Speicherbegrenzung
Speicherbegrenzung ist ein Grundsatz der DSGVO, wonach personenbezogene Daten nur so lange in identifizierbarer Form gespeichert werden dürfen, wie es für den festgelegten Verarbeitungszweck erforderlich ist.
Ausführliche Erklärung
Die Speicherbegrenzung ist in Artikel 5 Absatz 1 Buchstabe e DSGVO als zentraler Verarbeitungsgrundsatz verankert. Sie konkretisiert den Grundsatz der Datenminimierung in zeitlicher Hinsicht: Sobald der Zweck einer Datenverarbeitung entfällt, müssen die betroffenen personenbezogenen Daten gelöscht oder so anonymisiert werden, dass keine Identifizierung der betroffenen Person mehr möglich ist. Dabei reicht eine bloße Sperrung oder Archivierung grundsätzlich nicht aus.
Für Unternehmen bedeutet der Grundsatz, dass für jede Verarbeitungstätigkeit Löschfristen festgelegt und in einem Löschkonzept dokumentiert werden müssen. Das Verzeichnis von Verarbeitungstätigkeiten muss gemäß Artikel 30 DSGVO die vorgesehenen Löschfristen soweit möglich enthalten. Gegenüber Betroffenen ist in der Datenschutzerklärung nach Artikel 13 DSGVO entweder die konkrete Speicherdauer oder zumindest sind die Kriterien für deren Festlegung anzugeben.
Die Speicherbegrenzung steht häufig im Konflikt mit gesetzlichen Aufbewahrungspflichten. In Österreich schreibt § 132 Absatz 1 BAO vor, dass Bücher, Aufzeichnungen und Belege sieben Jahre aufbewahrt werden müssen; unternehmensrechtlich gilt dieselbe Frist nach § 212 UGB. Für Aufzeichnungen und Unterlagen, die Grundstücke betreffen, verlängert § 18 Absatz 10 UStG 1994 die Frist auf 22 Jahre, weil der Vorsteuerabzug bei Immobilien über einen langen Zeitraum berichtigt werden kann. Solche Aufbewahrungspflichten stellen eine rechtliche Verpflichtung im Sinne von Artikel 6 Absatz 1 Buchstabe c DSGVO dar und rechtfertigen die längere Speicherung. Sobald die Aufbewahrungsfrist jedoch endet und kein anderer Zweck besteht, greift die Löschpflicht.
Verstöße gegen die Speicherbegrenzung können Auskunfts- und Löschansprüche Betroffener nach Artikel 15 und 17 DSGVO auslösen; in Österreich ist dafür die Datenschutzbehörde zuständig, die Verstöße mit Geldstrafen ahnden kann. Verantwortliche müssen nach dem Grundsatz der Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO nachweisen können, dass sie die Speicherbegrenzung einhalten.
Praxisbeispiel
Ein Boutique-Hotel mit 35 Mitarbeitenden in Salzburg speichert Gästedaten wie Namen, Kontaktdaten und Zahlungsinformationen für Buchungen und Abrechnungen. Nach dem Check-out und vollständiger Abrechnung entfällt der ursprüngliche Verarbeitungszweck. Das Hotel hat jedoch ein Löschkonzept eingerichtet, das die steuerrechtliche Aufbewahrungsfrist von sieben Jahren nach § 132 BAO berücksichtigt. Nach Ablauf dieser Frist werden die Daten automatisiert gelöscht, sofern kein laufendes Abgabenverfahren anhängig ist.
Quellen
Diese Definition verlinken
Sie dürfen diese Definition gern zitieren oder verlinken — mit Quellenangabe.
„Speicherbegrenzung“ — Definition im Strukturaflow IT Glossar: https://begriffe.strukturaflow.com/begriff/speicherbegrenzung <a href="https://begriffe.strukturaflow.com/begriff/speicherbegrenzung">Speicherbegrenzung</a> — Definition im Strukturaflow IT Glossar