Speicherbegrenzung

Die Speicherbegrenzung gehört zu den Grundsätzen des Art. 5 Abs. 1 DSGVO. Personenbezogene Daten dürfen nicht auf unbestimmte Zeit aufbewahrt werden. Verantwortliche müssen für die jeweiligen Verarbeitungsvorgänge festlegen, welche Aufbewahrungsdauer oder welche überprüfbaren Löschkriterien sachlich erforderlich sind.

Die erforderliche Dauer hängt vom Zweck und vom konkreten Datenbestand ab. Für Beschäftigtendaten, Kundenbeziehungen, Bewerbungen, Videoaufnahmen oder Marketingdaten können daher unterschiedliche Fristen und Prüfschritte gelten. Gesetzliche Aufbewahrungspflichten können eine längere Speicherung verlangen, erledigen aber nicht automatisch die übrige Datenschutzprüfung. Nach Ende des Zwecks sind Daten zu löschen oder so zu anonymisieren, dass die betroffene Person nicht mehr identifiziert werden kann, sofern keine andere Rechtsgrundlage die weitere Speicherung trägt.

Für Archivzwecke im öffentlichen Interesse sowie für wissenschaftliche oder historische Forschungszwecke und statistische Zwecke sieht Art. 5 Abs. 1 lit. e DSGVO eine besondere Ausnahme vor. Sie setzt geeignete technische und organisatorische Maßnahmen nach Art. 89 Abs. 1 DSGVO voraus. In der Praxis sollte ein Lösch- und Aufbewahrungskonzept die Zwecke, Fristen, Ausnahmen, Verantwortlichkeiten und regelmäßige Überprüfung nachvollziehbar abbilden. Die Themen Compliance und Datenschutz-Governance sowie Beschäftigtendatenschutz zeigen, wie diese Prüfung in Prozesse eingebunden werden kann.