Prozessbeweis benötigt: Einschränkung der Verarbeitung nach Art. 18

Benötigt eine betroffene Person eigene Daten noch als Prozessbeweis, kommt eine Einschränkung der Verarbeitung nach Art. 18 Abs. 1 lit. c DSGVO in Betracht. Die Vorschrift setzt voraus, dass der Verantwortliche die Daten für seine Verarbeitungszwecke nicht länger benötigt und die betroffene Person sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen braucht.

Die Folge ist eine eng begrenzte Verarbeitung: Die Daten bleiben gespeichert, dürfen aber grundsätzlich nur noch in den gesetzlich genannten Fällen verwendet werden. Dieser Beitrag zeigt, wie Anspruch, Beweisfunktion, Sperrmenge, Empfänger und spätere Aufhebung sauber voneinander getrennt werden.

Art. 18 Abs. 1 lit. c DSGVO verbindet zwei Voraussetzungen. Der Verantwortliche benötigt die personenbezogenen Daten für die Zwecke seiner Verarbeitung nicht länger. Die betroffene Person benötigt dieselben Daten dennoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Erst dieses Zusammenspiel eröffnet das Recht, die Einschränkung der Verarbeitung zu verlangen.

Die Daten müssen dafür nicht bereits in einem Gerichtsverfahren vorliegen. Entscheidend ist der konkrete Bezug zu einem eigenen Rechtsanspruch und die Funktion der Daten für dessen Durchsetzung oder Verteidigung. Eine bloße Vermutung, die Unterlagen könnten irgendwann nützlich werden, beschreibt diesen Bezug noch nicht ausreichend.

Der Verantwortliche sollte den bisherigen Zweck und dessen Ende getrennt vom Anspruch der betroffenen Person dokumentieren. Ein abgeschlossener Kundenkontakt, eine beendete Prüfung oder ein erledigter Vertrag kann den ursprünglichen Zweck entfallen lassen. Daraus folgt aber keine automatische Löschung, wenn die betroffene Person den Datenbestand für einen eigenen Anspruch benötigt.

Das Recht auf Löschung nach Art. 17 Abs. 1 DSGVO knüpft unter anderem daran an, dass personenbezogene Daten für die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr notwendig sind. Art. 17 Abs. 3 lit. e DSGVO nimmt die Löschung aus, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Art. 18 Abs. 1 lit. c DSGVO setzt daneben einen eigenen Sachverhalt voraus und führt zu einer anderen Rechtsfolge.

Bei der Einschränkung bleibt die Speicherung erhalten. Nach Art. 18 Abs. 2 DSGVO dürfen die Daten darüber hinaus grundsätzlich nur mit Einwilligung, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus einem wichtigen öffentlichen Interesse der Union oder eines Mitgliedstaats verarbeitet werden.

Die Einschränkung ist daher weder ein allgemeines Löschmoratorium noch eine Erlaubnis, den gesamten Vorgang dauerhaft aufzubewahren. Sie schützt den konkreten Datenbestand, den die betroffene Person für ihren Rechtsanspruch benötigt. Andere Daten sind weiterhin eigenständig nach Art. 17 DSGVO zu prüfen.

Ein Antrag sollte den eigenen Rechtsanspruch so beschreiben, dass der Datenbezug geprüft werden kann. Dazu gehören je nach Sachverhalt die Rolle der betroffenen Person, der betroffene Vorgang, die strittige Handlung oder Erklärung und die Frage, welche Information dafür benötigt wird. Eine abschließende Einschätzung, ob der Anspruch erfolgreich sein wird, ist für die datenschutzrechtliche Sperrprüfung nicht erforderlich.

Die Beweisfunktion kann in einer Nachricht, einer Vertragsversion, einer Abrechnung, einem Protokoll, einem Bild, einem Zugriffsereignis oder einer sonstigen Dokumentation liegen. Das Unternehmen sollte den behaupteten Zusammenhang nachvollziehbar festhalten, ohne aus Vorsicht alle Unterlagen des gesamten Vorgangs zu sperren. Datenminimierung und Speicherbegrenzung nach Art. 5 Abs. 1 lit. c und e DSGVO bleiben maßgeblich.

Auch die Herkunft der Daten und mögliche Änderungen sind relevant. Wird ein Dokument aus einem aktiven System exportiert, ist der Export nicht automatisch in derselben Menge erforderlich wie die Originalinformation. Die Prüfung muss deshalb zwischen Original, Kopie, Metadaten, Kommentaren und weiteren Systemspuren unterscheiden.

Die Sperrmenge umfasst nur die Daten, die für den beschriebenen Rechtsanspruch benötigt werden. Legen Sie für jede Gruppe fest, welche Dokumente und Datenfelder betroffen sind, wo sie gespeichert werden und welcher Zeitraum relevant ist. Ein gesamtes Benutzerkonto, eine vollständige Kundenakte oder jedes Backup ist nicht allein deshalb erforderlich, weil darin auch die gesuchten Informationen liegen könnten.

Die technische Prüfung darf bei der Primärakte nicht enden. E-Mail-Postfächer, Dokumentenablagen, Exporte, lokale Kopien und Systeme von Auftragsverarbeitern können dieselben Informationen enthalten. Ein Sperrvermerk muss deshalb mit Berechtigungen, Suchfunktionen, Schnittstellen und Wiederherstellungsprozessen zusammenpassen. Für die Umsetzung bei Dienstleistern sind die tatsächlichen Datenflüsse und Rollen nachzuhalten.

Die Einordnung von Löschverlangen und Aufbewahrungspflichten behandelt den verwandten Fall einer gesetzlichen Speicherpflicht. Der vorliegende Fall hat einen anderen Ausgangspunkt: Die betroffene Person benötigt die Daten selbst für einen Rechtsanspruch und verlangt deshalb eine Einschränkung nach Art. 18 Abs. 1 lit. c DSGVO.

Art. 18 Abs. 2 DSGVO erlaubt während der Einschränkung mehr als die bloße technische Existenz der Daten nur in abschließend genannten Konstellationen. Dazu gehören die Einwilligung der betroffenen Person, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, der Schutz der Rechte einer anderen natürlichen oder juristischen Person und ein wichtiges öffentliches Interesse der Union oder eines Mitgliedstaats.

Im Unternehmen sollte der Sperrstatus deshalb konkrete Zugriffsregeln auslösen. Entfernen Sie die Daten aus regulären Arbeitsansichten, stoppen Sie automatische Weiterleitungen und Exporte und beschränken Sie die Bearbeitung auf die freigegebenen Rollen. Ein Zugriff für die Bearbeitung des Rechtsanspruchs ist anders zu dokumentieren als eine Nutzung für Werbung, allgemeine Kundenpflege oder eine neue Auswertung.

Die technische Zugriffssperre ist eine Umsetzungsmaßnahme. Sie ersetzt keine Prüfung, ob Art. 18 Abs. 1 lit. c DSGVO erfüllt ist und schafft für andere Zwecke keine neue Rechtsgrundlage. Der Nachweis sollte daher rechtliche Entscheidung und technische Umsetzung miteinander verknüpfen.

Wurden die betroffenen Daten offengelegt, verlangt Art. 19 DSGVO grundsätzlich die Mitteilung der Einschränkung an alle Empfänger. Eine Ausnahme gilt, wenn die Mitteilung unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde. Verlangt die betroffene Person Auskunft über diese Empfänger, muss der Verantwortliche sie darüber informieren.

Ermitteln Sie deshalb, an welche Stellen die konkrete Sperrmenge übermittelt wurde. Dazu können je nach Verarbeitung interne Abteilungen, Auftragsverarbeiter oder andere Empfänger gehören. Die Empfängerprüfung betrifft den eingeschränkten Datenbestand und darf nicht durch eine pauschale Verteilerliste ersetzt werden.

Art. 18 Abs. 3 DSGVO verlangt eine Information der betroffenen Person, bevor die Einschränkung aufgehoben wird. Dafür braucht der Verantwortliche ein überprüfbares Aufhebungskriterium, etwa das Ende des Anspruchsbezugs oder eine dokumentierte Neubewertung. Der bloße Ablauf einer internen Erinnerung genügt nicht, wenn der Datenbezug noch ungeklärt ist.

Betroffenenrechte müssen nach Art. 12 Abs. 1 DSGVO transparent und verständlich bearbeitet werden. Der Eingang des Antrags, die Identität der antragstellenden Person, der konkret behauptete Rechtsanspruch und die betroffenen Daten gehören in die Bearbeitungsakte. So lässt sich später nachvollziehen, weshalb bestimmte Informationen eingeschränkt wurden und andere nicht.

Art. 12 Abs. 3 DSGVO verlangt grundsätzlich eine Reaktion innerhalb eines Monats. Die Frist betrifft die Antwort auf den Antrag und ist von der internen technischen Such- oder Umsetzungsdauer zu unterscheiden. Halten Sie daher Eingang, Rückfragen, Entscheidung, Antwort und allfällige weitere Schritte mit ihren Zeitpunkten fest.

Die Antwort sollte klar zwischen einer vollständigen oder teilweisen Einschränkung und einer Löschung unterscheiden. Benennen Sie den Umfang, die zulässige weitere Verwendung und das Kriterium für die nächste Prüfung. Eine verständliche Erklärung hilft der betroffenen Person mehr als ein pauschaler Hinweis auf einen internen Sperrvermerk.

Beginnen Sie mit dem Antrag und einer Datenkarte. Erfassen Sie betroffene Person, eigenen Rechtsanspruch, Verfahrensrolle, behaupteten Datenbezug, Datenkategorien, Dokumente, Systeme, Kopien und Empfänger. Ordnen Sie jede Gruppe einer Entscheidung zu: löschen, weiterverarbeiten oder nach Art. 18 DSGVO einschränken.

Der Sperrvermerk sollte die Entscheidung in einer überprüfbaren Form abbilden. Halten Sie bisherigen Zweck, Ende dieses Zwecks, Anspruchsbezug, Beweisfunktion, Sperrmenge, zulässige Zugriffe, technische Umsetzung und Verantwortlichkeit fest. Ergänzen Sie das Aufhebungskriterium, den nächsten Kontrollzeitpunkt und die Prüfung der Empfänger.

Kontrollieren Sie danach, ob die technische Sperre tatsächlich wirkt. Suchen Sie nach offenen Ansichten, automatischen Exporten, lokalen Kopien und Dienstleisterzugriffen. Dokumentieren Sie die Antwort an die betroffene Person und prüfen Sie den Datenbestand erneut, sobald der Anspruch, der Zweck oder die Systemumgebung sich ändert.

Wir prüfen den Antrag, den eigenen Rechtsanspruch, die Beweisfunktion, die erforderliche Sperrmenge, die zulässige weitere Verarbeitung und die Empfänger anhand des tatsächlichen Datenbestands. Für eine erste Einordnung helfen der Antrag, die betroffenen Dokumente, die Speicherorte, die bisherige Nutzung und ein vorhandener Sperrvermerk. Kontaktieren Sie uns, wenn Daten vor einer Vernichtung geschützt werden sollen und zugleich eine begrenzte, nachvollziehbare Verarbeitung erforderlich ist.