TL;DR
Einundzwanzig orientierende Tage für E-Mail-Metadaten von Beschäftigten; das Verbot, nach vor über zehn Jahren abgeschlossenen Krebserkrankungen zu fragen; die Pflicht, die Begründung für eine Geldwäschemeldung aufzubewahren, die man NICHT abgesetzt hat. Drei Verzeichniseinträge, die fast niemand schreibt.
Erstens: E-Mail-Metadaten, die der Anbieter einstellt
Das Orientierungsdokument der italienischen Behörde vom 6. Juni 2024 nennt einundzwanzig Tage als orientierende Aufbewahrungsdauer für Metadaten, die E-Mail-Verwaltungsprogramme erzeugen — Absender, Empfänger, Datum, Uhrzeit, Größe. Nicht den Inhalt: die Logs. Es ist die Regel, die ein Verantwortlicher am häufigsten unwissentlich verletzt, weil sie die Voreinstellung der gekauften Suite verletzt: viele halten Logs Monate oder Jahre, niemand hat das gewählt, und genau deshalb hat es niemand ins Verzeichnis eingetragen. Die einundzwanzig Tage zu überschreiten ist nicht absolut verboten — das Dokument ist Orientierung, und dokumentierte technische Erfordernisse können es rechtfertigen — doch Art. 4 des Arbeitnehmerstatuts bleibt maßgeblich, wo die Aufbewahrung Fernkontrolle ermöglicht.
Zweitens: Krebs-Vergessenwerden ist keine Aufbewahrungsfrist, sondern ein Erhebungsverbot
Gesetz 193 vom 7. Dezember 2023 verbietet Fragen nach onkologischen Erkrankungen, deren aktive Behandlung ohne Rückfall vor mehr als zehn Jahren endete; fünf Jahre, wenn die Erkrankung vor dem einundzwanzigsten Lebensjahr auftrat. Es erfasst Bank-, Finanz- und Versicherungsverträge, Adoption und öffentliche Auswahlverfahren. Ein Fragebogen mit «Hatten Sie jemals eine Krebserkrankung» ohne Zeitgrenze ist bereits im Ansatz rechtswidrig, und keine Aufbewahrungsfrist macht ihn rechtmäßig. Die Ministerialverordnung vom 22. März 2024 benennt zudem Erkrankungen, bei denen das Recht früher als nach zehn Jahren entsteht: die allgemeine Frist auf alle anzuwenden bleibt ein Verstoß, nach unten.
Drittens: die Akte dessen, der NICHT gemeldet hat
Art. 35 des Gesetzesdekrets 231/2007 verlangt die Verdachtsmeldung. Was Verzeichnisse auslassen, ist die andere Hälfte: die Prüfung vor der Entscheidung und die Begründung der internen Ablage, wenn keine Meldung hinausgeht. Diese Akte enthält ein Urteil über eine identifizierte Person — einen geprüften und verworfenen Verdacht — und ist heikler als die Meldung selbst, weil sie intern bleibt und nicht von der Vertraulichkeit gedeckt ist, die das Gesetz der abgesetzten Meldung zubilligt. Wer sie öffnen darf und wie lange sie bleibt, muss geschrieben stehen.
- Das Gemeinsame: keine der drei entsteht aus einer Entscheidung, Daten zu erheben. Die Logs sind schon da, der Fragebogen ist älter als das Gesetz, die Akte ist der Rest einer ablehnenden Entscheidung.
- Was bei einer Prüfung passiert: es sind reale Bestände, die das Verzeichnis nicht beschreibt, und ihr Fehlen ist kein Formfehler — es heißt, niemand hat eine Frist gesetzt, also löscht niemand.
- Womit anfangen: den E-Mail-Anbieter fragen, wie lange er Logs hält; die Gesundheitsfragebögen erneut lesen; die Schublade der abgelegten Geldwäschebewertungen öffnen.
Der rote Faden
Ein Verarbeitungsverzeichnis beschreibt, was eine Organisation zu tun beschlossen hat. Diese drei Bestände existieren, ohne dass jemand sie beschlossen hätte: geschaffen von einer Voreinstellung, einem geerbten Formular, einem Verfahren, das auch dann Papier erzeugt, wenn es mit einem Nein endet. Dort altert das Verzeichnis — nicht bei den Tätigkeiten, die jemand entworfen hat.
Alle drei stehen nun in der italienischen Aufbewahrungsmatrix, mit genannter Quelle und Eintrag für Eintrag ausgewiesenem Prüfstatus.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
