz der Speicherbegrenzung: personenbezogene Daten nicht länger aufbewahrt, als für den Zweck, für den sie verarbeitet wurden, notwendig ist.
• Art. 17(3)(e), DSGVO — die Ausnahme vom Löschungsrecht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, die Grundlage dafür, dass eine Aufbewahrungssperre die automatische Löschung außer Kraft setzt.