Ein Backup, das nichts vergisst, steht dem Recht auf Löschung im Weg.

Zwei Anforderungen an dieselben Daten stehen sich im Backup direkt gegenüber. Der Datenschutz verlangt, dass Personendaten verschwinden, sobald sie für ihren Zweck nicht mehr gebraucht werden. Die Sicherung verlangt, dass nichts verschwindet, weil eine Kopie, die vergisst, im Ernstfall nicht mehr hilft. Im Alltag fällt das nie auf. Es fällt an dem Tag auf, an dem eine ehemalige Mitarbeiterin die Löschung ihrer Daten verlangt, jemand im Betrieb den Ordner löscht und danach die Frage im Raum steht, was das für die Kopien beim Anbieter bedeutet.

Was hier steht, ist unsere Lesart aus der Praxis und keine Rechtsberatung. Wo es um ein konkretes Begehren, eine Frist oder einen Streitfall geht, gehört eine juristische Einschätzung dazu.

Aufbewahren und löschen sind zwei Pflichten am selben Datensatz.

Aufbewahrungspflichten kommen nicht aus dem Datenschutz. Geschäftsbücher und Buchungsbelege sind nach Artikel 958f des Obligationenrechts zehn Jahre aufzubewahren und eine Rechnung mit Name und Adresse ist beides zugleich: ein Beleg und ein Personendatum. Für Unterlagen aus der Personaladministration gelten je nach Grundlage kürzere Fristen, oft fünf Jahre. Auf der anderen Seite steht der Grundsatz aus dem revidierten Datenschutzgesetz, dass Personendaten vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.

Der Widerspruch löst sich nicht auf der Ebene des Unternehmens, sondern pro Datenkategorie. Die Kundenrechnung bleibt zehn Jahre liegen, weil ein Gesetz es verlangt. Das Dossier einer Bewerberin, die eine Absage bekommen hat, unterliegt keiner solchen Pflicht und hat nach wenigen Monaten keinen Zweck mehr. Beides im selben Ordner und mit derselben Regel zu behandeln, geht nicht auf.

In den meisten KMU steht nirgends, welche Kategorie wie lange bleibt. Damit ist die stillschweigende Regel: alles, für immer. Das Backup schreibt diese Regel fest, weil es sie Nacht für Nacht kopiert. Welche Pflichten sonst noch gelten und in welcher Reihenfolge sie Arbeit machen, haben wir in revDSG: was jedes KMU braucht aufgeschrieben.

Ein Löschbegehren erreicht die Kopie nicht und das ist vertretbar.

Wer die Löschung seiner Daten verlangt, meint die Systeme, in denen gearbeitet wird. Dort ist die Löschung auch möglich: im CRM, im Mailpostfach, auf dem Fileserver, in der Zeiterfassung. Im Backup ist sie es nicht, jedenfalls nicht mit vertretbarem Aufwand. Eine Sicherung ist ein eingefrorener Zustand von einem bestimmten Datum. Wer einzelne Datensätze darin nachträglich ändern kann, kann auch alles andere darin ändern und genau das soll ein Backup verhindern. Diese Unveränderlichkeit ist der Grund, warum eine Sicherung nach einem Verschlüsselungstrojaner überhaupt noch etwas wert ist.

Nach unserer Lesart ist es deshalb vertretbar, dass gelöschte Daten für eine begrenzte Zeit in den Sicherungen weiterleben, wenn drei Dinge gelten: Die Sicherungen haben eine festgelegte, endliche Aufbewahrungsdauer, sie werden in dieser Zeit ausschliesslich zur Wiederherstellung verwendet und nach einer vollständigen Wiederherstellung aus einer alten Generation werden die zwischenzeitlichen Löschungen erneut ausgeführt. Der letzte Punkt ist der, der fehlt. Er verlangt nichts weiter als eine Liste der ausgeführten Löschungen, die man nach einem Restore nochmals abarbeitet.

Wichtig ist, dass diese Haltung aufgeschrieben ist, bevor jemand fragt. Ein Auskunftsbegehren ist in der Regel innert dreissig Tagen zu beantworten und in diesen dreissig Tagen ist kein Platz, um die Grundsatzfrage zum ersten Mal zu diskutieren. Ein Absatz genügt: Hier wird gelöscht, hier bleibt es für so viele Tage in der Sicherung und danach ist es weg.

Wo das Backup liegt, ist ein Entscheid und keine technische Nebensache.

Im Backup liegt alles, was im Unternehmen je gespeichert wurde, also auch jedes Personendossier und jede Kundenliste. Damit gelten für die Kopie dieselben Fragen wie für das Original: in welchem Land sie liegt, wer beim Anbieter hineinsehen kann und ob es mit diesem Anbieter eine vertragliche Grundlage für die Bearbeitung gibt.

Diese Fragen werden bei Backups auffallend oft übersprungen, weil eine Sicherung als Technik wahrgenommen wird und nicht als Dienst, der Personendaten bearbeitet. Wir sehen regelmässig Unternehmen, die für ihr CRM einen sauberen Vertrag haben und für die Sicherung derselben Daten keinen. Dazu kommt die Kopie, die der IT Partner für den Notfall auf seiner eigenen Infrastruktur hält und die in keiner Liste steht. Ob die eigene Datenschutzerklärung das noch korrekt beschreibt, ist eine Frage, die in fünf Minuten beantwortet ist und in Datenschutzerklärung: warum sie erst der Anfang ist ausführlicher steht.

Der Kompromiss braucht drei Entscheide und passt auf eine Seite.

Der praktische Weg besteht nicht darin, das Backup datenschutzfreundlich zu machen, sondern darin, drei Punkte zu entscheiden und festzuhalten:

• Wie lange jede Kategorie im laufenden System bleibt: Belege zehn Jahre, Personaldaten nach Grundlage, Bewerbungen wenige Monate, Marketingkontakte bis zum Widerruf.
• Wie lange die Sicherungen aufbewahrt werden: ein Zyklus von neunzig Tagen plus zwölf Monatsstände deckt jeden Wiederherstellungsfall ab, den wir in KMU je gebraucht haben. Alles darüber hinaus braucht einen genannten Grund.
• Wo die Sicherungen liegen, mit Anbieter, Land und Vertrag und was nach einer vollständigen Wiederherstellung nachgeholt wird.

Der Aufwand dafür ist ein halber Tag und der grössere Teil davon geht in die erste Zeile, weil dort zum ersten Mal jemand entscheiden muss, was das Unternehmen tatsächlich behalten will. Die Sicherung selber wird dabei nicht schwächer. Sie hört nur auf, unbegrenzt zu sein und ob sie im Ernstfall trägt, ist eine andere Prüfung, die wir in Backup Strategie: hält sie im Ernstfall beschrieben haben.

Wer diese Seite hat, kann ein Löschbegehren in einer Stunde beantworten statt in einer Woche und weiss vorher, was er antwortet. Wer sie nicht hat, entscheidet die Frage unter Zeitdruck und im Einzelfall und das ist der Moment, in dem aus einer Verwaltungsaufgabe ein Konflikt wird.