TL;DR
Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung. Die CNIL entfaltet den Grundsatz in drei Phasen: aktive Basis (die zur Zweckerreichung erforderliche Zeit), Zwischenarchivierung (Vorgang abgeschlossen, aber weiterhin verwaltungsmäßiges Interesse oder gesetzliche Pflicht — mit zwingender physischer oder logischer Trennung) und Endarchivierung (Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken). Die Branchen-Referenzrahmen nennen Fristen: verbindlich, wo ein Rechtstext sie vorgibt, empfohlen im Übrigen. Die empfohlenen anzuwenden begründet eine Konformitätsvermutung; davon abzuweichen ist zulässig, sofern die Wahl dokumentiert wird.
Ein Datum, drei Leben
Die aktive Basis ist die Zeit, die zur Erreichung des Zwecks nötig ist, der die Erhebung gerechtfertigt hat. Dort sind die Daten in der unmittelbaren Arbeitsumgebung der operativen Bereiche zugänglich: die Personalabteilung bei einer Einstellung, der Vertrieb bei einem Kunden. Das Beispiel der CNIL ist die abgelehnte Bewerbung, deren Daten höchstens zwei Jahre aufbewahrt werden, sofern keine Löschung verlangt wird.
Die Zwischenarchivierung beginnt, wenn der Vorgang abgeschlossen ist. Die Daten dienen dem Zweck nicht mehr, behalten aber ein verwaltungsmäßiges Interesse — die Abwicklung eines möglichen Rechtsstreits — oder erfüllen eine gesetzliche Pflicht: Rechnungsdaten sind nach dem Handelsgesetzbuch zehn Jahre aufzubewahren, auch wenn die Person kein Kunde mehr ist. In dieser Phase dürfen sie nur punktuell und begründet eingesehen werden, von eigens berechtigten Personen.
Die Endarchivierung betrifft nur Verarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken. Anders als die aktive Basis sind die letzten beiden Phasen nicht selbstverständlich: ihre Erforderlichkeit ist je Verarbeitung zu prüfen, und für jede ist eine Auswahl unter den Daten zu treffen.
Der Satz, den alle überspringen
«Ist die Zwischenarchivierung erforderlich und gerechtfertigt, muss eine Trennung von der aktiven Basis vorgenommen werden.» Diese Trennung ist physisch — Auslagerung in eine eigene Archivdatenbank, zugänglich nur für berechtigte Personen — oder logisch: die Daten bleiben, wo sie sind, werden aber durch eine Beschränkung der Berechtigungen isoliert, die sie für diejenigen unzugänglich macht, die kein Interesse mehr an ihrer Verarbeitung haben. Ein Verzeichnis, das zehn Jahre Aufbewahrung ausweist, während die Daten im CRM liegen und für den gesamten Vertrieb sichtbar sind, beschreibt keine Zwischenarchivierung: es beschreibt zehn Jahre aktive Basis, was etwas anderes und selten zu rechtfertigen ist.
- Dasselbe Datum kann zu zwei verschiedenen Verarbeitungen mit zwei verschiedenen Fristen gehören: es in der einen zu archivieren oder zu löschen hindert nicht daran, es in der anderen weiter zu nutzen.
- Wo ein Rechtstext die Frist festlegt, gilt diese — Art. L3243-4 des französischen Arbeitsgesetzbuchs verpflichtet den Arbeitgeber, ein Doppel der Lohnabrechnung fünf Jahre aufzubewahren.
- Die Referenzrahmen der CNIL decken Gesundheit außerhalb der Forschung, Gesundheitsforschung, den sozialen und medizinisch-sozialen Sektor sowie die Personalverwaltung ab. Sie führen nur die häufigsten Verarbeitungen auf: eine im Rahmen fehlende Verarbeitung ist keine Verarbeitung ohne Frist.
- Die in den Rahmen erfassten Vorschriften betreffen nur nationales Recht: ein in mehreren Staaten niedergelassenes Unternehmen muss die übrigen anwendbaren Rechtsordnungen prüfen.
«Gesetzliche Fristen» ist keine Speicherfrist
Es ist die häufigste Angabe in Verzeichnissen, und sie sagt nichts: weder welche Phase noch welcher Rechtstext noch ab wann gezählt wird. Eine brauchbare Speicherfrist besteht aus drei Teilen — der Phase, der Zahl der Jahre oder Monate und der tragenden Fundstelle, ob Rechtstext oder Aufsichtsdoktrin. Ohne den dritten kann niemand den ersten prüfen, und ein nicht überprüfbares Verzeichnis schützt den nicht, der es erstellt: es dokumentiert seine Ungefährheit.
Der Praxisleitfaden der CNIL wurde mit dem interministeriellen Archivdienst Frankreichs erarbeitet, gerade weil DSGVO und Kulturerbegesetzbuch nicht dasselbe sagen und eine öffentliche Stelle beides einhalten muss. Für Verarbeitungen ohne gesetzlich festgelegte Frist bietet der Leitfaden ein Analyseraster ausgehend vom Zweck — das betrifft die meisten Verarbeitungen und ist genau die Arbeit, die der Referenzrahmen einem nicht abnimmt.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
