Gesetzliche Pflichten zur Datenvernichtung

Rechtlicher Rahmen

In Deutschland und der Europäischen Union unterliegen Unternehmen zahlreichen gesetzlichen Verpflichtungen zum Schutz personenbezogener und geschäftskritischer Daten. Diese Verpflichtungen erstrecken sich nicht nur auf die Speicherung und Verarbeitung, sondern auch auf die ordnungsgemäße Vernichtung, sobald die Daten nicht mehr benötigt werden oder gesetzliche Aufbewahrungsfristen abgelaufen sind.

Die Nichteinhaltung dieser Pflichten kann weitreichende rechtliche und finanzielle Konsequenzen haben – von Bußgeldern über Schadenersatzansprüche bis hin zur strafrechtlichen Verfolgung.

Die wichtigsten Gesetze im Überblick

DSGVO – Datenschutz-Grundverordnung

Die DSGVO ist das zentrale Datenschutzgesetz der Europäischen Union. Sie gilt seit dem 25. Mai 2018 und regelt den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten.

Art. 17 DSGVO – Recht auf Löschung

Betroffene Personen haben das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen. Das Unternehmen muss sicherstellen, dass die Daten nach Löschung nicht wiederherstellbar sind – eine Aufgabe, die nur durch physische Datenvernichtung gewährleistet werden kann.

Bußgelder

Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4% des weltweiten Jahresumsatzes geahndet werden (Art. 83 DSGVO).

BDSG – Bundesdatenschutzgesetz

Das BDSG ergänzt die DSGVO um deutsche landesspezifische Regelungen. Es konkretisiert insbesondere die Verarbeitung besonderer Kategorien personenbezogener Daten und regelt die Befugnisse der Aufsichtsbehörden.

§ 35 BDSG – Löschung von Daten

Die verarbeitende Stelle hat personenbezogene Daten zu löschen, wenn die Speicherung unzulässig ist oder der Zweck der Speicherung erreicht oder weggefallen ist. Die Löschung muss so erfolgen, dass eine Wiederherstellung nicht möglich ist.

Strafrechtliche Konsequenzen

Verstöße gegen das BDSG können mit Freiheitsstrafen bis zu drei Jahren oder Geldstrafen geahndet werden (§ 42 BDSG).

HGB – Handelsgesetzbuch

Nach dem HGB unterliegen Kaufleute Aufbewahrungspflichten für Geschäftsunterlagen. Commercial Code schreibt vor, dass Unterlagen über zehn Jahre aufbewahrt werden müssen (§ 257 HGB). Ablauf dieser Fristen entbindet jedoch nicht von der Pflicht zur sicheren Vernichtung.

Relevanz für die Datenvernichtung

Nach Ablauf der Aufbewahrungsfrist müssen Geschäftsunterlagen und digitale Datenträger sicher und nachweislich vernichtet werden. Die Vernichtung muss dokumentiert werden, um im Fall einer Prüfung den ordnungsgemäßen Ablauf nachzuweisen.

GO – Geschäftsordnung für Archivare

Für öffentliche Stellen gelten zusätzlich die Regelungen der Geschäftsordnung. Die Aufbewahrungspflichten und die Vernichtungspflichten für elektronische Akten sind hier detailliert geregelt.

Elektronische Akten (eAkten)

Bei der Umstellung auf elektronische Akten werden die alten analogen Unterlagen und Datenträger sicher vernichtet. Dies erfordert eine lückenlose Dokumentation des gesamten Vernichtungsprozesses.

Weitere relevante Regelungen

BSI-Grundschutz

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert im IT-Grundschutz-Kompendium Anforderungen an die sichere Vernichtung von IT-Systemen. Maßnahme DER.2.B5.A14 schreibt die sichere Vernichtung von Daten vor.

KStO / GoBD

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern (GoBD) regeln die Aufbewahrung digitaler Unterlagen. Nach Ablauf der Aufbewahrungsfrist sind die Daten sicher zu vernichten.

ElektroG

Das Elektro- und Elektronikgerätegesetz regelt die Entsorgung von Altgeräten. Datenträger müssen vor der Entsorgung sicher vernichtet werden. Wertvolle Rohstoffe werden recycelt, Schadstoffe fachgerecht entsorgt.

Zusammenfassung: Ihre Pflichten

Daten nur so lange speichern, wie es gesetzlich vorgeschrieben ist
Sicherstellen, dass gelöschte Daten nicht wiederherstellbar sind
Physische Vernichtung von Datenträgern nach Ablauf der Aufbewahrungsfrist
Lückenlose Dokumentation des Vernichtungsprozesses
Vernichtungsnachweis für jeden Datenträger aufbewahren
Nur zertifizierte Entsorger mit nachweislichem Qualitätsmanagement beauftragen
Mitarbeiter Regularien zur Datenvernichtung bekannt geben und schulen

Professionelle Hilfe anfordern

Gesetzliche Pflichten zur Datenvernichtung