Auf dieser Seite (6)
Wie lange Daten aus dem Zufahrtsprotokoll aufbewahrt werden, legt der Verantwortliche fest, also das Unternehmen, das den Standort betreibt, und weder der Systemanbieter noch der Sicherheitsdienst. Die Vorschriften nennen keine einheitliche Frist für alle Fälle; die Frist ergibt sich aus dem Zweck, für den die Daten erhoben werden, und muss im Löschkonzept festgehalten sein. Das System soll dieses Konzept automatisch umsetzen, damit das Löschen nicht vom Gedächtnis einzelner Personen abhängt.
Das Pfortenbuch löscht nichts. Es liegt jahrelang im Schrank und enthält Vor- und Nachnamen, Kennzeichen und Uhrzeiten, also einen kompletten Satz personenbezogener Daten ohne jedes Ablaufdatum.
Was im Zufahrtsprotokoll konkret personenbezogene Daten sind
Im Zufahrtsprotokoll stehen mehr personenbezogene Daten, als man gemeinhin annimmt:
- Vor- und Nachname des Fahrers, das ist offensichtlich,
- das Kennzeichen des Fahrzeugs, das ein personenbezogenes Datum ist, wenn es sich einer Person zuordnen lässt, und im Zufahrtsprotokoll lässt es sich das meist,
- die Uhrzeiten von Ein- und Ausfahrt, also eine Information über die Aktivität einer bestimmten Person im Zeitverlauf,
- der Scan eines Ausweisdokuments, falls er erhoben wird; meist ist er das sensibelste Element des ganzen Datensatzes,
- die Besuchshistorie, also eine Übersicht, wie oft und wann eine Person auf dem Gelände war.
Die Besuchshistorie wird am häufigsten vergessen. Eine einzelne Einfahrt ist eine Notiz, dreihundert Einfahrten derselben Person in einem einzigen Bericht sind ein Aktivitätsprofil und werden auch so bewertet.
Wie die Aufbewahrungsfrist für Fahrerdaten festgelegt wird
Die Aufbewahrungsfrist für Fahrerdaten ergibt sich aus der Antwort auf drei Fragen. Die erste betrifft den Zweck, denn der Zweck entscheidet alles. Sicherheit des Standorts, Abrechnung von Lieferungen und Arbeitszeitkontrolle sind drei verschiedene Zwecke, mit drei verschiedenen Begründungen und potenziell drei verschiedenen Aufbewahrungsfristen.
Die zweite Frage ist, wie lange die Daten für diesen Zweck gebraucht werden. Sie lautet „Wie lange brauchen wir sie?“ und nicht „Wie lange dürfen wir sie behalten?“. Daten, die länger aufbewahrt werden, als der Zweck erfordert, werden ohne Rechtsgrundlage aufbewahrt.
Die dritte betrifft das, was nach Ablauf dieser Zeit mit den Daten geschieht, und hier kommt die Unterscheidung zwischen Löschen und Anonymisieren ins Spiel.
Löschen oder Anonymisieren
Löschen bedeutet, dass der Datensatz verschwindet. Mit ihm verschwindet auch die statistische Information: wie viele Fahrzeuge im vergangenen Jahr eingefahren sind, wie viele Einfahrten es montags im Schnitt gab.
Anonymisieren bedeutet, dass der Datensatz bleibt, aber ohne Daten, über die sich eine Person identifizieren lässt. Es bleibt die Tatsache „Einfahrt um 8:15 Uhr, LKW, Rampe 3“, es verschwindet die Information, wer gefahren ist.
Für die meisten Standorte ist die Anonymisierung die richtige Wahl: Sie bewahrt den statistischen und planerischen Wert und entfernt, was geschützt ist. Die Anonymisierung ist unumkehrbar: Danach lässt sich nicht mehr rekonstruieren, wer es war, selbst wenn sich das in einem Streitfall als nötig herausstellen sollte. Deshalb sollte die Frist länger sein als der Zeitraum, in dem Reklamationen vorkommen.
Aufbewahrung und Anonymisierung in TraxSystem
TraxSystem setzt das Löschkonzept im Hintergrund um, nach den Fristen, die der Verantwortliche eingestellt hat, und anonymisiert die Daten, statt sie zu löschen, wenn das so eingestellt ist. Es führt ein Audit-Protokoll, also einen Nachweis, wer wann auf die Daten zugegriffen hat. Außerdem schränkt es die Sichtbarkeit ein, denn nicht jeder, der Zugang zum System hat, muss die Daten aller Personen sehen.
Die Einschränkung der Sichtbarkeit ist oft wichtiger als die Aufbewahrungsregel selbst. Der Wachmann am Tor braucht die Information, ob dieses Fahrzeug einfahren darf; die Besuchshistorie des Fahrers von vor einem Jahr nützt ihm nichts.
DSGVO-Konformität: Was beim Verantwortlichen liegt
TraxSystem stellt die DSGVO-Konformität nicht von selbst her, und niemand kann sie stellvertretend für Sie zusagen. Die Konformität hängt davon ab, wie das System konfiguriert wird, welche Verarbeitungszwecke festgelegt werden und welche Aufbewahrungsfristen der Verantwortliche bestimmt. Das System liefert die Mechanismen, die für die Konformität nötig sind: Aufbewahrungsregeln, Anonymisierung, Audit und Einschränkung der Sichtbarkeit. Das Konzept legt der Verantwortliche fest.
Das System führt für Sie weder das Verzeichnis von Verarbeitungstätigkeiten, noch erzeugt es die Dokumentation, die vom Verantwortlichen verlangt wird. Es erkennt auch keine Gesichter und erhebt keine biometrischen Daten als Grundlage für den Zutritt; die Identifikation erfolgt über Karte und Personendaten.
Die hier beschriebenen Mechanismen des Systems und die organisatorische Praxis sind keine Rechtsberatung. Aufbewahrungsfristen und Rechtsgrundlagen der Verarbeitung stimmen Sie am besten mit Ihrem Datenschutzbeauftragten ab.
Fragen und Antworten
Verlassen die Daten in der Cloud-Variante die EU?
Nein. Die Server stehen in Polen, eine Übermittlung außerhalb des Europäischen Wirtschaftsraums findet nicht statt. In dieser Variante tritt EROW, der Hersteller des Systems, als Auftragsverarbeiter auf und unterzeichnet einen Auftragsverarbeitungsvertrag (AVV); Verantwortlicher bleibt der Kunde.
Gibt es bei einer Installation auf dem eigenen Server einen Auftragsverarbeiter?
Nein. Die Daten verlassen die Infrastruktur des Kunden nicht. Für manche Unternehmen ist das ein K.-o.-Kriterium, und dann ist es das stärkste Argument für diese Variante.
Lassen sich für verschiedene Datenkategorien unterschiedliche Fristen einstellen?
Ja, Aufbewahrungsregeln werden für die einzelnen Kategorien separat festgelegt. Ihren Umfang bestimmt man bei der Einführung, ausgehend von den Verarbeitungszwecken, die der Verantwortliche festgelegt hat.
Siehe auch: Zufahrtsprotokoll und DSGVO: Wer im Unternehmen Fahrerdaten sehen darf · Eigener Server oder Cloud: Was zu Ihrem Zufahrtskontrollsystem passt