Datenschutz: Fehlende Löschkonzepte bei den gesetzlichen Sozialleistungsträgern
Der Tätigkeitsbericht zum Datenschutz 2017-2018 wurde gestern veröffentlicht. Wer etwas Zeit mitbringt und sich für die Materie interessiert, der sollte mal einen Blick reinwerfen. Eine Beobachtung fand ich besonders brisant.
Seite 49 Ziffer 3.2.2 Weiterhin fehlende Löschkonzepte bei den gesetzlichen Sozialleistungsträgern:
Eines der datenschutzrechtlich wichtigsten Rechte ist das Recht auf Löschung und das ebenfalls in Art. 17 DSGVO neu geschaffene „Recht auf Vergessenwerden“. Nach der Rechtsprechung des Europäischen Gerichtshofs handelt es sich hierbei um eine spezielle Ausprägung der Grundrechte auf Achtung des Privat‑ und Familienlebens und auf Schutz personenbezogener Daten. So sind personenbezogene Daten vom Verantwortlichen insbesondere dann zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf andere Weise verarbeitet worden, nicht mehr erforderlich sind.
Ich habe eine Vielzahl von Beratungs‑ und Kontrollbesuchen bei Sozialleistungsträgern (Berufsgenossenschaften, gesetzliche Krankenkassen und (Reha)Kliniken in meinem Zuständigkeitsbereich) durchgeführt, wo ich feststellen musste, dass viele dieser Sozialleistungsträger weiterhin über keinerlei Löschkonzepte verfügen oder diese über ein Entwurfsstadium nicht hinausgehen. Bei Stichproben konnte ich beispielsweise Datensätze einzelner Personen in IT‑Systemen aufrufen, deren Geburtstage bis in das 19. Jahrhundert zurückreichen und/oder Personen betreffen, die bereits vor mehr als 70 Jahren verstorben sind. Dass diese Daten für die Aufgabenerledigung nicht mehr erforderlich sein können, ist selbsterklärend.
Personenbezogene Daten nicht löschen zu können, stellte bereits vor dem 25. Mai 2018 einen Rechtsverstoß dar. Mit einem Rundschreiben hatte ich dem Spitzenverband der Gesetzlichen Krankenversicherung bereits im Jahr 2014 mitgeteilt, dass ich fehlende Löschmöglichkeiten bzw. das Fehlen von Löschkonzepten bei den gesetzlichen Krankenkassen nicht mehr akzeptiere. Damals konnte ich derartige Datenschutzverstöße (aufgrund des alten Datenschutzrechts) nur beanstanden.
[…]
Das ist eigentlich ein Skandal. Gesetzliche Krankenkassen und Co. verfügen über kein Löschkonzept für Daten? Das kann doch wirklich nicht sein, dass das jahrelang versäumt wurde umzusetzen. Unfassbar.
Der Einsatz von Social Media im Arbeitsleben aus datenschutzrechtlicher Sicht
Das in der Corona-Pandemie viel zitierte Beispiel Südkorea – eine Datenschutz-Analyse
Ideen zur Selbsthilfe: Datenschutz im Verein – Digitalisierung im Verein Teil2
Datenhygiene: Das digitale Haarewaschen und Zähneputzen
