Unternehmen sind dazu angehalten, L\u00f6schkonzepte f\u00fcr jegliche personenbezogenen Daten zu entwickeln, die von ihnen gespeichert werden, anderenfalls drohen empfindliche Bu\u00dfgelder. Sobald die Unternehmen nicht mehr aufgrund von Aufbewahrungspflichten dazu verpflichtet sind, die Daten zu speichern und auch kein anderer Grund f\u00fcr die Verarbeitung besteht, fehlt es an einer Grundlage f\u00fcr die Speicherung, weshalb die Daten zu l\u00f6schen sind. Sofern diese Daten trotz der fehlenden Grundlage f\u00fcr die Verarbeitung gespeichert werden, kann hierin ein (bu\u00dfgeldbewehrter) Datenschutzversto\u00df zu sehen sein.<\/p>\n
Sachverhalt<\/strong><\/p>\n Ein Dienstleister aus der Forderungsmanagement-Branche wurde mit einem Bu\u00dfgeld von EUR 900.000,00 belegt, weil er personenbezogene Daten von Schuldner\/innen bis zu f\u00fcnf Jahre lang speicherte, obwohl die gesetzlichen L\u00f6schfristen abgelaufen waren. Der Versto\u00df wurde im Rahmen einer Pr\u00fcfung des Hamburgischen Beauftragten f\u00fcr Datenschutz und Informationsfreiheit (HmbBfDI) entdeckt. Auch wenn die Daten nicht an Dritte weitergegeben wurden, war die Speicherung ohne Rechtsgrundlage ein Versto\u00df gegen die DS-GVO. Der HmbBfDI betonte, dass Unternehmen klare L\u00f6schkonzepte entwickeln sollten.<\/p>\n Begr\u00fcndung des Bu\u00dfgeldes<\/strong><\/p>\n Der HmbBfDl begr\u00fcndete das Bu\u00dfgeld damit, dass durch die fortdauernde Speicherung nach Ende der Aufbewahrungspflichten ein Versto\u00df gegen Art. 5 Abs. 1 lit. a), Art. 6 Abs. 1 DS-GVO vorliege. Insoweit sei irrelevant, dass die Daten in dem Zeitraum nicht an Dritte weitergegeben worden seien, da bereits die Speicherung als Verarbeitung rechtsgrundlos erfolgt sei. Nach Art. 5 Abs. 1 lit. a) DS-GVO m\u00fcssen personenbezogene Daten auf rechtm\u00e4\u00dfige Weise, nach Treu und Glauben und in einer f\u00fcr die betroffene Person nachvollziehbaren Weise verarbeitet werden. Nach Art. 6 Abs. 1 DS-GVO ist die Verarbeitung personenbezogener Daten nur dann rechtm\u00e4\u00dfig, wenn einer der Erlaubnistatbest\u00e4nde von Art. 6 Abs. 1 lit. a)-f) DS-GVO erf\u00fcllt ist. Nach Ablauf der Aufbewahrungspflichten, welche den Erlaubnistatbestand aus Art. 6 Abs. 1 lit. c) DS-GVO erf\u00fcllen k\u00f6nnen, werden diese Voraussetzungen nicht mehr erf\u00fcllt \u2013 es besteht damit eine L\u00f6schungspflicht.<\/p>\n Bewertung und Ausblick<\/strong><\/p>\n Die Beachtung der allgemeinen datenschutzrechtlichen Grundprinzipien ist in Anbetracht der Bu\u00dfgeldh\u00f6hen f\u00fcr Unternehmen bedeutsam. Soweit keine Grundlage f\u00fcr eine Verarbeitung bzw. Speicherung von Daten besteht, sind diese Daten zu l\u00f6schen. Deshalb sind f\u00fcr die verschiedenen Arten von Daten (insbesondere: Mitarbeiter-, Bewerber-, Kunden-, Patientendaten oder Daten von Gesch\u00e4ftspartnern) L\u00f6schkonzepte vorzusehen, um die Einhaltung der L\u00f6schungspflichten zu gew\u00e4hrleisten. Es d\u00fcrfen jedoch auch keine Daten gel\u00f6scht werden, die noch aufbewahrt\/gespeichert werden m\u00fcssen. Patientendaten unterliegen als Gesundheitsdaten im Sinne von Art. 9 DS-GVO besonderem Schutz, deshalb w\u00e4re ein Versto\u00df insoweit als noch gravierender anzusehen.<\/p>\n","protected":false},"excerpt":{"rendered":" Unternehmen sind dazu angehalten, L\u00f6schkonzepte f\u00fcr jegliche personenbezogenen Daten zu entwickeln, die von ihnen gespeichert werden, anderenfalls drohen empfindliche Bu\u00dfgelder. Sobald die Unternehmen nicht mehr aufgrund von Aufbewahrungspflichten dazu verpflichtet sind, die Daten zu speichern und auch kein anderer Grund f\u00fcr die Verarbeitung besteht, fehlt es an einer Grundlage f\u00fcr die Speicherung, weshalb die Daten […]<\/p>\n","protected":false},"author":4,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3],"tags":[],"class_list":["post-5588","post","type-post","status-publish","format-standard","hentry","category-allgemein-en"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/posts\/5588","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/comments?post=5588"}],"version-history":[{"count":2,"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/posts\/5588\/revisions"}],"predecessor-version":[{"id":6198,"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/posts\/5588\/revisions\/6198"}],"wp:attachment":[{"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/media?parent=5588"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/categories?post=5588"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.es-law.de\/en\/wp-json\/wp\/v2\/tags?post=5588"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}