Daten löschen, aber sicher!

Die Datenschutz-Grundverordnung (DSGVO) beruht auf dem
Verbotsparadigma: Das Erheben und Speichern von personenbezogenen
Daten ist untersagt, außer es es ist erlaubt. Eine Erlaubnis kann
sich nur aus Art. 6 ergeben, in dem die Rechtsgrundlagen definiert
sind, also beispielsweise ein "berechtigtes Interesse" oder eine
widerrufbare Einwilligung des Dateninhabers. Fällt die
Rechtsgrundlage weg, muss der Verantwortliche unverzüglich die
erhobenen Daten löschen. Das muss er auch tun, wenn der
Dateninhaber von seinem Recht auf "Löschen auf Zuruf" nach Art. 17
DSGVO Gebrauch macht. Diese Gemengelage macht deutlich, auf welch
tönernen Füßen datengetriebene Geschäftsmodelle in der EU stehen.
Auch die neuen Datengesetze wie der Data Act und Data Governance
Act hebeln das Verbotsparadigma nicht aus, sondern müssen sich ihm
unterordnen. Hinzu kommt, dass diverse nationale Vorschriften von
Behörden und Unternehmen fordern, beispielsweise Verträge und
Rechnungen eben nicht zu löschen, sondern innerhalb einer Frist
verfügbar zu halten. Zusätzlich gibt es die Pflicht, geschäftliche
E-Mails zehn Jahre lang zu archivieren. Außerdem sollen
Verantwortliche Backups ihre Datenbestände vorhalten. All diese
Ausnahmen deckt Art. 17, Abs. 3 DSGVO. Doch wie soll man das alles
praktisch umsetzen; wie löscht man wirklich sicher Daten, um seinen
Pflichten nachzukommen? Darüber sprechen Heise-Verlagsjustiziar
Joerg Heidrich und Redakteur Holger Bleich in Episode 91 des
c't-Datenschutz-Podcasts Auslegungssache. Als kompetenter Gast
steht ihnen dabei Dr. Christoph Wegener zur Seite. Wegener ist
promovierter Physiker und seit 1999 als freiberuflicher Berater mit
der wecon.it-consulting in den Bereichen Informationssicherheit,
Datenschutz und Open Source aktiv. Im Podcast erläutert er, welche
Methoden er zum Löschen von Daten empfiehlt und gibt hilfreiche
Tipps für die Praxis in Unternehmen.