{"id":20333,"date":"2018-10-30T16:03:18","date_gmt":"2018-10-30T15:03:18","guid":{"rendered":"https:\/\/press.ccc.at\/dsnew\/?p=20333"},"modified":"2021-08-09T17:16:35","modified_gmt":"2021-08-09T15:16:35","slug":"dsgvo-die-probleme-mit-backup-und-archivierung","status":"publish","type":"post","link":"https:\/\/digisociety.ngo\/2018\/10\/30\/dsgvo-die-probleme-mit-backup-und-archivierung\/","title":{"rendered":"DSGVO: Die Probleme mit Backup und Archivierung"},"content":{"rendered":"
\"Datenschutz<\/a>

\u00a9 European Union 2018, Quelle: EP<\/p><\/div>\n

Die am 25. Mai in Kraft getretene Datenschutz<\/a>-Grundverordnung (DSGVO) gibt den Betroffenen grundlegende Rechte, um \u00fcber ihre personenbezogenen Daten verf\u00fcgen zu k\u00f6nnen. Es kann Einsicht in die gespeicherten Daten genommen werden und sie m\u00fcssen auf Aufforderung korrigiert oder gel\u00f6scht werden (solange keine anderen Interessen oder rechtliche Vorgaben dem entgegenstehen).<\/p>\n

Es geh\u00f6rt zum Stand der Technik, dass alle elektronischen Daten aus Sicherheitsgr\u00fcnden in Backups gespeichert werden. Diese Backups werden – ebenfalls aus Sicherheitsgr\u00fcnden – an sicheren Orten gespeichert, also nicht mehr am selben Ort, wo sie auch verarbeitet werden. Auch wenn die Daten nicht mehr direkt ben\u00f6tigt werden, so werden sie – zu allermeist aus rechtlichen Gr\u00fcnden – noch weiterhin aufgehoben, also archiviert.<\/p>\n

Die DSGVO enth\u00e4lt leider keine speziellen Regelungen f\u00fcr Backups und archivierte Daten. Sie spezifiziert zwar, dass personenbezogene Daten in ihrer Verarbeitung eingeschr\u00e4nkt werden k\u00f6nnen, schenkt dann aber dieser speziellen Art von “eingefrorenen” Daten keine weitere Beachtung. Dabei w\u00e4re gerade diese Kategorie sehr wichtig und hilfreich, deckt sie sich ja gerade mit den Eigenschaften von Backups und archivierten Daten. Diese werden nicht mehr verarbeitet und k\u00f6nnen zumeist auch nicht ohne weitere technische Ma\u00dfnahmen wie Restore bzw. Wiedereinspielen wieder zu verarbeitbaren Daten gemacht werden.<\/p>\n

In der Abbildung unten sieht man den Lebenszyklus von Daten, abgebildet auf die Begriffe der DSGVO. Zu beachten ist, dass der rechte Teil mit Backup nicht von der DSGVO behandelt wird. Nur die Vorg\u00e4nge im linken gr\u00fcnen Teil werden von der DSGVO explizit behandelt.<\/p>\n

\"Darstellung<\/a>

Daten-Lebenszyklus der DSGVO, erweitert um Backup<\/p><\/div>\n

Aus den Rechten der DSGVO und den speziellen technischen Eigenschaften von Backups und Datenarchiven ergeben sich in der Kombination mehrere Probleme:<\/p>\n

Auskunft \u00fcber Daten in Archiven und Backups<\/h3>\n

Das Auskunftsrecht \u00fcber personenbezogene Daten macht keinen Unterschied zwischen “heissen” Daten, die zugriffsbereit in einer Datenbank oder einem Dateisystem gespeichert sind und die problemlos sofort ausgelesen werden k\u00f6nnen und “eingefrorenen” Daten in Backups und Archiven, die oftmals auf Magnetb\u00e4ndern oder einmal beschreibbaren optischen Datentr\u00e4gern wie DVDs gespeichert sind, welche erst h\u00e4ndisch gesucht und wieder ins System eingespielt werden m\u00fcssen. Dies ist zumindest zeitaufw\u00e4ndig. \"Symbolbild:<\/a>Sind die Daten bei einem externen Backup-Anbieter gespeichert wie z.B. Amazon Glacier, so werden f\u00fcr das Abrufen und Wiedereinspielen auch finanzielle Aufw\u00e4nde f\u00e4llig. Die DSGVO bietet hierf\u00fcr keinerlei L\u00f6sungsans\u00e4tze.<\/p>\n

Ein weiteres Problem ist die Frage, welcher zeitliche Stand \u00fcberhaupt zu beauskunften w\u00e4re. Backups enthalten mitunter eine Vielzahl an Versionen der personenbezogenen Daten von unterschiedlichen Zeitpunkten. Auch f\u00fcr diesen Punkt fehlt jeglicher Hinweis in der DSGVO.<\/p>\n

L\u00f6schung von Daten in Backups<\/h3>\n

\u00c4hnlich problematisch ist die Situation beim Recht auf L\u00f6schung. Zwar ist dieses Recht eingeschr\u00e4nkt und besteht nicht, wenn die Daten noch zur Wahrung von rechtlichen Interessen oder gesetzlichen Vorgaben weiter gespeichert werden m\u00fcssen. Im Fall von gesch\u00e4ftlichen Transaktionen gibt es hier Vorgaben aus dem Unternehmensrecht, die eine mehrj\u00e4hrige Speicherung vorschreiben. Aus dem Vertragsrecht heraus sind die Verj\u00e4hrungsfristen zu beachten, sodass die Archivierung von Daten jedenfalls zul\u00e4ssig ist, bis allf\u00e4llige Rechte auf Schadenersatz o.\u00e4. erloschen sind.<\/p>\n

Aber wenn kein Hinderungsgrund besteht, w\u00e4ren die Daten eigentlich zu l\u00f6schen. Allerdings ist es eben auf Grund der Speichermethoden wie Magnetb\u00e4ndern oder nicht mehr modifizierbaren optischen Datentr\u00e4gern wie beschreibbaren DVDs praktisch unm\u00f6glich, gezielt Daten aus einem einzelnen Backup-Datensatz zu l\u00f6schen.<\/p>\n

Recht auf Berichtigung<\/h3>\n

\u00c4hnlich problematisch ist das Recht auf Berichtigung von personenbezogenen Daten in Backup-Archiven. Ein Modifizieren von Daten in Backup-Archiven ist technisch \u00e4hnlich unm\u00f6glich wie das gezielte L\u00f6schen der Daten. Auch widerspricht das Modifizieren von Daten in Archiven dem Sinn<\/a> der Archivierung, bei der es ja um die unver\u00e4nderte Speicherung geht. Es ist da auch eine rechtliche Vorgabe, dass man die Daten unver\u00e4ndert wiederherstellen k\u00f6nnen muss. Auch darauf geht die DSGVO nicht ein.<\/p>\n

Technische L\u00f6sungsvorschl\u00e4ge<\/h3>\n

\"\"<\/a>Gibt es technische M\u00f6glichkeiten, die Vorgaben der DSGVO dennoch umzusetzen, ohne dass die skizzierten Probleme schlagend werden? Nun, hier kann uns die Kryptographie zu Hilfe kommen. Werden personenbezogene Daten verschl\u00fcsselt, so sind sie nur mehr f\u00fcr den Besitzer des kryptographischen Schl\u00fcssels wiederherstellbar. Gerade im Bereich des Backups kommt der Verschl\u00fcsselung eine wichtige Rolle zu. Da Backups au\u00dfer Haus gelagert werden sollen, mitunter sogar bei externen Firmen, geh\u00f6rt es zum Stand der Technik, die Daten auf den Backup-Speichermedien zu verschl\u00fcsseln, sodass sie selbst in fremden H\u00e4nden sicher sind und nicht gelesen werden k\u00f6nnen. Hier werden jedoch im Regelfall alle Daten mit demselben Schl\u00fcssel verschl\u00fcsselt. Dies muss jedoch nicht sein.<\/p>\n

Denkbar w\u00e4re eine L\u00f6sung, bei der man die auf jeweils eine Person bezogenen Daten mit jeweils einem eigenen Schl\u00fcssel f\u00fcr das Backup oder Archiv verschl\u00fcsselt. Um bestimmte personenbezogene Daten in Backups oder Archiven zu l\u00f6schen w\u00fcrde es dann gen\u00fcgen, die jeweiligen zugeh\u00f6rigen Schl\u00fcssel zu l\u00f6schen. Ohne Schl\u00fcssel gibt es keine M\u00f6glichkeit mehr, die Daten zu entschl\u00fcsseln und dadurch auch faktisch keine personenbezogenen Daten mehr. Allerdings m\u00fcssen nunmehr die Schl\u00fcssel besonders gut gegen L\u00f6schen gesichert werden, da ohne sie keine Restaurierung m\u00f6glich ist. W\u00fcrden die Schl\u00fcssel ebenfalls einem Backup unterworfen werden, w\u00fcrde das die personenbezogenen Daten erst wieder wiederherstellbar machen. Da aber die Schl\u00fcssel relativ geringe Datenmengen darstellen, w\u00e4re eine entsprechend sichere Speicherung ohne Verwendung von Backup- oder Archivierungssystemen denkbar.<\/p>\n

Zwar klingt eine solche technische L\u00f6sung verf\u00fchrerisch, jedoch muss man bedenken, dass die derzeitigen Backup- und Archivierungssysteme eine solche Vorgehensweise nicht bieten, sondern diese Methodik erst schrittweise eingef\u00fchrt werden muss. Daher l\u00f6st dieser Vorschlag das unmittelbare Problem nicht.<\/p>\n

Juristischer L\u00f6sungsansatz<\/h3>\n

\"\"<\/a>Es bleibt somit eine Modifikation bzw. Erweiterung der DSGVO als einzig gangbarer Weg. Man m\u00fcsste die DSGVO entsprechend erweitern, sodass der Spezialfall der “eingefrorenen” Daten in Backups und Archiven explizit geregelt wird, ohne dass dadurch die Rechte der Betroffenen eingeschr\u00e4nkt werden. Es bedarf einer Definition dieser Datenklasse dahingehend, dass klar gestellt wird, dass diese Daten in ihrer Verarbeitung eingeschr\u00e4nkt sind und nur mehr gespeichert werden. Die Rechte hinsichtlich dieser Daten sind dann entsprechend zu modifizieren, sodass sie mit den technischen Gegebenheiten kompatibel sind. Auskunftsrechte m\u00fcssten darauf beschr\u00e4nkt werden, dass die Betroffenen lediglich erfahren, dass die Daten noch in Backups oder Archiven vorliegen, aber nicht mehr verarbeitet werden und daher auch keine Informationen \u00fcber den Inhalt der Daten gegeben werden k\u00f6nnen. L\u00f6sch- und Modifikationsrechte m\u00fcssten f\u00fcr “eingefrorene” Daten ausgesetzt werden.<\/p>\n

Um der betroffenen Person dennoch maximalen Schutz ihrer Daten zu gew\u00e4hrleisten, sollte eine Verst\u00e4ndigungspflicht des Verantwortlichen hinzugef\u00fcgt werden f\u00fcr den Fall, dass die personenbezogenen Daten aus dem Backup oder Archiv wieder ins System eingespielt und damit verarbeitbar gemacht werden. Dadurch w\u00e4re gew\u00e4hrleistet, dass die betroffene Person ihre Rechte an den nunmehr verarbeitbaren Daten wieder in vollem Umfang aus\u00fcben kann.<\/p>\n

\"\"<\/a>Die Digital Society wird diesbez\u00fcglich einen konkreten textuellen Vorschlag f\u00fcr eine \u00c4nderung der DSGVO ausarbeiten und an die EU-Kommission \u00fcbermitteln.<\/p>\n

Weitere Beitr\u00e4ge zum Thema Datenschutz<\/a>-Grundverordnung finden sich unter https:\/\/digisociety.ngo\/dsgvo\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Die am 25. Mai in Kraft getretene Datenschutz-Grundverordnung (DSGVO) gibt den Betroffenen grundlegende Rechte, um \u00fcber ihre personenbezogenen Daten verf\u00fcgen zu k\u00f6nnen. Es kann Einsicht in die gespeicherten Daten genommen werden und sie m\u00fcssen auf Aufforderung korrigiert oder gel\u00f6scht werden (solange keine anderen Interessen oder rechtliche Vorgaben dem entgegenstehen). Es geh\u00f6rt zum Stand der Technik, […]<\/p>\n","protected":false},"author":3589,"featured_media":20374,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","rank_math_lock_modified_date":false,"footnotes":"","_wpscp_schedule_draft_date":"","_wpscp_schedule_republish_date":"","_wpscppro_advance_schedule":false,"_wpscppro_advance_schedule_date":"","_wpscppro_custom_social_share_image":0,"_facebook_share_type":"","_twitter_share_type":"","_linkedin_share_type":"","_pinterest_share_type":"","_linkedin_share_type_page":"","_instagram_share_type":"","_medium_share_type":"","_selected_social_profile":[]},"categories":[593,214,219],"tags":[],"class_list":["post-20333","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-dsgvo","category-datenschutz","category-privatsphaere"],"jetpack_featured_media_url":"https:\/\/digisociety.ngo\/wp-content\/uploads\/sites\/23\/2018\/10\/privacy-policy-3344455_1920.jpg","_links":{"self":[{"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/posts\/20333","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/users\/3589"}],"replies":[{"embeddable":true,"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/comments?post=20333"}],"version-history":[{"count":0,"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/posts\/20333\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/media\/20374"}],"wp:attachment":[{"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/media?parent=20333"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/categories?post=20333"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/digisociety.ngo\/wp-json\/wp\/v2\/tags?post=20333"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}