sdecoret – stock.adobe.com
Der Gesetzgeber hat die DSGVO so ausgestaltet, dass jede Verarbeitung von personenbezogenen Daten nur so lange erfolgen darf, wie es für den Zweck erforderlich ist, für den die Daten ursprünglich erhoben wurden. Dabei regelt die DSGVO jedoch nicht explizit den konkreten Zeitraum der Speicherung von personenbezogenen Daten. Zusätzlich sind also gesetzliche Aufbewahrungsfristen zu berücksichtigen, so zum Beispiel aus der Abgabenordnung (AO).
Allerdings stellen solche gesetzlichen Aufbewahrungspflichten keine Rechtsfertigung dar, um nicht rechtmäßig erhobene Daten dauerhaft speichern zu können.
Begleichung einer offenen Rechnung
Das verklagte Unternehmen – ein Inkassounternehmen – forderte den Kläger außergerichtlich zur Begleichung einer offenen Forderung auf. Die Informationen über den Kläger erhielt die Beklagte durch eine Einwohnermeldeamtsanfrage.
Bei dem Kläger handelte es sich jedoch nicht um den tatsächlichen Schuldner, sondern um den gleichnamigen Sohn des Klägers. Daraufhin forderte der Betroffene die Beklagte zur Löschung seiner Daten auf. Eine Berechtigung zur Datenverarbeitung bestehe nicht, da er nicht Schuldner der Forderung sei. Die Beklagte lehnte dies unter Hinweis auf die gesetzlichen Aufbewahrungspflichten nach § 148 Abgabenordnung (AO) ab. Die steuerrechtlichen Vorschriften verlangten eine entsprechende Verwahrung. Die Beklagte war der Auffassung, die Speicherung diene auch dem Schutz des Klägers, denn seine Anschrift sei durch Setzen eines Markers als ungültig für den vorliegenden Schuldnerdatensatz gesetzt worden. Andernfalls bestehe die Gefahr, dass der Kläger auch in Zukunft im Rahmen der Betreibung der Forderung ermittelt und angeschrieben werde, wenn seine Daten gelöscht werden. Wegen der Namensidentität und der vom tatsächlichen Schuldner nicht beglichenen Forderung sei es gerechtfertigt, die Daten weiterhin zu speichern, um künftige Verwechslungen zu vermeiden.
Aufbewahrungspflichten müssen für das einzelne Datum in Dokumenten geprüft werden
In seinem Urteil musste sich das Oberlandesgericht Dresden (OLG Dresden, Urteil v. 14.12.2021, Az. 4 U 1278/21) also mit der Frage beschäftigen, ob nationale Pflichten zur Aufbewahrung von Dokumenten als Rechtsgrundlage für eine weitere Speicherung jeglicher in den Dokumenten enthaltenen Daten dienen können. Nach Auffassung des Gerichts stellen gesetzliche Aufbewahrungspflichten jedoch keine Rechtfertigung dar, um nicht rechtmäßig erhobene Daten dauerhaft speichern zu dürfen. Demnach sei es Aufgabe des Aufbewahrungspflichtigen, seinen Datenbestand so zu organisieren, dass der Zugriff auf rechtswidrig erlangte Daten des Betroffenen nicht möglich sei.
Konkret befasst sich das Gericht mit einer möglichen Rechtsgrundlage nach Art. 6 Abs. 1 lit, c der Datenschutzgrundverordnung (DSGVO) in Verbindung mit der nationalen Regelung des § 147 AO. Nach dieser Regelung ist die Verarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Zwar könne die Datenverarbeitung erforderlich sein, um Dokumentationspflichten zum Beispiel nach § 147 AO zu erfüllen. Allerdings sei die Erlaubnis zur Datenverarbeitung nach Ansicht der Richter auf die Erfüllung der jeweiligen gesetzlichen Pflicht beschränkt.
Von der Aufbewahrungspflicht seien die gesamte, den betrieblichen Bereich des Kaufmanns betreffende Korrespondenz, soweit sie sich auf die Vorbereitung, Durchführung oder Rückgängigmachung eines Handelsgeschäfts bezieht, also beispielsweise Aufträge, Auftragsbestätigungen, Lieferscheine, Frachtbriefe oder Rechnungen erfasst. Auf die Form der Korrespondenz komme es gerade nicht an, so dass Briefe im Sinne der Vorschrift auch Telefax, E-Mails oder andere durch Datenübertragung übersendete Nachrichten sind, so das Gericht.
Gesetzliche Aufbewahrungspflichten von Löschungspflichten nicht berührt
Zwar verpflichtete das OLG Dresden die Beklagten zur Löschung. Allerdings stellten die Richter auch fest, dass die gesetzlichen Aufbewahrungspflichten gemäß § 147 AO von der Löschungspflicht nicht berührt werden. Aus diesem Grund seien die Beklagten nicht verpflichtet die geschäftliche Korrespondenz zu löschen. Ihre Löschungspflicht beschränke sich auf den Namen, die Anschrift und das Geburtsdatum des Klägers, und damit auf die Daten, mit denen er eindeutig identifizierbar sei.
Enthalten elektronisch gespeicherte Datenbestände nicht aufzeichnungs- und aufbewahrungspflichtige, personenbezogene oder dem Berufsgeheimnis unterliegende Daten, so obliege es dem Steuerpflichtigen, die Datenbestände so zu organisieren, dass der Prüfer nur auf die aufzeichnungspflichtigen- und aufbewahrungspflichtigen Daten zugreifen kann. Dies könne beispielsweise durch geeignete Zugriffsbeschränkungen oder „digitales Schwärzen“ der zu schützenden Information erfolgen.
Diese Entscheidung zeigt, dass das Gericht die Löschungspflicht datumsbezogen versteht. So betrachtet es nicht das Dokument mit allen enthaltenen Daten an sich und knüpft daran eine mögliche Pflicht zur weiteren Speicherung der enthaltenen Daten. Vielmehr verlangen die Richter eine Prüfung der Rechtsgrundlage für jedes in dem Dokument enthaltene Datum.
Personenbezogenes Datum
Die Entscheidung des Gerichts beeinflusst demnach die Arbeit datenverarbeitender Stellen, indem diese künftig darauf achten sollten, Aufbewahrungspflichten nicht allein anhand von Dokumenten zu prüfen, sondern in dem Dokument jedes Datum näher betrachten und gegebenenfalls entsprechende Maßnahmen zur Löschung ergreifen müssen. Denn der Name einer Person ist auch bei Namensidentität mit Dritten ein personenbezogenes Datum, wenn die Identität durch Zusatzinformation gesichert ist. Eine Verknüpfung, die eindeutig auf den Kläger hinweist, müsse zukünftig ausgeschlossen sein, so die Richter.
