Personenbezogene Daten löschen

Jede Person hat das Recht auf „Vergessen werden“, also Löschung ihrer personenbezogenen Daten auf Antrag beim Verarbeiter. Aber auch in anderen Situationen verlangt die Datenschutz-Grundverordnung die Einschränkung der weiteren Verarbeitung personenbezogener Daten. Neben dem Antrag auf Löschung reicht der Widerspruch eines Betroffenen, aber auch der Ablauf einer Aufbewahrungsfrist, um die Daten zu löschen oder zu sperren.

In einem CRM-System wird aufgrund der möglicherweise umfangreichen Verknüpfung nicht empfohlen, eine Person direkt zu löschen, da der resultierende Datenverlust enorm sein kann. Stattdessen sollte die betreffende Person als „gelöscht“ gekennzeichnet werden.

Im Kern wird diese Kennzeichnung durch den Status Gelöscht nach DSGVO in allen Personengruppen realisiert. Dafür gibt es in den Prozessen der Personen mehrere Status mit einem Bezeichner nach dem Muster [PSA_PRS_???_DPR_DEL]. Dieser Status ist mit einer Prüffunktion versehen, die nur bestimmten Benutzern oder Gruppen die Ausführung erlaubt. Per Parameter kann dem Account-Manager oder den PiSA cubes Administratoren und speziellen Gruppen die Ausführung erlaubt werden.

Im Personenformular steht die spezielle DSGVO-Funktion Personendaten löschen zur Verfügung. Diese bietet einen Abfragedialog mit drei Optionen für die unterschiedliche „Löschtiefe“, die auch Daten unwiederbringlich aus dem Datensatz der Person entfernen.

Der Status der betreffenden Person wird geändert zu Gelöscht nach DSGVO und damit auch die dazugehörende Akti­onsfunktion ausgeführt (siehe unten „Zur Info“).

Zusätzlich zu den Änderungen in Ebene 1 werden jetzt auch die Kommunikationsdaten der Person gelöscht, falls vorhanden auch die Bankdaten und natürlich das Telefonprotokoll. Sollte ein Geburtsdatum angegeben sein, so wird auch dieses entfernt. Ist die Person in Verteilerlisten aufgenommen, so werden diese Zuordnungen ebenfalls gelöscht.

Die E-Mail-Adressen der Person werden nicht vollständig gelöscht, sondern in einen verschlüsselten Text umge­wandelt, um eine eventuelle erneute Erfassung der gelöschten Person erkennen zu können (E-Mail-Bla­cklist).

Auf dieser Stufe werden die letzten persönlichen Informationen wie Position, Abteilung und Anlass entfernt. Der Name wird anonymisiert, um jeglichen Rückschluss auf eine reale Person unmöglich zu machen.

Der Job [PSA_DPR_DEL_JOB] zum automatischen Löschen lässt sich so konfigurieren, dass auch Ebene 2 oder 3 aufgerufen wird. Das Entfernen von Kontakt-Informationen wird aus Sicherheitsgründen im Logfile des Servers protokolliert.

Zur Unterstützung der Anfrage ist es sinnvoll, entsprechende Antwortvorlagen im JustRelate CRM zu hinterle­gen. Im Standard gibt es bereits die Vorlage „E-Mail: DSGVO Löschungsbenachrichtigung gemäß Art. 19 (Deutsch, BIRT)“. Die angepasste Vorlage dient dazu, den Löschvorgang gegenüber der Person zu bestätigen. Weisen Sie gleichzeitig ist darauf hin, dass es danach keinen Nachweis für die Identität der Person im System gibt, also auch keinen Löschnachweis, denn dieser würde ja eine Bezugsperson erfordern.

Optional kann eine zeitgesteuerte Funktion verwendet werden [Job: PSA_DPR_DEL_JOB], die das Gültigkeitsdatum aller Kontakte regelmäßig prüft, und wenn es in der Vergangenheit liegt, diesen Sta­tus automatisch setzt und damit den Kontakt für die Kommunikation deaktiviert.

Dass eine Person gelöscht wurde, protokolliert das CRM in einer „Blacklist“, die die verschlüs­selten E-Mail-Adressen gelöschter und damit anonymisierter Personen enthält.

Das oben beschriebene Löschen von Personendaten ab Löschebene 2 entfernt die E-Mail-Adressen aus den Stammdaten nicht vollständig, sondern ersetzt sie durch einen verschlüsselten Wert. Die Originalad­resse lässt sich daraus nicht mehr ermitteln, aber ein Vergleich mit anderen verschlüsselten Adressen ist möglich.

Im Rahmen des automatischen Dublettenchecks beim Import von Personen prüft das System diese gegen die erwähnte „E-Mail-Blacklist“ und warnt, wenn eine bereits gelöschte Person mit dieser E-Mail-Adresse erneut, etwa aus einem anderen Kanal (Import), angelegt werden soll.

Sie können nun die Person erneut anlegen [Ja] oder den Import dieser Person über­springen [Nein]. Beantworten Sie diese Abfrage mit „Ja“, werden die Daten regulär importiert. Zusätzlich erzeugt das CRM im Hintergrund eine Historienbeziehung zu der bereits als gelöscht markierten Person. So ist es möglich, über den Datenschutzreiter der Person die Entwicklung der Verwendungszwecke einzusehen.

Wird eine bereits gelöschte Person beim Import oder manuellen Erfassen festgestellt, prüfen Sie stets, ob

• es dem Löschantrag entgegensteht (z.B. Zeitraum des Löschens), die Person erneut zu erfassen,
• die Person einen „Test“ macht, um zu prüfen, ob sie wirklich gelöscht wurde,
• die Person trotz ihrer Löschanfrage ausdrücklich wieder erfasst werden möchte.

Die Rechtsgrundlage für einen erneuten Import oder das Anlegen der Person muss immer geklärt und ggf. mit dem Datenschutzbeauftragten abgestimmt werden. Ist keine eindeutige Rechtsgrundlage vorhanden, darf die Person nicht importiert und nicht angelegt werden.

Erfassen Sie die Person erneut, ist es erforderlich, wie bei einem Neukontakt DSGVO-konform vorzugehen (Einwilligung etc.). Spätestens bei der Kontaktaufnahme auf der Grundlage von Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung) muss die Rechtsgrundlage eindeutig oder krea­tiv mit der Person geklärt werden.