Löschpflicht und Datensicherung widersprechen sich nur auf den ersten Blick. Gelöschte Daten müssen nicht sofort aus jedem Backup entfernt werden, wenn die Sicherungen nach einem festen Zyklus überschrieben werden, nicht für andere Zwecke genutzt werden und bei einer Wiederherstellung bereits gelöschte Daten erneut gelöscht werden. Diese drei Bedingungen gehören ins Konzept, und zwar schriftlich.
Warum Backups ein Datenschutzthema sind
Eine Datensicherung ist eine vollständige Kopie dessen, was im Betrieb an personenbezogenen Daten verarbeitet wird: Personalakten, Kundenstamm, E-Mails, Buchhaltung. Sie unterliegt damit denselben Regeln wie das Original. Gleichzeitig ist sie die Voraussetzung dafür, dass der Betrieb nach einem Ausfall weiterarbeiten kann.
Art. 32 Abs. 1 DSGVO verlangt ausdrücklich, die Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen und den Zugang zu Daten nach einem Zwischenfall rasch wiederherzustellen. Ohne Datensicherung lässt sich diese Pflicht nicht erfüllen. Das Backup ist also nicht nur erlaubt, es ist in der Praxis geboten.
Wie Löschen und Sichern zusammengehen
Die Löschpflicht aus Art. 17 DSGVO trifft auf ein praktisches Problem. Aus einer Bandsicherung oder einem verschlüsselten Sicherungsarchiv lässt sich ein einzelner Datensatz nicht herausschneiden, ohne die ganze Sicherung zu gefährden. Die Aufsichtsbehörden verlangen das auch nicht. Sie verlangen ein Verfahren, das drei Dinge sicherstellt.
Zweckbindung der Sicherung
Das Backup dient ausschließlich der Wiederherstellung. Es wird nicht durchsucht, nicht ausgewertet und nicht als Archiv benutzt, um an alte Daten zu kommen. Wer Sicherungen als Ersatzablage nutzt, verlässt diesen geschützten Bereich.
Fester Überschreibungszyklus
Sicherungen werden nach einem festgelegten Rhythmus überschrieben, etwa tägliche nach einigen Wochen und monatliche nach einigen Monaten. Damit verschwinden gelöschte Daten mit vorhersehbarer Verzögerung auch aus den Sicherungen.
Erneutes Löschen nach der Wiederherstellung
Wird eine ältere Sicherung zurückgespielt, tauchen bereits gelöschte Daten wieder auf. Sie müssen dann erneut gelöscht werden. In der Praxis hilft eine einfache Liste der seit der Sicherung durchgeführten Löschungen. Wie die Fristen selbst festgelegt werden, beschreibt der Beitrag Löschkonzept erstellen.
Was eine Sicherung datenschutzgerecht macht
Verschlüsselung
Sicherungsmedien und Sicherungsdateien werden verschlüsselt. Ein unverschlüsseltes Backup auf einer externen Festplatte, die im Auto liegen bleibt, ist eine Datenpanne mit vollständigem Datenbestand.
Trennung vom Netz
Mindestens eine Kopie sollte vom Produktivnetz getrennt oder unveränderbar sein. Erpressungssoftware verschlüsselt gezielt auch erreichbare Sicherungen. Wer nur eine ständig verbundene Netzwerkfreigabe hat, verliert im Ernstfall Original und Sicherung gleichzeitig.
Wiederherstellung getestet
Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen. Für Backups heißt das: Wiederherstellung ausprobieren und das Ergebnis festhalten. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, kein Nachweis.
Vertrag mit dem Anbieter
Liegt die Sicherung bei einem externen Dienstleister oder in der Cloud, ist das eine Auftragsverarbeitung und braucht einen Vertrag nach Art. 28 DSGVO. Sitzt der Anbieter außerhalb der EU, muss zusätzlich die Übermittlung abgesichert sein.
Was in die Unterlagen gehört
Ein kurzes Sicherungskonzept genügt: was gesichert wird, wie oft, wohin, wie lange die einzelnen Generationen aufbewahrt werden, wie verschlüsselt wird, wer Zugriff hat und wann zuletzt eine Wiederherstellung getestet wurde. Diese Angaben gehören zugleich in die Beschreibung der technischen und organisatorischen Maßnahmen.
Aus unserer Arbeit als IT-nahes Haus kennen wir beide Seiten: die Technik, die meist besser ist als ihr Ruf, und die Dokumentation, die fast immer fehlt. Geprüft wird aber die Dokumentation.
Wir bringen beides zusammen, als externer Datenschutzbeauftragter mit IT-Verständnis. Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zu Backup und Datenschutz
Müssen gelöschte Daten auch aus dem Backup entfernt werden?
Nicht sofort und nicht einzeln, wenn drei Bedingungen erfüllt sind: Die Sicherungen werden nicht für andere Zwecke genutzt, sie werden nach einem festen Zyklus überschrieben, und bei einer Wiederherstellung werden bereits gelöschte Daten erneut gelöscht.
Ist ein Backup überhaupt Pflicht?
Ausdrücklich steht das Wort nicht in der DSGVO. Art. 32 verlangt aber, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen und Daten nach einem Zwischenfall rasch wiederherstellen zu können. Ohne Datensicherung ist das nicht zu erfüllen.
Wie lange dürfen Backups aufbewahrt werden?
So lange, wie es der Sicherungszweck erfordert. Für die meisten Betriebe reichen tägliche Sicherungen über einige Wochen und monatliche über einige Monate. Jahresarchive über viele Jahre brauchen einen eigenen Grund, etwa eine gesetzliche Aufbewahrungspflicht.
Ist ein Cloud-Backup erlaubt?
Ja, wenn mit dem Anbieter ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht, die Daten verschlüsselt übertragen und gespeichert werden und bei einem Anbieter außerhalb der EU die Übermittlung abgesichert ist.
Was gilt bei einem Ransomware-Angriff auf die Sicherung?
Sind Daten verschlüsselt oder abgeflossen, liegt in aller Regel eine Datenpanne vor, die nach Art. 33 DSGVO binnen 72 Stunden zu melden ist. Eine vom Netz getrennte oder unveränderbare Sicherung ist der wirksamste Schutz davor, dass auch die Wiederherstellung ausfällt.
