DSGVO-Löschfristen: Haftungsdauer plus „Polster“ zulässig

Erste Erkenntnisse zur zulässigen Aufbewahrungsfrist durch die Datenschutzbehörde

Die nunmehr veröffentlichte Entscheidung der Datenschutzbehörde vom 27.08.2018 (DSB-D123.085/0003-DSB/2018) betreffend ein Löschungsersuchen im Zusammenhang mit Bewerbungsunterlagen, bringt erste Anhaltspunkte (und Klarstellungen) in Bezug auf die Aufbewahrungsfrist von Bewerberdaten, und auch Argumente für andere Anwendungsbereiche.

Verfahrensgegenständlich war die Anfrage eines Bewerbers bei einem Unternehmen, seine Daten, die er im Zusammenhang mit der Bewerbung auf eine offene Stelle übermittelt hatte, zu löschen. Das Unternehmen informierte den Bewerber daraufhin darüber, dass seine Daten für die Dauer von 7 Monaten gerechnet ab Übermittlung der Bewerbung aufbehalten und danach gelöscht werden.

Im Zuge des vom Bewerber eingeleiteten Beschwerdeverfahrens vor der Datenschutzbehörde hat diese festgestellt, dass die Aufbewahrung von Bewerberdaten für den Zeitraum von 7 Monaten zulässig ist. Die Fristberechnung ergab sich in dem vorliegenden Fall aus dem Verweis auf das Gleichbehandlungsgesetz. § 26 Gleichbehandlungsgesetz sieht die Möglichkeit der Geltendmachung von Schadenersatzansprüchen binnen 6 Monaten ab Ablehnung der Bewerbung vor. Das Unternehmen hat zusätzlich eine Frist von 1 Monat für den Zugang einer allfälligen Schadenersatzklage veranschlagt und daher eine Löschfrist von insgesamt 7 Monaten festgelegt. Für den Bewerber war daher nachvollziehbar und klar erkennbar, dass die Beschwerdegegnerin seine Daten zu einem konkreten Zeitpunkt löschen wird.

Interessanterweise führt die Datenschutzbehörde in ihrer Entscheidungsbegründung aus, dass zwar grundsätzlich der Hinweis, dass die abstrakte Möglichkeit einer rechtlichen Auseinandersetzung besteht, nicht ausreicht, um die Verwendung von Daten (wozu auch das Speichern und Behalten gehört) zu begründen.

Wenn allerdings ein konkreter Ersatzanspruch innerhalb eines konkreten Zeitraumes benannt wird, der als Richtlinie für die Aufbewahrung von Daten dient, ist dies offensichtlich zulässig, auch wenn noch kein Verfahren anhängig oder zumindest (aufgrund von außergerichtlichen Aufforderungen oder ähnlichem) absehbar ist.

Schlussendlich hat die Datenschutzbehörde damit zugestanden, dass die Aufbewahrung von Daten auch ohne ein bereits anhängiges Verfahren oder die bereits erfolgte Androhung eines Schadenersatzanspruches während offener Bewerbungsfrist bzw. offener Bearbeitung zur Abwehr von Rechtsansprüchen, die sich vielleicht noch aus diesem (potentiellen) Rechtsverhältnis ergeben könnten, zulässig ist.

Ob die zugrundeliegende Wertung, dass konkret benannte, drohende Ersatzansprüche (wenn sich diese auch im Einzelfall noch nicht abzeichnen) als Begründung für die Aufbewahrung von Daten herangezogen werden kann, von der Datenschutzbehörde auch auf andere Anwendungsfälle übertragen wird, wird sich wohl noch im Laufe weiterer Entscheidungen zeigen. Naheliegend scheint dies jedenfalls für Ersatzansprüche für die jeweils sondergesetzliche Grundlagen bzw. Detailregelungen bestehen, wie beispielsweise im Ärztegesetz, das aufgrund der besonderen Gefahrengeneigtheit der Tätigkeit eine konkrete Haftpflichtversicherung (ähnlich wie bei Rechtsanwälten) und Hemmfristen bei der Geltendmachung von Ansprüchen vorsieht.

Conclusio:

Einerseits bestätigt die Datenschutzbehörde mit dieser Entscheidung, dass Daten im Zusammenhang mit Stellen-Bewerbungen jedenfalls für 6 Monate zuzüglich eines „Sicherheitspolters“ von 1 Monat zulässigerweise aufbewahrt werden dürfen.

Andererseits kristallisiert sich heraus, dass eine dokumentierte Überlegung zum jeweiligen Verwendungszweck und der notwendigen Dauer der damit verbundenen Aufbewahrung von Daten in der Vorbereitung sinnvoll ist und sich „bezahlt“ macht.

Gerne unterstützen wir Sie bei offenen Fragen und Herausforderungen im Zusammenhang mit Datenschutz.