Wie ein DMS dabei hilft, Löschfristen einzuhalten

Löschfristen sind ein wichtiger Bestandteil der DSGVO. Wie ein DMS Unternehmen bei der DSGVO-Konformität unterstützt, erfahren Sie hier.

Spätestens mit endgültigem Inkrafttreten der DSGVO im Mai 2018 hat der sichere, ordnungsgemäße Umgang mit sensiblen Daten erneut an öffentlichem Interesse gewonnen. Verstößt ein Unternehmen gegen die darin definierten Datenschutzrichtlinien, drohen hohe Strafen. 

• Was DMS mit Datenschutz zu tun hat
• Das „Recht auf Vergessenwerden“ im DMS 
• Aufbewahrungsfirsten vs. Löschfristen 
• Löschfristen 
• DMS Funktionen
• Das ordnungsgemäße Löschen im DMS 
• Welche Strafen drohen bei Verstoß? 
• Fazit: DMS als datenschutzrechtliches Werkzeug

Was DMS mit Datenschutz zu tun hat

Ein Dokumentenmanagement System (kurz DMS), welches alle unternehmensrelevanten Dokumenten zentral speichert, wirkt aus datenschutzrechtlicher Sicht zunächst problematisch. Komm es zu einem Zwischenfall, können sensible Dokumente in die falschen Hände geraten. Für das Image eines Unternehmens ist ein solcher Zwischenfall fatal. 

DMS unterstützt beim Datenschutz

Doch das ist nur eine Seite der Medaille. DMS-Lösungen verfügen über spezielle Funktionen, die das Unternehmen bei der Einhaltung der Datenschutzrichtlinien unterstützen können. Ein Beispiel dafür, wie DMS Software in Sachen Datenschutz Abhilfe schaffen kann, findet sich in Art. 17 der DSGVO. 

Viele Vorgaben müssen berücksichtigt werden

Dieser Artikel wird vielen unter dem Begriff „Recht auf Vergessenwerden“ geläufig sein. Um zu illustrieren, wie ein DMS bei der Einhaltung dieses Artikels behilflich sein kann, müssen wir uns an dieser Stelle zunächst näher damit auseinandersetzen, welche datenschutzrechtlichen Auflagen dieser Artikel beinhaltet. 

Das „Recht auf Vergessenwerden“ im DMS 

Kapitel 3 Art. 17 DSGVO bezieht sich auf Rechte der Personen, deren Daten von Unternehmen erhoben werden. Im Weiteren wird eine solche Person als „betroffene Person“ bezeichnet. Art. 17 spricht der betroffenen Person das Recht zu, vom verantwortlichen Unternehmen das Löschen der Daten zu verlangen. 
Unternehmen müssen Rechte wahren

Das Unternehmen ist dazu verpflichtet, diesem Wunsch nachzukommen, wenn die Daten aus unrechtmäßigen Gründen erhoben wurden, sie für die Erfüllung des ursprünglichen Erhebungszwecks redundant geworden sind oder die betroffene Person der Datenerhebung rückwirkend widerspricht (vgl. dsgvo-gesetz.de). 

Proaktiv handeln

So weit, so gut. Die Sachlage scheint zunächst eindeutig. Wünscht eine betroffene Person die Löschung ihrer Daten, muss ein Unternehmen diesem Wünsch in den meisten Fällen nachkommen. Dabei muss sich das Unternehmen jedoch an bestimmte zeitliche Rahmenbedingungen halten: Die sogenannten Löschfristen.

Aufbewahrungsfirsten vs. Löschfristen 

Es dürfte weitestgehend bekannt sein, dass Unternehmen dazu verpflichtet sind, Dokumente über einen gewissen Zeitraum – die sogenannte Aufbewahrungsfrist – sicher zu verwahren. Bei Verträgen beginnt diese Frist erst nach Ende der Vertragsdauer. Je nach Art des Dokuments kann die Aufbewahrungsfrist sehr unterschiedlich ausfallen. 

So müssen Strahlenschutz-Gesundheitsakten beispielsweise 30 Jahre aufbewahrt werden, Abrechnungsunterlagen zehn Jahre und Lieferbestätigungen bezüglich Arzneimittel lediglich drei Jahre (vgl. audatis.de).  Doch was geschieht nach Verstreichen dieses Zeitraums? Wann müssen die Dokumente im DMS ordnungsgemäß gelöscht werden? 

Löschfristen 

Bleiben wir bei oben genanntem Beispiel von Art. 17., indem eine betroffene Person von ihrem Recht auf Vergessenwerden gebrauch macht und das Unternehmen dazu auffordert, Daten zu löschen. Wann muss das Unternehmen dieser Aufforderung nun genau nachkommen? Tatsächlich gibt die DSGVO in diesem Fall keine konkrete Frist in Tagen an. 

Löschen von Daten wichtig

Sie verpflichtet Unternehmen jedoch dazu, einem entsprechenden Antrag seitens der betroffenen Person unverzüglich, das heißt mit anderen Worten ohne „schuldhaftes Verzögern“, nachzukommen. Mit anderen Worten sollte das Löschen der Daten im Unternehmen priorisiert werden. 

Dies mag so manches Unternehmen, welches über die Jahre Dokumente mit persönlichen Daten zahlreicher Kunden angesammelt hat, vor Probleme stellen, wenn viele Kunden zur gleichen Zeit Gebrauch von Art. 17 machen.  

DMS hilf Überblick zu behalten

Im schlimmsten Fall sind Dokumente eines Kunden auf mehrere, zu gestaubte Aktenordner aufgeteilt, welche wiederum im gesamten Unternehmen in unterschiedlichen Abteilungen verteilt sind. Kaum ein Mitarbeiter wird hier noch den Überblick darüber haben, welche Dokumente welches Kunden wo zu finden sind. 

DMS Funktionen 

Sind alle Dokumente des Kunden zentral im DMS gespeichert, erleichtert dies die Lokalisierung enorm. Durch Funktionen wie eine Volltextsuche können in Sekundenschnelle sämtliche Dokumente, die in der Datenbank zu einem bestimmten Kunden gespeichert wurden, abgerufen werden. 

Anbindung an das CRM-System

Ist das DMS über eine Schnittstelle mit dem CRM-System des Unternehmens verbunden, bringt dies weitere Vorteile mit sich. Ein Antrag auf Löschung seitens einer betroffenen Person geht zunächst über das CRM ein. Ist nun eine Schnittstelle zum DMS vorhanden, kann dem Kundenwunsch an dieser Stelle direkt nachgegangen werden. 

Viele Automatisierungen denkbar

Auch besteht die Möglichkeit, sich automatisch vom System über eingehende Anfragen auf Löschung benachrichtigen zu lassen. Zusätzlich hilft eine priorisierte Anzeige auf Löschung innerhalb des DMS, die die Dringlichkeit der Löschung abhängig vom Eingang der Anfrage einstuft. 

Sicherheit spielt wichtige Rolle

Es wird deutlich, dass ein DMS einem Unternehmen im Bereich Datenschutz einige Arbeit erleichtern oder gar abnehmen kann. Tatsächlich sind Unternehmen gemäß DSGVO jedoch sogar dazu verpflichtet, bestimmte „technische und organisatorische Maßnahmen“ zu ergreifen, um die Sicherheit ihrer Daten zu gewährleisten. Ein adäquates DMS erfüllt diese Kriterien. Doch wie gestaltet sich die tatsächliche Löschung der Dokumente im DMS? 

Das ordnungsgemäße Löschen im DMS 

„Das Internet vergisst nie.“ Dieses Zitat dürfte den meisten Lesern bekannt sein. Tatsächlich ist die Frage, was in Zeiten der digitalen Transformation konkret unter dem Begriff „Löschen“ zu verstehen ist, durchaus gerechtfertigt. Eine genaue Definition suchen wir in der aktuellen Gesetzlage vergeblich. 

Wichtig ist jedoch, dass nach der Löschung nicht mehr die Möglichkeit besteht, die Daten „ohne unverhältnismäßigen Aufwand“ wiederherzustellen bzw. sich rückwirkend Zugriff darauf zu verschaffen. 

Welche Strafen drohen bei Verstoß? 

Seit Inkrafttreten der DSGVO gingen bereits die ersten datenschutzrechtlichen Verstöße durch die Medien. Diese Verstöße können das Image des betroffenen Unternehmens im Ernstfall nachhaltig schädigen. Doch neben dem öffentlichen Gesichtsverlust drohen Unternehmen bei Verstoß gegen die DSGVO auch teils hohe Strafen, welche in Art. 25 DSGVO definiert werden. 

Empfindliche Bußgelder

Wurden beispielsweise keinerlei technische Voreinstellungen getroffen, um die Sicherheit der Daten zu gewährleisten, können Bußgelder in Höhe von 10 Mio. Euro bzw. 2% des Jahresumsatzes des Vorjahres anfallen. Spätestens an diesem Punkt sollte also deutlich werden, wie wichtig es ist, in eigener Initiative entsprechende datenschutzrechtliche Maßnahmen zu treffen. 

Gerade erst der Anfang

Doch dies ist nicht die höchste Strafe, die die DSGVO bei einem Verstoß vorsieht. Verstößt ein Unternehmen beispielsweise gegen die Zweckbindung der erhobenen Daten, kann das entsprechende Bußgeld 20 Mio. Euro oder 4% des entsprechenden Jahresumsatzes des Vorjahres betragen (vgl. keyed.de). 

Fazit: DMS als datenschutzrechtliches Werkzeug 

Die Moral des ganzen ist, sich nicht gegen die Digitalisierung zu wehren, sondern sie vielmehr als Werkzeug zu nutzen, unternehmenseigene Ziele zu realisieren. So kann ein geeignetes DMS System ein Unternehmen im Bereich Datenschutz enorm unterstützen, wenn es korrekt genutzt und eingesetzt wird.