Recht auf Vergessenwerden

Wie Software die Datenschutz-Grundverordnung (DSGVO) sicherstellt.

Mike kaufte vor fünf Jahren ein Volta Superbike mit zwei Jahren Garantie. Welche Daten darf Volta Superbikes erfassen und wozu nutzen? Wie lange dürfen die Daten gespeichert werden? Wann kann Mike die Löschung seiner Daten fordern? Das Recht auf Vergessenwerden setzt Richtlinien und BSI CRM liefert ein intelligentes Löschkonzept, um diese umzusetzen.

Beim Kauf seines Superbikes vor fünf Jahren teilte Mike seine Daten mit Volta. Da der Kauf in der EU stattfand, gilt die Europäische Datenschutz-Grundverordnung (DSGVO). Diese legt mit dem «Recht auf Vergessenwerden» unter anderem fest, wann und wie lange Volta Mikes Daten speichern darf.

Datenspeicherung nur mit Rechtmässigkeit

Volta darf Mikes Daten nur solange speichern, wie eine Rechtmässigkeit vorliegt, zum Beispiel, wenn die Daten zur Erfüllung des Vertrags oder rechtlicher Verpflichtungen notwendig sind oder Mike eingewilligt hat. Für Volta bedeutet das: Während der Verkaufsphase und der Garantiephase dürfen sie Mikes Daten speichern. Nach der Garantiephase muss Volta die Daten aufgrund von gesetzlichen Aufbewahrungspflichten für zehn Jahre archivieren. Danach müssen Mikes Daten gelöscht werden, ausser Mike willigt ein, dass seine Daten weiterhin zu Werbe- oder Informationszwecken verarbeitet werden dürfen.

Privacy by Design

Mit BSI CRM hat Volta eine Software, die den Datenschutz von Mike sicherstellt. BSI CRM folgt dem Prinzip «Privacy by Design» (Datenschutz durch Technik). Sprich: Die Funktionalität für den Datenschutz ist in der Software verankert; der Datenschutz der Endkunden ist durch die Technik sichergestellt. Datenschutz wird nicht reaktiv als Abhilfe umgesetzt, sondern proaktiv als Vorbeugung.

Intelligente Löschregeln

Die Löschung der Daten erfolgt automatisch – nach individuell aufgesetzten Löschregeln. Die in BSI CRM vorkonfigurierten Löschregeln kann Volta an ihre Bedürfnisse bzw. an die genaue lokale Rechtslage anpassen. Volta kann die Löschregeln pro Entität (Auftrag, Kommunikation, Person usw.) einstellen. Über die Filter wird definiert, wann die Löschregel greifen soll, zum Beispiel nur, wenn die Person keine offenen Aufträge oder Bestellungen hat. Mit den Sperr- und Löschfristen legt Volta fest, zu welchem Zeitpunkt die Daten gesperrt bzw. gelöscht werden.

Mit dem Löschkonzept im BSI CRM Indigo Feature & Service Release 3 (FSR 3) definiert Volta, wann welche Daten gelöscht oder gesperrt werden.

Löschen oder sperren?

Volta kann in BSI CRM sowohl Aufbewahrungspflichten einrichten, als auch Löschregeln konfigurieren. Durch die Aufbewahrungspflichten werden Daten, die gesetzlich archiviert werden müssen, gesperrt. Zum Beispiel muss Volta Auftragsdaten während zehn Jahren nach Garantieende archivieren. Gesperrte Datensätze können nur von CRMBenutzern mit spezifischen Rechten gefunden und angeschaut werden. «Löschen» bedeutet, dass die Personen- bzw. Firmendaten, sowie alle Verknüpfungen, z.B. zu Kommunikationen oder Aufträgen, entfernt werden. Das Löschen von Daten ist irreversibel.

Löschen auf Kundenwunsch

Mike kann explizit verlangen, dass seine Daten gelöscht werden. Volta kann seinen Datensatz über die Menüzeile oder über einen Prozess löschen. Vor dem Löschen findet eine Prüfung der definierten Aufbewahrungspflichten statt. Die Berechtigung zur Löschung von Personen und Firmen kann Volta über die Benutzerrechte einschränken.

Rechtssichere Analysedaten und zufriedene Kunden

Durch die Löschung von Daten werden zwar Verknüpfungen und Informationen gelöscht, die Daten können aber weiterhin anonymisiert für Reports und Analysen verwendet werden, zum Beispiel sieht Volta weiterhin, wie viele Personen für eine Marketingaktion angeschrieben wurden und wie darauf reagiert wurde, aber nicht, welche Personen. Das folgt der CRM-Philosophie von Volta Superbikes: Karteileichen werden beseitigt und es bleiben aktuelle Daten mit Zustimmung der Kunden sowie anonyme, rechtssichere Daten zu Analysezwecken.

Durch die flexibel konfigurierbaren Löschregeln kann Volta Superbikes einen «Bottom up»-Löschprozess definieren:
Auftragsdaten werden zehn Jahre nach Garantieende gelöscht; Personendaten erst, wenn keine Aufträge und
Kommunikationen mehr mit ihr verknüpft sind. Das heisst: Die Daten einer Person verhindern, dass die Person
gelöscht wird. Sobald diese keine Daten mehr hat, ist der Schutz weg.

 

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) vereinheitlicht die Regeln für die Verarbeitung von personenbezogenen Daten durch private Unternehmen und öffentliche Stellen EU-weit. Sie soll den Schutz von personenbezogenen Daten innerhalb der EU sicherstellen sowie den freien Datenverkehr innerhalb des europäischen Binnenmarktes gewährleisten. Unter Artikel 17 klärt die Verordnung auch das «Recht auf Löschung» bzw. das «Recht auf Vergessenwerden ». Die Verordnung trat am 24.5.2016 in Kraft und muss von allen Unternehmen ab 25.5.2018 angewendet werden.
Quelle: www.dsgvo-gesetz.de