Löschen personenbezogener Daten

Jede Person hat das Recht auf „Vergessen werden“ bzw. Löschen seiner personenbezogenen Daten auf Antrag beim Verarbeiter. Aber auch in anderen Situationen verlangt die Datenschutz-Grundverordnung die Einschränkung der weiteren Verarbeitung personenbezogener Daten. Neben dem Antrag auf Löschen reicht der Widerspruch eines Betroffenen, aber auch das Erreichen einer Aufbewahrungsfrist, die Daten zu löschen bzw. zu sperren.

In einem CRM-System wird aufgrund der möglicherweise massiven Verknüpfung von Personen das direkte Löschen nicht empfohlen, da der resultierende Datenverlust unter Umständen gewaltig wäre. Favorisiert wird stattdessen die Kennzeichnung der Person als „gelöscht“.

Im Kern wird diese Kennzeichnung durch einen neu eingeführten Status Gelöscht nach DSGVO in allen Personengruppen realisiert. Dafür gibt es in den Prozessen der Personen neue Status mit einem Identi­fier nach dem Schema [PSA_PRS_???_DPR_DEL]. Dieser Status ist mit einer Prüffunktion versehen, die nur bestimmten Benutzern oder Gruppen die Ausführung erlaubt. Per Parameter kann dem Account-Manager bzw. den PiSA cubes Administratoren und speziellen Gruppen die Ausführung erlaubt werden.

Am Personenformular steht die spezielle DSGVO-Funktion Personendaten löschen zur Verfügung. Diese bietet einen Abfragedialog mit drei Optionen für die unterschiedliche „Löschtiefe“, welche auch Daten unwiederbringlich aus der Person entfernen.

Der Status der Person wird geändert auf Gelöscht nach DSGVO und damit auch die zugehörige Akti­onsfunktion ausgeführt (siehe unten „Zur Info“).

Zusätzlich zu den Änderungen in Ebene 1 werden jetzt auch die Kommunikationsdaten an der Person gelöscht, falls vorhanden die Bankdaten und natürlich das Telefonprotokoll. Sollte ein Geburtsdatum eingetragen sein, so wird auch dieses entfernt. Ist die Person in Verteilerlisten aufgenommen, so wird diese Zuordnung gelöscht.
Die E-Mail-Adressen werden nicht vollständig gelöscht, sondern in einen verschlüsselten Text umge­wandelt, um eventuelle Wiedererfassung der gelöschten Person erkennen zu können (E-Mail-Bla­cklist).

Auf dieser Stufe werden die letzten persönlichen Informationen wie Position, Abteilung und Anlass entfernt. Der Name wird anonymisiert, um jeglichen Rückschluss auf eine reale Person unmöglich zu machen.
Der Job [PSA_DPR_DEL_JOB] zum automatischen Löschen lässt sich so konfigurieren, dass auch Ebene 2 oder 3 aufgerufen wird. Das Entfernen von Kontakt-Informationen wird aus Sicherheitsgründen im Logfile des Servers protokolliert.

Zur Info:

Der Status Gelöscht nach DSGVO ruft eine Aktions-Funktion auf, welche sämtliche Kommunikation zu unterbinden hilft, indem sie die Mailsperre und die Serienmailsperre setzt. Alle zugeordneten Verarbei­tungszwecke werden auf inaktiv gesetzt und ein entsprechender Protokolleintrag gemacht. Sollte das Datum „Gültig bis“ noch in der Zukunft liegen, wird es auf den aktuellen Tag verändert. Weiterhin gibt es das Standardverhalten für inaktive Kontakte, indem die Datensätze rot dargestellt werden und der Zugriff eingeschränkt wird.

Zur Unterstützung der Anfrage ist es sinnvoll, entsprechende Antwortvorlagen in PisaSales zu hinterle­gen. Im PisaSales-Standard existiert bereits die Vorlage „E-Mail: DSGVO Löschungsbenachrichtigung gemäß Art. 19 (Deutsch, BIRT)“. Mit der angepassten Vorlage ist das Löschen gegenüber der Person zu bestätigen. Gleichzeitig ist darauf hinzuweisen, dass es danach keinen Nachweis auf die Identität der Person im System gibt, also auch keinen Löschnachweis (denn der erfordert ja eine Bezugsperson).

Optional ist der Einsatz einer zeitgesteuerten Funktion möglich [Job: PSA_DPR_DEL_JOB], welche das Gültigkeitsdatum aller Kontakte regelmäßig prüft, und sobald es in der Vergangenheit liegt, diesen Sta­tus automatisch setzt und damit für die Kommunikation deaktiviert.

Die immer wiederkehrende Frage, wie man denn das Löschen protokolliert, wenn doch keine personen­bezogenen Daten gespeichert bleiben dürfen, beantwortet PisaSales mit einer „Blacklist“, die verschlüs­selte E-Mail-Adressen gelöschter und damit anonymisierter Personen verwaltet.

Das oben beschriebene Löschen von Personendaten ab Löschebene 2 entfernt die E-Mail-Adressen aus den Stammdaten nicht vollständig, sondern ersetzt sie durch einen verschlüsselten Wert. Die Originalad­resse lässt sich daraus nicht mehr ermitteln, aber ein Vergleich mit anderen verschlüsselten Adressen ist möglich.

Mit dem automatischen Dublettencheck beim Import von Personen prüft das System in PisaSales gegen diese „E-Mail-Blacklist“ und warnt, wenn eine bereits gelöschte Person mit dieser E-Mail-Adresse erneut - z.B. aus einem anderen Kanal (Import) - angelegt werden soll.

Sie haben nun die Möglichkeit, die Person erneut anzulegen [Ja] oder den Import dieser Person zu über­springen [Nein]. Wird die Abfrage mit „Ja“ beantwortet, erfolgt der reguläre Import der Daten. Zusätzlich erzeugt PisaSales im Hintergrund eine Historienbeziehung zu der bereits als gelöscht markierten Person. Es besteht so die Möglichkeit, über den Datenschutzreiter der historischen Person die Entwicklung der Verwendungszwecke einzusehen.

Tipp: Mit gesundem Menschenverstand herangehen!

Wird eine bereits gelöschte Person beim Import oder manuellen Erfassen festgestellt, ist der gesunde Menschenverstand der Sachbearbeiter gefordert. Es ist z.B. zu prüfen, ob

• das neue Erfassen dem Löschantrag entgegensteht (z.B. Zeitraum des Löschens),
• die Person einen „Test“ macht, um zu kontrollieren, ob sie wirklich gelöscht ist,
• ob die Person trotz ihrer Löschanfrage bewusst wieder erfasst werden möchte.

Die Rechtsgrundlage für einen erneuten Import bzw. das Anlegen der Person ist grundsätzlich zu klären, ggf. mit dem Datenschutzbeauftragten abzustimmen. Ist keine eindeutige Rechtsgrundlage vorhanden, darf der Import/das Neuanlegen der Person rechtlich gesehen nicht erfolgen.

Die endgültige Entscheidung ist also mit gesundem Menschenverstand zu fällen.

Erfassen Sie die Person erneut, so ist das kein Grund zur Beunruhigung, denn Sie müssen wie bei einem Neukontakt sowieso DSGVO-konform vorgehen (Einwilligung etc.). Spätestens mit Kontaktaufnahme auf Grundlage Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung) ist die Rechtsgrundlage eindeutig oder krea­tiv mit der Person zu klären.