Löschpflicht trifft Speicherzwang

Im c't-Datenschutz-Podcast geht es diesmal um ein Problem, das in
Unternehmen täglich auftaucht: Personenbezogene Daten sollen
gelöscht werden – stecken aber in Logs, Backups oder gesetzlich
vorgeschriebenen Aufzeichnungen. Die Auflösung dieses Zielkonflikts
ist ebenso herausfordernd wie praxisrelevant. Das Recht auf
Löschung ist das zentrale Betroffenenrecht in der DSGVO. In Episode
161 der Auslegungssache diskutieren heise-Justiziar Joerg Heidrich
und c’t-Redakteur Sylvester Tremmel, der in dieser Folge Holger
Bleich vertritt, über den Interessenkonflikt zwischen
Löschaufforderungen und der Pflicht, bestimmte Daten aufzuheben.
Fachkundiger Gast ist Dr. Christoph Wegener, Berater und
Sachverständiger für Informationssicherheit und Datenschutz. Das
Thema der Folge führt tief in den Maschinenraum der
Datenschutzpraxis: Ein Betroffener verlangt die Löschung seiner
Daten. Diese Daten befinden sich aber in einem
Sicherheitsprotokoll, das nach IT-Standards nicht nur unveränderbar
sein soll, sondern auch über einen längeren Zeitraum aufbewahrt
werden muss. Eine Norm verlangt also Löschung, die andere schützt
gerade die unmodifizierte Erhaltung. Genau dieser Konflikt begegnet
Unternehmen bei Webserver-Logs, Sicherheitsprotokollen, Backups,
Compliance-Systemen, KI-Systemen und behördlichen Fachverfahren.
Ein Anlass für die Diskussion ist der Abschlussbericht des
Europäischen Datenschutzausschusses zur koordinierten
Durchsetzungsaktion 2025 zum Recht auf Löschung. 32
Aufsichtsbehörden werteten Antworten von 764 Verantwortlichen aus.
Der Bericht benennt mehrere wiederkehrende Schwachstellen, darunter
unklare Aufbewahrungsfristen, mangelhafte Verfahren für
Löschanträge und besondere Schwierigkeiten bei Backups. Auch die
Datenschutzkonferenz hebt diese Problemfelder hervor. Die
Podcastfolge macht deutlich: Löschkonzepte werden künftig stärker
in den Fokus der Aufsichtsbehörden rücken. Besonders praxisrelevant
sind Backups. In vielen Sicherungen lässt sich ein einzelner
Datensatz technisch nicht sinnvoll entfernen, ohne die Integrität
des gesamten Sicherungsbestands zu gefährden. Die Lösung kann
deshalb nicht darin liegen, Sicherungen sofort physisch zu
überschreiben. Entscheidend ist vielmehr, dass gelöschte Daten bei
einer Wiederherstellung nicht unkontrolliert wieder in den
Produktivbetrieb gelangen. Wer ein Backup zurückspielt, sollte also
nachgelagerte Lösch- und Bereinigungsprozesse vorsehen. Noch
schärfer zeigt sich der Konflikt bei Logfiles.
Sicherheitsprotokolle sind für Angriffserkennung, Fehlersuche und
Nachvollziehbarkeit unverzichtbar. Zugleich enthalten Logs häufig
personenbezogene Daten wie IP-Adressen oder sicherheitsrelevante
Ereignisse. Datenschutzrechtlich sind sie deshalb nicht neutral.
Sie benötigen eine Rechtsgrundlage, klare Zwecke, begrenzte Fristen
und Zugriffsbeschränkungen. Das Fazit der Folge: Der scheinbare
Widerspruch zwischen Löschpflicht und Speicherzwang lässt sich
nicht mit pauschalen Regeln lösen. Unternehmen müssen
Aufbewahrungspflichten kartieren, Löschfristen festlegen, Zugriffe
beschränken, Backups in ihre Prozesse einbeziehen und Logfiles
technisch wie rechtlich sauber steuern. Das unveränderbare Backup
bleibt dann nicht automatisch ein Datenschutzverstoß. Entscheidend
ist, dass der Zweck begrenzt, die Verarbeitung eingeschränkt und
eine Wiederverarbeitung gelöschter Daten zuverlässig verhindert
wird.